Droits

Chiffrer un message, c'est cacheter une enveloppe. Personne, en chemin, ne peut lire la lettre. Tout le monde, en chemin, peut encore lire l'adresse, l'expéditeur, le cachet de la poste, la date et l'épaisseur du pli. Cette couche extérieure, ce sont les métadonnées, et ce n'est pas une donnée de second rang. C'est une donnée d'une autre nature, et à certains égards plus révélatrice.

La réponse juridique, et pourquoi elle surprend

Savoir si elles comptent comme données personnelles a une réponse juridique, pas seulement philosophique. L'**article 4(1) du RGPD** définit la donnée personnelle comme *« toute information se rapportant à une personne physique identifiée ou identifiable »*, et précise qu'une personne est identifiable *« directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne »*. Les données de localisation et les identifiants en ligne sont nommés **explicitement**. Les métadonnées ne sont donc pas exemptées par nature : ce sont des données personnelles dès qu'elles peuvent être rattachées à quelqu'un, ce qui est le cas la plupart du temps.

L'enjeu tient à ce que les métadonnées résistent à l'intuition qu'on en a. Un contenu paraît sensible parce qu'on peut le lire. Les métadonnées paraissent inoffensives parce que ce ne sont que des numéros et des horodatages. La recherche dit le contraire.

Ce que 546 téléphones ont livré sans un seul message

Les chercheurs de Stanford **Jonathan Mayer et Patrick Mutchler**, avec **John C. Mitchell**, ont mené une étude au moyen d'une application nommée **MetaPhone**, collectant les métadonnées d'appels de **546 volontaires** à partir de **novembre 2013**. Sans aucun contenu de message, et en s'appuyant sur des sources publiques pour identifier les numéros appelés, ils sont parvenus à déduire des pathologies, la possession d'armes à feu et l'affiliation religieuse.

• Métadonnées - les données sur vos communications, pas leur contenu : qui, quand, combien de temps, d'où
• L'article 4(1) du RGPD nomme explicitement « données de localisation » et « identifiant en ligne » parmi les identifiants
• Étude MetaPhone de Stanford : 546 volontaires, pathologies et affiliation religieuse déduites des seuls relevés d'appels
• Structurées et lisibles par une machine, les métadonnées passent à l'échelle de millions de personnes
• Le chiffrement protège le contenu, pas la trace qu'une conversation a eu lieu

Un exemple publié mérite une lecture lente. Un participant a appelé plusieurs cabinets de neurologie, une pharmacie spécialisée, un service de gestion de maladie rare et une ligne d'assistance pharmaceutique dédiée à la sclérose en plaques. Personne n'a lu un mot écrit par cette personne. La suite de ses appels, dans cet ordre, a raconté l'histoire quand même.

C'est la propriété qui rend les métadonnées puissantes : elles n'ont pas besoin d'être interprétées. Un contenu est ambigu, ironique, dans une langue qu'on ne parle peut-être pas. Un journal d'appels est structuré, lisible par une machine et complet. Il passe à l'échelle de millions de personnes comme la lecture de leurs messages ne le pourra jamais.

« Nous tuons des gens sur la base de métadonnées »

La formulation la plus brutale est venue de **Michael Hayden**, directeur de la NSA de 1999 à 2005 puis de la CIA de 2006 à 2009. Lors d'un **débat à l'université Johns Hopkins en 2014**, réagissant à une description de ce que révèlent les métadonnées, il a déclaré : *« [Cette] description... est absolument exacte. Nous tuons des gens sur la base de métadonnées. »* Il a aussitôt ajouté : *« Mais ce n'est pas ce que nous faisons avec ces métadonnées-là »*, traçant une frontière entre le ciblage à l'étranger et la collecte intérieure. Les deux moitiés font partie de la citation. La première dit ce qu'on estime que valent les métadonnées ; la seconde est la distinction sur laquelle il a insisté.

Ce que cela ne veut pas dire, et ce que vous pouvez faire

Rien de tout cela ne rend le chiffrement inutile, et ce serait la mauvaise conclusion. Cacheter l'enveloppe empêche toujours quiconque de lire la lettre, ce qui n'est pas rien. Cela signifie seulement que l'enveloppe n'est pas tout le problème, et qu'un service peut chiffrer parfaitement le contenu tout en conservant un registre fourni de vos contacts, de vos horaires et de vos lieux.

C'est précisément pour cela que, dans toute comparaison honnête de messageries, la question n'est pas seulement *« est-ce chiffré de bout en bout ? »* mais *« combien l'opérateur conserve-t-il sur les personnes à qui je parle ? »*. Deux applications peuvent employer le même protocole de chiffrement et diverger énormément sur cette seconde question. Le chiffrement est la partie facile à afficher ; la pratique en matière de métadonnées est celle qui demande de faire confiance à qui exploite le service.

Ce sur quoi vous pouvez agir est plus étroit que le problème, mais bien réel. Préférez les services conçus pour détenir peu de métadonnées plutôt que ceux qui se contentent de chiffrer le contenu. Réduisez le nombre d'intermédiaires qui voient passer votre trafic. Considérez que tout ce qui n'est pas chiffré de bout en bout voit ses métadonnées conservées par défaut, et que supprimer un message n'efface presque jamais la trace qu'il a été envoyé.