En réponse à une tribune publiée par Godefroy de Bentzmann, patron du Syntec Numérique dans Les Echos, Maître Olivier Iteanu revient sur la finalité du « Cloud Act », qui tiendrait à clarifier un usage légal des données hors des Etats-Unis.
Olivier Iteanu, Avocat à la cour
Dans le quotidien Les Echos daté du 2 octobre 2018, le président du Syntec Numérique, Godefroy de Bentzmann, signe une tribune surprenante, intitulée « Cloud Act : halte à la désinformation ! ». L’article est rédigé sur le thème « Circulez, y’a rien à voir ». Or, à l’heure où toute l’informatique bascule dans le Cloud Computing, entraînant les clients utilisateurs, cette loi votée par le Congrès américain le 23 mars 2018 et promulguée par l’administration Trump, mérite au contraire – et c’est le moins -, une alerte à l’endroit de tout l’écosystème du Cloud Computing européen.
A découvrir sur Alliancy : Le carnet d’expériences « Cloud hybride »
L’auteur s’étonne tout d’abord du nom donné à la loi outre-Atlantique, le « Cloud Act ». Or, ce nom est donné par… l’article 1 de la loi. Si le 115ème Congrès américain lui-même et le porteur du projet, Dog Collins, un membre du Congrès Républicain et ancien Lieutenant-Colonel de L’US Air Force, a fait le choix de ce terme, il y a une raison. Dès les premières lignes du texte (article 3), on désigne le type d’acteur concerné, à savoir le « provider of electronic communication service or remote computing service », cette dernière catégorie visant directement l’industrie du Cloud computing. C’est donc tout naturellement que le texte prend cet intitulé.
Si le texte est bien un texte de loi « national », on ne peut le contester, son effet est incontestablement extraterritorial et revendiqué comme tel. Plus encore, si la tribune entend rappeler que les filiales américaines de nos acteurs européens seront concernées par le « Cloud Act » (ce qui est vrai), l’auteur omet une information de taille. A l’inverse, les juridictions américaines considèrent que le texte s’applique aux personnes morales établies aux Etats-Unis et à toutes celles qu’elles contrôlent dans le monde, y compris en Europe. Cette précision est fondamentale et, pour les Européens, elle manque cruellement à une tribune censée lutter contre la désinformation.
Sur la notion de data, on ne peut non plus passer sous silence, sa définition. Il s’agit de « any record or any information pertaining to a customer or subcriber », soit toute information, d’un client ou d’un abonné en la possession du prestataire, métadonnées et contenus. Par ailleurs, l’auteur indique que le texte s’applique aux « services de renseignements américains (…) dans le cadre d’enquête judiciaire ».
D’une part, c’est une erreur de cantonner le texte aux seuls services de renseignement. Ce sont aussi toutes autorités de poursuite aux Etats-Unis qui bénéficient du régime légalisé, jusqu’au plus petit Shérif du fin fond du dernier des Etats américains.
D’autre part, le Cloud Act qui vient s’insérer dans l’US Code, vient compléter le Patriot Act (rebaptisé sous l’administration Obama Freedom Act), et dans certains cas, le contrôle judiciaire a priori est inexistant, même si, il est vrai, que les Etats-Unis étant un Etat de droit, on peut toujours envisager un recours juridictionnel, sous peu que la personne concernée ait été informée de la mesure dont elle a été l’objet.
Parlons, justement, des recours face au Cloud Act.
Si un prestataire cloud soumis au Cloud Act, reçoit de l’Etat américain une demande de communication de données concernant un citoyen européen, il peut contester la demande en justice, laquelle pourrait rejeter la demande des autorités publiques, selon des critères complexes insérés dans la Loi. Ces critères sont fonction de l’Etat dont dépend le citoyen et les qualités de cet Etat, notamment par exemple s’il est un Etat démocratique ou pas. Que le prestataire ait un recours pour contester la demande de communication de données qu’il reçoit, c’est très bien, mais la personne concernée, dispose-t-elle elle-même d’un recours ? La réponse est non. Saura-t-elle seulement qu’elle a fait l’objet d’une demande de communication de ses données, personnelles ou stratégiques et non personnelles ? Probablement non. Combien de temps seront conversées ses données ? Aucune réponse, alors que depuis des décennies et, particulièrement le 25 mai 2018 avec le RGPD, les personnes concernées sont au centre du dispositif légal en Europe.
« C’est une erreur de cantonner le texte aux seuls services de renseignement. Ce sont aussi toutes autorités de poursuite aux Etats-Unis qui bénéficient du régime légalisé. »
Enfin, nous ajouterons que le Cloud Act officialise, légalise, institutionnalise, une pratique probablement en cours depuis plus de 10 ans, en dépit des dénégations de certains prestataires américains. Mais en légalisant ces pratiques, elle va probablement les automatiser un peu plus, travailler à leur efficacité au grand jour.
Nous voyons deux problèmes à cela. D’une part, ce que le Sénat Américain appelle le Lovint (Love and Interests). Le Lovint signifie que quand on met en place des accès nombreux à une ou des bases de données qui regroupent des contenus citoyens du monde, on risque immanquablement la consultation illégale de la part de personnes qui disposent d’un droit d’accès. On appelle ces consultations Love and Interests, car ces accès ont pour finalité des histoires de cœur de la personne ou de son entourage ou ses intérêts divers, pour « rendre un service » ou contre rémunération. La pratique est totalement illégale, mais elle a cours, la tentation est trop grande et le contrôle très difficile. D’autre part, l’espionnage industriel aura une base de connaissance de très grande qualité avec le Cloud Act, ce qui devrait inquiéter en temps normal les organisations professionnelles de défense des entreprises européennes.
Un des premiers effets du Cloud Act aura été de mettre fin à la saga judiciaire qui opposait depuis 2014 Microsoft au Department Of Justice (DOJ) des Etats-Unis. Microsoft avait refusé de transmettre à la Justice américaine des données stockées en Irlande. Les juges américains avaient considéré que le géant de Seattle devait le faire et la société de Bill Gates avait été jusqu’à saisir la Cour Suprême des Etats-Unis. On attendait la décision des plus hauts juges d’une semaine à l’autre, quand le Congrès a voté le Cloud Act résolvant le différend dans le sens du DOJ. Du coup, l’affaire s’est arrêtée et la Cour Suprême n’aura jamais à se prononcer.
Le Cloud Act montre clairement une chose. Le problème, ce ne sont pas les Gafam, mais nous-mêmes. Si nous ne sommes pas capables de nous respecter nous-mêmes, d’exiger le respect de notre Etat de droit, de nos entreprises, moteurs de notre Société, comment peut-on exiger cela des autres ?