1« Je crois qu’en ce moment historique, le plus grand danger pour nos libertés et notre mode de vie dérive des pouvoirs omniscients des États, et du fait qu’ils ne soient contraints que par des documents politiques, » déclarait Edward Snowden le 10 juin 20131, quelques jours après avoir été à l’origine des premières fuites de documents top secret révélant le programme de surveillance systématique des réseaux mis en œuvre par la National Security Agency. Je me souviens de comment, pendant ces jours de tourmente politique, j’étais partagée entre l’admiration pour le courage de cet informaticien – employé par un prestataire de services de l’agence de renseignements américaine – et l’impression d’avoir sous les yeux les preuves incontournables d’une hypothèse qui, bien que maintes fois formulée, semblait en même temps relever de la science-fiction. Mais surtout, je me rappelle d’une autre pensée qui s’est alors manifestée : « Voilà ce qui change la donne pour les questions que je traite dans mon travail – j’aurais voulu et j’aurais dû en traiter dans le livre. » La première édition du présent ouvrage avait, en effet, été publiée juste quelques jours avant, le 6 juin 2013. Je me réjouis que l’attribution du Prix Informatique et Libertés 2013 à mes recherches me donne aujourd’hui l’occasion de combler cette lacune, au moyen de cette deuxième édition.

2Le Prix n’est, en effet, pas seulement un honneur. Il est aussi l’occasion pour moi de revenir sur presque six ans de travail autour des implications sociales, politiques, juridiques et économiques du « choix de la décentralisation » dans l’architecture des services Internet, en développant des aspects qui – bien que déjà présents dans l’ouvrage initialement publié – doivent aujourd’hui être placés tout particulièrement à l’avant-plan. La protection de la vie privée, les différentes manières de la définir, la variété d’instruments qui peuvent l’assurer – par la politique, par la technique, par le droit – face à la surveillance des réseaux : ces questions sont étroitement liées aux choix de conception et de développement de l’architecture technique qui sous-tend nos services Internet, et demandent, aujourd’hui plus que jamais, l’attention des pouvoirs publics, de la société civile organisée, et des citoyens.

3La deuxième édition de cet ouvrage est aussi une occasion de contribuer à l’évolution de la conception que le grand public a de la gouvernance d’Internet, en tant que champ d’études et de pratiques. Il fut en effet un temps, au début des années 2000, où se définir comme spécialiste de questions de gouvernance de l’Internet suscitait l’indifférence sinon la perplexité auprès des citoyens. Cette étiquette, « gouvernance de l’Internet », semblait en effet renvoyer à un monde étrange et étranger à notre vie quotidienne : un monde d’institutions onusiennes et intergouvernementales ou encore de standardisation technique, peuplées d’acronymes indigestes, s’occupant de questions et de jeux de pouvoir éloignés des préoccupations des utilisateurs.

4Les temps ont changé. Pas pour la pertinence des questions auxquelles renvoie l’étiquette « gouvernance de l’Internet » : celles-ci n’ont jamais cessé d’être fondamentales. Mais parce que, du fait du nombre de problèmes soulevés quotidiennement – de l’omniprésente surveillance des réseaux au débat sur l’obligation des moteurs de recherche d’assurer le « droit à l’oubli » à toute personne qui en ferait la demande – on commence désormais à comprendre que la gouvernance d’Internet se construit également, et peut-être principalement, au fil des dispositifs et des pratiques qui façonnent le « réseau des réseaux » jour après jour.

5L’Internet, autrefois conçu et utilisé dans une poignée de laboratoires informatiques publics et privés américains, intéresse désormais l’ensemble des activités humaines et est rendu accessible sur une variété de supports croissants, s’apprêtant même à « coloniser » en masse les objets de notre vie quotidienne. Cette omniprésence discrète suscite des questions relatives à la vie privée, à la formation des collectifs, à la reconfiguration des marchés ; elle se traduit notamment par la création de nouveaux instruments techno-juridiques pouvant assurer la protection des libertés individuelles et garantir l’existence ainsi que le progrès des arènes démocratiques.

Géants et concentration : une tendance anticipée

6Dans les années 1970, l’Internet est un collectif d’ordinateurs, décentralisé et peu étendu. L’introduction à grande échelle des ordinateurs personnels et domestiques qui s’ensuit se développe en parallèle à un « optimisme technologique » représenté par le manifesto de John Perry Barlow en 1996, la célèbre Déclaration d’indépendance du cyberespace. Barlow décrit à cette occasion une utopie numérique et anarchiste, au sein de laquelle les citoyens du Net ou Netizens s’organiseraient autour de formes d’auto-régulation autonomes et ne devraient aux institutions d’antan que la curiosité académique qu’on doit aux fossiles. « Au nom du futur, je vous demande de nous laisser tranquilles. Vous n’êtes pas les bienvenus et vous n’avez aucune souveraineté où l’on se réunit, » déclara Barlow.

7Presque vingt ans de développements, évolutions et contre-évolutions d’une portée considérable ont désormais rendu l’Internet quelque chose de très différent de cette vision (il est d’ailleurs discutable que celle-ci ait jamais été un portrait fidèle de l’Internet en pratique). L’Internet qu’on connaît aujourd’hui est un « réseau de réseaux » où un pourcentage impressionnant de l’organisation et de la circulation des flux et de l’information passe par un nombre limité de grandes entreprises. Informations et flux qui sont donc profondément susceptibles d’être influencés par ces entreprises et par les institutions avec qui elles entretiennent, maintes fois, des « liaisons dangereuses ». Si Google, par exemple, constitue désormais un quart du trafic Internet nord-américain, l’influence globale du géant de l’information en ligne n’a été que trop visible lorsque la panne d’août 2013 a causé une diminution de quarante pour cent du trafic mondial2.

8Il s’agit là d’une « convergence » ou tendance à la concentration qui avait été anticipée par nombre d’ingénieurs et développeurs pionniers de l’Internet. Paul Baran, l’un des deux inventeurs des réseaux à commutation de paquets qui auraient donné naissance à l’Internet, prédisait depuis 1967 l’avènement d’un service («  utility ») informatique centralisé, qui aurait offert de la capacité de calcul de la même manière que les fournisseurs d’énergie nous font parvenir l’électricité. Modèle dont on peut aisément retrouver l’équivalent dans les empires informationnels d’Amazon, Google, Microsoft, et d’autres entreprises qui s’inspirent du paradigme du cloud computing. Et comme Paul Baran avait prédit, ces services nous offrent, fondamentalement, une impression de confort et d’immédiateté au détriment de la protection de la vie privée.

9Les utilisateurs de l’Internet et des services qui le peuplent se soumettent régulièrement, en effet, à des politiques de confidentialité et conditions d’utilisation qui permettent aux entreprises de partager leurs données personnelles avec des institutions gouvernementales ou intergouvernementales, ou avec des entreprises tierces, à des fins de marketing. Parfois, des lois qui précèdent l’avènement du Web déterminent le cadre juridique qui lui est applicable : c’est le cas des États-Unis, où l’Electronic Communications Privacy Act – dont on a souvent invoqué une modernisation – permet aux agences étatiques d’obtenir sans un mandat les données personnelles que le citoyen confie à des tiers, y compris les données de présence collectées et agrégées de manière passive depuis les téléphones portables et les courriels.

Les révélations Snowden et la « contre-surveillance par la décentralisation »

10En juin 2013, une bombe explose, sous la forme des révélations de l’informaticien Edward Snowden, prestataire de service extérieur pour la National Security Agency (NSA), le principal service de renseignement américain. Snowden montre au monde – ou plutôt, fait éclater au grand jour, documents top secret à la main – que ces imposants silos d’informations permettent aux agences de renseignement de cibler avec précision leurs opérations en étant capables d’être à l’écoute d’une grande partie de la population mondiale.

11L’une de ces révélations, en particulier, suscite l’indignation : la NSA serait en train d’intercepter discrètement les connexions entre les puissants centres de données appartenant à Google et Yahoo !, permettant à l’agence de renseignements de collecter les données personnelles des utilisateurs alors qu’elles circulent sur les réseaux de ces entreprises. Les ingénieurs de Google réagissent en promettant le chiffrement de ces connexions afin d’éviter « par la technique » toute intrusion future ; Yahoo ! fait une déclaration similaire. Les hauts dirigents de Microsoft, quant à eux, font savoir non seulement qu’ils mettront en œuvre des mesures de sécurité semblables, mais qu’ils sont sur le point d’ouvrir des « centres de transparence » qui passeront au crible la plus grande partie du code source de leurs logiciels, à la recherche de back doors installés à leur insu par des agents liés au gouvernement. Sur le site Reformgovernmentsurveillance.com, huit acteurs majeurs de l’industrie IT américaine – d’habitude en compétition farouche les uns avec les autres – s’unissent pour demander un renforcement de la transparence des activités gouvernementales, et une modernisation des lois relatives à la surveillance.

12Les déclarations enflammées de Mark Zuckerberg ou de Marissa Mayer, plaidant leur engagement en faveur de la vie privée et une plus grande transparence, ne suffisent cependant pas à restaurer la confiance des utilisateurs/citoyens envers les géants américains du cloud. Cette confiance est ultérieurement mise à l’épreuve lorsque des nouvelles révélations s’accumulent, explorant les « liaisons dangereuses » (et formelles) entre nombre d’entreprises IT et la NSA ; la surveillance massive de contenus qui se passe à leur entrée et leur sortie des États-Unis, avec d’importantes implications pour la surveillance internationale ; les tentatives délibérées de la part du service de renseignement américain d’affaiblir dès leur naissance les standards cryptographiques. En novembre 2013, le New York Times publie un document qui liste spécifiquement, parmi les missions de la NSA, celle d’« influencer le marché mondial des technologies d’encryptage » au moyen de relations commerciales avec des entreprises qui développent et implémentent des produits de sécurité informatique.

13Dans ce contexte, la solution explorée par plusieurs développeurs devient celle de travailler à un Internet qui soit plus semblable à celui des origines : moins centralisé, plus distribué. Un projet qui ouvre des opportunités et pose en même temps des défis de taille : si, d’un côté, les solutions techniques décentralisées promettent à l’utilisateur un contrôle plus fin sur ses données, une meilleure protection de ces données avant qu’elles ne « sortent » de son ordinateur, elles posent en parallèle des problèmes de prise en main des dispositifs, d’utilisation effective et de viabilité des modèles économiques associés.

14Comme cet ouvrage le montrera, le post-Snowden est loin d’être la première occasion où le projet de la (re-)décentralisation bénéficie d’un regain d’intérêt. Cependant, les questions de surveillance le présentent sous des nouvelles facettes, et relient très fortement la question de la décentralisation des réseaux à celle de la privacy by design, ou « protection de la vie privée dès la conception » : principe techno-juridique selon lequel toute technologie exploitant des données personnelles doit intégrer la protection de la vie privée dès sa conception, et s’y conformer tout au long de son cycle de vie. Il s’agit là d’un concept appelé à connaître un fort développement, notamment en Europe, dans le cadre de l’élaboration, actuellement en cours, du Règlement sur la protection des données.

L’Europe et la privacy : pour une protection inscrite dans les architectures ?

15La protection des données personnelles « par la technique » constitue donc un enjeu qui fait actuellement l’objet de négociations-clefs au niveau européen. Si l’affaire Snowden a assuré une visibilité renouvelée à cet enjeu, l’histoire de ce dernier est bien plus longue ; notamment, l’argument que les Européens « ne sont pas maîtres de leurs données » revient régulièrement dans les médias depuis la création de la Directive européenne (95/46/EC) sur la protection des données personnelles en 1995.

16Des discussions aussi sensibles que décisives sont en cours entre l’Union européenne et les États-Unis sur le « safe harbour », l’accord qui régit les transferts de données personnelles vers les entreprises américaines qui y adhèrent, ainsi que sur le « umbrella agreement » qui concerne les droits des citoyens européens lors de la transmission de données dans le cadre de procédures judiciaires. La question de l’échange des données se pose également dans le cadre du Partenariat transatlantique de commerce et d’investissement (TTIP), l’accord commercial en cours de négociation entre l’Union européenne et les États-Unis, qui vise à éliminer les barrières commerciales dans de nombreux secteurs économiques afin de faciliter l’achat et la vente de biens et de services entre l’UE et les États-Unis3.

17Ce contexte est en arrière-plan des positions prises par le Parlement européen dans l’affaire Snowden, après neuf mois d’enquête : le Parlement a demandé l’accélération de la négociation sur la protection des données, la suspension de la décision safe harbour ainsi que de l’accord TFTP (échange de données financières en matière de lutte contre le terrorisme). La résolution du Parlement en relation avec ces enjeux appelle, notamment, à la création d’un « habeas corpus numérique »4.

18Autant d’arènes où les alternatives décentralisées aux services Internet, en tant que moyen de définir et assurer de manières différentes la protection des données personnelles, pourraient être prises en considération par l’Europe. Par ailleurs, la grande occasion de leur porter un soutien actif est sans doute représentée par les négociations actuellement en cours sur le projet de Règlement de protection des données en Europe5. Ce texte, qui devrait remplacer la Directive sur la protection des données 95/46/EC, est explicitement reconnu par l’Europe comme une nécessité face aux « défis de la mondialisation et des nouvelles technologies »6.

19Etant donné que des documents tels que le Règlement fixeront le cadre des législations nationales pour les années à venir, il semble important que leur traitement des questions de privacy by design inclue également des références explicites aux « nains » de l’Internet, aussi bien qu’à ses « géants ». Il convient de noter qu’actuellement, les dispositifs basés sur des architectures distribuées cherchent à s’insérer et à trouver leur place dans un scénario de « concentration » dominant qui risque à tout moment, par le droit, par la technique ou un mélange des deux, d’entraver des possibles solutions alternatives à la protection des données personnelles. Les architectures P2P pourraient-elles, dans ce cadre, constituer une voie stratégique originale à suivre en Europe en termes de protection des données personnelles ?

La pluralité des « modèles Internet » dans le débat public et politique ?

20S’il semble difficile, de par leur nature distribuée et « discrète », d’inscrire la promotion de ces alternatives dans la loi, il semble non seulement possible mais opportun que la politique d’innovation européenne les soutienne activement, et pour ce faire, d’autres voies existent.

21Il serait, tout d’abord, souhaitable que l’Europe soit prête à décourager de manière plus ou moins contraignante des projets de loi nationaux qui, comme il a déjà été le cas dans le passé, viseraient à entraver des usages spécifiques du P2P, posant une sérieuse menace à l’innovation dans ce domaine. Plus généralement, en sortant du cadre du P2P, il faudrait être prudent par rapport à toute proposition de loi visant à préserver des monopoles existants face à des alternatives basées sur les nouveaux usages numériques.

22L’Europe a ensuite l’opportunité de développer ultérieurement un programme de recherche qui permette de faire avancer l’état des connaissances sur l’économie du partage, la production entre pairs, les architectures décentralisées7. Si les chercheurs peuvent être mobilisés dans les arènes politiques pour rendre compte des enjeux du distribué, il s’agit aussi de produire des prototypes, qui prennent en compte les dimensions sociales et organisationnelles en plus de la dimension technique. Le volet de ces recherches qui concerne la viabilité des modèles économiques pour les architectures décentralisées, qui peinent encore à trouver leur voie, devrait être tout particulièrement valorisé, car à l’heure actuelle, les solutions centralisées qui sont en place bénéficient d’une avance appréciable tant au niveau de la qualité de service, que de la masse d’utilisateurs, créant des effets d’inertie et de difficulté de « migration » particulièrement redoutables pour des solutions alternatives.

23Il s’agit également, pour l’Europe, d’être capable d’envisager des stratégies « vraiment » alternatives. Face à la domination des clouds centralisés, dont les fermes de serveurs sont très souvent hébergées sur le territoire américain, il serait souhaitable que l’« indépendance technologique » de l’Europe, envisagée comme partie intégrante de son habeas corpus numérique8, comporte des solutions P2P et décentralisées, plutôt que de considérer comme alternative la promotion… du cloud centralisé européen.

24C’est pourtant ce qui se passe à l’heure actuelle : dans le cadre des solutions traditionnelles, qui prévoient l’hébergement des données personnelles sur des serveurs appartenant aux entreprises, la question centrale pour la protection des données est de savoir où est localisé le serveur. Dans ce scénario, promouvoir une « alternative européenne » consiste à contraindre les géants du net à localiser leurs serveurs là où ils collectent les données, ou alors à favoriser des hébergeurs européens – en faisant au passage l’hypothèse que les services de renseignement européens seraient plus respectueux de la vie privée que leurs homologues américains. Dans le cas de l’adoption de solutions P2P, les fermes de serveurs disparaîtraient ou se verraient fortement redimensionnées (comme on verra tout au long de cet ouvrage, les solutions de P2P « intégral » sont rares et présentent des complications) : la localisation des serveurs cesserait donc d’être le nœud central de la controverse.

25Il s’agit enfin de rendre partie intégrante du débat public européen la question des modèles organisationnels et architecturaux que sous-tendent actuellement nos services Internet ; le public – et les pouvoirs publics – sont de plus en plus conscients que le partage, le regroupement, le stockage des données dans les populaires services Internet d’aujourd’hui répondent à un modèle où le trafic est redirigé vers un ensemble de machines, placées sous le contrôle direct et exclusif du fournisseur de service. Mais ils sont beaucoup moins conscients de l’existence de toute une galaxie de services décentralisés où les opérations de traitement de données ont lieu, en priorité ou en totalité, sur et entre les ordinateurs des utilisateurs, liés directement les uns aux autres. Il s’agit là d’un choix d’architecture qui contribue à façonner des définitions particulières de la protection de la vie privée de l’utilisateur, en modifiant les manières dont le contrôle sur les données informationnelles et la responsabilité de leur protection sont répartis sur les utilisateurs, sur les fournisseurs de service, sur les concepteurs qui l’ont développé.

26Un soutien actif de l’Europe à de telles architectures pourrait également passer par une campagne de sensibilisation à la responsabilité, individuelle et collective, que représente un plus grand contrôle sur ses données dans un modèle distribué, et aux risques ou désavantages éventuels que celui-ci pourrait représenter. En effet, si ce modèle remet en question « par la technique » l’étendue et l’ampleur des droits acquis par le fournisseur du service sur les données personnelles de l’utilisateur par rapport au contrôle que celui-ci conserve sur ces données, il s’agit là d’un compromis. L’utilisateur voit sa privacy renforcée par la possibilité d’un contrôle augmenté sur ses données et les opérations du client P2P dont elles font l’objet, mais en même temps et pour les mêmes raisons, la responsabilité de ses actions se voit augmentée, tandis que le fournisseur renonce de son plein gré à une partie de son contrôle. La dimension collective de cette responsabilité se voit aussi accentuée, dans la mesure où l’infraction au comportement collaboratif a des conséquences collectives aussi bien qu’individuelles – qu’il s’agisse d’un stockage de contenus inappropriés ou de l’introduction d’informations non fiables ou de spam dans un index de recherche distribué.

27Si les architectures P2P peuvent, à certains égards, ouvrir la voie à des améliorations de la protection de la vie privée et de la sécurité, leur défi principal est de se confronter aux protocoles et standards les plus utilisés, à l’ombre desquels elles vivent actuellement – ce qui rend beaucoup plus difficile, en amont, toute possibilité d’adoption et diffusion à large échelle, à cause de l’effet « le gagnant prend tout » qui caractérise le marché des services Internet. Les architectures P2P font face à nombre de défis, notamment la difficulté à trouver des modèles économiques viables pour les services qui emprunteraient la voie de la décentralisation, ou encore la difficulté à persuader les utilisateurs à abandonner la commodité du cloud Google ou Facebook pour des procédures plus compliquées : en effet, l’auto-hébergement et la mise en sécurité d’un service Internet décentralisé nécessitent à ce jour de beaucoup plus de temps et d’investissement.

28L’opportunité politique et sociale des dispositifs et services décentralisés n’aura cependant jamais été aussi évidente qu’avec l’affaire Snowden. Le vrai défi pour ces alternatives semble donc celui de saisir cette opportunité et de se rendre, aux yeux d’une masse importante d’utilisateurs, aussi rassurantes et faciles à utiliser que les « géants » du cloud centralisé. La transition vers un Internet qui repose de façon plus importante sur des technologies P2P et décentralisées pourrait maintenant séduire en tant que stratégie de contournement des tentatives d’appropriation des données personnelles – tant de la part d’acteurs malveillants que d’agences gouvernementales ou entreprises privées trop intrusives. Les technologies décentralisées ont mené pendant des années – à l’exception des applications de partage de fichiers – une existence discrète : les révélations Snowden les ont ramenées au premier plan et proposées en tant que possible instrument de protection de la vie privée – protection par la technique, par l’architecture, by design.

29Paris, septembre 2014