La Commission européenne refuse de divulguer l’identité des auteurs d’une proposition de surveillance de masse

• La Commission européenne refuse de divulguer les informations sur les auteurs du règlement CSA (Child Sexual Abuse Regulation)
• Ce texte inclut des dispositions permettant de détecter des contenus illicites via la surveillance des messages sur les plateformes de chat
• En réponse à une demande d’accès aux informations sur les auteurs internes, la Commission invoque la protection des données personnelles et la nécessité d’un examen interne, plutôt que le principe de transparence
• Des organisations de la société civile et des experts en protection des données estiment que cette politique de non-divulgation risque d’affaiblir la crédibilité du processus de conception du texte
• L’affaire s’impose comme un enjeu majeur dans le débat européen sur la confidentialité des données et la transparence des politiques publiques

---

Aperçu de l’affaire

• La Commission européenne ne divulgue pas l’identité des auteurs du projet de loi CSA (Child Sexual Abuse Regulation)
• Ce texte vise à fournir une base juridique autorisant la surveillance des messages sur les plateformes de communication en ligne, comme les chats et les e-mails, ainsi que la détection automatisée de contenus pédocriminels
• Il suscite la controverse depuis plusieurs années, et des responsables politiques ainsi que des organisations citoyennes réclament à plusieurs reprises davantage de transparence dans l’élaboration de la politique publique

Motifs du refus de divulgation

• La Commission a refusé de rendre publics les noms des auteurs et contributeurs sollicités, ainsi que leurs informations de parcours
• Elle justifie ce refus par la protection des données personnelles de ces agents et par la nécessité de préserver l’indépendance des procédures d’examen interne
• Elle indique également que l’exposition d’auteurs individuels pourrait entraîner des pressions extérieures excessives, des menaces ou des tentatives d’influence inappropriées

Réaction de la société civile et des organisations de défense de la vie privée

• Des organisations comme EDRi et Access Now pointent un recul de la transparence et un risque d’atteinte à la crédibilité de la procédure d’examen du texte
• Des critiques soulignent qu’il devient difficile d’identifier la composition des décideurs et des conseillers techniques, ou encore l’influence d’acteurs extérieurs ayant des intérêts en jeu

Contexte et implications

• Le projet de loi CSA constitue une proposition sans précédent visant à obliger les services en ligne à recourir à un scannage algorithmique de tous les messages des utilisateurs
• Le texte fait l’objet d’un vif débat dans l’UE en raison des risques d’atteinte à la vie privée et de la controverse sur l’affaiblissement des communications chiffrées
• Au regard des standards internationaux, l’affaire renvoie aussi aux enjeux de protection des données personnelles et de transparence de l’action publique en Europe

Conclusion

• La décision de la Commission européenne de ne pas divulguer les informations sur les auteurs est directement liée aux questions de transparence et de responsabilité dans l’élaboration des politiques publiques
• Ce cas est interprété comme un indicateur important de la capacité à garantir la crédibilité du processus d’élaboration des politiques au sein de l’UE

[unsure4000]

Ça fait des années qu’ils retirent la proposition, puis la ressortent, la retirent, puis la ressortent… Ils ne s’en lassent donc jamais ??

[GN⁺]

Commentaires Hacker News

• Un article sur le plan de surveillance de l’UE intitulé « Policing by Design » mentionne la nécessité d’un cadre européen harmonisé de conservation des données permettant de collecter et d’accéder aux données de tous types de fournisseurs de services de communication tout en respectant pleinement la sécurité des données ; il rappelle aussi que la précédente directive européenne sur la conservation des données a été jugée inconstitutionnelle en 2014 pour violation des droits fondamentaux. Cette fois, l’accent est mis sur l’obtention de données accessibles pour toutes les formes de fournisseurs de services et pour les preuves électroniques, ainsi que sur un consensus autour du besoin, pour les autorités d’enquête, d’accéder aux données en clair (non chiffrées)
  • Les recommandations du HLG (High Level Group) incluent la création de plateformes de partage d’outils et de savoir-faire comme SIRIUS, la nécessité d’inclure aussi les fabricants de matériel dans le périmètre afin d’établir un réseau avec les forces de l’ordre, la mise en place d’une structure permanente réunissant des experts en technologie, vie privée, normalisation et sécurité pour promouvoir le « lawful access by design », l’idée que l’on ne devrait aider les forces de l’ordre qu’à définir leurs besoins sans imposer de solutions concrètes afin que les entreprises privées puissent permettre un accès légal aux données sans compromettre la sécurité, ainsi que la création d’un groupe d’étude examinant la faisabilité technique d’une obligation d’accès aux données chiffrées ; le tout est perçu comme une tentative d’élargissement généralisé de la surveillance et d’imposition de portes dérobées logicielles et matérielles, avec recommandation de lire le PDF associé
• Position sceptique face à l’idée qu’on puisse accéder à des données chiffrées tout en les gardant sûres, alors que cette affirmation est intrinsèquement contradictoire, tout en continuant malgré tout à prétendre concilier « protection de la vie privée et accès légal »
• Rappel que l’UE repose sur des valeurs fondamentales telles que la dignité humaine, la liberté, la démocratie, l’égalité, l’État de droit et le respect des droits humains ; pourtant, certains estiment qu’elle continuera à faire la leçon à d’autres pays sur ces valeurs malgré un décalage avec la réalité
  • Il est possible que la Cour de justice de l’Union européenne juge illégales de telles règles de surveillance
  • Même avec tous leurs défauts, on peut se demander quels pays ou quelles organisations seraient réellement mieux placés pour faire la leçon aux autres sur ces valeurs, avec comparaison à la Russie, la Chine, l’Iran, etc.
  • C’est précisément parce que l’UE est censée être fondée sur ces valeurs que, si l’identité des auteurs de ce projet de surveillance venait à être révélée, la situation serait encore plus honteuse qu’attendu
• L’article connexe d’EDRi (lien) vaut la lecture ; après avoir récemment rédigé un travail universitaire sur le chat control, certains estiment qu’être simplement insatisfait des décisions de la Commission européenne ne suffit pas, et qu’il y a évidemment encore bien d’autres sujets à discuter
  • Pendant les discussions sur le chat control, Europol semblait déjà saliver à l’idée d’un élargissement de la régulation, en affirmant que tout le trafic est utile
  • La Commission européenne a défendu l’utilité des données fournies par Thorn sans véritable examen de leur fiabilité, n’a pas répondu aux demandes FOIA, et malgré une décision de mauvaise administration par le médiateur, la Commission est restée peu coopérative au nom de la protection des intérêts commerciaux ; les documents supplémentaires publiés n’apportent toujours aucune information substantielle sur la fiabilité du logiciel de Thorn, si bien que la confiance reste impossible
  • Certaines personnes d’Europol ont rejoint Thorn, et des violations des règles sur les conflits d’intérêts ont aussi été relevées au passage
    • Selon l’article « Going Dark expert group – EU’s surveillance forge » (lien), la Commission européenne continue de dissimuler la liste des participants aux réunions EUGoingDark, composées principalement de représentants de la police et des services de renseignement ; le Contrôleur européen de la protection des données (EDPS) n’y a qu’un statut d’observateur, les ONG ne peuvent pas participer aux réunions, les discussions sur la protection des données et les droits humains sont limitées, et il existerait un plan de promotion d’une surveillance ciblée pour influencer le Parlement européen
    • Malheureusement, le Danemark doit prendre la présidence du Conseil de l’UE, et joue un rôle moteur dans le chat control
    • À propos des doutes sur la fiabilité des documents de Thorn, des exemples historiques comme la Corée du Nord, la Chine et l’Union soviétique sont cités comme cas où le contrôle par la surveillance s’est montré efficace
• À travers l’expression « Secret democracy », regard cynique sur une démocratie qui se méfie de ses citoyens plutôt que d’être au service des citoyens, et supposition que cette attitude de secret correspond bien aux antécédents de von der Leyen, réputée efficace quand il s’agit d’enquêter sur les auteurs des propositions
• Interrogation sur l’existence, dans le passé ou à l’étranger, de précédents institutionnels empêchant de relancer indéfiniment des lois similaires après des échecs répétés ; proposition de garde-fous du type « interdiction de représenter après 4 tentatives » ou impossibilité de redéposer pendant 10 ans le cœur d’un texte rejeté
• Doute sur l’existence, où que ce soit dans le monde, d’un endroit épargné par cette poussée de surveillance orwellienne
  • Les citoyens de pays moins développés sont parfois plus libres, notamment parce que leurs gouvernements manquent d’infrastructures ou de pouvoir sur les multinationales pour imposer ce type de lois de surveillance
  • Dans Consciousness Explained, Dennett décrit deux paradigmes de surveillance, l’orwellien (distorsion a posteriori) et le stalinien (blocage a priori) ; certains craignent qu’aujourd’hui les deux dystopies puissent advenir simultanément, avec selon les pays un risque d’aggravation du modèle stalinien
  • Avec l’adoption des technologies des entreprises tech américaines, les circuits de surveillance sont déjà intégrés (lien connexe) ; Apple a par exemple reconnu avoir fourni aux gouvernements des données sur les notifications push
  • Tout en disant ne pas apprécier l’autoritarisme à la Trump, certains introduisent malgré tout des dispositifs autoritaires en suivant une trajectoire parallèle plutôt qu’opposée
  • Avis selon lequel la concentration extrême du capital a favorisé l’émergence de cette société de surveillance
• La Commission européenne refuse de révéler le véritable coordinateur de la proposition de surveillance de masse, ce qui équivaut de fait à la fin de la vie privée en ligne pour les citoyens
  • À la question de savoir pourquoi les citoyens veulent de la vie privée, il est souligné que la Commission européenne souhaite elle aussi garder secrètes diverses activités, ce qui procède au fond de la même motivation
• Interrogation sur la manière dont cette proposition de surveillance s’articulera avec d’autres projets comme l’EU Digital Identity Wallet (lien) prévu pour 2026 et l’EU Age Verification (lien)
  • Ces systèmes sont complémentaires : les grands sites web et applications devront proposer des fonctions obligatoires de vérification de l’âge, l’identité en ligne sera liée à l’identité réelle, et la surveillance étatique fera disparaître vie privée et anonymat
• Face à l’étonnement suscité par la montée de l’extrême droite, attitude optimiste selon laquelle elle finira par perdre de sa force, comme dans le cas de Geert aux Pays-Bas
  • Il est vrai que l’usage d’outils de surveillance par des extrémistes est dangereux, mais le désir de surveiller la population existe sur l’ensemble du spectre politique ; exemple donné du D’66 néerlandais (parti centriste-progressiste), qui avait soutenu une vaste loi de surveillance au bénéfice des services de renseignement
  • En Norvège, les grands partis (Arbeiderpartiet/Høyre) poussent une restriction d’âge imposant un login national BankID pour accéder aux réseaux sociaux, ce qui porte atteinte à la vie privée en ligne ; ils avaient aussi soutenu en 2011 une loi autorisant l’État à conserver pendant six mois l’ensemble du trafic Internet international, montrant qu’aucun parti ne semble vraiment vouloir protéger les communications privées
  • À la question de savoir si Ursula von der Leyen est d’extrême droite, il est rappelé que ce groupe de surveillance agit en réalité sous sa direction et celle de sa Commission, et que la décision de ne pas publier la liste des membres vient également de la Commission
  • Il est reproché au centre politique de ne pas prendre suffisamment en compte le risque qu’en pratique ses renforcements d’outils servent ensuite à un gouvernement d’extrême droite
  • Certains ne pensent pas que l’extrême droite soit à l’origine de ces politiques de surveillance ; elle est plutôt généralement anti-UE, tandis que ces mesures viseraient surtout à renforcer le pouvoir de l’establishment centriste / néolibéral, l’extrême droite pouvant ensuite s’en servir comme arme d’attaque
• Recommandation, pour les citoyens de l’UE, de contacter directement leurs représentants pour protester
  • Expérience concrète selon laquelle, même en contactant des responsables politiques néerlandais, on n’obtient ni réponse, ni contact réel, ni véritable échange ; les responsables politiques se rendent eux-mêmes difficiles d’accès
  • Tentative de contact avec des eurodéputés danois, sans même recevoir de réponse
  • Réalité selon laquelle les représentants se soucient moins des citoyens que ceux-ci ne l’imaginent
  • Après avoir contacté des eurodéputés au sujet de la directive sur le droit d’auteur, certains n’ont entendu que la reprise du discours de la Commission européenne ; le caractère représentatif du Parlement européen serait affaibli et indirect, et seules des personnes non élues de la Commission ou du Conseil peuvent initier de nouvelles lois ; même si le Parlement s’y oppose, la Commission peut simplement changer l’étiquette du texte et le soumettre à nouveau au vote, les eurodéputés se conformant pour la plupart au système actuel
  • Même en envoyant un e-mail, ils s’en amuseront sans doute ; quant à espérer qu’ils répondent au téléphone, cela semble hors de question