{"id":12819,"date":"2019-02-24T22:00:38","date_gmt":"2019-02-24T21:00:38","guid":{"rendered":"https:\/\/lldl.eu\/?p=12819"},"modified":"2019-04-05T09:27:39","modified_gmt":"2019-04-05T08:27:39","slug":"le-cloud-act-une-bombe-a-retardement-pour-leurope-signee-donald-trump","status":"publish","type":"post","link":"https:\/\/legrandcontinent.eu\/fr\/2019\/02\/24\/le-cloud-act-une-bombe-a-retardement-pour-leurope-signee-donald-trump\/","title":{"rendered":"Le Cloud Act, une bombe \u00e0 retardement pour l\u2019Europe, sign\u00e9e Donald Trump"},"content":{"rendered":"\n

Pantin. <\/em>En visite au data center<\/em> de Pantin, inaugur\u00e9 lundi 18 f\u00e9vrier, le ministre de l\u2019\u00c9conomie fran\u00e7aise a interrog\u00e9 \u00e0 plusieurs reprises l\u2019op\u00e9rateur Equinix au sujet du Cloud Act, adopt\u00e9 le 23 mars dernier par le parlement am\u00e9ricain. Cette loi autorise les forces de s\u00e9curit\u00e9 am\u00e9ricaines \u00e0 obliger, par mandat ou assignation, les fournisseurs de services de Cloud Computing<\/em> \u00e0 fournir des donn\u00e9es stock\u00e9es sur des serveurs situ\u00e9s aux Etats-Unis comme \u00e0 l\u2019\u00e9tranger. Du point de vue de la juridiction fran\u00e7aise, le Cloud Computing se r\u00e9f\u00e8re au \u00ab traitement de donn\u00e9es d\u2019un client, dont l\u2019exploitation s\u2019effectue par internet, sous la forme de services fournis par un prestataire \u00bb (1<\/strong>). Lib\u00e9r\u00e9 de ses cha\u00eenes administratives et judiciaires, l\u2019oncle Sam peut donc ais\u00e9ment r\u00e9quisitionner des informations personnelles stock\u00e9es sur le sol am\u00e9ricain ou non, sans en informer les utilisateurs concern\u00e9s.<\/p>\n\n\n\n

Emails, conversations en ligne, photos, vid\u00e9os, comptes clients, documents corporate et confidentiels ainsi que communication des entreprises sont susceptibles d\u2019\u00eatre collect\u00e9s par l\u2019administration am\u00e9ricaine.<\/p>\n\n\n\n

Pour se procurer des informations sur un de leurs ressortissants, le gouvernement am\u00e9ricain doit fournir des preuves aux juridictions concern\u00e9es, qu\u2019il soit accus\u00e9 d\u2019espionner pour le compte d\u2019un autre pays ou d\u2019\u00eatre li\u00e9 \u00e0 un mouvement terroriste. \u00c0 l\u2019inverse, la r\u00e9quisition de donn\u00e9es d\u2019un citoyen europ\u00e9en ne n\u00e9cessite aucune preuve.<\/p>\n\n\n\n

Ce principe d\u2019extraterritorialit\u00e9 est une tradition se perp\u00e9tuant et s\u2019intensifiant depuis le Stored Communication Act (SCA) (4<\/strong>) de 1986, qui avait instaur\u00e9 une entraide judiciaire internationale bas\u00e9e sur des trait\u00e9s bilat\u00e9raux, afin d\u2019obtenir des documents d\u2019entreprises am\u00e9ricaines \u00e0 l\u2019\u00e9tranger. C\u2019est en r\u00e9alit\u00e9 le Patriot Act de 2001 qui marque le virage du multilat\u00e9ralisme vers l\u2019unilat\u00e9ralisme. Le Foreign Intelligence Surveillance Act (FISA) (5<\/strong>), consolid\u00e9 en 2001 puis 2008, ouvre le champs d\u2019action aux individus non am\u00e9ricains r\u00e9sidant \u00e0 l\u2019\u00e9tranger. L\u2019Electronic Communications Privacy Act (EPCA) (3<\/strong>), modifi\u00e9 en 2001, permet d\u2019ajouter aux perquisitions ordinaires des perquisitions plus sp\u00e9cifiques comme le SCA Warrant, qui \u00e9largit la port\u00e9e des SCA hors \u00c9tats-Unis.<\/p>\n\n\n\n

L\u2019exemple empirique le plus repr\u00e9sentatif de l\u2019\u00e9volution de la politique extraterritoriale am\u00e9ricaine remonte \u00e0 2013. Microsoft se trouvait alors au centre des app\u00e9tences am\u00e9ricaines. L\u2019administration voulait y saisir des donn\u00e9es personnelles sur des serveurs bas\u00e9s en Irlande. Devant le refus de l\u2019entreprise, l\u2019affaire est remont\u00e9e jusqu\u2019\u00e0 la Cour Supr\u00eame et a \u00e9t\u00e9 suspendue jusqu\u2019\u00e0 l\u2019entr\u00e9e en vigueur du Cloud Act.<\/p>\n\n\n\n

De part et d\u2019autre de l\u2019Atlantique, le Cloud Act vient \u00e9galement se heurter \u00e0 des probl\u00e9matiques juridiques majeures. En Europe, l\u2019article 48 du RGPD, relatif aux \u00ab Transferts ou divulgations non autoris\u00e9s par le droit de l\u2019Union \u00bb (2<\/strong>), se voit affaibli puisqu\u2019il n\u2019interdit pas les transferts de donn\u00e9es hors Union Europ\u00e9enne mais les encadre. De fa\u00e7on similaire, aux Etats-Unis, de nombreuses associations comme Amnesty International ou Human Rights Watch contestent le Cloud Act car il enfreindrait le 4\u00e8me amendement contre la perquisition et les saisies d\u00e9raisonnables.<\/p>\n\n\n\n

Inscrite dans la Charte des libert\u00e9s fondamentales europ\u00e9ennes, le principe de libert\u00e9 de vie priv\u00e9e se voit ainsi lourdement impact\u00e9 par le Cloud Act.<\/p>\n\n\n\n

La menace est \u00e9galement \u00e9conomique puisque ce cavalier l\u00e9gislatif de 30 pages parmi les 2 000 du budget am\u00e9ricain, fait perdre de nombreuses parts de march\u00e9s dans la branche du Cloud Computing en Europe, les stockages de donn\u00e9es \u00e9tant majoritairement localis\u00e9s aux \u00c9tats-Unis. De plus, espionnages industriels comme \u00e9conomiques peuvent \u00eatre concern\u00e9s par cette loi de mani\u00e8re implicite.<\/p>\n\n\n\n

Face \u00e0 l\u2019offensive am\u00e9ricaine, Bruno Le Maire a \u00e9t\u00e9 clair quant \u00e0 son ambition d\u2019augmenter le nombre de centres de donn\u00e9es h\u00e9berg\u00e9s en France. Il d\u00e9sire mettre en avant un r\u00e9seau \u00e9lectrique fran\u00e7ais robuste qui b\u00e9n\u00e9ficie d\u2019un prix de l\u2019\u00e9lectricit\u00e9 comp\u00e9titif et d\u00e9carbon\u00e9e, gr\u00e2ce \u00e0 l\u2019\u00e9nergie nucl\u00e9aire, et la r\u00e9cente baisse de moiti\u00e9 de la fiscalit\u00e9 sur l\u2019\u00e9lectricit\u00e9 consomm\u00e9e par les centres de donn\u00e9es.<\/p>\n\n\n\n

Outre les initiatives fran\u00e7aises, la coop\u00e9ration \u00e0 l\u2019\u00e9chelle europ\u00e9enne avance \u00e0 grand pas. C\u2019est dans cet \u00e9tat d\u2019esprit que c\u2019est inscrit le r\u00e8glement du 4 mai 2016, relatif aux questions du traitement des donn\u00e9es personnelles, et la Directive 2016\/680, concernant les protections des personnes physiques \u00e0 l\u2019\u00e9gard de leurs donn\u00e9es, tous deux entr\u00e9s en vigueur en mai 2018. Le ministre de l\u2019Economie semble \u00e0 ce sujet avoir sugg\u00e9r\u00e9 \u00e0 la Commission d\u2019\u0153uvrer \u00e0 une potentielle plateforme souveraine de stockage de donn\u00e9es.<\/p>\n\n\n\n

\u00c0 l\u2019image du Data Trust, diff\u00e9rentes strat\u00e9gies \u00e9labor\u00e9es par les entreprises devraient \u00eatre utilis\u00e9es plus souvent \u00e0 l\u2019avenir, tout en pr\u00f4nant une coop\u00e9ration \u00e0 la fois europ\u00e9enne et publique-priv\u00e9e. Le Data Trust, contrairement au Data Shard et Data Localization, permet en effet de s\u00e9parer l\u2019acc\u00e8s aux donn\u00e9es techniques du serveur de l\u2019acc\u00e8s aux informations personnelles des utilisateurs, les premi\u00e8res \u00e9tant accessibles par l\u2019entreprise et les deuxi\u00e8mes, uniquement par le fournisseur du centre de donn\u00e9e.<\/p>\n\n\n\n

C\u2019est par exemple le cas du Microsoft Cloud Allemand et de T-Systems o\u00f9 les donn\u00e9es stock\u00e9es sont accessibles par T-Systems, domicili\u00e9 hors \u00c9tats-Unis, Microsoft n\u2019ayant uniquement acc\u00e8s qu\u2019aux donn\u00e9es techniques.<\/p>\n\n\n\n

Toutefois, le Data Trust seul ne pourra faire face aux d\u00e9cisions impr\u00e9visibles et unilat\u00e9rales am\u00e9ricaines. C\u2019est peut-\u00eatre une nouvelle occasion pour l\u2019Europe, porteuse de projets communs et unie dans la complexit\u00e9 comme dans la diversit\u00e9, de s\u2019\u00e9riger en rempart cr\u00e9dible aux injonctions am\u00e9ricaines.<\/p>\n\n\n\n

Perspectives :
<\/strong><\/h4>\n\n\n\n