Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2018 - n°434 - 123

Focus

I

l n'est plus nécessaire d'attendre
la décision de la Cour suprême
des Etats-Unis pour savoir si
Microsoft doit communiquer
au FBI les données des utilisateurs
stockées à l'étranger. L'interrogation
sur le caractère extra-territorial du
Stored Communications Act de 1986
est désormais sans importance, le
Congrès vient de régler le problème
avec l'adoption en catimini du Cloud
Act. Microsoft ainsi que Google et
Apple ont d'ailleurs approuvé cette
réforme grâce à laquelle ils pourront communiquer les données
qu'ils stockent à l'étranger sans état
d'âme. De son côté, l'Europe qui
devrait monter au créneau, se fait
assez discrète sur le sujet. Et pour
cause : la Commission européenne
a rédigé un projet de texte dans le
même esprit qui devrait être présenté le 17 avril 2018. Vera Jourova,
commissaire en charge de la Justice
et du dossier « données personnelles » s'était justement rendue aux
Etats-Unis du 19 au 21 mars pour
discuter du Cloud Act, du Privacy
Shield et du RGPD.
Tout a commencé avec l'affaire
Microsoft versus les Etats-Unis,
dans le contexte des révélations
d'Edward Snowden sur la surveillance des communications par la
NSA. Dans le but de consolider son
activité de cloud et d'apparaître
comme une entreprise soucieuse de
la vie privée de ses clients, Microsoft
avait refusé de communiquer aux
autorités américaines les données
stockées en Irlande relatives aux
emails associés à l'utilisation d'un
compte msn.com anonyme. En avril
2014, un juge fédéral lui avait ordonné de s'exécuter. La cour d'appel lui
avait au contraire donné gain de
cause mais le gouvernement américain a porté l'affaire devant la Cour
suprême, qui est supposée rendre sa
décision en juin prochain.
S'il s'était agi de documents papier
stockés dans un coffre en Irlande,
la police américaine aurait été obligée de passer par la procédure de
l'entraide judiciaire internationale,
fondée sur le traité d'assistance
judiciaire mutuelle (MLAT) de 2001.

Données personnelles

LE CLOUD ACT : POUR UN ACCÈS
EXTRA-TERRITORIAL AUX DONNÉES
Le Cloud Act, signé le 23 mars dernier par Donald
Trump, autorise la police américaine à obtenir d'un
prestataire les données d'un utilisateur stockées à
l'étranger. De son côté, l'UE s'apprête à dévoiler un
texte proche sur l'accès transfrontalier aux preuves
électroniques.
Concernant des preuves numériques, la police estimait cependant que Microsoft, détenant les
données, pouvait accéder matériellement à l'information depuis
Redmond, son siège aux EtatsUnis, de manière immédiate, alors
que la procédure du MLAT pouvait
prendre des mois. En conséquence,
le Stored Communications Act
était applicable.
Aujourd'hui, le débat sur le caractère extra-territorial de cette loi est
dépassé puisque le 22 mars dernier,
le Congrès a adopté le Clarifying
Lawful Overseas Use of Data Act
dit Cloud Act, signé le 23 mars
par Donald Trump, et qui autorise
désormais l'accès transfrontalier
aux preuves électroniques sur la
base d'accords bilatéraux avec des
États, signés par le Président. Sous
la réserve d'un « executive agreement » avec l'Etat concerné, la police
peut contraindre un prestataire à
fournir les contenus et les métadonnées d'un utilisateur stockées à
l'étranger, sans avoir à respecter les
lois de protection de la vie privée et
des données personnelles locales.
Paradoxalement, Microsoft, qui a
affronté son propre gouvernement
sur l'accès aux données stockées
en dehors du territoire américain, a
approuvé le Cloud Act. Le 6 février
dernier, quand la proposition de
loi d'un sénateur a été déposée,
Apple, Facebook, Google, Microsoft
et Oath ont rendu publique une
lettre de soutien saluant un Cloud
Act qui « encourage le dialogue

EXPERTISES AVRIL 2018

diplomatique mais donne aussi au
secteur technologique deux droits
pour protéger les consommateurs
et résoudre les conflits de loi au cas
où ils émergent ». Pour les géants de
l'internet, la situation est désormais
claire : ils ont un texte simple et ils
n'ont plus à se préoccuper des lois
spécifiques de chaque Etat.
Ce n'est évidemment pas la vision
des défenseurs des libertés et des
consommateurs. D'abord au niveau
de la méthode : ils reprochent l'inclusion du Cloud Act dans la loi de
finances pour 2018, interdisant ainsi
toute discussion ou vote spécifiques
sur ces dispositions particulières.
Par ailleurs, la loi conditionne l'accès aux données à la signature
d'accords bilatéraux signés par le
président, sans contrôle parlementaire et sans mécanisme de réexamen de ces accords. La loi autorise
la mise sur écoutes de personnes
par une police étrangère et l'accès à
leurs données sans notification des
intéressés. Le Cloud Act s'applique
par ailleurs à la communication de
données d'Américains situées en
dehors des Etats-Unis mais surtout
aux non Américains dans la mesure
où les grands détenteurs de données
se trouvent aux Etats-Unis. Enfin,
l'évacuation des lois de protection
de la vie privée des personnes est
très vivement critiquée.
Parallèlement, l'Union européenne
connaît ce même besoin d'accès
rapide aux données de personnes
liées au terrorisme ou à la criminalité, sans avoir à passer par

123
http://www.msn.com
Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2018 - n°434
