Des QR codes pour les JO et après quoi ? Petit historique des dispositifs sécuritaires détournés de leur objet premier

Atlantico : Pour assurer la sécurité des sites olympiques, le gouvernement va mettre en place un système de QR code. Quelle efficacité attendre de ce dispositif d’un point de vue sécuritaire  ?

Pierre Beyssac : L’efficacité en est difficile à anticiper, car ce n’est pas un QR-code seul qui risque d’arrêter un terroriste. Il faut voir les mesures de police prises en complément. Elles n’ont pas été explicitées mais on doit s’attendre à des contrôles avant délivrance du QR-code, donc sur dossier (avec des refus potentiels pas forcément motivés), ainsi qu’au moment de l’utilisation du code (barrages avec fouilles des sacs ou véhicules, etc).

Thibault Mercier : En tant qu’avocat il ne m’est difficile de juger de l’efficacité d’un dispositif de sécurité mais je peux néanmoins me permettre quelques remarques de bon sens. Tout d’abord, quand on voit le nombre de faux QR code qui étaient en circulation pendant la période Covid, on peut clairement commencer à douter de l’utilité d’un tel laisser-passer. Ensuite, les force de l’ordre auront-elles les moyens de contrôler les quelques 200 000 personnes concernées par le dispositif ? Les policiers n’ont-ils pas mieux à faire que scanner machinalement des QR Codes au risque de laisser un ordinateur décider à leur place de la dangerosité potentielle d’un individu ?

Au-delà de l’efficacité, il faut tout de même se poser quelques questions éthiques et juridiques quant à l’utilisation de cet outil. Le Ministre de l’intérieur a évoqué des « criblages ». Qui fera ce criblage et sous quels critères ? Au vu de l’ampleur de la tâche il y a forte à parier que cela se fera grâce à des outils d’intelligence artificielle. Qui aura développé ces outils ? Seront-ils assez sécurisés pour éviter tout espionnage ou piratage ?

Par ailleurs, quelles seront les données collectées ? Comment seront-elles stockées ? Où seront-elles stockées (on se rappellera à cette occasion que les données sensibles de millions de français ont été placées par le Ministère de la santé sur le « Cloud » de Microsoft, sous juridiction américaine)? Enfin combien de temps seront-elles stockées ?

Cela fait beaucoup de réponses à apporter dans les prochaines semaines par le gouvernement.

S’agissant des garanties juridiques, Gérald Darmanin indique que toutes les décisions prises par l’autorité administrative, policier ou gendarme, seront susceptibles de recours et, qu’un magistrat sera là pour trancher le litige. Notre ministre semble ignorer le marasme (pour ne pas dire l’enfer) administratif et bureaucratique dans lequel les Français vivent !  Il suffit de voir le grand pouvoir arbitraire de l’autorité publique lors du « recours administratif préalable obligatoire » (RAPO) pour contester une contredanse et la difficulté technique et pratique qui s’en suit pour continuer la contestation en cas de refus initial, pour savoir que dans les faits il sera quasiment impossible d’obtenir gain de cause. Sans compter les délais pour instruire de tels recours. Les juges administratifs feront-ils des nuits blanches pour juger de tels recours ? On peut fortement en douter.

Quel est le risque que ce type de dispositif soit détourné de son objet premier et utilisé à d’autres fins ?

Thibault Mercier : Quand le passe sanitaire a été mis en place, plusieurs juristes, dont ceux du Cercle Droit & Liberté que je préside, ont tenté de mettre en garde l’opinion publique sur les risques d’accoutumance du gouvernement à utiliser de telles méthodes de contrôle. A partir du moment où l’on a accepté le principe sous couvert de santé publique, qu’est-ce qui pouvait bien empêcher la puissance publique de l’appliquer à d’autres objectifs politiques ? La liberté est donc devenue contingente et c’est la restriction qui prévaut désormais dès que le gouvernement a une difficulté politique à résoudre. Nous en avons ici la parfaite illustration, l’objectif sécuritaire prévaut désormais sur toute autre considération politique. D’ailleurs, la rhétorique est la même que pendant la période Covid : le QR Code nous permettra de circuler « librement ». Le Gouvernement nous met en cage et nous donne une petite clé pour en sortir temporairement, et nous devrions appeler cela être libre… Nous n’avons bien sûr pas la même acception du mot que le gouvernement.

Crédit : Capture d'écran Le Parisien

Pierre Beyssac : Les détournements de finalité étant rarement rendus publics, sauf lanceurs d’alerte, il est difficile de prédire avec précision ce qui peut advenir. Il n’est quasiment jamais possible de garantir technologiquement qu’une collecte d’information ne sera pas utilisée au-delà de son objet initial ; pire, il est impossible de garantir qu’un usage illicite sera découvert à terme. Il faut s’appuyer sur l’éthique, ou éventuellement sur des cloisonnements techniques qui ne sont pas toujours mis en œuvre, car plus coûteux. L’affaire de la fuite de France Travail a montré que les systèmes n’étaient pas toujours conçus dans l’esprit d’une sécurité en profondeur.

En matière de police, on peut aussi pratiquer ce que l’on appelle aux USA la « construction parallèle » : résoudre une enquête de police par récupération illégale de preuves, non utilisables en justice, et compléter a posteriori la procédure en les remplaçant par des preuves admissibles légalement : il est plus facile de trouver une preuve quand on sait déjà ce que l’on recherche. Le détournement de finalité d’un fichier peut ainsi devenir invisible.

Avons-nous des exemples de dispositifs sécuritaires détournés de leur objet ? Si oui, lesquels ?

Pierre Beyssac : C’est presque la loi du genre, dans un contexte où la police a pour préoccupation de ne pas être trop encombrée des procédures de l’État de droit, qui protègent les justiciables de l’arbitraire. Le politique soucieux de rigueur budgétaire négocie donc avec l’administration des érosions de ces garanties pour éviter d’avoir à donner des moyens supplémentaires sonnants et trébuchants, à la police ou à la justice.

Les parlementaires se verront ainsi proposer des textes ayant pour objet avoué de lutter contre le terrorisme, pour en faciliter le vote, mais d’une portée beaucoup plus large si on veut bien prendre la peine d’en lire les dispositions.

En matière de détournements ou d’« expérimentations temporaires » prorogées à l’infini, la liste s’allonge en permanence. On peut citer par exemple :

- la loi renseignement de 2014, qui a permis (entre autres) de perquisitionner des militants écologistes qui risquaient de perturber la COP21 à Paris, en 2015. Bernard Cazeneuve, alors ministre, n’avait pas fait mystère de ce type d’objectif lorsqu’il avait défendu ladite loi à l’assemblée. François Hollande l’a confirmé dans le livre « Un président ne devrait pas dire ça » ;

- la mise en œuvre de périmètres de sécurité pour les déplacements du président de la république, afin d’interdire les « casserolades » (manifestations bruyantes à l’aide de casseroles), au titre de l’article L.226-1 (voté en 2017) du code de la sécurité intérieure, dont le ministère de l’Intérieur lui-même a fini par s’émouvoir.

- les détournements devenus habituels de fichiers de police, par des fonctionnaires qui arrondissent leurs fins de mois en vendant à l’extérieur des informations confidentielles. Cette monétisation est devenue tellement courante qu’elle est presque considérée comme un avantage en nature par les personnels concernés. L’affaire « Haurus », du pseudonyme d’un policier qui avait monté une véritable petite affaire de revente de ces informations sur le dark net, a fait grand bruit. Elle semble même avoir permis quelques meurtres dans le milieu du banditisme marseillais.

- plus anodins, l’article L.2241-10 du code des transports et la loi n°2016-339 « relative à la prévention et à la lutte contre les incivilités, contre les atteintes à la sécurité publique et contre les actes terroristes dans les transports collectifs de voyageurs », permettent à la SNCF d’exiger des voyageurs un original de pièce d’identité, sous peine d’amende salée, alors que la police accepte des photocopies ou photos sur téléphone. La SNCF accepte néanmoins ladite photocopie comme preuve d’identité pour dresser l’amende provoquée par celle-ci, comme le montrent régulièrement des plaintes de voyageurs par ailleurs en règle, sur les réseaux sociaux, et qui ont récemment fait de gros buzz.

- les fameuses « fiches S », quant à elles, sont régulièrement l’objet de déclarations politiques fracassantes et démagogiques (car inapplicables) visant à en élargir les finalités pour des expulsions du territoire.

Ce dispositif est-il proportionné au vu de l’impératif de sécurité face à l’atteinte aux libertés publiques qu’il va provoquer ?

Pierre Beyssac : Fût-ce pour une manifestation aussi prestigieuse et exposée que les jeux olympiques, est-il légitime d’exiger de toutes les personnes, y compris résidentes, qui pénètrent dans une des zones de sécurité un pré-enregistrement, puis un contrôle de passage, qui vont donner lieu à constitution de fichiers ?

On est en droit de se poser la question.

Ces mesures, comme celles prises lors de la crise du covid19, nous habituent également petit à petit à un régime de soumission à autorisation de nos moindres déplacements, et de surveillance technologique, policière et étatique rapprochée, « à la chinoise ».

On peut également avoir des doutes sur le dimensionnement du service en ligne qui permettra d’obtenir les fameux QR-codes. Il sera certainement sollicité dès son ouverture par la plupart des franciliens qui souhaiteront pouvoir circuler dans leur ville. Espérons qu’il tiendra la charge, sous peine d’interdire de fait les déplacements de ceux qui n’auront pu obtenir à temps le précieux sésame.

Les cas d’ouvertures de services administratifs en ligne aussitôt dépassés par leur succès, car insuffisamment dimensionnés, sont légions, un des plus récents étant justement l’écroulement du service « France Identité Numérique » lors du lancement de son application mobile.

Ensuite, le service sera exposé à des cyberattaques notamment par déni de service, qui pourraient provoquer des impossibilités temporaires de vérification des codes par les barrages filtrants.

Au-delà des problématiques d’usage dans les périmètres prévus, et même des revente par des fonctionnaires peu scrupuleux, d’autres fuites spectaculaires et graves liées à des fichiers administratifs sensibles se sont multipliées ces derniers mois : France Travail (43 millions de personnes concernées), 2 prestataires du tiers-payant (Viamedis et Almerys), etc, et donnent lieu ensuite à des attaques par usurpation d’identité ou phishing (courriels frauduleux se faisant passer pour des organismes officiels, et visant à obtenir des paiements illégitimes). Des piratages similaires sur les déplacements parisiens ne sont donc, hélas, pas à exclure non plus.

Thibault Mercier : A écouter les experts depuis plusieurs mois qui indiquent que la sécurisation de Paris pendant les JO va être un énorme défi au vu des grandes menaces qui pèsent sur la ville et la Nation, on pourrait penser que la fin justifie les moyens. Reste encore pour le Gouvernement à nous démontrer l’efficacité d’un tel dispositif.

En tout cas cette affaire nous prouve que lorsque l’Etat veut il peut : « Personne ne comprendrait que le ministre de l’Intérieur laisse entrer sur ce périmètre quelqu’un qui serait fiché S » a déclaré Darmanin. De là à dire que personne ne comprendrait qu’un fiché S entre sur le territoire français, il n’y a qu’un pas que notre ministre n’a pas voulu franchir. La question mériterait pourtant d’être posée et il me semble que l’idée d’un QR Code pour empêcher les clandestins de passer la frontière n’a jamais été évoquée. On constate donc un douloureux paradoxe : il apparaît plus facile de restreindre la liberté des honnêtes citoyens que celle de ceux qui contreviennent réellement à la loi….

Une dernière remarque me vient quant à cette privatisation de l'espace public : 2.700 euros le ticket pour la cérémonie d’ouverture. En attendant, le pékin moyen sera lui cloitré chez lui et devra montrer patte blanche pour avoir le droit de circuler dans sa ville.