JO Paris 2024 : inquiétudes sur le stockage de données par le géant chinois Alibaba

Paris - L'intervention du géant chinois du commerce en ligne Alibaba dans les JO de Paris 2024 en tant que "top" sponsor du CIO fait l'objet d'une bagarre en coulisses, visant à ce qu'il ne puisse pas héberger ni accéder aux données sensibles.

"Il y a bagarre", a reconnu mi-octobre Guillaume Poupard, directeur général de l'Agence française de la sécurité des systèmes d'information (Anssi).

"On se bat, on explique que pour des raisons de sécurité, y compris de données personnelles, ce n'est pas possible", a-t-il ajouté, sans plus de détails.

Alibaba, symbole de la réussite de la Chine dans l'économie numérique mais actuellement dans le viseur des autorités chinoises, fait partie de la quinzaine de "top sponsors" du Comité international olympique (CIO).

Le partenariat remonte à 2018, pour les JO d'hiver de PyeongChang, en Corée du Sud. La perspective qu'il héberge plusieurs applications névralgiques dans son cloud étonne voire effraie dans le monde feutré de la sécurité informatique français, au nom de la la souveraineté numérique.

Selon des sources ayant connaissance du dossier, il est par exemple prévu que le fichier des personnes accréditées soit abrité par le cloud Alibaba, soit des dizaines de milliers de coordonnées, y compris des autorités, comme celles de policiers par exemple.

Difficile à admettre pour le ministère de l'Intérieur. Mi-septembre, lors d'une table ronde organisée par le cercle européen de la sécurité des systèmes d'information, le préfet coordonnateur pour la sécurité des Jeux olympiques et paralympiques de 2024, Ziad Khouri, avait évoqué des "échanges dans les prochains jours" sur cette question.

"C'est un sujet assez compliqué. Il va falloir l'approfondir très rapidement avec le monde olympique, pour voir un peu comment on fait en fonction de toutes les contraintes", avait ajouté ce responsable qui dépend du ministère de l'Intérieur.

Depuis, rien n'a filtré de ces "échanges", ni de l'ampleur de la "bagarre" évoquée par l'Anssi.

"Oui il y a bien un problème Alibaba", reconnaît un conseiller ministériel, mais ni le secrétariat d'État au numérique, ni la délégation interministérielle aux JO n'en diront plus.

Interrogé par l'AFP, le comité d'organisation des JO (Cojo) de Paris 2024 indique juste que "s'agissant de la collecte, du traitement et de l'hébergement des données des accrédités, les travaux sont toujours en cours et font l'objet de discussions spécifiques avec les autorités".

'Pressions étatiques'

Pour le reste, Alibaba "héberge les applications du Cojo, dont son site Internet". "La billetterie des Jeux, quant à elle, sera opérée par un spécialiste européen ayant remporté l'appel d'offre public", a précisé le Cojo.

Pour Alain Bouillé, le délégué général du Cesin qui rassemble des responsables de sécurité informatique, "les autorités sont plus obnubilées par le nombre de cyber-attaques potentielles que par le sponsoring d'Alibaba". Or, "avec les Américains et les +Gafam+, on arrive à faire des choses, mais avec les Chinois il n'y a pas d'accord", avertit-il. "Si on donne des données à Alibaba, on sait que le gouvernement chinois peut y avoir accès", résume-t-il.

Le Cojo affirme, lui, que toutes les données seront protégées par le Règlement général sur la protection des données (RGPD) de l'Union européenne, régissant la protection des données à caractère personnel, et que "toutes les données seront hébergées en Europe".

Il vient de nommer un "Data Protection Officer (DPO)" pour veiller au bon respect de cette réglementation et se dit "intransigeant" sur le sujet.

Cela sera-t-il suffisant? "Le RGPD ne garantit pas la souveraineté des données", réagit M. Bouillé.

Le groupe français Atos, lui aussi sponsor du CIO, "peut mettre à disposition des outils", explique un connaisseur du secteur.

"On peut imaginer que tout ce qui sera stratégique puisse être du ressort d'Atos", abonde Alain Bouillé. Ce sujet à ramification géopolitique n'est pas encore tranché.

La Commission française de l'informatique et des libertés (CNIL) dit ne pas avoir été saisie. Interrogé par l'AFP, Alibaba n'a pas souhaité répondre.

De son côté, mi-septembre, le directeur délégué sécurité du Cojo Thomas Collomb pointait : "C'est très compliqué pour un comité d'organisation d'écarter un partenaire du CIO", "sauf à ce qu'il y ait des pressions étatiques très fortes".