1Le mot « cybersurveillance » est issu de la contraction des mots cyberespace et surveillance. Cyber, du grec « kuber », signifie « pilote », a évolué vers le mot cybernétique, « nétique » du grec « netos » qui signifie « commandant », la cybernétique étant une science du contrôle des systèmes vivants ou non vivants, imbriqués et en interaction. Le mot cyberespace se caractérise aujourd’hui par un environnement immatériel dans lequel circulent et se transmettent des informations, et qui s’affranchit des dimensions territoriales et temporelles. Le mot surveillance est quant à lui polysémique : « veiller sur » exprime l’idée d’être attentif à, d’assurer une protection, mais aussi l’idée d’une observation comportementale, d’un contrôle à toute autre finalité que la protection. La cybersurveillance est une réalité tout à la fois voulue et subie, dont l’absence de maîtrise ouvre la voie au développement de substituts logiciels au travail humain d’analyse.

2Elle est une réalité en ce que l’informatique et les technologies ont à ce point évolué qu’elles se sont combinées, mutuellement impactées et ont fait naître de nouvelles formes de communication : la mobilité (chaque objet est susceptible de devenir un outil communiquant), l’identification (on doit identifier les terminaux pour pouvoir faire circuler l’information), la miniaturisation (les objets communicants sont plus nombreux, incorporables dans d’autres objets indétectables). La puissance des mémoires des espaces de stockage, l’interopérabilité et l’interconnexion des systèmes, la puissance des moteurs de recherche, le perfectionnement des bases de données et des outils experts, la biométrie, la géo localisation, les systèmes d’enregistrement de toutes natures, la RFID (radio frequency identification) ont pour dénominateur commun un disque dur. Concrètement, des traces, données, informations ou éléments d’information concernant chacun d’entre nous sont laissées sur l’Internet, soit par nous même, soit par des tiers. Il peut s’agir de simples données de connexion ou de consultation, de messages laissés sur des sites, mais aussi de l’utilisation des GPS, téléphones mobiles et caméras, qui nous localisent à un instant donné. Elles sont ensuite techniquement collectées, accumulées, traitées, croisées, et recoupées, les fichiers et les contenants fusionnés, les bases de données contenant les fichiers interconnectées, jusqu’à obtenir une identification, une authentification et une traçabilité dans le temps et dans l’espace, d’un individu et de toutes les caractéristiques de sa personnalité et de sa pensée. Cette réalité est en premier lieu voulue, par l’État, les acteurs du marché économique, mais aussi les individus eux-mêmes. L’État tout d’abord multiplie les recours aux dispositifs de surveillance : on assiste à un déploiement massif de caméras dans les lieux publics, la création de fichiers, des écoutes téléphoniques dont le journal Le Monde soulignait qu’elles avaient augmenté de 440 % entre 2001 et 20081. Les acteurs du marché économique ont également recours à la cybersurveillance, les traces ayant une valeur marchande car elles permettent de cibler la clientèle potentielle, et de lui proposer des offres pertinentes. Enfin, les individus eux-mêmes, par déviance comportementale, ou simple curiosité, ont pris pour habitude de s’informer sur telle ou telle personne. Dans la plupart des cas, la cybersurveillance est voulue pour la finalité annoncée, à savoir garantir la sécurité ou l’ordre public ce qui suffit à persuader de la nécessité de la mettre en œuvre. L’entretien régulier du sentiment d’insécurité, sa récupération et son exploitation dans l’opinion publique, y participent Les références classiquement invoquées par l’État pour convaincre du bien fondé des mesures de surveillance mises en œuvre sont ce que l’on appelle pudiquement d’une part « les événements du 11 septembre » et la pédophilie ou la pédopornographie. N’est-on pas ainsi passé de la vidéosurveillance à la vidéoprotection d’ailleurs expressément consacrée par la Loppsi 2 du 14 mars 20112, comme si la vidéo protégeait les individus alors qu’elle n’a en réalité qu’un effet dissuasif ? Mais il faut bien distinguer l’objectif annoncé, la raison invoquée, de l’objectif réellement identifié, la vraie raison. La cybersurveillance est alors une réalité subie en ce qu’elle porte atteinte à l’exercice de nos libertés, sans que nous puissions nous y opposer.

3Les dispositifs étatiques de surveillance échappent à la compétence du législateur pour revenir à l’exécutif dès lors que sont invoqués la sécurité ou l’ordre public, le Conseil Constitutionnel ne pouvant faire porter son contrôle que sur le caractère suffisant des garanties assurées corrélativement. L’article 8-2 de la Convention Européenne de Sauvegarde des Droits de l’Homme dispose que « Il ne peut y avoir ingérence d’une autorité publique dans l’exercice de ce droit que pour autant que cette ingérence…, est nécessaire à la sécurité nationale, à la sûreté publique,…, à la défense de l’ordre et à la prévention des infractions pénales,… », et l’article 34 al 2 de la Constitution permet de porter atteinte à l’exercice des libertés pourvu que ces atteintes soient justifiées par l’ordre public ou la sécurité des personnes et des biens. L’individu est dès lors et en permanence sous surveillance, quand bien même il n’encourrait aucun risque ou n’éprouverait aucun sentiment d’insécurité ni aucune volonté d’être « protégé », et quand bien même surtout il n’aurait conscience ni d’être dans le champ de l’outil de surveillance ni, une fois les données enregistrées, d’être identifié, tracé et profilé. Une technique n’est jamais neutre et elle véhicule dans l’opinion publique des présupposés, dont celui que l’informatique est infaillible. La cybersurveillance remet en cause la présomption d’innocence, qui est pourtant un principe et une liberté fondamentaux ayant valeur constitutionnelle, la constitution de nombreux fichiers pré-constitue des preuves dont l’objet n’est pas forcément connu a priori. La charge de la preuve s’inverse. Elle incombe désormais à l’individu qui aura été identifié, recensé dans un fichier, intégré dans un traitement de données, tracé et profilé. L’informatique n’est pas infaillible, ne distingue pas forcément les homonymies, conclut à des résultats à partir de règles de programmation décidées en amont, et les données ne sont pas systématiquement mises à jour, etc.

4La surveillance n’est pas maîtrisée. La collecte et le traitement des données à caractère personnel sont régis par la Loi du 6 janvier 1978 qui impose que la collecte s’effectue de manière loyale et licite, avec l’accord de la personne concernée, dans le respect des règles de proportionnalité et de finalité du traitement annoncé. Elle met en place un système de déclarations, autorisations ou avis relevant de la compétence de la C.N.I.L. Le Droit sanctionne pénalement le fait de collecter des données par un moyen frauduleux, déloyal ou illicite3 et de les conserver au-delà de la durée prévue4. Bon nombre de collectes, fichiers et traitements n’ont jamais fait l’objet d’aucune formalité auprès de la CNIL, voire ont été détournés de la finalité pour laquelle ces formalités ont été accomplies, les données conservées au-delà de la durée autorisée, et réutilisées. Des contrôles sont effectués par la CNIL, mais ils ne peuvent qu’être sporadiques et aléatoires, quand ils ne sont pas impossibles pour cause de délocalisations. Son domaine de compétence n’est pas exhaustif et les controverses jurisprudentielles, pour ne pas dire les contradictions, illustrent tout autant le propos : la Cour de Justice de l’Union Européenne considère les adresses IP comme des données à caractère personnel5, alors que la Cour d’Appel de Paris quant à elle décide l’inverse6. L’individu concerné n’a pas toujours conscience que les informations qu’il laisse ou qui sont laissées ici et là échappent à son espace de contrôle et font l’objet d’une appropriation par des tiers, ni des conséquences que cela induit quant à sa réputation numérique ou aux décisions qui peuvent être prises en suite et sur la base des traitements et analyses opérés.

5Cette absence de maîtrise favorise le développement insidieux de la cybersurveillance et par voie de conséquence, d’outils logiciels qui tendent à se substituer au travail humain d’analyse des données. Jusqu’à présent c’est le surveillant qui effectuait un travail de raisonnement et d’analyse des résultats obtenus afin d’en tirer des conclusions ou de prendre des décisions. Désormais, le Web sémantique consiste à associer aux contenus un traitement dit « intelligent » de l’information et à créer un raisonnement automatique qui aboutit à détecter une exception qui sera considérée comme révélant un comportement anormal ou potentiellement anormal. C’est le logiciel qui se substitue au surveillant et qui automatise la conclusion, voire la décision qui doit être prise. En Droit, la seule méthode qui repose sur un tel schéma est celle des présomptions. L’article 1349 du Code civil dispose que « Les présomptions sont des conséquences que la Loi ou le magistrat tire d’un fait connu à un fait inconnu ». Il doit y avoir un fait connu, un raisonnement humain, et la déduction d’un fait inconnu et seuls la Loi ou un magistrat sont autorisés à y recourir. La cybersurveillance redéfinit la présomption comme « des conséquences que l’informatique tire d’un fait supposé connu à un fait ou une intention inconnus ».