Vous croyez tout savoir déjà sur l’exploitation de nos données personnelles ? Parcourez plutôt quelques paragraphes de ce très vaste dossier…

Il s’agit du remarquable travail d’enquête procuré par Craked Labs, une organisation sans but lucratif qui se caractérise ainsi :

… un institut de recherche indépendant et un laboratoire de création basé à Vienne, en Autriche. Il étudie les impacts socioculturels des technologies de l’information et développe des innovations sociales dans le domaine de la culture numérique.

…  Il a été créé en 2012 pour développer l’utilisation participative des technologies de l’information et de la communication, ainsi que le libre accès au savoir et à l’information – indépendamment des intérêts commerciaux ou gouvernementaux. Cracked Labs se compose d’un réseau interdisciplinaire et international d’experts dans les domaines de la science, de la théorie, de l’activisme, de la technologie, de l’art, du design et de l’éducation et coopère avec des parties publiques et privées.

Bien sûr, vous connaissez les GAFAM omniprésents aux avant-postes pour nous engluer au point que s’en déprendre complètement est difficile… Mais connaissez-vous Acxiom et LiveRamp, Equifax, Oracle, Experian et TransUnion ? Non ? Pourtant il y a des chances qu’ils nous connaissent bien…

Il existe une industrie très rentable et très performante des données « client ».

Dans ce long article documenté et qui déploie une vaste gamme d’exemples dans tous les domaines, vous ferez connaissance avec les coulisses de cette industrie intrusive pour laquelle il semble presque impossible de « passer inaperçu », où notre personnalité devient un profil anonyme mais tellement riche de renseignements que nos nom et prénom n’ont aucun intérêt particulier.

L’article est long, vous pouvez préférer le lire à votre rythme en format .PDF (2,3 Mo)

–> framablog.org-Comment-les-entreprises-surveillent-notre-quotidien-NEW

L’équipe de Framalang s’est largement mobilisée pour vous procurer cette longue traduction : Abel, mo, Moutmout, Penguin, Opsylac, Luc, Lyn., hello, Jérochat, QS, Jérochat, Asta, Mannik, roptat, audionuma, Opsylac, Lumibd, linuxmario, goofy et un anonyme.

Des entreprises mettent notre quotidien sous surveillance

Source : http://crackedlabs.org/en/corporate-surveillance

Par Wolfie Christl

avec les contributions de : Katharina Kopp, Patrick Urs Riechert / Illustrations de Pascale Osterwalder.

Comment des milliers d’entreprises surveillent, analysent et influencent la vie de milliards de personnes. Quels sont les principaux acteurs du pistage numérique aujourd’hui ? Que peuvent-ils déduire de nos achats, de nos appels téléphoniques, de nos recherches sur le Web, de nos Like sur Facebook ? Comment les plateformes en ligne, les entreprises technologiques et les courtiers en données font-ils pour collecter, commercialiser et exploiter nos données personnelles ?

Ces dernières années, des entreprises dans de nombreux secteurs se sont mises à surveiller, pister et suivre les gens dans pratiquement tous les aspects de leur vie. les comportements, les déplacements, les relations sociales, les centres d’intérêt, les faiblesses et les moments les plus intimes de milliards de personnes sont désormais continuellement enregistrés, évalués et analysés en temps réel. L’exploitation des données personnelles est devenue une industrie pesant plusieurs milliards de dollars. Pourtant, de ce pistage numérique omniprésent, on ne voit que la partie émergée de l’iceberg ; la majeure partie du processus se déroule dans les coulisses et reste opaque pour la plupart d’entre nous.

Ce rapport de Cracked Labs examine le fonctionnement interne et les pratiques en vigueur dans cette industrie des données personnelles. S’appuyant sur des années de recherche et sur un précédent rapport de 2016, l’enquête donne à voir la circulation cachée des données entre les entreprises. Elle cartographie la structure et l’étendue de l’écosystème numérique de pistage et de profilage et explore tout ce qui s’y rapporte : les technologies, les plateformes, les matériels ainsi que les dernières évolutions marquantes.

Le rapport complet (93 pages, en anglais) est disponible en téléchargement au format PDF, et cette publication web en présente un résumé en dix parties.

Sommaire

• I. Analyser les individus
• II. Analyser les individus dans la finance, les assurances et la santé
• III. Collecte et utilisation massives de données client
• IV. Les courtiers en données/ et le marché des données personnelles
• V. La surveillance en temps réel des comportements quotidiens
• VI. Relier, faire correspondre et combiner des profils numériques
• VII. Gérer les clients et les comportements : personnalisation et contrôle
• VIII. Dans les mailles du filet : vie quotidienne, données commerciales et analyse du risque
• IX. Cartographie de l’écosystème du pistage et du profilage commercial
• X. Vers une société du contrôle social numérique généralisé ?

En 2007, Apple a lancé le smartphone, Facebook a atteint les 30 millions d’utilisateurs, et des entreprises de publicité en ligne ont commencé à cibler les internautes en se basant sur des données relatives à leurs préférences individuelles et leurs centres d’intérêt. Dix ans plus tard, un large ensemble d’entreprises dont le cœur de métier est les données (les data-companies ou entreprises de données en français) a émergé, on y trouve de très gros acteurs comme Facebook ou Google mais aussi des milliers d’autres entreprises, qui sans cesse, se partagent et se vendent les unes aux autres des profils numériques. Certaines entreprises ont commencé à combiner et à relier des données du web et des smartphones avec les données clients et les informations hors-ligne qu’elles avaient accumulées pendant des décennies.

La machine omniprésente de surveillance en temps réel qui a été développée pour la publicité en ligne s’étend rapidement à d’autres domaines, de la tarification à la communication politique en passant par le calcul de solvabilité et la gestion des risques. Des plateformes en ligne énormes, des entreprises de publicité numérique, des courtiers en données et des entreprises de divers secteurs peuvent maintenant identifier, trier, catégoriser, analyser, évaluer et classer les utilisateurs via les plateformes et les matériels. Chaque clic sur un site web et chaque mouvement du doigt sur un smartphone peut activer un large éventail de mécanismes de partage de données distribuées entre plusieurs entreprises, ce qui, en définitive, affecte directement les choix offerts aux gens. Le pistage numérique et le profilage, en plus de la personnalisation ne sont pas seulement utilisés pour surveiller, mais aussi pour influencer les comportements des personnes.

Vous devez vous battre pour votre vie privée, sinon vous la perdrez.

Eric Schmidt, Google/Alphabet, 2013

Analyser les individus

Des études scientifiques démontrent que de nombreux aspects de la personnalité des individus peuvent être déduits des données générées par des recherches sur Internet, des historiques de navigation, des comportements lors du visionnage d’une vidéo, des activités sur les médias sociaux ou des achats. Par exemple, des données personnelles sensibles telles que l’origine ethnique, les convictions religieuses ou politiques, la situation amoureuse, l’orientation sexuelle, ou l’usage d’alcool, de cigarettes ou de drogues peuvent être assez précisément déduites des Like sur Facebook d’une personne. L’analyse des profils de réseaux sociaux peut aussi prédire des traits de personnalité comme la stabilité émotionnelle, la satisfaction individuelle, l’impulsivité, la dépression et l’intérêt pour le sensationnel.

Analyser les like Facebook, les données des téléphones, et les styles de frappe au clavier

 

De la même façon, il est possible de déduire certains traits de caractères d’une personne à partir de données sur les sites Web qu’elle a visités, sur les appels téléphoniques qu’elle a passés, et sur les applis qu’elle a utilisées. L’historique de navigation peut donner des informations sur la profession et le niveau d’étude. Des chercheurs canadiens ont même réussi à évaluer des états émotionnels comme la confiance, la nervosité, la tristesse ou la fatigue en analysant la façon dont on tape sur le clavier de l’ordinateur.

Analyser les individus dans la finance, les assurances et la santé

Les résultats des méthodes actuelles d’extraction et d’analyse des données reposent sur des corrélations statistiques avec un certain niveau de probabilité. Bien qu’ils soient significativement plus fiables que le hasard dans la prédiction des caractéristiques ou des traits de caractère d’un individu, ils ne sont évidemment pas toujours exacts. Néanmoins, ces méthodes sont déjà mises en œuvre pour trier, catégoriser, étiqueter, évaluer, noter et classer les personnes, non seulement dans une approche marketing mais aussi pour prendre des décisions dans des domaines riches en conséquence comme la finance, l’assurance, la santé, pour ne citer qu’eux.

L’évaluation de crédit basée sur les données de comportement numérique

Des startups comme Lenddo, Kreditech, Cignifi et ZestFinance utilisent déjà les données récoltées sur les réseaux sociaux, lors de recherches sur le web ou sur les téléphones portables pour calculer la solvabilité d’une personne sans même utiliser de données financières. D’autres se basent sur la façon dont quelqu’un va remplir un formulaire en ligne ou naviguer sur un site web, sur la grammaire et la ponctuation de ses textos, ou sur l’état de la batterie de son téléphone. Certaines entreprises incluent même des données sur les amis avec lesquels une personne est connectée sur un réseau social pour évaluer sa solvabilité.

Cignifi, qui calcule la solvabilité des clients en fonction des horaires et de la fréquence des appels téléphoniques, se présente comme « la plateforme ultime de monétisation des données pour les opérateurs de réseaux mobiles ». De grandes entreprises, notamment MasterCard, le fournisseur d’accès mobile Telefonica, les agences d’évaluation de solvabilité Experian et Equifax, ainsi que le géant chinois de la recherche web Baidu, ont commencé à nouer des partenariats avec des startups de ce genre. L’application à plus grande échelle de services de cette nature est particulièrement en croissance dans les pays du Sud, ainsi qu’auprès de groupes de population vulnérables dans d’autres régions.

Réciproquement, les données de crédit nourrissent le marketing en ligne. Sur Twitter, par exemple, les annonceurs peuvent cibler leurs publicités en fonction de la solvabilité supposée des utilisateurs de Twitter sur la base des données client fournies par le courtier en données Oracle. Allant encore plus loin dans cette logique, Facebook a déposé un brevet pour une évaluation de crédit basée sur la cote de solvabilité de vos amis sur un réseau social. Personne ne sait s’ils ont l’intention de réellement mettre en application cette intégration totale des réseaux sociaux, du marketing et de l’évaluation des risques.

On peut dire que toutes les données sont des données sur le crédit, mais il manque encore la façon de les utiliser.

Douglas Merrill, fondateur de ZestFinance et ancien directeur des systèmes d’informations chez Google, 2012

Prédire l’état de santé à partir des données client

Les entreprises de données et les assureurs travaillent sur des programmes qui utilisent les informations sur la vie quotidienne des consommateurs pour prédire leurs risques de santé. Par exemple, l’assureur Aviva, en coopération avec la société de conseil Deloitte, a utilisé des données clients achetées à un courtier en données et habituellement utilisées pour le marketing, pour prédire les risques de santé individuels (comme le diabète, le cancer, l’hypertension et la dépression) de 60 000 personnes souhaitant souscrire une assurance.

La société de conseil McKinsey a aidé à prédire les coûts hospitaliers de patients en se basant sur les données clients d’une « grande compagnie d’assurance » santé américaine. En utilisant les informations concernant la démographie, la structure familiale, les achats, la possession d’une voiture et d’autres données, McKinsey a déclaré que ces « renseignements peuvent aider à identifier des sous-groupes stratégiques de patients avant que des périodes de coûts élevés ne surviennent ».

L’entreprise d’analyse santé GNS Healthcare a aussi calculé les risques individuels de santé de patients à partir d’un large champ de données tel que la génétique, les dossiers médicaux, les analyses de laboratoire, les appareils de santé mobiles et le comportement du consommateur. Les sociétés partenaires des assureurs tels que Aetna donnent une note qui identifie « les personnes susceptibles de subir une opération » et proposent de prédire l’évolution de la maladie et les résultats des interventions. D’après un rapport sectoriel, l’entreprise « classe les patients suivant le retour sur investissement » que l’assureur peut espérer s’il les cible pour des interventions particulières.

LexisNexis Risk Solutions, à la fois, un important courtier en données et une société d’analyse de risque, fournit un produit d’évaluation de santé qui calcule les risques médicaux ainsi que les frais de santé attendus individuellement, en se basant sur une importante quantité de données consommateurs, incluant les achats.

Collecte et utilisation massives de données client

Les plus importantes plates-formes connectées d’aujourd’hui, Google et Facebook en premier lieu, ont des informations détaillées sur la vie quotidienne de milliards de personnes dans le monde. Ils sont les plus visibles, les plus envahissants et, hormis les entreprises de renseignement, les publicitaires en ligne et les services de détection des fraudes numériques, peut-être les acteurs les plus avancés de l’industrie de l’analyse et des données personnelles. Beaucoup d’autres agissent en coulisse et hors de vue du public.

Le cœur de métier de la publicité en ligne consiste en un écosystème de milliers d’entreprises concentrées sur la traque constante et le profilage de milliards de personnes. À chaque fois qu’une publicité est affichée sur un site web ou une application mobile, un profil d’utilisateur vient juste d’être vendu au plus gros enchérisseur dans les millisecondes précédentes. Contrairement à ces nouvelles pratiques, les agences d’analyse de solvabilité et les courtiers en données clients exploitent des données personnelles depuis des décennies. Ces dernières années, ils ont commencé à combiner les très nombreuses données dont ils disposent sur la vie hors-ligne des personnes avec les bases de données utilisateurs et clients utilisées par de grandes plateformes, par des entreprises de publicité et par une multitude d’autres entreprises dans de nombreuses secteurs.

Les entreprises de données ont des informations détaillées sur des milliards de personnes

Plateformes en ligne grand public

Facebook  dispose des profils de	1,9 milliards d’utilisateurs de Facebook 1,2 milliards d’utilisateurs de Whatsapp 600 millions d’utilisateurs d’Instagram
Google dispose des profils de	2 milliards  d’utilisateurs d’Android + d’un milliard  d’utilisateurs de Gmail + d’un milliard  d’utilisateurs de Youtube
Apple dispose des profils de	1 milliard d’utilisateurs d’iOS

 

Sociétés d’analyse de la solvabilité

Experian	dispose des données de solvabilité de  918 millions de personnes dispose des données marketing de 700 millions de personnes a un “aperçu” sur 2,3 milliards de personnes
Equifax	dispose des données de 820 millions de personnes et d’1 milliard d’appareils
TransUnion	dispose des données d’1 milliard de personnes

 

Courtiers en données clients

Acxiom	dispose des données de	700 millions de personnes
		1 milliard de cookies et d’appareils mobiles
		3,7 milliards de profils clients
Oracle	dispose des données de	1 milliard d’utilisateurs d’appareils mobiles
		1,7 milliards d’internautes
	donne accès à	5 milliards d’identifiants uniques client

 

Facebook utilise au moins 52 000 caractéristiques personnelles pour trier et classer ses 1,9 milliard d’utilisateurs suivant, par exemple, leur orientation politique, leur origine ethnique et leurs revenus. Pour ce faire, la plateforme analyse leurs messages, leurs Likes, leurs partages, leurs amis, leurs photos, leurs mouvements et beaucoup d’autres comportements. De plus, Facebook acquiert à d’autres entreprises des données sur ses utilisateurs. En 2013, la plateforme démarre son partenariat avec les quatre courtiers en données Acxiom, Epsilon, Datalogix et BlueKai, les deux derniers ont ensuite été rachetés par le géant de l’informatique Oracle. Ces sociétés aident Facebook à pister et profiler ses utilisateurs bien mieux qu’il le faisait déjà en lui fournissant des données collectées en dehors de sa plateforme.

Les courtiers en données et le marché des données personnelles

Les courtiers en données client ont un rôle clé dans le marché des données personnelles actuel. Ils agrègent, combinent et échangent des quantités astronomiques d’informations sur des populations entières, collectées depuis des sources en ligne et hors-ligne. Les courtiers en données collectent de l’information disponible publiquement et achètent le droit d’utiliser les données clients d’autres entreprises. Leurs données proviennent en général de sources qui ne sont pas les individus eux-mêmes, et sont collectées en grande partie sans que le consommateur soit au courant. Ils analysent les données, en font des déductions, construisent des catégories de personnes et fournissent à leurs clients des informations sur des milliers de caractéristiques par individu.

Dans les profils individuels créés par les courtiers en données, on trouve non seulement des informations à propos de l’éducation, de l’emploi, des enfants, de la religion, de l’origine ethnique, de la position politique, des loisirs, des centres d’intérêts et de l’usage des médias, mais aussi à propos du comportement en ligne, par exemple les recherches sur Internet. Sont également collectées les données sur les achats, l’usage de carte bancaire, le revenu et l’endettement, la gestion bancaire et les polices d’assurance, la propriété immobilière et automobile, et tout un tas d’autres types d’information. Les courtiers en données calculent et attribuent aussi des notes aux individus afin de prédire leur comportement futur, par exemple en termes de stabilité économique, de projet de grossesse ou de changement d’emploi.

Quelques exemples de données clients fournies par Acxiom et Oracle

Acxiom, un important courtier en données

Fondée en 1969, Acxiom gère l’une des plus grandes bases de données client commerciales au monde. Disposant de milliers de sources, l’entreprise fournit jusqu’à 3000 types de données sur 700 millions de personnes réparties dans de nombreux pays, dont les États-Unis, le Royaume-Uni et l’Allemagne. Née sous la forme d’une entreprise de marketing direct, Acxiom a développé ses bases de données client centralisées à la fin des années 1990.

À l’aide de son système Abilitek Link, l’entreprise tient à jour une sorte de registre de la population dans lequel chaque personne, chaque foyer et chaque bâtiment reçoit un identifiant unique. En permanence, l’entreprise met à jour ses bases de données sur la base d’informations concernant les naissances et les décès, les mariages et les divorces, les changements de nom ou d’adresse et aussi bien sûr de nombreuses autres données de profil. Quand on lui demande des renseignements sur une personne, Acxiom peut par exemple donner une appartenance religieuse parmi l’une des 13 retenues comme « catholique », « juif », ou « musulman » et une appartenance ethnique sur quasiment 200 possibles.

Acxiom commercialise l’accès aux profils détaillés des consommateurs et aide ses clients à trouver, cibler, identifier, analyser, trier, noter et classer les gens. L’entreprise gère aussi directement pour ses propres clients 15 000 bases de données clients représentant des milliards de profils consommateurs. Les clients d’Acxiom sont des grandes banques, des assureurs, des services de santé et des organismes gouvernementaux. En plus de son activité de commercialisation de données, Acxiom fournit également des services de vérification d’identité, de gestion du risque et de détection de fraude.

Acxiom et ses fournisseurs de données, ses partenaires et ses services

 

Depuis l’acquisition en 2014 de la société de données en ligne LiveRamp, Acxiom a déployé d’importants efforts pour connecter son dépôt de données – couvrant une dizaine d’années – au monde numérique. Par exemple, Acxiom était parmi les premiers courtiers en données à fournir de l’information additionnelle à Facebook, Google et Twitter afin d’aider ces plateformes à mieux pister ou catégoriser les utilisateurs en fonction de leurs achats mais aussi en fonction d’autres comportements qu’ils ne savaient pas encore eux-mêmes pister.

LiveRamp de Acxiom connecte et combine les profils numériques issus de centaines d’entreprises de données et de publicité. Au centre se trouve son système IdentityLink, qui aide à reconnaître les individus et à relier les informations les concernant, dans les bases de données, les plateformes et les appareils en se basant sur leur adresse de courriel, leur numéro de téléphone, l’identifiant de leur téléphone, ou d’autres identifiants. Bien que l’entreprise assure que les correspondances et les associations se fassent de manière « anonyme » et « dé-identifiée », elle dit aussi pouvoir « connecter des données hors-ligne et en ligne sur un seul identifiant ».

Parmi les entreprises qui ont récemment été reconnues comme étant des fournisseurs de données par LiveRamp, on trouve les géants de l’analyse de solvabilité Equifax, Experian et TransUnion. De plus, de nombreux services de pistage numérique collectant des données par Internet, par les applications mobiles, et même par des capteurs placés dans le monde réel, fournissent des données à LiveRamp. Certains d’entre eux utilisent les base de données de LiveRamp, qui permettent aux entreprises « d’acheter et de vendre des données client précieuses ». D’autres fournissent des données afin que Acxiom et LiveRamp puissent reconnaître des individus et relier les informations enregistrées avec les profils numériques d’autres provenances. Mais le plus préoccupant, c’est sans doute le partenariat entre Acxiom et Crossix, une entreprise avec des données détaillées sur la santé de 250 millions de consommateurs américains. Crossix figure parmi les fournisseurs de données de LiveRamp.

Quiconque enregistrant des données sur les consommateurs peut potentiellement être un fournisseur de données. »

Travis May, Directeur général de Acxiom-LiveRamp

Oracle, un géant des technologies de l’information pénètre le marché des données client

En faisant l’acquisition de plusieurs entreprises de données telles que Datalogix, BlueKai, AddThis et CrossWise, Oracle, un des premiers fournisseurs de logiciels d’entreprises et de bases de données dans le monde, est également récemment devenu un des premiers courtiers en données clients. Dans son « cloud », Oracle rassemble 3 milliards de profils utilisateurs issus de 15 millions de sites différents, les données d’un milliard d’utilisateurs mobiles, des milliards d’historiques d’achats dans des chaînes de supermarchés et 1500 détaillants, ainsi que 700 millions de messages par jour issus des réseaux sociaux, des blogs et des sites d’avis de consommateurs.

Oracle rassemble des données sur des milliards de consommateurs

Oracle catalogue près de 100 fournisseurs de données dans son répertoire de données, parmi lesquels figurent Acxiom et des agences d’analyse de solvabilité telles que Experian et TransUnion, ainsi que des entreprises qui tracent les visites de sites Internet, l’utilisation d’applications mobiles et les déplacements, ou qui collectent des données à partir de questionnaires en ligne. Visa et MasterCard sont également référencés comme fournisseurs de données. En coopération avec ses partenaires, Oracle fournit plus de 30 000 catégories de données différentes qui peuvent être attribuées aux consommateurs. Réciproquement, l’entreprise partage des données avec Facebook et aide Twitter à calculer la solvabilité de ses utilisateurs.

Le Graphe d’Identifiants Oracle détermine et combine des profils utilisateur provenant de différentes entreprises. Il est le « trait d’union entre les interactions » à travers les différentes bases de données, services et appareils afin de « créer un profil client adressable » et « d’identifier partout les clients et les prospects ». D’autres entreprises peuvent envoyer à Oracle, des clés de correspondance construites à partir d’adresses courriel, de numéros de téléphone, d’adresse postale ou d’autres identifiants, Oracle les synchronisera ensuite à son « réseau d’identifiants utilisateurs et statistiques, connectés ensemble dans le Graphe d’Identifiants Oracle ». Bien que l’entreprise promette de n’utiliser que des identifiants utilisateurs anonymisés et des profils d’utilisateurs anonymisés, ceux-ci font tout de même référence à certains individus et peuvent être utilisés pour les reconnaître et les cibler dans de nombreux contextes de la vie.

Le plus souvent, les clients d’Oracle peuvent télécharger dans le « cloud » d’Oracle leurs propres données concernant : leurs clients, les visites sur leur site ou les utilisateurs d’une application ; ils peuvent les combiner avec des données issues de nombreuses autres entreprises, puis les transférer et les utiliser en temps réel sur des centaines d’autres plateformes de commerce et de publicité. Ils peuvent par exemple les utiliser pour trouver et cibler des personnes sur tous les appareils et plateformes, personnaliser leurs interactions, et le cas échéant mesurer la réaction des clients qui ont été personnellement ciblés.

La surveillance en temps réel des comportements quotidiens

Les plateformes en ligne, les fournisseurs de technologies publicitaires, les courtiers en données, et les négociants de toutes sortes d’industries peuvent maintenant surveiller, reconnaître et analyser des individus dans de nombreuses situations. Ils peuvent étudier ce qui intéresse les gens, ce qu’ils ont fait aujourd’hui, ce qu’ils vont sûrement faire demain, et leur valeur en tant que client.

Les données concernant les vies en ligne et hors ligne des personnes

Une large spectre d’entreprises collecte des informations sur les personnes depuis des décennies. Avant l’existence d’Internet, les agences de crédit et les agences de marketing direct servaient de point d’intégration principal entre les données provenant de différentes sources. Une première étape importante dans la surveillance systématique des consommateurs s’est produite dans les années 1990, par la commercialisation de bases de données, les programmes de fidélité et l’analyse poussée de solvabilité. Après l’essor d’Internet et de la publicité en ligne au début des années 2000, et la montée des réseaux sociaux, des smartphones et de la publicité en ligne à la fin des années 2000, on voit maintenant dans les années 2010 l’industrie des données clients s’intégrer avec le nouvel écosystème de pistage et de profilage numérique.

Cartographie de la collecte de données clients

 

De longue date, les courtiers en données clients et d’autres entreprises acquièrent des informations sur les abonnés à des journaux et à des magazines, sur les membres de clubs de lecture et de ciné-clubs, sur les acheteurs de catalogues de vente par correspondance, sur les personnes réservant dans les agences de voyage, sur les participants à des séminaires et à des conférences, et sur les consommateurs qui remplissent les cartes de garantie pour leurs achats. La collecte de données d’achats grâce à des programmes de fidélité est, de ce point de vue, une pratique établie depuis longtemps.

En complément des données provenant directement des individus, sont utilisées, par exemple les informations concernant le type quartiers et d’immeubles où résident les personnes afin de décrire, étiqueter, trier et catégoriser ces personnes. De même, les entreprises utilisent maintenant des profils de consommateurs s’appuyant sur les métadonnées concernant le type de sites Internet fréquentés, les vidéos regardées, les applications utilisées et les zones géographiques visitées. Au cours de ces dernières années, l’échelle et le niveau de détail des flux de données comportementales générées par toutes sortes d’activités du quotidien, telles que l’utilisation d’Internet, des réseaux sociaux et des équipements, ont rapidement augmenté.

Ce n’est pas un téléphone, c’est mon mouchard /pisteur/. New York Times, 2012

Un pistage et un profilage omniprésents

Une des principales raisons pour lesquelles le pistage et le profilage commerciaux sont devenus si généralisés c’est que quasiment tous les sites Internet, les fournisseurs d’applications mobiles, ainsi que de nombreux vendeurs d’équipements, partagent activement des données comportementales avec d’autres entreprises.

Il y a quelques années, la plupart des sites Internet ont commencé à inclure dans leur propre site des services de pistage qui transmettent des données à des tiers. Certains de ces services fournissent des fonctions visibles aux utilisateurs. Par exemple, lorsqu’un site Internet montre un bouton Facebook « j’aime » ou une vidéo YouTube encapsulée, des données utilisateur sont transmises à Facebook ou à Google. En revanche, de nombreux autres services ayant trait à la publicité en ligne demeurent cachés et, pour la plupart, ont pour seul objectif de collecter des données utilisateur. Le type précis de données utilisateur partagées par les éditeurs numériques et la façon dont les tierces parties utilisent ces données reste largement méconnus. Une partie de ces activités de pistage peut être analysée par n’importe qui ; par exemple en installant l’extension pour navigateur Lightbeam, il est possible de visualiser le réseau invisible des trackers des parties tierces.

Une étude récente a examiné un million de sites Internet différents et a trouvé plus de 80 000 services tiers recevant des données concernant les visiteurs de ces sites. Environ 120 de ces services de pistage ont été trouvés sur plus de 10 000 sites, et six entreprises surveillent les utilisateurs sur plus de 100 000 sites, dont Google, Facebook, Twitter et BlueKai d’Oracle. Une étude sur 200 000 utilisateurs allemands visitant 21 millions de pages Internet a montré que les trackers tiers étaient présents sur 95 % des pages visitées. De même, la plupart des applications mobiles partagent des informations sur leurs utilisateurs avec d’autres entreprises. Une étude menée en 2015 sur les applications à la mode en Australie, en Allemagne et aux États-Unis a trouvé qu’entre 85 et 95 % des applications gratuites, et même 60 % des applications payantes se connectaient à des tierces parties recueillant des données personnelles.

Une carte interactive des services cachés de pistage tiers sur les applications Android créée par des chercheurs européens et américains peut être explorée à l’adresse suivante : haystack.mobi/panopticon

En matière d’appareils, ce sont peut-être les smartphones qui actuellement contribuent le plus au recueil omniprésent données. L’information enregistrée par les téléphones portables fournit un aperçu détaillé de la personnalité et de la vie quotidienne d’un utilisateur. Puisque les consommateurs ont en général besoin d’un compte Google, Apple ou Microsoft pour les utiliser, une grande partie de l’information est déjà reliée à l’identifiant d’une des principales plateformes.

La vente de données utilisateurs ne se limite pas aux éditeurs de sites Internet et d’applications mobiles. Par exemple, l’entreprise d’intelligence commerciale SimilarWeb reçoit des données issues non seulement de centaines de milliers de sources de mesures directes depuis les sites et les applications, mais aussi des logiciels de bureau et des extensions de navigateur. Au cours des dernières années, de nombreux autres appareils avec des capteurs et des connexions réseau ont intégré la vie de tous les jours, cela va des liseuses électroniques et autres accessoires connectés aux télés intelligentes, compteurs, thermostats, détecteurs de fumée, imprimantes, réfrigérateurs, brosses à dents, jouets et voitures. À l’instar des smartphones, ces appareils donnent aux entreprises un accès sans précédent au comportement des consommateurs dans divers contextes de leur vie.

Publicité programmatique et technologie marketing

La plus grande partie de la publicité numérique prend aujourd’hui la forme d’enchères en temps réel hautement automatisées entre les éditeurs et les publicitaires ; on appelle cela la publicité programmatique. Lorsqu’une personne se rend sur un site Internet, les données utilisateur sont envoyées à une kyrielle de services tiers, qui cherchent ensuite à reconnaître la personne et extraire l’information disponible sur le profil. Les publicitaires souhaitant livrer une publicité à cet individu, en particulier du fait de certains attributs ou comportements, placent une enchère. En quelques millisecondes, le publicitaire le plus offrant gagne et place la pub. Les publicitaires peuvent de la même façon enchérir sur les profils utilisateurs et le placement de publicités au sein des applications mobiles.

Néanmoins, ce processus ne se déroule pas, la plupart du temps, entre les éditeurs et les publicitaires. L’écosystème est constitué d’une pléthore de toutes sortes de données différentes et de fournisseurs de technologies en interaction les uns avec les autres, parmi lesquels des réseaux publicitaires, des marchés publicitaires, des plateformes côté vente et des plateformes côté achat. Certains se spécialisent dans le pistage et la publicité suivant les résultats de recherche, dans la publicité généraliste sur Internet, dans la pub sur mobile, dans les pubs vidéos, dans les pubs sur les réseaux sociaux, ou dans les pubs au sein des jeux. D’autres se concentrent sur l’approvisionnement en données, en analyse ou en services de personnalisation.

Pour tracer le portrait des utilisateurs d’Internet et d’applications mobiles, toutes les parties impliquées ont développé des méthodes sophistiquées pour accumuler, regrouper et relier les informations provenant de différentes entreprises afin de suivre les individus dans tous les aspects de leur vie. Nombre d’entre elles recueillent et utilisent des profils numériques sur des centaines de millions de consommateurs, leurs navigateurs Internet et leurs appareils.

De nombreux secteurs rejoignent l’économie de pistage

Au cours de ces dernières années, des entreprises dans plusieurs secteurs ont commencé à partager et à utiliser à très grande échelle des données concernant leurs utilisateurs et clients.

La plupart des détaillants vendent des formes agrégées de données sur les habitudes d’achat auprès des entreprises d’études de marchés et des courtiers en données. Par exemple, l’entreprise de données IRI accède aux données de plus de 85 000 magasins (‘alimentation, grande distribution, médicaments, d’alcool et d’animaux de compagnie, magasin à prix unique et magasin de proximité). Nielsen déclare recueillir les informations concernant les ventes de 900 000 magasins dans le monde dans plus de 100 pays. L’enseigne de grande distribution britannique Tesco sous-traite son programme de fidélité et ses activités en matière de données auprès d’une filiale, Dunnhumby, dont le slogan est « transformer les données consommateur en régal pour le consommateur ». Lorsque Dunnhumby a fait l’acquisition de l’entreprise technologique de publicité allemande Sociomantic, il a été annoncé que Dunnhumby « conjuguerait ses connaissances étendues au sujet sur les préférences d’achat de 400 millions de consommateurs » avec les « données en temps réel de plus de 700 millions de consommateurs en ligne » de Sociomantic afin personnaliser et d’évaluer les publicités.

Cartographie de l’écosystème du pistage et du profilage commercial

De grands groupes médiatiques sont aussi fortement intégrés dans l’écosystème de pistage et de profilage numérique actuel. Par exemple, Time Inc. a fait l’acquisition d’Adelphic, une importante société de pistage et de technologies publicitaires multi-support, mais aussi de Viant, une entreprise qui déclare avoir accès à plus de 1,2 milliard d’utilisateurs enregistrés. La plateforme de streaming Spotify est un exemple célèbre d’éditeur numérique qui vend les données de ses utilisateurs. Depuis 2016, la société partage avec le département données du géant du marketing WPP des informations à propos de ce que les utilisateurs écoutent, sur leur humeur ainsi que sur leur comportement et leur activité en termes de playlist. WPP a maintenant accès « aux préférences et comportements musicaux des 100 millions d’utilisateurs de Spotify ».

De nombreuses grandes entreprises de télécom et de fournisseurs d’accès Internet ont fait l’acquisition d’entreprises de technologies publicitaires et de données. Par exemple, Millennial Media, une filiale d’AOL-Verizon, est une plateforme de publicité mobile qui collecte les données de plus de 65 000 applications de différents développeurs, et prétend avoir accès à environ 1 milliard d’utilisateurs actifs distincts dans le monde. Singtel, l’entreprise de télécoms basée à Singapour, a acheté Turn, une plateforme de technologies publicitaires qui donne accès aux distributeurs à 4,3 milliards d’appareils pouvant être ciblés et d’identifiants de navigateurs et à 90 000 attributs démographiques, comportementaux et psychologiques.

Comme les compagnies aériennes, les hôtels, les commerces de détail et les entreprises de beaucoup d’autres secteur, le secteur des services financiers a commencé à agréger et utiliser des données clients supplémentaires grâce à des programmes de fidélité dans les années 80 et 90. Les entreprises dont la clientèle cible est proche et complémentaires partagent depuis longtemps certaines de leurs données clients entre elles, un processus souvent géré par des intermédiaires. Aujourd’hui, l’un de ces intermédiaires est Cardlytics, une entreprise qui gère des programmes de fidélité pour plus de 1 500 institutions financières, telles que Bank of America et MasterCard. Cardlytics s’engage auprès des institutions financières à « générer des nouvelles sources de revenus en exploitant le pouvoir de [leurs] historiques d’achat ». L’entreprise travaille aussi en partenariat avec LiveRamp, la filiale d’Acxiom qui combine les données en ligne et hors ligne des consommateurs.

Pour MasterCard, la vente de produits et de services issus de l’analyse de données pourrait même devenir son cœur de métier, sachant que la production d’informations, dont la vente de données, représentent une part considérable et croissante de ses revenus. Google a récemment déclaré qu’il capture environ 70 % des transactions par carte de crédit aux États-Unis via « partenariats tiers » afin de tracer les achats, mais n’a pas révélé ses sources.

Ce sont vos données. Vous avez le droit de les contrôler, de les partager et de les utiliser comme bon vous semble.

C’est ainsi que le courtier en données Lotame s’adresse sur son site Internet à ses entreprises clientes en 2016.

Relier, faire correspondre et combiner des profils numériques

Jusqu’à récemment, les publicitaires, sur Facebook, Google ou d’autres réseaux de publicité en ligne, ne pouvaient cibler les individus qu’en analysant leur comportement en ligne. Mais depuis quelques années, grâce aux moyens offerts par les entreprises de données, les profils numériques issus de différentes plateformes, de différentes bases de données clients et du monde de la publicité en ligne peuvent désormais être associés et combinés entre eux.

Connecter les identités en ligne et hors ligne

Cela a commencé en 2012, quand Facebook a permis aux entreprises de télécharger leurs propres listes d’adresses de courriel et de numéros de téléphone sur la plateforme. Bien que les adresses et numéros de téléphone soient convertis en pseudonyme, Facebook est en mesure de relier directement ces données client provenant d’entreprises tierces avec ses propres comptes utilisateur. Cela permet par exemple aux entreprises de trouver et de cibler très précisément sur Facebook les personnes dont elles possèdent les adresses de courriel ou les numéros de téléphone. De la même façon, il leur est éventuellement possible d’exclure certaines personnes du ciblage de façon sélective, ou de déléguer à la plateforme le repérage des personnes qui ont des caractéristiques, centre d’intérêts, et comportements communs.

C’est une fonctionnalité puissante, peut-être plus qu’il n’y paraît au premier abord. Elle permet en effet aux entreprises d’associer systématiquement leurs données client avec les données Facebook. Mieux encore, d’autres publicitaires et marchands de données peuvent également synchroniser leurs bases avec celles de la plateforme et en exploiter les ressources, ce qui équivaut à fournir une sorte de télécommande en temps réel pour manipuler l’univers des données Facebook. Les entreprises peuvent maintenant capturer en temps réel des données comportementales extrêmement précises comme un clic de souris sur un site, le glissement d’un doigt sur une application mobile ou un achat en magasin, et demander à Facebook de trouver et de cibler aussitôt les personnes qui viennent de se livrer à ces activités. Google et Twitter ont mis en place des fonctionnalités similaires en 2015.

Les plateformes de gestion de données

De nos jours, la plupart des entreprises de technologie publicitaire croisent en continu plusieurs sources de codage relatives aux individus. Les plateformes de gestion de données permettent aux entreprises de tous les domaines d’associer et de relier leurs propres données clients, comprenant des informations en temps réel sur les achats, les sites web consultés, les applications utilisées et les réponses aux courriels, avec des profils numériques fournis par une multitude de fournisseurs tiers de données. Les données associées peuvent alors être analysées, triées et classées, puis utilisées pour envoyer un message donné à des personnes précises via des réseaux ou des appareils particuliers. Une entreprise peut, par exemple, cibler un groupe de clients existants ayant visité une page particulière sur son site ; ils sont alors perçus comme pouvant devenir de bons clients, bénéficiant alors de contenus personnalisés ou d’une réduction, que ce soit sur Facebook, sur une appli mobile ou sur le site même de l’entreprise.

L’émergence des plateformes de gestion de données marque un tournant dans le développement d’un envahissant pistage des comportements d’achat. Avec leur aide, les entreprises dans tous les domaines et partout dans le monde peuvent très facilement associer et relier les données qu’elles ont collectées depuis des années sur leurs clients et leurs prospects avec les milliards de profils collectés dans le monde numérique. Les principales entreprises faisant tourner ces plateformes sont : Oracle, Adobe, Salesforce (Krux), Wunderman (KBM Group/Zipline), Neustar, Lotame et Cxense.

Nous vous afficherons des publicités basées sur votre identité, mais cela ne veut pas dire que vous serez identifiable.

Erin Egan, Directeur de la protection de la vie privée chez Facebook, 2012

Identifier les gens et relier les profils numériques

Pour surveiller et suivre les gens dans les différentes situations de leur vie, pour leur associer des profils et toujours les reconnaître comme un seul et même individu, les entreprises amassent une grande variété de types de données qui, en quelque sorte, les identifient.

Parce qu’il est ambigu, le nom d’une personne a toujours été un mauvais identifiant pour un recueil de données. L’adresse postale, par contre, a longtemps été et est encore, une indication clé qui permet d’associer et de relier des données de différentes origines sur les consommateurs et leur famille. Dans le monde numérique, les identifiants les plus pertinents pour relier les profils et les comportements sur les différentes bases de données, plateformes et appareils sont : l’adresse de courriel, le numéro de téléphone, et le code propre à chaque smartphone ou autre appareil.

Les identifiants de compte utilisateur sur les immenses plateformes comme Google, Facebook, Apple et Microsoft jouent aussi un rôle important dans le suivi des gens sur Internet. Google, Apple, Microsoft et Roku attribuent un « identifiant publicitaire » aux individus, qui est maintenant largement utilisé pour faire correspondre et relier les données d’appareils tels que les smartphones avec les autres informations issues du monde numérique. Verizon utilise son propre identifiant pour pister les utilisateurs sur les sites web et les appareils. Certaines grandes entreprises de données comme Acxiom, Experian et Oracle disposent, au niveau mondial, d’un identifiant unique par personne qu’elles utilisent pour relier des dizaines d’années de données clients avec le monde numérique. Ces identifiants d’entreprise sont constitués le plus souvent de deux identifiants ou plus qui sont attachés à différents aspects de la vie en ligne et hors ligne d’une personne et qui peuvent être d’une certaine façon reliés l’un à l’autre.

Des Identifiants utilisés pour pister les gens sur les sites web, les appareils et les lieux de vie

Les entreprises de pistage utilisent également des identifiants plus ou moins temporaires, comme les cookies qui sont attachés aux utilisateurs surfant sur le web. Depuis que les utilisateurs peuvent ne pas autoriser ou supprimer les cookies dans leur navigateur, elles ont développé des méthodes sophistiquées permettant de calculer une empreinte numérique unique basée sur diverses caractéristiques du navigateur et de l’ordinateur d’une personne. De la même manière, les entreprises amassent les empreintes sur les appareils tels que les smartphones. Les cookies et les empreintes numériques sont continuellement synchronisés entre les différents services de pistage et ensuite reliés à des identifiants plus permanents.

D’autres entreprises fournissent des services de pistage multi-appareils qui utilisent le machine learning (voir Wikipédia) pour analyser de grandes quantités de données. Par exemple, Tapad, qui a été acheté par le géant des télécoms norvégiens Telenor, analyse les données de deux milliards d’appareils dans le monde et utilise des modèles basés sur les comportements et les relations pour trouver la probabilité qu’un ordinateur, une tablette, un téléphone ou un autre appareil appartienne à la même personne.

Un profilage « anonyme » ?

Les entreprises de données suppriment les noms dans leurs profils détaillés et utilisent des fonctions de hachage (voir Wikipedia) pour convertir les adresses de courriel et les numéros de téléphone en code alphanumérique comme “e907c95ef289”. Cela leur permet de déclarer sur leur site web et dans leur politique de confidentialité qu’elles recueillent, partagent et utilisent uniquement des données clients « anonymisées » ou « dé-identifiées ».

Néanmoins, comme la plupart des entreprises utilisent les mêmes process déterministes pour calculer ces codes alphanumériques, on devrait les considérer comme des pseudonymes qui sont en fait bien plus pratiques que les noms réels pour identifier les clients dans le monde numérique. Même si une entreprise partage des profils contenant uniquement des adresses de courriels ou des numéros de téléphones chiffrés, une personne peut toujours être reconnue dès qu’elle utilise un autre service lié avec la même adresse de courriel ou le même numéro de téléphone. De cette façon, bien que chaque service de pistage impliqué ne connaissent qu’une partie des informations du profil d’une personne, les entreprises peuvent suivre et interagir avec les gens au niveau individuel via les services, les plateformes et les appareils.

Si une entreprise peut vous suivre et interagir avec vous dans le monde numérique – et cela inclut potentiellement votre téléphone mobile ou votre télé – alors son affirmation que vous êtes anonyme n’a aucun sens, en particulier quand des entreprises ajoutent de temps à autre des informations hors-ligne aux données en ligne et masquent simplement le nom et l’adresse pour rendre le tout « anonyme ».

Joseph Turow, spécialiste du marketing et de la vie privée dans son livre « The Daily You », 2011

Gérer les clients et les comportements : personnalisation et évaluation

S’appuyant sur les méthodes sophistiquées d’interconnexion et de combinaison de données entre différents services, les entreprises de tous les secteurs d’activité peuvent utiliser les flux de données comportementales actuellement omniprésents afin de surveiller et d’analyser une large gamme d’activités et de comportements de consommateurs pouvant être pertinents vis-à-vis de leurs intérêts commerciaux.

Avec l’aide des vendeurs de données, les entreprises tentent d’entrer en contact avec les clients tout au long de leurs parcours autant de fois que possible, à travers les achats en ligne ou en boutique, le publipostage, les pubs télé et les appels des centres d’appels. Elles tentent d’enregistrer et de mesurer chaque interaction avec un consommateur, y compris sur les sites Internet, plateformes et appareils qu’ils ne contrôlent pas eux-mêmes. Elles peuvent recueillir en continu une abondance de données concernant leurs clients et d’autres personnes, les améliorer avec des informations provenant de tiers, et utiliser les profils améliorés au sein de l’écosystème de commercialisation et de technologie publicitaire. À l’heure actuelle, les plateformes de gestion des données clients permettent la définition de jeux complexes de règles qui régissent la façon de réagir automatiquement à certains critères tels que des activités ou des personnes données ou une combinaison des deux.

Par conséquent, les individus ne savent jamais si leur comportement a déclenché une réaction de l’un de ces réseaux de pistage et de profilage constamment mis à jour, interconnectés et opaques, ni, le cas échéant, comment cela influence les options qui leur sont proposées à travers les canaux de communication et dans les situations de vie.

Tracer, profiler et influencer les individus en temps réel

Personnalisation en série

Les flux de données échangés entre les publicitaires en ligne, les courtiers en données, et les autres entreprises ne sont pas seulement utilisés pour diffuser de la publicité ciblée sur les sites web ou les applis mobiles. Ils sont de plus en plus utilisés pour personnaliser les contenus, les options et les choix offerts aux consommateurs sur le site d’une entreprise par exemple. Les entreprises de technologie des données, comme par exemple Optimizely, peuvent aider à personnaliser un site web spécialement pour les personnes qui le visitent pour la première fois, en s’appuyant sur les profils numériques de ces visiteurs fournis par Oracle.

Les boutiques en ligne, par exemple, personnalisent l’accueil des visiteurs : quels produits seront mis en évidence, quelles promotions seront proposées, et même le prix et des produits ou des services peuvent être différents selon la personne qui visite le site. Les services de détection de la fraude évaluent les utilisateurs en temps réel et décident quels moyens de paiement et de transport peuvent être proposés.

Les entreprises développent des technologies pour calculer et évaluer en continu le potentiel de valeur à long terme d’un client en s’appuyant sur son historique de navigation, de recherche et de localisation, mais aussi sur son usage des applis, sur les produits achetés et sur ses amis sur les réseaux sociaux. Chaque clic, chaque glissement de doigt, chaque Like, chaque partage est susceptible d’influencer la manière dont une personne est traitée en tant que client, combien de temps elle va attendre avant que la hotline ne lui réponde, ou si elle sera complètement exclue des relances et des services marketing.

L’Internet des riches n’est pas le même que celui des pauvres.

Michael Fertik, fondateur de reputation.com, 2013

Trois types de plateformes technologiques jouent un rôle important dans cette sorte de personnalisation instantanée. Premièrement, les entreprises utilisent des systèmes de gestion de la relation client pour gérer leurs données sur les clients et les prospects. Deuxièmement, elles utilisent des plateformes de gestion de données pour connecter leurs propres données à l’écosystème de publicité numérique et obtiennent ainsi des informations supplémentaires sur le profil de leurs clients. Troisièmement, elles peuvent utiliser des plateformes de marketing prédictif qui les aident à produire le bon message pour la bonne personne au bon moment, calculant comment convaincre quelqu’un en exploitant ses faiblesses et ses préjugés.

Par exemple, l’entreprise de données RocketFuel promet à ses clients de « leur apporter des milliers de milliards de signaux numériques ou non pour créer des profils individuels et pour fournir aux consommateurs une expérience personnalisée, toujours actualisée et toujours pertinente » s’appuyant sur les 2,7 milliards de profils uniques de son dépôt de données. Selon RocketFuel, il s’agit « de noter chaque signal selon sa propension à influencer le consommateur ».

La plateforme de marketing prédictif TellApart, qui appartient à Twitter, associe une valeur à chaque couple client/produit acheté, une « synthèse entre la probabilité d’achat, l’importance de la commande et la valeur à long terme », s’appuyant sur « des centaines de signaux en ligne et en magasin sur un consommateur anonyme unique ». En conséquence, TellApart regroupe automatiquement du contenu tel que « l’image du produit, les logos, les offres et toute autre métadonnée » pour construire des publicités, des courriels, des sites web et des offres personnalisées.

Tarifs personnalisés et campagnes électorales

Des méthodes identiques peuvent être utilisées pour personnaliser les tarifs dans les boutiques en ligne, par exemple, en prédisant le niveau d’achat d’un client à long terme ou le montant qu’il sera probablement prêt à payer un peu plus tard. Des preuves sérieuses suggèrent que les boutiques en ligne affichent déjà des tarifs différents selon les consommateurs, ou même des prix différents pour le même produit, en s’appuyant sur leur comportement et leurs caractéristiques. Un champ d’action similaire est la personnalisation lors des campagnes électorales. Le ciblage des électeurs avec des messages personnalisés, adaptés à leur personnalité, et à leurs opinions politiques sur des problèmes donnés a fait monter les débats sur une possible manipulation politique.

Utiliser les données, les analyser et les personnaliser pour gérer les consommateurs

Tests et expériences sur les personnes

La personnalisation s’appuyant sur de riches informations de profil et sur du suivi invasif en temps réel est devenue un outil puissant pour influencer le comportement du consommateur quand il visite une page web, clique sur une pub, s’inscrit à un service, s’abonne à une newsletter, télécharge une application ou achète un produit.

Pour améliorer encore cela, les entreprises ont commencé à faire des expériences en continu sur les individus. Elles procèdent à des tests en faisant varier les fonctionnalités, le design des sites web, l’interface utilisateur, les titres, les boutons, les images ou mêmes les tarifs et les remises, surveillent et mesurent avec soin comment les différents groupes d’utilisateurs interagissent avec ces modifications. De cette façon, les entreprises optimisent sans arrêt leur capacité à encourager les personnes à agir comme elles veulent qu’elles agissent.

Les organes de presse, y compris à grand tirage comme le Washington Post, utilisent différentes versions des titres de leurs articles pour voir laquelle est la plus performante. Optimizely, un des principaux fournisseurs de technologies pour ce genre de tests, propose à ses clients la capacité de « faire des tests sur l’ensemble de l’expérience client sur n’importe quel canal, n’importe quel appareil, et n’importe quelle application ». Expérimenter sur des usagers qui l’ignorent est devenu la nouvelle norme.

En 2014, Facebook a déclaré faire tourner « plus d’un millier d’expérimentations chaque jour » afin « d’optimiser des résultats précis » ou pour « affiner des décisions de design sur le long terme ». En 2010 et 2012, la plateforme a mené des expérimentations sur des millions d’utilisateurs et montré qu’en manipulant l’interface utilisateur, les fonctionnalités et le contenu affiché, Facebook pouvait augmenter significativement le taux de participation électorale d’un groupe de personnes. Leur célèbre expérimentation sur l’humeur des internautes, portant sur 700 000 individus, consistait à manipuler secrètement la quantité de messages émotionnellement positifs ou négatifs présents dans les fils d’actualité des utilisateurs : il s’avéra que cela avait un impact sur le nombre de messages positifs ou négatifs que les utilisateurs postaient ensuite eux-mêmes.

 

Suite à la critique massive de Facebook par le public concernant cette expérience, la plateforme de rendez-vous OkCupid a publié un article de blog provocateur défendant de telles pratiques, déclarant que « nous faisons des expériences sur les êtres humains » et « c’est ce que font tous les autres ». OkCupid a décrit une expérimentation dans laquelle a été manipulé le pourcentage de « compatibilité » montré à des paires d’utilisateurs. Quand on affichait un taux de 90 % entre deux utilisateurs qui en fait étaient peu compatibles, les utilisateurs échangeaient nettement plus de messages entre eux. OkCupid a déclaré que quand elle « dit aux gens » qu’ils « vont bien ensemble », alors ils « agissent comme si c’était le cas ».

Toutes ces expériences qui posent de vraies questions éthiques montrent le pouvoir de la personnalisation basée sur les données pour influer sur les comportements.

Dans les mailles du filet : vie quotidienne, données commerciales et analyse du risque

Les données concernant les comportements des personnes, les liens sociaux, et les moments les plus intimes sont de plus en plus utilisées dans des contextes ou à des fins complètement différents de ceux dans lesquels elles ont été enregistrées. Notamment, elles sont de plus en plus utilisées pour prendre des décisions automatisées au sujet d’individus dans des domaines clés de la vie tels que la finance, l’assurance et les soins médicaux.

Données relatives aux risques pour le marketing et la gestion client

Les agences d’évaluation de la solvabilité, ainsi que d’autres acteurs clés de l’évaluation du risque, principalement dans des domaines tels que la vérification des identités, la prévention des fraudes, les soins médicaux et l’assurance fournissent également des solutions commerciales. De plus, la plupart des courtiers en données s’échangent divers types d’informations sensibles, par exemple des informations concernant la situation financière d’un individu, et ce à des fins commerciales. L’utilisation de l’évaluation de solvabilité à des fins de marketing afin soit de cibler soit d’exclure des ensembles vulnérables de la population a évolué pour devenir des produits qui associent le marketing et la gestion du risque.

L’agence d’évaluation de la solvabilité TransUnion fournit, par exemple, un produit d’aide à la décision piloté par les données à destination des commerces de détail et des services financiers qui leur permet « de mettre en œuvre des stratégies de marketing et de gestion du risque sur mesure pour atteindre les objectifs en termes de clients, canaux de vente et résultats commerciaux », il inclut des données de crédit et promet « un aperçu inédit du comportement, des préférences et des risques du consommateur. » Les entreprises peuvent alors laisser leurs clients « choisir parmi une gamme complète d’offres sur mesure, répondant à leurs besoins, leurs préférences et leurs profils de risque » et « évaluer leurs clients sur divers produits et canaux de vente et leur présenter uniquement la ou les offres les plus pertinente pour eux et les plus rentables » pour l’entreprise. De même, Experian fournit un produit qui associe « crédit à la consommation et informations commerciales, fourni avec plaisir par Experian. »

 

En matière de surveillance, il n’est pas question de connaître vos secrets, mais de gérer des populations, de gérer des personnes.

Katarzyna Szymielewicz, Vice-Présidente EDRi, 2015

Vérification des identités en ligne et détection de la fraude

Outre la machine de surveillance en temps réel qui a été développée au travers de la publicité en ligne, d’autres formes de pistage et de profilage généralisées ont émergé dans les domaines de l’analyse de risque, de la détection de fraudes et de la cybersécurité.

De nos jours, les services de détection de fraude en ligne utilisent des technologies hautement intrusives afin d’évaluer des milliards de transactions numériques. Ils recueillent d’énormes quantités d’informations concernant les appareils, les individus et les comportements. Les fournisseurs habituels dans l’évaluation de solvabilité, la vérification d’identité, et la prévention des fraudes ont commencé à surveiller et à évaluer la façon dont les personnes surfent sur le web et utilisent leurs appareils mobiles. En outre, ils ont entrepris de relier les données comportementales en ligne avec l’énorme quantité d’information hors-connexion qu’ils recueillent depuis des dizaines d’années.

Avec l’émergence de services passant par l’intermédiaire d’objets technologiques, la vérification de l’identité des consommateurs et la prévention de la fraude sont devenues de plus en plus importantes et de plus en plus contraignantes, notamment au vu de la cybercriminalité et de la fraude automatisée. Dans un même temps, les systèmes actuels d’analyse du risque ont agrégé des bases de données gigantesques contenant des informations sensibles sur des pans entiers de population. Nombre de ces systèmes répondent à un grand nombre de cas d’utilisation, parmi lesquels la preuve d’identité pour les services financiers, l’évaluation des réclamations aux compagnies d’assurance et des demandes d’indemnités, de l’analyse des transactions financières et l’évaluation de milliards de transactions en ligne.

De tels systèmes d’analyse du risque peuvent décider si une requête ou une transaction est acceptée ou rejetée ou décider des options de livraison disponibles pour une personne lors d’une transaction en ligne. Des services marchands de vérification d’identité et d’analyse de la fraude sont également employés dans des domaines tels que les forces de l’ordre et la sécurité nationale. La frontière entre les applications commerciales de l’analyse de l’identité et de la fraude et celles utilisées par les agences gouvernementales de renseignement est de plus en plus floue.

Lorsque des individus sont ciblés par des systèmes aussi opaques, ils peuvent être signalés comme étant suspects et nécessitant un traitement particulier ou une enquête, ou bien ils peuvent être rejetés sans plus d’explication. Ils peuvent recevoir un courriel, un appel téléphonique, une notification, un message d’erreur, ou bien le système peut tout simplement ne pas indiquer une option, sans que l’utilisateur ne connaisse son existence pour d’autres. Des évaluations erronées peuvent se propager d’un système à l’autre. Il est souvent difficile, voire impossible de faire recours contre ces évaluations négatives qui excluent ou rejettent, notamment à cause de la difficulté de s’opposer à quelque chose dont on ne connaît pas l’existence.

Exemples de détection de fraude en ligne et de service d’analyse des risques

L’entreprise de cybersécurité ThreatMetrix traite les données concernant 1,4 milliard de « comptes utilisateur uniques » sur des « milliers de sites dans le monde. » Son Digital Identity Network (Réseau d’Identité Numérique) enregistre des « millions d’opérations faites par des consommateurs chaque jour, notamment des connexions, des paiements et des créations de nouveaux comptes », et cartographie les « associations en constante évolution entre les individus et leurs appareils, leurs positions, leurs identifiants et leurs comportements » à des fins de vérification des identités et de prévention des fraudes. L’entreprise collabore avec Equifax et TransUnion. Parmi ses clients se trouvent Netflix, Visa et des entreprises dans des secteurs tels que le jeu vidéo, les services gouvernementaux et la santé.

De façon analogue, l’entreprise de données ID Analytics, qui a récemment été achetée par Symantec, exploite un Réseau d’Identifiants fait de « 100 millions de nouveaux éléments d’identité quotidiens issus des principales organisations interprofessionnelles. ». L’entreprise agrège des données concernant 300 millions de consommateurs, sur les prêts à haut risque, les achats en ligne et les demandes de carte de crédit ou de téléphone portable. Son Indice d’Identité, ID Score, prend en compte les appareils numériques ainsi que les noms, les numéros de sécurité sociale et les adresses postales et courriel.

Trustev, une entreprise en ligne de détection de la fraude dont le siège se situe en Irlande et qui a été rachetée par l’agence d’évaluation de la solvabilité TransUnion en 2015, juge des transactions en ligne pour des clients dans les secteurs des services financiers, du gouvernement, de la santé et de l’assurance en s’appuyant sur l’analyse des comportements numériques, les identités et les appareils tels que les téléphones, les tablettes, les ordinateurs portables, les consoles de jeux, les télés et même les réfrigérateurs. L’entreprise propose aux entreprises clientes la possibilité d’analyser la façon dont les visiteurs cliquent et interagissent avec les sites Internets et les applications. Elle utilise une large gamme de données pour évaluer les utilisateurs, y compris les numéros de téléphone, les adresses courriel et postale, les empreintes de navigateur et d’appareil, les vérifications de la solvabilité, les historiques d’achats sur l’ensemble des vendeurs, les adresses IP, les opérateurs mobiles et la géolocalisation des téléphones. Afin d’aider à « accepter les transactions futures », chaque appareil se voit attribuer une empreinte digitale d’appareil unique. Trustev propose aussi une technologie de marquage d’empreinte digitale sociale qui analyse le contenu des réseaux sociaux, notamment une « analyse de la liste d’amis » et « l’identification des schémas ». TransUnion a intégré la technologie Trustev dans ses propres solutions identifiantes et anti-fraude.

Selon son site Internet, Trustev utilise une large gamme de données pour évaluer les personnes

 

De façon similaire, l’agence d’évaluation de la solvabilité Equifax affirme qu’elle possède des données concernant près de 1 milliard d’appareils et peut affirmer « l’endroit où se situe en fait un appareil et s’il est associé à d’autres appareils utilisés dans des fraudes connues ». En associant ces données avec « des milliards d’identités et d’événements de crédit pour trouver les activités douteuses » dans tous les secteurs, et en utilisant des informations concernant la situation d’emploi et les liens entre les ménages, les familles et les partenaires, Equifax prétend être capable « de distinguer les appareils ainsi que les individus ».

Je ne suis pas un robot

Le produit reCaptcha de Google fournit en fait un service similaire, du moins en partie. Il est incorporé dans des millions de sites Internets et aide les fournisseurs de sites Internets à décider si un visiteur est un être humain ou non. Jusqu’à récemment, les utilisateurs devaient résoudre diverses sortes de défis rapides tels que le déchiffrage de lettres dans une image, la sélection d’images dans une grille, ou simplement en cochant la case « Je ne suis pas un robot ». En 2017, Google a présenté une version invisible de reCaptcha, en expliquant qu’à partir de maintenant, les utilisateurs humains pourront passer « sans aucune interaction utilisateur, contrairement aux utilisateurs douteux et aux robots ». L’entreprise ne révèle pas le type de données et de comportements utilisateurs utilisés pour reconnaître les humains. Des analyses laissent penser que Google, outre les adresses IP, les empreintes de navigateur, la façon dont l’utilisateur frappe au clavier, déplace la souris ou utilise l’écran tactile « avant, pendant et après » une interaction reCaptcha, utilise plusieurs témoins Google. On ne sait pas exactement si les individus sans compte utilisateur sont désavantagés, si Google est capable d’identifier des individus particuliers plutôt que des « humains » génériques, ou si Google utilise les données enregistrées par reCaptcha à d’autres fins que la détection de robots.

Le pistage numérique à des fins publicitaires et de détection de la fraude ?

Les flux omniprésents de données comportementales enregistrées pour la publicité en ligne s’écoulent vers les systèmes de détection de la fraude. Par exemple, la plateforme de données commerciales Segment propose à ses clients des moyens faciles d’envoyer des données concernant leurs clients, leur site Internet et les utilisateurs mobiles à une kyrielle de services de technologies commerciales, ainsi qu’à des entreprises de détection de fraude. Castle est l’une d’entre-elles et utilise « les données comportementales des consommateurs pour prédire les utilisateurs qui présentent vraisemblablement un risque en matière de sécurité ou de fraude ». Une autre entreprise, Smyte, aide à « prévenir les arnaques, les messages indésirables, le harcèlement et les fraudes par carte de crédit ».

La grande agence d’analyse de la solvabilité Experian propose un service de pistage multi-appareils qui fournit de la reconnaissance universelle d’appareils, sur mobile, Internet et les applications pour le marketing numérique. L’entreprise s’engage à concilier et à associer les « identifiants numériques existants » de leurs clients, y compris des « témoins, identifiants d’appareil, adresses IP et d’autres encore », fournissant ainsi aux commerciaux un « lien omniprésent, cohérent et permanent sur tous les canaux ».

La technologie d’identification d’appareils provient de 41st parameter (le 41e paramètre), une entreprise de détection de la fraude rachetée par Experian en 2013. En s’appuyant sur la technologie développée par 41st parameter, Experian propose aussi une solution d’intelligence d’appareil pour la détection de la fraude au cours des paiements en ligne. Cette solution qui « créé un identifiant fiable pour l’appareil et recueille des données appareil abondantes » « identifie en quelques millisecondes chaque appareil à chaque visite » et « fournit une visibilité jamais atteinte de l’individu réalisant le paiement ». On ne sait pas exactement si Experian utilise les mêmes données pour ses services d’identification d’appareils pour détecter la fraude que pour le marketing.

Cartographie de l’écosystème du pistage et du profilage commercial

Au cours des dernières années, les pratiques déjà existantes de surveillance commerciale ont rapidement muté en un large éventail d’acteurs du secteur privé qui surveillent en permanence des populations entières. Certains des acteurs de l’écosystème actuel de pistage et de profilage, tels que les grandes plateformes et d’autres entreprises avec un grand nombre de clients, tiennent une position unique en matière d’étendue et de niveau de détail de leurs profils de consommateurs. Néanmoins, les données utilisées pour prendre des décisions concernant les individus sur de nombreux sujets ne sont généralement pas centralisées en un lieu, mais plutôt assemblées en temps réel à partir de plusieurs sources selon les besoins.

Un large éventail d’entreprises de données et de services d’analyse en marketing, en gestion client et en analyse du risque recueillent, analysent, partagent et échangent de façon uniforme des données client et les associent avec des informations supplémentaires issues de milliers d’autres entreprises. Tandis que l’industrie des données et des services d’analyse fournissent les moyens pour déployer ces puissantes technologies, les entreprises dans de nombreuses industries contribuent à augmenter la quantité et le niveau de détail des données collectées ainsi que la capacité à les utiliser.

Cartographie de l’écosystème du pistage et du profilage commercial numérique

Google et Facebook, ainsi que d’autres grandes plateformes telles que Apple, Microsoft, Amazon et Alibaba ont un accès sans précédent à des données concernant les vies de milliards de personnes. Bien qu’ils aient des modèles commerciaux différents et jouent par conséquent des rôles différents dans l’industrie des données personnelles, ils ont le pouvoir de dicter dans une large mesure les paramètres de base des marchés numériques globaux. Les grandes plateformes limitent principalement la façon dont les autres entreprises peuvent obtenir leurs données. Ainsi, ils les obligent à utiliser les données utilisateur de la plateforme dans leur propre écosystème et recueillent des données au-delà de la portée de la plateforme.

Bien que les grandes multinationales de différents secteurs ayant des interactions fréquentes avec des centaines de millions de consommateurs soient en quelque sorte dans une situation semblable, elles ne font pas qu’acheter des données clients recueillies par d’autres, elles en fournissent aussi. Bien que certaines parties des secteurs des services financiers et des télécoms ainsi que des domaines sociétaux critiques tels que la santé, l’éducation et l’emploi soient soumis à une réglementation plus stricte dans la plupart des juridictions, un large éventail d’entreprises a commencé à utiliser ou fournissent des données aux réseaux actuels de surveillance commerciale.

Les détaillants et d’autres entreprises qui vendent des produits et services aux consommateurs vendent pour la plupart les données concernant les achats de leurs clients. Les conglomérats médiatiques et les éditeurs numériques vendent des données au sujet de leur public qui sont ensuite utilisées par des entreprises dans la plupart des autres secteurs. Les fournisseurs de télécoms et d’accès haut débit ont entrepris de suivre leurs clients sur Internet. Les grandes groupes de distribution, de médias et de télécoms ont acheté ou achètent des entreprises de données, de pistage et de technologie publicitaire. Avec le rachat de NBC Universal par Comcast et le rachat probable de Time Warner par AT&T, les grands groupes de télécoms aux États-Unis sont aussi en train de devenir des éditeurs gigantesques, créant par là même des portefeuilles puissants de contenu, de données et de capacité de pistage. Avec l’acquisition de AOL et de Yahoo, Verizon aussi est devenu une « plateforme ».

Les institutions financières ont longtemps utilisé des données sur les consommateurs pour la gestion du risque, notamment dans l’évaluation de la solvabilité et la détection de fraude, ainsi que pour le marketing, l’acquisition et la rétention de clientèle. Elles complètent leurs propres données avec des données externes issues d’agences d’évaluation de la solvabilité, de courtiers en données et d’entreprises de données commerciales. PayPal, l’entreprise de paiements en ligne la plus connue, partage des informations personnelles avec plus de 600 tiers, parmi lesquels d’autres fournisseurs de paiements, des agences d’évaluation de la solvabilité, des entreprises de vérification de l’identité et de détection de la fraude, ainsi qu’avec les acteurs les plus développés au sein de l’écosystème de pistage numérique. Tandis que les réseaux de cartes de crédit et les banques ont partagé des informations financières sur leurs clients avec les fournisseurs de données de risque depuis des dizaines d’années, ils ont maintenant commencé à vendre des données sur les transactions à des fins publicitaires.

Une myriade d’entreprises, grandes ou petites, fournissant des sites Internets, des applications mobiles, des jeux et d’autres solutions sont étroitement liées à l’écosystème de données commerciales. Elles utilisent des services qui leur permettent de facilement transmettre à des services tiers des données concernant leurs utilisateurs. Pour nombre d’entre elles, la vente de flux de données comportementales concernant leurs utilisateurs constitue un élément clé de leur business model. De façon encore plus inquiétante, les entreprises qui fournissent des services tels que les enregistreurs d’activité physique intègrent des services qui transmettent les données utilisateurs à des tierces parties.

L’envahissante machine de surveillance en temps réel qui a été développée pour la publicité en ligne est en train de s’étendre vers d’autres domaines dont la politique, la tarification, la notation des crédits et la gestion des risques. Partout dans le monde, les assureurs commencent à proposer à leurs clients des offres incluant du suivi en temps réel de leur comportement : comment ils conduisent, quelles sont leurs activités santé ou leurs achats alimentaires et quand ils se rendent au club de gym. Des nouveaux venus dans l’analyse assurantielle et les technologies financières prévoient les risques de santé d’un individu en s’appuyant sur les données de consommation, mais évaluent aussi la solvabilité à partir de données de comportement via les appels téléphoniques ou les recherches sur Internet.

Les courtiers en données sur les consommateurs, les entreprises de gestion de clientèle et les agences de publicité comme Acxiom, Epsilon, Merkle ou Wunderman/WPP jouent un rôle prépondérant en assemblant et reliant les données entre les plateformes, les multinationales et le monde de la technologie publicitaire. Les agences d’évaluation de crédit comme Experian qui fournissent de nombreux services dans des domaines très sensibles comme l’évaluation de crédit, la vérification d’identité et la détection de la fraude jouent également un rôle prépondérant dans l’actuel envahissant écosystème de la commercialisation des données.

Des entreprises particulièrement importantes qui fournissent des données, des analyses et des solutions logicielles sont également appelées « plateforme ». Oracle, un fournisseur important de logiciel de base de données est, ces dernières années, devenu un courtier en données de consommation. Salesforce, le leader sur le marché de la gestion de la relation client qui gère les bases de données commerciales de millions de clients qui ont chacun de nombreux clients, a récemment acquis Krux, une grande entreprise de données, connectant et combinant des données venant de l’ensemble du monde numérique. L’entreprise de logiciels Adobe joue également un rôle important dans le domaine des technologies de profilage et de publicité.

En plus, les principales grandes entreprises du conseil, de l’analyse et du logiciel commercial, comme IBM, Informatica, SAS, FICO, Accenture, Capgemini, Deloitte et McKinsey et même des entreprises spécialisées dans le renseignement et la défense comme Palantir, jouent également un rôle significatif dans la gestion et l’analyse des données personnelles, de la gestion de la relation client à celle de l’identité, du marketing à l’analyse de risque pour les assureurs, les banques et les gouvernements.

Vers une société du contrôle social numérique généralisé ?

Ce rapport montre qu’aujourd’hui, les réseaux entre plateformes en ligne, fournisseurs de technologies publicitaires, courtiers en données, et autres peuvent suivre, reconnaître et analyser des individus dans de nombreuses situations de la vie courante. Les informations relatives aux comportements et aux caractéristiques d’un individu sont reliées entre elles, assemblées, et utilisées en temps réel par des entreprises, des bases de données, des plateformes, des appareils et des services. Des acteurs uniquement motivés par des buts économiques ont fait naître un environnement de données dans lequel les individus sont constamment sondés et évalués, catégorisés et regroupés, notés et classés, numérotés et comptés, inclus ou exclus, et finalement traités de façon différente.

Ces dernières années, plusieurs évolutions importantes ont donné de nouvelles capacités sans précédent à la surveillance omniprésente par les entreprises. Cela comprend l’augmentation des médias sociaux et des appareils en réseau, le pistage et la mise en relation en temps réel de flux de données comportementales, le rapprochement des données en ligne et hors ligne, et la consolidation des données commerciales et de gestion des risques. L’envahissant pistage et profilage numériques, mélangé à la personnalisation et aux tests, ne sont pas seulement utilisés pour surveiller, mais aussi pour influencer systématiquement le comportement des gens. Quand les entreprises utilisent les données sur les situations du quotidien pour prendre des décisions parfois triviales, parfois conséquente sur les gens, cela peut conduire à des discriminations, et renforcer voire aggraver des inégalités existantes.

Malgré leur omniprésence, seul le haut de l’iceberg des données et des activités de profilage est visible pour les particuliers. La plupart d’entre elles restent opaques et à peine compréhensible par la majorité des gens. Dans le même temps, les gens ont de moins en moins de solutions pour résister au pouvoir de cet ecosystème de données ; quitter le pistage et le profilage envahissant, est devenu synonyme de quitter la vie moderne. Bien que les responsables des entreprises affirment que la vie privée est morte (tout en prenant soin de préserver leur propre vie privée), Mark Andrejevic suggère que les gens perçoivent en fait l’asymétrie du pouvoir dans le monde numérique actuel, mais se sentent « frustrés par un sentiment d’impuissance face à une collecte et à une exploitation de données de plus en plus sophistiquées et exhaustives. »

Au regard de cela, ce rapport se concentre sur le fonctionnement interne et les pratiques en vigueur dans l’actuelle industrie des données personnelles. Bien que l’image soit devenue plus nette, de larges portions du système restent encore dans le noir. Renforcer la transparence sur le traitement des données par les entreprises reste un prérequis indispensable pour résoudre le problème de l’asymétrie entre les entreprises de données et les individus. Avec un peu de chance, les résultats de ce rapport encourageront des travaux ultérieurs de la part de journalistes, d’universitaires, et d’autres personnes concernés par les libertés civiles, la protection des données et celle des consommateurs ; et dans l’idéal des travaux des législateurs et des entreprises elles-mêmes.

En 1999, Lawrence Lessig, avait bien prédit que, laissé à lui-même, le cyberespace, deviendrait un parfait outil de contrôle façonné principalement par la « main invisible » du marché. Il avait dit qu’il était possible de « construire, concevoir, ou programmer le cyberespace pour protéger les valeurs que nous croyons fondamentales, ou alors de construire, concevoir, ou programmer le cyberespace pour permettre à toutes ces valeurs de disparaître. » De nos jours, la deuxième option est presque devenue réalité au vu des milliards de dollars investis dans le capital-risque pour financer des modèles économiques s’appuyant sur une exploitation massive et sans scrupule des données. L’insuffisance de régulation sur la vie privée aux USA et l’absence de son application en Europe ont réellement gêné l’émergence d’autres modèles d’innovation numérique, qui seraient fait de pratiques, de technologies, de modèles économiques qui protègent la liberté, la démocratie, la justice sociale et la dignité humaine.

À un niveau plus global, la législation sur la protection des données ne pourra pas, à elle seule, atténuer les conséquences qu’un monde « conduit par les données » a sur les individus et la société que ce soit aux USA ou en Europe. Bien que le consentement et le choix soient des principes cruciaux pour résoudre les problèmes les plus urgents liés à la collecte massive de données, ils peuvent également mener à une illusion de volontarisme. En plus d’instruments de régulation supplémentaires sur la non-discrimination, la protection du consommateur, les règles de concurrence, il faudra en général un effort collectif important pour donner une vision positive d’une future société de l’information. Sans quoi, on pourrait se retrouver bientôt dans une société avec un envahissant contrôle social numérique, dans la laquelle la vie privée deviendrait, si elle existe encore, un luxe pour les riches. Tous les éléments en sont déjà en place.

Lectures pour approfondir le sujet

— L’article ci-dessus en format .PDF (376,2 Ko)
–> framablog.org-Comment les entreprises surveillent notre quotidien
— Un essai plus exhaustif sur les questions abordées par la publication ci-dessus ainsi que des références et des sources peuvent être trouvés dans le rapport complet, disponible au téléchargement en PDF.

— Le rapport de 2016 « Les réseaux du contrôle » par Wolfie Christl et Sarah Spiekermann sur lequel le présent rapport est largement fondé est disponible au téléchargement en PDF ainsi qu’en format papier.

La production de ce rapport, matériaux web et illustrations a été soutenue par Open Society Foundations.

Bibliographie

De communications en directives, l’incurie de la Commission européenne dans le domaine de la technologie et des contenus en ligne apparaît de plus en plus clairement.

Faisant fi des avis des experts, voire des rapports qu’elle a elle-même commandés, la Commission s’entête à proposer des solutions imparfaites et simplistes à des problèmes complexes. Une de ses dernières initiatives le prouve une fois de plus et ne fait que rajouter à l’inquiétude de tous les défenseurs des libertés numériques et de la vie privée.

Filtres de publication, droit d’auteur et poudre de perlimpinpin

Par Glyn Moody, source : Copybuzz
Traduction à 20 mains par simon, satanas_g, QuoiQue, mo, FranBAG, Edgar Lori, goofy, Mika et dodosan

Image par Stromcarlson.

Le 28 septembre, la Commission européenne a dévoilé une initiative de grande ampleur pour s’attaquer au « contenu illicite en ligne ». Comme c’est souvent le cas lorsque des politiciens veulent avoir l’air de « faire quelque chose » au sujet du terrorisme, il y a beaucoup de mauvaises idées.

Le cœur de cette initiative est un plan pour encourager les plateformes en ligne à renforcer « la prévention, la détection et la suppression proactives des contenus illicites en ligne incitant à la haine, à la violence et au terrorisme ».  De manière insistante, ces idées sont présentées comme des « orientations et des principes ». C’est parce que tout repose sur le libre consentement. Sauf que la Commission a clairement dit que si ce système volontaire n’est pas adopté par des entreprises comme Facebook ou Google, elle promulguera de nouvelles lois pour leur forcer la main. La Commission est pressée de voir les résultats de ces efforts volontaires, et des projets de loi pourraient être mis sur la table dès mai 2018.

Une de ces mauvaises idées imposerait aux plateformes en ligne de travailler conjointement avec des signaleurs de confiance – « des entités spécialisées disposant d’une expertise en matière de contenu illicite ». Ils peuvent bien être experts, mais ils ne sont pas juges, ce qui implique que la Commission voudrait que Facebook et Google mettent des contenus hors ligne sans avoir besoin de se soucier de ce qu’un juge considérerait réellement comme illégal.

Mais la pire idée, et elle apparaît plusieurs fois dans les derniers plans de la Commission, est l’utilisation omniprésente et systématique de filtres de publication. Dans un document de 20 pages détaillant la proposition intitulée « Communication sur la suppression des contenus illicites en ligne – Vers une responsabilité renforcée des plateformes en ligne » l’accent est mis sur « l’utilisation des technologies pour détecter les contenus illicites ». En particulier, l’utilisation et le développement futur de la détection automatique et des technologies de filtrage sont encouragés.

Une des principales raisons pour lesquelles la Commission européenne place tant d’espoirs dans l’automatisation pour résoudre les problèmes de contenus illégaux est qu’elle croit apparemment que « dans le domaine du droit d’auteur, la reconnaissance automatique des contenus s’est avérée être un outil efficace depuis de nombreuses années ». Sauf que cela n’est pas vrai. L’eurodéputée Julia Reda (Parti pirate) a écrit un article de blog instructif qui détaille neuf façons bien distinctes dont les filtres de publication échouent. Ce faisant, ils causent de nombreux dégâts collatéraux, particulièrement en matière de droits fondamentaux.

Une réponse à cette démonstration fracassante de l’échec des filtres de publication est de concéder qu’ils sont imparfaits, mais dire ceci montre simplement que davantage de recherches sont nécessaires pour les améliorer. C’est l’argument classique du cherchez plus fort qui est souvent utilisé pour défendre la création de portes dérobées dans les logiciels de chiffrement. Bien que les experts en sécurité expliquent unanimement et de façon répétée qu’il n’est pas possible de créer une vulnérabilité qui soit utilisable seulement par les autorités et qui ne soit pas vulnérable aux attaques de criminels ou d’acteurs étatiques malveillants, les gouvernements persistent à croire qu’ils savent mieux que les experts, et que les entreprises devraient juste le faire. Et des vulnérabilités sont donc implémentées. Même si les gens qui comprennent le fonctionnement des filtres de publication expliquent patiemment qu’il est impossible de traduire l’extrême complexité du droit d’auteur dans les règles de filtrage pouvant être appliquées automatiquement et correctement, les autorités continuent de prôner ce supposé remède miracle.

Appelons cela le mirage de la « poudre de perlimpinpin numérique » – la croyance que l’on peut traiter tous les problèmes du monde réel avec de la technologie, et qu’ils seront résolus, juste comme ça. La Commission européenne est une grande adepte de cette poudre de perlimpinpin, comme le montre clairement sa demande de mettre en place des filtres de publication dans la directive sur le droit d’auteur et le nouveau cadre destiné à s’attaquer au contenu illégal. L’annonce de la semaine dernière est un signe inquiétant qu’elle est loin de comprendre que les filtres de publication ne sont pas une solution pratique pour la question du droit d’auteur en ligne, et qu’elle s’entête au contraire dans cette direction et l’étend désormais à d’autres domaines.

La Commission européenne est bien au courant que l’Article 15 de la directive sur le commerce électronique interdit explicitement aux États membres d’imposer « une obligation générale de surveiller les informations qu’ils transmettent ou stockent, ou une obligation générale de rechercher activement des faits ou des circonstances révélant des activités illicites » En mettant en avant la « responsabilité avancée des plateformes en ligne », comme le fait la première page de la communication du 29 septembre, la Commission semble souligner que sa nouvelle approche impose dans les faits une « obligation générale » à ces entreprises de filtrer tous les contenus mis en ligne qui correspondraient à une vaste gamme de « contenu illégal ». On imagine aisément la Cour de justice de l’Union européenne invalider toute tentative d’inscrire cette « responsabilité avancée » dans la loi.

Au-delà du fait qu’ils ne fonctionneront pas et qu’ils sont illégaux du fait de la directive sur le commerce électronique, il y a une autre raison pour laquelle les filtres de publication de l’article 13 devraient être abandonnés : il n’existe aucune preuve de leur nécessité. Tout comme la Commission européenne a joyeusement propagé l’idée fausse selon laquelle le filtrage automatique fonctionne, elle a aussi docilement accepté la rumeur selon laquelle les copies non autorisées d’œuvres soumises au droit d’auteur seraient un désastre pour l’industrie du droit d’auteur et les artistes.

Comme nous l’avons récemment appris par la publication tardive d’un rapport capital qui a coûté à la Commission européenne la somme princière de 369 871€, les faits montrent le contraire. Il est évident que la Commission a essayé d’enterrer sa propre analyse, payée par les citoyens européens, probablement parce que les résultats ne convenaient pas à son projet d’introduire des peines toujours plus fortes aux infractions au droit d’auteur. Comme l’admet le rapport, globalement, « les résultats ne montrent pas de preuves statistiques solides d’une modification des ventes due au non-respect du droit d’auteur en ligne ».

Deux domaines spécifiques ont été touchés par le partage non autorisé : les nouveaux films ont été affectés défavorablement, tandis que pour les jeux, la consommation illégale a mené à plus de ventes légales. C’est un signe de l’approche biaisée de la Commission européenne sur ce sujet : ses économistes ont publié une synthèse à propos des effets négatifs du téléchargement sur les films, mais ont omis de mentionner l’effet positif qu’il avait sur les jeux.

Cette mauvaise foi rend encore plus irritant l’acharnement de la Commission à vouloir trouver une solution technologique illusoire à un problème inexistant. Si elle avait le courage d’admettre la vérité sur la nature non problématique du partage non autorisé d’œuvres soumises au droit d’auteur, elle n’aurait pas à promouvoir des propositions stériles comme les filtres de publication dont on sait qu’ils nuiront immensément au monde en ligne ainsi qu’au Marché unique numérique de l’UE.

 

Raymond Rochedieu est, depuis des années, un pilier de l’équipe bénévole qui relit et corrige les framabooks. Quand ce perfectionniste a annoncé vouloir s’attaquer à la traduction et l’adaptation d’un ouvrage kolossal, personne ne pouvait imaginer la masse de travail qui l’attendait. Surtout pas lui !
Personnage haut en couleur et riche d’une vie déjà bien remplie, ce papi du Libre nous offre aujourd’hui le fruit d’un travail acharné de plusieurs années. Framabook renoue ainsi le temps d’un précieux ouvrage avec sa tradition de manuels et guides.

Markus Kohm, Raymond Rochedieu (traduction et adaptation), KOMA-Script. Typographie universelle avec XƎLATEX, Framabook, octobre 2017.

Bonjour Raymond, si tu aidais nos lecteurs à faire connaissance avec toi ?

Bonjour, je m’appelle Raymond Rochedieu et depuis une quinzaine d’année, lors de la naissance de mon premier petit fils, tout le monde m’appelle Papiray. Je suis âgé de 72 ans, marié depuis 51 ans, j’ai deux garçons et 6 petits-enfants.

Je suis à la retraite, après avoir exercé des métiers aussi variés que : journaliste sportif vacataire (1959-1963), agent SNCF titulaire (1963-1967), VRP en machines-outils bois Guilliet (1967-1968), éducateur spécialisé (1968-1970, école d’éducateur de Reims), artisan imprimeur en sérigraphie (1970-1979), VRP (Textiles Florimond Peugnet – Cambrai, Éditions Paris-Match, Robert Laffont et Quillet, Laboratoires Messegué, Électro-ménager Vorwerk et Electrolux, Matra-Horlogerie JAZ…), puis ingénieur conseil, directeur commercial, artisan menuisier aluminier, avant de reprendre des études à 52 ans et de passer en 10 mois un BTS d’informaticien de gestion. Malgré les apparences, je ne suis pas instable, seulement curieux, « jusqu’auboutiste » et surtout socialement et individuellement responsable mais (très) indépendant, ce que j’appelle mon « Anarchie Utopiste » (expression qui, comme chacun le sait, vaut de l’or) : je rêve d’un monde où tous seraient responsables et égaux… mais ce n’est qu’un rêve !

J’ai terminé ma carrière professionnelle comme intervenant en informatique, installateur, dépanneur, créateur de sites internet, formateur agréé éducation nationale, chambre de commerces et chambre des métiers et même jury BTS à l’IUT de Reims.

Ton projet de traduction et de Framabook a été une œuvre de longue haleine et aboutit à un ouvrage massif. Comment tout cela a-t-il commencé ? Pourquoi as-tu entamé seul ce gigantesque labeur ?

Je me suis tout d’abord intéressé à l’ouvrage de Vincent Lozano Tout ce que vous avez toujours voulu savoir sur LATEX sans jamais oser le demander (Ou comment utiliser LATEX quand on n’y connaît goutte) auquel j’ai participé, à l’époque, en qualité de correcteur. Mais 2008, c’est aussi, pour moi, une rupture d’anévrisme et 14 jours de coma dont je suis sorti indemne, bien que physiquement diminué.

Puis j’ai enchaîné opération du genou droit, infection nosocomiale, prothèse du genou gauche, phlébite, re-opération pour éviter l’amputation, bref vous comprenez pourquoi j’ai mis du temps pour poursuivre le travail !

J’ai cependant connu quelques moments de bonheur : deux stages de tourneur sur bois, à l’école Jean-François Escoulen d’Aiguines (83630) avec le « Maître » qui m’ont conduit à un premier projet : construire un tour à bois fonctionnant à l’ancienne sans électricité et raconter mon ouvrage, projet toujours d’actualité mais qui s’est fait croquer, l’âge aidant, par l’envie d’écrire mes souvenirs, moins de sport… car même la marche m’est devenue pénible… un refuge, mon bureau… l’ordi…et KOMA-Script…

En réalité, ce n’est pas tout à fait ça. Début 2014, je rencontre une amie  qui se plaint de l’utilisation du logiciel Word, inadapté à son besoin actuel : à 72 ans, elle a repris ses études et prépare un doctorat de théologie. Chapeau, Françoise… elle a aujourd’hui 75 ans et elle est, je crois, en dernière année…

Je cherche donc quels sont les outils utilisés par les « thésards » et les « doctorants », et je découvre LaTeX que l’on dit « créé par les Américains, pour les Américains » et mal adapté à la typographie du reste du monde. J’achète le livre de Maïeul Rouquette et découvre finalement cette perle qu’est KOMA-Script, à travers « Les fiches de Bébert » (voir liste de références plus bas).

Ce qu’il en écrit me donne envie d’aller plus loin dans la connaissance de l’ouvrage de Markus KOHM, mais pour moi, c’est l’horreur : l’original en langue allemande n’existe que dans une traduction en langue anglaise.

Et qu’est-ce qu’y fait, Papiray ? Hein ? Qu’est-ce qu’y fait ?

Ben y contacte Markus Kohm pour lui demander l’autorisation de passer l’ouvrage en langue française et y demande à ses « amis » de Framasoft ce qu’ils en pensent… ou l’inverse… toujours est-il que Markus m’y autorise en date du 19 juillet 2014 et que mes amis de Framasoft me disent « vas-y, fonce », le début d’une aventure commencée en réalité en mai de la même année.

Dans l’absolu, je n’ai pas l’impression d’avoir été réellement seul. La curiosité, la découverte des différents systèmes, les réponses – surtout par Christophe Masutti – aux questions posées, les lectures des multiples articles et ouvrages consacrés au sujet, les tests permanents des codes (dont les résultats n’étaient pas toujours ce que j‘en attendais), les erreurs de compilation non identifiées et dont il me fallait corriger la source…

Et puis, pour tout avouer, je ne savais pas réellement où je mettais les doigts… une fois la machine lancée, fallait bien assurer et assumer…

Tu as travaillé dur pendant longtemps et par-dessus le marché, les passes de révision des bénévoles de Framabook ont été nombreuses et t’ont souvent obligé à reprendre des détails, version après version. Comment tu as vécu ça, tu ne t’es jamais découragé ?

Vu dans l’instance Framapiaf du 26 juillet 2017 à propos de l’utilisation d’une varwidth dans une fbox :

Ce sont surtout les modifications de versions dues à Markus qui m’ont « obligé ».

Comme je l’ai indiqué ci-dessus, j’ai démarré ce travail, en mai 2014, sur la base de la version de l’époque qui a évolué le 16 avril, le 15 septembre, le 3 octobre 2015, avant de devenir la v3.20 en date du 10 mai 2016, la v3.21 le 14 juin puis la v3.22 le 2 janvier 2017, enfin la v3.23 le 13 avril 2017 et chaque fois, pour coller à la réalité, je me suis adapté en intégrant ces modifications.

De plus, Markus Kohm a multiplié des extensions et additifs publiés sur internet et j’ai décidé de les intégrer dans la version française de l’ouvrage. KOMA-Script est bien entendu le noyau, mais LaTeX, le système d’encodage abordé, m’était totalement inconnu. Je me suis inspiré, pour le découvrir à travers XƎLATEX, des ouvrages suivants qu’il m’a fallu ingérer, sinon comprendre :

• Vincent Lozano, Tout ce que vous avez toujours voulu savoir sur LaTeX sans jamais oser le demander, Framasoft/Framabook, 2013 (seconde édition) ;
• Noel-Arnaud Maguis, Rédigez des documents de qualité avec LaTeX OpenClassRooms ;
• Maïeul Rouquette, XƎLATeX appliqué aux sciences humaines Éditions Atramenta, 2012 ;
• Sébastien Combéfis, LaTeX HowTo – Le Guide Pratique, 2^e éditionn, UKO Publication, 2010, accompagné par une version en ligne sur le site UKO ;
• W. Appel, et al., LaTeX pour l’impatient, Éditions Minimax, 2007 ;
• …sans oublier le wiki des fiches à Bébert ;
• La FAQ latex l’équipe Grappa, M-P. Kluth, B. Bayart : FAQ LaTeX.

Cette liste n’est pas exhaustive et ne mentionne que les quelques ouvrages et sites parcourus le plus fréquemment.

Quant au bon usage de la langue française, j’ai toujours, à portée de main,

• Jean-Pierre Lacroux, Orthotypographie, sous licence CC-By-Nc-Nd, 2007 (édition originale) ;
• Aurel Ramat et Romain Muller, Le Ramat européen de la Typographie, éditions De Champlain, 2009 ;
• Éric Martini, Petit guide de Typographie, Éditions Glyphe, troisième édition, 2010 ;

que je consulte régulièrement. En cas de doute, il me reste trois références françaises solides :

• Imprimerie Nationale, Lexique des règles typographiques en usage à l’imprimerie nationale, édition (1971) 2002 ;
• le site Renouvo, réseau pour la nouvelle orthographe du français qui diffuse l’information sur les rectifications orthographiques proposées et recommandées par les instances francophones compétentes (entre autres, l’Académie française et « les » Conseil supérieur de la langue française) ;
• le forum de l’ABC de la langue française ;
• et une référence éclairée de nos amis canadiens francophones, l’Office Québécois de la Langue Française.

Et j’ai navigué au hasard de mes hésitations (merci Mozilla), sur de nombreux sites que je n’ai pas cités dans mes références.

Que leurs auteurs et animateurs ne m’en tiennent pas rigueur.

Tu es donc passionné de LaTeX ? Pourquoi donc, quels avantages présente ce langage ?

LaTeX — prononcer « latèk » ou « latèr » comme avec le « j » espagnol de « rota » ou le « ch » allemand de « maren » (machen), selon votre goût — est un langage de description de document, permettant de créer des écrits de grande qualité : livres, articles, mémoires, thèses, présentations projetées…

On peut considérer LaTeX comme un collaborateur spécialisé dans la mise en forme du travail en typographie tandis que l’auteur se consacre au contenu. La fameuse séparation de la forme et du fond : chacun sa spécialité !

Et ce KOMA-Script c’est quoi au juste par rapport à LaTeX ?

LaTeX a été écrit par des Américains pour des Américains. Pour pouvoir l’utiliser convenablement il nous faut charger des paqs qui permettent de l’adapter à notre langue car les formats de papiers américains et européens sont très différents et les mises en page par défaut de LaTeX ne sont adaptées ni à notre format a4, ni à notre typographie.

L’utilisation de KOMA-Script, outil universel d’écriture, permet de gérer la mise en page d’un ensemble de classes et de paqs polyvalents adaptés, grâce au paq babel, à de multiples langues et pratiques d’écriture, dont le français. Le paq KOMA-Script fonctionne avec XƎLATEX, il fournit des remplacements pour les classes LaTeX et met l’accent sur la typographie.

Les classes KOMA-Script permettent la gestion des articles, livres, documents, lettres, rapports et intègrent de nombreux paqs faciles à identifier : toutes et tous commencent par les trois lettres scr : scrbook, scrartcl, scrextend, scrlayer…

Tous ces paqs peuvent être utilisés non seulement avec les classes KOMA-Script, mais aussi avec les classes LaTeX standard et chaque paq a son propre numéro de version.

Donc ça peut être un ouvrage très utile, mais quel est le public visé particulièrement ?

j’ai envie de répondre tout le monde, même si, apparemment, ce système évolué s’adresse d’avantage aux étudiants investis dans des études supérieures en sciences dites « humaines » (Géographie, Histoire, Information et communication, Philosophie, Psychologie, Sciences du langage, Sociologie, Théologie…) et préparant un DUT, une licence, une thèse et même un doctorat plutôt qu’aux utilisateurs des sciences « exactes » qui peuvent être néanmoins traitées.

En réalité, je le pense aussi destiné aux utilisateurs basiques de MSWord, LibreOffice ou de logiciels équivalents de traitement de texte, amoureux de la belle écriture, respectueux des règles typographiques utilisées dans leur pays, désireux de se libérer des carcans plus ou moins imposés par la culture anglo-saxonne, même s’il n’est pas évident, au départ, d’abandonner son logiciel wysiwyg pour migrer vers d’autres habitudes liées à la séparation du fond et de la forme.

Est-ce que tu as d’autres projets pour faire partager des savoirs et savoir-faire à nos amis libristes ?

Oui, dans le même genre, j’ai sous le coude un ouvrage intitulé « Utiliser XƎLATEX c’est facile, même pour le 3^e âge  » écrit avec la complicité de Paul Bartholdi et Denis Mégevand, tous deux retraités de l’université de Genève, l’Unige. Ces derniers sont les co-auteurs, en octobre 2005, d’un didacticiel destiné à leurs étudiants « Débuter avec LaTeX » simple, clair, plutôt bien écrit et dont je m’inspire, avec leurs autorisations, pour composer la trame de mon ouvrage qui sera enrichi (l’original compte 98 pages) et portera – comme son titre le laisse supposer – sur l’usage de XƎLATEX, incluant des développements et surtout des exemples de codes détaillés et commentés de diverses applications (mon objectif est de me limiter à 400 pages), mais ne le répétez pas…

 

• Vous pouvez découvrir et télécharger le guide KOMA-SCRIPT sur cette page Framabook

 

L’actualité des champions de l’exploitation peu scrupuleuse des données personnelles est malheureusement toujours chargée… Gee nous propose un petit florilège (les sources sont données en fin d’article). Une façon d’illustrer à quoi Contributopia, notre toute nouvelle campagne, se veut une alternative un peu plus réjouissante…

Sources :

• Le gouvernement américain exige les données de 1,3 million d’opposants potentiels (L’Informaticien)
• Google, Apple, Facebook et Microsoft menacent-ils les données scolaires des élèves français ? (Le Monde)
• Enquête : comment les apps Figaro, L’Équipe ou Closer participent au pistage de 10 millions de Français (Numerama)

Crédit : Simon Gee Giraudot (Creative Commons By-Sa)

Bousculons nos habitudes : Frama.site n’est pas (encore) un service « prêt à l’emploi », on ne peut pas (encore) créer un site web les doigts dans le nez (faut dire que c’est un peu crado…).

C’est normal : avec cette première action de la campagne Contributopia, nous voulons expérimenter d’autres manières de faire, pour faire ensemble.

Le confort de blogger et tumblr se paie cher

Vous avez remarqué qu’on ne dit plus « je fais un site web »…? On « ouvre un tumblr, » un « blogger », on « fait une page sur wix », on « publie un article sur Medium »… quand ce n’est pas directement la page Facebook qui devient le lieu d’expression unique de notre boîte, association, collectif, démarche artistique…

Certes, ces plateformes sont très pratiques, c’est même pour ça qu’elles ont autant de succès : pas besoin de se prendre le chou avec un hébergement, d’y installer un CMS (un kit de base pour créer son site web), de le personnaliser, et d’apprendre à l’utiliser. Non, là, c’est confortable : on se crée un compte, on remplit un formulaire, on appuie sur un bouton et hop ! Yapluka remplir son site web.

En contrepartie, les plateformes d’hébergement nous font « accepter » des conditions d’utilisations qu’on ne lit même pas, qu’on n’a pas vraiment envie de décortiquer, parce que… Parce que ça fait mal de lire que la plupart des contenus que l’on crée et publie leur appartiendront aussi, d’une manière ou d’une autre. Parce que c’est dur de se rendre compte qu’en utilisant leur service, on leur livre les vies et les intimités des personnes qui s’intéresseront à nos productions numériques.

Parce qu’on préférerait croire qu’on le fait pour nous, alors que ces plateformes nous font bosser pour leur pomme. Aral Balkan, un développeur et militant britannique, compare les géants du web à des fermes industrielles nous exploitant comme du bétail. On peut compléter la métaphore en expliquant ce que sont les plateformes Blogger (de Google de Alphabet), Tumblr (de Yahoo de Verizon) et les Pages (de Facebook de Markounet). Ce sont des seigneurs médiévaux qui nous concèdent un bout de terre numérique, afin de jouir des bénéfices de nos productions. Les nobliaux du web ont fait de nous leurs serfs.

Frama.site : se faire sa place dans la toile

Framasite est un service d’hébergement et de création de sites web.

Le but est de démontrer que l’on peut faire autrement, que l’on peut retrouver une indépendance numérique, y occuper un morceau de la toile. L’idée est de vous proposer un espace d’hébergement, c’est à dire un peu de place sur les « serveurs », ces ordinateurs en permanence allumés et connectés à Internet pour qu’on puisse aller y lire des sites web (entre autres choses). Des outils vous permettant de gérer (et donc de créer) vos sites web sont directement installés sur cet espace d’hébergement.

Concrètement, la volonté est de simplifier la vie de chacun·e : on se crée un compte, on choisit quel type de site on veut faire (blog, CV en ligne, page web unique, wiki, etc.), on lui donne un nom, et on appuie sur un bouton ! Ayé, votre site est créé, vous n’avez plus qu’à le remplir de textes, images, etc.

Étant proposé par Framasoft, ce service bénéficie forcément des libertés et des contraintes décrites dans nos conditions générales d’utilisation (qui se lisent en 3 minutes, et sans avoir besoin d’avoir avalé un code de la propriété intellectuelle !).

Cela signifie que :

• Vos contenus vous appartiennent… et que vous en êtes responsables :
  • si vos contenus sont illégaux, « on veut pas finir en taule », donc ils peuvent être supprimés ;
  • il faut toujours, toujours, toujours penser à faire des sauvegardes régulières… Si ça vous tient à cœur de publier un contenu, chouchoutez-le : prenez la précaution d’en conserver une copie !
• Nous ne permettons pas (et n’admettrons jamais) l’installation de bouts de codes qui épient vos visiteuses et visiteurs ;
• Nous partageons une ressource commune, dont chacun·e doit avoir une utilisation raisonnable :
  • Les fichiers (photos, etc.) mis en ligne ne peuvent pas faire plus de 5 Mo ;
  • Si vous pensez avoir besoin de plus de 150 Mo d’hébergement, dépasser les 300-500 pages web, ou la vingtaine de sites et wiki… venez en discuter avec nous car il est possible que Framasite ne soit pas la solution adaptée à vos besoins ;
• Nous ne recommandons surtout pas Framasite pour une utilisation professionnelle, c’est à dire pour faire un site dont dépendraient vos revenus : Framasoft reste une petite association, qui fait de son mieux mais ne fait que de son mieux (et y’a forcément des jours où ça plante, d’ailleurs on l’affiche à cette adresse), et qui ne peut pas être considérée comme éternelle ! Si un jour nous ne recevions plus de dons, par exemple, l’association et ses services mourraient, tout simplement.

Framasite : de la réalité au rêve

Le rêve est de faire en sorte que Framasite soit si simple d’utilisation, si pratique, que votre association, votre boulangerie ou votre artiste favori·te préfère cette solution aux plateformes centralisatrices. C’est de remettre à leur place les réseaux sociaux nobliaux : celle d’un lieu de passage, un lieu qui mène vers votre site web à vous, vers votre coin perso que vous cultivez sur la toile… plutôt que de les laisser devenir des fermes industrielles exploitant vos productions numériques comme aux pires époques du servage.

Car l’avantage, c’est que Framasite n’utilise que du logiciel libre : que ce soit Grav (pour les blogs, pages et sites web), Dokuwiki (pour les wiki, ces fameux sites permettant de construire du savoir collaboratif) ou notre interface de génération de site : tout est sous licence libre !

Imaginez : vous testez Framasite, puis vous vous rendez compte que les conditions dans lesquelles nous proposons ce service ne vous conviennent pas ou ne correspondent plus à vos usages… Aucun souci : vous cliquez sur le bouton « exporter », récupérez vos contenus et allez les installer sur un autre espace d’hébergement équipé de ces mêmes logiciels libres… votre serveur, par exemple !

Le fait est que, à ce jour, Framasite est encore loin de la facilité évidente dont nous rêvons pour ce service. Ce n’est pas (encore) un service « prêt à l’emploi », comme nous avions l’habitude de les proposer lors des trois années de la campagne Dégooglisons Internet. C’est normal, nous cheminons vers Contributopia : Framasoft ne peut pas faire et décider à elle seule de l’évolution à venir, il va falloir travailler dessus ensemble et, en un mot comme en cent : contribuer.

Pour cette première expérimentation de la contribution nous vous proposons trois phases :

1. Durant les prochains jours/les prochaines semaines, nous allons améliorer l’interface de création de site, la clarté des options, et les contenus automatiquement paramétrés. En même temps, nous comptons publier des tutoriels et de la documentation pour faciliter l’utilisation du service.
2. D’ici la fin de l’année 2017, nous voulons trouver comment proposer la location et la personnalisation automatisée des noms de domaine (comment aider quiconque à passer d’une adresse web « monsupersite.frama.site » à « monsupersite.fr », par exemple).
3. De mi-décembre à mi-février, nous voulons accompagner un·e stagiaire en développement pour qu’iel contribue au logiciel libre Grav et le rende encore plus aisé à utiliser, et faciliter encore plus l’autonomie numérique.

Comment contribuer ?

Pour cette première expérimentation dans la contribution, nous n’avons pas les épaules pour ouvrir une « boite à idée » (qui deviendrait très vite un cahier de doléances) car nous risquerions de crouler sous les demandes répétées, difficiles à traiter… Or, nous ne sommes qu’une petite association de 35 membres.

Nous allons donc commencer modestement, avec un outil qui demande certaines connaissances techniques (et un compte sur notre gitlab) : le dépôt Framasite sur Framagit.org.

• Si vous voulez faire des remarques, apports, suggestions, retours, ou reporter des bugs concernant Framasite, faites une issue ici ;
• Si vous voulez contribuer au code de notre interface, forkez directement le dépôt puis proposez une merge request ;
• Si vous voulez proposer des tutoriels d’utilisation, cela se passe directement sur le dépôt de notre documentation (où de nombreux exemples peuvent vous guider dans votre rédaction) ;
• Si vous souhaitez simplement aider à financer cette proposition qu’est Framasite et l’animation de son évolution, vous pouvez aussi nous soutenir d’un don.

Une autre façon de contribuer, qui est essentielle et importante, c’est de savoir parler autour de vous d’une telle solution. Si cela vous est disponible, prenez le temps d’accompagner votre entourage à la fois dans la démarche proposée (c’est pas parfait, car c’est à nous de le perfectionner ensemble) et dans l’adoption d’outils libres !

Sachez bien que Framasite n’est qu’un premier pas dans les mondes de Contributopia,

La secrétaire d’État à l’Intérieur du Royaume-Uni demandait fin juillet aux entreprises du numérique de renoncer au chiffrement de bout en bout. Aral Balkan a vivement réagi à ses propos.

L’intérêt de son analyse sans concessions n’est ni anecdotique ni limité au Royaume-Uni. Il s’agit bien de décoder le discours contre le chiffrement dont on abreuve les médias majeurs, que ce soit outre-Manche ou ici même en France, comme presque partout ailleurs en Europe. Un discours qui repose sur le terrorisme comme épouvantail et sur Internet comme bouc-émissaire. Alors que s’empilent des lois répressives qui rendent légale une surveillance de tous de plus en plus intrusive, sans pour autant hélas éradiquer le terrorisme, il est urgent de dénoncer avec force et publiquement la manipulation des esprits par le discours sécuritaire. Il en va de notre liberté.

Ce travail qu’assument courageusement des associations comme la Quadrature du Net et que nous devons tous soutenir est ici plutôt bien mené par Aral Balkan qui « traduit » les déclarations de la ministre pour ce qu’elles signifient réellement : l’appel à la collusion entre le capitalisme de surveillance et le contrôle étatique de la vie de chacun.

Article original paru sur le blog d’Aral Balkan : Decrypting Amber Rudd
Traduction Framalang : hello, mo, FranBAG, goofy, Éric, Bromind, Lumibd, audionuma, karlmo, Todd

 

[EDIT] Décidément Amber Rudd est toujours prête à récidiver, comme le montre ce tout récent article de Numérama

où elle déclare en substance qu’elle n’a pas besoin de connaître les technologies comme le chiffrement pour… les interdire !

 

Amber Rudd entre les lignes

par Aral Balkan

Facebook, Microsoft, Twitter et YouTube (Google/Alphabet, Inc) viennent de créer le Forum Internet Global Contre le Terrorisme et Amber Rudd, la ministre de l’Intérieur britannique, leur demande de renoncer discrètement à assurer le chiffrement de bout en bout de leurs produits. Ne croyez plus un traître mot de ce que ces entreprises racontent sur le chiffrement de bout en bout ou le respect de la vie privée sur leurs plateformes.
PS : WhatsApp appartient à Facebook.

Amber Rudd : « les discussions entre les entreprises IT et le gouvernement… doivent rester confidentielles. » Crédit photo : The Independent

Ruddement fouineuse

---

La tribune sur le chiffrement qu’Amber Rudd a fait paraître dans le Telegraph (article en anglais, payant) est tellement tordue qu’elle a de quoi donner le vertige à une boule de billard. Il est évident que Rudd (célèbre pour avoir un jour confondu le concept cryptographique de hachage avec les hashtags) est tout sauf naïve sur ce sujet. Elle est mal intentionnée.

Ce n’est pas qu’elle ne comprenne pas les maths ou le fonctionnement de la cryptographie. C’est plutôt qu’elle (et le gouvernement britannique avec elle) est déterminée à priver les citoyens britanniques du droit humain fondamental à la protection de la vie privée et qu’elle cherche à mettre en place un État surveillance. Ce n’est malheureusement pas un cas isolé, comme en témoignent les récentes déclarations de Theresa May, de la Chancelière allemande Angela Merkel et d’Emmanuel Macron en faveur d’une régulation similaire à l’échelle européenne, voire mondiale.

Étant donné l’importance de ce qui est en jeu (rien moins que l’intégrité de la personne à l’ère numérique et l’avenir de la démocratie en Europe), je voudrais prendre un moment pour disséquer son article et y répondre point par point.

Petit spoiler pour ceux qui manquent de temps : la partie la plus inquiétante de son article est la deuxième, dans laquelle elle révèle qu’elle a créé le Forum Internet Global Contre le Terrorisme avec Facebook, Microsoft, Twitter et YouTube (Google/Alphabet, Inc.), et qu’elle leur a demandé de supprimer le chiffrement de bout en bout de leurs produits (souvenez vous que c’est Facebook qui détient WhatsApp) sans prévenir personne. Cela a de graves conséquences sur ce que l’on peut attendre de la protection contre la surveillance étatique sur ces plateformes. Si vous n’avez pas le temps de tout lire, n’hésitez pas à sauter directement à la partie II.

 

Partie I : entente public-privé ; surveillance de masse et contrôle traditionnel.

---

Amber commence par poser une équivalence entre la lutte contre la propagande publique en ligne des organisations terroristes et la nécessité d’accéder aux communications privées de la population dans son ensemble. Elle prône aussi la surveillance de masse, dont nous savons qu’elle est inefficace, et reste étrangement silencieuse sur la police de proximité, dont nous savons qu’elle est efficace.

Rudd : Nous ne cherchons pas à interdire le chiffrement, mais si nous sommes dans l’impossibilité de voir ce que préparent les terroristes, cela met en danger notre sécurité.

Traduction : Nous voulons interdire le chiffrement parce que si nous le faisons nous serons mieux armés pour attraper les terroristes.

Par où commencer ? Faut-il rappeler qu’on court plus de risques de mourir en tombant de son lit qu’en tombant sur un terroriste ? Ou que la surveillance de masse (ce que Rudd demande) est totalement inapte à enrayer le terrorisme ? (Après tout, quand on cherche une aiguille, une plus grosse botte de foin est la dernière chose dont on ait besoin.)

Voici ce qu’en pense Bruce Schneier, un expert reconnu en cryptologie :

En raison de la très faible occurrence des attaques terroristes, les faux positifs submergent complètement le système, quel qu’en soit le degré de précision. Et quand je dis « complètement », je n’exagère pas : pour chacun des complots terroristes détectés par le système, si tant est qu’il en découvre jamais, des millions de gens seront accusés à tort.

Si vous n’êtes toujours pas convaincu et pensez que le gouvernement britannique devrait avoir le droit d’espionner tout un chacun, ne vous inquiétez pas : il le fait déjà. Il a le pouvoir de contraindre les entreprises IT à introduire des portes dérobées dans tous les moyens de communication grâce à l’Investigatory Powers Act (d’abord connu sous le nom de projet de loi IP et plus familièrement appelé charte des fouineurs). Peut-être n’avez-vous jamais entendu parler de cette loi car elle est passée relativement inaperçue et n’a pas suscité d’opposition dans les rangs du parti travailliste.

Toujours est-il que vos droits sont déjà passés à la trappe. Amber Rudd s’occupe maintenant de désamorcer vos réactions pour le jour où ils décideront d’appliquer les droits qu’ils ont déjà.

Rudd : Les terribles attentats terroristes de cette année confirment que les terroristes utilisent les plateformes Internet pour répandre leur détestable idéologie et planifier des attaques.

Traduction : Nous voulons faire d’internet un bouc émissaire, en faire la source de nos problèmes avec le terrorisme.

Internet n’est pas la cause sous-jacente du terrorisme. Selon Emily Dreyfuss dans Wired, « les experts s’accordent à dire que l’internet ne génère pas de terrorisme et contribue même assez peu aux phénomènes de radicalisation. »

Emily explique :

Les chercheurs spécialisés dans le terrorisme ont remarqué que la violence en Europe et au Royaume-Uni suit un schéma classique. Cela peut donner des clés aux gouvernements pour contrer le problème, à condition d’allouer les crédits et les ressources là où ils sont le plus utiles. La plupart des djihadistes européens sont de jeunes musulmans, souvent masculins, vivant dans des quartiers pauvres défavorisés où le taux de chômage est élevé. Ils sont souvent de la deuxième ou troisième génération de migrants, issus de pays où ils n’ont jamais vécu ; ils ne sont pas bien intégrés dans la société ; quand ils ne sont pas au chômage, leur niveau d’éducation est faible. Leurs vies sont dépourvues de sens, de but.

Rudd déroule son argument :

Rudd : Le numérique est présent dans quasi tous les complots que nous mettons au jour. En ligne, vous pouvez trouver en un clic de souris votre propre set du « parfait petit djihadiste. » Les recruteurs de Daesh (État islamique) déploient leurs tentacules jusque dans les ordinateurs portables des chambres de garçons (et, de plus en plus souvent, celles des filles), dans nos villes et nos cités, d’un bout à l’autre du pays. Les fournisseurs d’extrémisme de droite abreuvent la planète de leur marque de haine sans jamais avoir à sortir de chez eux.

Tous les exemples qui précèdent concernent des informations publiques librement accessibles en ligne. Pas besoin de portes dérobées, pas besoin de fragiliser le chiffrement pour que les services judiciaires y aient accès. Tout l’intérêt, justement, c’est qu’elles soient faciles à trouver et à lire. La propagande n’aurait pas beaucoup d’intérêt si elle restait cachée.

Rudd : On ne saurait sous-estimer l’ampleur du phénomène.

Traduction : Il est impossible d’exagérer davantage l’ampleur du phénomène.

Vous vous souvenez qu’on court davantage de risques de mourir en tombant de son lit qu’en tombant aux mains d’un terroriste ? Tout est dit.

Rudd : Avant d’abattre des innocents sur Westminster Bridge et de poignarder l’agent de police Keith Palmer, Khalid Masood aurait regardé des vidéos extrémistes.

Premièrement, l’article du Telegraph dont Amber Rudd fournit le lien ne fait nulle part mention de vidéos extrémistes que Khalid Masood aurait regardées (que ce soit en ligne, sur le Web, grâce à un quelconque service chiffré, ni où que ce soit d’autre). Peut-être Rudd s’imaginait-elle que personne ne le lirait pour vérifier. À vrai dire, en cherchant sur le Web, je n’ai pas pu trouver un seul article qui mentionne des vidéos extrémistes visionnées par Khalid Massood. Et même si c’était le cas, ce ne serait qu’un exemple de plus de contenu public auquel le gouvernement a accès sans l’aide de portes dérobées et sans compromettre le chiffrement.

Ce que j’ai découvert, en revanche, c’est que Masood « était dans le collimateur du MI5 pour « extrémisme violent », mais n’était pas considéré comme une menace par les services de sécurité. » Voici donc un exemple parfait s’il en est : l’érosion des droits de tout un chacun dans notre société, sous l’effet de la surveillance de masse, n’aurait en rien contribué à son arrestation. Les services de renseignement le connaissaient déjà, mais ne le jugeaient pas menaçant.

Et ce n’est pas la première fois. D’après un article publié en 2015 dans The Conversation :

On se heurte régulièrement au problème de l’analyse et de la hiérarchisation des informations déjà amassées. Il n’est plus rare d’apprendre qu’un terroriste était déjà connu des services de police et de renseignement. C’était le cas des kamikazes du 7 juillet 2005 à Londres, Mohammed Siddique Khan et Shezhad Tanweer, et de certains des présumés coupables des attentats de Paris, Brahim Abdeslam, Omar Ismail Mostefai et Samy Amimour.

Plus récemment, les cinq terroristes qui ont perpétré les attentats de Londres et Manchester étaient tous « connus de la police ou des services de sécurité. » L’un d’entre eux apparaissait dans un documentaire de Channel 4 où il déployait un drapeau de l’État islamique. On nous rebat les oreilles de l’expression « passé à travers les mailles du filet. » Peut-être devrions-nous nous occuper de resserrer les mailles du filet et de mettre au point de meilleures méthodes pour examiner ce qu’il contient au lieu de chercher à fabriquer un plus grand filet.

Rudd : Daesh prétend avoir ouvert 11000 nouveaux comptes sur les réseaux sociaux durant le seul mois de mai dernier. Notre analyse montre que trois quarts des récits de propagande de Daesh sont partagés dans les trois heures qui suivent leur publication – une heure de moins qu’il y a un an.

Une fois encore, ce sont des comptes publics. Utilisés à des fins de propagande. Les messages ne sont pas chiffrés et les portes dérobées ne seraient d’aucun secours.

Rudd : Souvent, les terroristes trouvent leur public avant que nous ayons le temps de réagir.

Alors cessez de sabrer les budgets de la police locale. Investissez dans la police de proximité – dont on sait qu’elle obtient des résultats – et vous aurez une chance de changer la donne. Ce n’est pas le chiffrement qui pose problème en l’occurrence, mais bien la politique d’austérité délétère de votre gouvernement qui a plongé les forces de police locales dans un « état critique » :

Les forces de l’ordre ont du mal à gérer le nombre de suspects recherchés. Le HMIC (NDLT : police des polices anglaise) s’est rendu compte que 67000 suspects recherchés n’avaient pas été enregistrés dans le PNC (Police National Computer, le fichier national de la police). En outre, à la date d’août 2017, le PNC comptait 45960 suspects, où figurent pêle-mêle ceux qui sont recherchés pour terrorisme, pour meurtre et pour viol.

Au lieu de se concentrer là-dessus, Amber cherche à détourner notre attention sur le Grand Méchant Internet. Quand on parle du loup…

Rudd : L’ennemi connecté est rapide. Il est impitoyable. Il cible les faibles et les laissés-pour-compte. Il utilise le meilleur de l’innovation à des fins on ne peut plus maléfiques.

Grandiloquence ! Hyperbole ! Sensationnalisme !

Tremblez… tremblez de peur…

(Non merci, sans façon.)

Rudd : C’est pour cela que j’ai réuni les entreprises IT en mars : pour commencer à réfléchir à la façon de renverser la vapeur. Elles comprennent les enjeux.

De quelles entreprises Internet s’agit-il, Amber ? Serait-ce par hasard celles qui suivent, analysent et monnaient déjà nos moindres faits et gestes ? Les mêmes qui, jour après jour, sapent notre droit à la vie privée ? Un peu, qu’elles comprennent les enjeux ! C’est leur business. Pour reprendre la fameuse analyse de Bruce Schneier : « La NSA ne s’est pas tout à coup réveillée en se disant « On n’a qu’à espionner tout le monde ». Ils ont regardé autour d’eux et se sont dit : « Waouh, il y a des entreprises qui fliquent tout le monde. Il faut qu’on récupère une copie des données. » »

Votre problème, Amber, c’est que ces entreprises n’ont pas envie de partager toutes leurs données et analyses avec vous. Leurs systèmes sont même en partie conçus pour éviter d’avoir à le faire, même si elles le voulaient : certaines données ne leur sont tout simplement pas accessibles (chez Apple, dont le business model est différent de Google et Facebook, les systèmes sont connus pour être conçus de cette façon quand la technologie le permet, mais l’entreprise a démontré récemment qu’elle est capable de livrer la vie privée de ses utilisateurs en pâture pour satisfaire la demande d’un gouvernement répressif.)

Ne vous méprenez pas, Google et Facebook (pour prendre deux des plus gros siphonneurs de données perso) se contrefichent de notre vie privée, tout autant que Rudd. Mais ce que réclame Amber, c’est de pouvoir taper gratuitement dans leur butin (et le butin, pour eux, ce sont nos données). Ils n’apprécient pas forcément, mais on les a déjà vus s’en accommoder s’il le faut.

Ce qui est plus grave, c’est que la requête de Rudd exclut l’existence même de services qui cherchent vraiment à protéger notre vie privée : les outils de communication chiffrée de bout en bout comme Signal, par exemple ; ou les outils de communication décentralisés comme Tox.chat.

Plus grave encore, peut-être : si le gouvernement britannique arrive à ses fins et met en œuvre les pouvoirs qui lui sont déjà conférés par l’Investigatory Powers Act, cela fermera la porte à ceux d’entre nous qui veulent construire des systèmes décentralisés, respectueux de la vie privée, interopérables, libres et ouverts, parce que de tels systèmes deviendront illégaux. Or l’avenir de la démocratie à l’ère numérique en dépend.

Rudd : Grâce au travail accompli avec la cellule anti-terroriste du gouvernement, nous avons pu dépublier 280000 documents à caractère terroriste depuis 2010 et fermer des millions de comptes.

Ok, donc, si je comprends bien, Amber, ce que vous nous expliquez, c’est que les mesures que vous prenez en collaboration avec les entreprises IT pour lutter contre la propagande publique des organisations terroristes fonctionnent bien. Le tout sans le moindre besoin de compromettre le chiffrement ou d’implémenter des portes dérobées dans les systèmes de communication. Mais continuez donc comme ça !

Rudd : Mais il y a bien plus à faire. Voilà pourquoi, lors de la réunion de mars dernier, les entreprises IT les plus puissantes de la planète se sont portées volontaires pour créer le Forum Internet Global Contre le Terrorisme.

Les multinationales n’ont pas à fliquer les citoyens du monde, ce n’est pas leur rôle. Elles aimeraient bien amasser encore plus de données et de renseignements sur la population mondiale, légitimer les structures de surveillance déjà en place et exercer un contrôle encore plus grand. Ça va sans dire. Mais c’est cet avenir que nous devons à tout prix éviter.

Sous prétexte de nous préserver d’un risque statistiquement négligeable, ce qui est envisagé est un panoptique mondial sans précédent. Dans un tel système, nous pourrons dire adieu à nos libertés individuelles (la liberté de parole, le droit à la vie privée…) et à notre démocratie.

Rudd : Le Forum se réunit aujourd’hui pour la première fois et je suis dans la Silicon Valley pour y assister.

Non seulement vous plaidez pour que les entreprises privées s’acoquinent avec les gouvernements pour jouer un rôle actif dans le flicage des citoyens ordinaires, mais vous faites appel à des entreprises américaines, ce qui revient à donner un sceau d’approbation officiel à l’implication d’entreprises étrangères dans le flicage des citoyens britanniques. (Merkel et Macron ont l’intention de saper les droits des citoyens européens de la même façon si on les laisse faire.)

Rudd : Les entreprises IT veulent aller plus vite et plus loin dans la mise au point de solutions technologiques susceptibles d’identifier, de faire disparaître, d’endiguer la diffusion de contenus extrémistes.

Soit ! Mais ça ne nécessite toujours pas de portes dérobées ni de chiffrement moins performant. Encore une fois, il s’agit de contenus publics.

Il faudrait un jour prendre le temps de débattre beaucoup plus longuement de qui est habilité à décréter qu’un contenu est extrémiste, et de ce qui arrive quand les algorithmes se plantent et stigmatisent quelqu’un à tort comme auteur de propos extrémistes en laissant sous-entendre que cette personne est extrémiste alors qu’elle ne l’est pas.

À l’heure actuelle, ce sont des entreprises américaines qui définissent ce qui est acceptable ou pas sur Internet. Et le problème est bien plus vaste que ça : il nous manque une sphère publique numérique, puisque les Facebook et autres Google de la planète sont des espaces privés (pas publics) – ce sont des centres commerciaux, pas des parcs publics.

Ce que nous devrions faire, c’est financer la création d’espaces publics en ligne, encourager la souveraineté individuelle, promouvoir un usage équitable du bien commun. Vous, Madame Rudd, vous êtes bien sûr à des années-lumière de ce genre d’initiatives, mais au moment où je vous parle, certains d’entre nous travaillons à créer un monde aux antipodes de celui que vous appelez de vos vœux.

Rudd : Leur attitude mérite félicitations mais ils doivent également savoir que nous leur demanderons des comptes. Cependant notre défi ne se limite pas à cela. Car au-delà des contenus pernicieux auxquels tout le monde a accès, il y a ceux que nous ne voyons pas, ceux qui sont chiffrés.

Ah, nous y voilà ! Après avoir consacré la moitié de l’article au combat victorieux du gouvernement contre l’expansion en ligne de la propagande publique des organisations terroristes, Rudd passe à son dada : la nécessité d’espionner les communications privées en ligne de chaque citoyen pour garantir notre sécurité.

Partie II : la guerre contre le chiffrement de bout en bout avec la complicité de Facebook, Microsoft, Twitter et YouTube (Google/Alphabet, Inc.)

---

C’est là qu’il faut prendre un siège si vous êtes sujet au vertige car Mme Rudd va faire mieux qu’un derviche tourneur. Elle va également lâcher une bombe qui aura de graves répercussions sur votre vie privée si vous êtes adeptes des services fournis par Facebook, Microsoft, Twitter ou YouTube (Google/Alphabet, Inc.)

Rudd : le chiffrement joue un rôle fondamental dans la protection de tout un chacun en ligne. C’est un élément essentiel de la croissance de l’économie numérique et de la fourniture de services publics en ligne.

Parfaitement, Amber. La discussion devrait s’arrêter là. Il n’y a pas de « mais » qui tienne.

Mais …

Rudd : Mais, comme beaucoup d’autres technologies efficaces, les services de chiffrement sont utilisés et détournés par une petite minorité d’utilisateurs.

Oui, et donc ?

Rudd : Il existe un enjeu particulier autour de ce qu’on appelle le « chiffrement de bout en bout » qui interdit même au fournisseur de service d’accéder au contenu d’une communication.

Le chiffrement de bout en bout a aussi un autre nom : le seul qui protège votre vie privée à l’heure actuelle (au moins à court terme, jusqu’à ce que la puissance de calcul soit démultipliée de façon exponentielle ou que de nouvelles vulnérabilités soient découvertes dans les algorithmes de chiffrement).

Incidemment, l’autre garant important de la vie privée, dont on parle rarement, est la décentralisation. Plus nos données privées échappent aux silos de centralisation, plus le coût de la surveillance de masse augmente – exactement comme avec le chiffrement.

Rudd : Que ce soit bien clair : le gouvernement soutient le chiffrement fort et n’a pas l’intention d’interdire le chiffrement de bout en bout.

Ah bon, alors est-ce qu’on peut en rester là et rentrer chez nous maintenant … ?

Rudd : Mais l’impossibilité d’accéder aux données chiffrées dans certains cas ciblés et bien particuliers (même avec un mandat signé par un ministre et un haut magistrat) constitue un obstacle de taille dans la lutte anti-terroriste et la traduction en justice des criminels.

Oui, mais c’est la vie. On ne peut pas avoir le beurre et l’argent du beurre.

Rudd : Je sais que certains vont soutenir qu’on ne peut pas avoir le beurre et l’argent du beurre, que si un système est chiffré de bout en bout, il est à jamais impossible d’accéder au contenu d’une communication. C’est peut-être vrai en théorie. Mais la réalité est différente.

Vrai en théorie ? Mme Rudd, c’est vrai en théorie, en pratique, ici sur Terre, sur la Lune et dans l’espace. C’est vrai, point final.

« Mais la réalité est différente », ce doit être la glorieuse tentative d’Amber Rudd pour battre le premier ministre australien, Malcolm Turnbull, dans la course aux âneries sur le chiffrement . M. Turnbull a en effet récemment fait remarquer que « les lois mathématiques sont tout à fait estimables, mais que la seule loi qui s’applique en Australie est la loi australienne. »

Turnbull et Rudd, bien sûr, suivent la même partition. C’est aussi celle que suivent May, Merkel et Macron. Et, après sa remarque illogique, Turnbull a laissé entendre de quelle musique il s’agit quand il a ajouté : « Nous cherchons à nous assurer de leur soutien. » (« leur », en l’occurrence, fait référence aux entreprises IT).

Rudd développe son idée dans le paragraphe qui suit :

Rudd : Dans la vraie vie, la plupart des gens sont prêts à troquer la parfaite inviolabilité de leurs données contre une certaine facilité d’utilisation et un large éventail de fonctionnalités. Il ne s’agit donc pas de demander aux entreprises de compromettre le chiffrement ou de créer de prétendues « portes dérobées ». Qui utilise WhatsApp parce qu’il est chiffré de bout en bout ? On l’utilise plutôt que parce que c’est un moyen incroyablement convivial et bon marché de rester en contact avec les amis et la famille. Les entreprises font constamment des compromis entre la sécurité et la « facilité d’utilisation » et c’est là que nos experts trouvent des marges de manœuvres possibles.

Traduction : Ce que nous voulons, c’est que les entreprises n’aient pas recours au chiffrement de bout en bout.

Voilà donc la pierre angulaire de l’argumentaire de Rudd : les entreprises IT devraient décider d’elles-mêmes de compromettre la sécurité et la protection de la vie privée de leurs usagers, en n’implémentant pas le chiffrement de bout en bout. Et, pour faire bonne mesure, détourner l’attention des gens en créant des services pratiques et divertissants.

Inutile de préciser que ce n’est pas très loin de ce que font aujourd’hui les entreprises de la Silicon Valley qui exploitent les données des gens. En fait, ce que dit Rudd aux entreprises comme Facebook et Google, c’est : « Hé, vous appâtez déjà les gens avec des services gratuits pour pouvoir leur soutirer des données. Continuez, mais faites en sorte que nous aussi, nous puissions accéder à la fois aux métadonnées et aux contenus de leurs communications. Ne vous inquiétez pas, ils ne s’en apercevront pas, comme ils ne se rendent pas compte aujourd’hui que vous leur offrez des bonbons pour mieux les espionner. »

De même, l’argument de l’indispensable « compromis entre la sécurité et la facilité d’utilisation » relève d’un choix fallacieux. Une nouvelle génération d’apps sécurisées et respectueuses de la vie privée, comme Signal, prouvent qu’un tel compromis n’est pas nécessaire. En fait c’est Rudd, ici, qui perpétue ce mythe à dessein et incite les entreprises IT à s’en servir pour justifier leur décision d’exposer leurs usagers à la surveillance gouvernementale.

Pas besoin de réfléchir bien longtemps pour se rendre compte que l’argumentation d’Amber s’écroule d’elle-même. Elle demande « Qui utilise WhatsApp parce que c’est chiffré de bout en bout et non parce que c’est un moyen incroyablement convivial et bon marché de rester en contact avec les amis et la famille ? » Retournons-lui la question : « Qui s’abstient d’utiliser WhatsApp aujourd’hui sous prétexte que le chiffrement de bout en bout le rendrait moins convivial ? » (Et, tant que nous y sommes, n’oublions pas que Facebook, propriétaire de Whatsapp, fait son beurre en récoltant le plus d’informations possible sur vous et en exploitant cet aperçu de votre vie privée pour satisfaire son avidité financière et ses objectifs politiques. N’oublions pas non plus que les métadonnées – interlocuteurs, fréquence et horaires des appels – ne sont pas chiffrées dans WhatsApp, que WhatsApp partage ses données avec Facebook et que votre profil de conversation et votre numéro de téléphone sont liés à votre compte Facebook.`

Rudd : Donc, nous avons le choix. Mais ces choix seront le fruit de discussions réfléchies entre les entreprises IT et le gouvernement – et ils doivent rester confidentiels.

Traduction : Quand les entreprises supprimeront le chiffrement de bout en bout de leurs produits, nous ne souhaitons pas qu’elles en avertissent leurs usagers.

Voilà qui devrait vous faire froid dans le dos.

Les services dont Amber Rudd parle (comme WhatsApp) sont des applications propriétaires dont le code source est privé. Cela signifie que même d’autres programmeurs n’ont aucune idée précise de ce que font ces services (même si certaines techniques de rétro-ingénierie permettent d’essayer de le découvrir). Si la plupart des gens font confiance au chiffrement de bout en bout de WhatsApp c’est qu’un cryptographe très respecté du nom de Moxie Marlinspike l’a implémenté et nous a dit qu’il n’y avait pas de problème. Or, le problème avec les applications, c’est qu’elles peuvent être modifiées en un clin d’œil… et qu’elles le sont. WhatsApp peut très bien supprimer le chiffrement de bout en bout de ses outils demain sans nous en avertir et nous n’en saurons rien. En fait, c’est précisément ce que demande Amber Rudd à Facebook et compagnie.

À la lumière de ces informations, il y a donc deux choses à faire :

Regardez quelles entreprises participent au Forum Internet Global Contre le Terrorisme et cessez de croire un traître mot de ce qu’elles disent sur le chiffrement et les garanties de protection de la vie privée qu’offrent leurs produits. Ces entreprises sont Facebook, Microsoft, Twitter et YouTube (Google/Alphabet, Inc.)

Les experts en sécurité informatique ne doivent pas se porter garants du chiffrement de bout en bout de ces produits sauf s’ils peuvent s’engager à vérifier individuellement chaque nouvelle version exécutable. Pour limiter la casse, les individus comme Moxie Marlinspike, qui a pu se porter garant d’entreprises comme Facebook et WhatsApp, doivent publiquement prendre leurs distances par rapport à ces entreprises et les empêcher de devenir complices de la surveillance gouvernementale. Il suffit d’une seule compilation de code pour supprimer discrètement le chiffrement de bout en bout, et c’est exactement ce que souhaite Amber Rudd.

Rudd : Ce qu’il faut bien comprendre c’est qu’il ne s’agit pas de compromettre la sécurité en général.

Ces actions compromettraient totalement la vie privée et la sécurité des militants et des groupes les plus vulnérables de la société.

Rudd : Il s’agit travailler ensemble pour que, dans des circonstances bien particulières, nos services de renseignement soient en mesure d’obtenir plus d’informations sur les agissements en ligne de grands criminels et de terroristes.

Une fois encore, ni la suppression du chiffrement de bout en bout ni la mise en place de portes dérobées ne sont nécessaires pour combattre le terrorisme. Si Rudd veut arrêter des terroristes, elle devrait plutôt cesser de raboter le budget de la police de proximité, le seul moyen qui ait fait ses preuves. Je me demande si Rudd se rend seulement compte qu’en appelant à la suppression du chiffrement de bout en bout dans les outils de communications en ligne, ce qu’elle fait en réalité, c’est exposer le contenu des communications de tout un chacun à la surveillance continue par – au minimum – les fournisseurs et les hébergeurs de ces services. Sans parler du fait que ces communications peuvent être manipulées par d’autres acteurs peu recommandables, y compris des gouvernements étrangers ennemis.

Rudd : Parer à cette menace à tous les niveaux relève de la responsabilité conjointe des gouvernements et des entreprises. Et nous avons un intérêt commun : nous voulons protéger nos citoyens et ne voulons pas que certaines plateformes puissent servir à planifier des attaques contre eux. La réunion du Forum qui a lieu aujourd’hui est un premier pas dans la réalisation de cette mission.

Je n’ai rien de plus à ajouter, pas plus que Rudd.

Pour conclure, je préfère insister sur ce que j’ai déjà dit :

Ce que souhaite Amber Rudd ne vous apportera pas plus de sécurité. Ça ne vous protégera pas des terroristes. Ça permettra aux gouvernements d’espionner plus facilement les militants et les minorités. Ça compromettra la sécurité de tous et aura des effets glaçants, dont la destruction du peu de démocratie qui nous reste. Ça nous conduira tout droit à un État Surveillance et à un panoptique mondial, tels que l’humanité n’en a jamais encore connu.

Quant aux entreprises membres du Forum Internet Global Contre le Terrorisme (Facebook, Microsoft, Twitter et YouTube (Google/Alphabet, Inc.) – il faudrait être fou pour croire ce qu’elles disent du chiffrement de bout en bout sur leur plateformes ou des fonctionnalités « vie privée » de leurs apps. Vu ce qu’a dit Amber Rudd, sachez désormais que le chiffrement de bout en bout dont elles se targuent aujourd’hui peut être désactivé et compromis à tout moment lors d’une prochaine mise à jour, et que vous n’en serez pas informés.

C’est particulièrement préoccupant pour WhatsApp, de Facebook, dont certains recommandent fréquemment l’usage aux militants.

Vu ce qu’a dit Amber Rudd et ce que nous savons à présent du Forum Internet Global Contre le Terrorisme, continuer à recommander WhatsApp comme moyen de communication sécurisé à des militants et à d’autres groupes vulnérables est profondément irresponsable et menace directement le bien-être, voire peut-être la vie, de ces gens.

P.S. Merci pour ce beau travail, Amber. Espèce de marionnette !

(Un grand merci, non ironique cette fois, à Laura Kalbag pour sa relecture méticuleuse et ses corrections.)

 

À propos de l’auteur Aral Balkan est militant, designer et développeur. Il représente ⅓ de Ind.ie, une petite entreprise sociale œuvrant à la justice sociale à l’ère du numérique.

Contacter Aral Balkan

Email (pour les questions urgentes, merci de mettre laura@ind.ie en CC)

Clé publique (94E9AA31)

Mastodon.ar.al
Twitter

La notion de commun semble recouvrir aujourd’hui un (trop) large éventail de significations, ce qui sans doute rend confus son usage. Cet article vous propose d’examiner à quelles conditions on peut considérer les logiciels libres comme des communs.

Nous vous proposons aujourd’hui la republication d’un article bien documenté qui a pu vous échapper au moment de sa publication en juin dernier et qui analyse les diverses dimensions de la notion de Communs lorsqu’on l’associe aux logiciels libres. Nous remercions Emmanuelle Helly pour la qualité de son travail : outre le nombre important de liens vers des ressources théoriques et des exemples concrets, son texte a le mérite de montrer que les nuances sont nombreuses et notamment que la notion de gouvernance communautaire est aussi indispensable que les 4 libertés que nous nous plaisons à réciter…

 

Qu’est-ce qu’un « Commun » ?

Par Emmanuelle Helly

Article publié initialement le 19/06/2017 sur cette page du site de Makina Corpus
Contributeurs : Merci à Enguerran Colson, Éric Bréhault, Bastien Guerry, Lionel Maurel et draft pour la relecture et les suggestions d’amélioration. Licence CC-By-SA-3.0

On parle de commun dans le cas d’un système qui se veut le plus ouvert possible avec au centre une ou plusieurs ressources partagées, gérées collectivement par une communauté, celle-ci établit des règles et une gouvernance dans le but de préserver et pérenniser cette ressource.

Cette notion de res communis existe en réalité depuis les Romains, et a perduré en occident durant le Moyen Âge, avec par exemple la gestion commune des forêts, et dans le reste du monde avant sa colonisation par les Européens. Mais depuis la fin du 18^e siècle dans nos sociétés occidentales, la révolution industrielle et avec elle la diffusion du mode de production capitaliste dans toutes les couches de la société ont imposé une dichotomie dans la notion de propriété : un bien appartient soit à l’État, soit au privé.

La théorie de la tragédie des communs par Garett Hardin en 1968, selon laquelle les humains sont incapables de gérer une ressource collectivement sans la détruire, contribue à mettre le concept des communs en sommeil pendant un moment dans nos sociétés occidentales.

En réponse Elinor Ostrom, prix Nobel d’économie en 2009, explique que les ressources qui sont mentionnées dans la «tragédie des communs» ne sont pas des biens communs, mais des biens non gérés. Grâce aux travaux qu’elle mène par la suite avec Vincent Ostrom, les communs redeviennent une voie concrète pour gérer collectivement une ressource, entre l’État et le privé. En France et ailleurs on met en avant ces pratiques de gestion de communs, les recherches universitaires en sciences humaines et sociales sur le sujet sont en augmentation, et même la ville de Gand en Belgique fait appel à un économiste spécialiste pour recenser les communs de son territoire.

On peut distinguer en simplifiant trois types de ressources pouvant être gérées en commun :

• les ressources naturelles (une réserve de pêche ou une forêt) ;
• les ressources matérielles (un hackerspace ou un fablab) ;
• les ressources immatérielles (l’encyclopédie Wikipédia, ou encore OpenStreetMap).

Le logiciel libre, et plus largement les projets libres tels que Wikipédia, est une ressource immatérielle, mais peut-on dire que c’est un commun au sens défini plus haut ? Qu’en est-il de sa gestion, de la communauté qui le maintient et l’utilise, des règles que cette communauté a élaborées pour le développer et partager ?

Outre le fait que la ressource est partagée d’une manière ou d’une autre, les règles appliquées doivent être décidées par l’ensemble de la communauté gérant le logiciel, et l’un des objectifs de la communauté est la pérennité de cette ressource.

Une ressource partagée

Un logiciel libre est basé sur quatre libertés fondamentales, qui sont :

• la liberté de l’utiliser,
• de l’étudier,
• de le copier,
• de redistribuer des versions modifiées de ce logiciel.

Ces règles constituent la base des licences libres, elles ont été établies par Richard Stallmann en 1983, et la Free Software Foundation est l’organisation qui promeut et défend ces libertés. D’autres licences sont basées sur ces 4 libertés comme les licences Creative Commons, ou encore l’Open Database Licence (ODbL), qui peuvent s’appliquer aux ressources immatérielles autres que les logiciels.

On peut évoquer le partage sous la même licence (partage à l’identique, ou copyleft) qui garantit que le logiciel modifié sera sous la même licence.

Un logiciel peut être placé sous une telle licence dès le début de sa conception, comme le CMS Drupal, ou bien être « libéré » par les membres de sa communauté, comme l’a été le logiciel de création 3D Blender.

Si un changement dans les règles de partage intervient, il peut être décidé par les membres de la communauté, développeurs, voire tous les contributeurs. Par exemple avant qu’OpenStreetMap ne décide d’utiliser la licence ODbL, la discussion a pris environ quatre ans, puis chaque contributeur était sollicité pour entériner cette décision en validant les nouvelles conditions d’utilisation et de contribution.

Mais ça n’est pas systématique, on peut évoquer pour certains projets libres la personnalisation de leur créateur de certains projets libres, « dictateur bienveillant » comme Guido Van Rossum, créateur et leader du projet python ou « monarque constitutionnel » comme Jimy Wales fondateur de Wikipédia. Même si dans les faits les contributeurs ont leur mot à dire il arrive souvent que des tensions au sein de la communauté ou des luttes de pouvoir mettent en péril la pérennité du projet. Les questions de communauté et de gouvernance se posent donc assez rapidement.

La gouvernance du logiciel libre

Les quatre libertés décrivent la façon dont le logiciel est partagé, et garantissent que la ressource est disponible pour les utilisateurs. Mais si les choix inhérents à son développement tels que la roadmap (feuille de route), les conventions de codage, les choix technologiques ne sont le fait que d’une personne ou une société, ce logiciel peut-il être considéré comme un commun ? Qu’est-ce qui peut permettre à une communauté d’utilisatrices / contributeurs d’influer sur ces choix ?

Dans La Cathédrale et le Bazar, Eric S. Raymond décrit le modèle de gouvernance du bazar, tendant vers l’auto-gestion, en opposition avec celui de la cathédrale, plus hiérarchisée.

 

À travers le développement de Fetchmail qu’il a géré pendant un moment, il met en avant quelques bonnes pratiques faisant d’un logiciel libre un bon logiciel.

Un certain nombre d’entre elles sont très orientées vers la communauté :

6. Traiter ses utilisateurs en tant que co-développeurs est le chemin le moins semé d’embûches vers une amélioration rapide du code et un débogage efficace. » ;

ou encore

10. Si vous traitez vos bêta-testeurs comme ce que vous avez de plus cher au monde, ils réagiront en devenant effectivement ce que vous avez de plus cher au monde. » ;

et

11. Il est presque aussi important de savoir reconnaître les bonnes idées de vos utilisateurs que d’avoir de bonnes idées vous-même. C’est même préférable, parfois. ».

Du point de vue d’Eric Raymond, le succès rencontré par Fetchmail tient notamment au fait qu’il a su prendre soin des membres de la communauté autant que du code du logiciel lui-même.

D’autres projets libres sont remarquables du point de vue de l’attention apportée à la communauté, et de l’importance de mettre en place une gouvernance permettant d’attirer et d’impliquer les contributeurs.

Le projet Debian fondé en 1993 en est un des exemples les plus étudiés par des sociologues tels que Gabriela Coleman ou Nicolas Auray. Décédé en 2015, son créateur Ian Murdock a amené une culture de la réciprocité et un cadre permettant une large contribution tout en conservant un haut niveau de qualité, comme le rappelle Gabriela Coleman dans ce billet hommage.

A contrario, il existe des exemples de logiciels dont le code source est bien ouvert, mais dans lesquels subsistent plusieurs freins à la contribution et à l’implication dans les décisions : difficile de dire s’ils sont vraiment gérés comme des communs.

Bien souvent, si un trop grand nombre de demandes provenant de contributeurs n’ont pas été satisfaites, si de nouvelles règles plus contraignantes sont imposées aux développeurs, un fork est créé, une partie des contributeurs rejoignent la communauté nouvellement créée autour du clone. Cela a été le cas pour LibreOffice peu après le rachat de Sun par Oracle, ou la création de Nextcloud par le fondateur de Owncloud en 2016, qui a mené à la fermeture de la filiale américaine de Owncloud.

Du logiciel libre au commun

Il est donc difficile de dire qu’un logiciel libre est systématiquement un commun à part entière. La licence régissant sa diffusion et sa réutilisation ne suffit pas, il faut également que le mode de gouvernance implique l’ensemble de la communauté contribuant à ce logiciel dans les décisions à son sujet.

Les 8 principes de gouvernance des communs relevés par Elinor Ostrom dans le cas de succès de gestion de biens non exclusifs, mais rivaux, sont mobilisables pour d’autres mode d’auto-organisation, notamment la gouvernance des logiciels libres. Elinor Ostrom a d’ailleurs coécrit un livre avec Charlotte Hess sur les communs de la connaissance.

Les deux premiers principes sont assez liés :

1/ délimitation claire de l’objet de la communauté et de ses membres

2/ cohérence entre les règles relatives à la ressource commune et la nature de cette ressource

Nous l’avons vu la définition de « communauté » pose question : celle qui réunit les développeurs, les contributeurs ou la communauté élargie aux utilisateurs ? Existe-t’il une différence entre les contributeurs qui sont rémunérés et les bénévoles ? Les règles varient-elles selon la taille des logiciels ou projets libres ?

De même sur la « ressource » plusieurs questions peuvent se poser : qu’est-ce qui est possible de contribuer, et par qui ? Les règles de contribution peuvent être différentes pour le cœur d’un logiciel et pour ses modules complémentaires, c’est le cas bien souvent pour les CMS (Drupal, Plone et WordPress ne font pas exception).

La question prend son importance dans les processus de décision, décrits par le troisième principe :

3/ un système permettant aux individus de participer à la définition et à la modification des règles

Dans certains cas en effet, seule une portion des membres les plus actifs de la communauté seront consultés pour la mise à jour des règles, et pour d’autres tous les membres seront concernés : c’est un équilibre difficile à trouver.

On peut aussi mettre dans la balance la ou les entités parties prenantes dans le développement du logiciel libre : si c’est une seule entreprise derrière la fondation, elle peut du jour au lendemain faire des choix contraires aux souhaits des utilisateurs, comme dans le cas de Owncloud.

4/ des moyens de supervision du respect de ces règles par des membres de la communauté

5/ un système gradué de sanction pour des appropriations de ressources qui violent les règles de la communauté

On peut citer pour l’application de ces deux principes le fonctionnement de modération a posteriori des pages Wikipédia, des moyens de monitoring sont en place pour suivre les modifications, et certains membres ont le pouvoir de figer des pages en cas de guerre d’édition par exemple.

6/ un système peu coûteux de résolution des conflits

 

C’est peut-être l’un des principes les plus complexes à mettre en place pour des communautés dispersées dans le monde. Un forum ou une liste de discussion regroupant la communauté est très rapide d’accès, mais ne sont pas toujours pertinents pour la résolution de conflits. Parfois des moyens de communication plus directs sont nécessaires, il serait intéressant d’étudier les moyens mis en place par les communautés.

Par exemple, un « code de conduite » ne paraît pas suffisant pour la résolution de conflits, comme dans le cas de Sarah Sharp qui quitte la communauté des développeurs du noyau Linux en 2014. Elle a d’ailleurs écrit ensuite ce qui selon elle constitue une bonne communauté.

7/ la reconnaissance par les institutions extérieures de cette auto-organisation

Les 4 libertés d’un logiciel libre sont reconnues dans le droit français, c’est un point important. On peut également relever les diverses formes juridiques prises par les structures qui gèrent le développement de projets libres. Les projets soutenus par la Free Software Foundation (FSF) ont la possibilité de s’appuyer sur l’assistance juridique de la Fondation.

Au-delà de la reconnaissance juridique, le choix d’un gouvernement d’utiliser ou non des logiciels libres peut également influer sur la pérennité de celui-ci. Le manque de soutien dont a souffert Ryxéo pour diffuser Abuledu, la solution libre pour les écoles, a certainement joué en sa défaveur, et plus récemment Edunathon, collectif dénonçant les accords hors marchés publics entre l’État et Microsoft a dû payer une amende pour avoir porté plainte contre l’État.

8/ Dans le cas de ressources communes étendues, une organisation à plusieurs niveaux, avec pour base les ressources communes au niveau local.

Rares sont les projets libres qui sont exclusivement développés localement, ce dernier principe est donc important puisque les communautés sont dispersées géographiquement. Des grands projets tels que Debian ou Wikimedia se dotent d’instances plus locales au niveau des pays ou de zones plus restreintes, permettant aux membres de se rencontrer plus facilement.

Au niveau fonctionnel il peut également se créer des groupes spécialisés dans un domaine particulier comme la traduction ou la documentation, ou encore une délégation peut être mise en œuvre.

Conclusion

On se rend bien compte que les 4 libertés, bien que suffisantes pour assurer le partage et la réutilisation d’un logiciel libre, ne garantissent pas que la communauté des contributrices ou d’utilisateurs soit partie prenante de la gouvernance.

Les bonnes pratiques décrites par Eric S. Raymond sont une bonne approche pour assurer le succès d’un projet libre, de même que les principes de gestion de ressources communes d’Elinor Ostrom. Il serait intéressant d’étudier plus précisément les communautés gérant des logiciels libres au prisme de ces deux approches.

« Le système des paquets n’a pas été conçu pour gérer les logiciels mais pour faciliter la collaboration » – Ian Murdock (1973-2015)

---

Pour creuser la question des communs, n’hésitez pas à visiter le site les communs et le blog Les Communs d’Abord, ainsi que la communauthèque qui recense de nombreux livres et articles livres sur le sujet. En anglais vous trouverez beaucoup d’information sur le site de la P2P Foundation initié par l’économiste Michel Bauwens.

Ça nous étonne souvent. L’image de Framasoft est parfois bien loin de notre réalité quotidienne. Partant de l’adage selon lequel une image vaut plus que mille mots, nous sommes allé·e·s demander de l’aide à un certain Geoffrey Dorne.

Framasoft : une image disproportionnée

Même si nous essayons de nous présenter en toute transparence, nombre de personnes qui bénéficient de nos projets et services ne savent pas vraiment qui nous sommes.

Nous le constatons principalement dans les questions, suggestions (voire exigences) qui sont exprimées dans le support, sur les stands ou dans les réseaux sociaux : nous avons parfois l’image d’une grosse boite de logiciels, armée de centaines d’employé·e·s et d’un budget ministériel ^^. Cela provient peut-être d’un nom créé en réaction à Microsoft, à l’époque où la firme de Redmond régnait sur le monde informatique.

Bref, rétablissons un peu la réalité. 35 membres (dont 7 salarié·e·s) gèrent une association qui anime et maintient une cinquantaine de projets auxquels plus de 700 personnes contribuent. Ces projets sont financés par plus de 2000 donateurs et donatrices, avec un budget avoisinant les 250 000 € par an (ça varie selon les années ^^)…

Ces dons, qui représentent 90% de nos revenus, sont ce qui nous permet d’accueillir entre 200 000 et 400 000 personnes sur nos sites web chaque mois, de participer à une centaine d’événements par an, d’y distribuer des milliers de flyers et stickers… Énorme pour une bande de potes, mais on est loin de la multinationale !

Du coup, au lieu d’aligner des chiffres en mode entreprise-qui-fait-trop-sérieux, le mieux, c’est de vous les montrer.

L’infographie « Le monde de Framasoft »

Geoffrey Dorne est un designer éthique, auteur du blog Graphism.fr et fondateur de l’agence Design & Human. Cela fait un moment que nous nous suivons, mutuellement, sur les réseaux sociaux et dans nos actions respectives, avec une complicité grandissante. Nous lui avons donc demandé de nous aider à présenter Framasoft et son évolution après ces trois années de campagne Dégooglisons Internet, qui ont entraîné de nombreuses mutations dans notre association, ainsi que dans le réseau de projets.

Nous tenons à le remercier pour l’attention, le talent et l’humanité qu’il a apportées à la commande de cette infographie, qu’il a placée sous la licence libre CC-By-SA.

Et puis soyons franc·he·s, nous avons été un peu pénibles ! C’était compliqué de mettre tout notre bazar dans une seule image qui convienne aux sensibilités diverses de nos personnes, non moins variées. Le résultat ? C’est à vous de nous dire, et surtout de vous en emparer.

 

 

Pour aller plus loin

• Site web de Geoffrey Dorne
• Présentation de l’association Framasoft