Pinduoduo a supprimé vos photos. Google a supprimé Pinduoduo.

Imaginez : vous ouvrez votre galerie, et des photos ont disparu. Vous ne les avez pas effacées. Personne dans votre entourage n'a touché à votre téléphone. Et pourtant, elles ne sont plus là. C'est exactement ce que des utilisateurs ont raconté en mars 2023 à propos de l'application Pinduoduo : selon des reportages et des chercheurs en sécurité relayés par la presse, l'application se serait livrée à des comportements dépassant ses prérogatives, dont la suppression de photos dans la galerie des utilisateurs. L'affaire a fait grand bruit. Puis Google a retiré Pinduoduo de son magasin d'applications, Google Play, en invoquant la présence de logiciels malveillants.

Peu importe, au fond, ce que l'on pense de cette entreprise en particulier. Ce qui devrait nous glacer, c'est la leçon structurelle : une application installée sur votre téléphone a été en mesure de toucher à vos photos. Et si elle a pu le faire, d'autres le peuvent aussi.

« C'est dans mon téléphone » ne veut pas dire « c'est à moi »

Nous raisonnons comme si notre téléphone était une extension de notre maison : ce qui s'y trouve nous appartient, et nous seuls décidons de son sort. C'est faux. Un téléphone moderne est un immeuble dont vous n'êtes pas le seul à détenir les clés. Chaque application installée est un locataire, et les autorisations que vous lui accordez sont les pièces auxquelles vous lui donnez accès.

Quand une application demande « accès complet aux photos » ou « accès à tous les fichiers », elle ne demande pas une faveur. Elle obtient une capacité technique : lire, modifier, supprimer. Les petites lignes des conditions d'utilisation ne changent rien à ce fait technique. Une permission accordée, c'est un pouvoir concédé. Et un pouvoir concédé peut être exercé — par l'application elle-même, par une mise à jour, par un prestataire tiers, ou par une faille que quelqu'un d'autre exploitera.

La méfiance des utilisateurs européens envers les permissions des applications n'est pas de la paranoïa, c'est du bon sens. Nous avons appris, scandale après scandale, que « nous ne lirons jamais vos données » est une promesse, tandis que l'autorisation accordée est une réalité technique. Les promesses se rompent ; les capacités, elles, restent tant qu'on ne les retire pas.

Le cloud ne vous sauve pas : il synchronise aussi les dégâts

On se rassure souvent en se disant que les photos sont « aussi dans le cloud ». Mais la synchronisation est à double sens : ce qui disparaît du téléphone peut disparaître du cloud, et ce qui est modifié d'un côté se propage de l'autre. La galerie synchronisée n'est pas une sauvegarde indépendante, c'est un miroir. Et un miroir reflète aussi les destructions.

Pire, le cloud ajoute ses propres intermédiaires : le fournisseur, ses sous-traitants, ses obligations légales dans plusieurs juridictions, ses conditions de service qui changent unilatéralement. Vos photos traversent plus de mains dans le cloud que dans votre poche. Chaque main supplémentaire est une personne — ou un système — capable, en principe, de les voir, de les déplacer ou de les effacer.

« Je n'ai rien supprimé » n'est pas une protection

L'argument qui revient toujours, c'est : « mais moi, je n'ai rien supprimé ». C'est vrai, et c'est hors sujet. La question n'est pas ce que vous avez fait. La question est : qui d'autre a la capacité de le faire ? Tant que vos souvenirs vivent sur un appareil où des dizaines d'applications détiennent des accès étendus, la réponse est : beaucoup de monde. Chaque application est un intermédiaire potentiel. Chaque mise à jour automatique est une nouvelle version du contrat que vous n'avez pas relu.

C'est cela, le vrai scandale de l'affaire de mars 2023 : non pas qu'une application en particulier ait franchi la ligne, mais qu'elle ait démontré publiquement que la ligne pouvait être franchie. Google l'a retirée de sa boutique — après coup, comme toujours. La sanction est venue après la suppression. Pour l'utilisateur qui a perdu ses photos, la radiation de l'application ne les a pas ramenées.

Ce qui ne peut pas être touché ne peut pas être effacé

Il faut renverser le raisonnement. On ne protège pas ce qui doit rester invisible en multipliant les promesses — « cette application est sûre », « ce cloud est chiffré », « ce fournisseur est sérieux ». On le protège en supprimant la capacité même d'y toucher. Un support hors ligne n'a pas de liste d'autorisations. Il n'a pas d'applications, pas de mises à jour en arrière-plan, pas de synchronisation, pas de compte partagé. Personne ne peut l'effacer à distance, parce qu'il n'est relié à rien.

C'est la différence entre « on vous promet de ne pas toucher à vos affaires » et « personne n'est en mesure de les toucher ». La première formule repose sur la confiance ; la seconde, sur la structure. Et quand il s'agit de choses que personne ne doit jamais voir ni modifier, la structure vaut mieux que la promesse.

Confier, c'est retirer ses souvenirs du champ de bataille des permissions

La solution n'est pas de devenir un expert en paramètres de confidentialité, de passer ses soirées à éplucher les autorisations de chaque application. Personne ne le fera durablement, et personne ne devrait avoir à le faire. La solution, c'est de sortir ce qui compte vraiment du téléphone — et du cloud qui le reflète — pour le confier à des professionnels dont c'est le métier de garder, pas de regarder.

Concrètement, cela veut dire : un support que vous préparez vous-même, reçu, numéroté, scellé, vérifié par deux personnes et photographié à son entrée. Une garde dédiée, hors ligne, loin de toute application et de toute permission. Tous les six mois, une inspection visuelle du scellé et de l'aspect extérieur, avec photographie, sans aucun contact avec le contenu. Toute vérification plus poussée n'a lieu qu'avec votre accord écrit. Rien n'est branché, rien n'est ouvert, rien n'est « vérifié sous tension » par défaut.

Sénèque écrivait que nous souffrons plus souvent dans notre imagination que dans la réalité. Pour nos souvenirs numériques, c'est l'inverse : nous imaginons qu'ils sont en sécurité parce qu'ils sont « chez nous », dans notre téléphone, alors que la réalité technique dit qu'ils sont à la portée de dizaines d'intermédiaires invisibles. La tranquillité d'esprit ne vient pas d'une application de plus, ni d'un réglage de plus. Elle vient d'un lieu où il n'y a plus personne entre vous et ce que vous gardez — sinon des professionnels tenus par une procédure écrite, un numéro et un scellé.

Pinduoduo a supprimé des photos. Google a supprimé Pinduoduo. Ni l'un ni l'autre ne vous rendra ce qui a disparu. La seule protection qui ne dépend d'aucune entreprise, d'aucune boutique d'applications, d'aucune promesse de confidentialité, c'est de placer ce qui ne doit jamais être vu ni touché là où personne n'a la capacité de le toucher. Hors ligne. Scellé. Gardé.