Messagerie WhatsApp et la sécurité privée : interdiction ? (RGPD et CNIL)

En 2014, l’appli est rachetée par Facebook. Aujourd’hui, WhatsApp se place en première position des messageries instantanées au monde avec 2 milliards d’utilisateurs actifs par mois.

En France, selon Médiamétrie, en juin 2020, WhatsApp compte 30 millions de visiteurs uniques par mois et 14 millions de visiteurs uniques moyens par jour, ce qui place le service au 6e rang des marques les plus visitées.

Dans énormément de service de sécurité en France, ils utilisent l’application WhatsApp pour communiquer des information stratégique. Comme les horaires de service, des ordres de missions, des lieux, des consignes, ou bien même des photos ou images, issue d’un système de vidéoprotection, pour sensibiliser les agents sur un individu suspect, par exemple.

Est-ce que le stockage d’informations fait par WhatsApp, est sûr ?

Pour commencer, WhatsApp à rappeler qu’elle n’a pas accès aux messages, appels et autres groupes de discussion. Les données de localisation et de contact ne sont pas non plus collectées par le groupe META . Ils ne peuvent donc pas voir des  messages privés, et Facebook non plus.

De plus, comme la rapporté de nombreux journaux français et étrangers, Un document interne du célèbre Bureau fédéral d’investigation des Etats-Unis, le FBI, révèle les données que les enquêteurs peuvent récupérer, sur WhatsApp et iMessage.

Dévoilé fin novembre, par le magazine américain Rolling Stone, ce document datant de janvier 2021, détaille les procédures et les informations, qui doivent permettre aux autorités d’accéder à des comptes d’utilisateurs de WhatsApp, dès lors qu’un mandat judiciaire a été délivré par les autorités au sujet d’un ou plusieurs individus. Les applications de messageries cryptées, les plus populaires que sont iMessage et WhatsApp, sont également les plus permissives.

Ainsi, ce document indique que lorsque le FBI présente un mandat de perquisition, WhatsApp pourra lui remettre «les contacts du carnet d’adresses de l’utilisateur ciblé, ainsi que d’autres utilisateurs de WhatsApp que compte l’individu ciblé dans leurs contacts». Toutefois, les messages échangés, qui restent officiellement cryptés de bout en bout, demeurent illisibles, même pour WhatsApp, qui ne pourra pas fournir au FBI d’information sur ce point. Toutefois, le document révélé par le magasine Rolling Stone, démontre que peu de données restent secrètes, si les autorités les exigent.

De plus, Les experts ont souligné que ce rapport interne du FBI ne couvre pas toute la portée des pouvoirs d’espionnage, des forces de l’ordre. Le document, par exemple, n’aborde pas ce qui se passe lorsque la police ou des agents fédéraux accèdent à l’appareil physique d’une personne. Pour probablement toutes ces plates-formes, si les forces de l’ordre mettent la main sur l’appareil de quelqu’un, aucun cryptage de bout en bout ne protégera les informations sur l’appareil.

Accès aux informations

Le premier problème majeur est qu’un pays étranger pourrais avoir accès à ces informations. Qui pourrais les utiliser contre les intérêts d’une entreprise, par exemple.
Dans un second temps, le problème est lié à la réglementation Européenne sur la protection des données, le désormais célèbre, RGPD.

Il est bien entendu indispensable que les sociétés de sécurité privée en France, ne mettent pas en défaut l’activité d’un client, à cause d’indiscrétion auprès d’un pays, certes alliés, mais concurrent et valorisant d’abord les intérêts de leur propre pays.

SECURIDEX, qui est une société informatique ayant créé un logiciel de Main courante en temps réels, de planification, de Devis et bien d’autres activités liés à la sécurité privée, à demandé l’avis à la CNIL sur l’utilisation de la messagerie Whatsap, pour contrôler la présence d’agent de sécurité sur un lieu de travail (en envoyant par exemple une photo ou une vidéo du lieu en question), mais aussi pour l’envoi de main-courante ou rapport de mission ou d’intervention.

Ainsi, l’entreprise, même si elle utilise la messagerie gratuite WhatsApp, doit mettre en place une procédure sécurisée pour la transmission de données.

Rappelons nous qu’en 2021, WhatsApp, l’application de messagerie internationale appartenant à meta (anciennement Facebook), a été condamnée par la “CNIL” Irlandaise à une amende de 225 millions d’euros, pour violation de la confidentialité. C’était la plus grosse amende jamais imposée, par l’instance irlandaise de protection des données, et la deuxième plus importante amende, dans le cadre des nouvelles règles RGPD, de l’union Européenne.

WhatsApp, a bien modifié sa politique de confidentialité depuis cette sanction en 2021, sans pour autant y apporter de vraies nouveautés. En réalité, l’application n’a fait que détailler et clarifier ses conditions d’utilisation, vis-à-vis de ses nombreux utilisateurs européens, faisant ainsi acte de transparence après une sanction, qui pointait vivement du doigt ce manque de transparence, en matière de données personnelles.

La CNIL , indique que le contrôle de la présence des salariés, via l’application WhatsApp, impliquant une prise de photographie ou vidéo, lui semble, en première analyse, disproportionné, et donc potentiellement sanctionnable par la CNIL.

Que faire alors ?

Utiliser une plateforme comme Securidex, Sekur, comète ou encore Heropolis, qui permette un échange d’information conforme au RGPD.

En dehors de ces applications spécifique à la sécurité privée, vous pouvez aussi utiliser une messagerie qui s’appelle Olvid, qui est la messagerie d’une Start-up française, Cocorico !

Olvid propose en effet un chiffrement fort, mais contrairement à WhatsApp, Telegram et Signal, chaque conversation établit un lien direct avec le ou les destinataires, sans passer par un serveur central.

Dès lors, quand bien même les serveurs d’Olvid se ferait pirater, le contenu des conversations privées ne peut en aucun cas être exposé. En fait la seule manière d’avoir accès à ces conversations, c’est de le faire via le smartphone du destinataire ou de l’émetteur. Le chiffrement d’Olvid repose sur un “moteur cryptographique” fruit de cinq années de recherche.
Cette sécurité peut être particulièrement utile, “lors d’une gestion de crise ou pour un cadre en déplacement dans un pays, comme la  Russie ou la Chine”.

Vous serez en plus,  tout d’abord perçu comme un véritable professionnel de la sécurité, avec une préoccupation majeur sur le traitement des données, que vous pourriez être amené à traiter pour des clients.

Sanction CNIL et code de déontologie !

Ensuite, vous vous préserver d’une éventuelle sanction de la CNIL, qui peut se chiffrer en milliers, voir millions d’euros ! sans compter une potentielle diffusion publique de cette sanction sur le site de la CNIL, qui sera repris par de nombreux journaux, et sera une catastrophe pour votre image.

Enfin, et conformément  au code de déontologie des acteurs de la sécurité privée, notamment son article  R631 – 9 ,ils se doivent de respecter une stricte confidentialité des informations, procédures techniques, et usages dont ils ont connaissance dans le cadre de leur activité.

Ainsi, le CNAPS peut lui aussi sanctionner, une entreprise de sécurité privée ou un service interne, pour non respect de cette confidentialité, allant du blâme à la suspension de l’autorisation d’exercice, avec là aussi, une potentielle diffusion de celle-ci , accompagné d’une sanction pécuniaire pouvant aller jusqu’à 150000 euros.