Le plus grand risque : espionnage privé ou public

La crainte de la collecte de métadonnées par la NSA réside autant dans le potentiel d'un gouvernement Big Brother que dans le présent ou, comme le dit Edward Snowden, d'une « tyrannie clé en main » prête à fonctionner, mais les abus du secteur privé sont une autre inquiétude, a déclaré l'ancien analyste de la CIA Paul R. Pilier écrit.

Par Paul R. Pillar

La collecte et la conservation d'énormes fichiers d'informations sur nos communications, nos mouvements, nos recherches en ligne et bien d'autres choses sur nos vies individuelles sont, comme le note Laura Bate, ce qui est loin d’être une initiative de la National Security Agency ou de toute autre branche du gouvernement. La majeure partie de la collecte et de l’exploitation des réserves de données sur les activités des Américains individuels se fait dans le secteur privé.

Alors pourquoi devrait-on tant s’agiter sur ce qu’une agence gouvernementale peut faire dans ce sens, alors que l’on est serein quant à l’ampleur bien plus importante de ce type d’activité de la part d’entreprises non gouvernementales ? Y a-t-il quelque chose de intrinsèque au gouvernement qui devrait nous inquiéter davantage face à une telle exploration de données ? Examinons les bases possibles pour conclure à cette possibilité.

La base potentiellement la plus solide est liée à la présence ou à l’absence d’un marché libre et, par conséquent, au caractère volontaire ou non de l’activité des individus sur lesquels les données sont collectées. Lorsque j'utilise un moteur de recherche sur Internet, j'utilise volontairement un service gratuit en échange d'être exposé à certaines publicités et de permettre à l'opérateur du moteur de recherche ou à mon fournisseur de services Internet de collecter et d'exploiter des données sur mes intérêts.

La plupart des interactions avec les agences gouvernementales et notamment les agences de sécurité n’impliquent pas autant de volontarisme. Il est donc peut-être logique d’être plus perspicace pour cette raison sur ce que font les entités gouvernementales.

Cela a du sens dans la mesure où cela va. Mais dans la pratique, la logique se heurte rapidement à l’erreur consistant à assimiler le secteur privé au libre marché et au libre arbitre. Si je veux un service téléphonique fixe chez moi (et je le fais vraiment), je suis coincé avec Verizon. Je suis obligé de laisser Verizon collecter des enregistrements complets de mes appels, les « métadonnées » dont nous avons tant entendu parler.

Et bien sûr, si quelqu'un chez Verizon voulait écouter le contenu de mes appels, cela pourrait également être fait, même s'il s'agit d'une entreprise réputée et je serais surpris si cela se produisait. Le fait est qu’il y a beaucoup moins de libre arbitre et de libre choix dans les activités de génération de données du secteur privé que nous aimerions le penser, et dans de nombreux cas, peu ou pas plus de libre choix que lorsqu’une agence gouvernementale est impliquée.

Cela est vrai non seulement pour les monopoles de services publics locaux tels que les systèmes téléphoniques terrestres, mais aussi pour une grande partie d’autres services à l’ère d’Internet. Certains de ces services, y compris l’accès en ligne lui-même, sont rapidement passés du statut d’innovation astucieuse à celui de nécessité.

Et encore une fois, le libre choix est souvent bien inférieur à ce que nous souhaiterions. Ce fait a été reconnu par l'action antitrust contre Microsoft, qui utilisait sa position dominante dans le domaine des systèmes d'exploitation pour conquérir une plus grande part du marché des navigateurs et d'autres applications.

Lorsqu'il y a suffisamment de concurrence sur le marché pour que les utilisateurs puissent théoriquement voter avec leurs pieds ou avec leurs doigts sur le clavier, s'ils s'inquiètent de ce qui est fait avec les données collectées les concernant, en pratique, tout mécanisme de correction du marché serait très lent et maladroit. .

Imaginez qu'un employé malhonnête de Google commence à utiliser des informations sur des recherches embarrassantes sur le Web pour ruiner la réputation de certaines personnes qu'il cherchait à attraper. Si ce genre d'abus se produisait suffisamment de fois, alors peut-être qu'un nombre important d'utilisateurs abandonneraient le moteur de recherche merveilleusement efficace de Google au profit de Bing ou autre chose, et Google deviendrait moins en mesure de vendre autant de publicité qu'aujourd'hui. Mais le processus correctif serait lent et délicat, et entre-temps, la réputation d’un certain nombre de personnes serait ruinée.

Une autre base possible pour distinguer la collecte de données dans les secteurs public et privé est de se demander quels contrôles s'appliquent à chacun. Ici, il y a en effet une grande différence, et la différence va dans le sens où les contrôles et les contrôles sont bien plus nombreux dans les agences gouvernementales que dans les entreprises du secteur privé.

Pour les agences de sécurité, il y a toute la structure juridique, datant des années 1970 et renforcée depuis lors, de restrictions et de contrôle du Congrès. Il n’existe rien qui ressemble de loin à ce type de contrôles externes pour l’exploration de données dans le secteur privé.

Ensuite, il y a tous les contrôles internes qui, comme Bate le mentionne dans le cas de la NSA, sont étendus. Il s'agit notamment du compartimentage des informations, une seconde nature pour les agences de sécurité, qui utilisent le compartimentage pour protéger les informations sensibles de sécurité nationale même s'il n'y a aucun problème de vie privée des citoyens américains.

La haute direction de la NSA déclare publiquement que seules 22 personnes de leur agence sont en mesure d'interroger les métadonnées téléphoniques qui nous préoccupent. Combien de personnes chez Verizon peuvent faire quelque chose avec l'enregistrement complet de mes appels téléphoniques ? Je n’en ai pas la moindre idée, et probablement personne d’autre en dehors de Verizon non plus.

Une autre question à se poser est de savoir dans quelle mesure les secteurs public et privé peuvent différer en ce qui concerne le potentiel d'abus, en termes non seulement d'accès et de capacité, mais également d'incitations. Pour la plupart des types imaginables de maltraitance individuelle, il n’y a aucune raison de s’attendre à ce que les incitations à la maltraitance individuelle apparaissent davantage dans un type d’organisation que dans l’autre.

Un agresseur potentiel qui envisage, par exemple, de consulter le relevé d'appels d'un ex-conjoint peut apparaître dans le secteur public ou privé. Les mesures de dissuasion à l'égard de ce type d'abus sont probablement plus fortes dans les agences de sécurité, étant donné le régime régulier de réenquête auquel se soumettent les personnes disposant d'habilitations de sécurité.

Quant aux incitations plus institutionnelles qu’individuelles, il existe d’autres différences. À titre d’exemple d’utilisation erronée et destructrice de l’exploration de données, pensons à une personne innocente inscrite sur une liste d’interdiction de vol et, par conséquent, dont son entreprise est endommagée en raison de son incapacité à voler.

Les agences gouvernementales n’ont aucune motivation imaginable pour que cela se produise. Pour eux, les faux positifs ne font qu’ajouter au désordre et rendre plus difficile l’accomplissement de la mission qui leur est assignée, comme empêcher les vrais terroristes d’accéder aux avions. Et lorsqu’une erreur de ce genre se produit et devient publique, comme par exemple inscrire Ted Kennedy sur une liste d’interdiction de vol, cela devient embarrassant pour les agences responsables.

Toutefois, dans le secteur privé, des intérêts commerciaux et financiers sont toujours en jeu. Ces intérêts peuvent très bien inciter, par exemple des concurrents dans le même secteur d’activité, à nuire aux affaires de quelqu’un d’autre.

En plus de tous ces critères, il convient également de se demander quel bénéfice ou quel plus grand bien bénéficiera à la personne sur laquelle les données sont collectées, ainsi qu'à d'autres personnes. En d’autres termes, qu’est-ce qui est acheté en échange des risques ou des intrusions impliqués dans la collecte de données ?

Avec le type d’exploration de données pratiqué par la NSA, le bénéfice présumé réside dans une meilleure protection contre les terroristes, ou peut-être dans d’autres contributions à la sécurité nationale. Bien sûr, il y a eu un débat sur la part exacte de ce type d’avantages qui est obtenue, mais au moins l’objectif est un objectif que la plupart des Américains considéreraient comme important.

La réponse correspondante à l’utilisation du Big Data par le secteur privé est plus difficile à trouver. Il semblerait qu'il s'agisse d'une meilleure adaptation des publicités qui apparaissent sur l'écran de l'ordinateur de l'utilisateur, ce qui pourrait rationaliser les achats en ligne. Sympa, peut-être, mais loin d’être dans la même catégorie que la sécurité nationale.

Deux conclusions générales suivent. La première est qu’il existe des raisons bien plus fortes de s’inquiéter de la collecte et de l’utilisation des mégadonnées dans le secteur privé que dans les agences gouvernementales.

L’autre est que la consternation du public à l’égard de ce sujet, qui se concentre néanmoins sur les agences gouvernementales, indique que cette consternation n’est pas motivée par un examen attentif des risques, des coûts, des avantages, des incitations et des choix. Au lieu de cela, elle est motivée par une image grossière des agences gouvernementales, et en particulier de certains types d’agences gouvernementales, comme des Big Brothers dignes de suspicion, voire de haine.

Les sentiments à l’égard des entreprises du secteur privé varient, mais le plus grand contraste avec l’image du gouvernement est celui des titans de la Silicon Valley et des entreprises qu’ils dirigent, qui ont le statut de héros.

La grossièreté qui anime ces sentiments est l’une des principales raisons (l’incohérence au fil du temps dans ce que le public américain attend des agences gouvernementales impliquées est une autre raison importante) pour laquelle nous ne devrions pas être surpris si Le moral dans un endroit comme la NSA est bas.

Paul R. Pillar, au cours de ses 28 années à la Central Intelligence Agency, est devenu l'un des meilleurs analystes de l'agence. Il est aujourd'hui professeur invité à l'Université de Georgetown pour les études de sécurité. (Cet article est paru pour la première fois sous un blog sur le site Web de National Interest. Reproduit avec la permission de l'auteur.)