L'Union européenne doit protéger ses citoyens de l'intrusion technologique chinoise

L'Union européenne s'apprête d'ici la fin de l'année à renforcer sa réglementation des grandes entreprises de technologie digitale et sa protection des données, notamment à travers le Règlement général sur la protection des données (RGPD) établi en 2018. Les entreprises européennes devront non seulement continuer de traiter avec les grands acteurs américains comme Google, Apple, Facebook ou Amazon (les célèbres GAFA), mais également avec les industriels technologiques chinois qui se développent à grande échelle.

Alors que Xi Jinping engage 1,2 milliard d'euros dans l'élaboration d'une industrie technologique de pointe à l'horizon 2025, l'autonomie stratégique de l'Europe et sa capacité à protéger les données de ses citoyens dépendent de plus en plus de la volonté concrète de contrer l'influence grandissante de la République populaire de Chine. Malheureusement, aucune autorité européenne de protection des données - que ce soit le Commissaire fédéral à la protection des données en Allemagne (BfDI), l'Agence espagnole de protection des données (AGPD), ou encore le Commissaire de protection des données en Irlande - ne se positionne avec le sérieux nécessaire sur cet enjeu.

D'ores et déjà, des entreprises américaines, de manière légitime, ont reçu des amendes substantielles pour infraction à la réglementation existante de l'Union européenne, mais leurs homologues chinoises semblent pour l'instant exclues, comme si les géants américains étaient l'arbre qui cachait la forêt.

Les obligations légales chinoises incompatibles avec la sécurité européenne

Le manque d'attention sur ce sujet est surprenant, étant donné que les lois de la RPC obligent les opérateurs de réseau à se soumettre aux "organes publics de sécurité et organes nationaux de sécurité" de Pékin, ainsi qu'à la vision étendue du pays sur la "sécurité nationale". De telles lois permettent déjà au gouvernement de réaliser des "tests d'infiltration" en prenant pour cible n'importe quel réseau chinois. Il n'est pas difficile d'imaginer comment cet encadrement légal pourrait faciliter les activités d'espionnage de la Chine, ni de supposer que les services de sécurité chinois pourraient bénéficier des données réquisitionnées auprès de leurs cibles à l'étranger.

Or, ces entreprises dans l'orbite de Pékin dominent déjà l'espace européen des matériels, depuis les télécommunications (Huawei) - dont l'action de lobbying est quasiment sans limite en Europe - jusqu'aux drones de l'entreprise DJI, qui détient 70% du marché mondial. D'autres titans digitaux chinois, dont Alibaba, Tiktok, WeChat ou encore Tencent réalisent également leur entrée sur les marchés européens.

Les services de renseignement des États membres mettent le doigt sur au moins une partie des dangers auxquels les pays de l'Union européenne s'exposent. Comme le soulignait l'année dernière Bruno Kahl, du Service fédéral de renseignement allemand, en référence à Huawei : "La confiance dans une entreprise qui dépend fortement du parti communiste et du système de renseignement de son pays est fortement compromise". Un an après, le gouvernement allemand prépare enfin un cadre législatif qui exclurait de facto Huawei de son réseau 5G.

En se concentrant sur les télécoms, l'Europe laisse les drones passer sous le radar

La plupart des critiques contre Huawei peuvent également s'appliquer à DJI. Comme le décrit le think tank conservateur l'Heritage Foundation à Washington, la réalité de la coopération entre le plus grand fabricant de drones civils et l'État chinois n'est pas remise en question. DJI est impliqué dans des crimes contre l'humanité perpétrés contre la population Ouïghoure dans la province de Xinjiang car, dans le cadre d'un accord de "maintien de la stabilité," DJI fournit ses drones aux forces de police et aux instances paramilitaires responsables de la répression des minorités ethniques dans cette région frontalière de la Chine.

Ce même rapport met en avant d'importantes failles sécuritaires dans le logiciel de DJI, signalées par de nombreuses entreprises de cybersécurité et concernant notamment la collecte de données sensibles ainsi que le transfert de données à des serveurs chinois, sans l'accord de l'utilisateur et même à son insu. Les agences fédérales aux États-Unis ne font pas confiance aux drones de DJI, imposant à leur place l'utilisation des modèles proposés par des fournisseurs américains et européens de confiance. Le gouvernement australien tient également compte des dangers potentiels que représente l'utilisation malveillante des drones, compte tenue de la hausse des tensions diplomatiques avec la Chine.

En Europe, la capacité de DJI de battre les prix de ses concurrents l'emporte sur les risques sécuritaires, non seulement pour les consommateurs mais également pour les armées et les forces de l'ordre. Le manque d'action des institutions telles que le BfDI ou l'AGPD après que les activités de transfert furtif des données par DJI aient été dévoilées contraste brutalement avec la manière dont ces dernières traitent les compagnies américaines comme Google.

Les inconvénients structurels de l'Europe

Les plus grandes sociétés chinoises s'engagent sur la conformité formelle avec la réglementation européenne, mais lorsqu'on sait le contrôle exercé par la Chine sur les entreprises (chinoises et étrangères) localisées sur son territoire, comment les Européens peuvent-ils être en mesure d'exercer un droit de recours contre un acteur chinois si la sécurité de leurs données est compromise, surtout si des services étatiques sont impliqués ?

Il faut de même rappeler l'absence de réciprocité qui, outre les effets en termes de sécurité, fausse la concurrence. Alors que la Chine a interdit l'accès à son territoire aux GAFA américaines, la Chine a permis à ses entreprises de se développer en toute tranquillité, libérées de la concurrence internationale et départies de la pression exercée sur les compagnies européennes, forcées d'échanger leur technologies contre l'accès au marché chinois. Pour que l'Union européenne puisse affirmer sa souveraineté numérique, ces questions sont à résoudre impérativement entre Bruxelles et Pékin.

L'Europe se réveillera-t-elle ?

Devant cette inégalité qui risque à jamais de consacrer une domination technologique de la Chine, une certaine lenteur semble prévaloir. Tout se passe comme si la conscience accrue des dirigeants européens des risques tant économiques que sécuritaires ne se traduisait par aucune d'action à la hauteur des implications dramatiques qu'ils peuvent entraîner. Les États européens manquent aussi d'une approche commune des enjeux que présentent les technologies digitales, y compris la lutte contre les manipulations de l'information.

Il est plus que temps que les États membres de l'Union européenne et les autorités européennes prennent compte du caractère global et simultané de la lutte nécessaire contre les géants chinois. Nous ne pouvons déconnecter les menaces ni en termes de concurrence, avec la Chine qui pourrait bien obtenir une position dominante inexpugnable et des avantages comparatifs déterminants, ni en termes de sécurité et de respect des libertés fondamentales.

Le Sommet UE-Chine du 22 juin 2020 a été aussi une forme de tournant, témoignant d'une tardive prise de conscience de la part d'Ursula Von Der Leyen et Charles Michel, mais les intentions exprimées par les dirigeants européens ne se sont pas encore transformées en actes. La marche vers la domination technologique de la Chine, qui aura des conséquences graves en termes de valeur, est déjà largement commencée. Demain, il sera trop tard pour enclencher la marche arrière. Le mal sera fait.