Cyber Resilience Act

Le CRA. Est-ce que certains d’entre vous savent ce qu’est le CRA ? Est-ce que d’autres gens, à part Pascal, savent ce qu’est le CRA, parce que lui c’est obligé ? Non.
Le CRA, c’est le Cyber Resilience Act [2]. C’est un projet de loi au niveau européen qui, à mon sens, est en train de légiférer pour trouver des responsables à qui prendre de l’argent. Je vais le dire autrement. Internet est un monde à part, il n’y a pas beaucoup de lois qui s’appuient sur Internet et on a besoin de poser des lois pour savoir qui est responsable des erreurs. C’est surtout au niveau professionnel, ce sont surtout les entreprises qui sont en danger parce qu’ils ont besoin d’avoir les noms des responsables qui font des choses qui vont être considérées soit comme des arnaques soit comme de la fraude.
L’April suit ce projet de loi. D’autres associations, comme le CNLL [3] ou l’APELL [4], le suivent beaucoup mieux que nous et ont tiré la sonnette d’alarme, parce que si on laissait faire ces petits députés, les parlementaires européens, eh bien ils auraient empêché le développement de logiciels libres en Europe. Une lettre [5] est passée, a été signée par de nombreux acteurs, que l’April a relayée. Il y a, derrière, un travail législatif que vous ne pouvez même pas imaginer : on contacte des gens, en français, en anglais, mais aussi dans toutes les langues de l’Europe, pour que le projet de loi ne passe pas tel quel.
Pour l’instant, on a l’impression que ça ne cible que les professionnels et que les bénévoles qui font du logiciel libre, genre vous et moi, ne seront pas les cibles de cette loi-là, mais ce n’est pas encore gagné.
Il faut savoir qu’au niveau européen, il y a trois manières de légiférer :
étape une, la Commission européenne se réunit, parle d’un texte et c’est transmis aux deux chambres parlementaires ;
ensuite, ces deux chambres exploitent ce texte, essayent de l’amender, le valident chacune de son côté ;
à la troisième étape, ça retourne à la Commission européenne, on voit ce que tout le monde a discuté et on valide ou pas.
Là, on en est à a troisième étape, donc on est sur la fin mais pas encore.
Pascal, est-ce que tu veux rajouter quelque chose puisque tu avais levé la main ?
Non. OK.
Pour l’instant on attend. On croise les doigts pour qu’ils ne nous fassent pas, j’allais dire de la merde, qu’ils ne nous fassent pas des choses, pas illégales mais liberticides, et vous allez croiser les doigts avec nous.

DSA, DMA, SREN

Le deuxième projet que j’ai mis ce sont les DSA, DMA alias SREN. Est-ce que des gens savent ce que c’est ? Ah, j’ai un oui.
Le DMA et le DSA, ça se passe encore au niveau européen. Ce sont des règlements qui veulent aussi légiférer sur Internet, puisque c’est quand même une zone à laquelle les politiciens n’ont pas accès, donc, toujours sur le principe de nous protéger, ils veulent mettre des lois. mettre des lois.
DSA, c’est Digital Services Act [6] et DMA Digital Markets Act [7].
Donc, comme l’Europe fait des choses, la France se dit « si on faisait pareil ! », donc on nous a pondu le SREN, sécuriser et réguler l’espace numérique, là, on voit tout de suite ce que c’est. Donc, ils sont en train de faire passer des lois.
Je ne sais si vous avez entendu parler de la pétition de Mozilla, je vois des oui. En gros, tel que c’était posé, Mozilla allait devoir faire de la censure des sites Internet, donc, ce n’est pas terrible comme projet, surtout qu’il y a déjà des filtres pour empêcher les pauvres victimes de se faire arnaquer, de subir de la fraude et ainsi de suite. Il y a déjà quelque chose qui est mis en place au niveau européen et international, mais là ils veulent nous le mettre au niveau France.
La pétition Mozilla porte sur l’article 6, je vous laisserai aller regarder plus en détail parce que, en 25 minutes, je n’aurai pas le temps de tout aborder.
On a soutenu [8] cette pétition, on a contacté des députés, des sénateurs. Des amendements ont été proposés, qui, Dieu merci, sont passés, ce qui fait que, maintenant, on en est à attendre le décret final de ce projet loi, sachant que, potentiellement, vu que la Commission européenne a dit « pourquoi vous légiférez alors qu’on est en train de faire des règlements », si ça se trouve, ce projet loi ne verra même pas le jour ! Ce serait merveilleux et, en même temps, ce serait gravissime, mais pourquoi légiférer quand c’est déjà légiféré ?

Je ne suis pas fan des lois, vous allez vous en rendre compte très rapidement. En fait, on a tendance à légiférer pour imposer des bonnes règles qui vont à l’encontre du bon sens. Si les gens avaient du bon sens, on n’aurait pas besoin de légiférer, mais bon !

Dérogation du ministère du Travail

La dérogation du ministère du Travail, ça c’est assez récent.
Le ministère du Travail a une dérogation spéciale pour continuer à utiliser les services de Microsoft et de Google en ligne. Or, une prescription existe : on n’utilise plus les services de Microsoft et de Google dans l’administration, désolée, on ne doit pas les utiliser, mais il a une dérogation spéciale.
Il faut savoir que quand on a une dérogation spéciale, elle est valable un an et, tous les ans, on est obligé de prouver qu’on a besoin de cette dérogation spéciale, que rien de mieux n’existe que les services de Google et de Microsoft, qu’on est obligé de les utiliser. Je pense que vous êtes tous bien placés pour savoir qu’en ligne il y a forcément mieux que les logiciels de Microsoft et de Google, on appelle ça les logiciels libres. Cette dérogation devait durer un an, ça fait trois ans qu’ils l’ont, depuis le temps, ils auraient dû trouver moyen de passer au logiciel libre.
Puisque le ministère du Travail ne répond pas à nos demandes, l’April a décidé de faire une demande CADA. Savez-vous ce qu’est une demande CADA ? J’ai des oui, j’ai des non, j’ai des peut-être, j’ai des approximativement. OK.
Nous, en tant qu’association, on va demander à une commission spécialisée [Commission d’accès aux documents administratifs] de faire en sorte que ces documents nous soient rendus accessibles. Parfois les documents arrivent tel quel et, parfois, les documents sont noircis de partout, on ne voit pas ce qui se passe derrière. Ce n’est pas cool, mais ça arrive.
On a fait une demande CADA [9] pour avoir les échanges, au moins les échanges de mails puisque, à priori, si ça fait trois ans qu’ils ont cette dérogation spéciale, ils sont censés avoir fait des études, tous les ans, pour prouver que ce n’était pas indispensable ou que c’était indispensable. Bref ! Au moins des échanges de mails, au moins un coup de téléphone, un papier, une réunion, n’importe quoi.
La demande CADA va nous permettre de récupérer ces dossiers-là, s’il y a eu des dossiers ! S’il n’y a pas de dossiers, ça fait trois ans qu’ils sont dans l’illégalité, avec cette dérogation spéciale, à utiliser des logiciels privateurs.
Je ne peux pas vous en dire plus parce que le délai pour le manque de réponse du ministère venait à échéance au début du mois de novembre et on a fait la demande la semaine dernière, c’est donc affaire à suivre. L’année prochaine, au Capitole du Libre, je pourrai peut-être soit taper du sucre sur le ministère du Travail soit dire bon, ils ont essayé, ils n’ont pas pu. Moi, je n’y crois pas, je ne pense pas un instant qu’ils aient essayé quoi que ce soit, c’est plus simple de garder l’existant.

Marchés publics/ministère de l’Éducation nationale

Un des autres dossiers : marchés publics/ministère de l’Éducation nationale.
D’habitude, je dis du bien du ministère de l’Éducation nationale. Ils ont fait des applications pour les professeurs, comme apps.education.fr [10], ils proposent BigBlueButton [11], ils proposent des pads. Bref ! Ils proposent plein de choses. Pour les profs, c’est génial, et là, on ne sait pas pourquoi, en octobre, ils ont fait un marché public avec une offre sur « Oracle ou équivalent ». Tout le monde sait ce qu’est Oracle [12] ? Oui ? Base de données, totalement privateur, qu’ils utilisent depuis des années. Ils se protègent, puisqu’ils mettent « ou équivalent », c’est-à-dire qu’on pourrait proposer du logiciel libre, proposer autre chose, n’importe quoi. Malheureusement, le marché est fait de telle manière qu’on ne peut rien proposer d’équivalent parce qu’on ne sait pas exactement à quoi ça correspond. Donc, c’est dommage. C’est dommage, parce qu’ils continuent à faire ce marché public totalement fermé et opaque.
À l’April, on doit attendre que le marché soit attribué à une entreprise qui fera de l’Oracle, pour pouvoir demander s’il y avait réellement possibilité de mettre autre chose ou si le « équivalent », c’est juste un truc cosmétique qu’on met là parce qu’il faut le mettre.
Ce qui est étonnant dans ce dossier-là, c’est que ce marché public a pu passer, que les services financiers de l’État l’aient laissé passer, parce qu’il n’y a aucune information. Logiquement, ils auraient dû dire « attention, votre marché, là, ce n’est pas terrible », mais là, c’est passé, donc mystère. On ne sait pas, à voir. Je vous dirai ça aussi l’année prochaine. Il faudra vraiment venir si vous voulez avoir des réponses.

Indice de durabilité/réparabilité

Un autre dossier : l’indice de durabilité/réparabilité.
J’ai mis « /réparabilité » parce que c’est un indice qui est censé changer de nom en 2024. Au départ, c’était juste la durabilité : il faut faire durer le plus longtemps nos appareils, je pense qu’on en parlera mieux à la conférence de ce soir sur la durabilité. C’est devenu la réparabilité : un coefficient dit « vous êtes mieux noté si vous répondez à tous ces coefficients » et ça va être affiché à partir de janvier 2024. C’est génial parce que, dans les coefficients, il y a un logiciel libre, il y a réparabilité et même, ça va être affiché partout.
À l’April, on trouve que le coefficient logiciel libre n’est pas assez pris en compte, donc, on essaye de travailler dessus [13], et je pense que nous ne sommes pas du tout les seuls à travailler dessus.
Un site internet a été mis en place pour nous, en tant qu’utilisateurs, pour aller répondre sur ce qui était important, pour nous, dans cet indice de durabilité/réparabilité. J’ai fait ma petite consommatrice de base et je suis allé participer. Les commentaires étaient amusants : ce qui, pour les gens lambda, est important. Donc, effectivement, la batterie qui doit durer plus longtemps, la batterie qui doit être chargée plus facilement, et l’utilisation de logiciels libres. C’était très amusant de voir le mot logiciel libre cité dans les commentaires, parce que c’est rare qu’on le voit passer dans tout ce qui est administratif, mais là, manifestement, je ne devais pas être la seule à vouloir mettre du logiciel libre dans cette plateforme-là puisqu’il y a eu de très nombreux commentaires qui en ont parlé. Si ça se trouve, il y a peut-être des gens dans la salle qui avaient participé à cette interrogation. Non ! Elle est finie.
Du coup, à partir de janvier 2024, quand vous allez acheter du matériel informatique, mais pas que, parce que ça marche aussi pour les machines à laver, je vous conseille de regarder si cet indice est apparent ou pas.

Une association, je crois que c’est Halte à l’Obsolescence Programmée, HOP [14], qui fait très attention à ce genre d’indice, quitte à s’en prendre sur les réseaux sociaux à des revendeurs en disant « vous ne l’indiquez pas ! »

Contrôle parental

Je passe au contrôle parental, c’est le moment jouissif pour moi. C’est un projet de loi qui est fini, on est allé au bout du projet loi, c’est fait.
En quoi avons-nous été menacés par ce projet de loi ?
Sous prétexte qu’il faut protéger nos pauvres enfants des sites où ils pourraient y avoir de la pédopornographie, ce qui est une très bonne intention, je ne dis pas, des lois ont été passées et qui ont mis en danger notre achat d’ordinateurs sans système d’exploitation ou avec un système d’exploitation différent de celui qui est proposé dans le commerce.
Ça a commencé en 2021 à l’Assemblée nationale, c’est passé au Sénat.
À l’April, nous avons été actifs, nous avons contacté tous les gens qu’on connaissait dans ces deux chambres pour leur dire « attention, tel que ça passe, on ne va plus pouvoir avoir de système d’exploitation libre », ce qui serait quand même assez tragique. Ils ont réussi à nous faire un amendement bancal du genre « professionnellement, vous pourrez ». Ils ont entendu qu’il y avait un problème, mais ils n’en avaient rien à faire du monde des particuliers.
Nous sommes repartis à l’attaque, surtout Étienne Gonnu, le chargé des dossiers institutionnels, nous avons été assez nombreux et nous avons réussi à faire modifier cet amendement pour qu’on puisse de nouveau avoir des systèmes d’exploitation libres sur les ordinateurs qu’on achète nus, qu’on soit professionnel ou pas.
Il y a donc toujours cette possibilité-là, mais il y a toujours cette loi qui nous oblige à avoir un contrôle parental sur nos ordinateurs, en tout cas les nouveaux achetés.
Nous étions contents parce que nous avions échappé à cette interdiction de faire ce que l’on veut avec son ordinateur et son système d’exploitation et le décret est arrivé – donc toujours en plusieurs phases, toujours Assemblée nationale, Sénat, parfois dans l’autre sens, la commission paritaire qui regroupe des gens de l’Assemblée nationale, des gens du Sénat et, quelque temps après un décret. Nous étions donc contents : le projet de loi est fini, c’est bon, on n’est plus menacés, tout va bien. Et dans le décret [15], au lieu de nous autoriser la désinstallation de ce petit logiciel de contrôle parental, ils autorisent la désactivation du logiciel. Je pinaille, ce n’est pas pareil, mais presque. En tout cas, légère déception sur le décret, mais quand même grosse victoire sur le contrôle parental, on est encore maître de son matériel.

Conseil logiciels libres

Conseil du logiciel libre [16], quelque chose qui est plus ou moins organisé par l’État pour mettre en parallèle des associations comme l’April, la DINUM [Direction interministérielle du numérique], un groupe étatique qui fait du conseil en logiciel et souvent en logiciel libre aux administrations, et puis les administrations. Donc, depuis un an/un an et demi, l’April participe à cela et on espère que ça va changer les choses.

Questions du public et réponses

J’ai fait le tour vite fait parce que je n’avais que 25 minutes, du coup, je pense qu’il me reste encore du temps si vous avez des questions, allez-y. Sinon vous pouvez venir me voir sur les stands de l’April ou de Framasoft puisque je traîne beaucoup par là en ce moment.
Vas-y.

Je vais répéter ta question, mais je vais la raccourcir : en gros, est-ce que je connais des logiciels de contrôle parental libres, propres et pas trop intrusifs ?
Je ne me suis pas du tout penchée sur la question vu que je n’ai pas d’enfant. Par contre, pour moi, le meilleur contrôle parental, c’est l’éducation que tu vas donner à tes enfants, ce n’est peut-être pas suffisant, mais, déjà, si tu les formes aux dangers. Après, techniquement, je ne saurai pas. Peut-être qu’il y a des gens dans la salle qui ont des enfants. Merci

Public : Le problème, si on place un logiciel, à ce moment-là, il faudrait un logiciel par type d’OS. On parlait des téléphones, il faudrait un logiciel pour Android, il faudrait en mettre un pour GNU/Linux, puis il faudrait en mettre un pour ceux qui utilisent Windows, etc.
Du coup, ce n’est pas facile et, souvent, ce sont des outils qui sont très techniques parce qu’il faut des listes d’interdiction, des choses comme ça.
La chose la plus simple que j’ai trouvée qui, malheureusement, été rachetée récemment par Cisco, je crois, c’est OpenDNS [17]. Avec ce système, on renseigne, du coup dans le périphérique, quel va être le serveur DNS que va utiliser le périphérique et, à partir de là, tous les appels passent par ce DNS et toi, en tant que père, tu vas dans ton compte et tu vas dire « je vais limiter cet appareil-là ».
C’est la seule chose pratique que j’ai pu trouver.

Bookynette : Après la question que je me pose c’est : est-ce qu’il n’y a pas déjà quelque chose dans Mozilla ? À chaque fois que j’utilise Mozilla, que je vois le stand Mozilla, je demande « j’aimerais bien faire ça dans Firefox », on me répond « ça existe, c’est une extension, tu n’as qu’à l’installer ». Peut-être leur demander. Ah ! J’ai peut-être une réponse d’un sponsor.

Public : Je ne sais pas pour Mozilla, mais ça dépend de la définition qu’on veut donner au contrôle parental. Là, la réponse est au niveau des autorisations de consultation de sites, mais, dans le contrôle parental, il y a énormément d’autres choses comme le temps d’écran, comme des applications qu’on a le droit d’installer, ou pas, et là, du coup, c’est extrêmement dépendant de l’OS de chaque périphérique. Moi, en tant que parent, j’ai aussi ces questions-là, mais c’est très difficile d’y répondre ne serait-ce qu’efficacement et, encore moins, proprement.

Bookynette : Si tu te proposes pour faire une conférence, on sera ravis de t’entendre.
Murena [18], il me semble que Gaël Duval pourrait répondre à cette question-là, du coup lui poser la question.

Je vais m’arrêter là parce que je n’ai que 25 minutes, sauf si vous avez encore des questions. Y a-t-il encore des questions ? Non. Si vous êtes trop timide, n’hésitez pas à me choper, je suis là pendant deux jours, j’aurai peut-être retrouvé mes notes, donc j’aurai plus d’informations sur ce que je viens de dire et, en plus, je serai ravie de discuter avec vous parce que je suis très bavarde, même si ça ne s’entend pas du tout au micro.
En tout cas, merci beaucoup à tous.