Royaume-Uni. L’ordre relatif au chiffrement menace le droit à la vie privée dans le monde entier

L’ordre donné par le gouvernement britannique à Apple de permettre aux services de sécurité d’accéder à des données chiffrées dans le cloud porte gravement atteinte au droit à la vie privée des utilisateurs et utilisatrices, au Royaume-Uni et dans le monde entier, ont déclaré Amnistie internationale et Human Rights Watch vendredi 14 février.  

Le gouvernement britannique entend ainsi contraindre Apple à donner aux services de sécurité l’accès aux données chiffrées des utilisateurs, y compris les sauvegardes d’appareils qui peuvent contenir des listes de contacts, ainsi que l’historique de la géolocalisation et de la messagerie, pour tout utilisateur d’Apple dans le monde entier. Cet ordre secret, dont le Washington Post s’est fait l’écho la semaine dernière, a été émis en janvier 2025 par le ministère de l’Intérieur du Royaume-Uni. Il concerne la Protection avancée des données, une fonction de l’iPhone qui utilise le cryptage de bout en bout des données stockées dans le cloud, garantissant que seul l’utilisateur du compte puisse accéder aux données stockées.  

« Si ces informations sont vraies, il s’agit d’un abus alarmant de la part des autorités du Royaume-Uni, qui cherchent à accéder aux données privées non seulement des habitant·e·s du pays, mais aussi de toute personne possédant un compte Apple dans le monde », a déclaré Zach Campbell, chercheur principal sur la surveillance à Human Rights Watch. « Les gens comptent sur des communications sécurisées et confidentielles pour pouvoir exercer leurs droits. L’accès aux sauvegardes de l’appareil équivaut à l’accès à l’ensemble du téléphone, et un chiffrement puissant pour empêcher cet accès devrait être la norme par défaut. »  

Cet ordre émis par le gouvernement du Royaume-Uni, exigeant qu’Apple donne accès aux données chiffrées des utilisateurs est disproportionné, car il affaiblirait la protection des données pour tous les utilisateurs, et pas seulement pour ceux qui sont soupçonnés d’une infraction ou qui font l’objet d’une enquête. En se pliant à cet ordre, Apple porterait atteinte aux droits à la vie privée d’utilisateurs du monde entier.  

Selon la presse, le gouvernement du Royaume-Uni a ordonné à Apple d’intégrer une porte dérobée dans ses produits en vertu de l’Investigatory Powers Act (RIPA) [loi relative aux pouvoirs d’enquête], une loi de 2016 sur la surveillance qui comprend des dispositions permettant au gouvernement d’ordonner aux entreprises de supprimer la « protection électronique » des données des utilisateurs. Cette loi interdit également aux destinataires de ces ordres, en l’occurrence Apple, d’évoquer leur existence ou de les commenter. Ce nouvel ordre exige semble-t-il « une capacité générale de visualisation de contenus entièrement chiffrés » des utilisateurs d’Apple du monde entier, y compris ceux qui n’ont semble-t-il aucun lien avec le Royaume-Uni.  

Le chiffrement est un outil essentiel pour la défense des droits humains en ligne et hors ligne. Les défenseur·e·s des droits humains, les journalistes et tous les autres utilisateurs comptent sur la sécurité et la confidentialité de leurs appareils pour les protéger, non seulement contre l’espionnage gouvernemental illégal, mais aussi contre la cybercriminalité et d’autres attaques d’acteurs non étatiques. L’affaiblissement du chiffrement ou l’imposition de portes dérobées rendent l’ensemble des utilisateurs plus vulnérables. Les gouvernements devraient soutenir un chiffrement robuste, et les entreprises devraient l’intégrer par défaut dans leurs produits et services.  

Ces dernières années, nous avons été témoins de la multiplication de révélations sur l’espionnage gouvernemental s’appuyant sur des outils de surveillance tels que les logiciels espions et les outils d’investigation numérique, mais tirant également parti de régimes juridiques trop permissifs qui autorisent les États à accéder à d’énormes quantités de données personnelles provenant d’entreprises privées. 

Ces outils sont souvent utilisés de concert. Human Rights Watch et Amnistie internationale ont mis en évidence le coût élevé de cette surveillance pour les droits humains : la surveillance étatique menace le travail des défenseur·e·s des droits humains et des journalistes, met en danger les groupes marginalisés, notamment les femmes et les militant·e·s LGBT, et a un effet dissuasif à l’échelle de la société, compromettant le droit de chacun·e à s’exprimer et à protester pacifiquement. Ces outils exploitent les faiblesses du chiffrement et de la sécurité des appareils, et leur utilisation est rendue possible par le commerce insuffisamment réglementé des logiciels espions et d’autres outils de surveillance à l’échelle mondiale, ainsi que par la réticence des États à réglementer leurs propres pratiques de surveillance, invoquant trop souvent la « sécurité nationale » comme prétexte à un espionnage sans limites.  

En partie du fait de ces révélations, certaines entreprises, dont Apple, ont ajouté de nouvelles fonctions de sécurité pour aider à protéger les utilisateurs, notamment ceux qui peuvent être particulièrement exposés. Il s’agit notamment du mode « Isolement », qui offre une protection supplémentaire contre les logiciels espions et le piratage ciblé des appareils mobiles, ainsi que de la Protection avancée des données, visée par l’ordre semble-t-il émis par le gouvernement britannique.   

Forcer des entreprises à supprimer ou à affaiblir ces fonctions exposerait des utilisateurs du monde entier, notamment les journalistes, les défenseur·e·s des droits humains et d’autres voix critiques, à des risques accrus.  

Le Royaume-Uni est partie à plusieurs traités internationaux et régionaux qui consacrent le droit à la vie privée et à la protection des données. Le rôle essentiel du chiffrement en tant qu’instrument de protection de la vie privée et des droits humains a été largement reconnu, notamment par des organes des Nations unies, le Haut-Commissaire des Nations unies aux droits de l’homme et des experts des droits humains. L’Assemblée générale des Nations unies et le Conseil des droits de l’homme ont, dans plusieurs résolutions, appelé les États à s’abstenir de s’ingérer dans les technologies de chiffrement. Les résolutions de l’ONU encouragent par ailleurs les entreprises du secteur des technologies à sécuriser et protéger la confidentialité des communications et des transactions numériques, notamment par des mesures de cryptage, de pseudonymisation et d’anonymat.  

Un rapport de 2015 du rapporteur spécial des Nations unies sur la liberté d’expression a spécifiquement demandé aux gouvernements d’éviter toutes les mesures affaiblissant la sécurité des personnes en ligne, telles que les portes dérobées obligatoires. Exiger d’entreprises du secteur des technologies qu’elles intègrent des vulnérabilités dans des produits sécurisés nuit inévitablement et de manière disproportionnée à la sécurité de tous les utilisateurs de ces produits.  

Amnistie internationale et Human Rights Watch ont critiqué la Loi relative aux pouvoirs d’investigation (Investigatory Powers Act) dès sa création. Dans des éléments écrits présentés au comité mixte sur le projet de loi relatif aux pouvoirs d’enquête en 2016, Human Rights Watch avait recommandé que le Royaume-Uni se garde de fragiliser le chiffrement et la sécurité numérique. L’organisation avait spécifiquement estimé que le texte devrait être modifié de sorte que les autorités n’aient pas le droit d’imposer aux fournisseurs de services internet l’obligation d’affaiblir les mesures de sécurité ou de concevoir leurs systèmes afin qu’ils intègrent des mesures accordant aux autorités britanniques un accès exceptionnel au chiffrement.  

« Les États disposent d’outils juridiques et techniques de plus en plus puissants, et les recherches montrent qu’ils les utilisent pour cibler des personnes ayant protesté ou s’étant exprimées, voire simplement en raison de ce qu’elles représentent », a déclaré Joshua Franco, conseiller principal sur la recherche à Amnistie Tech. « Un chiffrement fort est l’une des rares protections dont nous disposons contre de telles attaques, et les États devraient encourager les entreprises à mieux protéger nos données et nos droits, au lieu de chercher des portes dérobées qui mettront en danger des personnes dans le monde entier. »