3.2. Cybersécurité et droits humains : les deux sont-ils compatibles ?

🎯Quelle est l’interaction entre les droits humains et la sécurité ?

🎯Une sécurité accrue implique-t-elle moins de vie privée et de liberté d’expression pour les utilisateurs d’Internet ?

🎯Comment relever les défis pressants en matière de droits de l’Internet ?

La cybersécurité est généralement abordée dans le contexte des systèmes nationaux ou internationaux, plutôt que comme un droit de l’individu. Dans le contexte des systèmes nationaux ou internationaux, la discussion sur les droits humains et la sécurité repose souvent une logique binaire : nous pouvons avoir soit les droits humains, soit la sécurité. Toutefois, nous pouvons nous demander s’il est possible d’équilibrer les deux.

Le domaine des droits humains en ligne comprend de nombreuses questions, comme la protection de la vie privée et des données, et la liberté d’expression, pour n’en citer que quelques-unes. Il peut sembler que nous devions évaluer ces droits par rapport à des mesures de sécurité, telles que la surveillance ou le contrôle du chiffrement ; pourtant, certaines mesures peuvent renforcer à la fois la sécurité et les droits, dont l’alphabétisation numérique, l’utilisation intelligente et l’hygiène numérique, comme l’illustre la figure 12.

La culture numérique va au-delà des compétences en matière de TIC et implique une évaluation critique de l’impact des technologies numériques sur le développement personnel et la société. Outre les compétences en matière de TIC, elle intègre les trois piliers suivants : l’utilisation intelligente, la promotion de valeurs et la compréhension de l’ère numérique (voir l’illustration ci-dessous). Dans ce contexte, l’utilisation intelligente désigne les compétences nécessaires pour une utilisation responsable et sûre de l’Internet, la promotion des valeurs implique la pensée critique ainsi que les droits et responsabilités personnels dans le contexte numérique, tandis que la compréhension concerne les implications des concepts sociétaux et économiques de l’ère numérique (par exemple, comment les technologies émergentes changent le marché du travail).

3.2.1. Vie privée et sécurité

La vie privée et la sécurité en ligne n’ont pas fait l’objet d’un débat international sérieux avant la commercialisation de l’Internet. Cependant, face à l’évolution de l’Internet et de ses composants structurels, les perceptions de ces concepts ont également changé. Dans le passé, la vie privée était principalement abordée dans le cadre de la protection des données personnelles contre la divulgation et le commerce par, et vers, des tiers, tels que Facebook, Google et les agences de publicité. Les attentats terroristes perpétrés aux États-Unis, au Royaume-Uni, en France et en Belgique (entre autres) ont contribué à faire évoluer le discours vers la protection des données personnelles contre leur (mauvaise) utilisation par les gouvernements au nom de la sécurité nationale.

En tentant de définir la vie privée dans les lois nationales, les gouvernements ont mis l’accent sur le traitement des données personnelles et, par conséquent, sur les principes utilisés pour protéger ces informations. Cependant, la définition même des données personnelles varie d’un pays à l’autre. Par exemple, on débat de savoir si une adresse IP, qui fournit une trace indispensable (parfois appelée empreinte électronique) pour la médecine légale en ligne et des informations pour les mesures de protection de la cybersécurité, doit être considérée comme une donnée personnelle, car elle peut, dans certaines circonstances, fournir un lien avec l’identité réelle de la personne qui l’utilise. Le RGPD, par exemple, indique clairement que les « identifiants en ligne », tels que les adresses IP, peuvent être considérés comme des données à caractère personnel. En outre, la Cour de justice de l’UE a statué que même les adresses IP dynamiques peuvent constituer des données à caractère personnel.

Les bases de données gouvernementales contiennent un volume croissant d’informations sur les citoyens. En outre, les politiques de sécurité exigent dans certains cas que le secteur des entreprises (y compris le secteur de l’Internet, qui détient d’énormes quantités de données personnelles sur les clients en ligne) partage ces données avec les services de sécurité et les organismes chargés de faire respecter la loi. La loi britannique sur la surveillance, surnommée « la charte du fouineur » par certains défenseurs des droits humains sur Internet, exige même des fournisseurs d’accès à Internet (FAI) qu’ils conservent les historiques de navigation des utilisateurs pendant un an et les mettent à disposition sur demande des tribunaux, et que les entreprises déchiffrent sur demande les données des utilisateurs. Elle permet également aux services de sécurité de pirater les ordinateurs et les appareils des utilisateurs, bien que les journalistes et certaines autres entités restent à l’abri de cette surveillance. Les groupes de défense des libertés civiles plaident pour la mise en place de mécanismes robustes aux niveaux national et mondial, afin de garantir la protection des données personnelles et d’empêcher leur utilisation abusive par les services de sécurité et les forces de l’ordre.

Il existe cependant une dimension plus directe de la cybersécurité liée aux données personnelles. La multiplication des liens entre les agences gouvernementales et les bases de données du secteur des entreprises, qui contiennent des données personnelles, accroît le risque que les criminels puissent accéder à ces bases de données, qui représentent une ressource très lucrative pour eux. Par conséquent, les gouvernements se voient de plus en plus contraints de créer des réglementations nationales pour la protection des données, non seulement en raison de leurs obligations (et des pressions) de respecter les droits humains, mais aussi en réponse à la nécessité de sécuriser davantage leurs propres services et systèmes.

À l’ère du numérique, le flux de données personnelles et, dans une certaine mesure, le traitement de ces données, sont inévitables. C’est pourquoi les débats politiques actuels tournent autour de la question de savoir quelles informations sont considérées comme privées, qui devrait pouvoir les collecter et les diffuser, quand et de quelle manière, quelle est la durée acceptable de conservation des données et, enfin, quelles devraient être les normes minimales de traitement et de gestion des données pour garantir la sécurité.

L’UE, par exemple, a adopté en 2006 la directive sur la conservation des données (directive 2006/24/CE), qui oblige les fournisseurs de services de télécommunications et les opérateurs à conserver certaines catégories de données personnelles pendant une période allant de six mois à deux ans. Cette exigence a été fortement contestée par les défenseurs de la vie privée. La directive a été invalidée par la Cour de justice de l’Union européenne en 2014. Le RGPD fournit un cadre complet pour les pays de l’UE et définit également les relations avec les entités situées dans des pays tiers, qui traitent des données personnelles de l’UE. En outre, il définit la responsabilité, exige la « prise en compte du respect de la vie privée dès la conception », définit les notifications de violation de données et réglemente les transferts internationaux, entre autres.

Un autre aspect du débat sur la vie privée et la cybersécurité est lié à l’essor et à l’expansion rapide des médias sociaux et du contenu généré par les utilisateurs. Pour accéder aux sites de médias sociaux ou en devenir membre, les utilisateurs doivent fournir des informations personnelles. En substance, l’utilisateur « paie » les services en ligne en fournissant des données personnelles ; les données sont devenues la monnaie ultime sur l’Internet. Pour aggraver les choses, chaque information téléchargée est généralement copiée plusieurs fois et consignée par des serveurs cache dans le monde entier ; il devient donc difficile, voire impossible, de retirer des éléments de nous-mêmes de l’Internet.

3.2.2. Chiffrement et sécurité : trouver le juste équilibre

Traditionnellement, seuls les gouvernements avaient le pouvoir et le savoir-faire pour développer et déployer un chiffrement puissant dans leurs communications militaires et diplomatiques. Mais aujourd’hui, grâce à des logiciels conviviaux tels que Pretty Good Privacy (PGP), le chiffrement est désormais à la portée de tout internaute, jusqu’aux criminels et aux terroristes. L’utilisation croissante du chiffrement pose le défi de trouver un juste équilibre entre les droits des utilisateurs de l’Internet à la communication privée et la nécessité pour les gouvernements de surveiller certains types de communication présentant un intérêt pour la sécurité nationale (c’est-à-dire pour contribuer à réduire les activités criminelles et terroristes potentielles).

Les gouvernements et les services de sécurité de nombreux pays tentent d’introduire des limites à la puissance des algorithmes de chiffrement dans les produits et services courants, et d’insérer des portes dérobées qui permettraient aux agences gouvernementales d’accéder aux données chiffrées si cela se révèle nécessaire. Le communiqué conjoint publié en 2017 par les chefs politiques des services de renseignement de l’alliance « Five Eyes » (Canada, Nouvelle-Zélande, Australie, Royaume-Uni et États-Unis) a averti que le chiffrement peut gravement compromettre la sécurité publique, car il empêche l’accès légal au contenu des communications pour les enquêtes sur la criminalité et le terrorisme. Les communautés de la société civile et des droits humains ont exprimé de fortes inquiétudes quant à ces développements, alimentées par les révélations de Snowden, suggérant que les limites au chiffrement et les portes dérobées pourraient être employées pour une censure politique et une surveillance (de masse) disproportionnée. En outre, ces mesures pourraient compromettre l’identité des militants politiques, des blogueurs et des journalistes dans les États autoritaires, mettant ainsi en danger leur sécurité individuelle. Certains chercheurs affirment en fait que l’Internet ne devient pas « clandestin » (« dark », c’est-à-dire chiffré) et que les organismes chargés de l’application de la loi et de la sécurité disposent toujours d’un nombre suffisant de pistes numériques à suivre, sans qu’il soit nécessaire d’affaiblir les systèmes de chiffrement.

Le débat sur un cadre réglementaire international pour le chiffrement est centré sur l’interaction entre des questions complexes concernant la sécurité et les droits humains. Du point de vue de la sécurité, les gouvernements ont réaffirmé la nécessité d’accéder à des données chiffrées dans le but de prévenir la criminalité et de garantir la sécurité publique. Dans ce contexte, des révélations ont été faites sur l’existence de portes dérobées dans des logiciels et des produits chiffrés, et des pressions ont été exercées sur l’Internet et les entreprises technologiques pour qu’ils permettent aux gouvernements d’accéder aux données. En outre, dans certains pays, comme les États-Unis, le Royaume-Uni et la Russie, des efforts ont été déployés pour introduire une législation spécifique exigeant des entreprises technologiques qu’elles autorisent ou aident les organismes chargés de l’application de la loi à accéder aux données et/ou aux appareils chiffrés (dans des circonstances plus ou moins définies).

Du point de vue des droits humains, le droit à la vie privée et les autres droits humains doivent être protégés, et les outils de chiffrement, y compris le chiffrement omniprésent (sur l’ensemble du réseau), sont essentiels pour protéger à la fois la vie privée et la sécurité personnelle. La nécessité de protéger le chiffrement et l’anonymat a été soulignée, par exemple, dans le rapport 2015 de David Kaye, Rapporteur spécial des Nations Unies sur la promotion et la protection du droit à la liberté d’opinion et d’expression, sur l’utilisation du chiffrement et de l’anonymat pour exercer les droits à la liberté d’opinion et d’expression à l’ère numérique. Le rapport 2017 de David Kaye traite des rôles que jouent les fournisseurs d’accès à Internet et aux télécommunications. Il passe en revue les obligations des États en matière de protection et de promotion de la liberté d’expression en ligne, puis évalue les rôles de l’industrie de l’accès numérique, et conclut par un ensemble de principes qui guident les démarches du secteur privé pour respecter les droits humains.

3.2.3 Liberté d’expression et contenus répréhensibles

Le principe de la liberté d’expression repose sur des normes internationalement reconnues telles que la Déclaration universelle des droits de l’homme, dont l’article 19 prévoit le droit « de chercher, de recevoir et de répandre, sans considérations de frontières, les informations et les idées par quelque moyen d’expression que ce soit ».

Bien que la liberté d’expression soit un droit reconnu, la question du contenu répréhensible est utilisée dans certains cas pour le restreindre. Cela soulève la question de la définition du terme « répréhensible ». Les différentes traditions culturelles et politiques conduisent à une variété de classifications à travers le monde. Ce qui est légal ou acceptable à un endroit peut être illégal ou inacceptable ailleurs. Nous devons donc observer et analyser les problèmes au cas par cas.

Les contenus relatifs aux abus sexuels sur les enfants (CSAM) sont classés comme contenus répréhensibles et illégaux par un consensus mondial et sont donc interdits par le droit international (ius cogens). Néanmoins, de nombreux pays n’ont pas mis en place de réglementations destinées à étendre le champ d’application des lois conventionnelles à la distribution de CSAM ou à l’accès à ces contenus via l’Internet, laissant ainsi l’espace en ligne hors de portée des autorités judiciaires. Toutefois, même lorsque la législation nationale couvre l’espace en ligne, il se peut que les poursuites ne soient pas possibles sans une harmonisation des réglementations au niveau international et une coopération renforcée entre les différentes institutions. Par exemple, la distribution, la possession et l’accès en ligne peuvent être effectués par des personnes résidant en dehors du pays d’impact, donc hors de portée de la juridiction nationale.

La violence, le racisme et les discours de haine sont des types de contenus qui sont « sensibles pour certains pays, régions ou groupes ethniques en raison de leurs valeurs religieuses et culturelles particulières ». La frontière entre contenu répréhensible et liberté d’expression est souvent floue ; les nuances politiques varient d’un État à l’autre. Néanmoins, pour de nombreux pays à travers le monde, les implications de ces contenus ou des activités en ligne de certains groupes ou individus sur la sécurité nationale servent de prétexte pour réprimer la liberté d’expression.