Souveraineté numérique : que change la localisation de nos données

Linkedin va-t-il être inaccessible en Russie ? Le 10 novembre dernier, un tribunal de Moscou, saisi par le Roskomnadzor (l’agence gouvernementale de surveillance des télécommunications), a ordonné le blocage du réseau social professionnel américain. Motif : les informations concernant les utilisateurs russes - leurs données personnelles - sont conservées et traitées hors de Russie. Or c’est interdit depuis une loi entrée en vigueur en 2015. Un texte qui compte parmi les mesures prises dans plusieurs pays à travers le monde en faveur d’une “nationalisation” d’Internet.
Depuis longtemps, la souveraineté numérique est l’objet de débats importants. Ils prennent différentes formes : la question des infrastructures (et de la maîtrise des câbles sous-marins), celle de la gouvernance du web, et celle de la localisation des données. Cette dernière, loin d’être seulement technique, est fondamentalement politique : elle fait partie des points qui incarnent la tension entre internet, par définition mondial, et les frontières, nationales.

Où sont nos données ?

Nos informations administratives, de santé, bancaires, de consommation, de ce que nous aimons, consommons, soutenons, de nos relations personnelles, professionnelles… : tous ces pans de la vie de chacun sont désormais massivement numérisés. Surtout, beaucoup sont collectés et conservés sur des serveurs par des services et applications (réseaux sociaux, plateformes de l’économie collaborative…) que nous utilisons. Les plus gros, Facebook Whatsapp, Uber, Airbnb, Twitter, Linkedin pour ne citer qu’eux, sont le plus souvent américains.
Or, le lieu de stockage des données sur les citoyens ouvre une série de questions aux conséquences potentiellement gigantesques : qui y a accès ?, comment et entre quels pays circulent-elles ?, quelle est leur vulnérabilité (autrement dit, comment les protéger des attaques) ?, qui peut les utiliser - éventuellement contre nous ?…

Si tout cela est déjà ancien, il y a pourtant eu un moment de rupture : les révélations d’Edward Snowden. En 2013, le lanceur d’alerte a mis à jour la surveillance de masse par la NSA, l’Agence nationale de sécurité américaine.

Lire et écouter : Un monde sous surveillance, retour sur la figure et le rôle d'Edward Snowden à travers à sept émissions

“Le contexte de l’après Snowden a ouvert partout dans le monde une série de questions sur la souveraineté numérique, auxquelles les pays répondent de manière très diverse”, souligne Bertrand Benhamou, ex-délégué interministériel aux usages de l’Internet et aujourd’hui secrétaire général de l' Institut de la souveraineté numérique.
Si tous brandissent la menace américaine, il y a parmi les tenants d’une forme de “souverainisation” des raisons diamétralement opposées, selon les pays et les contextes politiques.
Pour les pays à tendance autoritaire, c’est une manière d’accroître la surveillance, de contrôler l’information et de renforcer la censure. C’est le cas notamment en Russie ou en Chine. C’est aussi un moyen de renforcer des mesures protectionnistes. Pour d’autres, c’est surtout une volonté de reprendre la main sur leur données et une part de pouvoir économique face aux États-Unis. Comme on a pu le voir au Brésil ou en Allemagne.

L’oeil de Moscou : rapatrier les données pour mieux surveiller

Depuis l’affaire Snowden, la Russie (qui, rappelons-le, accueille le lanceur d’alerte jusqu’en 2017) présente les géants du net américains comme une menace pour leur souveraineté numérique et, plus encore, nationale. Arguant de la protection des citoyens, le pouvoir en a surtout profité pour donner un tour de vis supplémentaire à un contrôle du web déjà intense.

“Les géants américains sont désormais en mauvaise posture en Russie. Google par exemple a décidé de fermer son bureau ingénierie à Moscou. On ne sait pas encore vraiment quel poids auront ces GAFA que l’on présente comme tout puissants face à des pouvoirs autoritaires”, observe Julien Nocetti, chercheur à l’IFRI (et qui vient de consacrer pour le site de l'Ina tout un dossier à l'Internet russe.) Depuis 2015, ils sont tenus d’héberger leurs données en Russie (ce que personne ne fait pour l’heure).

“Cette question de la relocalisation des données fait partie d’un mouvement de souverainisation d’Internet qui s’est exprimé de différentes manières. Comme le développement de solutions alternatives, nationales (un wikipedia russe, moteur de recherche russe)”, poursuit le chercheur.

Lire : Russie : le web sous contrôle

A la loi de 2015 s'est ajoutée en juin dernier une série d’amendement à la loi anti-terroriste, rassemblés sous le terme de “lois Yarovaya” (du nom de la députée). Ils contiennent un grand volet numérique et visent surtout à tuer dans l’oeuf toute opposition, en prévision de la présidentielle de 2018. La loi oblige entre autres les entreprises russes diffusant des contenus sur le web à conserver pendant un an sur le territoire russe les données relatives aux appels, messages textuels, photos, vidéos… Et à les fournir aux agences gouvernementales qui les réclament.
Une manière à la fois d’exclure du jeu toutes les entreprises qui ne voudront ou ne pourront financièrement construire les centres de données nécessaires à la conservation de ces milliards de données. Et d’instaurer un contrôle étatique des données numériques russes.
Le nationalisme numérique est ici sous-tendu par une volonté d’empêcher toute contestation politique.

Empêcher toute dissidence : l’exemple chinois

C'est le cas aussi en Chine. C'est officiellement au nom de la lutte contre les cyber-attaques et de la prévention des actes de terrorisme que l’Assemblée nationale populaire y a adopté, le 7 novembre dernier, une [loi renforçant sa cybersécurité.](http:// http://www.reuters.com/article/us-china-parliament-cyber-idUSKBN132049) La localisation de données en Chine y est l’un des instruments d’un objectif plus large : empêcher tout contenu portant atteinte à « l’honneur national », susceptibles de « perturber l’ordre économique ou social » ou destinés à « renverser le système socialiste ».

L’Europe et la suprématie américaine

En Europe, c’est du débat sur la sécurité des données et de leur contrôle juridique que découle celui sur leur localisation. Quelle prise avons-nous sur les données que nous laissons à Facebook, Twitter et les autres ? Pour l’heure, les accords portent sur les conditions dans lesquelles les données sont transférées et circulent entre la France et les États-Unis. Après son invalidation, l’accord nommé Safe harbour a été remplacé par ce qu’on appelle le Privacy Shield. L’idée est de permettre aux citoyens européens de bénéficier des mêmes droits que les Américains en matière de poursuites judiciaires en cas d’atteinte à la vie privée.

Écouter : Europe, États-Unis, les données personnelles en question (Affaires étrangères, 13/02/2016)

Mais aller plus loin et réglementer le lieu de stockage pour mieux protéger les données est une solution à double tranchant. Et la France y est pour l’heure opposée. “Il est pourtant essentiel que les données des Européens soient traitées géographiquement, juridiquement dans l'Union européenne”, défend de son côté Bernard Benhamou, de l’Institut de la souveraineté numérique. Il plaide pour la “data residency” : “C’est une demande à la croisée des questions technologiques et juridiques. Cela demande un fonctionnement technologique basé sur un critère géographique. Car nous avons un meilleur contrôle juridique sur nos données quand elles sont sur le territoire.”

Écouter : Des infrastructures du net à la gestion des données : quelle indépendance numérique ? (Les Nouvelles vagues 24/09/2014)

Beaucoup, à l’inverse s’y opposent, estimant que l’Europe ne doit pas être “une forteresse.” Et surtout que les notions de territoire et de localisation n’ont pas de sens lorsque l'on parle du numérique.

Le potentiel économique des données

Mais pour Bernard Benhamou, si les données doivent être "rapatriées en Europe", c'est aussi pour reprendre la main économiquement face aux GAFA. “Les data center représentent un marché énorme et un immense potentiel d’activité économique et d’emploi. Surtout, si nous ne voulons pas être une être une colonie numérique de deux continents, l’Amérique et la Chine, nous devons aller sur ce terrain”, insiste-t-il. Or c’est précisément au nom du même argument économique que la mesure a pour l'instant été rejetée en France. Ajouté un temps par les sénateurs - contre l’avis du gouvernement - lors du débat sur de la loi numérique d’Axelle Lemaire, le stockage obligatoire en Europe a été abandonné. La mesure avait suscité une levée de boucliers de tous les syndicats du numérique. Ils y voyaient une menace pour les « principes fondamentaux du numérique, en particulier ceux qui garantissent un Internet libre, neutre, ouvert et propice à l’innovation.” Et ils dénonçaient également une “position réfractaire vis-à-vis du développement de l’économie numérique”.