Le Cloud Computing ou l’informatique en nuage, clé de voute la transformation numérique des entreprises, a marqué en profondeur la stratégie numérique d’une multitude d’entreprises. Notre Joueur de Flute de Hamelin 2.0, clé de voute de cette transformation, a sans conteste joué un rôle prépondérant et créé un réel changement de paradigme en matière de stockage, de traitement et de transport des données. Les premières réflexions sur le nouveau sujet de la « souveraineté numérique », émergent au début des années 2000. Elles invitent les États à ouvrir la boîte de Pandore de l’informatique en nuage. En effet, d’une centralisation historique des données au sein des entreprises (On Premise) on observe rapidement une dispersion des données aux quatre coins du globe avec une opacité, sur leur traitement éventuel, savamment entretenue à l’époque. Durant ces mêmes années 2000, un nouvel acronyme fait son apparition, avec une étonnante synchronicité ou simple coïncidence : les GAFAM (Google, Apple, Facebook, Amazon et Microsoft).
Le nouvel or noir du XXIe siècle, la donnée, coule à flot et les vannes sont grandes ouvertes.
Des multinationales pas comme les autres
Les GAFAM, en l’absence de mécanismes forts de régulation au niveau du traitement et de l'exploitation des données, vont profiter en toute impunité d’un marché en forte croissance au début de la première décennie du XXIe siècle. Il y a du Big Data dans l’ère. Ces multinationales aux pouvoirs rapidement tentaculaires vont voir leur capitalisation boursière croître de manière exponentielle. A titre d’exemple, la hausse affichée par Amazon entre le premier janvier 2010 et le 11 décembre 2019 est de 1348 %. Le poids lourd du e-commerce et fournisseur du service AWS S3 pèse désormais 865 milliards de dollars contre 60 milliards au début de la décennie. Facebook ferme la marche avec une capitalisation à hauteur de 577 milliards, soit une hausse « timide » de 454 % traduisant ses ennuis des deux dernières années [1]... En moyenne, sur la même période, la capitalisation des GAFAM fleurete avec les 610 % sans qu’aucune réaction ne se fasse entendre ou interroge des États avec un PIB « au niveau des pâquerettes ». Comment expliquer une telle progression de multinationales qui peuvent rivaliser désormais avec les États ? L’affaire Snowden en 2013, avec son lot de révélations, jette néanmoins un sérieux pavé dans la marre. La collusion de certaines de ces entités privées avec la NSA, à des fins d’espionnage ou de surveillance de masse, renforce la nécessité absolue de réguler le marché du cyberespace sous la forme d’une meilleure gouvernance des données. CLOUD Act vs RGPD La problématique de territorialité des données se pose alors avec l’adoption, en mars 2018, par le Congrès américain de la loi du CLOUD Act (Clarifying Lawful Overseas Use of Data Act). En effet, le Règlement Général sur la Protection des Données (RGPD - UE 2016/679), adopté en 2016, prend son envol en grandes pompes au niveau des pays européens au mois de mai 2018. Si la loi fédérale américaine ressemble à s’y méprendre à la réponse du berger à la bergère, on apprend qu’elle tire son origine d’un contentieux entre les autorités fédérales américaines et l’une des entités de Microsoft, basée à l’époque en Irlande. Celle-ci, sous prétexte de sa territorialité, refusant de communiquer des informations au Département de la justice américaine s’est vue attirer les foudres de l’Oncle Sam. Le CLOUD Act s’apparente en effet à un véritable outil de perquisition et d’ingérence étrangère dans les données présentes sur le marché du cyberespace. Son principe d’extraterritorialité exerce un contrôle complet des données selon la nationalité de l’entreprise (américaine) et non plus sur la base de sa géolocalisation.
Même pas peur
Plus de quatre ans après l'entrée en application du RGPD un constat en demi-teinte se pose. Ce règlement présenté comme l’Armageddon de l’Union Européenne contre les GAFAM pénalise davantage les entreprises entrant dans son champ application que les firmes ciblées. Cette réglementation s’avère très contraignante auprès des entreprises. Elles ont bien souvent ni les moyens financiers, ni les compétences en interne, ni même la volonté, de se mettre en complète conformité. Elles perçoivent en effet le RGPD comme un frein, un obstacle, une montagne insurmontable, à leur développement dans un contexte économique compliqué et tendu. Les amendes au titre du RGPD, véritable épée de Damoclès, pleuvent néanmoins et sont très concrètes. Si elles affectent ces entreprises elles se retournent néanmoins parfois vers leur cible originelle. Pour en revenir aux GAFAM, la firme de Menlo Park (Facebook/Meta) écope d’ailleurs d’une troisième condamnation au mois de janvier 2023 avec une amende à hauteur de 390 millions d’euros. Cette dernière sanction lui fait passer le cap symbolique du milliard d’euros d’amende, en cinq mois, sans même sourciller. Je vous renvoie à son niveau de capitalisation expliquant probablement son absence de réaction au niveau de sa politique de protection des données.
Le RGPD, un acte de souveraineté numérique européenne inefficace
Il est temps de comprendre ce que l’on entend réellement par souveraineté numérique. La souveraineté numérique demeure avant tout un sujet de société brûlant. Il ne s'agit pas d'une méthode ou d'une technique à proprement parler, mais d'une réelle réflexion à mener, et à intégrer au cœur d'un plan stratégique. Ses enjeux diffèrent en tout point pour le simple citoyen, une entreprise privée ou un État. Les objectifs varient également selon les sensibilités territoriales ou nationales, notamment en matière de respect de la vie privée, cet aspect pouvant aller de la simple notion, à un droit inaliénable et sacré gravé dans la Constitution du pays. La souveraineté au sens strict du terme désigne une autorité ou un pouvoir qui l'emporte sur tous les autres. Si toutes ces notions sont concrètes et bien établies la définition de souveraineté numérique n’en demeure pas moins floue mais trois grandes approches [2]se dégagent .
L’approche juridique vise à rétablir la souveraineté des États. Les États-Unis l’ont retenue. Le CLOUD Act traduit manifestement leurs intentions de conserver une hégémonie totale sur le cyberespace tout en revendiquant le prolongement de leur pouvoir de réglementation sur les réseaux, le respect de leur autorité, et l’égalité dans les instances de gouvernance.
La deuxième approche est davantage politique et économique. Elle met sur un piédestal la souveraineté des opérateurs économiques. Les GAFAM disposant d’une position dominante sur le marché exercent un véritable pouvoir de commandement et de réglementation du cyberespace. Les conditions générales d’utilisation de leurs services les autorisent au moyen d’algorithmes internes totalement opaques et propriétaires de décider des informations qui peuvent être diffusées ou non sur leur réseau, d’en restreindre la diffusion, voire de proscrire certaines publications. Les critères peuvent comprendre la présence de mots clés ou s’appliquer spécifiquement à certains comptes utilisateurs. Selon leurs conditions générales (ou leurs « lois ») ils disposent ainsi de la liberté totale de supprimer des contenus d’information, de fermer le profil d’un utilisateur, de conserver ou de vendre les données personnelles dont elles ont la charge du stockage. Ces entités, toutes américaines, ont émis par deux fois le vœu pieux de se conformer, au moyen d’une certification délivrée par le Département américain du Commerce, à des accords signés avec l’Union Européenne afin d’en valider les transferts de données. Dans les faits, les accords du Safe Harbour et du Privacy Shield ont fait l’objet d’une invalidation de la part de la Cour de Justice de l’Union Européenne (CJUE). La dernière décision en date est l'arrêté majeur du 16 juillet 2020. Tout transfert de données vers une entité américaine au titre du Privacy Shield est donc illégal. Nous devons à Max Schrem, cofondateur de l'association de protection de la vie privée NOYB (None Of Your Business), d’avoir porté au niveau de la cour de justice les irrégularités en matière de traitement des données des GAFAM. Le rôle de gardien de nos données étant par définition tenu par les autorités de contrôle compétentes ces actions posent toute de même questions... que font-elles< >?
La dernière approche davantage libérale est la souveraineté numérique des utilisateurs. Elle correspond au droit des personnes de s’autodéterminer et le RGPD va dans le sens de cette approche en conférant des droits et des garanties au niveau de la protection des données personnelles. On peut citer entre autres le droit à la portabilité des données, le droit à l’oubli ou encore au déréférencement sur le cyberespace d’informations qui seraient préjudiciables ou non souhaitées pour la personne concernée. Ainsi, les approches de la souveraineté numérique des utilisateurs, visant à les protéger de l’approche politique et économique pratiquées par les GAFAM sont inconciliables au moyen de traités ou d’accords tant les enjeux et objectifs sont diamétralement opposés. Si les États-Unis pour leur propre survie ont tout intérêt à contenir le pouvoir des GAFAM, au moyen de lois antitrust, ils n’ont aucun intérêt à brider le transfert des données. Aucun accord ou traité ne viendra résoudre ce problème.
Ce n’est pas avec ceux qui ont créé les problèmes qu’il faut espérer les résoudre. - Albert Einstein
Sources :
[1] https://www.cnetfrance.fr/news/600-c-est-la-croissance-en-moyenne-des-gafam-au-cours-de-la-derniere-decennie-39895929.htmy
[2] https://www.vie-publique.fr/parole-dexpert/276125-definition-et-enjeux-de-la-souverainete-numerique
