Laissez tomber Gmail, Yahoo Mail & Cie., et utilisez ProtonMail à la place !

Voilà des années que je vous bassine avec la protection des données, la sphère privée, et croyez-moi, je n’ai pas terminé. Après vous avoir fait part de Wuala, une solution suisse de stockage de fichiers, il est maintenant temps de parler des e-mails. Et là aussi, ce que je vous propose de découvrir, ce n’est ni plus ni moins que l’e-mail chiffré, 100% suisse, gratuit, sans pub et simple à utiliser.

L’origine de ProtonMail

Selon les informations que j’ai trouvées, ProtonMail serait né de la volonté d’offrir un service d’e-mails sécurisé d’un bout à l’autre de la communication et facile d’utilisation. Ce serait justement dans le but de protéger la sphère privée des individus et de démocratiser les communications sécurisées que ProtonMail a été créé. ProtonMail est le fruit de deux ingénieurs en informatique, Andy Yen et Jason Stockman.

Le service a été créé au moyen d’une campagne de crowdfunding soutenue par plus de 10'000 individus et qui a permis de collecter 550'000 dollars. Il est aussi soutenu par le MIT, Charles River Ventures (CRV), l’incubateur suisse FONGIT et la Commission fédérale pour la technologie et l’innovation qui ont permis de lever 2 millions de dollars récemment.

Un service 100% suisse

La société anonyme qui gère le service, Proton Technologies AG, est inscrite au registre du commerce de Genève depuis le 18 juillet 2014 et a pour but social le “développement de logiciels de sécurité et de confidentialité notamment dans le domaine de la communication”. Elle se trouve au Chemin du Pré-Fleuri 3 à 1228 Plan-les-Ouates.

Elle n’est pas la filiale ou la succursale d’un groupe étranger et ne répond qu’au droit suisse.

Les serveurs sur lesquels sont hébergées les données des utilisateurs et leurs e-mails sont localisés en Suisse (cf. la Privacy Policy de ProtonMail).

La loi fédérale sur la protection des données (LPD) est donc pleinement applicable, ainsi que son ordonnance d’application (OLPD), sans contestation ou nuance possible.

En cas de litige, les autorités suisses uniquement sont compétentes (et plus particulièrement, celles du Canton de Genève) et les conditions générales d’utilisation (CGU) sont régies par le droit suisse. Ainsi, seules les autorités suisses peuvent exiger de ProtonMail qu’il communique des données sur ses utilisateurs.

Un service sécurisé

Néanmoins, ProtonMail ne pourra que difficilement être utile aux autorités qui exigeraient la communication de données utilisateurs, par exemple pour une enquête pénale.

En effet, tout est chiffré d’un bout à l’autre de la communication, tant le message que les pièces jointes. Les données sont donc sécurisées, chiffrées derrière plusieurs mots de passe. On le constate lors de l’accès à notre compte, car il faut se connecter à son compte avec un mot de passe, puis déchiffrer la boîte mail avec un autre mot de passe, lequel n’est jamais envoyé à ProtonMail. Il sert à déverrouiller les données sur notre appareil (ordinateur, smartphone, etc.) que le système nous envoie une fois qu’on accède à notre compte.

Le service se veut aussi anonyme puisque s’il requiert bien la création d’un compte, aucune information personnelle n’est demandée. ProtonMail affirme aussi ne pas collecter des données pour tracer les utilisateurs, y compris les adresses IP.

D’ailleurs, il existe la possibilité de prévoir une date d’expiration pour les e-mails pour qu’ils soient automatiquement effacés de la boîte de réception du destinataire (qu’il utilise, ou non, ProtonMail). Cela n’empêche évidemment pas le destinataire de faire une capture d’écran, ou de copier-coller le contenu du mail, mais c’est une option intéressante.

Enfin, ProtonMail ne possède pas les clés de chiffrements des données, de sorte que même si ProtonMail devait communiquer des données aux autorités, les données resteraient inaccessibles à ces dernières, en théorie.

… soumis à la LSCPT ?

Dans sa Privacy Policy, ProtonMail déclare ne pas être soumis à l’obligation de fournir des moyens techniques pour intercepter les données échangées par un ou plusieurs utilisateurs de son service.

Under Swiss law, the technical means for lawful interceptions of customer communications is governed by the Swiss Federal Act on the Surveillance of Postal and Telecommunications Traffic (SPTT) last amended in 2012. In the SPTT, the obligation to provide the technical means for lawful interception is imposed only on Internet access providers so ProtonMail, as a mere Internet application provider is entirely exempt from the SPTT’s scope of application. Due to our entirely Swiss domicile, ProtonMail is not required to, and cannot be compelled, to build in the technical means to intercept customer communications, even if it were possible.

J’estime que cette déclaration doit être nuancée : ProtonMail est bien soumis à la loi fédérale sur la surveillance de la correspondance par poste et télécommunications (LSCPT) et serait, le cas échéant, contraint par les autorités de mettre en place une surveillance ou de communiquer des données.

À mon sens, ProtonMail est un fournisseur de service de télécommunications soumis à l’obligation d’annonce auprès de l’Office fédéral de la communication (OFCOM) selon l’art. 3 let. b et l’art. 4 de la loi fédérale sur les télécommunications (LTC). Et en tant que service de télécommunication, tant les fournisseurs d’accès à Internet (FAI) que d’autres services OTT (Over The Top ; ils ne fournissent pas un accès à Internet, mais un service basé sur la communication de données) pourraient être contraints par les autorités de collaborer à une surveillance et à communiquer des données aux autorités sur mandat d’un tribunal.

ProtonMail est donc, à mon avis et comme tout service de télécommunication (e-mail, chat, VoIP, réseau social, etc.) soumis à la LSCPT. C’est d’ailleurs ce qui ressort de l’art. 24 al. 2 de l’ordonnance de la LSCPT, qui prévoit que les services de messagerie synchrones et asynchrones (par exemple messagerie instantanée, e-mails) et les services de télécommunication fondés sur des médias numériques (par exemple VoIP, transmission audio et vidéo) peuvent faire l’objet d’une surveillance.

La question de savoir s’il lui est techniquement possible de mettre en place une surveillance est différente. Quoi qu’il en soit, si la révision de la LSCPT passe la rampe au Parlement fédéral, ProtonMail sera explicitement mentionné en tant que fournisseur de service de télécommunication.

(Pour plus d’informations sur ce sujet, voir cet article paru dans la Jusletter de novembre 2014.)

Le futur de ProtonMail

Pour l’instant, seul un webmail est disponible, et l’intégration dans un client mail n’est pas (encore) supportée, mais des applications pour iOS et Android sont en cours de développement. Windows Phone ne devrait pas être supporté à court terme.

Le service est entièrement gratuit et le restera pour le grand public. Pour assurer sa pérennité, cependant, un service premium sera proposé aux utilisateurs ayant besoin de plus d’espace de stockage ou d’autres fonctionnalités, par exemple les professionnels et les entreprises.

Conclusion : abandonnez Gmail & Cie

Soyons honnêtes. Google et Yahoo, entre autres, ont déclaré vouloir assurer un chiffrement des e-mails d’un bout à l’autre de la communication. C’est louable. Mais comme leur business model repose sur l’analyse de nos données, e-mails y compris, pour afficher des publicités, comment vont-ils faire pour lire nos e-mails s’ils sont chiffrés intégralement ? On pourrait donc douter de leur sincérité…

N.B. J’ai finalement abandonné toute solution de stockage en ligne depuis que j’ai mon propre NAS à la maison qui me sert de cloud privé. Au moins, j’ai mes propres conditions générales d’utilisation et je sais où sont mes données. Ça n’a pas de prix…

A l’inverse, ProtonMail est géré par une société suisse, soumise au droit suisse et à la LPD. Le service est transparent, il offre un excellent niveau de sécurité, et il est agréable et intuitif à utiliser. Certes, il est encore en développement, mais son futur est des plus prometteurs. Je me réjouis en particulier de pouvoir disposer d’une application smartphone dédiée.

Excursus : un prévenu doit-il fournir la clé de déchiffrement à l’autorité ?

Un lecteur (que je remercie) m’a demandé si, dans le cadre d’une enquête pénale, le citoyen (en l’occurrence, le prévenu d’un délit ou d’un crime) ou le fournisseur de service a l’obligation de communiquer la clé de déchiffrement aux autorités.

La réponse est non. Les données devront être communiquées par le fournisseur de service si l’autorité les demande. En ce qui le concerne, s’il n’a pas la clé de déchiffrement (comme ProtonMail), il ne peut pas la fournir. C’est un fait, pas de la mauvaise volonté ou une entrave à la justice. Par contre, si le fournisseur de service détient les clés de déchiffrement, il peut être astreint par les autorités à les fournir, ou à déchiffrer les données avant de les communiquer aux autorités.

Du côté du prévenu, le Code de procédure pénale (CPP) stipule clairement à l’art. 113 al. 1 que

Le prévenu n’a pas l’obligation de déposer contre lui-même. Il a notamment le droit de refuser de déposer et de refuser de collaborer à la procédure. Il est toutefois tenu de se soumettre aux mesures de contrainte prévues par la loi.

Bien qu’il doive se soumettre à des mesures de contraintes (par ex. la privation de liberté, la perquisition, le séquestre de ses biens, l’examen d’ADN), le prévenu conserve son droit de refuser de collaborer et de se taire. Il en va de la présomption d’innocence (art. 10 al. 1 CPP). Pour rappel, il revient à l’accusation d’apporter les faits permettant de prouver la culpabilité. Il serait par conséquent choquant que le prévenu doive fournir lui-même la clé de déchiffrement permettant à l’accusation d’accéder ensuite à des éléments permettant d’établir sa culpabilité. A mon avis, le droit pour le prévenu de ne pas s’auto-incriminer doit rester inviolable dans cette problématique.