Le RGPD n’a servi à rien : la vie privée dans l’UE touche à sa fin avec la surveillance des chats

• Le RGPD a bien été introduit, mais il n’a eu aucun effet concret sur la protection de la vie privée dans l’UE
• La surveillance des communications en ligne en Europe est mise en œuvre via la politique de chat control
• Avec l’affaiblissement de la vie privée, l’adoption de technologies de surveillance progresse rapidement
• La priorité se déplace de la protection des données des utilisateurs vers le contrôle d’Internet par les gouvernements
• En conséquence, les inquiétudes concernant le recul de la vie privée augmentent dans le secteur technologique européen et les startups

---

Les limites du RGPD et l’introduction de la politique de surveillance des chats

• L’UE a mis en œuvre le RGPD (règlement sur la protection des données) en promettant de protéger la vie privée, mais son effet réel sur la protection de la vie privée en ligne reste limité
• Une politique récemment introduite, appelée chat control, étend la surveillance étatique du contenu des principaux services en ligne et des conversations sur les messageries en Europe
• Cette politique a été promue au nom de l’intérêt général, notamment de la protection de l’enfance, mais elle conduit à une surveillance massive de l’information, comme l’analyse des messages de tous les utilisateurs

Renforcement de la surveillance et impact sur la vie privée

• Avec la politique de chat control, des solutions de surveillance et de filtrage automatique basé sur l’IA sont appliquées, et même les messages privés entre individus sont inclus dans le périmètre d’analyse
• Contrairement au cadre juridique initialement conçu pour protéger les données, on observe un affaiblissement de la protection de la vie privée au nom de la sécurité publique
• En conséquence, les entreprises privées et les startups sont elles aussi contraintes de modifier l’architecture de leurs services et de respecter de nouvelles exigences de conformité légale

Les inquiétudes du secteur technologique européen et des startups

• Les atteintes à la vie privée en ligne et le renforcement de la surveillance ont aussi un impact de long terme sur l’environnement d’innovation et la compétitivité de l’écosystème startup en Europe
• De nombreuses entreprises font face à une baisse de la confiance des clients et à une charge accrue liée à la gestion des données
• En fin de compte, le débat sur l’équilibre entre protection des données personnelles et contrôle gouvernemental s’impose comme un enjeu central du secteur IT

[GN⁺]

Avis Hacker News

• Quand quelqu’un dit qu’il utilise Signal parce qu’il n’a rien à cacher en privé, je lui demande toujours de déverrouiller son téléphone et de me le donner. Même en faisant cette blague, beaucoup de gens ne comprennent pas bien. (Article lié)

  • Cette logique est erronée. Les gens ne font pas confiance à l’État de la même manière qu’ils se font confiance entre eux. Il y a une raison pour laquelle le vote est secret. Si l’État peut prédire à plus de 80 % les tendances de vote de la population à partir des discussions et des réseaux sociaux, savoir à l’avance quand un nouveau parti va se former, connaître les secrets de vos amis pour les divulguer à la presse, ou poursuivre quelqu’un sous des chefs d’accusation flous, alors nous perdons toute chance de changer réellement le gouvernement. Le savoir, c’est le pouvoir. Demandez-vous si l’équilibre actuel des pouvoirs vous semble vraiment trop favorable aux individus
  • Moi, je sors complètement du cadre personnel et j’invite plutôt les gens à imaginer que le pouvoir qu’ils craignent le plus sache d’avance toutes les coordinations secrètes. Je n’ai moi-même presque rien à cacher, mais je souhaite ardemment que quelqu’un puisse avoir des secrets. C’est seulement ainsi que nous pouvons résister plus efficacement aux abus de pouvoir
  • S’ils vous tendent vraiment leur téléphone, je me demande ce que vous comptez faire ensuite. Fouiller leurs photos ou leurs conversations avec leur partenaire, et essayer d’y trouver quelque chose pour en rire ? J’ai du mal à voir comment cette situation se poursuivrait dans la vraie vie

• Si on veut introduire une telle politique, il faudrait d’abord l’expérimenter pendant cinq ans sur tous les responsables politiques et les fonctionnaires, ainsi que sur leurs familles, y compris leurs enfants. Il faudrait aussi permettre aux chercheurs en sécurité de pirater librement le système, sans sanctions pénales. Tous les accès aux données devraient être inscrits sous pseudonyme dans une blockchain publique. Au bout de cinq ans, il faudrait publier les statistiques et les rapports, avec des journaux détaillés indiquant de combien la criminalité a reculé et qui a été sanctionné, et pourquoi. Ensuite seulement, la population devrait décider par référendum si ce système doit être appliqué

  • Le problème de cette proposition, c’est que les responsables politiques ne changeraient pas de comportement. Le politicien optimal est un réaliste absolu sans morale, et il n’y a pas vraiment d’alternative pour réussir dans une démocratie fédérale. Il faut savoir quels groupes de pression poussent activement Chat Control. Les médias devraient enquêter sur leurs scandales et les faire connaître largement
  • Je pense que ce genre de méthode ne traite personne équitablement. Une surveillance totale de ce type finit par exposer tous les secrets, qu’ils soient illégaux ou légaux, et cause de graves dégâts. À partir du moment où l’on autorise l’État à surveiller ses citoyens, cet État se transforme en quelque chose dont on préférerait qu’il n’existe pas. On ne peut rien attendre de bon d’un État de surveillance
  • Il y a une ironie dans le fait qu’avec un tel système, on aurait aussi pu voir les SMS entre Ursula von der Leyen et Pfizer
  • Le vrai problème, c’est que l’objectif consistant à empêcher ou résoudre tous les crimes est en soi le pire scénario possible pour la liberté. Comme toute résistance devient impossible, il existe une probabilité non nulle que cela finisse en abus de pouvoir et en dictature. Quand on pense aux nombreuses révolutions et à l’histoire sanglante des résistances aux dictatures, ainsi qu’aux transitions vers la démocratie, qui ont impliqué tant de violence, de menaces et de sacrifices, il faut préserver le droit de résister à tout moment, et même l’existence d’espaces où l’on peut parler de manière organisée de violence et de haine. Des personnes mal intentionnées peuvent aussi exploiter cette liberté, mais c’est le prix à payer

• Je pense qu’il faudrait retirer le mot « chat » et ne garder que « Control ». Le projet de loi ChatControl actuellement discuté est tellement vague qu’il pourrait s’appliquer à tous les services permettant le partage ou la synchronisation en ligne. Chats, e-mails, partage de fichiers, listes de tâches, tout y passe

  • J’ai l’impression que ChatControl est le résultat de l’échec de l’UE à mettre en place, en douce, un système de surveillance de masse comparable à la NSA ou Echelon aux États-Unis. Comme pour les moteurs de recherche européens ou le cloud européen, ça a raté, et ils essaient maintenant de l’imposer ouvertement par la loi. J’espère que sa mise en œuvre sera concrètement inefficace. Nous ne vivons ni dans 1984 ni dans Le Meilleur des mondes, mais dans une dystopie façon Brazil, « version UE de 1985 »
  • D’un point de vue lexical, il y a déjà wiretap, mais certains proposent maintenant de parler de « wireless tap »

• Je me demande comment les gens des démocraties occidentales perçoivent ce phénomène. J’ai vécu dans un pays presque dictatorial, donc ce type de contrôle m’a toujours semblé normal. Mais je pensais que l’UE et les États-Unis étaient différents. Je ne comprends pas qu’il y ait si peu de réaction malgré la multiplication de ce genre d’actualités

  • Il existe une opposition assez forte de la part d’associations civiques, d’organisations de défense de la vie privée, des tribunaux, du Parlement européen, etc. Exemples de critiques
  • Je vis aux États-Unis et, moi aussi, je trouve cela aberrant. Avant, les communautés internet réagissaient bien plus vigoureusement à des réglementations beaucoup moins dystopiques. Aujourd’hui, même quand la situation empire, tout le monde semble apathique. Il y a moins de gens prêts à agir dès lors qu’un sacrifice est nécessaire, et moi-même je ne sais pas quoi faire. Il n’y a pas si longtemps, tout le monde s’emportait au sujet de SOPA ; maintenant, on a vraiment l’impression que tout le monde est devenu insensible
  • En Occident, on mobilise surtout l’opinion publique au nom de la « protection des enfants ». Pédophilie, drogue, suicide, automutilation, cyberharcèlement : les médias mettent en avant des cas horribles pour faire taire les objections
  • L’UE et les États-Unis sont clairement différents. La vie privée est surtout protégée via la conformité réglementaire et les poursuites civiles. Dans le cas d’une fuite de données ayant touché 300 millions de personnes, l’amende peut être de l’ordre de 0,25 dollar par dossier. En revanche, l’UE inflige des sanctions bien plus lourdes pour des violations des politiques d’entreprise, par exemple. L’illustration typique est l’amende de 1,2 milliard d’euros infligée par la DPC irlandaise à Facebook pour ses transferts de données entre l’UE et les États-Unis. Lien associé
  • Mon pays est sorti du communisme il y a à peine 35 ans. Parmi les gens que je connais, tout le monde s’oppose à cette politique. Les grands pays ont souvent essayé d’imposer une décision au nom de la majorité, mais on suit toujours le principe de l’unanimité, selon lequel tous les pays doivent être d’accord. Qu’un seul pays s’y oppose, et son adoption devient difficile

• J’ai récemment essayé I2P, et j’ai été vraiment impressionné par la conception et la qualité technique. C’est un superbe logiciel qui intègre pratiquement toutes les fonctions nécessaires à un réseau distribué. En pratique, à cause des effets de réseau, ce qui lui manque le plus aujourd’hui, c’est une communauté. Plus il y a de routeurs stables, plus le réseau devient rapide et fiable, mais pour l’instant il reste lent. Cela dit, je recommande d’y jeter un œil au moins une fois ; même sans intérêt particulier pour la sécurité ou l’anonymat, il y a des aspects très intéressants comme le hole punching ou l’attribution d’adresses globales via des clés publiques. Il fournit aussi une interface SAM et des bibliothèques pour l’intégrer à d’autres applications

  • Site officiel d’I2P
  • Cela fait plus de 20 ans que j’entends dire du bien d’I2P, mais je me demande si, à l’usage, il y a le même risque qu’avec un nœud Tor : que quelqu’un accède à des sites douteux et que les retombées me reviennent dessus
  • Grâce à ce commentaire, je me suis moi aussi mis à I2P. Mon routeur Raspberry Pi et plusieurs de mes serveurs sont maintenant des nœuds floodfill I2P
  • Je me demande plus précisément de quoi il s’agit ; pouvez-vous partager des liens à ce sujet ?

• Je me demandais s’il serait possible de créer une application de messagerie chiffrée sans serveur central. Un peu comme les liens magnet de BitTorrent : tout le monde partage la bande passante nécessaire au relais des messages, mais chacun ne peut voir que les messages qui le concernent. Avec mes connaissances assez limitées, cela me semblait faisable, et même ressembler à une future solution orientée vie privée. En cherchant, j’ai vu que Briar existe réellement

  • L’ancien Skype fonctionnait ainsi. Il y avait bien un serveur central, ou plutôt des supernodes, pour la découverte, mais les utilisateurs se connectaient directement entre eux pour discuter. Les clients lancés depuis longtemps et disposant de suffisamment de ressources pouvaient eux aussi devenir des supernodes
  • Delta Chat est, à mon avis, la meilleure appli ne nécessitant pas d’installation via le web, même si elle n’a pas de version web. Chatiwi semble être le seul service de chat chiffré e2e ne nécessitant aucune installation (pur JavaScript, donc on peut vérifier le code source et le trafic réseau), tandis que Briar et Tox exigent l’installation d’une application et ne fonctionnent pas sur iOS. Briar semble abandonné
  • Il existe des solutions à différents degrés de décentralisation. Briar est entièrement p2p. Matrix a des serveurs, mais selon un modèle fédéré où chaque serveur est administré séparément
  • Il est tout à fait possible de créer une messagerie chiffrée p2p sans nœud central, mais la rendre simple et populaire auprès du grand public est presque impossible. L’ajout d’amis, la synchronisation multi-appareils, les notifications push, tout cela est très difficile. À l’inverse, faire tourner quelque chose comme Matrix ou Jabber sur un serveur personnel, avec Wireguard pour le contrôle d’accès, est bien plus réaliste. Il existe même des applis qui automatisent la configuration (voir Amnezia Proxy). Ces serveurs ne sont pas exposés publiquement, donc le grand public ne peut pas y accéder, mais pour un petit groupe — famille, projet, etc. — cela suffit largement. En revanche, quelque chose à l’échelle de Facebook ou Twitter est irréaliste à cause de la friction UX
  • Si l’on essaie de résoudre un problème politique uniquement par une solution technique, la partie est déjà perdue

• Dans l’UE, on autorise la collecte de données personnelles comme le suivi des utilisateurs, mais on limite plus sévèrement le stockage de données anonymes dans des cookies locaux que l’utilisateur peut lui-même supprimer ou manipuler. Et on y ajoute toujours ces avertissements agaçants

  • L’UE pousse depuis longtemps à la surveillance d’internet, et j’ai l’impression que l’environnement politique est enfin devenu favorable. Vu la durée pendant laquelle ces justifications et ces raisonnements ont été entretenus, j’en déduis qu’il existe probablement un arrière-plan organisé depuis des décennies. Réduire cela à une simple « incompétence de l’UE » me paraît naïf
  • La logique de l’UE, c’est que seuls les gouvernements doivent pouvoir suivre les données personnelles ; la logique américaine, c’est que seules les grandes entreprises doivent le faire. Personnellement, je préfère encore que ce soit l’État. De toute façon, il achètera les données aux grandes entreprises, et celles-ci gagneront encore plus d’argent grâce à ces exigences
  • En réalité, l’UE autorise les cookies totalement anonymes ne contenant pas d’informations comme des identifiants uniques. Quand on parle de « données anonymisées », ce n’est souvent pas réellement le cas
  • Le GDPR n’est pas une loi qui régule les données anonymisées stockées dans des cookies locaux

• Dans mon pays (dont l’actuel Premier ministre est apprécié par l’UE), cette politique ne passera absolument pas. Le gouvernement minoritaire au pouvoir, le président et la population y sont tous opposés. Je pense qu’elle ne passera pas cette fois, et qu’elle sera rediscutée dans deux ans. En revanche, je ne comprends pas pourquoi il n’y a pas de grandes manifestations d’opposition au Danemark alors que ce genre de chose se produit

  • Il suffit de suivre l’argent. La récente flambée de la censure sur internet vient elle aussi du lobbying d’entreprises d’IA qui veulent vendre leurs nouveaux produits

• Je me demande qui se cache réellement derrière l’initiative ChatControl. Il me semble que le nom avait été noirci quelque part

  • La personne qui a fortement poussé le DSA est le très controversé Thierry Breton. Ancien CEO d’Atos, commissaire européen au marché intérieur, et aujourd’hui conseiller de Bank of America. Atos est le principal bénéficiaire de la construction de l’infrastructure de sécurité européenne. Mais en pratique, cela a aussi été adopté avec le soutien d’un large éventail de groupes au Parlement européen : chrétiens, socialistes, libéraux, écologistes, etc. Voir le détail du vote
  • Le Danemark et la Suède sont en tête
  • On dit souvent que la Suède est à l’origine du mouvement, mais en réalité c’est Thorn, une organisation caritative pilotée par la NSA, qui fait du lobbying depuis 2012
  • Informations officielles sur Thorn

• Je me demande dans quelle mesure la CJUE pourrait annuler un texte comme ChatControl. Même si le texte était adopté, toute personne affectée à titre privé pourrait en demander l’annulation devant la Cour, quelle que soit la position de la structure gouvernementale concernée. Il resterait donc encore une voie judiciaire

  • Je me demande si la CJUE a déjà rendu ce genre de décision auparavant