Qui est auditionné
Table ronde de trois journalistes d'investigation, sous serment : Martin Untersinger (Le Monde, quinze ans sur le numérique — désinformation, libertés publiques, données personnelles, cybersécurité), et deux indépendants, Antoine Schirer et Sébastien Bourdon, auteurs des enquêtes « StravaLeaks » (Mediapart puis Le Monde). L'angle est celui de l'enquête de terrain : Untersinger a travaillé sur des échantillons de données achetés à des courtiers (data brokers) ; Schirer et Bourdon exploitent des données volontairement publiques (Strava, applications de rencontres). D'emblée, Untersinger prévient : « Si vous espérez de ma part des solutions, vous serez déçus. En revanche, je peux partager mes constats. »
La substance
Untersinger structure le risque en trois couches : les couches basses (matériels, protocoles), la couche des logiciels — « pour leur quasi-totalité, conçus ailleurs » —, et la couche de captation des données. Trois conséquences en découlent : économique (innovation et emplois ailleurs), juridique (droit difficile à appliquer à des entreprises étrangères ; « code is law », Lessig), démocratique (architecture orientée vers la captation de l'attention).
Sa thèse centrale, à contre-courant du cadrage de la commission : « la souveraineté n'est pas la garantie de la sécurité : ce n'est pas parce que c'est fait en France ou en Europe que c'est automatiquement mieux ». Il cite le Health Data Hub (les données y sont-elles « réellement moins sécurisées » qu'avant ?), les messageries chiffrées que seuls les géants savent offrir aux populations à risque, et les faux services « français » à fonds ou technologies américains.
Les StravaLeaks fournissent les chiffres marquants : profil public par défaut, 180 millions d'utilisateurs ; plus de 800 militaires français en Opex (dont 200 forces spéciales) en 2020 ; les gardes du corps (GSPR) de Biden, Poutine et Macron en 2024, avec identification à dix reprises des hôtels du président ; le calendrier des patrouilles des SNLE ; et la position du porte-avions Charles-de-Gaulle. Bourdon : « il ne nous a pas fallu plus de vingt-quatre heures pour repérer la position du Charles-de-Gaulle » avec « un ordinateur et une connexion internet ». Il rappelle l'assassinat en 2024 d'un officier russe à Krasnodar attendu « dans le parc où il avait ses habitudes », profil Strava public à l'appui. Les applications de rencontres (Tinder, Grindr, Bumble) exposent de même : localisation de militaires français à Gao, « trois clics » suffiraient sur l'île Longue.
Sur les data brokers, le droit (ePrivacy, souvent confondu avec le RGPD) exige un consentement libre et éclairé, jamais réellement recueilli quand les données transitent vers « plusieurs dizaines voire plusieurs centaines d'entreprises partenaires ». D'où le message le plus frontal, adressé aux législateurs : « Le marché repose sur une illégalité manifeste. Dès lors, la solution n'est pas — je suis désolé de le dire dans cette enceinte — d'adopter de nouveaux textes mais d'appliquer ceux qui existent et de donner aux régulateurs les moyens ». Chef de file désigné : la Cnil et ses homologues, sous-dimensionnés face à des acteurs « agiles et fluides » (la start-up blacklistée par Google, aussitôt recréée). Untersinger alerte enfin sur une industrie de surveillance étatique (une quinzaine à une vingtaine de sociétés) greffée au publicitaire, revendant du pistage au DHS/ICE américain sans mandat ni « limite géographique », et défend le chiffrement (Signal, « une bénédiction ») et les métadonnées : « Nous tuons des gens en nous basant sur les métadonnées » (ancien chef de la NSA).
Les enjeux et confrontations
L'audition n'est pas conflictuelle avec la présidence ni la rapporteure, mais elle recadre la commission. Au président Latombe, qui propose un profil privé par défaut, Bourdon oppose que ce serait « merveilleux » mais « totalement contraire à l'économie des réseaux sociaux ». Sur l'omnibus, Untersinger, prudent (« je ne suis pas au fait des dernières évolutions »), glisse néanmoins que la redéfinition de la donnée personnelle « était réclamé par tous les géants du numérique » et laisse la commission « en tirer les conclusions ». La seule vraie confrontation vient du député Vincent Thiébaut (HOR), qui plaide la « faille d'abord humaine » et la pédagogie contre une loi condamnée à courir après la technologie. Untersinger la récuse : « la question n'est donc, selon moi, pas du tout individuelle, mais dépend de l'écosystème, de l'application du droit et de la responsabilisation des acteurs ». Bourdon nuance (formation utile) mais tranche : avec 1 800 marins et 200 000 militaires, « le problème est avant tout systémique ».
Ce que l'audition apporte
Elle documente, preuves à l'appui, une vulnérabilité de sécurité nationale née d'usages banals et d'un marché publicitaire illégal, et déplace le débat : contre le réflexe souverainiste et le réflexe législatif, elle pointe des responsabilités précises (éditeurs, courtiers, régulateurs sous-dotés, alignement omnibus/géants) et défend une doctrine — appliquer le droit existant, armer la Cnil, protéger chiffrement et métadonnées, ne pas faire porter à l'individu une sécurité qu'il ne peut assurer.