Sécurité des données et désinformation : les enjeux français et européens

Dans un monde numérisé, la sécurité des données devient un enjeu de souveraineté capital. C’est en pleine conscience de cette nouvelle donne que l’auteur de ce papier s’interroge sur les rôles respectifs des Etats, des entreprises et des citoyens, comme sur les solutions à envisager pour cette sécurité digitale. Il aborde ainsi les enjeux de souveraineté des données et les menaces auxquels la France et l’Europe doivent faire face.

Damien VERRELLI

« Dans l’économie mondiale de l’information, la souveraineté est la nouvelle frontière », Jimmy Rifkin, L’Âge de l’accès.

En effet, depuis notre entrée dans l’ère numérique, la préservation de la souveraineté des données est devenue un enjeu crucial en Europe. Il est impératif de protéger les citoyens et les entreprises du risque d’exploitation de leurs données personnelles par des acteurs étrangers. L’objectif est donc de mettre en place des règles et des lois pour établir une frontière entre les États dans le domaine numérique, à l’instar des frontières physiques. La souveraineté nationale est un attribut de la nation, impliquant un régime représentatif avec des élus détenteurs d’un mandat pour agir dans l’intérêt de l’ensemble de la nation. Elle suppose également une séparation des pouvoirs. Cependant, l’extension de cette notion à la sphère digitale s’avère complexe, mêlant des aspects juridiques, politiques, économiques et libéraux. Tout d’abord, la souveraineté numérique se réfère à celle des États (juridique), ces derniers revendiquant l’extension de leur pouvoir réglementaire afin de protéger leurs citoyens et leurs intérêts. En d’autres termes, elle caractérise “la capacité de l’État à agir dans le cyberespace^[1]” . Ensuite, la souveraineté numérique concerne les acteurs économiques (politique et économique). En effet, certaines multinationales (GAFAM)^[2] jouissent d’une suprématie et exercent un réel pouvoir de commandement sur les espaces numériques grâce à leur domination. Elles décident des données à vendre, des profils à supprimer, des contenus licites ou illicites, voire créent leurs propres monnaies virtuelles, donnant ainsi l’impression de remplacer les États dans leurs fonctions régaliennes. Les récents Digital Markets Act (DMA)^[3] et Digital Services Act (DSA) ^{[4] [5]} , entrés en vigueur respectivement en novembre 2022 et mai 2023, visent à réguler ces géants du numérique et déterminer des critères pour établir ce qui est légal en ligne. Enfin, la souveraineté numérique concerne également les utilisateurs (libérale). Elle repose sur le principe de souveraineté populaire selon lequel les citoyens sont la source de tout pouvoir, leur permettant ainsi de s’autodéterminer. Les utilisateurs peuvent faire des choix, exprimer des préférences et bénéficier de droits et de garanties. Le règlement général sur la protection des données (RGPD^[6] européen, entré en vigueur en 2018, va dans ce sens et assure la protection des données personnelles. Par conséquent, la notion de souveraineté numérique ne se limite pas à la perspective juridique classique attachée au pouvoir des États, mais renvoie à une conception plus large englobant à un pouvoir de commandement possiblement détenu par des acteurs privés et au droit à l’autodétermination dans un monde numérique. Notons, que ce dernier point n’est pas véridique partout sur le globe. En France, et plus largement au sein des démocraties, l’espace numérique est considéré comme un espace de libertés (liberté d’expression, respect de la vie privée, etc.), à condition de respecter les droits fondamentaux relatifs à l’utilisation d’internet. A l’inverse certains régimes autoritaires, à l’instar de la Russie et de la Chine, restreignent fortement les libertés de leurs citoyens dans le monde numérique, notamment pour les empêcher d’avoir accès à d’autres sources d’informations et créer un écosystème hermétique facilitant la propagande. Difficile d’évoquer quelconque auto-détermination des citoyens pour ces régimes en question.

Ainsi, quel est le rôle de la sécurité de l’État français, des entreprises et des citoyens dans ce monde numérique ? Quelles solutions peuvent être envisagées ?

Les enjeux de la souveraineté des données en France et en Europe

L’adoption du Règlement Général sur la Protection des Données (RGPD) par l’Union européenne entré en application le 25 mai 2018 a incarné la préoccupation des autorités européennes et des instances européennes pour la protection des données. Ce règlement a entraîné, en France, une modification de la loi “Informatique et Libertés” de 1978, qui établit les principes fondamentaux de protection des données en France. Cette dernière vise à préserver les informations permettant d’identifier directement (nom, prénom, etc.) ou indirectement (numéro de téléphone, identifiant client, etc.) une personne physique. Le RGPD encadre le traitement de ces données, exigeant que leur collecte et leur utilisation aient un objectif précis et en conformité avec la loi et l’activité de l’entreprise. Il renforce également les droits des citoyens européens en matière d’utilisation de leurs données personnelles. En France, la loi de 1978 a été modifiée pour s’adapter à la réglementation européenne. La Commission Nationale de l’Informatique et des Libertés (CNIL)^[7]) voit ses missions et ses pouvoirs évoluer, passant notamment par l’émission de lignes directrices et la promotion de codes de conduite. La CNIL dispose également de nouveaux pouvoirs de sanctions, telles que des astreintes ou le retrait de certifications, pour faire face aux atteintes à la vie privée des citoyens. Le RGPD élargit également la notion de données sensibles, incluant les données génétiques, biométriques et relatives à l’orientation sexuelle. Cependant, la protection des données ne concerne pas seulement les données personnelles des individus, mais aussi les données d’entreprises privées et d’organismes publics. La divulgation de ces informations confidentielles à des puissances étrangères ou à des entités hostiles pourrait compromettre la sécurité nationale. Pour garantir la sécurité des données et la souveraineté numérique française, une stratégie nationale pour la sécurité du numérique a été mise en place en 2015. Cette stratégie vise à renforcer la sécurité des infrastructures critiques, à lutter contre les actes de cyber malveillance, à sensibiliser et former à la cybersécurité, à faire de la sécurité numérique un levier de compétitivité et à renforcer la voix de la France à l’international. En rentrant dans les détails, nous pouvons identifier deux acteurs majeurs de la cybersécurité française : l’Agence Nationale de la Sécurité des Systèmes d’Informations (ANSSI) d’une part et le Commandement de la Cyberdéfense (ComCyber) d’autre part. L’ANSSI est le pompier du cyberespace français, rattachée au Premier Ministre via le Secrétariat Général de la Défense et de la Sécurité Nationale (SGDSN)^[8], l’agence structure son action à l’échelle nationale autour de 3 maximes clés^[9] : prévenir, défendre et informer. Premièrement, prévenir, en effet sachant que 85-90% des cyberattaques sont causées par une erreur humaine, la prévention semble être la clé pour édulcorer le risque. Les règles de bonne conduite cyber communiquées par l’ANSSI aux entreprises, les réactions à avoir en cas de tentative de fraude (pishing^[10] notamment) ou encore le MOOC SecNumEdu, sont certaines des actions de l’ANSSI qui contribuent à faire de la France un État cyber-résistant. Ensuite, défendre, en particulier les opérateurs d’importance vitale (OIV)^[11] qui bénéficient d’une protection renforcée au près de l’ANSSI depuis la Loi de Programmation Militaire (LPM) de 2013. Cette défense s’accompagne toujours d’un accompagnement de la part de l’ANSSI. Toute entreprise victime d’une cyberattaque doit en informer l’ANSSI en tant que centre de réponse à tout incident cyber (CERT-FR). De plus, la Posture Permanente de Cyberdéfense (PPC)^[12] permet à l’ANSSI de toujours veiller. Enfin, informer, plus particulièrement à travers des veilles que l’agence réalise pour informer entreprises et citoyens sur l’évolution des réglementations européennes (NIS2^[13], Cybersecurity Act^[14], etc.) et sur l’apparition de nouvelles menaces. Notons également qu’actuellement un agent de l’ANSSI est à la tête du conseil d’administration de l’ENISA (équivalent de l’ANSSI à l’échelle européenne) illustrant le rôle moteur de la France dans la lutte contre la cybermenace au sein de l’UE. Au rôle crucial de l’ANSSI s’ajoute aussi celui du ComCyber qui collabore étroitement avec elle. La doctrine du ComCyber est constituée en 3 piliers15: la lutte informatique défense (LID), la lutte informatique offensive (LIO) et la lutte informatique d’influence (L2I). La LID et la LIO consistent à protéger le cyberespace français de toute cybermenace et également, à l’inverse, d’attaquer si la souveraineté de la nation le nécessite. La L2I, plus récente (2021), établit les règles qui permettent à l’Armée d’intervenir dans l’espace informationnel, pour à la fois se soustraire de toute tentative de désinformation ennemie mais aussi attaquer nos ennemis sur le champ informationnel. Néanmoins, dans un monde interconnecté, la France ne peut garantir seule la sécurité des données de ses citoyens. C’est dans ce contexte que, au-delà de la collaboration avec l’ENISA et avec les différentes instances européennes, le projet Gaia-X16 a été lancé. Ce projet vise à créer une infrastructure de données et à promouvoir la souveraineté des données en Europe. Il cherche à offrir une alternative aux géants américains et chinois du cloud, positionnant l’Europe comme leader de l’innovation technologique et de la protection des données. Cependant, la mise en place de Gaia-X fait face à des défis, notamment la nécessité de convaincre les entreprises européennes de rejoindre la plateforme et de contribuer à son développement, ainsi que l’harmonisation des normes nationales en Europe. En conclusion, la protection des données personnelles et la sécurité numérique sont des enjeux cruciaux pour la France. Le RGPD, la révision de la loi de 1978 et la stratégie nationale pour la sécurité du numérique témoignent de l’engagement des autorités françaises dans ce domaine. La coopération européenne, à travers des initiatives telles que Gaia-X, est essentielle pour renforcer la sécurité des données et préserver la souveraineté numérique européenne.

Les initiatives visant à protéger les données en France et en Europe sont nombreuses, mais des efforts considérables sont nécessaires pour faire face aux menaces émergentes. Dans cette deuxième partie, nous mettrons en évidence certaines menaces qui pèsent sur la souveraineté des données en France et en Europe.

Les menaces pesant sur la souveraineté des données en France et en Europe

Tout d’abord, la concurrence des acteurs étrangers et la domination des grandes entreprises du numérique représentent un défi majeur pour la France. Les GAFAM, qui sont toutes des entreprises américaines, occupent une place prépondérante à l’échelle mondiale. Elles ont la capacité considérable de collecter et exploiter les données de leurs clients. Ces données, obtenues en échange de services souvent gratuits, sont denses et exhaustives, permettant aux GAFAM de mieux adapter leurs offres aux besoins des clients. De plus, ces données sont revendues à d’autres entreprises pour une meilleure ciblage client. Cette situation soulève des préoccupations quant à la souveraineté des données stockées par les GAFAM. Qu’il s’agisse d’un citoyen français utilisant Facebook ou d’une grande entreprise stockant des fichiers confidentiels sur le Sharepoint de Microsoft, les données finissent par être hébergées sur des cloud américains difficilement régulables. La maîtrise des données constitue un enjeu crucial pour la souveraineté, car de plus en plus d’activités économiques reposent sur celles-ci, que ce soit pour la réindustrialisation ou la lutte contre le changement climatique. Par conséquent, la France doit être en mesure de stocker, traiter et contrôler les données afin d’éviter une dépendance accrue à long terme, qui entraînerait une perte de souveraineté. Toutefois, une prise de conscience se fait sentir en France et en Europe, notamment en raison des tensions géopolitiques sino-américaines, de la remise en question du multilatéralisme, de la guerre en Ukraine et de la pandémie de la Covid-19. Ces événements ont mis en évidence les dépendances économiques et industrielles des pays européens. Par conséquent, des réflexions sont en cours pour doter l’Union européenne d’outils permettant de préserver ou de reprendre le contrôle de ses données et de ses systèmes d’information. Le think-tank Digital New Deal (DND) propose une “troisième voie” alternative entre le libertarianisme américain et le modèle autoritaire chinois. Au-delà des entreprises privées, les menaces peuvent également provenir des États eux-mêmes. En effet, l’ère numérique a ouvert la voie à une nouvelle forme de guerre d’influence qui se déroule sur Internet, avec la Russie et la Chine comme principaux acteurs. La Chine dispose de vastes capacités, avec environ deux millions de personnes au service du pouvoir et des mercenaires travaillant sur les réseaux pour détourner toute critique sur le régime et en dépeindre une image bien différente de la réalité. Ces acteurs diffusent des messages visant à attaquer toute idée ou opinion contraire à celle de Pékin, que ce soit en matière de droits de l’homme, de Taiwan, de Hong Kong ou de la Covid-19. Twitter (désormais X) est un des moyens utilisés par Pékin pour diffuser ses fausses informations, et en 2020, près de deux millions de faux comptes chinois ont été fermés par Twitter. L’armée chinoise est également mobilisée dans cette guerre d’influence, avec la base 311^[15] comme centre névralgique des attaques. Les informations sur cette base sont limitées, mais nous savons qu’elle fait partie de l’Armée Populaire de Libération et a comme missions de créer des entreprises fictives, de pirater des systèmes d’information pour collecter des données occidentales et de mener des opérations d’influence. La Russie n’est pas en reste dans cette nouvelle forme de conflit et est régulièrement accusée d’ingérence et de piratage. Ces opérations sont menées par des oligarques proches de Vladimir Poutine, notamment par le biais de l’unité 26-165 du GRU.^[16] Le Kremlin a été accusé d’ingérence dans les élections présidentielles américaines (Rapport du Procureur Mueller) et même dans les élections françaises, où les Russes ont été soupçonnés d’être à l’origine des MacronLeaks^[17] en 2017. Le pouvoir russe nie toute implication dans ces désinformations mais les doutes persistent. De plus, les ingérences russes se concentrent aujourd’hui principalement sur les ransomwares. Le principe est simple : une fois installés dans le système d’exploitation d’une entreprise, tous les services sont gelés et les pirates demandent une rançon pour permettre à l’entreprise de récupérer ses données potentiellement corrompues. Ainsi, les menaces sont considérables pour la France, tant en termes de protection des données que d’ingérence. Les traumatismes causés par les WannaCry et autres NotPetya ont fortement marqué les nations occidentales. Plus récemment, le 17 août 2023, la mairie de Sartrouville a été touchée par un ransomware. La manipulation de l’information, quant à elle, est facile sur les réseaux sociaux, où un montage ou une vidéo sorties de leur contexte peuvent totalement fausser la compréhension de la situation^[18]. Le groupe Wagner, par exemple, est particulièrement actif dans ces tentatives d’ingérence en Afrique. La tentative des miliciens Russes d’attribuer un charnier à l’Armée française près de Gossi au Mali^[19] en 2022 en est un exemple criant. Cette désinformation a pu être contrée grâce à une vidéo montrant les Russes en train de dissimuler les corps. Notons également, l’apparition de l’intelligence artificielle dans cette désinformation : aujourd’hui des outils comme MidJourney peuvent créer des photos d’événements n’ayant jamais existé, par exemple les récents montages montrant le Pape en doudoune ou le Président de la République dans la boue. Enfin, la dernière menace évoquée est la fuite des connaissances des pays européens vers des puissances potentiellement hostiles. Par extrapolation, cette fuite peut être considérée comme une fuite de données, car ces connaissances sont cruciales pour l’industrie, l’armée et la compétitivité des pays européens, dont la France. Par exemple, l’ingérence croissante de la Chine dans les universités européennes témoigne des efforts déployés par Pékin pour attirer les chercheurs occidentaux et profiter de nos connaissances universitaires. Bien que de nombreux établissements européens ont réduit leurs collaborations avec la Chine, l’Association for International Affairs souligne l’absence d’une politique cohérente de l’UE visant à protéger la science et la recherche contre l’espionnage chinois. L’Italie, en particulier, continue de multiplier les partenariats universitaires avec la Chine. L’Istituto degli Affari Internazionali (IAI) met en évidence cette collaboration entre les universités italiennes et chinoises, qui remonte à 1978 et a été renforcée en 2019 à l’occasion de l’initiative de la “nouvelle route de la soie”.

Dans le contexte des menaces évoquées, la France et les pays européens doivent mettre en place des solutions concrètes. Tout d’abord, la lutte contre la cybercriminalité revêt une importance cruciale, les hackers étant bien éloignés des clichés habituels les représentants comme des adolescents surdoués utilisant l’ordinateur familial. En réalité, ils ne répondent à aucune classification en termes de genre, d’âge ou de nationalité. Le gouvernement français a lancé en février 2021 la stratégie nationale d’accélération pour la cybersécurité, avec pour objectif de positionner le pays en tant que leader dans ce domaine. Plus d’un milliard d’euros ont été alloués à 17 projets sélectionnés dans le cadre du programme France 2030^[20]. Ces projets englobent une diversité de solutions, telles que le suivi de l’exposition aux menaces cyber des différents éléments d’un système d’information, ainsi que des solutions logicielles permettant de détecter les anomalies au sein du réseau. Les pouvoirs publics visent à atteindre un chiffre d’affaires de 25 milliards d’euros pour l’industrie de la cybersécurité d’ici 2025, ainsi qu’à créer 75.000 emplois. La stratégie nationale se concentre sur cinq priorités : le développement de solutions souveraines et innovantes en matière de cybersécurité, le renforcement des liens et des synergies entre les acteurs du secteur, le soutien à la demande de ces solutions grâce à une sensibilisation accrue, la formation aux métiers de la cybersécurité et le soutien au développement des entreprises du secteur par des investissements en capital. Les premières réalisations de ce programme sont déjà visibles, notamment avec l’inauguration du Campus Cyber^[21] en février 2022. Ce campus jouera un rôle clé dans la politique cyber de la France en favorisant la collaboration entre les entreprises, les services de l’État, les acteurs de la recherche, les organismes de formation et les associations. Il sera un lieu d’expérimentation et de partage dédié à la cybersécurité. De plus, le volet cybersécurité du plan de relance, doté de 136 millions d’euros, vise à améliorer le niveau de sécurité informatique de l’État et des services publics sous la supervision de l’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Informations). De plus, la formation des futurs experts est essentielle pour faire face à ces menaces. L’objectif est de créer 37 000 emplois dans le secteur de la cybersécurité et de soutenir la recherche en finançant 100 thèses. Ce volet de la stratégie cyber a été doté de 140 millions d’euros dans le cadre de l’appel à manifestation “Compétences et Métiers d’Avenir” (CMA) de France 2030. Ensuite, une réponse efficace doit également passer par la collaboration, car les mesures strictement souverainistes ont montré leurs limites. En effet, l’absence de mesures cohérentes et la méconnaissance de l’Union européenne rendent l’ingérence étrangère attrayante pour les acteurs malveillants. Si Raphaël Glucksmann a résumé l’inaction européenne en ces termes : “Pendant 20 ans, bercées par le mythe de la fin de l’Histoire, convaincues de ne plus avoir d’ennemis, les élites européennes ont fait preuve d’une naïveté confondante et d’une légèreté coupable. Nous avons demandé la création de cette commission (ndlr., INGE24) pour mettre fin à cette indolence, afin que l’Europe se réveille et que nos démocraties réapprennent à se défendre », notons que Parlement européen a exhorté l’Union européenne à élaborer une stratégie commune pour remédier à cette situation. Il préconise la mise en place de sanctions contre les ingérences étrangères et recommande plusieurs mesures. Parmi ces recommandations, on trouve l’allocation de fonds publics pour les vérificateurs de faits et les chercheurs afin de contrer la propagation des fausses informations, la révocation des licences des organisations diffusant la propagande d’États étrangers, la clarification des relations “hautement inappropriées” pouvant exister entre certains partis politiques et des nations étrangères, et par conséquent, l’interdiction du financement étranger des partis politiques. Ces mesures visent à préserver la souveraineté européenne ainsi que la démocratie, qui a pu sembler fragile en raison des ingérences étrangères, en particulier avec l’assaut du Capitole en 2021 aux États-Unis.

Conclusion

Ainsi, de nombreuses initiatives sont en cours pour faire face à ces menaces et garantir la souveraineté des données françaises. Cependant, les technologies se perfectionnant, les dangers liés à leur utilisation deviennent également plus importants. L’objectif sera de tirer parti de ces technologies tout en préservant notre souveraineté nationale. En particulier, l’intelligence artificielle (IA) qui deviendra le sujet primordial pour les pouvoirs publics car elle est à la fois un vecteur d’améliorations mais aussi de dangers. Les améliorations sont notables : fin de la pénibilité et des tâches répétitives dans certains métiers, gains de productivité dans les entreprises, facilités apportées dans la vie quotidienne, etc. Néanmoins, il existe pléthore de dangers : en particulier, la fin de certaines tâches peut également signifier la destruction d’emplois et les facilités apportées dans la vie quotidienne peuvent aller de pair avec une mise en danger des données personnelles. Par-dessus tout, l’IA pourrait altérer la vérité et mener à la désinformation.
Dans notre époque, où notre démocratie fait face à des opinions extrêmement polarisées, où tout semble manichéen, l’IA pourrait causer des dégâts considérables au débat publique et à nos démocraties en général. Néanmoins, une régulation ne semble pas être impossible : beaucoup ont considéré les GAFAM comme trop puissants, pourtant ils ont été obligés à être en conformité avec le DSA européen depuis le 25 août et donc de donner plus de transparence à leurs algorithmes. Nous ne pouvons donc pas exclure qu’une régulation de l’IA est possible et qu’un scénario hollywoodien, mis en scène dans Mission Impossible 7, relève de la dystopie. De plus, concernant les emplois et l’économie, dans un scénario schumpétérien, la croissance de long terme n’en sera que plus forte après le processus de « destruction créatrice ». Ainsi, en défiant les périls de la polarisation, en domptant les enjeux de l’IA, et en éclairant les chemins de la régulation, notre nation forge son destin numérique, où la vigilance, l’innovation et la préservation démocratique se dressent en boucliers impénétrables face aux tempêtes à venir.