Marie GEORGES, expert du Conseil de l’Europe Quels sont les droits des personnes à l’égard des traitements de données personnelles « sécuritaires » des.

Présentation au sujet: "Marie GEORGES, expert du Conseil de l’Europe Quels sont les droits des personnes à l’égard des traitements de données personnelles « sécuritaires » des."— Transcription de la présentation:

1 Marie GEORGES, expert du Conseil de l’Europe Quels sont les droits des personnes à l’égard des traitements de données personnelles « sécuritaires » des Etats ?

2 FA/PDP – DAKAR 2015 I- Quelques réflexions introductives Comment ce sujet est marqué par l’histoire et évolution des TIC, l’économie et la géopolitique/rapports de force, l’histoire mondiale des menaces et du droit

3 FA/PDP – DAKAR 2015 Quelques réflexions introductives Quels sont les droits des personnes face aux préoccupations sécuritaires des Etats ?  1. Techniques d’information tenant au corps sont particulièrement sécuritaires (si max= anti résistance, anti présomption d’innocence)  La biométrie est née pour ficher/retrouver un délinquant (début 20 ème s, GB-F)  numérisation/généralisation fin 20 ème s des empreintes digitales: aux US tout étranger, en Europe: demandeurs d’asile (10 doigts) puis visa (10 doigts) puis passeport citoyen européen (10, 2, 0 doigts dans le fichier? Cela dépend du pays et des recours contre législation. Extension des complexes militaro- industriels au sécuritaire (cf. baisse des budgets de défense)  ADN (médical), proposé pour preuve immigration familiale? Refus de partis politiques et Eglise  2. L’ordinateur a.. fini..par naitre…. pour calculer la trajectoire des V2 (fin 2ème guerre mondiale, AL Enigma, GB)  1960, IBM, Gestion des grandes entreprises et administrations occidentale -> 1ere loi PDP 1971 (land Hesse)  Généralisation Internet 1990-2015 ouvert? ou plateformes/droit US, Chine, Russie? suite SNOWDEN?

4 FA/PDP – DAKAR 2015 3. Après les écoutes internationales par satellites (ECHELON 1990-2000), 2013 E. SNOWDEN : les machine à « taping electromagnetic signals » sont aux points d’atterrissage des câbles 5 et 15 eyes + F (263 câbles +22 à venir)

5 FA/PDP – DAKAR 2015 Quelques réflexions introductives Quels sont les droits des personnes face aux préoccupations sécuritaires des Etats ?  4 « PNR » Passenger Name Record, fin 2001, norme IATA : les données relatives à un voyage par avion utiles aux partenaires/prestations : agences de voyages, cies aériennes, taxi, hôtel, 4 centrales dans le monde, (norme: N°PNR, n° Vol, lieux départ, arrivée, escale arrivée, départ, n° vol, avec d’autres personnes (qui…) ou non…contact, mode de paiement, prix billet, nourriture - casher, hallal, végétarien, normal - chaise roulante, nom du groupe tourisme…) demandés par USA notamment 72 heures avant décollage pour contrôle /No Fly List et « identifier ceux « pour contrôle approfondi à arrivée » 5 Eyes +1 pays actuellement les demandent USA, GB, Canada, Australie, NZ, France,..30 en cours  Vis à vis du Terrorisme ou pour espionnage?  APIS (Advanced Passengers Information System) les information des deux lignes en caractères lecture optique en bas de page du passeport de tous les passagers enregistrés + lieu départ, arrivée, N° vol ) ¼ h avant ou après décollage envoyée à aux autorités de destination ne suffisent elles pas?  5 – Accès au back up de SWIFT 2004 (société belge de messagerie traitant 90 % des transactions bancaires internationales) au USA contre terrorisme, trafic illégal, ou pour espionnage ? Décision Européenne; dans le « back up » aux USA seulement les transactions ayant un lien avec les USA + contrôle par EUROPOL (APDP européennes « traces des demandes insuffisantes »), les autres=> Back up en Suisse

6 FA/PDP – DAKAR 2015 6 – le DROIT: Caractéristiques communes aux traitements de don - nées dans le secteur de la sécurité: que dit la convention 108, article 9 Quels sont les droits des personnes face aux préoccupations sécuritaires des Etats ?  Dérogations « nécessaires » et « proportionnées » « dans une société démocratique » aux principes et droits de protection des données personnelles: exemples  Finalité légitime: tenue du fichier des plaintes et de leur instruction par la police judiciaire ? Oui mais conditions  Transparence : va-t-on informer les suspects des recherches que l’ont fait pour ’identifier le meurtrier? Non mais jusqu’à quand?..., voir plus loin  Claires et prévues par la loi, (parce que - a - c’est une limitation au droit à vie privée, - b- tout un chacun doit pouvoir comprendre ce qu’il ne doit pas faire et ce qu’il encourt)  ex: la loi doit prévoir les infractions pénales pour lesquelles des écoutes secrètes sont possibles, de même la loi doit prévoir celles pour lesquelles la prise des empreintes digitales et d’ADN est possible C’est à dire la liste des cas ou chaque technique est nécessaire et proportionnée  Contrôle de la loi par cour constitutionnelle, le cas échéant cour régionale …

7 FA/PDP – DAKAR 2015 II- Application des principes de dérogation « nécessaire et « proportionnelle » aux principes de Protection des Données Personnelles en matière de 1- fichiers/traitements de police judiciaire, voir Recommandation n° R (87)15 du CdE

8 FA/PDP – DAKAR 2015 APPLICATION 1- Police judiciaire, Traitements liés aux enquêtes de la police judiciaire: principes et dérogations Quels sont les droits des personnes face aux préoccupations sécuritaires des Etats ? - Finalité légitime (oui cf. précédent), transparence du traitement (loi ou règlement) OUI, sous contrôle a priori et a postériori de l’Autorité indépendante de protection des données OUI -Dérogation à l’interdiction de la finalité incompatible : exemples =>Écoute et/ou métadonnées de la personne soupçonnée de l’assassinat ? sans information bien sur de la personne au départ Oui mais seulement avec autorisation du juge (montré au service spécial télécom) et suppression des informations SANS RAPPORT avec le cas =>Accès au compte bancaire de la personne soupçonnée de corruption? sans information de la personne au départ, Oui mais seulement avec autorisation du juge (montré à la banque) - Information au moment de la collecte auprès de tiers? NON -Données « non excessives » au regard de la finalité (pas vraiment. on cherche…un auteur) -Mise à jour: oui...témoin/auteur…et après le procès (très important, cf..bcp d’erreurs

9 FA/PDP – DAKAR 2015 APPLICATION 1- Police judiciaire, Traitements liés aux enquêtes de la police judiciaire Quels sont les droits des personnes face aux préoccupations sécuritaires des Etats ? -Sécurité oui, oui, oui - dont accès au fichier contrôlé par individu, et conservation traces/contrôle interne (cf. risque d’accès abusif) -Durée de conservation (durée des recours) -Droit d’accès oui à partir de l’accès au dossier /procédure avocat ; -Droit d’accès ultérieur/correction si nécessaire oui et si nécessaire avec l’aide de l’Autorité PDP - Droit de suppression ADN, Empreintes digitales : oui si non poursuivi, Oui si mis hors de cause à la fin de procès (en Europe: la Cour européenne des droits de l ’homme a du intervenir -Transparence du traitement (loi et règlement décrivant le traitement et sa mise en ouvre) OUI -Contrôle a priori (avis sur projet de loi et de règlement) et a postériori de l’Autorité indépendante de protection des données OUI bien sur…c’est quand il y a des dérogations que le contrôle est hyper important….

10 FA/PDP – DAKAR 2015 III- Application des principes de dérogation « nécessaire » et « proportionnelle» aux principes de PDP en matière de 2- fichiers/traitements des service secrets (surveillance préventive des menaces) Le point sur des réflexions nationales, régionales et mondiales en cours

11 FA/PDP – DAKAR 2015 APPLICATION 2- Les traitements effectués par les services de renseignements (services secrets) Quels sont les droits des personnes face aux préoccupations sécuritaires des Etats ?  Finalités légitimes, menaces/prévention(différents services) à inscrire dans la loi: Menace d’attaque militaire,  Menace d’attaque terroriste (à définir)  Menace d’attaque informatique (en réalité c’est permanent….organisation particulière)  Menace de prolifération d’équipements destinés à la surveillance (problème du double usage)  Trafic des êtres humains  Trafic d’armes  Trafic de drogues, de faux médicaments, contre façons  Blanchiment d’argent  Contre espionnage politique, économique…  Autres?

12 FA/PDP – DAKAR 2015 APPLICATION 2- Les traitements effectués par les services de renseignements (services secrets) suite Quels sont les droits des personnes face aux préoccupations sécuritaires des Etats ?  GARANTIES: Contenu com. ET méta - données (qui communiquent avec qui (tel, mail, fax), quand, où, qui consulte quoi = vie privée secret  S’assurer que les constitutions, la convention africaine des droits de l’homme et des peuples garantit le droit à la vie privée  INTERDICTION de l’espionnage politique, économique, technico/scientifique des citoyens, alliés…, par les agents des services secrets, même à la demande de la hiérarchie – et QUESTION de la protection des lanceurs d’alertes par l’Autorité indépendante (ci dessous) ou plus, délivré secret professionnel/publiquement  Autorisation : gros débat par qui: par 1 er ministre ou par autorité indépendante pluridisciplinaire ou cour spéciale?  Au moins demande motivée d’avis auprès de l’autorité : QUI, pourquoi, combien de temps (renouvelable), en cas de transmission d’information à un autre service aussi, en cas d’urgence également  Réponse à l’avis : suivi ou non, pourquoi  Contrôle possible en temps réel de tout par l’autorité  Suite….

13 FA/PDP – DAKAR 2015 APPLICATION 2- Les traitements effectués par les services de renseignements (services secrets) Quels sont les droits des personnes face aux préoccupations sécuritaires des Etats ?  GARANTIES (suite)  Autorisation par l’autorité des accords d’échanges d’information avec services alliés/étrangers et contrôle de ceux ci (nulle part cela n’est prévu !)  Information des personnes NON,  droit d’accès et de suppression: OUI par intermédiaire de l’autorité, info à la personne sauf si menace l’empêche (au mieux à l’heure actuelle dit on seulement « contrôle effectué »)  Transparence par rapport annuel de l’autorité (par finalité, combien avis +, avis -,suivis, non suivis etc…combien d’exercice du droit d’accès et leurs résultats  Centralisation ou non, Durée de conservation (loi, au regard des menaces en cause)  Transmission au juge en cas d’infraction pénale détectée (besoin de coordination cf. la surveillance par le service secret doit s’arrêter et repris dans un autre cadre si nécessaire  suite…

14 FA/PDP – DAKAR 2015 APPLICATION 2- Les traitements effectués par les services de renseignements (services secrets) suite Quels sont les droits des personnes face aux préoccupations sécuritaires des Etats ?  Ces garanties marchent vis à vis des cibles « identifiées » avec les techniques:  Écoutes/interception (personne ou n° tel fixe ou mobile ou adresse IP/date/heure, ou email…)  Sonorisation de lieux (maison, appartement, voiture) : attention comment envoi à l’autorité pour contrôle  Équipement dans l’équipement de la personne, de l’entreprise: //  IMSI casher : capte (et redirige vers l’antenne) tout mobile dans un rayon de (100/500 mètres) ; filtrage obligatoire de n° particulier? + attention comment envoyer à l’autorité pour contrôle  Autres Techniques pour autre visée, non de surveillance ciblée, mais pour identifier des menaces, des cibles …suite…

15 FA/PDP – DAKAR 2015 APPLICATION 2- Les traitements effectués par les services de renseignements (services secrets) suite Quels sont les droits des personnes face aux préoccupations sécuritaires des Etats ?  Techniques pour identifier des menaces, des cibles : comment? étapes:  Étape 1- Prise d’information – collecte de masse d’ information  d’origine électromagnétique : Satellite=> années 90, Depuis : câbles sous marins à ‘atterrissage sur côtes,  boites noires chez les opérateurs ou demande de la copie des métadonnées seulement Garanties vis à vis de la collecte de masse? Systèmes demeurés secrets plus de 10 ans (sauf Allemagne loi G 10 avec contrôle partiel et seulement MAX 20% seulement des communications) LE GRAND DEBAT ACTUEL: - Cour européenne de Justice (Luxembourg) mai 2014 obligation opérateur Télécom de conserver données de connexions pour le cas où = illégal (disproportionné et pas précis) - Rapport HCDH (ONU) Juin 2015: collecte de masse même si on n’en fait rien c’est contraire aux droits de l’homme - Tribunal fédéral d’appel USA 7 mai 2015 (plainte association ACLU) : ce n’est pas légal au regard du Patriot Act section 215 (communications aux USA) - Cour européenne des droits de l’homme – plainte associations Grande Bretagne, en attente du jugement - France: projet de loi prévoit la boite noire, après AN, sera maintenue par Sénat? Hollande a annoncé la saisine du Conseil constitutionnel

16 FA/PDP – DAKAR 2015 APPLICATION 2- Les traitements effectués par les services de renseignements (services secrets) suite Quels sont les droits des personnes face aux préoccupations sécuritaires des Etats ?  Techniques pour identifier des menaces, des cibles, comment? suite  Etape 2 Analyse par logiciel et sélecteurs ( + ou – comme avec « big data » ou google search, genre profilage aussi ),certains parle de données anonymes mais cela est faux (cf n° et pas le nom…)  GARANTIES : proposition en cours du Contrôle des sélecteurs par l’autorité indépendante (question de sa composition) ou par autorité chargée de la Protection des Données Personnelles (préconisé par la Commission de Venise, CdE)  Mise à jour des sélecteurs en temps réel (pb contrôle)  Etape 3 Identification finale, si uniquement IP, n° de tel etc., auprès opérateurs  Garanties contre les faux positifs et les faux négatifs (d’autant plus que le filet est large) ? Il n’y en a pas vraiment  EFFICACITE ?  chef rebelle tchétchène et Savimbi tués par missile (écoute et localisation de leur téléphone par satellite)  2013 Sahara, Mali très certainement (+ Drones de surveillance)

17 FA/PDP – DAKAR 2015 APPLICATION 2- Les traitements effectués par les services de renseignements (services secrets) Quels sont les droits des personnes face aux préoccupations sécuritaires des Etats ?  Techniques pour « identifier des menaces, des cibles, collecte masse »,  EFFICACITE ? (Suite)  Mais en zones très habitées, détection de terroristes/loups solitaires, ON ATTEND TOUJOURS en Europe et aux USA des réponses sur les résultats/menace terroriste, questions des autorités de PD, des associations et de certaines partis politiques  Problème des faux positifs et des faux négatifs, si probabilité d’erreur 1% sur une grande population le nombre de personnes sélectionnées à tord est énorme.. => croisement d’autres sources ? Surveillance totale?  Garanties ? Quid en cas de changement de régime?  Techniques de contournement disponibles :  Changer de cartes SIM et de téléphone (pour différents N° de fabrication du téléphone et SIM, et de n° de téléphone  internet par tunnel sécurisé : VPN Virtual Private Network + chiffrement non « perturbé » (journalistes..)

18 FA/PDP – DAKAR 2015 Techniques d’interception et de surveillance « de masse »- conclusions Quels sont les droits des personnes face aux préoccupations sécuritaires des Etats ?  EFFICACITE des TIC pour cibler une menace: instrument de temps de guerre en zones où peu de personnes, si non inutile ou dangereuse pour les droits,  Et donc Finalement actuellement pour quelle finalité surtout:  Sécurité ou Financement du complexe militaro- sécuritaro- industriel? (USA 1, 2 millions de salariés gvt, privé)  Espionnage/politique, économique…? Sans doute sous couvert de lutte antiterroriste (nombre de révélations ont été faites) = illégal sur le plan international et national  En contournant le droit national (cf. garanties actuellement plus fortes pour les nationaux que pour les étrangers, donc accords entre services de pays différents et échanges d’informations captées d’autant que avec la structure logique et physique d’internet on ne peut distinguer en pratique les communications nationales et les étrangères cf. règle du droit applicable de celui qui collecte des données sur son territoire

19 FA/PDP – DAKAR 2015 IV- Préconisations

20 FA/PDP – DAKAR 2015 Préconisations Quels sont les droits des personnes face aux préoccupations sécuritaires des Etats ?  Même garanties pour les personnes, sans considération de nationalité ou de la résidence, préconisées par :  Commission AD Hoc USA désignée par Obama (décembre 2013),  Obama 17 janvier 2017 mais sa recommandation est secrète et ne peut se passer du Congrès (pas de débat là dessus)  Assuré par un accord international minimum (détails dans cette présentation) garantissant les droits sans considération de nationalité ou de résidence, préconisé par :  la Commission de Venise en mars 2015,  avec organe de contrôle international doté de pouvoirs d’investigation importants, Parlement européen en Février 2014,  à l’avenir par le rapport spécial vie privée conseil des DH, ONU (désignation dans les prochain jours) ?  Mais sans collecte de masse en aucune circonstance. NE pas oublier le contrôle des échanges de données et du marché des instruments de surveillance (MG)

21 FA/PDP – DAKAR 2015 Marché parfois très spécial, Exemple de technologie dite à double usage Quels sont les droits des personnes face aux préoccupations sécuritaires des Etats ?  « Deep pakage inspection » pour  Détecter/filtrer les spam, détecter et empêcher une attaque  Donner la priorité à certains flux (anti neutralité)  Donc Surveiller et analyser tout ce qui entre et sort du serveur ? Tiens, le besoin d’une garantie supplémentaire apparaît:  Les professionnels opérationnels sur les serveurs (surveillance, maintenance) sont ils astreints au secret professionnel?

22 Pensons multi - dimensionnellement, Agissons local - régional – global, tant qu’il en est encore temps MERCI