Dans pas moins de six différentes enquêtes fédérales, Google mène une guerre silencieuse contre le gouvernement des Etats-Unis. Le FBI en vient à devoir étudier des mandats dans lesquels il lui est demandé de transmettre des données Gmail stockées à l’étranger. Et parce que Google stocke des comptes clients dans des serveurs répartis partout dans le monde, il s’agit d’un combat qui importe pour chaque utilisateur de messagerie électronique.

De même que des enquêtes non classées en Californie, en Pennsylvanie et dans le Wisconsin, il existe au moins trois autres affaires, classées celles-ci, dans lesquelles Google a clamé que le gouvernement américain n’avait pas le droit d’utiliser la loi du « Stored Communications Act » pour réclamer les données que les entreprises étrangères détenaient, selon les dires de sources proches de Google. Cela vient s’ajouter à de nombreuses enquêtes en cours, ont ajouté ces sources.

Ce bras de fer avec le gouvernement américain a commencé après que Microsoft a remporté un cas emblématique contre les Etats-Unis, affaire dans laquelle Microsoft a empêché le FBI d’accéder à des données stockées en Irlande. Cela est survenu après deux procès et n’est légalement contraignant que dans des cours de justice du deuxième circuit, lequel couvre six districts dans le Connecticut, New York et le Vermont. À présent, des dossiers juridiques montrent que Google, entreprise soutenue par quelques-uns de ses plus grands rivaux, de Microsoft à Amazon en passant par Yahoo, tente de changer la situation dans le reste de l’Amérique, en apportant plus de protection à la vie privée aux utilisateurs dont les informations sont stockées dans d’autres pays.

Un an à peine après la guerre sans merci survenue entre Apple et le FBI, au sujet de la demande faite à l’entreprise d’ouvrir l’iPhone du tireur de San Bernadino aux analyses de son contenu, les résultats de ces affaires auront certainement d’importantes retombées sur la vie privée du citoyen lambda, comme pour le renforcement de la loi, cette dernière rendant les choses de plus en plus compliquées pour l’accès aux informations détenues par les entreprises tech. Ces nombreuses affaires sont des échauffourées au milieu d’une guerre qui augmente en intensité, entre un gouvernement avide de pouvoir accéder aux communications privées et des mastodontes de la Silicon Valley qui tentent de protéger ces communications.

« Cela est important pour la vie privée et pour la gestion publique de la surveillance, » déclare Lee Tien, avocat senior de l’Electronic Frontier Foundation (EFF). « Ces affaires illustrent notre dépendance vis-à-vis des intermédiaires qui prennent notre vie privée au sérieux. J’applaudis les entreprises pour leur combat en faveur du respect de la vie privée de leurs utilisateurs.Toutes ces entreprises font l’objet de tentatives du gouvernement d’en savoir plus sur nous, sans nécessairement nous le faire savoir. »

Les litiges

Au cœur de chaque affaire judiciaire, les questions de l’application légale de la loi « Stored Communications Act » sont débattues. La loi est claire sur le fait qu’elle ne s’applique qu’au territoire national. D’un côté, le gouvernement défend l’idée que son statut l’autorise à accéder à des informations tant qu’elles sont relatives à une affaire nationale. De l’autre, les entreprises tech et les groupes de protection des droits comme le EFF considèrent la chose autrement : selon eux, la recherche et les saisies sous mandat ne peuvent être réalisées à des fins d’obtention d’informations provenant de territoires étrangers, dans aucune circonstance que ce soit.

L’affaire la plus pressante est celle de Philadelphia, où Google a reçu l’ordre en février de soumettre des informations de comptes Gmail dans le cadre d’une enquête de fraude nationale, en dépit de ses protestations. L’affaire est à présent portée en justice et Google a reçu le soutien d’autres poids lourds de la Silicon Valley, y compris Apple, Amazon, Cisco, Microsoft et Yahoo, qui ont tous signé une requête en faveur de Google à la mi-mars. Elles y défendent l’idée que, bien que l’affaire ne soit pas sous la juridiction du Second Circuit, la cour de justice du district Est de Pennsylvanie devrait suivre le verdict de l’affaire Microsoft ; la requête fait également état de préoccupations concernant la vie privée, en dénonçant « une intrusion à la souveraineté nationale que le Congrès ne permet pas » et « une application extraterritoriale de la loi des Etats-Unis qui ne peut être tolérée. »

« De manière tout aussi troublante, cela invite les nations étrangères à agir de même en demandant à des bureaux locaux d’entreprises  technologiques américaines de soumettre les communications privées des citoyens américains stockées sur le sol des Etats-Unis, » peut-on lire dans la requête. « Cela met aussi les entreprises technologiques qui stockent les données de leurs utilisateurs à l’étranger dans la position insoutenable d’être exposées au risque de violer les lois étrangères en matière de données privées, dans leur soumission aux mandats émis par les cours de justice américaines. »

« Les clients ne s’attendent pas à ce que le gouvernement impose au fournisseur d’accéder à leurs emails, de les copier, puis de les transmettre au gouvernement des Etats-Unis. Une action d’une telle ampleur, mandatée par le gouvernement, est une invasion de la vie privée, purement et simplement. »

Une décision finale dans l’affaire de Philadelphia est attendue pour la fin du mois. Il est très probable que cela ait des retombées sur les autres affaires de Google en Californie et dans le Wisconsin, dans lesquelles les raisons de la saisie des données par les procureurs demeurent secrètes.

Dans une affaire précédente, une source ayant connaissance du dossier a fait savoir que Google allait initier ce mois-ci un recours en justice pour annuler l’ordre formulé à la fin avril, lequel, au moyen d’un mandat, requérait des informations sur un nombre non spécifié de comptes email. Un juge avait auparavant déclaré le mandat légal, puisqu’il était émis sur le territoire national et pour une entreprise qui se trouvait dans la juridiction de la cour, et ne représentait donc aucune « application extraterritoriale de la loi américaine ». La façon dont les algorithmes de Google ont décidé du lieu de stockage des informations ne compte pas, a écrit le juge dans son premier rejet du pourvoi en cassation par l’entreprise.

Dans le Wisconsin, il a été demandé à Google de transmettre les informations de deux comptes Gmail, le 17 Février. Google a transmis les informations qui étaient stockées aux Etats-Unis, mais a refusé de faire de même pour les données détenues à l’étranger. Dans sa dernière action, le gouvernement a envoyé une lettre au juge statuant sur cette affaire, où il prenait note de la décision de la cour de Californie à l’encontre de Google, de même que de l’affaire Philadelphia et d’une décision de justice prise en Floride, où il a été ordonné à Yahoo de transmettre les données d’un utilisateur le 7 avril. (Forbes n’a pu trouver d’autres documents judiciaires publics pour cette affaire. Yahoo a refusé tout commentaire sur les affaires en cours.)

Des sources proches de l’équipe juridique de Google ont remarqué que chaque affaire prenait une tournure similaire à celle de Microsoft : la défaite de Google face aux juges, avant de renvoyer l’affaire en appel, où Microsoft a finalement triomphé. Ces sources parient sur un résultat similaire pour Google.

Le ministère de la Justice des Etats-Unis affiche toutefois sa conviction de voir le gouvernement remporter l’affaire. Son porte-parole, Peter Carr, a dirigé Forbes vers une précédente déclaration du ministère au sujet de l’échec de Google dans l’affaire Philadelphia et vers sa proposition de loi soumise au Congrès l’année dernière, puis s’est exprimé ainsi : « après avoir examiné les procédures du deuxième circuit, d’autres juges en sont venus à la conclusion que son raisonnement est imparfait et a des conséquences que le Congrès pourrait ne pas avoir souhaitées. Dans toutes les affaires tranchées jusqu’à présent, le gouvernement a triomphé. »

Des lois peu commodes

Pour le ministère de la Justice, la décision prise dans l’affaire Microsoft et les efforts subséquents des géants de la Silicon Valley pour la bloquer sont devenus « très problématiques », selon un haut responsable du ministère. « Il n’existe pas d’alternative à cela », a t-il ajouté. Le ministère considère que la décision prise par Google de construire une structure mondiale a rendu très difficile pour le FBI d’accéder aux données, bien qu’il soit évident que Google n’ait pas développé son système pour faire embûche, délibérément, aux investigations.

Pour les géants technologiques et leurs supporters, la décision liée à l’affaire Microsoft a montré que le gouvernement exagérait, et ce d’une manière frôlant l’absurde. « C’est particulièrement troublant du point de vue du quatrième amendement. Violer les droits impliqués par cet amendement, et déterminer quand ce type de perquisition et de saisie abusive doit être considéré comme « national » ? C’est comme si les données qui un jour se trouvaient à l’étranger étaient apparues comme par magie aux Etats-Unis, » argue l’avocat Lee Tien. « Si la police est en possession d’un mandat de perquisition pour une maison, mais si ce que les policiers veulent saisir se trouve en fait dans la maison d’à côté, c’est une faute. J’espère que personne ne pense qu’il serait normal pour les policiers de payer une personne afin de déplacer le tout de la maison voisine à la maison faisant l’objet de la perquisition. »

Il y a tout de même une chose sur laquelle toutes les parties s’accordent : c’est la carté nécessaire des statuts qui délimitent quelles données sont accessibles et lesquelles ne le sont pas. La loi n’a tout simplement pas évolué au même rythme que la technologie. Il n’y a qu’à voir l’infrastructure de Google : on pense chercher un fichier unique, mais plusieurs pièces pourraient être disséminées n’importe où dans le monde. Quand, d’après une loi, le gouvernement fédéral ne devrait pouvoir accéder à des données qu’à l’échelle nationale, on comprend pourquoi l’application de cette loi est compliquée.

Nous avons l’exemple de la loi du « Stored Communications Act », établie en 1986, qui est considérée par les entreprises technologiques et le gouvernement comme tout à fait dépassée, dans un monde où les données traversent les frontières chaque jour.

Une autre loi très controversée est également en question, connue sous le nom de loi 41 (Rule 41) des Règles fédérales de procédure pénale. Cette loi a été mise à jour l’année dernière, au grand dam des activistes de la vie privée, car on y a ajouté une disposition permettant aux juges d’accorder des mandats pour des données situées en dehors de leurs districts si la localisation du téléphone était « occultée par des moyens technologiques », (autrement dit, au moyen d’un changement de l’adresse IP) en utilisant des logiciels comme le VPN ou le réseau Tor (qui permettent tous deux de modifier une adresse IP ou de la masquer). Dans sa requête, Yahoo a avancé que, même avec ce changement, la loi 41 ne permettait toujours pas l’accès extraterritorial à des informations. L’entreprise a ajouté que si le Congrès souhaitait clarifier la législation en la matière, il se devait de revoir la loi 41 également.

Toute cessation immédiate des multiples batailles menées en justice déboucherait sûrement sur quelque chose d’illusoire. Mark Krotoski, un associé de la branche cybersécurité et protection de la vie privée à Morgan Lewis (un cabinet d’avocat international) et ancien avocat au pénal du ministère de la Justice des Etats-Unis, pense que la seule façon de sortir de l’impasse actuelle consiste à ce que Google et les autres entreprises technologiques fassent l’effort improbable d’accepter un consensus temporaire proposé par le ministère de la Justice, dans lequel les mandats autoriseraient les saisies de données sans souci de la localisation de ces dernières, jusqu’à ce que les règles sur ce sujet soient clarifiées. Quant à Google, ses avocats préfèreraient que la loi s’attarde sur la situation géographique de l’utilisateur, plutôt que sur la localisation des données.

Les progrès relatifs à la loi 41 ou à la loi du « Stored Communications Act » ne sont cependant pas près de survenir, étant donné la léthargie dont le Congrès peut parfois faire preuve. Selon Mark Krotoski, il faudra bien plus d’un an pour que le Congrès émette une loi acceptable pour les deux parties, au vu de la multiplicité des questions en jeu. De plus, comme pour venir prouver à quel point la mécanique du Congrès peut être longue à s’enclencher, un peu plus tôt ce mois-ci, l’audience d’une commission des affaires judiciaires du Sénat, censée se réunir pour débattre de l’étendue de la loi du « Stored Communications Act », a été annulée. Elle a été repoussée au 24 Mai.