Big brother a de l'avenir

Au premier regard, InvestigUser ressemble à toutes les plateformes d’Osint – pour « open source intelligence » – du secteur, dont la technique repose sur un principe simple : obtenir, par des moyens techniques plus ou moins perfectionnés, des informations accessibles en ligne. Utilisée par des journalistes d’investigation, des spécialistes de l’intelligence économique ou des citoyens lambda, cette méthode fait aujourd’hui partie de la boîte à outils des enquêteurs de police et de gendarmerie.

À Sainte-Soline (Deux-Sèvres), les enquêteurs ont utilisé l’Osint et les photos Instagram d’un militant pour caractériser sa présence sur place. Comme le révélait Mediapart, les enquêteurs de la police judiciaire de Paris ont usé des mêmes méthodes pour pister pendant plusieurs mois Rima Hassan. « Le problème, ce n’est pas que les policiers utilisent de l’Osint, mais que cela soit fait sans aucun contrôle et que ce soit accessible à toutes celles et ceux qui travaillent pour l’État », pointe un fonctionnaire qui a préféré garder l’anonymat.

Car InvestigUser n’est pas une plateforme comme les autres. Créé par un agent de la Direction générale de la sécurité intérieure (DGSI), le projet n’a pas été validé officiellement par l’État. Pourtant, comme nous l’ont confirmé plusieurs sources, il est bien utilisé par des centaines d’agents et d’agentes du ministère de l’Intérieur, ainsi que par des fonctionnaires d’autres ministères. La version la plus avancée du site, payante, est disponible gratuitement pour tous les internautes disposants d’une adresse prouvant le rattachement à un service officiel de l’État français finissant par «. gouv ».

Avec cet outil, pas de procès-verbal, et pas de traces

Ce statut « permet un accès illimité, détaille un message de l’administrateur de la plateforme auquel nous avons eu accès, mais l’adresse mail rentrée pour la vérification du statut n’est pas associée au compte et est définitivement supprimée de la boîte mail ayant servi à la vérification ».

Ainsi, n’importe quel fonctionnaire peut enquêter sur qui il veut, pour une raison en lien avec ses missions, ou non, la plateforme n‘en gardera aucune trace. « On peut comprendre que la police ait rapidement recours à l’Osint dans le cadre d’une enquête, explique Noémie Levain, juriste à La Quadrature du Net. Mais cela est censé être fait dans le cadre d’une enquête, avec un procès-verbal. Là, on est dans une forme d’escalade, sans contrôle, où les agents peuvent faire ce qu’ils veulent. »

Sur le même thème

À la CAF, la lutte contre la fraude sociale est-elle un prétexte pour ficher massivement les allocataires pauvres ?

 

Au sein des ministères, la situation inquiète. Plusieurs sources nous ont confirmé que la Direction interministérielle du numérique (Dinum) a alerté il y a quelques mois la Place Beauvau sur les zones d’ombre entourant ce projet. Sans résultat. L’inquiétude est d’autant plus légitime que cet outil est directement promu sur les réseaux de l’État par le biais d’un canal dédié de l’application Tchap, la messagerie interne du service public, canal qui réunit plusieurs centaines de fonctionnaires.

« Il n’existe aucun cadre légal spécifique pour l’Osint dans le cadre d’une enquête judiciaire ou d’une activité de renseignement, reprend Noémie Levain, ce qui favorise l’utilisation sans contrôle. Mais le droit commun, notamment le RGPD, s’applique aussi à ces pratiques. » Faciliter les recherches par mail, vérifier si le propriétaire d’un numéro de téléphone possède un compte WhatsApp ou encore rechercher, sur des dizaines de moteurs de recherche différents, des informations sur une personne : une grande partie des techniques d’enquêtes facilitées par InvestigUser sont parfaitement légales.

L’analyse approfondie de la documentation utilisateur de la plateforme révèle cependant des usages qui interrogent. « Elle permet notamment de savoir à quel opérateur se rattache un numéro de téléphone, s’insurge Noémie Levain. Je vois mal comment cela est possible sans avoir recours à des méthodes de barbouzes en demandant des informations aux opérateurs. »

L’utilisation des fuites de données, une pratique illégale mais tolérée

Autre point sensible : la question des fuites de données. Si tout le monde peut consulter des informations disponibles, l’utilisation ou la possession de données volées correspond à du recel et est explicitement interdite par le droit. « Beaucoup de logiciels sur le marché proposent d’accéder à ces leaks, pointe une spécialiste du secteur. Il y a une forme de tolérance, dans la communauté Osint, par rapport à ce genre de pratiques. » InvestigUser ne fait pas exception à la règle et permet, à partir d’une adresse mail, de savoir si des données ont été piratées.

« Seules les informations sur le fait que certaines données sont disponibles via des leaks sont présentes, sans pour autant vous les afficher, précise la documentation technique du site. Le statut légal français concernant la possession et l’affichage des leaks est assez clair. Il s’agit pour autant de données accessibles en source ouverte, et il paraît intéressant de ne pas fermer les yeux sur leur présence. Néanmoins, il est de votre responsabilité d’y accéder par vous-même par la suite. » Contactés, ni le ministère de l’intérieur, ni la Dinum, ni l’administrateur de la plateforme n’ont souhaité répondre aux questions de l’Humanité.