Blog

Un cyberespace créé et longtemps dominé par les États-Unis

Les États-Unis ont créé Internet. Ils en maîtrisent en particulier les infrastructures (comme nous l’avons vu dans l’article précédent), mais aussi les systèmes d’information et les logiciels, ce qui leur donne un accès direct aux données.

Depuis le premier réseau⁽¹⁾Né avec Arpanet en 1969 pour relier les universités américaines entre les deux côtes Ouest-Est, puis préempté par l’armée américaine. dissocié de l’usage militaire en 1980, Internet a évolué au cours de ces quatre dernières décennies vers des activités civiles par la création de la « toile » ou world wide web (1989), avec une accélération exponentielle conduisant à la création du cyberespace actuel.

Il convient d’ailleurs de bien dissocier le web (ou world wide web ou www) – qui est un protocole de connexion (TCP et IP créés en 1974) – d’Internet, qui est un réseau de connexion au web (de type infrastructure). C’est la raison pour laquelle il existe de nombreux « web », parmi lesquels ceux qui ne sont pas indexés sur le protocole www, à l’instar du deepweb ou du darkweb (qui est un ensemble de darknets).

L’administration d’Internet dépend de l’ICANN (ou Internet Corporation for Assigned Names and Numbers) qui gère les attributions de protocoles Internet (IP), assemblages de chiffres formant une adresse informatique. Chaque ordinateur dispose d’une adresse IP qui est sa propre signature. L’ICANN enregistre également les noms de domaines des sites Internet (ou DNS). Internet ayant été conçu à l’Université de Californie de Los Angeles (UCLA), la gestion en a été dévolue à une société privée de droit californien dont le siège est à Marina del Rey, dans le district de Los Angeles. En tant que société commerciale, l’ICANN est placée sous la tutelle du « Department of Commerce » fédéral.

Ainsi, bien que se voulant un vaste lieu d’échange et de communication mondial – le « village mondial »–, Internet dépend par conséquent d’une personne morale privée et non pas d’une institution supranationale. Il n’existe aucune convention internationale régissant cette structure et les flux qui en découlent, comme celles qui existent dans les domaines spatial et maritime.

Cette tutelle officielle ainsi institutionnalisée est de nos jours contestée, notamment par les BRICS qui y voient une mainmise sur laquelle ils n’ont pas d’emprise alors même qu’ils cherchent à faire émerger leurs propres champions de l’industrie numérique. Il faut reconnaître que cette requête n’est pas non plus sans arrière-pensée, sachant que les États-Unis peuvent ainsi soumettre la toile à leurs services de renseignement, les autres puissances ne pouvant quant à elles pas y accéder dans les mêmes proportions.

Internet participe également du soft power américain, car il est un vecteur alternatif du monde libéral, par le biais notamment des réseaux sociaux que sont Facebook, Twitter, LinkedIn. C’est pourquoi « Internet doit être considéré en conséquence non comme un outil d’influence, mais comme un outil qui démultiplie l’influence »⁽²⁾Rapport d’information parlementaire sur les vecteurs privés d’influence dans les relations internationales, Jean-Michel Boucheron et Jacques Myard, Assemblée Nationale, 18 octobre 2011, p. 66. C’est dire si les États-Unis disposent de leviers pour assumer leur hégémonie dans le cyberespace.

Selon l’ex-président américain Barak Obama, comme les États-Unis ont créé et diffusé Internet, ils sont propriétaires de fait des données qui empruntent ce réseau.

Selon l’ex-président américain Barak Obama, comme les États-Unis ont créé et diffusé Internet, ils sont propriétaires de fait des données qui empruntent ce réseau. Il s’agit d’une phrase prononcée en février 2015, en réponse aux accusations d’espionnage numérique après les très nombreuses révélations de l’affaire Snowden. En termes de domination, on ne saurait être plus clair.

En ce sens, quelques chiffres et données sont révélateurs et montrent déjà l’écart constitué dans la compétition numérique :

• 80 % des câbles de flux de données transitent par les États-Unis d’Amérique ;
• les GAFAM ont accès à près de 90 % des données collectées dans le monde ;
• 97 % des données échangées entre l’Europe et l’Asie transitent via les États-Unis ;
• leur chiffre d’affaires cumulé s’est élevé à 801 milliards de dollars en 2018 ;
• en 2020, Microsoft avait une valorisation égale à toutes celles cumulées des entreprises cotées au CAC 40 ;
• Google a racheté plus de 400 entreprises depuis sa création en 1998 (soit en moyenne 33 par an ou 3 par mois) ;
• entre 2001 et 2019, au total, les 5 GAFAM ont procédé à l’acquisition de 667 entreprises (en moyenne 1 tous les 10 jours) ;
• Google détient 90 % de part du marché des moteurs de recherches ;
• 84 % du chiffre d’affaires de Google repose sur de la publicité ciblée ;
• Tesla vaut 25 fois Renault en valorisation boursière (2020) ;
• le budget R&D d’Amazon (20 milliards d’Euros) dépasse celui de la NASA ;
• 90 % des données obtenues via le réseau d’espionnage électronique Echelon couvrent des informations de nature économique.

Des 13 grands serveurs intercontinentaux « Racine », 9 sont gérés par et depuis le territoire américain⁽³⁾L’homme nu. La dictature invisible du numérique, Marc Dugain et Christophe Labbe, Robert Laffont, 2016 ; Le désordre numérique, Olivier Babeau, Buchet Chastel, 2020 et GAFA, reprenons le pouvoir !, Joëlle Toledano ,Odile Jacob, 2020..

L’extraterritorialité des lois américaines dans le cyberespace

Qui détient la puissance sur les trois couches du cyberspace, est en mesure d’étendre sa réglementation aux utilisateurs. C’est ainsi que s’est imposée l’extraterritorialité des lois américaines dans le cyberespace.

Plusieurs textes de référence permettent ainsi d’asseoir cette « suzeraineté » réglementaire au-delà des frontières de l’Amérique :

Le Foreign Intelligence Surveillance Atc (FISA)

Il s’agit d’une loi fédérale de 1978 offrant aux centrales de renseignement un droit d’accès exorbitant permettant la collecte d’information sur des puissances étrangères soit directement, soit par l’échange d’informations avec d’autres puissances étrangères.

Le « FISA Amendments Act of 2008 » a ajouté un nouveau chapitre VII à la loi initiale de 1978. L’article 702 permet ainsi au Procureur général des États-Unis et au Directeur du renseignement national d’autoriser conjointement le ciblage des personnes censées être raisonnablement situées à l’extérieur des États-Unis, mais elle est limitée au ciblage des personnes non américaines.

En particulier, l’article 1181 du FISA :

• s’applique spécifiquement aux fournisseurs de services de Cloud computing (et pas seulement les opérateurs de télécommunications),
• ne cible que les données situées en dehors des États-Unis et appartenant à des personnes non américaines,
• et supprime certaines contraintes qui empêchaient jusque-là de réaliser une surveillance électronique permanente et à grande échelle, et de récupérer tout type de données.

C’est sur le fondement du FISA de 1978 que le programme PRISM a été bâti, permettant aux agences telles que la NSA d’accéder aux données détenues notamment par Yahoo !, Microsoft, Google, Facebook, Platak, YouTube, Skype, AOL, Apple, etc., indépendamment de la nationalité ou du lieu de résidence des personnes visées : un scandale qui a été révélé en 2013 par Edward Snowden.

Le Patriot act

Le « USA PATRIOT ACT » (pour Uniting and Strengthening America by Providing Appropriate Tools Required to Intercept and Obstruct Terrorism Act signifiant en français « Loi pour unir et renforcer l’Amérique en fournissant les outils appropriés pour déceler et contrer le terrorisme ») est une loi antiterroriste qui a été votée par le Congrès des États-Unis et signée par George W. Bush le 22 octobre 2001.

Dans la pratique, cette loi fédérale autorise les services de sécurité et de renseignement à accéder aux données informatiques détenues par les particuliers et les entreprises, sans autorisation préalable et sans en informer les utilisateurs. Tout en conservant les mêmes dispositions extraordinaires, le Patriot Act a été substitué par le Freedom Act, à effet au 31 mai 2015.

Le Cloud act : la possibilité américaine de saisir des données stockées a l’étranger

Allant plus loin encore dans leur emprise, tandis que les lois ci-dessus permettaient d’accéder aux données, indifféremment du lieu de résidence ou de la nationalité de la personne ciblée, mais dans la limite territoriale des données disponibles, avec le CLOUD ACT (2018), les États-Unis allaient appliquer leur captation de données, partout où elles se trouvent stockées dans le monde.

La section 2713 du Titre 18 du Code des États-Unis relatif à la conservation et la divulgation requises des communications et des dossiers dispose :

« Un fournisseur de services de communication électroniques ou un service informatique à distance devra se conformer aux obligations du présent chapitre pour préserver, sauvegarder, ou divulguer le contenu d’un fil ou d’une communication électronique et tout enregistrement ou toute autre information appartenant à un client ou un abonné en possession, détention ou contrôle du fournisseur, peu importe si une telle communication, enregistrement, ou autre information est localisé au sein ou en dehors des États-Unis. »⁽⁴⁾18 U.S. Code § 2713 – Required preservation and disclosure of communications and records:

« A provider of electronic communication service or remote computing service shall comply with the obligations of this chapter to preserve, backup, or disclose the contents of a wire or electronic communication and any record or other information pertaining to a customer or subscriber within such provider’s possession, custody, or control, regardless of whether such communication, record, or other information is located within or outside of the United States. »

Par conséquent, les autorités de poursuite américaines sont désormais régulièrement habilitées à solliciter la communication de données, quelle que soit leur nature, n’importe où dans le monde, lorsque leur hébergement est réalisé sur un serveur appartenant à une société américaine, comme Microsoft, Oracle, IBM, Apple.

Une société correspondant à ces critères, à qui est adressée la demande de communication de données ne peut plus, en principe, se prévaloir de la localisation hors frontières américaines des données cibles afin de refuser légitimement de les communiquer.

La requête doit porter sur un « serious crime » toutefois, l’interprétation par le juge américain est susceptible d’englober des « délits économiques », ce qui viserait à réaliser, en réalité, une collecte de preuves contre des entreprises étrangères, comme cela s’est vu dans les affaires où le Departement of justice s’est illustré (Alstom, BNP Paribas). En outre, la personne visée par la demande de communication des autorités américaines n’est pas avisée d’une telle requête.

Les conditions du Cloud Act méconnaissent les mécanismes juridiques existants et notamment l’article 6 du Traité du 10 décembre 1998 d’entraide judiciaire en matière pénale entre la France et les États-Unis d’Amérique relatif au refus de l’entraide ainsi que l’article 12 de la Convention de La Haye du 18 mars 1970 sur l’obtention des preuves à l’étranger en matière civile ou commerciale. Enfin, un tel droit à l’acquisition des données sur le territoire européen se heurte à l’application de l’article 48 du RGPD qui s’oppose à la communication de données personnelles⁽⁵⁾Les règles applicables au sein de l’Union européenne seront étudiées dans le troisième article de cette série..

Depuis lors, ce n’est plus seulement la localisation des serveurs et centres de stockage de données (« data centers ») qui prévaut – puisque selon leur nationalité américaine ils sont accessibles au Cloud Act – mais précisément la nationalité de l’opérateur numérique et sa position géographique. En cela, le Cloud Act a conduit à une profonde réflexion relative à la relocalisation géographique, juridique et technique des données pour ceux qui veulent s’en affranchir. Cette extraterritorialité numérique a fait germer en réponse l’idée de « Cloud souverain »⁽⁶⁾Idem.

Si entre 2015 (Patriot Act) et 2018 (Cloud act), il y avait un sens politique pour ceux qui souhaitaient sérieusement protéger l’accès aux données personnelles des Français, à demander que les serveurs traitant ces données se situent en France, depuis 2018, cela n’a plus de sens. Le sujet a évolué et pour protéger les données personnelles françaises, voire européennes, il faut dorénavant demander qu’aucune entreprise américaine n’intervienne dans la chaîne de la donnée sur aucune des trois couches du cyberespace. Tout le reste est inopérant sur ce sujet fondamental.

Pour protéger les données personnelles françaises, voire européennes, il faut dorénavant demander qu’aucune entreprise américaine n’intervienne dans la chaîne de la donnée sur aucune des trois couches du cyberespace. Tout le reste est inopérant sur ce sujet fondamental.

La souveraineté numérique chinoise

Dès les années 2000, la Chine a élaboré une doctrine restrictive de protection de son cyberespace, notamment contre les ingérences étrangères. Les restrictions se sont notamment multipliées dans le contexte des révélations Snowden de 2013.

Plusieurs lois forment désormais le socle de leur politique de cybersécurité, dûment inscrite dans le cadre de leur sécurité nationale.

L’année 2015 a vu l’adoption de la première loi chinoise sur la cybersécurité́. Depuis, le principal organisme national de normalisation – le Comité́ technique national de normalisation de la sécurité́ de l’information (TC260) – a publié́ plus de trois cents normes en matière de cybersécurité́.

En 2017, le gouvernement chinois a mis en place une loi sur la cybersécurité : « The Cybersecurity Law » ou « The Law ». Elle lui permet d’obliger les entreprises et les opérateurs de télécommunications ainsi que les organismes gouvernementaux à partager les informations sur les incidents, notamment les logiciels malveillants de type « cheval de Troie », les vulnérabilités matérielles et les contenus liés à des adresses IP « malveillantes » vers une plate-forme créée par le MIIT dans cette optique.

Nous développerons ci-après les divers textes de régulation du cyberespace chinois par le gouvernement.

La protection des données personnelles

Le 1^er juin 2017, la loi sur la Cybersécurité est entrée en vigueur en Chine. Elle vise la protection des données personnelles à l’instar du RGPD européen, dont elle se rapproche par certains côtés, mais davantage – diront certains – orienté vers une cybersurveillance citoyenne. Ce texte fixe précisément les lignes directrices que le gouvernement central chinois impose aux entreprises actives dans la collecte de données personnelles et dans les infrastructures de réseaux et le transfert des données hors de Chine.

Les « données personnelles » sont définies comme toute information prise individuellement ou en combinaison avec d’autres informations pouvant mener à l’identification d’un individu.

Pour toute opération commerciale recueillant des données provenant d’utilisateurs en Chine, toute « information personnelle ou jugée importante » collectée en Chine doit être impérativement physiquement stockée sur des serveurs localisés en Chine. Depuis 2019, plusieurs textes de loi et de régulations ont été publiés au sujet du transfert de données personnelles ou sensibles, sur le territoire chinois et à l’étranger. Pour autant, l’ensemble de ces textes ne donne pas de définition claire de la marche à suivre dans le cadre des partages de données si ce n’est qu’il doit être consenti par le client explicitement.

Ces dispositions sur la protection des données s’appliquent aux « opérateurs de réseaux », qui est un terme très général utilisé par les autorités chinoises pour inclure beaucoup d’acteurs de différents domaines en lien avec la récolte de données, l’internet des objets ou encore les services de Cloud, ce qui représente aujourd’hui la quasi-totalité des acteurs privés sur le territoire chinois.

Les articles 40 à 50 du chapitre IV de cette loi de cybersécurité recensent donc les dispositions en matière de protection des données. La seule réserve qui pourrait être émise quant à sa comparaison avec le RGPD est qu’on retrouve dans le texte de cette loi une caractéristique commune à la majorité des textes législatifs chinois : le flou. Tant dans les définitions de la donnée « personnelle » ou « jugée importante » que dans la catégorisation des acteurs soumis aux obligations dictées par cette loi, le texte reste très (trop) souvent sujet à interprétation, et laisse donc une grande place à de possibles instrumentalisations en plus de rendre fastidieux le travail de standardisation pour les acteurs étrangers. Le champ d’application de la loi est donc très large, mais n’inclut pas de portée extraterritoriale pour le moment (article 2).

Il n’existe pas d’institution telle que la CNIL en charge de la régulation de l’usage des données personnelles « jugée importante » en Chine ; en revanche cette autorité est transférée à chaque ministère, qui exerce le pouvoir de contrôle sur son secteur.

Protection des infrastructures et sanctions

Par ailleurs, le transfert de données hors du territoire est très encadré. Le texte impose même à certains services en ligne de stocker les données de leurs utilisateurs sur le territoire chinois, citant notamment les « infrastructures critiques d’information » (Critical Information Infrastructure). Or certaines entreprises s’inquiètent du flou entourant la rédaction de certaines dispositions et de l’influence de ce texte qui serait susceptible in fine de concerner n’importe quelle entreprise, selon les intérêts des autorités chinoises.

De plus, l’article 27 de la loi de Cryptographie oblige les acteurs de ce secteur à utiliser des algorithmes de chiffrement « commercial » pour tous leurs systèmes d’information. Ces acteurs participent d’ailleurs également au développement et à la labellisation d’outils et d’applications de chiffrement « commercial » au niveau chinois.

La Loi de cybersécurité du 1^er juin 2017 liste un éventail clair de sanctions pour violation de la Loi telles qu’avertissement, saisie des gains acquis illégalement ou encore amende jusqu’à dix fois le montant des gains illégaux. En cas de violation des provisions relatives à la protection des données personnelles, les responsables peuvent être soumis à une amende entre 10 000 RMB et 100 000 RMB.

Dans les cas jugés sérieux, les responsables peuvent être emprisonnées pour une période comprise entre cinq et quinze jours, et les opérateurs de réseaux peuvent se voir suspendre ou retirer le droit d’exploitation de leur site internet ainsi que leur licence commerciale. Des amendes administratives peuvent atteindre jusqu’à un million RMB et les peines de prison jusqu’à deux ans ferme.

Accès Internet

Le « Great Firewall » représente l’ensemble des législations et des systèmes technologiques qui régissent collectivement l’internet du pays. Cette réglementation chinoise de l’internet a commencé à la fin des années 1990, notamment avec l’adoption de la loi CL97 en 1997 – la première à criminaliser la cybercriminalité en Chine – et le projet Golden Shield en 1998, qui visait à limiter l’accès à certains types de données étrangères en Chine. 

La restriction d’accès à Internet est une des sanctions communes aux lois de régulation d’Internet sur le territoire chinois comme stipulé par l’article 58 de la CSL de 2017. Tout écart est passable d’une interdiction d’accès aux réseaux internet pour toute utilisation que ce soit.

Certains mots sont bannis du réseau chinois, et redirigent vers des pages d’erreur si ces termes sont utilisés dans les outils de recherche ou sur les navigateurs. Une utilisation trop fréquente de termes bannis peut également conduire à des enquêtes et/ou à des sanctions. Certains VPN sont interdits en Chine. Toutes les entreprises présentent sur le territoire avaient jusqu’au 31 mars 2018 pour se conformer à cet usage limité dicté par les autorités.

Liberté d’expression électronique et désinformation

Plusieurs textes de contrôle de l’expression des opinions se sont succédé, visant à contrôler l’information en ligne :

• 2015 :la loi condamne à sept ans de prison la diffusion de fausses informations considérées comme perturbant l’ordre public. 
• 2017 : Les plateformes de réseaux sociaux n’ont le droit de diffuser des informations / liens qu’à partir de médias approuvés par l’État. 
• 2018 : Les autorités chinoises abolissent l’administration d’État de la presse, de la publication radio, des films et de la télévision, et intègrent cette gestion au département de la propagande, qui répond à l’autorité directe du PCC.
• 1^er janvier 2020 : Interdiction de l’utilisation de contenus, ou de création de contenus « deepfake » annoncée par le gouvernement chinois sous peine de sanctions économiques et/ou d’emprisonnement pour perturbation de l’ordre public. 
• Mars 2020 : Entrée en vigueur des mesures de restriction de la liberté d’expression électronique sur les bases des régulations de 2018. 
• 8 janvier 2021 : Projet de loi mettant à jour sa réglementation d’Internet. Cette loi a pour but de renforcer la fermeté sur la désinformation et sur le partage de contenus « frauduleux » (définis comme tout contenu qui n’est pas issu des sources officielles). 

Ces mesures ont une portée extraterritoriale, puisqu’elles s’appliquent aussi à tous les contenus partagés par des acteurs chinois en dehors des frontières du pays. Toutes ces mesures sont rattachées à la politique nationale chinoise de « crédit social » puisque tout écart à ces lois de limitation de la liberté d’expression aura pour conséquence une baisse du crédit social des personnes responsables. 

Tout ceci s’est accentué depuis la pandémie du Covid 19. Le PCC a obligé les médias et tout acteur présent sur les réseaux sociaux à ne relayer que la version officielle partagée par le gouvernement chinois. Par exemple, depuis la crise, aucune publication scientifique ne peut être publiée sans l’accord préalable des autorités politiques. Aussi, les acteurs technologiques chinois se doivent en plus de ne relayer que les informations officielles, de promouvoir celles-ci face à tout autre avis divergent, qu’il provienne de dissidents chinois ou d’acteurs étrangers.

La Chine a rendu illégal tout partage de contenu trafiqué qui n’est pas clairement marqué comme tel. Il s’agit d’un délit depuis le 1er janvier 2020. Pour la Chine, les « deepfakes » « mettent en danger la sécurité nationale, perturb[ent] l’équilibre et l’ordre social du pays et port[ent] atteinte aux intérêts et aux droits d’autrui ». 

Il ressort de l’ensemble de ces réglementations une structure très centralisée de l’usage d’Internet et des nouvelles technologies. Ce faisant, la Chine préserve sa souveraineté politique et numérique, adossée à une législation très verticale, tout à la fois mouvante et volontairement obscure, permettant aux autorités des interprétations très larges au bénéfice de la sécurité nationale. C’est l’assise d’un « ordre public numérique » chinois.

La Chine préserve sa souveraineté politique et numérique, adossée à une législation très verticale, tout à la fois mouvante et volontairement obscure, permettant aux autorités des interprétations très larges au bénéfice de la sécurité nationale. C’est l’assise d’un « ordre public numérique » chinois.

À l’instar de son économie industrielle, cette politique volontariste a permis l’éclosion de fleurons électroniques dans toutes les couches du cyberespace tels que Baïdu, Tencent, FTZ, Xiaomi, Alibaba, Huamei, etc. Désormais, dans le cadre du plan MIC 2025 (Made in China), les autorités visent, au-delà de la seule régulation des opérateurs étrangers, l’autonomie technologique de la Chine et par conséquent la substitution des acteurs américains. C’est pourquoi la nouvelle guerre froide USA / Chine est actuellement technologique.

La Chine a-t-elle atteint son objectif d’indépendance face aux stratégies américaines ? Sur le plan interne en grande partie, oui, sur les couches du cyberespace. Des GAFAM, seul Microsoft a réussi à s’implanter en Chine et donc selon le Cloud Act ce qui constitue une possibilité d’accès aux données des utilisateurs chinois. Les infrastructures numériques en Chine sont chinoises aussi. En revanche, l’ICANN (ou Internet Corporation for Assigned Names and Numbers) est toujours une structure américaine de droit privé et si la Chine a développé une stratégie de construction d’infrastructures (câbles, satellites, serveurs, etc.) en particulier le long de « la nouvelle route de la soie numérique », mais aussi logicielle⁽⁷⁾voir article no1 pour ne pas être tributaire des infrastructures américaines, son autonomie n’est pas encore acquise dans sa connexion au reste du monde, mais peut-elle l’être ?

Conclusion

Au départ Internet était présenté comme un nouvel espace sans frontière, une « autoroute de l’information » – affranchie de tout contrôle –  où la liberté d’expression, d’opinion, de communication, de contestation devait trouver une caisse de résonance sans précédent à l’échelle planétaire. Internet est devenu un enjeu géostratégique très contesté à la fois entre entreprises, mais surtout entre États en particulier comme nous venons de le voir, entre la Chine et les États-Unis. Leurs stratégies sont cependant différentes.

Pour les États-Unis, il s’agit avant tout d’avoir accès aux données des acteurs des pays tiers. À ce stade, pour la Chine, il s’agit à la fois de restreindre l’accès des tiers aux données chinoises tout en contrôlant les propos tenus par les Chinois sur la couche sémantique. Nous traiterons de la Russie dans un troisième article et enfin de l’Union européenne et de la France ainsi que des nouveaux modèles économiques dans un quatrième article.