Sur plusieurs décennies a été construit en Europe et en France une tentative de culture de la protection des données personnelles. Son point culminant, le RGPD est une référence mondiale en la matière. En réalité il a d’abord été conçu comme un outil de compétitivité et de souveraineté, dans un contexte où les données des européens étaient siphonné hors d’UE par les GAFAM. Il y est d’ailleurs indiqué dès le propos liminaire que les pouvoirs publics peuvent y déroger lorsque cela est jugé nécessaire (Cf., Les points 16, 19 et 52).

Pour diverses raisons, majoritairement électorales, les positions des pouvoirs publics européens (et en particulier français) se sont durcies ces dernières années : toute collecte d’information semble devenir licite, tant qu’elle est à l’initiative de l’État, et donc de l’intérêt général (cela va de soi). Un argument revient souvent, la protection des mineurs sur internet, amenant à relever l’identité de toute personne accédant à certains sites web. L’objet de cette pétition n’est pas de critiquer cette doctrine, mais de la mettre en opposition avec la piètre sécurisation des données collectées.

On pourrait croire que ces évolutions se font dans un cadre d’apogée de la sécurité et de la confiance numérique. Loin de là, dans le même temps, tout indique que les pouvoirs publics sont incapables de protéger les données déjà collectées. Des fuites de données massives de divers organismes publics et parapublics défraient la chronique de manière hebdomadaire. Ici France Travail, là les impôts​, le ministère de l’intérieur​, l’éducation nationale, la liste (ici ou encore là) est vertigineuse et glaçante. Humiliation ultime, les rapports internationaux placent régulièrement la France en tête des fuites de données.

Tout d’abord, il faut bien comprendre que notre pays est naturellement vulnérable aux fuites de données massives. Du fait de son caractère centralisé, chaque administration (impôts, chômage, assurance maladie etc.) a potentiellement accès aux données de tout le monde. Cet état de fait n’est pas une excuse, mais au contraire une responsabilité, qui requiert un contrôle accru sur ses bases de données.

Ce qui est d’autant plus scandaleux est l’absence totale de prise de conscience de ce paradoxe par les décideurs. C’est d’ailleurs la motivation première de cette pétition. Les récents plaidoyers de ministres et politiques sont hors de propos et indécents. L’argument principal avancé est la protection des Français en ligne (notamment des mineurs), mais la principale menace numérique qui pèse sur les Français vient de la collecte et de l’égarement massif de données sensibles par les pouvoirs publics ! 

La sécurité auto-revendiquée de tous ses dispositifs est vantée. Il serait bon que les journalistes rétorquent les questions suivantes : l’État peut-il justifier être en mesure de déterminer ce que sont des mesures de protection adéquates des données personnelles ? Si oui, peut-il commencer par les appliquer à l’existant avant de faire entrer en vigueur d’autres siphons à données potentiels  ? 

Le « deux poids, deux mesures » est en particulier intolérable. Avec des entreprises privées qui sont régulièrement épinglé par le « « gendarme numérique » » pour des fuites de données de tailles variable, risquant des sanctions qui pourraient littéralement les amener à mettre la clé sous la porte ; RGPD oblige. Pendant ce temps, les administrations publiques à qui le citoyen n’a pas la liberté de choisir de céder ou non ses données (contrairement aux entreprise privés) égarent régulièrement les données de dizaines de millions de français sans jamais être vraiment inquiétées (à quoi bon ? L’État se verserait une amende à lui-même…).

Enfin, comme ce texte semble pour l’instant bien théorique, il est temps de montrer les conséquences concrètes de ces errements. Ces dernières années, il n’a pas échappé à grand monde que la France connait une épidémie de kidnapping et séquestration de personnes ayant fait fortune dans les cryptomonnaies, ainsi que de leur famille. Au premier abord, ses affaires paraissent sans lien, mystérieuses voire anecdotique. Un certain nombre de contribuable soucieux y a réfléchis. Les cryptomonnaies sont bien une rançon de choix, car (quasiment) intraçable.  Mais cette épidémie est purement française, touche des personnes qui ne sont pas connues publiquement et ne se sont jamais ventées de posséder des cryptomonnaies. La clé du mystère réside bel et bien dans les fuites de données, plus précisément des données fiscales. Couplé à l’incapacité des pouvoirs publics à lutter efficacement contre la délinquance — si les joyaux de la couronne peuvent disparaître du Louvre en plein jour — ce n’est pas une rançon en cryptomonnaie qui sera retrouvée.

Ainsi, la discrétion est bien la seule chose qui maintient les Français en sécurité. Non seulement l’Etat est incapable de dissuader et punir les attaques, mais en plus il menace directement cette discrétion. Maintenant, avançons d’un pas de plus dans la dystopie qui nous sert de réalité, dans l’espoir sincère de ne pas avoir à entendre des « qui aurait pu prévoir ». Lors d’une future période d’affrontements politique massifs (gilets jaunes, mai 68 etc.), pourrait fuiter le fichier du ministère de l’intérieur comprenant les fiches de renseignement des forces de l’ordre (adresse, famille etc.). La fuite d’un fichier des témoins judiciaires ayant bénéficié d’un changement d’identité serait également terrible ; si par malheur un tel fichier existe bien, nous recommandons sa suppression immédiate.

Enfin, pour finir, au-delà de la taille des jeux de données, il convient d’insister sur le risque sans précédent causé par la multiplication des sources de fuites. Statistiquement, chaque français voit son nom présent dans divers fichiers fuités, donnant chacun des informations complémentaires. Cela permet ce que l’on appelle dans les sciences du numérique le recoupement de données. Un groupe criminel cherchant à organiser une évasion de prison, n’obtiendra ainsi pas seulement l’identité du personnel, mais également leurs vulnérabilités individuelles (financière, santé, famille, etc.). De même, l’on peut s’interroger sur l’intérêt de “protéger les enfants en ligne” si les fuites de données des divers ministères révèlent leurs adresses, le numéro téléphone fixe du domicile, leur emploi du temps, celui de leurs parents etc.

Cette menace-là n’est donc pas à considérer en plus de celles causées par le terrorisme, le narcotrafic, les ingérences et attaque étrangères (guerre hybride), les crimes contre les minorités, femmes ou enfants etc. Non, il s’agit d’un facteur multiplicatif, qui sert sur un plateau toute l’information nécessaire aux acteurs malintentionnés.

Nous citoyens, électeurs, résidents, contribuables, administrés, agents publics et proches exigeons de l’Etat qu’il accomplisse sa mission régalienne :

• La reconnaissance immédiate du problème et donc la suspension de la mise en œuvre de toute politique nouvelle visant à accroitre la quantité de données personnelles légalement collecté en France.
• Un audit des données personnelles détenu par chaque organisme et de la conformité de leur collecte, stockage et utilisation avec le RGPD. Sont-elles indispensables à sa mission ? Anonymisé autant qu’il est possible ? Les durées de conservation sont-elles licites ?
• Une revue prioritaire des fichiers dont la fuite causerait des dommages immédiats, importants et irréparables (personnels occupant des fonctions sensibles ou exposés, personnes sous protection judiciaire, vulnérables etc.), avec si nécessaire des suppressions pures et simples et/ou un retour au papier.
• Une prise en compte sérieuse des effets et conséquences de ses fuites. La fuite constitue en elle-même un préjudice, son exploitation (au hasard ; séquestration pour obtenir la clé des bitcoin) un autre. Les mesures adéquates de mitigation, de correction, d’indemnisation, voire de protection des victimes (protection policière, changement d’identité etc.) doivent être prises.
• Une poursuite impitoyable des auteurs de ses actes. Comme nous l’avons vu, au-delà du vertige des chiffres, une fuite des données de 10 millions de personnes ce sont des gens qui seront agressés, kidnappés, séquestrés, peut-être pire parfois. C’est du terrorisme à grande-échelle. Lorsque des groupes cybercriminels internationaux sont identifiés, il ne faut pas riposter à coup de communiqué de presse mais « plastifier » leurs locaux et serveurs ; il y a un service pour cela à la DGSE.
• Compte tenu des enjeux, la tolérance à la faute doit être nulle. Une administration qui égare les données de 15 millions d’administrés, c’est un RSSI qui doit prendre la porte. De même pour l’agent négligeant qui, sur son ordinateur professionnel, aura cliqué sur un lien de “fishing” vantant les investissements financiers de Michel Sardou.