Quand la «confidentialité suisse» tombe dans les filets de la surveillance

Keystone / Yoan Valat

La société ProtonMail, installée à Genève, fournisseuse de services de messagerie électronique anonymes et sécurisés au nom de la «confidentialité suisse», a joué un rôle dans l'arrestation d'un militant français pour le climat. Elle doit maintenant faire face à des critiques sur le web. Mais la loi suisse ne lui a pas laissé le choix.

Le service de messagerie électronique cryptée ProtonMail est sous le feu des critiques. Un rapport de policeLien externe circulant sur les médias sociaux a révélé que la société a partagé l’adresse IP de l’un de ses utilisateurs dans le cadre d’une enquête française qui a conduit à l’arrestation de militants pour le climat.

ProtonMailLien externe est une entreprise suisse fondée en 2013 à l’initiative d’un groupe de scientifiques du CERN à Genève et du Massachusetts Institute of Technology MIT. Dès le départ, la société a mis l’accent sur la confidentialité et la sécurité de ses utilisateurs, en s’appuyant sur des arguments tels que la «confidentialité suisseLien externe», la rigueur des lois suisses en matière de confidentialité et de protection des «libertés civiles en ligne» pour promouvoir son service. ProtonMail a également garanti qu’elle ne stockerait, «par défaut», aucune adresse IP pouvant être liée aux comptes de messagerie des utilisateurs.

Cependant, sous la pression des autorités suisses, la société a été contrainte de fournir des données qui ont permis d’identifier l’un de ses utilisateurs et militant du mouvement «Youth for ClimateLien externe» recherché en France. Inspiré par les «Fridays for Future» de Greta Thunberg, le groupe écologiste lutte également contre la gentrification et la spéculation immobilière et a mis en place des actions telles que le «camp climat» dans un quartier de Paris. L’affaire concerne notamment l’occupation de locaux commerciaux et d’appartements près de la place Sainte Marthe, au cœur de la capital française.

Andy Yen, PDG de ProtonMail, a publié un messageLien externe soulignant que l’entreprise soutient les causes des militants qui utilisent son service, mais qu’elle ne peut le faire en enfreignant les lois suisses et en ignorant les décisions de justice. ProtonMail a en effet dû se conformer à une décision de justice suisse, après que la police française a demandé la collaboration de la Confédération par l’intermédiaire d’Europol, en recourant à l’entraide judiciaire internationale.

Pas de confidentialité sur Internet

Malgré cela, la société genevoise a été critiquée pour son manque de transparence et de clarté dans la promotion d’un service qui promet principalement l’anonymat et le respect de la vie privée de ses utilisateurs. Selon le rapport sur la transparenceLien externe de ProtonMail, l’enregistrement des adresses IP n’est autorisé que dans des «cas criminels extrêmes». Dans le même temps, la société déclarait qu’«aucune information n’est requise pour créer votre compte de messagerie sécurisé» – une phrase qui a ensuite été retirée de sa politique de confidentialitéLien externe. Andy Yen a répondu aux allégations en rappelant qu’Internet n’est pas anonyme. Il a aussi déploré l’utilisation d’outils juridiques pour des crimes graves dans une affaire comme celle-ci. Toutefois, le directeur général a souligné qu’«il n’y avait aucune possibilité de faire appel de cette demande particulière».

Mais que prévoit la loi suisse? Selon le juriste suisse François Charlet, spécialiste du droit technologique, de la criminalité et de la sécurité, les infractions pénales imputées au citoyen français poursuivi étaient graves et la coopération avec la France était donc justifiée, comme le prévoit la loi fédérale sur l’entraide internationale en matière pénale (EIMPLien externe). En outre, les fournisseurs de services de télécommunication sont soumis à des obligations légales dans le cas d’enquêtes impliquant la surveillance de la correspondanceLien externe.

L’activiste qui se cachait derrière l’adresse électronique était poursuivi pour violation de domicile, vol et dommages à la propriété, ces deux dernières infractions permettant la surveillance, écrit François CharletLien externe. Contacté par SWI swissinfo.ch, le Préposé fédéral à la protection des données et à la transparence (PFPDT) a également confirmé la légitimité de l’action en justice des autorités suisses, conformément à la loi sur la protection des données. «Il apparaît que la divulgation a été faite conformément aux exigences légales», a écrit le PFPDT.

ProtonMail n’a donc eu d’autre choix que de coopérer. Mais peut-on dire que la société a «trompé» ses utilisateurs? Non, selon François Charlet. «On peut peut-être lui reprocher une communication peu claire», dit-il, mais «le fait qu’une société, en Suisse, indique voire promette de ne conserver aucune information ne signifie pas qu’elle peut se soustraire à des demandes spécifiques et justifiées des autorités suisses». L’affaire ProtonMail est-elle une autre «non-affaire» alimentée par les médias sociaux? Ou peut-être le marketing utilisant la «confidentialité suisse» est-il une arme à double tranchant? «Il y a des lois pires que la loi suisse», peut-on désormais lire sur le blog de d’Andy Yen. Certainement pas une phrase à utiliser comme slogan publicitaire.

Traduit de l’italien par Emilie RIdard