Speaker #0Bonjour mamie ! Bonjour et bienvenue dans la cybersécurité expliquée à ma grand-mère, le podcast pour expliquer la cybersécurité à des gens qui n'y comprennent rien. Aujourd'hui, je voudrais commencer par un objet. Un objet assez banal en apparence. Un sac de toile grise ou un attaché case, que vous avez peut-être déjà croisé dans un aéroport sans y prêter attention, porté par quelqu'un qui ne passe pas par la même file que vous. Cet objet, c'est la valise diplomatique. La valise diplomatique, c'est une invention assez extraordinaire quand on y pense. Depuis la Convention de Vienne, en 1961, un pays peut envoyer à ses ambassadeurs, partout dans le monde, Des documents que personne n'a le droit d'ouvrir. Ni la douane, ni la police, ni les juges du pays traversé. La valise voyage, elle change de pays, elle passe entre des dizaines de mains étrangères, et pourtant, elle reste, juridiquement, un morceau de son pays d'origine. Ce qu'elle contient est protégé par les lois de celui qui l'a envoyée, pas par celles de celui qui la reçoit. Et c'est précisément pour ça qu'elle existe. Parce qu'on a compris très tôt que ce qui compte, ce n'est pas l'endroit où se trouve un document, c'est la loi qui le protège pendant son voyage. Maintenant, imaginez ma grand-mère. Elle a un téléphone, et sur ce téléphone, une application pour partager les photos de ses petits-enfants avec la famille. Chaque fois qu'elle appuie sur « Envoyer » , la photo quitte son salon, traverse l'Atlantique en quelques millisecondes, et va se ranger dans un intropo informatique, quelque part en Virginie, ou en Oregon, ou en Irlande. Elle n'en sait rien, et elle s'en moque. Elle pense, et c'est bien naturel, que la photo lui appartient toujours, et qu'elle est protégée comme elle l'était dans son salon. Elle pense, en somme, qu'elle vient de poster une valise diplomatique. Et la question que nous allons poser aujourd'hui, c'est de savoir si elle a raison. Commençons par ce que l'Europe a construit. Vous avez tous entendu parler de RGPD, le Règlement Général de la Protection des Données, entré en application en 2018. On en parle souvent comme une corvée administrative, ces bandeaux de cookies que l'on ferme sans les lire. Mais l'idée qui est derrière est bien plus profonde, et elle ressemble beaucoup à celle de la valise diplomatique. Le RGPD... ne protège pas un disque dur, ni un serveur, ni un bâtiment. Il protège une personne, vous. Et il dit que vos données restent sous sa protection où qu'elles aillent. À condition que celui qui les emporte respecte un certain nombre de règles. Et quand je dis vos données, il faut prendre un moment pour mesurer ce que la valise contient vraiment. Ma grand-mère pense qu'elle envoie une photo de ses petits-enfants au bord de la mer. Ce qu'elle envoie en réalité, c'est bien plus que ça. La photo contient la date et l'heure précises à la seconde, Elle contient, si le téléphone est réglé comme il l'est par défaut, les coordonnées GPS de la plage, à quelques mètres près. Elle contient les visages, que des algorithmes savent reconnaître d'une photo à l'autre. Et mise bout à bout, sans photo, raconte où la famille passait vacances, quels jours la maison est vide et à quelles écoles vont les enfants. Ce n'est pas une photo, c'est un dossier. Et c'est précisément pour ça que la loi européenne parle de données personnelles et non de fichiers. Parce que ce qui voyage dans la valise, C'est un portrait de vous, pas un morceau d'informatique. C'est là qu'apparaît un mot que le juriste adore et que tout le monde ignore, le transfert. Dès que vos données quittent l'Union européenne pour un autre pays, il y a transfert. Et le transfert n'est permis que si le pays de destination offre une protection équivalente à la nôtre. Soit parce que la Commission européenne l'a constaté officiellement, et on parle alors de décision d'adéquation. Soit parce que l'entreprise qui exporte les données signe des engagements contractuels qui recréent cette protection. Autrement dit, pour que la valise reste une valise diplomatique, il faut un traité. Mais sans traiter, Ce n'est plus qu'un sac que n'importe quelle douane peut ouvrir. Le problème, et c'est tout le sujet de cet épisode, c'est que ma grand-mère ne voit jamais ce transfert. Il n'y a pas de douane, pas de tampon, pas de fil d'attente. La photo part et arrive. Et entre les deux, il y a un océan et un système juridique qu'elle ne connaît pas. Pour comprendre pourquoi ce traité est fragile, il faut raconter l'histoire d'un étudiant autrichien. En 2011, Max Schrems, qui a alors 23 ans et étudie le droit, passe un semestre en Californie et assiste à une conférence donnée par un juriste de Facebook. Il est frappé par la désinvolture avec laquelle l'entreprise considère le droit européen. De retour en Europe, il demande à Facebook la copie de toutes les données que l'entreprise détient sur lui. Il reçoit un document de plus de 1200 pages, qui contient des messages qu'il croyait effacés depuis des années. Si vous avez vu La vie des autres, le film de Florian Ankel van Darsmaak, sorti en 2006, vous vous souvenez de la scène finale. Après la chute, le dramaturge George Dreiman se rend aux archives de la Stadie et découvre, dans un dossier épais comme un annuaire, chaque conversation dans son salon, chaque visite, chaque nuit, consignée par un homme qu'il n'a jamais vu. Le dossier de Max Schrems, c'est ça. Sauf que l'archive n'était pas à Berlin-Est, elle était en Californie, et que personne n'avait eu besoin de percer un trou dans le plafond pour l'écouter. C'est alors qu'il décide de porter plainte. A l'époque, les transferts vers les Etats-Unis reposaient sur un accord qui s'appelait Safe Harbor, le port sûr. Un nom rassurant. Shrem soutient que ce port n'a rien de sûr. C'est l'année des révélations d'Edward Snowden. Et on sait désormais que les renseignements américains accèdent aux données des grandes plateformes sans que les Européens puissent s'y opposer, ni même le savoir. En octobre 2015, la Cour de justice européenne lui donne raison et invalide le safe harbor. D'un coup, des milliers d'entreprises se retrouvent sans base légale pour envoyer des données outre-Atlantique. Alors on négocie un nouvel accord, avec un nouveau nom rassurant. Le Privacy Shield, le bouclier de la vie privée. Schrems attaque de nouveau. Et en juillet 2020, la Cour invalide le Privacy Shield pour exactement les mêmes raisons. Les lois américaines de surveillance n'ont pas changé et un citoyen européen n'a toujours aucun recours effectif devant un tribunal américain. Deux traités, deux fois le même étudiant, deux fois la même conclusion. Depuis 2023, un troisième accord est en place, le Data Privacy Framework. Et personne dans la profession ne pas rirer sa maison sur sa longévité. Et pour que vous mesuriez que ce n'est pas qu'une querelle de juriste, laissez-moi vous citer un chiffre, un seul, parce que c'est une décision de justice et qu'elle ne vieillira pas. En mai 2023, l'autorité irlandaise de protection des données a infligé à Meta, la maison mère de Facebook, une amende d'un milliard deux cents millions d'euros. Le motif ? Avoir continué à transférer des données des Européens vers les Etats-Unis après l'invalidation du privacy shield. Sans protection suffisante. La valise voyagée sans traité, on l'a ouverte et on a présenté la facture. Mais revenons à ce qui rend les traités si difficiles à tenir. Pourquoi, au fond, la Cour de justice invalide-t-elle ces accords les uns après les autres ? Parce qu'il existe, de l'autre côté de l'Atlantique, des lois qui disent en subtant ceci. Une entreprise américaine doit remettre aux autorités américaines les données qu'elles détiennent, ou qu'elles se trouvent dans le monde. La plus connue de ces lois date de 2018 et s'appelle le Cloud Act. Il y a aussi la loi de renseignement, plus ancienne, qui permet aux agences fédérales de collecter les communications des étrangers hors du territoire américain, sans mandat individuel, auprès des grands fournisseurs. Vous êtes une banque ou un hôpital en France, et vous avez choisi un hébergeur dont les serveurs sont à Francfort ou à Dublin. Vous vous dites, mes données sont en Europe, donc sous la loi européenne. Sauf que l'hébergeur est une entreprise américaine. Et la loi américaine ne regarde pas où est le serveur. Elle regarde qui le contrôle. C'est comme si la douane d'un pays étranger avait le droit d'ouvrir votre valise. Non pas à la frontière, mais directement dans votre propre ambassade. Et au motif que le fabricant de la valise est l'un de ses ressortissants. Et c'est exactement la question que la Cour de justice a posée aux Etats-Unis. Pas « surveillez-vous » . Tous les Etats surveillent. Mais un Européen surveillé peut-il le savoir et s'en plaindre devant un juge ? Rappelez-vous le capitaine Vissler dans son grenier, le casque sur les oreilles. Ce qui rend la scène insupportable, ce n'est pas qu'il écoute, c'est que Dryman, en dessous, ne le saura jamais et n'aura personne à qui s'adresser. Et c'est cette absence de recours et non la surveillance elle-même qui a fait tomber le safe harbor et Privacy Shield. Ce n'est pas une hypothèse d'école. En juin 2025, devant une commission d'enquête du Sénat français, un dirigeant de Microsoft France, interrogé sous serment, S'est vu demander s'il pouvait garantir que les données des Français hébergés en Europe ne seraient jamais transmises aux autorités américaines sans l'accord de la France. Sa réponse ? Non, je ne peux pas le garantir. L'entreprise contesterait toute demande infondée, a-t-il ajouté. Mais contester n'est pas refuser. Pour la première fois, un grand fournisseur disait tout haut ce que tout le monde savait tout bas. Le lieu du serveur ne protège rien. Il faut maintenant élargir le cadre, parce que ce que je viens de décrire n'est pas seulement une affaire de juriste, c'est devenu, depuis 2025, une affaire d'État. Et pour le comprendre... Il faut regarder sur quoi repose concrètement le traité actuel, ce Data Privacy Framework dont je vous parlais. Il ne repose pas sur une loi votée par le Congrès américain. Il repose sur un décret présidentiel signé par Joe Biden en octobre 2022 qui crée des garanties pour les Européens et un tribunal spécial où ils peuvent se plaindre. Un décret présidentiel, par définition, peut être défait par le président suivant d'un simple trait de plume. La valise diplomatique européenne tient donc à la signature d'un homme. Et cet homme a changé en janvier 2025. Le président Trump n'a pas révoqué le décret. Mais il a fait autre chose. Dès le premier jour de son mandat, il a renveillé trois des membres du comité indépendant chargé de surveiller les services de renseignement américains, le PCLOB, le laissant sans quorum, c'est-à-dire sans capacité d'agir. Or, ce comité était l'une des pièces que la commission européenne avait mise en place avant pour justifier que les États-Unis offraient désormais une protection suffisante. Puis, en juin 2026, la Cour suprême des États-Unis a jugé, dans une affaire qui n'avait rien à voir avec l'Europe, que le président pouvait révoquer à sa guise les commissaires de la Federal Trade Commission, l'agence qui fait respecter les engagements des entreprises américaines envers les européens. Deux des trois piliers du traité, la indépendance du contrôle et l'indépendance de la sanction, ont été fragilisés sans qu'un seul mot du traité ne soit changé. Max Schrems, que vous connaissez maintenant, a eu cette formule. Même dans la logique de la Commission européenne, la base de tout accord de transfert est morte. Le Comité européen de la protection des données a demandé à la Commission d'évaluer la situation. Il y a un recours contre le traité, porté par un député français, et pendant, devant la Cour de justice. Mais le plus parlant, c'est ce que dit l'administration américaine de nos règles. En février 2025, un mémorandum de la Maison-Blanche a qualifié les taxes et la réglementation numérique européenne d'extorsion. et placer les deux grandes lois européennes sur les plateformes, le Digital Market Act et le Digital Service Act, sous la menace de représailles. En août 2025, le président Trump a menacé des droits de douane supplémentaires et de restrictions sur les puces électroniques les pays qui maintiendraient de telles règles, en accusant de viser les entreprises américaines tout en épargnant les chinoises. Autrement dit, la protection des données n'est plus seulement une question de droit. Elle est devenue une monnaie d'échange pour une négociation commerciale. Au même titre que l'acier ou les automobiles. Il y a une ironie que je ne peux pas laisser sous silence. Les Etats-Unis connaissent parfaitement ce raisonnement, parce qu'ils l'appliquent eux-mêmes à la Chine. Depuis 2017, une loi chinoise oblige toute entreprise chinoise à coopérer avec les services du renseignement de l'Etat, ou qu'elle opère. C'est exactement sur cet argument, le fait que Pékin pourrait exiger des données des utilisateurs américains, que Washington a contraint les propriétaires chinois de TikTok à céder le contrôle de l'application aux Etats-Unis. Autrement dit, l'Amérique dit à la Chine « Votre loi peut forcer vos entreprises à ouvrir la valise, donc nous ne confions pas la nôtre » . Et c'est mot pour mot ce que l'Europe dit à l'Amérique depuis Shrems. La différence, c'est que les États-Unis ont le poids pour imposer la cession de TikTok, et que l'Europe n'a pas le poids pour imposer quoi que ce soit à Microsoft ou Amazon. Je ne vous dis pas cela pour prendre parti. Chaque puissance défend ses entreprises et se méfie des lois des autres. Les États-Unis ne font rien que la Chine ne fasse. avec moins de publicité. Je vous le dis parce que cela change la nature du problème. Tant que la question était juridique, on pouvait espérer qu'un bon traité la règle. Dès lors qu'elle est géopolitique, chaque traité sera renégocié à la prochaine crise commerciale et chaque garantie pourra être retirée par le prochain décret. Dans la Vienne de 1961, la valise diplomatique fonctionnait parce que l'échange était réciproque. Chacun envoyait des valises, chacun en recevait. Dans le monde numérique, l'Europe envoie ses données et reçoit des services. Elle est... pour reprendre le vocabulaire des diplomates en position de demandeur. Et un demandeur ne dicte pas les termes du traité. C'est cette asymétrie, bien plus que les lois sur la surveillance, qui expliquent pourquoi la souveraineté numérique est devenue un sujet politique en Europe. Un continent qui dépend d'un autre pour héberger ses données n'est plus tout à fait maître de ses choix. Et aucune clause contractuelle ne corrige cela. Je voudrais insister sur un point, parce qu'après ce que je viens de dire, le malentendu est facile. Cet épisode n'est pas un réquisitoire contre les Etats-Unis. Les Etats-Unis ont au moins le mérite d'avoir des lois publiques, des tribunaux et des entreprises qui, quand on les interroge, finissent par répondre. Il y a d'autres douanes dans le monde et certaines sont nettement moins polies. La Chine, je vous l'ai dit, oblige ses entreprises à ouvrir la valise à l'État et impose depuis 2021 que les données jugées importantes ne quittent pas son territoire. La Russie, depuis 2015, exige que les données de ses citoyens soient stockées physiquement en Russie et a bloqué LinkedIn pour avoir refusé de s'y plier. L'Inde, le Brésil, l'Indonésie construisent chacun leurs propres règles. Le paradoxe est là. À mesure que la technique abolit les frontières, le droit les recrée. Internet était censé être un espace sans douane. Il est devenu le lieu où il y en a le plus. Face à ça, que fait-on ? Trois temps et aucun n'est magique. Premier temps, c'est de savoir ce qu'il y a dans la valise Et où elle va ? La plupart des organisations sont incapables de dire, pour chaque donnée qu'elles traitent, dans quel pays elle est stockée, par qui et sous quelle loi. Cartographier les transferts est l'exercice le plus ingrat et le plus utile pour toute protection des données. Et pour ma grand-mère, ça se traduit par une question simple avant d'installer une application. D'où vient-elle et où envoie-t-elle mes photos ? Deuxième temps, c'est de choisir ce qu'on envoie. Tout n'a pas besoin de voyager. On peut parfaitement utiliser un service américain pour des choses sans importance et garder chez soi, chez un hébergeur européen, ce qui compte vraiment. Les diplomates ne mettent pas toute l'ambassade dans la valise. Ils y mettent ce qui ne doit pas être lu et le reste part par la poste ordinaire. Pour ma grand-mère, ça veut dire une chose très concrète. La photo de la plage, d'accord, mais le scan de sa carte d'identité, son relevé bancaire ou le compte rendu de son médecin n'ont rien à faire dans une application dont elle ne sait pas où elle range les choses. Et le troisième temps, c'est le plus technique et le plus important. Quand la valise doit absolument partir, on cadenas son contenu et on garde la clé. C'est ce qu'on appelle le chiffrement. Mais attention, il y a chiffrement et chiffrement. Si vous chiffrez vos données et que vous confiez la clé à votre hébergeur américain, vous n'avez rien changé, la douane lui demandera la clé et elle lui donnera. La seule protection réelle, c'est le chiffrement dont vous êtes le seul à détenir la clé. De sorte que même si le fournisseur est contraint de remettre vos données, Il ne remet qu'un coffre fermé dont personne ne peut rien faire. C'est à cette condition, et à cette condition seulement, qu'une valise redevient diplomatique sans avoir besoin de traiter. Vous entendrez beaucoup parler de cloud souverain. Méfiez-vous des raccourcis. La souveraineté n'est pas un bouton. C'est un curseur entre le confort des grandes plateformes et le contrôle de ces données. Et chaque organisation doit décider où elle le place. Pour les banques, le règlement européen DORA ajoute d'ailleurs une seconde question à la première. Au-delà de savoir qui peut lire vos données, il faut savoir si vous pouvez continuer à travailler le jour où le fournisseur étranger, pour une raison politique ou commerciale, cesse de vous servir. La confidentialité et la résilience sont les deux faces de la même valise. Revenons à ma grand-mère et à ses photos. A-t-elle posté une valise diplomatique ? La réponse, vous l'avez compris, c'est « ça dépend » .
