Grand bal des hypocrites autour des révélations sur le scandale des écoutes de la NSA. Au lieu de jouer aux offensés en public, comme le fait aussi la Commission de la
protection des données (CNPD), il serait temps de revoir les bases.

Doivent répondre à une pression internationale: les trois membres du collège de la CNPD.

La seule chose vraiment étonnante provoquée par les révélations du « Whistlebower » Edward Snowden, c’est l’indignation feinte des politiciens de tout rang et leur comportement très inconséquent. La médaille dans cet exercice d’excès d’hypocrisie revient sans doute au président français François Hollande. Après avoir demandé publiquement que cet espionnage devrait cesser immédiatement – on lui avait probablement conseillé de mimer l’homme fort – voilà qu’il joue les sous-fifres vis-à-vis du « Big Brother » américain en interdisant de survol son homologue bolivien, sur le fonds d’un simple ragot, comme quoi Edward Snowden aurait pu se trouver dans l’avion d’Evo Morales. S’il est difficile de faire plus minable que Hollande, les autres politiciens ne sont pas en reste, comme le démontre la petite phrase assassine « Nous ne sommes plus dans la guerre froide » d’Angela Merkel, ou le « Il n’y a plus de diplomatie » de notre ministre de les Affaires étrangères Jean Asselborn. Mais il faut savoir que tout ce beau monde indigné souffre d’une mémoire courte. Depuis les années 1970 déjà, on sait que les Américains espionnent tout et tout le monde, grâce à leur programme à échelle mondiale, baptisé « Echelon ». Depuis, les programmes d’espionnages n’ont fait que se succéder. Avec comme seule différence que depuis le 11 septembre 2001, la plupart d’entre eux ont été avalisés par les Européens au nom de la sacro-sainte croisade contre le terrorisme.

Et avec la numérisation croissante de pans entiers de la vie publique, les possibilités d’espionnage massif deviennent presque infinies. En même temps, celles et ceux censés contrer, ou du moins contrôler le monde numérique, se retrouvent de plus en plus désoeuvrés. Ou pour le dire avec les mots de Gérard
Lommel, le président de la CNPD : « Nous devons cesser de prêcher la bonne parole, et commencer à nous activer sur le terrain. » En effet, le rapport annuel que la CNPD a présenté cette semaine, dans ses nouveaux bureaux à Belval, tient compte de l’évolution rapide de la situation. Une évolution qui risque de dépasser les capacités de la petite équipe de protecteurs des données. Surtout vu qu’ils font face à un phénomène nouveau : les interconnexions entre services de renseignement et les grandes firmes informatiques, réseaux sociaux, services de vidéophonie et services de courrier électronique au premier plan.

Le problème de la CNPD est et reste sa faible marge de manoeuvre. Ainsi, pour les 133 plaintes reçues l’année dernière, ils ne peuvent faire guère plus que de les faire suivre aux tribunaux et attendre : « Depuis 2002, nous avons eu moins de dix jurisprudences et encore la plus plupart d’entre elles se sont terminées avec le paiement d’un euro symbolique », admet Lommel. Et de regretter que la CNPD ne soit toujours pas habilitée à prendre des mesures immédiates, comme donner des amendes en cas de flagrant délit. Pourtant, Lommel se dit satisfait que sa commission fasse plus de contrôles depuis 2007, l’année où son personnel a été augmenté.

Entre-temps, la CNPD était surtout occupée à rédiger des avis sur des projets de lois et de conseiller des acteurs publics, comme l’agence e-Santé par exemple, ou privés, comme Arcelormittal, Volvo, Tango et d’autres. Car il faut savoir que les grandes sociétés disposent désormais de leur propre personnel en ce qui concerne la protection des données. Ce sont les « Binding Corporate Rules », des règles d’entreprise contraignantes – donc en d’autres termes, une privatisation de la protection des données. La CNPD ne fait que conseiller et contrôler ces règles, mais ne dispose pas vraiment d’une grande influence. Et cela dans un monde où l’évolution technique rend de plus en plus difficile le contrôle et même la législation sur la protection des données. Ainsi, au niveau européen, c’est le bordel, comme d’habitude : « Tandis que le conseil des ministres européens de la justice freine les obligations et les moyens de sanctions des autorités de protection des données et tend vers plus d’auto-contrôle des grandes entreprises, où le premier contrôle est effectué dans les conseils d’entreprises, la commission européenne essaie d‘?uvrer dans le sens contraire », constate Lommel, qui se félicite tout de même du travail du Conseil d’Etat, qui, selon lui, est très vigilant.

Arrêter de prêcher la bonne parole

Le président de la CNPD a aussi fait état de deux plaintes enregistrées récemment dans le cadre du scandale Prism, concernant deux grandes firmes internationales, dont le siège est au grand-duché : Microsoft et Skype, qui auraient, si on en croit les révélations d’Edward Snowden, donné accès à la NSA à leurs serveurs – et donc aussi à des données de citoyens européens. La plaignante est la plateforme « Europe vs Facebook », dont la base est établie à Vienne. Joint par le woxx, leur porte-parole, Max Schrems, confirme les deux plaintes et s’explique sur l’activité de sa plateforme : « Tout a commencé en 2012, quand j’ai voulu savoir de Facebook ce qui advenait de mes données que j’avais supprimées. C’est pourquoi on a envoyé des plaintes à l’autorité de protection des données irlandaise, qui a forcé Facebook de m’envoyer toutes les données qu’ils avaient sur moi. Le résultat a été probant : Ils avaient tout simplement tout conservé de mes données, ce qui était illégal. Depuis, l’intérêt des médias pour notre petite plateforme, qui n’est pas affiliée à un parti politique, n’a cessé de croître – comme notre équipe, qui comprend entre-temps même quelques juristes. »

Leur présence médiatique s’est encore accrue dans le cadre des scandales autour du programme Prism, quand beaucoup de journalistes ont voulu savoir de « Europe vs Facebook » comment une telle observation était possible dans le cadre légal européen. C’est pourquoi ils ont envoyé ces plaintes, à plusieurs autorités, dont la CNPD, pour leur demander de clarifier la situation. « Nous voulons savoir si oui ou non, le fait que des firmes comme Microsoft ou d’autres ont donné accès à la NSA, ou à d’autres services de renseignement, à leurs serveurs et donc à des données d’utilisateurs européens, est légal », explique Schrems, « J’ai entendu qu’en Allemagne, Peter Schaar, le responsable de la protection des données du Bund, a déjà demandé à Yahoo de s’expliquer sur base de notre intervention. »

L’autre aspect, et c’est là où, selon Schrems, le Luxembourg entre en jeu, est d’en savoir plus. « Au Etats-Unis, les firmes sont soumises à un `gag order‘ – l’obligation de ne rien dire sur d’éventuels transferts d’informations à des services de renseignement, mais cela n’existe pas en Europe. Donc, en théorie du moins, Microsoft Luxembourg n’est pas obligé de se taire sur de tels transferts. Et, comme nous avons pu le lire dans les lois luxembourgeoises, ne pas dire la vérité sur de tels passages d’informations à des tiers est passible d’un an de prison. Ce qui rend très excitant les suites que la CNPD va donner à nos plaintes. Car les firmes sont désormais prises dans l’étau entre droit européen et droit américain. »

Pour l’instant, la CNPD n’a fait qu’accuser réception de ces plaintes, sans préciser ce qu’elle en fera. Car beaucoup de responsabilité repose en ce moment sur les frêles épaules de cette petite commission. Et si elle en a le courage, elle pourrait même jouer un rôle sur le plan international – une conséquence de la politique de diversification économique, qui veut faire du Luxembourg une nouvelle Mecque de l’IT-Business. Reste à voir si les garde-fous que cette même politique s’est donnés sont à la hauteur.