Le 14 août, le Conseil constitutionnel a censuré l’interdiction des réseaux sociaux aux moins de 15 ans. L’objectif, protéger les plus jeunes, n’était pas en cause : le Conseil l’a jugé légitime. Ce qui n’a pas tenu, c’est la mesure elle-même. Une interdiction de portée générale, appliquée sans considération de la situation de chaque mineur (âge, maturité, choix des parents) ni des risques propres à chaque service, et qui obligeait chacun à prouver son âge sans que la loi encadre cette vérification. En droit, une atteinte à une liberté doit être nécessaire, adaptée et proportionnée à l’objectif poursuivi. Celle-ci ne l’était pas. Cette question de la nécessité et de la proportionnalité se pose pour toute règle qui limite une liberté. Elle s’analyse avec méthode : quel besoin, quelle efficacité, quelles alternatives moins intrusives, quelles garanties, et au bout du compte, est-ce que le bénéfice justifie l’atteinte. @EstelleDeMarco, docteure en droit, spécialiste de la protection des données et de la vie privée, a conçu une grille d’analyse qui organise ce test étape par étape. Elle la met à disposition sous licence CC BY 4.0 (chacun peut l’utiliser, la diffuser et l’adapter, à la seule condition de citer son auteure et de signaler les modifications), et l’Institut National de Bitcoin en publie aujourd’hui le mode d’emploi, avec le protocole que nous suivrons pour l’appliquer sur des cas concrets. La note qui explique la méthode : inbi.fr/analyser-necessite-p… La grille d’Estelle De Marco (classeur, CC BY 4.0) : inbi.fr/wp-content/uploads/2… Merci à Estelle De Marco pour l’outil et pour sa relecture.

Le 14 août, le Conseil constitutionnel a censuré l’interdiction des réseaux sociaux aux moins de 15 ans. L’objectif, protéger les plus jeunes, n’était pas en cause : le Conseil l’a jugé légitime. Ce qui n’a pas tenu, c’est la mesure elle-même. Une interdiction de portée générale, appliquée sans considération de la situation de chaque mineur (âge, maturité, choix des parents) ni des risques propres à chaque service, et qui obligeait chacun à prouver son âge sans que la loi encadre cette vérification. En droit, une atteinte à une liberté doit être nécessaire, adaptée et proportionnée à l’objectif poursuivi. Celle-ci ne l’était pas. Cette question de la nécessité et de la proportionnalité se pose pour toute règle qui limite une liberté. Elle s’analyse avec méthode : quel besoin, quelle efficacité, quelles alternatives moins intrusives, quelles garanties, et au bout du compte, est-ce que le bénéfice justifie l’atteinte. @EstelleDeMarco, docteure en droit, spécialiste de la protection des données et de la vie privée, a conçu une grille d’analyse qui organise ce test étape par étape. Elle la met à disposition sous licence CC BY 4.0 (chacun peut l’utiliser, la diffuser et l’adapter, à la seule condition de citer son auteure et de signaler les modifications), et l’Institut National de Bitcoin en publie aujourd’hui le mode d’emploi, avec le protocole que nous suivrons pour l’appliquer sur des cas concrets. La note qui explique la méthode : inbi.fr/analyser-necessite-p… La grille d’Estelle De Marco (classeur, CC BY 4.0) : inbi.fr/wp-content/uploads/2… Merci à Estelle De Marco pour l’outil et pour sa relecture.

🚨 Deux salles, deux ambiances. À New York, une commissaire de la SEC brise le tabou du KYC : son coût "semble écraser son efficacité". À Bruxelles, on négocie aujourd'hui le scan de nos messages privés. Hester Peirce siège pour quelques jours encore à la SEC, le gendarme boursier américain. Le 23 septembre, devant le lobby des banques et courtiers de Wall Street, elle s'en est prise au KYC, ces obligations de "connaissance client" qui font de chaque banque un auxiliaire de surveillance. "Nous construisons des bottes de foin de données toujours plus grosses, en pariant qu'on y trouvera une aiguille ou deux. Mais plus la botte grossit, plus les aiguilles sont difficiles à trouver", a-t-elle résumé. Selon elle, l'approche actuelle "ne fonctionne pas particulièrement bien". Elle a même ironisé sur les régulateurs, aussi obsédés par le "data go up" que certains fans de crypto par le "number go up". Chaque donnée de plus, a-t-elle rappelé, augmente le risque qu'elle soit mal utilisée, par accident ou à dessein. Mi-septembre, Revolut a remis des copies de passeports de clients à un escroc qui écrivait depuis une adresse e-mail officielle d'une administration. En mai 2024, j'écrivais que le KYC avait été "érigé en religion malgré l'absence de résultats probants". J'avoue un certain plaisir à retrouver ce constat au pupitre de la SEC, devant ceux qui remplissent les formulaires. L'Europe, elle, applique la même logique à nos messages privés. En mars, le Parlement européen avait refusé de prolonger Chat Control 1.0. Ce texte autorise les plateformes à scanner nos messages non chiffrés, par dérogation à la directive ePrivacy, celle-là même qui oblige les sites à nous demander la permission avant de déposer des cookies. Le 9 juillet, 314 eurodéputés ont de nouveau voté pour le rejeter, contre 276. Cependant, il en fallait 360 à ce stade de la procédure, lors de la dernière session avant l'été. Le 23 juillet, tous les gouvernements l'ont approuvé, sauf la Hongrie (contre) et la Belgique (abstention). La France a voté pour. Le round qui s'ouvre aujourd'hui, le sixième, porte sur Chat Control 2.0, la version permanente. Les citoyens disent à chaque fois qu'ils ne veulent pas être surveillés, que c'est contraire aux libertés fondamentales, à la démocratie, à l'Etat de Droit. Dès 2022, les CNIL européennes jugeaient que le texte pouvait présenter "plus de risques pour les individus [...] que pour les criminels". Peu importe, la Commission et les gouvernements s'entêtent : on reposera la question jusqu'à ce que la surveillance de masse soit entérinée. Côté pédocriminalité en ligne, la botte de foin existe déjà. En 2024, l'Office mineurs a reçu 170 000 signalements, à 97 % issus de la détection des plateformes, et en a tiré 270 enquêtes. Son chef dit avoir parfois le sentiment de "vider la mer avec une petite cuillère". Deux salles, deux ambiances donc. Osera-t-on en Europe questionner aussi ce dogme de la surveillance à temps ?