En décembre 2018, le Luxembourg et Monaco ont ouvert la voie, grâce à un « partenariat pour l’innovation numérique », à la création au Luxembourg d’une nouvelle ambassade numérique, à l’instar de celle de l’Estonie. Le 15 juillet dernier, ce projet a vu le jour. Comme l’ont annoncé les deux ministères d’État dans un communiqué de presse, le ministre d’État monégasque Pierre Dartout et son homologue Xavier Bettel se sont rencontrés à l’hôtel Saint-Maximin, place de Clairefontaine. Par leurs signatures, ils ont scellé un accord bilatéral portant sur le projet d’un « cloud souverain ».
Le « cloud souverain » de Monaco est la deuxième ambassade numérique à voir le jour au Luxembourg. À l’instar de l’Estonie, la principauté souhaite exploiter une forteresse numérique au Grand-Duché afin d’y stocker des données sensibles. Il s’agit des centres de données hautement sécurisés situés au Luxembourg. Conformes à la norme de sécurité Tier IV, ces centres de données bénéficient du label « zéro défaillance », comme l’indique le site web de l’European Business Reliance Center. Les données stockées des clients doivent être disponibles 24 heures sur 24. C’est pourquoi, en cas d’urgence, deux groupes électrogènes de secours sont prêts à intervenir, chacun d’une capacité de 50 000 litres de diesel (d’Land, 23/12/2016). La plupart d’entre nous n’auront jamais l’occasion de découvrir les coulisses de l’ambassade numérique de Monaco. L’accès aux centres de données n’est accordé qu’aux personnes habilitées par la Principauté. Dès 2017, l’accord relatif à l’ambassade numérique estonienne stipulait qu’aucun fonctionnaire luxembourgeois ne pouvait pénétrer dans les locaux de l’ambassade numérique sans l’accord de l’Estonie. Sans l’autorisation de la République balte, même la justice, la police ou l’armée luxembourgeoises auraient les mains liées.
Pourtant, le centre de données de Monaco situé au Luxembourg bénéficierait de la même immunité qu’une ambassade traditionnelle. C’est ce que rapporte un article en ligne publié le 27 juillet par le quotidien Monaco-Matin. Cet article a incité le député du CSV Gilles Roth à déposer une question parlementaire avec son collègue de parti Laurent Mosar. La question, posée le 4 août, porte sur les privilèges et immunités dont devrait bénéficier une ambassade numérique. Qui profite de ces droits spéciaux et existe-t-il des projets visant à étendre le modèle des ambassades numériques à d’autres pays ? En tant que citoyen·ne, on souhaite naturellement savoir ce qui distingue les ambassades numériques des ambassades traditionnelles.
Un article de NBC News datant de 2019 apporte quelques réponses : selon des responsables gouvernementaux luxembourgeois, d’autres États, outre l’Estonie et Monaco, ont manifesté leur intérêt pour une ambassade numérique. Le directeur du Centre des technologies et de l’information de l’État (CTIE), Patrick Houtsch, s’est entretenu avec la rédaction de la chaîne américaine NBC au sujet des ambassades numériques. Pour M. Houtsch, la particularité de ces centres de données réside dans le fait que le gouvernement luxembourgeois propose à ses pays partenaires des services assortis d’une immunité. Il semble toutefois absurde d’imaginer qu’il s’agisse d’une immunité contre les virus informatiques. Il s’agit plutôt ici d’immunité diplomatique. L’immunité diplomatique est étroitement liée au statut diplomatique, qui confère à une ambassadrice certains droits spéciaux et certaines exemptions.
Selon l’accord luxembourgeois-estonien, l’immunité ne s’applique toutefois pas aux personnes au sein d’une « data embassy ». Il s’agit des licences et des équipements situés dans les locaux de l’ambassade numérique, qui sont nécessaires au fonctionnement du centre de données. Mais pourquoi accorde-t-on une protection particulière aux équipements et aux licences, et non aux données stockées, qui constituent pourtant l’objet principal de cette initiative ? Enfin, le site Internet du gouvernement luxembourgeois précise que le concept d’« e-ambassade » s’accompagne de « l’hébergement de données sensibles dans un pays ami offrant des garanties d’immunité ».
La question parlementaire posée par Roth et Mosar s’adresse à deux ministres : Xavier Bettel et Jean Asselborn. Lorsque l’on appelle le ministère de l’Économie, on obtient la réponse suivante : les ambassades numériques font certes partie des thèmes abordés par les missions commerciales, mais, au-delà de cela, il s’agit de questions relevant de la protection diplomatique et de la mise à disposition d’infrastructures numériques. Il convient donc de s’adresser au ministère des Affaires étrangères et européennes ainsi qu’au ministère de la Numérisation. Au ministère des Affaires étrangères, on explique que les ambassades numériques constituent un « domaine de niche ». Du côté du CTIE également, aucune discussion approfondie n’a lieu pour l’instant. On nous répondra ultérieurement par une « réponse coordonnée ». Chez LuxConnect, un accord de confidentialité (agreement of non-disclosure) régit ce sujet.
Un détail important est que le « cloud souverain » de Monaco, c’est-à-dire son ambassade numérique au Luxembourg, devrait être géré par Amazon Web Services (AWS). Cela signifierait qu’outre les deux États et LuxConnect, Amazon ferait également partie du projet. Le géant de la technologie offrirait apparemment davantage de sécurité et de transparence. Grâce à cette nouvelle infrastructure numérique et à AWS, il serait désormais possible de crypter ses propres données. Telles sont les raisons du choix d’AWS, telles qu’elles sont exposées par des responsables gouvernementaux sur le site Internet Extended Monaco.
Lorsqu’on aborde avec Gilles Roth la participation d’Amazon à l’ambassade numérique de Monaco, il souligne que le Luxembourg n’y est « ni directement ni indirectement » impliqué. Il s’agit là d’un choix fait par la Principauté. En tant que député luxembourgeois, il n’est pas de son ressort de commenter cette question. À l’inverse, le parlementaire estime qu’il est bon qu’au Luxembourg, les données sensibles soient gérées « autant que possible » par des fonctionnaires. Néanmoins, dans le cas des systèmes de sauvegarde de nombreuses chaînes informatiques, c’est « en fin de compte » une entreprise privée qui est en charge. Selon M. Roth, il est toutefois juste que le premier responsable au Luxembourg soit un fonctionnaire de l’État qui soit en contact avec des données sensibles. Si l’on prend l’exemple du registre de la population luxembourgeois, M. Roth ne peut imaginer qu’un représentant d’Amazon y inscrive des informations relatives à l’état civil.
Dans ce contexte, un article publié en juillet par la Harvard Kennedy School prend tout son sens. L’auteure, Madalina Murariu, y examine les possibilités d’un échange de données fluide entre les États-Unis et l’Europe. La difficulté consiste à réglementer les flux internationaux de données entre les deux continents sans les entraver. La Cour de justice de l’Union européenne a à plusieurs reprises invalidé les accords provisoires entre les États-Unis et l’UE pour des raisons liées à la protection des données, la dernière fois en juillet 2020. La situation actuelle s’accompagne d’une longue liste de dispositions légales et pèse financièrement sur les entreprises concernées. Le nœud du problème : il y a beaucoup d’argent en jeu. Répartie entre 5 300 entreprises, dont Amazon, Facebook et Google, la valeur totale des transferts transatlantiques de données et d’informations est estimée à plus de 7,1 billions de dollars. Un chiffre astronomique : après le 7,1, on compte onze zéros avant la virgule.
Le point fort : le modèle de l’ambassade numérique de l’Estonie au Luxembourg est présenté dans l’article de Murarius comme une proposition plausible pour permettre un échange de données sans faille entre les deux rives de l’Atlantique. Le précédent créé en 2017 par l’Estonie et le Luxembourg avec le modèle de « l’ambassade numérique » pourrait faire école à l’échelle transcontinentale. En effet, comme le souligne l’article, le modèle de l’ambassade numérique pourrait ouvrir la voie à un « système bilatéral de données ou d’ambassade dans le cloud » entre l’UE et les États-Unis. Ainsi, du moins en théorie, les bases sont jetées pour une nouvelle autoroute transatlantique des données dans les deux sens.
Dans ce contexte, l’immunité diplomatique pourrait également entrer en jeu. Conformément à la Convention de Vienne sur les relations diplomatiques de 1961, l’immunité diplomatique est en principe réservée aux représentants de l’État. Mais si l’on appliquait cette immunité aux données, cela pourrait ouvrir de toutes nouvelles perspectives en matière de transfert transatlantique de données. Cela permettrait en effet de créer des espaces de données virtuels à l’étranger sans jamais avoir à mettre les pieds dans ce pays. En établissant des ambassades numériques à l’étranger, on pourrait, en théorie, obtenir dans le pays d’accueil des espaces de données relevant de sa propre juridiction et bénéficiant de garanties d’immunité. La souveraineté en matière de données deviendrait ainsi inviolable, même à distance.
Mais le rempart que constitue le règlement européen sur la protection des données peut-il être contourné aussi facilement ? Probablement pas. En effet, l’immunité des données ne doit pas devenir une faille permettant au terrorisme et aux crimes graves de s’engouffrer. Il faudrait donc, à l’avenir, adopter des dispositions afin que l’immunité des données ne s’applique que dans certains domaines. Ces conclusions ressortent des discussions entre le ministère américain de la Justice et la Commission européenne, selon le document.
Gilles Roth soulève par ailleurs la question de savoir si un message numérique bénéficie également de privilèges financiers. Il pense notamment au Freeport Luxembourg à Findel (alias Luxembourg High Security Hub), où il est possible d’entreposer temporairement des œuvres d’art de grande valeur. Le Freeport est ce qu’on appelle un « port franc ». Tant que des œuvres d’art y sont entreposées pour y être réparées ou dans le cadre d’une transaction financière, elles ne sont pas soumises à imposition. Ces objets ne sont imposés ou soumis à des droits de douane que lorsqu’ils quittent le Freeport. Une loi avait été votée à l’époque pour le Freeport, et la question se pose désormais de savoir si l’accord bilatéral relatif à l’ambassade numérique ne doit pas être considéré comme un traité, qui doit d’abord être ratifié par une loi. En effet, s’il s’agit d’un contrat, il faudrait vérifier s’il peut également être approuvé au regard du droit constitutionnel.
Comme l’indique l’article du Monaco-Matin, LuxConnect mettrait à disposition l’infrastructure numérique, à l’instar de ce qui a été fait pour l’ambassade numérique de l’Estonie. Ces coffres-forts hautement sécurisés pour les données ne seraient pas « piratables », a déclaré Perry Wies, responsable du centre de données de LuxConnect à Bissen, au quotidien monégasque. En cas d’urgence, le réseau serait isolé afin d’éviter toute fuite de données. Il incomberait ensuite au client, c’est-à-dire à Monaco, de protéger ses données de manière adéquate.
Protéger les données de l’État contre les catastrophes naturelles et les cyberattaques serait la raison officielle pour laquelle Monaco a besoin d’une ambassade numérique au Luxembourg. Personne ne pouvait se douter que l’accord entre Dartout et Bettel serait signé précisément le jour où les serveurs de la Cloche d’Or ont été touchés par les inondations. Le directeur monégasque des plateformes et des ressources numériques est néanmoins convaincu que l’ambassade numérique au Luxembourg constitue « un véritable coffre-fort ». On ignore toutefois dans quelle mesure le fait que de tels phénomènes météorologiques se multiplieront à l’avenir en raison de la crise climatique entre en ligne de compte.
En parcourant l’accord conclu entre le Luxembourg et l’Estonie, on découvre des détails intéressants à ce sujet. Cet accord oblige le Luxembourg à protéger l’ambassade numérique de l’Estonie et ses locaux contre tout « dommage et intrusion ». Compte tenu des dangers croissants liés à l’aggravation de la crise climatique, on peut se demander combien de temps le Luxembourg pourra garantir de manière fiable une telle protection. Les tornades, les inondations et les vagues de chaleur ne sont plus des phénomènes inconnus au Luxembourg. Sans parler d’une tempête solaire, qui pourrait s’avérer fatale pour les infrastructures électriques.
La question peut aussi se poser dans l’autre sens : que se passerait-il si le Luxembourg, en tant que pôle de données, se retrouvait dans le collimateur d’autres nations ? Ou si l’expérience de pensée d’Arte et de la NDR intitulée « An zéro : Comment le Luxembourg a disparu » (2021) devenait réalité ? Mais d’ailleurs, peut-on être citoyen·ne d’un pays s’il est devenu inhabitable ou s’il a été occupé ? Le Luxembourg n’aurait-il pas lui-même besoin d’une ambassade numérique à l’étranger ? Peut-être. Quoi qu’il en soit, d’un point de vue technique, rien ne s’oppose à la création d’un « État issu d’un serveur ».
L’histoire de la première ambassade numérique au monde, située au Luxembourg, commence en 2007 en Estonie. À l’époque, cet État balte a fait l’expérience directe de ce que signifient les cyberconflits. Selon le site web e-estonia, une cyberattaque russe menée il y a près de quinze ans a réussi « à mettre hors ligne cinquante-huit sites web estoniens d’un seul coup, dont ceux du gouvernement, de la plupart des journaux et de nombreuses banques ». C’est au plus tard lorsque la Russie a annexé la Crimée en 2014, en violation du droit international, que le gouvernement estonien a pleinement pris conscience qu’un sort similaire pourrait l’attendre. L’ambassade des données pourrait s’avérer être un facteur de stabilité à l’ère numérique. En 2019, un doctorant en droit de l’université de Varsovie a tiré la conclusion suivante dans un article : si quelqu’un attaquait l’ambassade numérique au Luxembourg, l’agresseur mettrait en péril non seulement les relations diplomatiques avec l’Estonie, mais aussi celles avec le Grand-Duché. Si l’on suit ce raisonnement, cela pourrait marquer le début d’un « Pacte de Varsovie 2.0 ».
