Alerte Qwant transmise à Philippe Englebert en 2019 : réception, promesse de vérification et absence de retour documenté📋

Conclusion documentaire

La pièce reproduit un échange intervenu autour des 11 et 12 juin 2019 entre Stéphane Erard et Philippe Englebert. Ce dernier était alors conseiller entreprises et écosystèmes au cabinet de Cédric O, secrétaire d'État chargé du numérique. Il n'était pas encore conseiller à la présidence de la République.

L'échange documente la transmission d'une alerte précise sur la dépendance de Qwant à Bing, le code de 2016, les conditions d'un audit antérieur et l'envoi de données techniques à Microsoft. Philippe Englebert répond que des administrations compétentes réalisent un audit détaillé, demande un courriel, garantit qu'il ne sera pas envoyé à Qwant, accuse réception de deux envois et paraît transmettre le dossier à un autre interlocuteur avant un audit.

Cette pièce établit donc la réception de l'alerte à un niveau gouvernemental et l'annonce d'une vérification. Rapprochée du périmètre de l'audit interministériel publié en 2019, elle montre qu'aucun examen du code historique de 2016 n'est documenté dans l'audit rendu public : l'analyse disponible porte sur l'état contemporain de Qwant et ne contient aucune étude de l'historique Git transmis. Le corpus ne documente ensuite ni analyse historique distincte, ni retour motivé, ni dépôt de plainte, ni signalement au procureur par la DINUM ou les administrations destinataires.

1. Qui était Philippe Englebert en 2019 ?📋

Le Journal officiel du 13 avril 2019↗ (ouvre dans une nouvelle fenêtre) établit que Philippe Englebert a été nommé « conseiller entreprises et écosystèmes » au cabinet de Cédric O à compter du 1er avril 2019.

Cédric O était alors secrétaire d'État auprès du ministre de l'Économie et des Finances et du ministre de l'Action et des Comptes publics, chargé du numérique. Le décret du 10 avril 2019 relatif à ses attributions↗ (ouvre dans une nouvelle fenêtre) lui confiait notamment les questions relatives :

• au développement de l'économie numérique ;
• à la transformation numérique des entreprises ;
• aux communications électroniques ;
• au développement des entreprises et acteurs français du numérique ;
• au programme des investissements d'avenir dans le domaine numérique.

La signature du courriel reproduit en page 10 de la pièce correspond exactement à cette fonction : « Conseiller entreprises & écosystèmes au cabinet de Cédric O, Secrétaire d'État chargé du Numérique ».

Philippe Englebert n'a été nommé à la présidence de la République que plus tard, comme conseiller technique entreprises, attractivité et export à compter du 1er octobre 2020, selon l'arrêté du 5 octobre 2020↗ (ouvre dans une nouvelle fenêtre).

Le nom de fichier « alerte auprès de l'Élysée » doit donc être compris comme un raccourci rétrospectif : en juin 2019, l'alerte est adressée à un membre du cabinet gouvernemental chargé du numérique, qui rejoindra l'Élysée l'année suivante.

2. Nature, date et limites matérielles de la pièce📋

Le document local est un PDF composite de dix pages :

Ouvrir la pièce 15 - Discussion avec Philippe Englebert

Il associe :

1. une introduction et des commentaires rédigés par Stéphane Erard ;
2. des captures successives d'une messagerie Twitter ;
3. des extraits de code et de pièces communiqués pendant l'échange ;
4. la capture d'un courriel de mise en relation daté du 12 juin 2019.

Les messages Twitter portent des heures et l'indication relative « Hier », sans date civile visible. Le courriel de la dernière page est daté du mercredi 12 juin 2019. Il est donc raisonnable d'en déduire que l'essentiel de la conversation Twitter a eu lieu autour du 11 juin 2019, mais cette date reste une inférence.

Le PDF lui-même a été produit le 25 juillet 2026. Il conserve visuellement les échanges, mais il ne s'agit ni d'un export natif de Twitter, ni d'un fichier de messagerie original au format EML. En l'absence de ces originaux, la pièce ne permet pas de vérifier par ses seules métadonnées :

• l'exhaustivité de la conversation ;
• l'absence de messages supprimés ou omis ;
• la date absolue de chaque message Twitter ;
• les en-têtes techniques et les destinataires complets du courriel ;
• l'identité du « Côme » auquel la dernière page semble s'adresser.

3. Déroulement documenté de l'alerte📋

Le volet financier de l'alerte📋

L'échange visible nomme directement la Caisse des Dépôts et Bpifrance. Il s'inscrit dans un volet financier plus large concernant trois institutions dont les situations doivent rester distinguées :

• la CDC, qui a investi 15 millions d'euros en 2017 : les informations et diligences ayant déterminé cet investissement restent à obtenir ;
• Bpifrance, interrogée dans l'échange sur son rôle et dont le refus allégué de participer à l'opération constitue un signal de due diligence à éclaircir, sans qu'elle soit documentée comme investisseur victime de la levée de 2017 ;
• la Banque européenne d'investissement, qui a accordé un financement de 25 millions d'euros en 2015 : il faut déterminer quelles déclarations techniques et relatives aux données ont été remises, et si elles ont influencé la décision.

Le financement et les représentations publiques sont documentés. Le contenu contractuel, l'intention et le lien causal nécessaires à une qualification de fraude à l'investissement ou au prêt ne le sont pas encore.

Il ne faut donc pas réduire mon alerte à une simple question technique sur Bing. La question posée était aussi de savoir si les représentations relatives à la technologie, à l'autonomie et à la protection des données avaient déterminé des décisions d'investissement ou de prêt publics.

4. Ce que l'échange établit📋

Une alerte gouvernementale antérieure à l'audit technique de 2019📋

La séquence est antérieure à l'audit technique partiel de Qwant réalisé en août 2019 par une équipe interministérielle. Le courriel de la page 10 parle explicitement d'une discussion souhaitée « avant l'audit de Qwant ».

La pièce montre ainsi que, plusieurs semaines avant cet audit, un conseiller du cabinet chargé du numérique avait reçu des accusations précises concernant :

• la dépendance de Qwant à Bing en 2016 ;
• la différence possible entre le code de 2016 et le code présenté lors d'un contrôle ultérieur ;
• l'historique Git de search_web.php ;
• le traitement des requêtes et l'envoi allégué à Microsoft d'une adresse IPv4 tronquée et d'un agent utilisateur ;
• la différence entre anonymisation et pseudonymisation ;
• le rôle financier allégué de la Caisse des dépôts et de Bpifrance.

Ce n'était donc pas un signalement abstrait. Il était accompagné de propositions de preuve, de captures de code, d'un historique versionné annoncé et de références à des procédures déjà engagées.

Une volonté déclarée de vérifier sans avertir Qwant📋

Deux formulations sont particulièrement significatives :

• Philippe Englebert dit que des administrations réalisent un « audit détaillé » et que des mesures seront prises si le code ne correspond pas aux déclarations de Qwant ;
• le courriel de transmission indique qu'il est important que Qwant ne soit pas informé des échanges.

Ces éléments sont compatibles avec une volonté de préserver l'utilité d'un contrôle et d'éviter que l'entreprise adapte sa présentation en connaissance du signalement. Ils ne démontrent toutefois ni la mise en place d'un protocole formel de protection du lanceur d'alerte, ni l'ouverture d'une enquête distincte, ni la conservation effective de cette confidentialité.

5. Rapprochement avec les constats ultérieurs📋

L'analyse de l'audit DINUM de 2019 montre que les questions soulevées en juin n'étaient pas dépourvues de pertinence technique. À la date de l'audit, le service portait encore le nom de DINSIC ; il est devenu la DINUM en octobre 2019. L'audit partiel réalisé en août 2019 constatait notamment :

• une version 2 encore à l'état de prototype ;
• un recours toujours important à Bing ;
• l'impossibilité de quantifier avec précision le chemin réel des réponses en production ;
• l'impossibilité d'exclure que l'essentiel, voire la quasi-totalité, des réponses provienne de Bing dans certains scénarios.

De même, l'analyse de la plainte CNIL rappelle que la CNIL a ultérieurement considéré que les données transmises à Microsoft ne pouvaient pas être qualifiées d'anonymes mais de pseudonymes, et que l'information fournie aux utilisateurs était alors inexacte ou incomplète.

Ces constats ultérieurs corroborent une partie des préoccupations techniques exprimées pendant la conversation. Ils ne prouvent pas :

• que Philippe Englebert a personnellement dirigé l'audit ;
• que les administrations ont validé l'affirmation d'un recours à Bing de 100 % en 2016 ;
• que Qwant a obtenu des financements par fraude ;
• que l'absence de retour adressé à Stéphane Erard signifie une absence totale de traitement interne.

Aucun examen du code de 2016 n'est documenté dans l'audit publié📋

Sur ce point, le rapprochement des pièces permet une conclusion plus précise qu'une simple « absence de retour » :

1. j'ai proposé à Philippe Englebert le code de search_web.php de 2016 et l'historique Git de 2011 à 2017 ;
2. il m'a d'abord répondu que les équipes regardaient le code utilisé « en ce moment » ;
3. il a ensuite accusé réception de mes envois et annoncé un audit détaillé par les administrations compétentes ;
4. l'audit interministériel documenté en août 2019 analyse la V1, la V2 et la dépendance contemporaine à Bing, mais ne reproduit aucune analyse du code de 2016, de ses commits, de ses tags ni de l'historique Git transmis.

En l'état du corpus, aucun examen du code de 2016 n'est documenté dans l'audit DINUM publié ni dans les autres pièces réunies. Cette conclusion ciblée n'équivaut pas à dire qu'aucune vérification contemporaine de Qwant ni aucune analyse non publique n'a eu lieu : l'audit de 2019 a bien existé, mais son document publié ne répond pas à la demande historique qui permettait d'examiner les représentations faites au moment des financements.

Aucune plainte ni transmission au procureur documentée📋

Le corpus ne contient aucun dépôt de plainte de la DINUM et aucun signalement au procureur effectué par elle ou par une autre administration destinataire de cette alerte.

La DINUM se présente comme la cheffe de file du numérique de l'État↗ (ouvre dans une nouvelle fenêtre), chargée d'orienter, de soutenir et de coordonner l'action numérique des administrations et de conseiller le Gouvernement. Par ailleurs, l'article 40 du Code de procédure pénale↗ (ouvre dans une nouvelle fenêtre) prévoit que toute autorité constituée ou tout fonctionnaire qui acquiert, dans l'exercice de ses fonctions, la connaissance d'un crime ou d'un délit doit en aviser sans délai le procureur et lui transmettre les éléments utiles.

Cela ne permet pas d'affirmer, sans pièces internes, que les conditions juridiques de l'article 40 étaient nécessairement tenues pour réunies par chaque agent. Mais cela établit que les administrations compétentes disposaient d'une voie institutionnelle pour saisir l'autorité judiciaire. Dès lors, la question politique et administrative demeure : si la direction interministérielle du numérique ne contrôle pas le code historique précis qui lui est transmis à l'appui d'une fraude alléguée aux financements publics et ne saisit pas davantage l'autorité judiciaire, à quoi sert-elle dans un tel dossier ?

6. Portée probatoire et formulations à retenir📋

Formulations soutenues par la pièce📋

• Stéphane Erard a alerté Philippe Englebert en juin 2019 sur Qwant, Bing, le code de 2016 et les données transmises à Microsoft.
• Philippe Englebert occupait alors une fonction officielle au cabinet du secrétaire d'État chargé du numérique.
• Il a accusé réception de documents et annoncé des vérifications par les administrations compétentes.
• Il a demandé que Qwant ne soit pas informé de ces échanges.
• La pièce ne conserve pas de réponse finale expliquant le résultat du traitement de l'alerte.
• L'audit DINUM documenté en 2019 ne comporte aucune analyse du code historique de 2016 que Stéphane Erard avait demandé de contrôler.
• Le corpus ne documente ni plainte de la DINUM, ni transmission au procureur sur le fondement de l'article 40.

Formulations que la pièce ne suffit pas à établir📋

• « L'Élysée a été alerté en 2019 » : Philippe Englebert ne travaillait pas encore à la présidence.
• « L'État a confirmé une fraude » : aucun message reproduit ne formule une telle conclusion.
• « Aucune vérification n'a eu lieu » : cette formule serait trop large, puisqu'un audit contemporain a été réalisé ; la conclusion étayée est qu'aucun examen du code historique de 2016 n'apparaît dans l'audit publié ou les pièces actuellement disponibles.
• « Le conseiller a enterré l'alerte » : le courriel de transmission suggère au contraire une circulation interne, dont la suite reste inconnue.
• « Toutes les promesses ont été tenues » : aucun rapport de suivi ni compte rendu adressé à Stéphane Erard n'est joint.

La qualification la plus exacte est donc : alerte technique et financière reçue par le cabinet gouvernemental chargé du numérique, apparemment transmise avant l'audit de Qwant, mais sans audit DINUM documenté du code de 2016 demandé, sans retour final, sans plainte et sans signalement au procureur conservés dans le corpus.

7. Reproduction intégrale de la pièce📋

Données personnelles

Les pages 6, 7, 9 et 10 reproduisent des coordonnées électroniques ou téléphoniques. Une copie expurgée doit être préparée avant toute diffusion publique ne nécessitant pas ces informations.

Chaque image ouvre la page correspondante du PDF original.

Sources institutionnelles📋

• Arrêté du 7 avril 2019 portant nomination au cabinet du secrétaire d'État chargé du numérique↗ (ouvre dans une nouvelle fenêtre)
• Décret du 10 avril 2019 relatif aux attributions du secrétaire d'État chargé du numérique↗ (ouvre dans une nouvelle fenêtre)
• Arrêté du 5 octobre 2020 portant nomination de Philippe Englebert à la présidence de la République↗ (ouvre dans une nouvelle fenêtre)
• Présentation officielle des missions de la DINUM↗ (ouvre dans une nouvelle fenêtre)
• Article 40 du Code de procédure pénale↗ (ouvre dans une nouvelle fenêtre)