Selon une récente étude du Parlement européen, la loi FISAAA (Foreign Intelligence Surveillance Act Amendments Act) permet aux services américains de puiser de manière large et automatique dans les infrastructures de cloud computing, à des fins d’espionnage.
L’un des co-auteurs de l’étude, Caspar Bowden, un défenseur indépendant des droits de la vie privée, nous explique pourquoi et comment une telle cybersurveillance peut être réalisée.

Les lois PATRIOT et FISAAA sont beaucoup plus longues et complexes que la plupart des lois européennes, et peu d’Européens se sont donné la peine de les étudier avec attention. Les deux lois permettent à des agences de renseignement ou des services de police d’accéder à des données numériques. Pour résumer, PATRIOT permet aux services de polices de récupérer une quantité finie de données, qui doit être spécifiée. La nouveauté de FISAAA – et en particulier de l’article §1881a – est que cette loi 1) ne cible que les données situées en dehors des Etats-Unis, 2) s’applique spécifiquement aux fournisseurs de services cloud (et pas seulement les opérateurs télécoms), et 3) supprime certaines contraintes qui empêchaient jusque-là de réaliser une cybersurveillance continue et de grande ampleur, et de récupérer tout type de données.
Ainsi, FISAAA permet à la NSA (National Security Agency) de demander aux grands fournisseurs Cloud d’installer des dispositifs permanents pour scanner toutes données qu’elles gèrent en dehors des Etats-Unis. Comme cela est réalisé au sein des centres de données, le chiffrement des données entre l’infrastructure cloud et votre ordinateur est vain et n’offre aucune protection (...) .

L’idée est que l’infrastructure du fournisseur Cloud soit auditée au niveau de la sécurité par une société privée. Durant ce processus, beaucoup de documents vont être créés et, par la suite, les transferts de données seront automatiquement approuvés. Mais aucune société d’audit privée n’a le pouvoir de révéler officiellement des dispositifs de surveillance secrets, commandités par un autre pays dans le cadre de sa loi de sécurité nationale. D’ailleurs, les sociétés d’audit privées sont très gênées quand vous abordez ce sujet avec elles. (...)

Il est incroyable que la plupart des représentants européens et des autorités pour la protection des données semblent ignorer ce problème. Cela reflète une attitude plutôt bureaucratique qui privilégie les structures légales sur la réalité technique. Certains représentants ont subi un lobbying intensif de la part des industriels et sont soumis à une pression énorme pour trouver un moyen de rendre le cloud computing légitime, afin de préserver la compétitivité de l’économie européenne. Mais perdre la souveraineté sur les données personnelles des européens n’est pas une solution pour rester compétitif !

Il ne faut pas oublier, par ailleurs, que ce problème ne concerne pas uniquement les data centers sur le territoire américain. PATRIOT et FISAAA peuvent s’appliquer de manière secrète à chaque société de la planète – même européenne – à partir du moment où elle a une activité commerciale aux Etats-Unis. Dans la pratique, il y a néanmoins un plus grand risque quand les données quittent physiquement l’Union européenne. (...)

La meilleur garantie, c’est d’utiliser des logiciels libres à tous les niveaux, avec à la clé la création de logs et de traces de tous les patchs, ainsi que des inspections réalisées en local par des experts indépendants et sans allégeance étrangère. (...)

la raison pour laquelle les autorités européennes ont été si complaisantes, c’est qu’ils ont cru les américains quand ils disent que tout cela est pour lutter contre le terrorisme. Mais quelque chose qui n’est presque jamais mentionné dans l’analyse juridique ou politique, c’est que la définition de « renseignements étrangers » (depuis la première loi FISA en 1978) couvre « l’information qui concerne une organisation basée à l’étranger politique ou un territoire étranger (!) qui se rapporte à la conduite des affaires étrangères des États-Unis ».

Il s’agit d’une véritable carte blanche pour la surveillance purement politique, sans lien avec la criminalité ou les menaces de sécurité d’origine. Ce qui serait incontestablement illégale en vertu de la Convention européenne des Droits de l’Homme (CEDH). Les gouvernements européens sont légalement obligés de protéger leurs citoyens de ce risque. Mais les décideurs européens n’ont pas compris que ce qui est en jeu, ce n’est pas le risque lié à l’interception de communications de données. C’est beaucoup plus que cela. (...)