Œil pour œil, dent pour dent : Apple pourrait être la première victime collatérale du « Huawei bashing »

La marque à la pomme risque d’être la première grande firme américaine – un des GAFA qui plus est – à payer très cher l’ostracisme que les Etats-Unis font subir au géant chinois Huawei. Si la loi du talion est gravée dans la Bible, elle semble aussi être une règle non-écrite de la Constitution chinoise. Représailles en vue.

« Tu donneras vie pour vie, œil pour œil, dent pour dent, main pour main, pied pour pied, brûlure pour brûlure, meurtrissure pour meurtrissure, plaie pour plaie », dit la Bible (1), qui n’est finalement pas si pacifique qu’on le dit. La Chine va faire sienne cette loi du talion en prenant des mesures de rétorsion à l’encontre d’entreprises américaines, au premier rang desquelles Apple.
D’après le Global Times, quotidien proche du Parti communiste chinois au pouvoir, Pékin est prêt à prendre « des contre-mesures » ciblant des entreprises américaines. Dans un article publié le 15 mai dernier, complété par deux autres, Apple est cité en premier, suivi de Qualcomm, Cisco et Boeing (2). « La Chine prendra des contremesures, comme inclure certaines entreprises américaines dans sa liste d’‘’entités non fiables’’, imposer des restrictions aux entreprises américaines comme Qualcomm, Cisco et Apple, ou mener des enquêtes à leur sujet, et suspendre les achats d’avions de Boeing ». Le ministère chinois du Commerce – le Mofcom (3) – a confirmé en mai la préparation de cette liste noire où Apple figurera en bonne place. L’Empire du Milieu est donc prêt à rendre coup sur coup, alors que son fleuron technologique Huawei – numéro deux mondial des smartphones en 2019 devant… Apple (4) – fait l’objet depuis près de dix ans maintenant d’une discrimination de la part de l’administration Trump, allant jusqu’à son bannissement des infrastructures 5G aux Etats-Unis il y a un an.

L’Executive Order « anti-Huawei » prolongé d’un an
Fondée en 1987 par Ren Zhengfei, suspect aux yeux des Etats-Unis pour avoir été un technicien de l’Armée chinoise de 1974 à 1982, la firme de Shenzhen est plus que jamais dans le collimateur de Washington. Xi Jinping (photo), président de la République populaire de Chine, semble donc déterminé à rétorquer à Donald Trump, président des Etats-Unis d’Amérique (lequel a prêté serment sur la Bible) dans la bataille économique qui les oppose. Leurs Big Tech respectives sont les premières à être prises en otage, sur fond de guerre commerciale et de protectionnisme économique. Hasard du calendrier, le 15 mai correspondait aussi aux un an du décret – un Executive Order (5) – pris par Donald Trump.

Des années d’accusations sans preuve
Ce fameux décret « 13873 » (6) interdit aux entreprises américaines de se fournir en équipements high-tech et télécoms auprès de fabricants soupçonnés de vouloir porter atteinte à la « sécurité nationale » et à la cyber sécurité des Etats-Unis – avec Huawei et son compatriote ZTE en ligne de mire, mais sans les nommer. Pour monter d’un cran les hostilités, le locataire de la Maison-Blanche a fait savoir le 13 mai qu’il prolongeait ce décret d’une année supplémentaire. « L’acquisition ou l’utilisation sans restriction aux Etats-Unis de technologies de l’information et des communications ou de services conçus, développés, fabriqués ou fournis par des entreprises détenues par, contrôlées par, ou soumises à des juridictions ou directions des adversaires étrangers, donne la capacité à ces derniers de créer et d’exploiter des vulnérabilités dans les services ou technologies de l’information et des communications, avec des effets potentiellement catastrophiques. Cela représente une menace inhabituelle et extraordinaire pour la sécurité nationale, la politique étrangère et l’économie des Etats-Unis », justifie Donald Trump (7) pour « prolonger d’un an l’urgence nationale » décrétée par l’Executive Order du 15 mai 2019 – à savoir jusqu’au 15 mai 2021. Plus que jamais, Huawei est montré du doigt et présenté comme une soi-disant cyber menace que la firme de Shenzhen a toujours réfutée. Depuis la première enquête engagée en septembre 2011 par la commission du Renseignement de la Chambre des représentants des Etats-Unis, il y a donc près de dix ans, aucune preuve des allégations américaines de cyber espionnage ou de cyberattaques de la part de Huawei ou de ZTE n’a été apportée. Au pays de l’Oncle Sam, le fantasme technologique se le dispute à la théorie du complot ! Jusqu’à preuve du contraire. A l’autre bout de la planète, on fulmine : « La Chine doit être préparée au pire scénario de découplage complet avec les Etats-Unis dans le secteur de la haute technologie. Bien que la menace de découplage de l’administration Trump avec la Chine fasse partie de sa stratégie électorale [la prochaine élection présidentielle américaine aura lieu le 3 novembre 2020, ndlr], l’approche radicale de suppression de la Chine est devenue une tendance irréversible aux Etats-Unis », déclare le Global Times dans un édito du 15 mai (8). Apple devrait être la première victime collatérale de ce conflit sino-américain, lorsque Pékin mettra ses menaces à exécution en réponse à Washington. La goutte qui a fait déborder le vase chinois, c’est la décision annoncée le 15 mai par l’administration Trump – via son département américain au Commerce (DoC) – de « répond [re] aux efforts de Huawei pour saper la “Entity List” [la liste noire des entreprises bannies des Etats-Unis, ndlr] en restreignant sa possibilité d’utiliser des produits conçus et fabriqués avec des technologies américaines pour concevoir et fabriquer ses semi-conducteurs ». Hisilicon, la filiale de la firme de Shenzhen, fabrique des puces pour smartphones et stations de base 5G. Mais elle se fournit massivement auprès du taïwanais TSMC (9) pour la production. Or ce dernier – numéro un mondial des fabricants de semi-conducteurs (10) – produit aussi ses technologies de microprocesseurs sur le sol américain, et compte Huawei comme gros client à hauteur d’environ 10 % de son chiffre d’affaires. TSMC, qui selon le quotidien économique japonais Nikkei ne prend plus de commandes de Huawei, s’est soumis aux dictats étatsuniens au moment où il a annoncé la construction d’une nouvelle usine dans l’Arizona (11). Le taïwanais fournit aussi les américains Qualcomm et Nvidia. Huawei a dénoncé le 18 mai la décision « arbitraire et pernicieuse » du DoC. Depuis avril, cette fois, ce sont les opérateurs télécoms China Telecom et China Mobile et leurs filiales américaines respectives qui sont dans le collimateur de la justice américaine (DoJ) et le régulateur fédéral des communications (FCC) : leurs licences américaines pourraient être révoquées. Décidément, dans sa croisade « anti-Huawei », tous les coups sont permis de la part de l’administration Trump. Avant même que Pékin ne fasse jouer la loi du talion, Apple – sur le point d’être à son tour sur liste noire – voit déjà le fabricant chinois de ses iPhone – le taïwanais Foxconn, filiale du groupe Hon Hai – confronté à la crise économique déclenchée par la pandémie du covid-19. Hon Hai prévoit une chute de ses revenus d’au moins 15 % par rapport à l’année précédente.

La Chine, près de 15 % des revenus d’Apple
Apple – icône des GAFA – a tout à perdre de ce bras de fer entre Washington et Pékin, d’autant que la marque à la pomme a pris ses quartiers sur le vaste marché chinois : au premier trimestre 2020, la Chine représentait 14,8 % du chiffre d’affaires total d’Apple. Depuis le 11 mai, l’action de la firme de Cupertino au Nasdaq commence à montrer des signes de faiblesse : – 2,3 % (au 18-05-20). Les quatre iPhones compatibles 5G sortiront à l’automne prochain, mais avec plusieurs semaines de retard. Fin avril, lors des résultats de son second trimestre de l’année fiscale décalée, Apple n’a fourni aucune prévision. Et ce, pour la première fois en plus d’une décennie. @

Charles de Laubier

Sécurité des systèmes d’information et des données personnelles : nul ne peut ignorer ses responsabilités

RSI, NIS, OSE, OIV, PSC, EBIOS, RGPD, SecNumCloud, … Derrière ces acronymes du cadre réglementaire numérique, en France et en Europe, apparaissent les risques et les obligations en matière de sécurité des systèmes d’information et des traitements de données personnelles.

Par Christophe Clarenc, avocat, Cabinet DTMV & Associés

Les rapports d’activité pour 2018 publiés mi-avril (1) par, respectivement, l’Agence nationale de la sécurité des systèmes d’information (ANSSI), le « régulateur de la sécurité numérique » en sa qualité d’autorité en charge de la cybersécurité nationale,
et la Commission nationale de l’informatique et des libertés (Cnil), en charge de la sécurité des traitements de données personnelles, offrent et permettent un tour d’horizon rapide des évolutions réglementaires et de l’état des responsabilités en la matière.

Une réglementation évolutive
Au plan réglementaire, on doit tout d’abord mentionner la loi n° 2018-133 du 26 février 2018, le décret 2018-384 du 23 mai 2018 et l’arrêté du 14 septembre 2018 qui sont venus assurer la transposition en France de la directive européenne du 6 juillet 2016, dite « NIS », sur la sécurité des réseaux et systèmes d’information (RSI) des
« opérateurs de services essentiels » (2) (OSE) et des grands « fournisseurs de services numériques » (3) (FSN). Cette réglementation est supervisée en France
par l’ANSSI et dans la ligne de son dispositif de protection des RSI des opérateurs d’importance vitale (OIV) (4). Elle soumet les OSE et les FSN pour la protection de leurs RSI critiques à un régime de « règles de sécurité nécessaires pour garantir un niveau de sécurité adapté au risque existant compte tenu de l’état des connaissances », et de déclaration des incidents et de contrôle.
Cette réglementation définit et prescrit pour les OSE l’ensemble des « mesures appropriées » pour tout à la fois prévenir, limiter l’impact et gérer les incidents et compromissions de sécurité. Les règles de sécurité prescrites pour les FSN sont établies dans un règlement d’exécution du 30 janvier 2018 (5). Ces règles et mesures sont définies dans cinq « domaines » : celui de la « gouvernance » des RSI concernés (6) (analyse de risque, politique de sécurité décrivant l’ensemble des procédures et
des moyens organisationnels et techniques de sécurité mis en oeuvre, homologation
et audits de sécurité, cartographie (7)) ; celui de leur « protection » (architecture, administration, identités et accès), celui de leur « défense » (détection et traitement des incidents) ; et celui de la « résilience des activités » (gestion de crise en cas d’incident de sécurité ayant un impact majeur sur la fourniture des services essentiels en cause). Ces règles établissent le champ et les mesures de référence de la protection responsable des systèmes d’information critiques.
On peut ensuite mentionner le règlement européen sur la cybersécurité (8), voté en mars 2019 par le Parlement européen, qui vient, d’une part, donner mandat permanent et compétences à l’ENISA, l’Agence européenne chargée de la sécurité des RSI (9), d’autre part, établir une cadre pour la mise en place d’un « système européen de certification de cybersécurité » pour les processus, produits et services des technologies de l’information et de la communication (TIC). Ce dispositif, qui pourrait devenir un ressort essentiel du « marché unique numérique », devra s’articuler avec
les compétences de souveraineté et les intérêts normatifs et industriels fondamentaux des Etats membres avancés dans ce domaine, dont la France avec l’ANSSI. Les deux chambres du Parlement français avaient émis fin 2017 alerte et réserve sur ce point.
Le dispositif prévoit que la Commission européenne proposera la liste prioritaire des processus, produits et services TIC susceptibles d’être soumis à ce système de certification et que la certification, structurée en trois « niveaux d’assurance » (élémentaire, substantiel et élevé) procédera par démarche volontaire des acteurs intéressés.

Référentiels et socle de conformité
L’ANSSI a présenté en 2018 sa méthode EBIOS Risk Manager de référence pour l’analyse des risques de sécurité numérique et l’élaboration d’un « socle de sécurité solide appliquant les référentiels pertinents vis-à-vis de l’état de l’art (10) et de la réglementation », en vue notamment d’un label de conformité pour les éditeurs de solutions logicielles de gestion des risques et de la conformité. Le « régulateur de
la sécurité numérique » s’est également intéressé spécifiquement à la sécurité des données personnelles, en faisant évoluer son référentiel SecNumCloud pour intégrer les exigences du règlement général sur la protection des données (RGPD) et en publiant pour la matière des recommandations (« commandements de base »,
« précautions élémentaires ») tirées et adaptées de son guide d’hygiène informatique. Ce référentiel SecNumCloud concerne les prestations de services d’informatique en nuage (PSIN). Il fait partie des référentiels d’exigences et de labellisation développés par l’ANSSI pour qualifier les « prestataires de services de confiance » (PSC) (11).

Incidents, risques et manquements
La Cnil a elle-même publié en 2018 un guide de sécurité des données personnelles (12), consolidant et développant ses recommandations antérieures. Elle souligne dans son rapport pour 2018 que les « mesures de précautions élémentaires » rappelées dans les recommandations de son guide et de celui de l’ANSSI permettent de prévenir ou de limiter l’impact de nombreuses violations de données personnelles et « doivent aujourd’hui être le socle minimum sur lequel toute organisation fait reposer son système d’information ». D’autant que le RGPD, entré en vigueur en mai 2018, « impose à tous les organismes qui traitent des données personnelles de mettre en place des mesures pour prévenir les violations de ces données » et de pouvoir « apporter la preuve de
leur conformité ». En effet, le RGPD place la « garantie de sécurité appropriée » des données personnelles parmi les « principes » de conformité et de responsabilité du traitement des données personnelles, avec la responsabilité de « mettre en oeuvre des mesures techniques et organisationnelles appropriées pour assurer et être en mesure de démontrer que le traitement est effectué conformément au règlement » (13). La mise en oeuvre du « socle de sécurité » recommandé aura ainsi vocation à constituer la preuve de la conformité à l’obligation de garantie de sécurité appropriée des données personnelles traitées, obligation de moyen renforcée et de moyens effectifs à l’état de l’art, en particulier dans le cadre de la notification obligatoire d’une violation de données susceptible de révéler non seulement un défaut de sécurité causal mais une politique de sécurité défaillante.
L’ANSSI rapporte la survenance en 2018 de 1.869 signalements d’événements de sécurité, dont 391 incidents (hors OIV) et 16 incidents majeurs, contre respectivement 2.435, 794 et 20 en 2017. Elle rappelle l’étendue et l’intensité constantes des menaces et des risques de cybersécurité (sabotage, déstabilisation, espionnage, captations, fraudes, etc.), en soulignant que l’espionnage est le risque qui pèse le plus fortement sur les organisations, à travers notamment des attaques indirectes exploitant des relations de confiance établies entre parties prenantes. Le rapport publié en mai 2018 par la Délégation interministérielle aux industries de sécurité et à la lutte contre les cybermenaces (DMISC) sur l’état de la menace numérique en 2018 présente un tableau instructif des attaques, des fraudes et des dommages enregistrés avec le développement notamment du « crimeas- a-service » (CaaS) et souligne le risque majeur des objets connectés, à la fois cibles et vecteurs d’attaques, dont la sécurité n’est souvent pas la préoccupation principale de leurs fabricants. Il note par ailleurs que si la grande majorité des entreprises françaises sont touchées par des cyberattaques et que la France est le deuxième pays au monde le plus affecté par les vols de données personnelles, « la sécurité représente moins de 5 % du budget IT dans près de deux tiers des entreprises ». La Délégation parlementaire au renseignement a pu constater dans son rapport publié en avril 2018 que le tissu économique français « pâtit encore d’une culture de sécurité, notamment informatique, très largement déficitaire ». Pour sa part, la CNIL mentionne la poursuite en 2018 de nombreux signalements de violations de données personnelles issues de failles de sécurité et la réception entre fin mai 2018 (entrée en vigueur du RGPD) et fin décembre 2018 de 1.170 notifications de violations à la suite principalement d’atteintes à la confidentialité. De son analyse de ces notifications, elle a constaté tout d’abord que plus de 50 % des violations avaient pour cause un acte externe malveillant (principalement par piratage cyber et secondairement par vol physique) et environ 17 % un acte interne accidentel (principalement par adressage à un mauvais destinataire et secondairement par publication non volontaire). Ensuite, que ces violations mettaient « en évidence des faiblesses des systèmes d’information ou des processus mis en oeuvre au sein des entreprises ».
Tout comme en 2017, la majorité des sanctions (7 sur 10) et les montants les plus élevés de sanctions pécuniaires prononcés par la Cnil en 2018 l’ont été pour des manquements à la sécurité et à la confidentialité des données des utilisateurs ou des clients (14). Ces montants restent néanmoins limités au regard de la gravité des manquements des atteintes constatées.

Sanctions des carences ou insuffisances
La Cnil souligne que ce ne sont pas les incidents de sécurité en tant que tels qu’elle
a sanctionnés, mais les carences ou les insuffisances manifestes dans les mesures prises pour assurer la sécurité, causales dans les violations constatées y compris dans les cas d’intrusions élaborées. Les motifs de manquement et les montants de sanctions pourraient se développer fortement sur la base du RGPD, et avec une meilleure répartition entre les différentes parties prenantes à la sécurité des traitements. Il sera également instructif de suivre le traitement par la DGCCRF du signalement que lui
a adressé la Cnil en novembre 2017, dans l’affaire de la sécurisation des jouets connectés (15), au regard des « enjeux de sécurité et de conformité qui persistent
en dehors du champ d’application de la loi “Informatique et Liberté” ». @

Vers une nouvelle loi contre le cyberharcèlement et les contenus haineux en ligne

Le gouvernement va présenter avant l’été un projet de loi contre le cyberharcèlement et les contenus haineux en ligne, en responsabilisant plus
les plateformes numériques et en restreignant l’anonymat. Le droit à l’effacement et l’actuel arsenal juridique sont actuellement limités face au fléau.

Par Christiane Féral-Schuhl*, avocate associée, cabinet Féral-Schuhl/Sainte-Marie

Le harcèlement consiste à tenir des propos ou avoir des comportements répétés, ayant pour objet ou pour effet une dégradation des conditions de vie d’une personne, susceptible de porter atteinte à ses droits, à sa dignité et d’altérer sa santé physique ou mentale. A l’ère du numérique, le harcèlement s’opère sur Internet, les réseaux sociaux, les blogs ou tout autre support en ligne.

Essor d’un fléau et arsenal juridique
Le harcèlement en ligne, également appelé cyber-harcèlement, est au cœur de l’actualité, que ce soit avec les attaques qui ont visé le chanteur Bilal Hassani – représentant la France à l’Eurovision 2019, en mai prochain – ou encore avec l’affaire de la « Ligue du LOL ». La prolifération des faits de harcèlement en ligne suscite de plus en plus d’inquiétudes. Aux Etats-Unis, la cour suprême a récemment condamné pour homicide une femme de 22 ans jugée pour avoir poussé son petit ami au suicide en 2014, par une série de textos. En France, la récente affaire de la « Ligue du LOL », du nom d’un groupe privé sur Facebook, illustre également l’accroissement significatif du cyber-harcèlement. A la suite de ces révélations, plusieurs journalistes impliqués ont été suspendus par leurs employeurs pour avoir harcelé il y a quelques années d’autres journalistes et blogueurs sur le réseau social Twitter. Des victimes ont dénoncé des entraves à leur carrière et un dénigrement systématique de la part des membres du groupe ou de leur entourage, souvent accompagnés de photos et messages violents. Pour l’instant, il n’y a pas d’enquête judiciaire sur les faits allégués, la plupart d’entre eux étant prescrits (à partir de 6 ans, mais un rallongement du délai de prescription
est à l’étude). Cette affaire de la « Ligue du LOL » a amené une vingtaine de médias (presse et audiovisuel) à signer le 13 mars au ministère de la Culture une « Charte pour les femmes dans les médias, contre le harcèlement et les agissements sexistes dans les médias » (1). Le cyber-harcèlement est partout, y compris parfois au sein du couple. Dans le cadre des violences conjugales, les violences physiques sont souvent accompagnées de cyber-violences : cinq femmes victimes de violences conjugales
sur six déclarent ainsi avoir également subi des actes de cyber-harcèlement, selon le Centre Hubertine Auclert (2). Le cyber-harcèlement revêt dès lors plusieurs formes. Il peut s’agir de la propagation de rumeurs sur Internet, de la création d’un faux profil à l’encontre d’une personne, de la publication de photographies sexuellement explicites ou humiliantes, des messages menaçants ou du « happy slapping », cette pratique qui consiste à filmer à l’aide d’un téléphone portable des actes de violence et à les diffuser sur Internet, notamment sur les réseaux sociaux.
Le cyber-harcèlement est une infraction grave réprimée par le Code pénal. La menace de rendre publics sur Internet des enregistrements sonores, des images ou des vidéos à caractère sexuel d’un(e) ex-partenaire, avec l’intention de nuire, peut être qualifiée de chantage (3). Ou encore être sanctionnée sur le fondement de la menace de violence (4). La publication sur un site web permet aussi de sanctionner l’auteur pour des faits de violence psychologique, délit introduit dans notre Code pénal par la loi du 9 juillet 2010 dans le but de lutter plus efficacement contre les violences conjugales (5), quelle que soit leur nature (6). Diffuser à répétition sur Internet des enregistrements, des images, des vidéos à caractère sexuel, c’est aussi du harcèlement sexuel visé et réprimé par le Code pénal (7). Par ailleurs, l’article 222-33-2-2 du Code pénal sanctionne le harcèlement moral d’un an d’emprisonnement et de 15.000 euros d’amende.

Du retrait des contenus à de la prison ferme
La récente loi du 3 août 2018 renforçant la lutte contre les violences sexuelles et sexistes (8) modifie cet article pour prévoir que le délit est également constitué
« lorsque ces propos ou comportements sont imposés à une même victime par plusieurs personnes, de manière concertée ou à l’instigation de l’une d’elles, alors même que chacune de ces personnes n’a pas agi de façon répétée » ou « lorsque
ces propos ou comportements sont imposés à une même victime, successivement,
par plusieurs personnes qui, même en l’absence de concertation, savent que ces propos ou comportements caractérisent une répétition ». En outre, la même loi prévoit une aggravation des peines lorsque les faits sont commis par l’utilisation d’un service de communication au public en ligne ou par le biais d’un support numérique électronique. Ainsi, en cas de cyber-harcèlement, les peines sont portées à trois ans d’emprisonnement et 45.000 euros d’amende. Enfin, l’article 222-16 du Code pénal réprime l’envoi de plusieurs courriels malveillants à l’incrimination des appels téléphoniques malveillants et agressions sonores. A cet arsenal juridique, viennent s’ajouter des décisions judiciaires qui montrent de quelles manières les délits de cyber-harcèlement peuvent être constitués. Par une ordonnance de référé du 29 mars 2016 (9), le président du tribunal de grande instance de Paris a considéré que la publication de 34 articles faisant état de la dangerosité de deux personnes, affirmant qu’elles seraient recherchées par les autorités et lançant des avis de recherche était constitutive du délit de « cyber-harcèlement ». Le dirigeant a été condamné à retirer les articles publiés sous astreinte de 100 euros par jour.

Conseils de la Cnil et plan du gouvernement
A son tour, en 2017, le tribunal correctionnel de Bordeaux (10) a condamné une personne qui a proféré des menaces de mort à l’encontre d’un journaliste via le réseau social Twitter. Les juges ont retenu la circonstance aggravante de « menaces commises en raison de la religion ». Pour déterminer la culpabilité du mis en cause, il est retenu que « le premier message est clairement menaçant » et que « l’enchaînement des messages qui suivent est également de nature à constituer une menace de mort ».
En outre, les juges ont estimé que le délit était constitué, aux motifs que « les menaces ayant été adressées par messages envoyés par Twitter, il s’agi[ssai]t bien de menaces matérialisées par un écrit ». À ce titre, le prévenu a notamment été condamné à une peine d’emprisonnement d’un an ferme. Plus récemment, le 20 mars 2019, un étudiant qui avait harcelé une journaliste sur Internet à la suite d’un article a été condamné à cinq mois de prison avec sursis et 2.500 euros d’amende pour préjudice moral.
Partant du constat que près de 10 % de la population européenne a subi ou subira un harcèlement (11), la Commission nationale de l’informatique et des libertés (Cnil) a publié une série de conseils sur le cyber-harcèlement. Qui sont les cyber-harceleurs ?
« Un internaute peut être harcelé pour son appartenance à une religion, sa couleur de peau, ses opinions politiques, son comportement, ses choix de vie, … Le harceleur peut revêtir l’aspect d’un “troll” (inconnu, anonyme) mais également faire partie de l’entourage de la victime (simple connaissance, ex-conjoint, camarade de classe, collègue, voisin, famille …) », prévient la Cnil. Elle rappelle aux victimes de violences sur Internet la réaction à adopter face au harcèlement – avec comme principe de base de « ne surtout pas répondre ni se venger » – et les paramétrages des médias sociaux conseillés. Si le harcèlement en ligne est réprimé par le Code pénal et relève de la compétence judiciaire, la Cnil rappelle que chaque personne a un droit à l’effacement
et au déréférencement de ses données. Ainsi, la victime peut demander la suppression des informations auprès de chaque site web ou réseau social. La personne qui en est responsable est, par conséquent, tenue de procéder à l’effacement dans les meilleurs délais et au plus tard dans un délai d’un mois (voire trois si la demande est complexe). En cas d’absence de réponse sous un mois, un recours auprès de la Cnil est possible. Pour le droit au déréférencement spécifiquement, elle rappelle que « si ces informations apparaissent dans les résultats de recherche à la saisie de vos prénom et nom, vous avez la possibilité d’effectuer une demande de déréférencement auprès du moteur de recherche en remplissant le formulaire [comme celui de Google, ndlr (12)] ».
Face à la prolifération des faits de harcèlement en ligne, le gouvernement entend se saisir de la question et prendre de nouvelles mesures pour lutter efficacement contre ces actes. Un projet de loi contre les contenus haineux et le harcèlement en ligne devrait être présenté avant l’été. Il a ainsi annoncé le 14 février dernier sa volonté de responsabiliser les plateformes et d’accélérer les procédures pour identifier les auteurs de propos haineux en ligne. Les secrétaires d’Etat – Marlène Schiappa à l’Egalité et Mounir Mahjoubi au Numérique – veulent en effet, par ce « plan d’action », pousser les plateformes à mettre « en quarantaine » ou retirer « en quelques heures » les contenus haineux. Le gouvernement propose ainsi de superviser les outils de signalement
à disposition des internautes et envisage d’auditer régulièrement les règles de modération des contenus des plateformes. Il les incite également à développer leurs outils de modération automatique avec la possibilité, pour les utilisateurs, de faire appel. Le secrétaire d’Etat au Numérique désire par ailleurs créer un nouveau statut pour les plateformes en ligne qui serait entre celui d’hébergeur de contenus et celui d’éditeur, permettant d’engager plus efficacement leur responsabilité. « La loi allemande oblige (…) désormais les acteurs à supprimer dans un délai de 24h les contenus “manifestement illégaux” et prévoit des sanctions allant jusqu’à 50 millions d’euros en la matière », a-t-il rappelé (13).

Aller jusqu’à restreindre l’anonymat
Des mesures concernant l’anonymat sur Internet sont également en réflexion. Il s’agirait de restreindre cet anonymat à certains usages tels que les pétitions en lignes. Enfin, si la possibilité de demander l’identité des auteurs d’harcèlement en ligne existe déjà, le gouvernement voudrait fixer et imposer aux plateformes des délais pour communiquer ces données. @ 

* Christiane Féral-Schuhl est ancien bâtonnier
du Barreau de Paris, et auteure de « Cyberdroit »,
dont la 7e édition (2018-2019) est parue aux éditions Dalloz.

«Lutte contre le piratage sur Internet », Saison 2

En fait. Le 6 novembre, se tiendront les 1ères Assises de la sécurité pour
la protection des contenus audiovisuels (au sein du Satis-Screen4All). Mi-septembre, le salon IBC d’Amsterdam faisait la part belle à la lutte contre le piratage audiovisuel. Il en fut aussi question au colloque NPA du 11 octobre.

En clair. Avec un nouveau ministre de la Culture, ancien rapporteur de la loi qui instaura l’Hadopi dont il fut ensuite membre (lire en Une), c’est la « Saison 2 » de
la lutte contre le piratage sur Internet. Le piratage est-il en hausse ? « La tendance serait plutôt inverse, à la baisse », nous répond Frédéric Delacroix, délégué général
de l’Association de lutte contre la piraterie audiovisuelle (Alpa). En attendant la « liste noire » de l’Hadopi, les industries culturelles et les ayants droits réaffûtent leurs armes. Organisées au sein du Satis- Screen4All par Génération Numérique (1), les 1ères Assises de la sécurité pour la protection des contenus audiovisuels sont révélatrices d’une crainte grandissante de la filière – producteurs, ayants droits, détenteurs de catalogues, éditeurs de contenus et diffuseurs audiovisuels.
Cette « journée spéciale » abordera la « menace évolutive » du piratage de films,
de séries et du live streaming, dont « les sources sont devenues plus diffuses et se professionnalisent », ainsi que les technologies d’empreinte digitale (fingerprinting),
de tatouage numérique (watermarking) ou encore de détection de cyberattaques de contenus (firewall). Mi-septembre, le salon audiovisuel IBC à Amsterdam – d’envergure mondiale cette fois – a accordé une place plus importante à la protection des contenus, à la gestion des droits numériques de type DRM (2) et aux systèmes d’accès conditionnel, ou CAS (3). S’est même tenu, à l’IBC, un « forum sur la cybersécurité » d’une journée, dont s’est inspiré le Satis. La société américaine Intertrust a par exemple montré le standard de DRM ouvert baptisé Marlin qu’elle a créé avec Samsung, Sony, Philips et Panasonic, pour être installé sur les Smart TV et les décodeurs. Objectif : protéger les flux broadcast.
La lutte contre le piratage s’est aussi invitée au 28e colloque NPA-Le Figaro, le 11 octobre. « La réponse graduée montre ses limites (…). Il faut pouvoir lutter contre les nouvelles formes de piratage – « box » Kodi [lire EM@185, p. 5], live streaming, etc. », a rappelé Denis Rapone, président de l’Hadopi, qui s’est en outre dit « ouvert » à l’idée d’une fusion entre l’Hadopi et le CSA. Le président du directoire du groupe Canal+, Maxime Saada, a, lui, retiré sa sonnette d’alarme : « Il ne s’agit plus d’un phénomène touchant uniquement les plus jeunes (…), avec un Français sur quatre qui pirate ». @

Secrétaire d’Etat au Numérique : la « feuille de route » interministérielle et européenne de Mounir Mahjoubi

Septième ministre en charge du Numérique depuis la création de cette attribution gouvernementale il y aura dix ans en mars 2018, le secrétaire d’Etat Mounir Mahjoubi a pour la première fois déjeuné avec des journalistes pour parler en « off » de son action politique aussi bien nationale qu’européenne.

PAR Charles de Laubier

Ce fut, le 6 octobre dernier, le premier déjeuner de Mounir Mahjoubi (photo) avec des journalistes, en l’occurrence ceux de l’Association des journalistes économiques et financiers (Ajef). Une première pour lui, depuis qu’il a été nommé le 17 mai, « secrétaire d’Etat auprès du Premier ministre, chargé du Numérique » (1). Mais pour cette tout première rencontre – présentée comme « une prise de contact » – avec des médias (dont faisait partie Edition Multimédi@), le plus jeune membre (33 ans) du gouvernement d’Emmanuel Macron a préféré jouer la prudence en imposant le « off », voire du triple off-the-record.
Autrement dit, les propos qu’ils aura tenus durant son tout premier repas journalistique devaient être tenus strictement confidentiels. Dommage ! D’autant que le secrétaire d’Etat au Numérique, en pleine forme et souriant ce jour-là comme à son habitude et malgré un agenda de ministre très chargé, fut disert voire prolixe sur ses dossiers qu’il semble connaître sur le bout des doigts.

Actions « tous azimuts », agenda surbooké
Mounir Mahjoubi a ainsi répondu aux questions des journalistes sur des sujets aussi variés que la cybersécurité, la transformation numérique de l’Etat, l’inclusion numérique, la numérisation des TPE et PME, le déploiement du haut et très haut débit, le financement de l’innovation, la diversité dans les start-up, ou encore la taxation des GAFA. Il faut dire que les nombreuses attributions qui lui ont été déléguées par le Premier ministre Edouard Philippe – dont il dépend directement – en font le seul ministre du gouvernement véritablement « interministériel ».
C’est aussi la seconde fois depuis la création de cette fonction de « secrétaire d’Etat au Numérique » au sein d’un gouvernement français – et cela fera dix ans en mars 2018 – que ce portefeuille ministériel dépend du Premier ministre et non pas de Bercy, c’est-à-dire sans être sous tutelle du ministère de l’Economie aux dénominations variables selon les époques. Si les deux premiers « secrétaires d’Etat au Numérique », Eric Besson (mars 2008-janvier 2009 (2)) et Nathalie Kosciusko-Morizet (janvier 2009-novembre 2010 (3)), l’ont été en effet successivement auprès du Premier ministre de l’époque, François Fillon, il n’en a pas été de même pour les quatre suivants. Ainsi, durant près de sept ans, Eric Besson (novembre 2010- mai 2012), Fleur Pellerin (mai 2012-mars 2014), Axelle Lemaire (avril 2014-février 2017) et Christophe Sirugue (février 2017-mai 2017) se retrouveront nommés secrétaires d’Etat placés sous la houlette de Bercy.

Actions « tous azimuts », agenda surbooké
Deux ministres de l’Economie accoleront même «Numérique» au libellé de leur portefeuille : Arnaud Montebourg en tant que «ministre de l’Economie, du Redressement productif et du Numérique » (avril 2014-août 2014) et… Emmanuel Macron en tant que « ministre de l’Economie, de l’Industrie et du Numérique » (août 2014-août 2016). Auparavant, avant mars 2008, il n’est pas encore question de
« Numérique » dans les attributions ministérielles mais seulement de « Technologies
de l’information » : François Fillon fut « ministre des Technologies de l’information et de la Poste » (mai 1995- novembre 1995), suivi de Claudie Haigneré « ministre déléguée
à la Recherche et aux Nouvelles technologies » (juin 2002- mars 2004). Entre ces deux ministres, les « Technologies de l’information » disparaissent même au profit des
« ministres de la Recherche et des Télécommunications ».
Puis, de 2004 à 2008 et à défaut de ne toujours pas avoir de ministre du Numérique en France pourtant déjà jugé nécessaire à l’époque (4), les « Technologies » réapparaissent au détour des « ministres de la Recherche et des Technologies ». C’est alors qu’une sorte d’anomalie gouvernementale va perdurer de 2008 à 2012 : malgré la nomination finalement du tout premier « secrétaire d’Etat chargé au Développement de l’économie numérique » en mars 2018, le décret des attributions du ministre de la Recherche, lui, n’est pas modifié pour autant. Résultat, durant la majeure partie du quinquennat de Nicolas Sarkozy, le gouvernement français aura eu à la fois un ministre de l’Economie numérique, un autre chargé des Nouvelles technologies de l’information et de la communication (NTIC) – à savoir le ministre de la Recherche qui « prépare »
la politique du gouvernement en la matière –, ainsi qu’un ministre chargé des Télécommunications et un autre de la Communication audiovisuelle !
Mais revenons à Mounir Mahjoubi, le septième ministre en charge du Numérique.
C’est à croire qu’il ne sait plus où donner de la tête tant son action interministérielle l’amène à parler avec tous ses collègues du gouvernement, les collectivités territoriales et les instances européennes. Par exemple, rien que sur la semaine du 9 au 13 octobre, son agenda officiel ne comptait pas moins d’une quinzaine d’entretiens avec des personnalités, allant de Fleur Pellerin, présidente du fonds d’investissement Korelya Capital, ancienne ministre de l’Economie numérique (5) et exministre exministre de la Culture et de la Communication, à Gilles Babinet, Digital Champion de la France auprès de la Commission européenne, en passant par Thierry Delville, délégué aux industries de sécurité et à la lutte contre les cybermenaces au ministère de l’Intérieur, Yannick Bolloré, PDG du groupe Havas (tout juste racheté par Vivendi présidé par le père de ce dernier) ou encore Sébastien Crozier, président du syndicat CFE-CGC chez Orange. A ces entretiens menés au pas de charge sont venues s’ajouter une audition devant la Commission numérique de Régions de France, une rencontre administrations-entrepreneurs pour l’appel à candidature « Entrepreneur.e d’intérêt général » (6), un déplacement à Option Start-up auprès des collégiens et lycéens dans toute leur diversité (fin septembre, il s’est rendu à Start-up Banlieue), une intervention à l’événement Bpifrance Inno Génération, une visite de la plateforme d’innovation Le Cargo. En outre, il a participé à l’Elysée au conseil de Défense et dans la foulée à celui des Ministres, sans oublier de répondre aux inévitables questions au gouvernement à l’Assemblée nationale et au Sénat. S’il y a une semaine qui illustre au mieux la course effrénée contre la montre qu’a engagée depuis cinq moins maintenant l’ancien président du Conseil national du numérique (CNNum), ex-responsable numérique de la campagne présidentielle d’Emmanuel Macron et élu député (REM) de la seizième circonscription de Paris, c’est bien celle-ci ! Son action a aussi une portée européenne. Par exemple, la veille de son déjeuner avec l’Ajef, Mounir Mahjoubi recevait Mariya Gabriel, la commissaire européenne à l’Economie et à la Société numériques (7), pour parler de la réforme en cours du
« Paquet télécoms » visant à inciter les opérateurs de réseaux à plus investir dans la couverture du très haut débit fixe et mobile – quitte à inscrire des obligations lors du renouvellement prochain de leurs fréquences hertziennes. Il a aussi été question entre eux de développement des start-up, de numérisation de l’industrie et de l’administration, d’économie des données, de formation des jeunes au codage, ou encore de cybersécurité et de lutte contre les contenus illicites en ligne de propagande terroriste ou de discours haineux (lire p. 4).

Sa longue « feuille de route » aux cinq piliers
Devant les journalistes de l’Ajef, Mounir Mahjoubi a justifié ce qui pourrait être perçu comme une hyperactivité, comme il l’avait déjà fait devant des parlementaires : « Ma feuille de route comporte cinq piliers. Le premier pilier, que je qualifierai de numérique économique, vise à accélérer la croissance et l’innovation. Le deuxième, consacré au numérique public, consiste à réinventer la puissance publique. Le troisième, le numérique inclusif, entend faire du numérique une chance pour tous. Le quatrième répond aux enjeux de la confiance, de souveraineté et de sécurité. Le cinquième, enfin, concerne la diffusion du numérique sur l’ensemble du territoire ». Vaste programme. @

Charles de Laubier