L'arnaque à la souveraineté

Le mois dernier, la polémique sur l'hébergement par un géant technologique américain (Microsoft) des données de santé françaises du Health Data Hub connaissait un nouvel épisode, avec intervention du Conseil d'État. Hélas, quoi qu'on pense de la légitimité des enjeux de souveraineté numérique, les démarches sont bien mal inspirées…

Réactualisé à l'occasion des décisions européennes concernant la compatibilité au RGPD des dispositions en vigueur aux États-Unis en matière de données personnelles, l'argument brandi est loin d'être nouveau. Il sert, entre autres, d'excuse récurrente aux institutions financières désireuses d'écarter rapidement toute hypothèse de recours aux clouds publics les plus populaires pour traiter des informations sensibles. Pensez donc : la justice américaine pourrait en exiger et en obtenir l'accès, sans restriction !

Or cette présentation simpliste d'une réalité créée par le Patriot Act en 2001 dans le sillage des attaques du 11 septembre est une pure escroquerie. Car, outre que le débat sur l'opposabilité de cette loi aux implantations à l'étranger d'une société américaine reste ouvert (notamment après que Microsoft y ait résisté, avec succès, en Irlande, il y quelques années), il ne devrait logiquement exister aucun risque qu'un hébergeur ait un quelconque accès à des données privées et, par conséquent, puisse les partager.

J'ose en effet espérer que l'information stockée par le Health Data Hub est chiffrée à la source et que les clés utilisées pour ce faire sont détenues (et sérieusement protégées) par l'organisme qui en a la charge. Si ce n'était pas le cas, c'est un scandale d'une toute autre dimension qu'il faudrait déclencher, quelle que soit l'infrastructure sous-jacente. Une fois ces mesures basiques prises, tout ce que les autorités américaines pourraient prétendre extraire se résumerait à un amas d'octets impénétrable, sans valeur.

À propos de souveraineté… Pourquoi donc ce nom en anglais ?

Les plus grandes plates-formes de messageries et réseaux sociaux ont instauré de tels systèmes (de « chiffrement de bout en bout ») pour garantir à leurs utilisateurs la confidentialité de leurs échanges, indépendamment des injonctions légales auxquelles elles doivent répondre. Et, après qu'Edward Snowden nous ait montré l'étendue de la surveillance de masse, dont il faudrait être naïf pour croire qu'elle se limite à un territoire, ce ne sont là que des précautions élémentaires indispensables partout dans le monde.

Plutôt que d'user de prétextes fallacieux et faciles à démonter, les défenseurs de la souveraineté « digitale » de l'Europe feraient mieux de se poser la vraie question (qui fâche) : pourquoi les clients se tournent-ils vers des fournisseurs américains ? Car s'ils parvenaient à imposer des contraintes de marché, c'est la compétitivité globale des secteurs ainsi bridés qui serait menacée : les offres locales ne sont simplement pas à la hauteur, en termes de prix, de profondeur du catalogue, de puissance de calcul disponible…, la faute peut-être à des lacunes du côté de la recherche appliquée ?