Sécurité des personnes

12Les malfaiteurs ont su saisir l’évolution des technologies pour diversifier leurs activités. Ces opérations criminelles sans frontières s’avèrent prospères. Pour 2018, le coût de la cybercriminalité est estimé à 600 milliards de dollars par an, soit 0,8 % du PIB mondial [8], alors que Symantec affirme avoir bloqué 142 millions de cybermenaces par jour dans 157 États [9]. Les principales attaques sont les formjacking, cryptojacking et ransomware [10]. Les actes malveillants visant des clouds et des objets connectés devraient augmenter au cours des prochaines années. Les cybercriminels dérobent des informations personnelles et les revendent, souvent via le darknet.

13Afin de protéger les victimes, il a fallu créer des normes pour juger les auteurs de ces attaques. Dans la mesure où cette cybercriminalité ne connaît pas de frontières, la réponse devait être internationale. Ainsi le Conseil de l’Europe a-t-il élaboré une Convention sur la cybercriminalité en 2001 [11]. Ce seul instrument international contraignant exige des États l’insertion d’infractions pénales dans leurs droits internes pour sanctionner certains actes visant les systèmes informatiques (interceptions ou atteintes à l’intégrité du dispositif), ou des actes criminels réalisés par le biais d’un système informatique (pornographie enfantine ou atteintes à la propriété intellectuelle). Les États ont alors développé leurs législations internes pour réprimer ces comportements [12]. La lutte contre la cybercriminalité exige une coopération internationale entre autorités compétentes pour identifier et appréhender les criminels. La nécessité de déployer des moyens opérationnels efficaces a conduit certains États à créer des agences et autorités judiciaires ou policières dédiées à la lutte contre la cybercriminalité [13], qui coopèrent entre elles et avec des organisations internationales, tels INTERPOL ou ENISA au niveau de l’Union européenne [14].

Sécurité des États

14Les personnes et entreprises ne sont pas les seules cibles des cyberattaques. La cyberattaque subie par l’Estonie en 2007, le virus Stuxnet en Iran en 2010, l’attaque d’une centrale électrique en Ukraine en 2015 ou les activités de l’Armée électronique syrienne contre les médias et personnalités d’États hostiles au régime, en sont des illustrations.

15À l’instar de la sécurité des personnes privées, les États recourent au droit pour tenter d’empêcher ces cyberattaques d’États ou engager la responsabilité de leurs auteurs. Mais quel droit peut être appliqué ? Le droit existant suffit-il pour saisir ce phénomène nouveau ? Faut-il créer un droit dédié ? Autant de questions qui ont agité les enceintes diplomatiques. Finalement, l’Assemblée générale des Nations unies déclare en 2013 que le droit international existant s’applique au cyberespace [15]. Autrement dit, un État ne peut pas porter atteinte à la souveraineté d’un autre par une cyberattaque, ni utiliser la force armée contre un autre État en réaction à une cyberattaque sauf s’il est en état de légitime défense, sous peine d’engager sa responsabilité internationale. Une fois cette étape franchie, s’ouvre celle, toujours actuelle, visant à décliner les règles internationales pour s’adapter aux spécificités techniques des cyberattaques : à partir de quel seuil de gravité une cyberattaque constitue-t-elle une agression armée justifiant le recours à la légitime défense ? Une cyberattaque peut-elle déclencher un conflit armé, régi par un droit spécial ? Un État peut-il adopter des contre-mesures face à une cyberattaque ? etc. Les réponses ne sont pas aisées [16]. Il n’en demeure pas moins que le droit a investi la sphère des cyberattaques. La détermination des modalités de la réponse est liée aux avancées technologiques car à ce jour l’identification des auteurs de telles attaques n’est pas toujours permise. L’ampleur du phénomène a conduit un certain nombre d’États ou d’organisations à développer des entités militaires dédiées à la cyberdéfense [17].

16Par ailleurs, la lutte contre le terrorisme conduit certains États à adopter des législations internes permettant aux autorités de saisir des informations et du matériel informatique afin d’empêcher des activités terroristes ou de punir leurs auteurs. La quête de sécurité justifie alors l’adoption de nouvelles règles de droit intrusives [18].

Vie démocratique

18Le processus démocratique est désormais perturbé par le biais d’Internet. C’est la campagne pour les élections présidentielles américaines en 2016 qui a mis ce phénomène au grand jour. Le piratage des messageries électroniques du camp démocrate a permis de rendre publics des documents de la candidate Hillary Clinton alors qu’en parallèle de fausses informations étaient diffusées au profit du candidat Donald Trump. L’impact sur le déroulement de la campagne a incité le président Obama à expulser du territoire américain 35 agents russes en poste à Washington soupçonnés d’avoir influencé le processus. Depuis, plusieurs campagnes ont été visées : élection présidentielle en France en 2017, référendum sur le Brexit, élections au Parlement européen en 2019, etc. Le processus démocratique peut être affecté par la manipulation du vote électronique ou par la divulgation d’informations susceptibles d’influencer le comportement des électeurs.

19Face à ce phénomène inquiétant, certaines règles ont été adoptées. La France a adopté deux lois en 2018 pour lutter contre la manipulation de l’information (recours au juge pendant la période pré-électorale pour faire cesser la diffusion de fausses informations par les plates-formes numériques, suspension par le CSA de diffusion de services, et obligation de créer des dispositifs pour retirer les fausses informations [19]). La Commission européenne a fait le choix d’une régulation concertée, avec l’adoption d’un Code de bonnes pratiques contre la désinformation en 2018, accepté notamment par Facebook, Google et Twitter, mais ne comportant pas d’obligations juridiquement contraignantes [20]. Il s’agit seulement d’adopter des pratiques vertueuses afin de supprimer les fausses informations. Le droit tente ici de rattraper les activités sur Internet, mais la rapidité de diffusion de fausses informations ne simplifie pas la tâche. Inciter aux comportements vertueux peut être efficace, mais le retard inéluctable paraît difficile à compenser.

Liberté d’expression

20La liberté d’expression était une revendication des premiers explorateurs d’Internet, renouvelée avec la Déclaration d’indépendance du cyberespace et toujours d’actualité. Néanmoins, des dérives ont pu apparaître comme pour tout moyen d’expression. Garants de la protection des droits humains, les États se sont saisis du sujet en adoptant des législations interdisant les propos haineux et racistes sur Internet.

21L’Allemagne a été précurseur avec l’adoption en 2018 de la loi NetzDg [21]. Elle impose aux plates-formes numériques de retirer les contenus haineux signalés par les utilisateurs en 24 heures, sous peine d’amende. Cette loi a suscité des critiques, d’une part quant à la responsabilisation des GAFA, (Google, Apple, Facebook, Amazon) puisque ce sont eux qui doivent apprécier si un contenu est haineux ou non, l’État donnant l’impression de déléguer ses fonctions aux opérateurs privés ; et d’autre part quant à une crainte de dérive liberticide avec un risque de censure de propos non conformistes. L’observation pratique révèle un bilan mitigé [22], alors que le bilan officiel est attendu pour 2021.

22La France emprunte la même voie sans attendre, avec un texte de loi en cours d’examen. Le contenu est similaire en obligeant les plates-formes à retirer les contenus « manifestement haineux », sous peine de sanction du Conseil supérieur de l’audiovisuel, actuellement évaluée à 4 % du chiffre d’affaires mondial [23]. La même solution reçoit les mêmes critiques quant au risque liberticide, de délégation indue aux opérateurs privés, et de difficultés de mise en œuvre. Ce d’autant plus que des normes répriment déjà les propos haineux ou racistes exprimés sur des supports plus habituels. La nécessité d’une nouvelle loi est donc discutable, même si les craintes liées à la propagation rapide de tels discours sont réelles, et exigent l’implication des opérateurs du Net.

Vie privée

23La protection de la vie privée sur Internet n’est pas aisée. Les utilisateurs plébiscitent souvent les réseaux précisément pour exposer certains aspects de leur vie privée, sans prendre garde aux dérives possibles. Pendant longtemps, aucune protection n’était assurée pour les données personnelles dès lors qu’elles entraient dans le réseau. Compte tenu de la mine d’or que constituent ces données, et des conséquences de la diffusion d’informations sur la vie privée des utilisateurs, il a été nécessaire de réglementer leur usage.

24Le droit à l’oubli a été consacré dans l’Union européenne en 2014 [24]. Par un arrêt, la Cour de Justice de l’Union européenne reconnaît un droit au déréférencement de données privées : l’exploitant d’un moteur de recherche (Google en l’espèce) est responsable de la demande de suppression de données personnelles contenues sur les pages de tiers, dont le lien apparaît dans la liste de résultats obtenus. La Cour vient de limiter la portée géographique de cette obligation aux référencements issus des extensions européennes du moteur de recherche (google.fr, google.de, etc.), et non au reste du monde (google.com) [25]. La difficulté technique qui aurait résulté d’une position inverse inquiétait Google et les autres moteurs de recherche. Par ailleurs, cela suscitait une difficulté d’articulation avec les normes juridiques relatives aux États non-membres de l’Union européenne, où la législation est moins protectrice, notamment aux États-Unis. Cette protection de la vie privée doit être proportionnée avec l’exercice de la liberté d’expression et d’information, certains utilisateurs cherchant parfois à effacer ainsi les données relatives à une condamnation judiciaire pour pédophilie, alors que d’autres considèrent qu’elle doit être portée à la connaissance de tous.

25Le traitement des données personnelles fait l’objet d’une protection particulière sur le territoire européen depuis l’entrée en vigueur du Règlement général sur la protection des données (RGPD) en 2018. Afin de se prémunir contre les utilisations commerciales, souvent à l’insu des utilisateurs, ou frauduleuses, des normes juridiques rigoureuses s’imposent désormais à tous ceux qui sont amenés à traiter des données personnelles, ce qui permet d’harmoniser les législations à l’échelle européenne. Cela concerne tout organisme (privé ou public) qui réside ou cible des utilisateurs résidant sur le territoire de l’Union européenne, dès lors qu’il traite des données personnelles [26]. D’importantes obligations s’imposent : recueil du consentement de la personne en lui expliquant la finalité de l’obtention de ses données, tenue d’un registre précis confidentiel, désignation d’un délégué à la protection des données, droit à la portabilité des données, etc. Les changements considérables entrepris pour respecter cette réglementation doivent permettre une meilleure protection des droits des personnes et une certaine confidentialité des données. Le RGPD est unique à l’échelle mondiale, mais certains États envisagent de s’en inspirer. Les opérateurs privés transnationaux le souhaitent, en dépit des contraintes inhérentes, afin de pouvoir élaborer des procédés identiques quel que soit le lieu concerné.

26Le terrain des données est devenu un enjeu de rivalités entre États. La plupart d’entre eux développent des législations visant à sécuriser leur stockage et leur contrôle [27]. Le Cloud Act adopté par les États-Unis oblige les fournisseurs de services détenant des données réclamées par les autorités à les livrer, même si elles sont stockées à l’étranger à partir du moment où ces fournisseurs sont soumis aux lois américaines. La Chine a adopté une loi imposant aux entreprises de stocker physiquement les données sur des serveurs localisés en Chine, une autre loi permettant aux responsables de la sécurité de surveiller Internet au nom de la protection de la sécurité nationale et de la vie privée. La Russie, pour sa part, exige que les données des ressortissants russes soient stockées sur son sol, et soient fournies aux organes de sécurité dans le cadre de la lutte anti-terroriste. Il en résulte des conflits de normes considérables que les opérateurs doivent gérer, avec difficulté, et dont l’utilisateur n’a bien souvent pas conscience. Le droit devient ici outil de confrontation géopolitique au détriment de la protection des utilisateurs.