Le 9 août, une Saoudienne a été condamné à 34 ans de prison par les tristement célèbres du Royaume d’Arabie saoudite tribunal pénal spécialisé à Riyad. Son crime ? Avoir un compte Twitter et suivre et retweeter des dissidents et des militants.

Le même jour, un jury fédéral de San Francisco a été reconnu coupable un ancien employé de Twitter de blanchiment d’argent et d’autres accusations d’espionnage – au nom du royaume – sur des utilisateurs de Twitter critiques du gouvernement saoudien.

Ce ne sont là que les derniers exemples de Le bilan lamentable de l’Arabie saoudite de l’espionnage numérique, y compris l’infiltration des plateformes de médias sociaux, la cybersurveillance, la répression de la dissidence publique et la censure de ceux qui critiquent le gouvernement. Pourtant, dans ce contexte de répression généralisée et de surveillance abusive, Google va de l’avant avec l’intention de mettre en place, en partenariat avec la société d’État Saudi Aramco, un énorme centre de données en Arabie saoudite pour sa plate-forme de cloud computing au service des clients professionnels.

Ces centres de données cloud, qui existe déjà à Jakarta, Tel Aviv, Berlin, Santiago, chili, Londres, Los Angeles et des dizaines d’autres villes à travers le monde, sont utilisés par les entreprises pour gérer tous les aspects de leurs activités. Ils stockent des données, gèrent des bases de données et fournissent des services informatiques aux services des ressources humaines, du service client, des services juridiques, de sécurité et de communication de l’entreprise.

En tant que tels, ils peuvent héberger des tonnes d’informations personnelles sur les employés et les clients, y compris des dossiers personnels, des courriels, des documents confidentiels, etc. Le centre cloud de la région saoudienne est en cours de développement « avec un accent particulier sur les entreprises du Royaume ». Google a dit.

Avec le piètre bilan de l’Arabie saoudite en matière de droits de l’homme, il est difficile de voir comment ou même si Google peut assurer la confidentialité et la sécurité des personnes dont les données résideront dans ce cloud. L’Arabie saoudite a prouvé à maintes reprises qu’elle exploite l’accès aux données privées pour cibler les militants, les dissidents et les journalistes, et qu’elle fera de grands efforts pour obtenir illégalement des informations auprès des entreprises technologiques américaines afin d’identifier, de localiser et de punir les citoyens saoudiens qui critiquent les politiques gouvernementales et la famille royale.

Des agents saoudiens ont infiltré Twitter en 2014 et ont utilisé les informations d’identification de leurs employés pour accéder à des informations sur des personnes derrière certains comptes Twitter critiques du gouvernement, y compris les adresses e-mail, les numéros de téléphone, les adresses IP et les dates de naissance des propriétaires de comptes. selon au département de la Justice des États-Unis. L’information aurait été utilisée pour identifier un travailleur humanitaire saoudien qui a été condamné à 20 ans de prison pour avoir prétendument utilisé un compte Twitter satirique pour se moquer du gouvernement.

Entre-temps une enquête du Citizen Lab a conclu avec une « grande confiance » qu’en 2018, le téléphone mobile d’un éminent militant saoudien basé au Canada a été infecté par un logiciel espion qui permet un accès complet aux chats, aux courriels, aux photos, aux microphones et à la caméra de l’appareil. Et pas plus tard que la semaine dernière, l’épouse du journaliste saoudien assassiné Jamal Khashoggi a annoncé qu’elle était poursuivre le groupe NSO sur une surveillance présumée d’elle par le biais du logiciel espion Pegasus. Ce ne sont là que quelques exemples de la guerre numérique du gouvernement saoudien contre la liberté d’expression.

Les défenseurs des droits de l’homme et de la vie privée numérique, y compris l’EFF, ont appelé sur Google d’arrêter de travailler sur le centre de données jusqu’à ce qu’il ait effectué un examen de diligence raisonnable sur les risques pour les droits de l’homme posés par le projet et décrit le type de demandes gouvernementales de données qui sont incompatibles avec les normes des droits de l’homme et devraient être rejetées par l’entreprise. Trente-neuf groupes et individus de défense des droits de l’homme et des droits numériques ont décrit quatre mesures spécifiques que Google devrait prendre pour travailler avec les groupes de défense des droits de l’homme de la région afin d’évaluer les risques que son plan impose aux groupes potentiellement touchés et d’élaborer des normes pour l’hébergement des services cloud.

Google a dit qu’une évaluation indépendante des droits de l’homme a été menée pour le centre de cloud saoudien et que des mesures ont été prises pour répondre aux préoccupations, mais qu’elle n’a pas divulgué l’évaluation ni aucun détail sur l’atténuation, telles que les mesures qu’il prend pour s’assurer que les agents saoudiens ne peuvent pas infiltrer le centre comme ils l’ont fait sur Twitter, comment les données personnelles sont protégées contre un accès inapproprié, et s’il résistera aux demandes du gouvernement pour les données des utilisateurs qui sont légales en vertu de la loi saoudienne mais qui ne sont pas conformes aux normes internationales les normes relatives aux droits de l’homme.

« Le gouvernement saoudien a démontré à maintes reprises un mépris flagrant pour les droits de l’homme, à la fois par ses propres actions directes contre les défenseurs des droits humains et par son espionnage sur les plateformes numériques des entreprises pour faire de même », indique le communiqué des groupes de défense des droits de l’homme. « Nous craignons qu’en s’associant avec le gouvernement saoudien, Google ne devienne complice de futures violations des droits humains affectant les populations en Arabie saoudite et dans la région du Moyen-Orient. »

Ce n’est pas la première fois que les plans de Google de faire des affaires avec des gouvernements autoritaires et de tirer profit de ceux-ci suscitent l’indignation. En 2018, The Intercept décelé que Google prévoyait de publier une version censurée de son service de moteur de recherche en Chine. « Project Dragonfly » était un plan secret visant à créer un outil de recherche censuré et traçable pour le gouvernement chinois, ce qui soulevait un risque réel que Google aide directement le gouvernement chinois à arrêter ou à emprisonner des personnes simplement pour avoir exprimé leurs opinions en ligne.

Google a fini par reculer, dire au Congrès qu’il avait mis fin au projet Dragonfly. Malheureusement, nous n’avons vu aucun signe que Google réévalue ses plans pour le centre de cloud saoudien, malgré les preuves accablantes que l’abandon d’une telle mine de données personnelles potentiellement sensibles dans un pays qui n’a aucun scrupule à accéder, par quelque moyen que ce soit, à l’information afin qu’il puisse identifier et punir ses critiques mettra presque certainement en danger non seulement les militants, mais aussi les gens ordinaires pour avoir simplement exprimé des opinions.

En effet, en juin, la direction de l’entreprise Alphabet, la société mère de Google, a exhorté les actionnaires à rejeter une résolution qui nécessiterait l’entreprise pour publier une évaluation de l’impact sur les droits de l’homme et un plan d’atténuation pour les centres de données situés dans des zones présentant des risques importants pour les droits de l’homme, y compris l’Arabie saoudite. Il a même demandé à la Securities and Exchange Commission d’exclure la résolution de sa circulaire de sollicitation de procurations de 2022 parce que, entre autres, elle a déjà mis en œuvre ses éléments essentiels.

Mais ce n’était guère le cas. Plus précisément, Google a déclaré qu’il s’engageait à respecter les normes des Principes directeurs des Nations Unies relatifs aux entreprises et aux droits de l’homme (UNGP) et à la Global Network Initiative (GNI) lors de son expansion dans de nouveaux endroits. Ces normes exigent des « rapports formels » lorsqu’il existe de graves répercussions sur les droits de la personne en raison des activités commerciales ou des contextes d’exploitation, la transparence avec le public et une évaluation indépendante de la façon dont les protections des droits de la personne sont respectées.

Google a fait le contraire – il aurait mené une évaluation des droits de l’homme pour le centre cloud en Arabie saoudite et abordé les « questions identifiées » dans cet examen, mais n’a publié aucun détail ni aucun rapport public.

La résolution des actionnaires était vaincu lors de la réunion annuelle d’Alphabet. La bonne nouvelle est qu’une majorité (57,6%) des actionnaires indépendants ont voté en faveur de la résolution, démontrant l’alignement avec les groupes de défense des droits qui veulent que Google fasse ce qu’il faut et montre qu’il connaît très bien les risques que ce centre du cloud pose aux droits de l’homme dans la région en révélant exactement comment il prévoit de protéger les gens face à un gouvernement déterminé à punir la dissidence.

Si Google ne peut pas respecter ses engagements en matière de droits de l’homme et ses affirmations selon lesquelles il a « abordé des questions » qui mettent littéralement en danger la vie et la liberté des gens – et nous nous demandons s’il le peut – alors il devrait renoncer à ce plan périlleux. EFF et une foule de groupes à travers le monde et dans la région seront à l’affût.