Le secret face au numérique

Le secret ne semble pas faire l'objet d'une définition légale commune. Il serait l'information « qui n'est connu[e] que d'un nombre limité de personnes »⁽¹⁾. Il se distinguerait du devoir comme de l'obligation de réserve⁽²⁾, de discrétion⁽³⁾ et de confidentialité⁽⁴⁾. Pour autant, il est visé par de nombreux textes officiels, se déclinant dans un large spectre de matières juridiques, avec des règles de protection et de dérogation assez strictes, élaborées pour certaines depuis le XV^e siècle. Leur violation est sanctionnée. Leur durée de vie est variable.

On y trouve aussi bien le secret des données personnelles⁽⁵⁾, le secret des correspondances⁽⁶⁾, le secret des affaires, le secret bancaire⁽⁷⁾, le secret d'État⁽⁸⁾, le secret des sources⁽⁹⁾, le secret de l'enquête et de l'instruction⁽¹⁰⁾, le secret du délibéré, le secret de l'avocat, le secret médical⁽¹¹⁾, le secret du vote⁽¹²⁾, le secret de la confession⁽¹³⁾...

Certains servent des intérêts publics, d'autres préservent des intérêts privés.

Dans certains cas, le dépositaire est tenu à un secret absolu opposable même au juge. Tel est le cas du médecin, de l'avocat et du prêtre qui « ne pourraient accomplir leur mission si les confidences qui leur sont faites n'étaient assurées d'un secret inviolable. Il importe donc à l'ordre social que ces confidences nécessaires soient astreintes à la discrétion, et que le silence leur soit imposé sans condition ni réserve, car personne n'oserait plus s'adresser à eux si on pouvait craindre la divulgation d'un secret confié. Ainsi, l'article 378 a pour but moins de protéger la confidence d'un particulier que de garantir un devoir professionnel indispensable à tous »⁽¹⁴⁾. Ce secret absolu est institué dans l'intérêt de la société, pour son bon fonctionnement. C'est pour cette raison que sa violation est pénalement sanctionnée en vertu de l'article 226-13 du Code pénal⁽¹⁵⁾.

Dans d'autres cas, le dépositaire est tenu à un secret professionnel « relatif », c'est-à-dire qu'il doit révéler ce qu'il sait lorsqu'il est interrogé par un juge. Il s'agit notamment des banquiers, des préposés des postes, des éducateurs...

Mais, dans tous les cas, le secret apparaît indiscutablement comme une composante essentielle de l'État de droit dans une société démocratique.

Le secret est désormais mis à l'épreuve de la société du numérique. Quels sont les défis auxquels il est confronté ?  (A). Comment peut-il être préservé dans l'environnement numérique ?  (B).

A. Les défis de la société du numérique

La société du numérique ouvre la faculté pour chacun, partout dans le monde, d'informer et d'accéder à l'information au moyen des nouvelles technologies de l'information et de la communication. Cette culture de la transparence (1) se double de moyens de surveillance des citoyens mis en œuvre par les États, officiellement pour assurer leur sécurité (2). Il faut également compter avec l'inflation des cyberattaques qui fragilisent, partout dans le monde, les entreprises et les institutions (3).

1. Une culture de la transparence

Les technologies, omniprésentes, offrent au citoyen les moyens d'une visibilité permanente. De manière ambivalente, alors que le secret a notamment pour vocation de le protéger, de le mettre à l'abri contre toute intrusion dans sa vie privée, voire professionnelle, le citoyen n'hésite pas à se « déshabiller numériquement », à ouvrir sa sphère d'intimité, en livrant des informations très personnelles. Il suffit de parcourir les réseaux sociaux pour constater que le citoyen qui s'insurge contre toute atteinte portée à sa vie privée, n'hésite pas de lui-même à partager, sans pudeur et en vrac, photos de famille et états d'âme !

L'avocat dont le secret professionnel est d'ordre public, général, et absolu⁽¹⁶⁾, quels que soient les supports matériels ou immatériels utilisés, n'échappe pas à cette tentation. Tel est le cas lorsqu'il commente son activité sur les réseaux sociaux ou qu'il livre certaines informations personnelles sur son fil professionnel. La ligne rouge peut être vite franchie, car même s'il ne dévoile pas le nom de ses clients ou ne communique pas des données nominatives sur un dossier ou sur son agenda, certaines fonctionnalités peuvent livrer des informations confidentielles. La géolocalisation, par exemple, souvent paramétrée par défaut, permet de suivre les déplacements de l'avocat, de situer l'endroit où il est, d'opérer des recoupements qui peuvent ainsi conduire à identifier une adresse, le nom d'une société, l'adresse du client⁽¹⁷⁾... et ainsi, à dévoiler tout ou partie d'un secret.

Parallèlement, l'avènement des nouvelles technologies a poussé à son paroxysme le désir du citoyen d'être pleinement informé, de pénétrer les coulisses de la connaissance. C'est ce qu'Edwy Plenel appelle « le droit de savoir ». Il considère en effet « qu'un journaliste fait son travail quand il apprend au public ce qui lui échappe, ce qu'on ne voudrait pas qu'il sache, ce qu'on lui dissimule ou qu'on lui cache, ce qui lui est méconnu ou inconnu, bref tout ce qui ne ressort pas de la communication d'où qu'elle vienne »⁽¹⁸⁾. La Cour de cassation a eu l'occasion de réaffirmer le principe de protection des sources journalistiques⁽¹⁹⁾. Quant à la Cour européenne des droits de l'homme, elle estime que c'est la nécessité d'informer le public qui rend le secret des sources légitime : « La protection des sources journalistiques est l'une des pierres angulaires de la liberté de la presse [...]. L'absence d'une telle protection pourrait dissuader les sources journalistiques d'aider la presse à informer le public sur des questions d'intérêt général »⁽²⁰⁾.

C'est également ce « droit de savoir » qui légitime le signalement du lanceur d'alerte dont la protection⁽²¹⁾ a été encore renforcée par la loi du 21 mars 2022⁽²²⁾, dite loi Waserman, entrée en vigueur le 1^er septembre 2022. Il bénéficie d'une double immunité : sa responsabilité ne peut être mise en cause ni sur le plan civil, au titre des dommages causés par son signalement ou divulgation, ni sur le plan pénal pour soustraction, détournement ou recel de documents, ou de tout support contenant les informations, objets de l'alerte.

2. La surveillance par les États

Le législateur, tant européen que national, considère parfois que certains secrets doivent céder le pas en présence des intérêts supérieurs de l'État, par exemple pour lutter contre le terrorisme et la criminalité organisée. Dans cet objectif, il a renforcé les pouvoirs et les moyens des autorités chargées d'enquête dans l'environnement numérique. Ainsi, le juge des libertés et de la détention (JLD), saisi par le procureur de la République par voie de requête, peut autoriser l'interception, l'enregistrement et la transcription de correspondances émises par la voie des communications électroniques selon certaines modalités⁽²³⁾.

Le déploiement de nouvelles techniques d'investigation, de captation des données inévitablement fragilise le secret, notamment la confidentialité des échanges entre l'avocat et son client. Pourtant, le Parlement européen, dans sa résolution du 12 mars 2014⁽²⁴⁾ « juge capital de protéger le secret professionnel des avocats [...] contre les activités de surveillance de masse ; souligne en particulier que toute incertitude concernant la confidentialité des communications entre les avocats et leurs clients pourrait avoir des incidences négatives sur le droit d'accès des citoyens de l'Union européenne à l'assistance juridique et à la justice, ainsi que le droit à un procès équitable ». Le Conseil consultatif des barreaux européens (CCBE) a exprimé, pour les mêmes raisons, de manière répétée depuis 2013 sa profonde préoccupation du fait que de telles pratiques compromettent non seulement la valeur essentielle de la profession d'avocat, mais aussi « le fonctionnement même de l'État de droit »⁽²⁵⁾.

Le sujet est d'autant plus préoccupant que les prestataires de services numériques (plateformes, fournisseurs d'accès, hébergeurs...) sont devenus au fil du temps les véritables gardiens des données des citoyens. Ces acteurs, incontournables, peuvent être soumis à des législations européennes et internationales qui leur imposent des obligations de divulgation des données sur demande des autorités nationales. Le US Patriot Act permet ainsi d'obtenir la communication d'informations dans le cadre d'enquêtes en matière de terrorisme ou d'espionnage international. C'est à ce titre d'ailleurs que les services de renseignement américains peuvent accéder aux données d'un compte gmail⁽²⁶⁾ ! Le risque n'est pas hypothétique puisqu'il suffit de consulter le rapport de transparence de Google pour constater que le célèbre moteur de recherche est régulièrement destinataire de demandes de données (data requests) de la part des autorités américaines !

Ce constat fait écho à l'affaire Snowden⁽²⁷⁾ qui, en 2013, avait provoqué un immense coup de tonnerre planétaire en dénonçant la collecte massive des données des grandes plateformes (Google, Facebook, Amazon...) par la National Security Agency (NSA) pour surveiller à grande échelle les communications mondiales. En 2014, c'est la Chine qui, à son tour, a été accusée par la justice américaine d'espionnage et de vol de secrets économiques. Au cours de l'été 2016, ce sont des piratages informatiques provenant de Russie, visant le Parlement et des entreprises de plusieurs secteurs sensibles qui ont été dénoncés par l'Allemagne. En 2016 également, lors d'une conférence devant un parterre d'élèves ingénieurs, Bernard Barbier, ancien directeur technique des services de renseignements français, a confirmé que les États-Unis avaient piraté les systèmes d'information de la présidence française à l'Élysée en 2012.

3. L'inflation des cyberattaques

On ne compte plus le nombre d'entreprises victimes de failles de sécurité relatives à des informations confidentielles : données bancaires ou données médicales qui sont vendues, détruites, altérées, divulguées publiquement...

Il faut également compter avec les conséquences souvent désastreuses de ces cyberattaques. Le cabinet new-yorkais Grubman Shire Meiselas & Sacks, victime d'une attaque de rançongiciel⁽²⁸⁾, a refusé de payer la rançon de 42 millions de dollars exigée par les hackers. Les données confidentielles de leurs clients ont été rendues publiques, à l'instar de celles concernant Lady Gaga, occasionnant un très lourd préjudice économique et « réputationnel » au cabinet. Dans l'affaire des Panama Papers, le cabinet d'avocats, victime de la fuite de 11,5 millions de documents provoquée par un lanceur d'alerte anonyme, n'a pas survécu et a dû cesser ses activités deux ans plus tard !

Les raisons sont multiples. Certes, il peut y avoir des motifs d'espionnage à l'initiative de concurrents ou de vengeance à l'initiative d'anciens salariés, partenaires ou prestataires... mais il s'agit aussi souvent d'actes de négligence ou d'imprudence : un dispositif de protection trop léger, l'utilisation sans encadrement d'objets connectés en lien avec les serveurs, le recours à des wifi publics non sécurisés, un manque de formation des collaborateurs aux règles essentielles de « l'hygiène informatique »... Quiconque disposant d'un ordinateur et de quelques connaissances en la matière peut infiltrer un écosystème mal protégé.

Les risques sont amplifiés par les nouveaux outils intrusifs qui facilitent, voire encouragent, l'interception et la collecte des informations à distance. Ils sont désormais accessibles à des acteurs privés, comme l'a démontré le scandale Pegasus. Ce logiciel permettrait, à partir d'un simple numéro de téléphone, d'accéder à toutes les données du titulaire du numéro du téléphone, ses courriels, ses photos, ses notes... Avec plus de 50 000 numéros de téléphone identifiés comme des cibles potentielles à surveiller - dont les téléphones du président de la République et de nombreuses hautes personnalités politiques - cette affaire démontre que même les secrets d'État ne sont pas à l'abri d'une intrusion.

B. Les exigences de la cybersécurité

Le dépositaire doit toujours répondre personnellement des violations du secret⁽²⁹⁾ qui seraient commises de son fait, par négligence ou imprudence. Il lui appartient donc d'anticiper et de prendre les mesures qui s'imposent. À ce titre, comme le précise le Règlement intérieur national de la profession d'avocat, ce dernier est tenu de faire respecter le secret non seulement par son équipe, mais encore par « toute personne qui coopère avec lui dans son activité professionnelle »⁽³⁰⁾.

Il existe des dispositions légales, tant au plan européen que national, pour préserver le secret, à charge pour le dépositaire de se conformer à certaines obligations. En effet, le défaut de sécurisation peut l'exposer à des sanctions pénales et administratives (1). Toutefois, plus généralement, le dépositaire est tenu à une obligation générale de cybersécurité qui doit le conduire à prendre des mesures qui relèvent le plus souvent du « cyber bon sens » (2).

1. Des contraintes légales et normatives de préservation du secret

La loi du 22 décembre 2021⁽³¹⁾, pour la confiance dans l'institution judiciaire, a ainsi opéré un rééquilibrage visant à renforcer le secret professionnel, en prévoyant qu'aucun accès aux données de connexion d'un avocat ne sera possible, sauf décision motivée d'un juge des libertés et de la détention (JLD) lorsqu'il existe contre l'avocat des raisons plausibles de le soupçonner d'avoir commis une infraction.

Précédemment, la loi du 30 juillet 2018⁽³²⁾, relative à la protection du secret des affaires, a transposé en droit français la directive 2016/943⁽³³⁾ sur la protection des savoir-faire et des informations commerciales non divulgués, dite directive secret des affaires. Ce dispositif vise à protéger les entreprises contre l'espionnage économique. Aussi, la lutte contre le pillage des données, des secrets de fabrique, du savoir-faire, des brevets... passe par le label de la compliance et la mise en œuvre de normes de sécurité.

Au plan européen, la directive 2022/2555⁽³⁴⁾ sur des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'Union, dite directive SRI 2 ou NIS 2, a été adoptée le 14 décembre 2022. Elle a vocation à renforcer le cadre qui avait été introduit par la directive 2016/1148⁽³⁵⁾, dite NIS 1, notamment les exigences relatives à la gestion des risques et des incidents ainsi que de la coopération européenne en la matière. Ainsi, en ayant pour objectif « d'harmoniser les exigences en matière de cybersécurité et la mise en œuvre des mesures de cybersécurité dans les différents États membres »⁽³⁶⁾, la directive participe à la protection de l'environnement numérique du secret, indissociable du secret en lui-même.

Depuis son entrée en vigueur, les exigences particulières du RGPD contribuent également à la protection des données confidentielles, et donc du secret. Il peut être obligatoire - à tout le moins utile - de désigner un Délégué à la protection des données (DPD souvent désigné DPO : Data Protection Officer) pour veiller au respect des mesures de sécurité en conformité avec le RGPD. Celui-ci peut également avoir pour mission de sensibiliser et de former les collaborateurs et le personnel administratif. Le réflexe « sécurité » s'apprend et exige un suivi constant.

Dans tous les cas, le responsable du traitement doit mettre en œuvre des mesures proportionnées à la sensibilité des données. Le RGPD impose ainsi des obligations de protection de l'environnement du secret et des données personnelles qu'il peut contenir : l'obligation de sécurisation des traitements, de limitation des durées de conservation, l'analyse d'impact, un droit à l'oubli qui permet le déréférencement... On notera que l'obligation d'information du responsable du traitement, lorsque les données personnelles n'ont pas été collectées auprès de la personne concernée⁽³⁷⁾, contient une dérogation en présence d'une obligation professionnelle. Pour illustrer les effets de cette exception pour la préservation du secret, le G29 cite dans le cadre de ses lignes directrices sur la transparence au sens du RGPD l'exemple suivant : « Un médecin (responsable du traitement) est tenu au secret professionnel à l'égard des informations médicales de ses patients. Un patient (auquel le respect du secret professionnel s'applique) communique au médecin des informations sur sa santé concernant une maladie génétique dont certains de ses proches sont atteints. Le patient fournit également au médecin certaines données à caractère personnel sur ses proches (personnes concernées), qui sont atteints de cette même maladie. Le médecin n'est pas tenu de fournir aux proches les informations visées à l'article 14 puisque la dérogation prévue à l'article 14, paragraphe 5, point d), s'applique. Si le médecin communiquait les informations prévues à l'article 14 aux proches, cela constituerait une violation du secret professionnel vis-à-vis de son patient »⁽³⁸⁾.

Parfois, de manière paradoxale, certaines obligations de transparence imposées par le législateur ont pour objectif en fait de renforcer la protection du secret. Tel est le cas pour la loi du 3 mars 2022⁽³⁹⁾, instaurant le cyberscore, qui prévoit des obligations de transparence à la charge des plateformes, des opérateurs de messagerie et des solutions de visioconférence. Celles-ci ont pour objectif de mettre les internautes en mesure de choisir les solutions numériques les plus fiables et sécurisées et de mettre en exergue les failles de sécurité afin de mieux lutter contre le risque de violation des données. À titre d'illustration, lors des confinements successifs de la pandémie de la Covid, nombre d'internautes se sont tournés vers des outils de visioconférence sans se soucier des risques liés à la confidentialité de leurs échanges. Or, l'utilisation de plateformes non sécurisées expose à de nombreux risques cybers, tels que le vol de données, l'enregistrement des conversations ou l'espionnage. En rendant l'information publique, les plateformes concernées ont été contraintes de renforcer leur sécurité, ne serait-ce que pour rester compétitives sur le marché.

Dans la même logique, les conditions d'intervention des administrateurs réseau doivent être portées à la connaissance des employés et des institutions représentatives du personnel (IRP) au titre de l'obligation de transparence à la charge de l'employeur⁽⁴⁰⁾. On rappellera que leur mission consiste à s'assurer du fonctionnement normal et de la sécurité des réseaux et systèmes au sein de l'entreprise, ce qui peut les conduire à avoir accès à des informations relatives aux utilisateurs (messagerie, données de connexion à internet, fichiers-logs...)⁽⁴¹⁾. Ils ont ainsi les moyens d'intervenir à distance sur les postes de travail, par exemple pour assurer la télémaintenance des logiciels. Leurs interventions doivent être limitées au bon fonctionnement des applications et strictement encadrées : information préalable de l'utilisateur et intervention avec son accord préalable, au besoin par courriel ou en tenant un registre de leurs interventions⁽⁴²⁾. Ils ne doivent en aucun cas exploiter, volontairement ou sur ordre de leur hiérarchie, le contenu de la messagerie des salariés qui reste soumis au secret des correspondances.

2. Des mesures préventives de « cyber bon sens »⁽⁴³⁾

Il est de la responsabilité du dépositaire du secret d'anticiper et de circonscrire le risque des attaques qui peuvent survenir à tout moment.

Il existe de nombreux guides pour instaurer les bonnes pratiques et les mesures de précaution standard, parmi lesquels ceux de l'ANSSI⁽⁴⁴⁾ ou encore de la CNIL⁽⁴⁵⁾. Les mesures à mettre en place, certes contraignantes, sont indispensables pour préserver la confidentialité et le secret : gérer strictement les accès aux serveurs et attribuer des niveaux d'habilitation en fonction des besoins réels des utilisateurs, supprimer les comptes des anciens collaborateurs, effectuer les mises à jour des logiciels de sécurité (même si cela oblige à redémarrer l'ordinateur !), disposer d'une politique de mots de passe robuste (imposer un nombre et une typologie de caractères, imposer une modification régulière des mots de passe, refuser leur communication à toute autre personne que son titulaire, etc.), prévoir des moyens de chiffrement... Autant de précautions basiques qui sont encore trop peu souvent mises en application.

De même, prendre des renseignements sur le prestataire informatique pressenti, sur les normes de sécurité qu'il propose, lui faire signer un engagement de confidentialité, encadrer les conditions d'intervention des services d'assistance (conditions d'accès à distance ou accès aux locaux), interdire toute sous-traitance sans accord préalable... sont autant de précautions indispensables pour prévenir les risques d'intrusion ou d'altération des données.

Il convient également d'envisager la sécurisation des nouveaux modes de travail, tels que l'utilisation des outils de vidéoconférence ou encore la pratique du télétravail, qui se sont largement développés depuis la crise sanitaire ! De ce fait, les structures sont de plus en plus exposées au risque d'incidents de sécurité, notamment du fait de l'utilisation des outils « BYOD » (bring your own device), ces outils « privés » (ordinateurs, smartphones...).

Enfin, certaines mesures basiques sont souvent négligées. Il s'agit notamment de prêter attention aux outils de traitement de texte qui permettent d'inscrire des « mark-up » souvent particulièrement révélateurs des orientations du travail du dépositaire du secret, et ainsi de potentiellement reconstituer des échanges couverts par le secret. Ou encore, la revente des ordinateurs ou serveurs professionnels est également un exemple courant en termes d'incident de sécurité : la suppression (et non le simple effacement !) des contenus des disques durs est primordiale pour empêcher la récupération d'informations couvertes par le secret. Encore en 2022, la presse s'est fait l'écho d'une affaire impliquant une mairie de France qui avait cédé des disques durs contenant des données confidentielles⁽⁴⁶⁾ !

* * *

Face au numérique, le secret ne change pas. Il demeure une garantie fondamentale pour le citoyen dans un État démocratique.

Ce qui change, c'est que le secret n'est plus dissociable de son enveloppe numérique, à charge pour le dépositaire de prendre les mesures de cybersécurité garantissant une protection effective !