Ces derniers temps, les entreprises se voulant championnes de la protection des données voient leurs principes mis à l'épreuve. Après la polémique créée par Apple à propos des photos iCloud scannées, c'est ProtonMail, un service d'e-mails chiffrés basé en Suisse, qui aurait fourni aux autorités des données relatives à l'un de ses utilisateurs.
Le blog Secours Rouge a raconté dans un article que ProtonMail a accepté de fournir à la justice française l'adresse IP de l'administrateur de l'adresse mail utilisée par l'organisation Youth for Climate. Les activistes visés par la justice sont accusés de participer au squat place Sainte-Marthe, dans le Xe arrondissement de Paris, en protestation contre la gentrification du quartier.
Dans le cadre du procès de sept activistes, la police française aurait ainsi demandé via Europol (une agence chargée de faciliter la coopération entre les services de police européens) à la justice suisse de contraindre ProtonMail à lui délivrer des informations.
Courageux mais pas téméraire
Dans un post Reddit, l'équipe de ProtonMail a admis les faits mais s'est défendue en arguant qu'il était illégal pour elle de ne pas répondre à la requête du ministère de la Justice suisse.
Le post précise qu'il n'y a «pas de possibilité de faire appel ou de combattre cette requête particulière puisqu'un acte contraire à la loi suisse a en effet eu lieu». Reste à savoir en quoi un squat à Paris viole la loi suisse.
Si ProtonMail affirme être «profondément inquiet de ce cas», son PDG rappelle sur Twitter que dans un rapport sur la transparence publié en 2015, l'entreprise déclare clairement que lorsque la justice suisse (et uniquement celle-ci) réclame des informations, elle n'a d'autre choix que d'y accéder.
Seulement, au-delà de la possibilité ou non pour ProtonMail de refuser de céder à la justice, de nombreux internautes se demandent comment il a pu être techniquement possible de livrer une adresse IP que le service assure ne pas enregistrer.
Sur son site, ProtonMail indique que «par défaut, nous n'enregistrons pas les métadonnées telles que les adresses IP utilisées pour se connecter à des comptes».
Sur Reddit, le service (payant) d'e-mails chiffrés explique que «lorsque nous recevons une réquisition à propos d'un compte en particulier, nous pouvons être forcés de le surveiller». Autrement dit, si l'adresse IP n'est normalement pas conservée en permanence, elle peut être récupérée lorsque la justice l'exige, ce qui mériterait sans doute une précision plus explicite dans les conditions d'utilisation.
Pour éviter tout désagrément, mieux vaut donc utiliser Tor ainsi qu'un VPN afin de dissimuler véritablement son adresse IP.
