Démocratie Réelle Maintenant des Indignés de Nîmes

Les majorités passent mais certaines choses ne changent pas. Le ministère de la défense de Jean-Yves Le Drian, par exemple, se refuse toujours à donner la moindre indication sur le contenu très controversé du contrat dit « open-bar » signé en 2009 sous le mandat de son prédécesseur Hervé Morin, et renouvelé au mois d'octobre dernier.

Cet accord cadre, passé sans appel d’offres dans des conditions opaques, prévoyait d’accorder le droit pour 185 500 postes de travail de piocher dans un catalogue de logiciels Microsoft en échange d’un montant forfaitaire s’élevant, à l’origine, à 19 millions d’euros par année d'utilisation. Un contrat accusé de plonger la France dans une situation de dépendance vis-à-vis du géant américain, et de mettre en danger la sécurité informatique de l’armée française. Les récentes révélations sur la collaboration des entreprises américaines avec les services de renseignements n’ont évidemment fait qu’aggraver ces inquiétudes.

« La décision de conduire le renouvellement du contrat cadre Microsoft est le fruit d'un choix raisonné », indique à Mediapart le ministère de la défense (voir l'intégralité des réponses sous l'onglet Prolonger). « Les réflexions ont débuté, en avril 2011, soit deux ans avant la fin du contrat. (…) Après avoir vérifié que les conditions d’exclusivité de la société Microsoft étaient toujours réunies, la direction des affaires juridiques a estimé que le ministère de la défense était fondé à engager de nouveau la passation d’un marché négocié sans publicité ni mise en concurrence », poursuit le service de presse de l’armée dans cette réponse écrite à nos questions. « Cette position a été confirmée, le 22 octobre 2012, par l’avis émis par la commission consultative des marchés publics. »

Il est cependant impossible de connaître les détails de l’accord, que ce soit le nombre de postes visés ou le montant global. C'est ainsi que l’association pour la promotion et la défense du logiciel libre April, qui a déjà obtenu un certain nombre de documents dans cette affaire, a demandé à l’armée la publication du contrat. N’ayant pas eu de réponse au bout d’un mois, et conformément à la législation sur la publication des documents d’intérêt public, l’association a donc décidé d’envoyer, hier, une demande officielle à la Commission d’accès aux documents administratifs.

Confrontée à une véritable omerta dans cette affaire, l’April a également décidé d’interpeller directement François Hollande dans une lettre ouverte publiée par Mediapart. « Monsieur le président de la République », écrit le président de l’association Lionel Allorge, « depuis plusieurs mois, les révélations sur l’espionnage généralisé de la population et des officiels français par les services secrets américains via la National Security Agency (NSA), à travers notamment son programme PRISM, ont montré combien il est vital pour les services de l’État français de conserver la maîtrise de leurs systèmes informatiques. » « Pourtant, dans ce contexte d’atteintes à la souveraineté, à l’indépendance nationale, aux principes fondateurs de notre République que sont la présomption d’innocence et le respect de la vie privée », poursuit l’April, « nous constatons que de nombreuses administrations passent des contrats d'exclusivité avec des entreprises internationales qui font partie de ce réseau d'espionnage de fait. »

Cela fait maintenant près de cinq années que ce contrat suscite interrogations, et surtout, critiques. Pour comprendre les tenants et aboutissants de cette affaire, il faut remonter à 2007. À cette époque, les différentes composantes de l’armée avaient déjà en grande partie recours à Microsoft, ainsi que, de manière marginale, à d’autres éditeurs de logiciels. Mais chaque service faisait ses achats de son côté, sans coordination globale. L’état-major décide de lancer un plan de centralisation et rationalisation des systèmes informatiques de l’armée.

Ce travail débute par la rédaction, par la direction générale des services d’information et de communication (DGSIC), d’un « guide pour la mise en place de partenariats avec éditeurs de logiciels ». Rendu le 20 juin 2007, ce document, qui liste et analyse les différents sous-traitants de l’Armée en matière informatique, fait une large place à Microsoft. On y apprend notamment que la société a déjà proposé « un partenariat global sur la base d’un contrat d’entreprise ». Mais, déjà, le rapport (qualifié de « Guide ») met en garde contre « l’extrême difficulté et le profond état de dépendance dans lesquels se trouvera le ministère au terme du contrat ». En conséquence, il recommande « de conduire une analyse de risque en fonction des scénarios envisageables ».

«La NSA introduit systématiquement des portes dérobées»

Suivant ces recommandations, la DGSIC mandate, le mois suivant, un comité de pilotage chargé d’étudier la proposition de Microsoft. Ce comité est composé de représentants de la DGSIC, de la DIRISI (Direction interarmées des réseaux d’infrastructure et des systèmes d’informations de la défense nationale) et de l’EMA (État-major des armées). À cette occasion, le directeur général de la DGSIC, Henri Serres, envoie, le 17 juillet, une note au chef d’état-major des armées annonçant la « centralisation des négociations avec la société Microsoft ». Le texte fait notamment référence au « Guide » publié le mois précédent. Mais il en fait une interprétation pour le moins personnelle. « Le projet de Guide (…), transmis en pièce jointe à la lettre en référence, souligne l’intérêt pour le ministère d’établir avec la société Microsoft une relation privilégiée. » Exit « l’extrême difficulté et le profond état de dépendance »...

Le comité de pilotage mis en place, composé de huit officiers et présidé par le directeur adjoint de la DGSIC Alain Dunaud, n’en décide pas moins de nommer un groupe de neuf experts à qui il confie la charge « de réaliser une analyse de la valeur du projet de contrat cadre Microsoft » et « de proposer une solution concrète de partenariat ».

Les conclusions des experts, rendues le 18 janvier 2008, sont particulièrement critiques. Le rapport liste toute une série de risques tels que « l’affaiblissement de la gouvernance », ou encore « une addiction aux technologies Microsoft ». Plus gênant, au paragraphe « Perte de la souveraineté nationale », les auteurs écrivent : « L’ensemble des produits américains doivent obtenir l’aval de la NSA pour être exporté. La NSA introduit systématiquement des portes dérobées ou "backdoors" dans les produits logiciels. Un système SIC reposant majoritairement sur des produits américains comme Microsoft serait vulnérable car susceptible d’être victime d’une intrusion de la NSA dans sa totalité. »

« Position dominante »

Ce rapport, réalisé par des techniciens chevronnés et utilisant une méthode d’évaluation reconnue dite « MAREVA », ne va pas plaire au comité de pilotage. Le 15 février, l’un de ses membres, Philippe Arnould, envoie une note à la DGSIC dans laquelle il qualifie les conclusions des experts de « partiales » et « difficilement vérifiables et exploitables ». « Pour se conformer aux orientations ministérielles », il préconise de « poursuivre la démarche de contractualisation avec la société Microsoft ».

Le 30 mai, Alain Dunaud diffuse une fiche résumant les réflexions du comité de pilotage. Celle-ci fait bien référence, de manière détaillée, au rapport des experts. Mais le président du comité de pilotage considère que, « compte tenu des opportunités entrevues (…) le bilan risques-opportunités est favorable à la conclusion du contrat ». Le même jour, le directeur de la DGSIC écrit au chef d’état-major des armées lui demandant de donner son feu vert aux négociations avec Microsoft.

Au mois d’avril 2008, la proposition du géant américain fuite dans la presse via le site PC INpact, alertant ainsi les associations de défense des logiciels libres. Malgré la polémique, les négociations se poursuivent et, le 24 février 2009, est signé en Irlande le fameux contrat « open-bar », sans appel d’offres. Celui-ci accorde pour une durée de quatre ans le droit d’utiliser toute une gamme de logiciels Microsoft en échange d’un montant forfaitaire de 100 euros hors taxes par poste, soit un montant total de près de 19 millions d’euros.

Au préalable, la commission des marchés publics avait, comme le prévoit la loi, été saisie. Or même celle-ci s’était inquiétée de la signature de ce contrat de partenariat, comme l’a révélé au mois de février 2013 le site PC INpact. Dans son avis, elle s’inquiétait notamment de plusieurs dispositions, comme un article permettant « l’ajout sans avenant de nouveaux produits, non spécifiés à ce jour ». Le rapporteur dénonçait, lui aussi, la situation de dépendance dans laquelle ce contrat plaçait le ministère de la défense. « Tout le monde sait bien ce qui se passe en pratique », écrit-il « et qui se répète dans bien d’autres domaines où un fournisseur est en position dominante : dans le cas présent les utilisateurs ont l’habitude des produits du fournisseur et rechignent à en changer, l’acheteur public est de toute façon obligé à terme d’acheter les versions successives des produits, les anciennes versions étant "arrêtées" à une date dépendante du bon vouloir du fournisseur. »

Comment expliquer que malgré ces différentes alertes, ce contrat ait finalement été validé en haut lieu ? Interrogé par Mediapart, le ministre de la défense de l’époque Hervé Morin affirme ne pas avoir été mis au courant de ces différents documents de travail. Le président du Nouveau centre se souvient cependant de la polémique, et des arguments avancés en faveur de la signature du contrat. « Il y avait tout d’abord un besoin indispensable de rationalisation. Les différents services de l’armée travaillaient souvent sur des sujets communs avec des systèmes qui n’étaient pas compatibles, et avec aucune cohérence. Nous avions l’obligation de mettre en place des systèmes transversaux qui fonctionnent pour tous. Ensuite, je me souviens qu’il y avait un impératif d’inter-opérabilité avec l’Otan. »

Ce dernier argument est effectivement le principal avancé par les défenseurs du partenariat avec Microsoft. Interrogé sur la reconduction du contrat, Patrick Bazin, directeur central de la Direction interarmées des réseaux d'infrastructure et des systèmes d'information (DIRISI), affirmait au mois d’avril au Canard enchaîné que l’armée française avait l’obligation de choisir la firme de Bill Gates dans la mesure où « l'OTAN a fait le choix des solutions Microsoft pour ses postes de travail ».

L’April avait alors dénoncé un argument « fallacieux ». « L'interopérabilité consiste à pouvoir fonctionner avec l'ensemble des systèmes, et non sous l'hégémonie d'un éditeur unique », écrivait alors l’association. « C’est n’importe quoi, au mieux une bêtise », confirme un des experts du groupe de travail de 2007, toujours dans l'armée, s’exprimant sous couvert de l’anonymat. « C’est un argument qui mélange tout, compatibilité et interopérabilité. Mais c’est un élément qu’effectivement, on entendait régulièrement. » Il est d’ailleurs intéressant de noter que l’Otan elle-même ne semble pas imposer Microsoft aux États membres, bien au contraire. Dans un document publié en 2008 consacré aux « standards d’interopérabilité », elle recommande même « d’utiliser des standards ouverts quand cela est possible lors des tentatives de standardisation d’un service ».

Selon plusieurs connaisseurs du dossier interrogés par Mediapart, l’une des raisons du traitement de faveur réservé à Microsoft s’expliquerait par la puissance de lobbying du géant américain. Microsoft dispose en effet, pour les différentes administrations, de correspondants chargés de défendre ses intérêts. Dans ce dossier, c’est Bernard Marty, chargé des ministères de la défense, de l’intérieur et de la justice et par ailleurs administrateur au Haut comité français pour la défense civile (une association 1901 qui « participe à la réflexion sur la doctrine, l'organisation et les techniques de notre pays en matière de sécurité sociétale »), qui s’est chargé d’assurer un lobbying. Un lobbying jugé agressif par certains des intervenants. « C’était l’homme chargé du lobby de Microsoft au sein du ministère », témoigne un des membres du groupe d’experts, « et il nous a mené une vie terrible durant cette période. Il n’a cessé de nous mettre des bâtons dans les roues ». Contacté à plusieurs reprises par mail, Bernard Marty n'a pas répondu à nos sollicitations.

« Bernard Marty n’a pas de rôle au sein du ministère de la défense », affirme de son côté le service de presse de l’Armée. « Représentant de la société Microsoft France auprès de grands comptes, M. Marty est reçu à l’instar des représentants des autres éditeurs de solutions propriétaires ou de solutions Open source, ainsi que de sociétés de services en logiciels "libres". » Le ministère, qui n’a répondu que par écrit à quelques-unes de nos questions, conteste par ailleurs le terme même de contrat « open-bar » arguant du fait qu’il existe « des quantités plafond dûment fixées pour chaque logiciel dans les marchés subséquents ». 

Concernant les risques évoqués, et notamment en termes de sécurité et de surveillance, le ministère explique être « bien conscient de la vulnérabilité croissante de l’État et de la société face à des attaques informatiques de plus en plus dangereuses. Cette vigilance vaut pour le risque potentiel de vulnérabilité attaché à l’utilisation de logiciels développés par un grand constructeur, qu’il s’agisse par exemple de Microsoft, de SAP ou d’Oracle. Le ministère fait preuve de la même lucidité concernant les logiciels libres, qui sont également vulnérables aux attaques ciblées et qui ne bénéficient pas des moyens que consacrent les grands éditeurs pour leur veille et leur sécurisation ». Il insiste également sur les procédures de sécurité mises en place. « Nous ne pouvons pas avoir confiance dans les logiciels qui sont déployés sur nos machines, ni probablement dans les équipements eux-mêmes, hormis bien entendu dans les logiciels et équipements gouvernementaux », reconnaît-il. Ainsi, par exemple, « dès le niveau "confidentiel défense", il n’existe aucune connexion avec l’extérieur, ce qui limite très fortement les risques d’attaques ».

Enfin, concernant l’avenir, il annonce que, « dès 2014, soit trois ans avant la fin du nouveau marché, la DGSIC pilotera des études afin de statuer sur la poursuite ou non de la stratégie actuelle vis-à-vis de l’éditeur Microsoft. Ces études analyseront, en particulier, les opportunités nouvelles qui pourraient émerger des évolutions technologiques et de l’offre de services interministérielle ».

En revanche, le ministère ne répond pas aux questions centrales entourant la conclusion du contrat en 2009 ni à celle de savoir pourquoi les différents rapports d’experts ont été soit ignorés soit dénaturés. « Une chose est sûre, c’est que les experts n’ont pas été assez écoutés », reconnaît ainsi aujourd’hui un des acteurs de ces négociations. « Je suis un militaire. Et je dois dire que je ne suis pas très fier de mon pays », poursuit-il. « J’aurais pu accepter beaucoup de choses, mais à partir du moment où on m’explique pourquoi. Là, nous n’avons jamais eu de réponse. La devise pour laquelle nous nous battons, et pour laquelle certains d’entre nous ont versé leur sang, c’est Liberté, égalité, fraternité. Dans ce dossier, nous avons bradé notre liberté, nous avons trahi notre pays. Et encore aujourd’hui, je suis incapable de vous dire pourquoi… »

Lire aussi

• Les mails des eurodéputés ont été piratés par un hacker

  Par Jérôme Hourdeaux

• L'Union européenne et Microsoft : vingt ans de dépendance aveugle

  Par Jérôme Hourdeaux

• Surveillance électronique: le Parlement inquiète

  Par Jérôme Hourdeaux et Louise Fessard

• «Tous surveillés !» : retour sur nos enquêtes

  Par La rédaction de Mediapart

Soudain, le gouvernement américain a accéléré. Alors que la crise financière a commencé depuis plus de six ans, que les discussions sur les nouvelles régulations financières – dites lois Volcker – s’éternisent depuis plus de trois ans, il n’y avait brusquement plus de temps à perdre : les textes sur la nouvelle réglementation bancaire devaient absolument être adoptés avant la fin de l’année.

Dans la précipitation, les cinq autorités chargées de contrôler le secteur bancaire et financier – dont la Réserve fédérale (FED), la Securities and exchange commission (SEC), la Commodity futures trading commission (CFTC) – ont rendu leur copie, mardi. Un texte de plus de 800 pages qui devait être adopté dans la foulée par le Sénat.

Au milieu des milliers de dispositions et de procédures retenues, quelques questions s’imposent : quelles leçons ont été retenues de la crise ? Les banquiers et les financiers vont-ils être tenus responsables de leurs actes ? Le système financier va-t-il être moins vulnérable ?

Frappé par le déferlement de la crise financière qui avait menacé d’engloutir tout en 2007-2008, l’ancien président de la Réserve fédérale, Paul Volcker, avait tiré un avis tranché sur les événements : le système financier mondial avait un besoin urgent de retrouver une stabilité afin de permettre le développement de l’économie. Et la seule façon pour y parvenir était de revenir à une séparation stricte entre les banques de détail et les banques d’investissement, comme au temps du Glass-Steagall Act, afin d’échapper au chantage des banques sur les États et l’économie, au nom du too big to fail.

Les milliers de contre-propositions avancées par les banques et leurs avocats, les milliers d’heures de lobbying auprès des élus de tout bord – le monde bancaire figure en tête des donateurs des élus américains – , des entreprises et autres groupes d’influence, les centaines d’amendements présentés jusqu’à la dernière minute ont eu raison des idées de Paul Volcker, un moment conseiller économique de Barack Obama.

Bien que les grandes banques de Wall Street comme Goldman Sachs, JP Morgan ou Citi continuent à dénoncer une loi qui les assassine, il ne reste plus grand chose de la volonté de réforme de l’ancien président de la Réserve fédérale dans le texte soumis au Sénat américain. Comme la France, le gouvernement américain est en train de rater sa réforme bancaire. La grande loi de régulation du monde bancaire s’est transformée en un texte confus, reposant sur le bon vouloir des banquiers et la vigilance des régulateurs.

Officiellement, l’activité de trading pour compte propre est désormais interdite aux banques. Mais les banquiers de Wall Street n’ont pas manqué de mettre en avant la nécessité d’offrir à leurs clients tous les services dont ils avaient besoin, d’assurer les contreparties sur tous les marchés, de leur proposer des couvertures sur les risques. Ils ont fini par obtenir les « flexibilités » qu’ils demandaient.

Soulignant combien ils étaient nécessaires aux États pour acheter leurs dettes, ils ont d’abord obtenu de pouvoir conserver leur activité de trading pour compte propre sur le marché des obligations souveraines, sans restriction pour les titres américains et avec un peu plus d’encadrement pour les autres.

Le reste a suivi. À l’avenir, les banques pourront conserver leurs activités de market making (de tenue de marché), acheter et vendre des actions, des obligations, au nom de leurs clients. Elles pourront aussi continuer à offrir des produits de couverture, des dérivés, proposer des contreparties, à la condition, précise la loi, qu’elles démontrent par des tests indépendants, que leurs portefeuilles de couvertures et de dérivés permettent « de réduire ou d’atténuer significativement un ou plusieurs risques identifiés ».

La ligne de partage entre ces activités et celles de trading pour compte propre est bien mince. Comment faire la différence ? Tout va reposer dans les mains des régulateurs et de leur interprétation des textes. Pour montrer qu’elles se conforment bien à la nouvelle législation, les banques devront prouver que leurs positions sont en adéquation avec la demande de leurs clients. Chaque année, les responsables bancaires devront fournir une attestation que leurs systèmes sont bien conformes aux règles instaurées.  

Officiellement, les banques de Wall Street ont déjà fermé une grande partie de leurs départements de trading pour compte propre, afin de montrer leur bonne volonté. Elles ne cachent pas leur soulagement, cependant, d’être parvenues à conserver leurs activités sur la tenue de marché. À voir les chiffres, on comprend : les cinq plus grandes banques de Wall Street ont réalisé un chiffre d’affaires de 44 milliards de dollars grâce à ces activités.

Cartel

Le rôle des hedge funds avait été mis en cause durant la crise. Les banques américaines n’auront plus le droit à l’avenir d’engager plus de 3 % de leurs capitaux dans les hedge funds, les fonds privés d’investissement ou les fonds liés aux matières premières. Anticipant ces restrictions, les grandes banques ont déjà commencé à réduire leurs positions.

Ce désengagement volontaire laisse toutefois perplexes nombre d’observateurs. Car au fur et à mesure que les autorités ont décidé de durcir les règles sur les marchés sous contrôle, des pans entiers de la finance ont couru se réfugier dans l’opacité des marchés de gré à gré, des sociétés écrans, des véhicules spéciaux. Cette finance de l’ombre fait peser des risques encore plus redoutables que les marchés contrôlés, car personne n’est capable d’en évaluer correctement ni la taille ni les positions.

Qui peut croire que les banques se tiennent à l’écart de ces structures opaques ? Qui imagine qu’elles renoncent à la spéculation pour leur seul profit ? Là encore, les chiffres parlent d’eux-mêmes. La crise financière n’est plus qu’un mauvais souvenir pour les banques. Elles enregistrent des profits records, avec la complicité des banques centrales. Les 85 milliards de dollars déversés chaque mois par la Réserve fédérale sont essentiellement captés par les banques et servent essentiellement à alimenter leurs spéculations sur tous les actifs disponibles – actions, obligations, matières premières, immobilier. La déconnexion de ces marchés avec la réalité économique est devenue si grande que certains prédisent l’éclatement de ces bulles, avec encore plus de dégâts qu’en 2008. Et cette fois encore, les financiers risquent de ne pas en être comptables.

« Aucun banquier n’est allé en prison », s’était étonné Charles Ferguson, l’auteur d’Inside Job. Sensibles aux critiques de l’opinion publique qui reproche cette impunité accordée aux banquiers, les concepteurs de la loi avaient imaginé un moment que les dirigeants des grandes banques apportent leur garantie personnelle sur la conformité des actions de leur établissement par rapport à la loi. L’émotion fut intense à Wall Street : les grands banquiers pourraient avoir à répondre de leurs décisions devant les tribunaux ! Pire : ils pourraient en être comptables sur leurs deniers personnels.

Inutile de dire que la profession a vite réagi pour enterrer une idée si séditieuse. La responsabilité des dirigeants va être strictement encadrée : les dirigeants et les administrateurs sont tenus responsables de la mise en place des procédures requises pour se conformer en tout point à la loi. Chaque année, le président de la banque devra attester par écrit de toutes les procédures sont respectées. Cela peut-il prévenir une faillite ? Sûrement pas. Mais cela permet de dégager la responsabilité des dirigeants. N’est-ce pas l’essentiel ?

Cette loi, assure le gouvernement américain, va permettre de rendre le système financier plus solide, d’éviter une nouvelle crise. La façon dont le monde bancaire a évolué depuis 2008 amène à en douter. Quelques grandes banques, comme Lehman Brothers, Merrill Lynch ou Bear Stearns ont disparu dans la tourmente. Mais les autres sont devenues plus grosses que jamais. Le too big to fail est toujours plus vrai.

Le système bancaire se retrouve aux mains d’un cartel d’une petite dizaine d’établissements tentaculaires, qui s'entendent à merveille. Scandale des subprimes, scandale du Libor, manipulation sur l’Euribor, fraude sur les changes, sur le pétrole, sur l’or : à chaque fois, les mêmes noms reviennent, une poignée de banques allant de JP Morgan à Goldman Sachs en passant par Barclays, Deutsche Bank, UBS et Société générale. Les régulateurs commencent à leur imposer des sanctions de plus en plus lourdes. Mais même l’amende de 13 milliards de dollars infligée à JP Morgan pour son rôle dans la vente de dérivés sur les subprimes semble avoir l’effet d’une mouche sur un éléphant.

Par peur des conséquences jugées imprévisibles, les États-Unis ont préféré laisser prospérer un système opaque. Si le gouvernement américain n’a pas osé, comment croire que les régulateurs auront les moyens de limiter le rôle des banques ou oseront leur imposer des sanctions vitales ? Ce mardi, Wall Street soufflait. Tout va bien pour les banques. Rien que pour elles.

Au détour du projet de loi sur la programmation militaire (LPM), le Parlement a entrepris d’encadrer et d’élargir l’accès des services de renseignements français aux données des opérateurs de communications électroniques, des fournisseurs d'accès à Internet et des hébergeurs de sites Web. Le texte a été définitivement adopté en deuxième lecture au Sénat ce 10 décembre, par 164 voix contre 146.

Dans un contexte marqué par les révélations d’Edward Snowden sur l’espionnage massif pratiqué par la NSA, il n’en fallait pas moins pour provoquer un déluge de réactions des acteurs de l’Internet, criant au « Prism français » (le programme de surveillance de la NSA)
et à la « dictature numérique ». N'hésitant pas à raconter, aussi, quelques sornettes. Le président PS de la commission des lois du Sénat, Jean-Pierre Sueur, et son homologue à l’Assemblée nationale, Jean-Jacques Urvoas, assurent eux au contraire que le texte renforce les garanties des citoyens.  

Les inquiétudes se focalisent sur l’article 13 du projet de loi. Remanié par un amendement du Sénat, ce dernier autorise les services de renseignements français à accéder aux fadettes (factures détaillées) et autres données de connexion des usagers, pour les mêmes motifs et dans les mêmes conditions que celles prévues pour les écoutes administratives depuis 1991. C’est-à-dire sur autorisation d’une personnalité qualifiée placée près du premier ministre et avec contrôle a posteriori d’une autorité administrative indépendante, la commission nationale de contrôle des interceptions de sécurité (CNCIS).

Il s’agit de rassembler et de clarifier deux régimes juridiques, l'un issu de la loi de 1991 sur le secret des correspondances, et l'autre d'une loi antiterroriste de 2006. Au passage, le texte légalise la géolocalisation en temps réel par les agents de renseignement, ce qui n’était pas jusqu’alors explicitement prévue dans la loi française. Mediapart décrypte les principales inquiétudes soulevées par le projet de loi.

• La LPM pérennise-t-elle et étend-elle un régime d’exception ?
  

La loi antiterroriste de 2006, prorogée à deux reprises, permet déjà à titre expérimental la collecte des données de connexion, mais uniquement dans le cadre de la prévention des actes terroristes. En 2011, les policiers et gendarmes habilités ont ainsi effectué 34 000 demandes de données aux opérateurs. Sans compter 197 000 autres demandes, pour la plupart d’identification d’un numéro ou d’un abonné, transmises, elles, dans le cadre de la loi de 1991.

Désormais, les agents du ministère de l’intérieur, de la défense et du budget (et non plus seulement policiers et gendarmes) y auront accès avec des motifs bien plus larges : pour sauvegarder des éléments essentiels du potentiel scientifique et économique de la France, assurer la sécurité nationale, prévenir la criminalité et la délinquance organisées, ou encore éviter la reconstitution de groupements dissous. À noter que cette liste n’a rien de nouveau. C’est celle appliquée depuis 1991 aux écoutes administratives. Ce type de formulation attrape-tout a par exemple permis aux RG de mettre sur écoute l’épicerie des militants de Tarnac en avril 2008.

Jérémie Zimmermann, porte-parole de l’association de défense des internautes La Quadrature du Net, note ainsi que la formule « potentiel scientifique et économique de la France » est « particulièrement vague » et « très inquiétante ». « Par exemple, un éco-activiste qui s’attaquerait à Areva entre-t-il dans ce cadre ? » s’interroge-t-il. Au vu des précédents, on peut craindre que oui...

• Plus besoin d’autorisation pour espionner le quidam ?

Comme pour les écoutes administratives, pour avoir accès aux fadettes, les services de renseignements devront d’abord obtenir le feu vert d’une personnalité qualifiée placée auprès du premier ministre. Et ils seront soumis a posteriori au contrôle de la commission nationale de contrôle des interceptions de sécurité (CNCIS), qui peut « recommander » l’interruption d’une géolocalisation par exemple. Dans les faits, la CNCIS a même pris l’habitude de donner a priori son avis sur les demandes d’écoutes.

« On accroît les garanties pour les fadettes, assure Jean-Pierre Sueur, président (PS) de la commission des lois du Sénat. Il faudra une autorisation du premier ministre et non plus du ministre de l’intérieur. Et pour la géolocalisation en temps réel, c'est encore plus strict, il faudra une demande écrite et motivée des ministres concernés et une réponse écrite du premier ministre. » Jusqu’alors, la DCRI pratiquait déjà les géolocalisations en temps réel, au prix d’un bricolage juridique très incertain. « Faute de texte, on avait calqué la pratique des géolocalisations sur celle des interceptions téléphoniques, explique une source. Mais la CNCIS en a eu marre. Là, on arrête les conneries, on fait un outil spécifique. » « La CNCIS était au courant, mais c’était toléré au motif que l’outil était utile. Nous avions demandé au législateur de trouver un cadre légal », reconnaît le député (PS) Jean-Jacques Urvoas, l’un des deux parlementaires membres de la CNCIS.

• Des autorités directement branchées « sur sollicitation du réseau » et en « temps réel » ?
  

La disposition la plus controversée, contenue dans l’article 13 du projet de loi, prévoit de permettre la « sollicitation du réseau en temps réel » pendant une durée renouvelable de 30 jours. À l’origine, cette mesure, introduite via un amendement parlementaire, était destinée à permettre la géolocalisation des téléphones. Celle-ci « nécessite en effet l’envoi de requêtes volontaires récurrentes obligeant le terminal de l’utilisateur à se localiser », expliquait ainsi l’exposé des motifs de l'amendement , déposé par le sénateur (UMP) Jacques Hyest.

« Le dialogue technique entre un téléphone mobile et le réseau est permanent, mais si vous voulez avoir des infos plus fréquentes, le réseau doit le chatouiller pour qu’il réponde, précise un spécialiste. Chaque opérateur a une plateforme nationale pour les géolocalisations en temps réel. »

Mais le texte finalement soumis au vote ne comporte aucune référence explicite à la géolocalisation, laissant craindre une application à tout type de réseau, y compris internet et à tout type de données. « Le problème, c’est que ce terme de "sollicitation du réseau" "en temps réel", techniquement, ne veut rien dire, s’inquiète Jérémie Zimmermann. On peut très bien imaginer l’installation de sondes et de boîtes noires en amont des réseaux pour intercepter le trafic. Or, avec ces technologies, pour filtrer et cibler un utilisateur, on est obligé d’intercepter tout le trafic pour après faire le tri. Et dans ce cas, il n’y a même plus besoin de demander l’autorisation systématique des opérateurs, car il s’agit d’un dispositif permanent. »

Cette notion « est tellement floue qu’elle donne carte blanche à une interconnexion sans filet, ce qui serait intrusif », a également souligné Lionel Tardy, député (UMP) et informaticien, lors des débats. Jean-Pierre Urvoas, membre de la CNCIS, a lui-même du mal à définir cette mesure. « Je n’en sais rien, ça a été écrit au Sénat », reconnaît-il tout en affirmant qu’il s’agit de légaliser une pratique déjà couramment utilisée par les services de renseignements.

• Des activités de renseignements sans contrôle judiciaire ?
  

« Cette loi, c’est le plus grand coup porté au fonctionnement de la démocratie depuis les lois d’exceptions pendant la guerre d’Algérie. Il n’y a plus de pouvoir du juge », a prétendu dans Les Échos Gilles Babinet, qui porte à Bruxelles la voix numérique de la France. Il semble donc découvrir la quasi-absence de droit de regard des juges français sur les activités des services de renseignements.

C'est un vieux débat. En matière de renseignements, les écoutes ne sont pas contrôlées par une autorité judiciaire, mais par une autorité administrative indépendante, la CNCIS. « Le monde judiciaire et le monde du renseignement apparaissent, au premier abord, inconciliables, justifiait Jean-Jacques Urvoas dans son rapport sur le renseignement de mai 2013. Alors que le premier repose sur une exigence de transparence, le second attache naturellement un soin constant au secret de ses sources comme de ses opérations. » Le député assure qu’il « n’y a pas d’exemple de défaillance de la CNCIS ». Mais impossible de le vérifier. Car lorsque les juges tentent de s’intéresser de trop près aux activités des services de renseignements français, ils se heurtent au mur du secret défense comme dans l’affaire de Tarnac ou encore l’affaire Karachi.

Pour Jérémie Zimmermann, « la seule façon d’encadrer les écoutes, c’est de les placer sous le contrôle de l’autorité judiciaire, sauf cas exceptionnels. Et non faire l’inverse, c’est-à-dire prendre un dispositif d’exception pour l’étendre à tous les citoyens ». À défaut d'instaurer un contrôle judiciaire, le projet de LPM prévoit de renforcer les pouvoirs de contrôle de la délégation parlementaire au renseignement (DPR), qui était jusqu'alors une coquille vide.

• Un véritable droit de « e-perquisition » ?
  

Parmi les autres inquiétudes figure un autre alinéa de l’article 13, prévoyant d’autoriser la collecte « des informations et documents traités ou conservés » non seulement par les opérateurs mais également auprès des acteurs du numérique couverts par la loi pour la confiance dans l’économie numérique (LCEN). Pour les pourfendeurs du texte, cela pourrait signifier que, désormais, fournisseurs de services, plateformes diverses et hébergeurs pourraient se voir dans l’obligation de donner l’accès à toutes les informations et documents stockés sur leurs serveurs. « Cette formulation est encore une fois tellement vague qu’on peut comprendre qu’elle vise le contenu des communications, ou tout ce qui est contenu sur un serveur de cloud par exemple, ou encore les Google docs ou autres », s’insurge Jérémie Zimmermann qui y voit « un véritable droit de "e-perquisition" ».

• La création d’un « Prism » à la française ?
  

« On est en train de créer notre petit Prism à nous, le système de surveillance géant mis au point aux États-Unis au cours des dernières années », lance dans Le Point Benjamin Bayart, président de la Fédération des fournisseurs d'accès à Internet associatifs (FFDN). « Cette architecture est totalement similaire aux différents programmes dévoilés par Edward Snowden », assure lui aussi Jérémie Zimmermann. « On critique Prism, et là, on va bien plus loin, s'inquiète également Gilles Babinet, dans Les Échos. On institue l’état de surveillance permanent. »

Ce risque est évacué d’un revers de la main par un bon connaisseur du renseignement militaire : « On est partis sur une boîte à fantasmes, alors que ce n'est pas du tout du tapissage. L’idée de cribler la société française quand on connaît les moyens des services français, ça fait rire. » Un industriel, habitué à travailler avec les policiers et gendarmes français, s’agace lui aussi : « Tout le monde ne peut pas être suivi en temps réel ! Il faut des effectifs pour traiter ces données. Les garde-fous, ce sont les effectifs pour exploiter les données. » Mais un ancien policier de feu la DST (direction de la surveillance du territoire) aujourd'hui retraité, Patrick Cahez, souligne que c'est la logique de stockage des données qui est inquiétante. « C'est un système de préconstitution de preuves : on amasse tout ce qu'on peut et le jour où on identifie une personne suspecte, on regarde tous les renseignements qu'on a sur elle », indique-t-il.

• Pourquoi une telle précipitation du gouvernement français ?

Il n’y avait a priori pas d’urgence à légiférer, puisque le dispositif expérimental prévu par la loi antiterroriste n’expire que le 31 décembre 2015. Et que le gouvernement a prévu d’ici 2015 une grande loi sur le renseignement. « On est toujours sur l’engagement pris fin 2012 par Manuel Valls d’unifier les deux systèmes avant 2015 (celui de la loi de 1991 et celui de 2006, ndlr) », justifie Jean-Jacques Urvoas. Le gouvernement craignait également une condamnation de la Cour européenne des droits de l’homme. Le 2 novembre 2010, dans une affaire de tentatives de meurtres et d’attentats à la bombe en Allemagne, la CEDH avait estimé que la géolocalisation en temps réel pouvait se justifier, mais uniquement si elle était expressément prévue dans la loi et susceptible d'un contrôle judiciaire.

Benoît Thieulin, président du conseil national du numérique, regrette la méthode choisie par le gouvernement : « Il est tout d’abord très difficile d’avoir un débat serein dans ces conditions. Ensuite, ce sujet dépasse selon moi très largement le cadre de la LPM. Nous avons basculé dans une nouvelle société où la surveillance peut être potentiellement généralisée. Cela menace l’un des fondements de l’économie numérique : la confiance. » Pour le président du CNNum, qui s’est auto-saisi du sujet, il faut « une concertation très large entre l’État, la société civile et les entreprises, et arrêter de compartimenter les sujets ».

• Pourquoi une réaction aussi forte des acteurs de l’Internet ?

La fronde a d’abord été menée par les industriels de l’internet, rejoints par le Medef, qui disent craindre de perdre la confiance de leurs clients. « Après les révélations sur Prism, l’Europe était vue comme un îlot protecteur pour les données. Là, on autorise une entrée dans les systèmes d’information de manière administrative. Cela signe la perte d’un avantage compétitif important », s’insurge dans Les Échos Jamel Labed, un industriel président de l’AFDEL, le syndicat des logiciels. C’est un communiqué de l'Association des sites Internet communautaires (Asic), un lobby qui regroupe notamment Google, Facebook, Microsoft, Yahoo, qui, le 21 novembre 2013, a mis le feu aux poudres, alors que le texte était débattu depuis un mois et demi.

Cela ne manque pas de faire sourire Jean-Jacques Urvoas : « Ils font preuve d’une très grande tartufferie. Se présenter comme les parangons de la protection des libertés individuelles, c’est balèze, quand on sait les aspirateurs à données qu’ils sont. » Le 27 septembre 2013, la Commission nationale de l'informatique et des libertés (Cnil) avait d’ailleurs mis en demeure Google de se conformer à la loi informatique et libertés. « Ils ont voulu se refaire une virginité », estime une source parlementaire, qui assure que l’Asic n’a jamais demandé à être reçue par les parlementaires.

«Ce texte accroît les garanties et les contrôles, c'est bizarre de se faire accuser du contraire surtout par les majors de l’internet qui font commerce de milliards de données et qui coopèrent avec la NSA », s’agace de son côté Jean-Pierre Sueur, étonné de l’« affolement » général.

Mais les défenseurs des libertés, nettement moins suspects d’agenda commercial caché, ont vite pris le relais. D’autant plus nombreux que « la liste des cibles potentielles a été étendue non plus seulement aux fournisseurs d’accès à internet, mais également à tous les fournisseurs de services et hébergeurs, explique Jérémie Zimmermann. C’est bien pour cela qu’il y a une telle opposition de la part des représentants de l’industrie du numérique qui craignent la mise en place d’un dispositif semblable à Prism ».

« Dans le débat français, il peut y avoir, effectivement, une certaine hypocrisie de certains acteurs qui essayent de se refaire une virginité à peu de frais, confirme Benoît Thieulin. Mais, concernant les grandes plateformes, celles-ci sont en réalité très ennuyées par la situation car, en réalité, elles ont été contraintes par le Patriot Act, et forcées par la NSA, à collaborer. »