Un juge fédéral américain a décidé mercredi de forcer Microsoft à révéler des données qui sont pourtant stockées en dehors des frontières des États-Unis. Une décision qui pourrait marquer un tournant dans l’approche des problématiques de respect de la vie privée.
Les frontières ont un rôle majeur et juridique dans le monde virtuel
Depuis le début des révélations d’Edward Snowden, de nombreuses questions se sont posées autour de la gestion par les États-Unis des données personnelles. Les documents de la NSA montraient notamment comment l’agence créait une gigantesque toile d’araignée dans laquelle elle pouvait vibrer un seul fil, correspondant à une personne, pour en trouver toutes les connexions sociales. Pour autant, et en théorie, la loi américaine est très claire sur ces fameuses données.
La NSA brasse une énorme quantité d’informations qu’elle ingère via différents systèmes de collecte et d’écoute. Cette collecte, aveugle et massive, se concentre avant tout sur les données étrangères. Le processus est légal aux États-Unis et se réfère en priorité à la Section 702 de la loi FISA (Foreign Intelligence Suveillance Act) : les données peuvent être stockées et analysées si elles proviennent d’utilisateurs non-américains et si elles sont stockées dans des serveurs qui, eux, se trouvent bien au sein des frontières du pays. Voilà pourquoi des entreprises telles que Microsoft, Apple, Google, Yahoo ou encore Facebook se retrouvent régulièrement cités dans les documents dérobés par Snowden, quand ce n'est pas directement par la NSA.
Le problème pour ces sociétés est que la communication faite autour de ces révélations successives est particulièrement dommageable et érode littéralement la confiance des utilisateurs, sans parler de celle des entreprises. Une érosion prévue par la commissaire européenne Neelie Kroes qui indiquait en juillet dernier : « Si les entreprises ou les gouvernements pensent qu’ils pourraient être espionnés, ils auront moins de raisons de faire confiance au cloud, et ce seront finalement les fournisseurs de solutions cloud qui rateront des opportunités. Payeriez-vous quelqu’un d’autre pour héberger vos secrets commerciaux ou autres si vous suspectez qu’ils sont partagés sans votre consentement ? »
Microsoft doit garder le contrôle des données à l'échelle de la planète
Mais cette limitation aux données stockées sur le sol des États-Unis est totalement remise en cause par la décision d’un juge fédéral de New York. Dans le cadre d’une enquête, il était en effet demandé à Microsoft de fournir de nombreuses informations sur un suspect : contenus de courriers électroniques, liste des contacts, numéros de téléphones renseignés, adresse postale, sessions de conversations horodatées, adresses IP et ainsi de suite. Problème : ces données sont hébergées sur un serveur situé à Dublin, donc hors des frontières des États-Unis.
Microsoft avait refusé de communiquer ces informations en se basant justement sur le fait que sur les données étaient dans un autre pays. Mais le juge James Francis a rappelé que toutes les entreprises fournissant des services internet étaient soumises à une autre loi de 1986, l'Electronic Communications Privacy Act (ECPA). De plus, la nature virtuelle du cloud efface les frontières physiques et la problématique n’est alors plus l’emplacement, mais le contrôle lui-même des données : Microsoft reste une firme américaine.
Pour Microsoft, pas de différence entre le monde réel et le monde virtuel
Pour le juge, la défense de Microsoft ne tient pas car elle est basée avant tout sur les affaires qui ont agité la sphère médiatique depuis bientôt un an : les révélations issues des documents de Snowden. Or, il ne s’agit pas ici d’une collecte aveugle de données dans le cadre de la loi FISA, mais bien d’une enquête ciblée et criminelle. En outre, le mandat délivré aux autorités était spécifique et concernait la recherche de preuves en ligne. D’après le juge, un tel mandat ne tient pas compte non plus des frontières géographiques.
Du côté de Microsoft, on s’indigne : « Un procureur américain ne peut obtenir un mandat des États-Unis pour fouiller la maison d’une personne située dans un autre pays, tout comme un procureur d’un autre État ne pourrait obtenir d’autorisation dans son propre pays pour conduire une fouille aux États-Unis. Nous pensons que les mêmes règles devraient s’appliquer dans le monde en ligne, mais le gouvernement n’est pas d’accord ». David Howard, vice-président et responsable juridique, ajoute dans la foulée que Microsoft fera appel de cette décision.
La Commission rappelle qu'il existe déjà des « canaux officiels de coopération »
Du côté de l’Europe, la position est encore plus tranchée. La Commission s’est ainsi exprimée à travers la voix de sa porte-parole Mina Andreeva sur le site de la BBC : « La position de la Commission est que ces données ne devraient pas être accessibles par ou transférées vers les autorités américaines en-dehors des canaux officiels de coopération, tels que les accords mutuels d’assistance juridique ou les accords sectoriels entre les États-Unis et l’Union qui autorisent de tels transferts ».
À l’heure où l’Europe met en place une protection des données personnelles, qui doit notamment bloquer tout transfert de données hors de l’Union sans accord explicite, la décision du juge ajoute donc du poids au débat actuel sur le respect de la vie privée et la considération des données personnelles. Il s'agit également d'un camouflet pour les entreprises américaines, dont Microsoft, qui noue des partenariats pour installer des serveurs locaux dans autres pays. L'argument de l'imperméabilité aux lois américaines ne tiendrait plus.
Commentaires (35)
#1
D’après le juge, un tel mandat ne tient pas compte non plus des frontières géographiques.
Cela revient exactement à dire que la lois américaine ne s’arrête pas au sol américain, non ?
Bon, j’ai pas fait de droit, et encore moins au Etat Unis, mais là je me demande si c’est pas également le cas du juge…
#2
C’est beau, microsoft a les fesses entre deux chaises, ils vont prendre des deux coter haha " />
#3
Quand tu marches sur une fourmilière, tu as tenu compte des lois en vigueur chez elle ?
Non. Les américains n’ont pas de soucis pour les plus faibles qu’eux.
#4
#5
D’après le juge, un tel mandat ne tient pas compte non plus des frontières géographiques.
#6
#7
#8
#9
#10
#11
#12
#13
#14
C’est juste un comportement scandaleux du juge américain! Quand on mène une enquête pénale, et qu’on doit récupérer des données sur un serveur étranger, on utilise toujours l’entraide judiciaire internationale!
Oui, c’est chiant et assez long, donc la plupart des magistrats disent “bon, c’est possible, mais franchement, on préfère vous envoyez vous faire foutre” (en plus joli), mais c’est le seul moyen de ne pas porter atteinte à la souveraineté des Etats.
Cela va dans le sens des lois américaines extraterritoriales qui sont souvent stupides, scandaleuses, voire même illégales au sens du droit international.
#15
#16
#17
#18
#19
Trouvé :http://www.nextinpact.com/news/86033-relaxe-dune-elue-poursuivie-pour-retweet-di…
Finalement, les autorités n’ont pas réussi à remonter jusqu’à l’auteur du tweet. Ce dernier utilisait un pseudonyme et Twitter a refusé de livrer ses données d’identification à la justice.
Mais bon comme Microsoft est américain et que Tweeter n’est pas français, mon exemple était pas terrible.
#20
La réponse de la Commission Européenne me semble adaptée.
Enfin, si elle s’accompagne d’actes du moins…
#21
Le juge s’embarrasse pour rien, il faut envoyer l’escouade d’assaut de la même manière qu’en Australie.
#22
Question bête : pourquoi Microsoft ne quitterait pas les États-Unis pour s’installer dans un autre pays ?
Je suis sûr qu’il y en a plein sur le globe avec une fiscalité bien plus avantageuse pour les grosses firmes et qui ne s’encombrent pas de loi à la con comme aux USA, ce serait tout bénef pour eux. Le seul inconvénient que j’y vois serait le recrutement de talents, sûrement plus nombreux au pays de l’oncle Sam, mais bon…
#23
Une décision qui pourrait marquer un tournant dans l’approche des problématiques de respect de la vie privée.
Le monde vu par les USA: “t’es pas américain, t’as pas de droits”.
#24
Il y aurait donc d’autres colonies américaines que la France en Europe ?
#25
C’est complexe en effet ,si on considère que c’est le pays qui héberge les données qui prime, il suffirait d’installer ses serveurs dans les fond marins pour être tranquille sur toutes lois.
" />" />
Mais en toute logique, le juge doit s’adresser à la justice irlandaise.
#26
En Irlande il font de très bon cocktails Molotov pour lui foutre sur la gueule au dessert…" />
" />
#27
Donc si l’on en doutait encore, l’open bar signé par l’armée fonctionnera dans les deux sens.
#28
#29
#30
#31
#32
Ce qu’il manque c’est une loi internationale.
Le problème ici est que la limite de chaque état n’est pas défini.
Malheureusement, avec la virtualisation des lieux des Datacenter, il est impossible de se donner la limite physique pour savoir quelle loi s’applique.
Demain on hébergera peut-être dans des endroits n’appartenant à aucun pays ou un stockage explosé sur plusieurs Datacenter.
Je pense que seules des lois internationales peuvent régler le problème
#33
#34
#35