Ces bonnes intentions sont-elles suivies dans les faits ? Comment les sociétés gèrent-elles les requêtes des autorités gouvernementales ? C'est à ces questions que l'EFF (Electronic Frontier Foundation), une ONG qui milite pour la liberté sur Internet, a tenté de répondre après avoir passé au crible les pratiques des géants américains.
Sur la base de six critères, la fondation a établi un classement de quelques-uns des plus gros acteurs du Web. Elle se demande ainsi si les entreprises :
- Exigent un mandat aux autorités pour leur communiquer des données privées.
- Prennent le soin d'informer ses utilisateurs en cas de requête émanant des autorités.
- Publient un rapport synthétique sur ces demandes.
- Fournissent des explications à leurs utilisateurs sur leur comportement face à ces demandes.
- Sont prêtes à s'engager en justice pour défendre les utilisateurs face à de telles demandes.
- Se positionnent en faveur d'une modernisation des lois régulant la vie privée en rejoignant notamment la « Digital Due Process Coalition ».
Pour Olivia Luzi, avocat associé au sein du cabinet Féral-Schuhl Sainte-Marie, il faut se montrer prudent avec les critères retenus. « Ils portent sur la transparence de ces sociétés en matières de requêtes des autorités, mais elles peuvent très bien se voir interdire, sur le fondement du secret de l'instruction, d'informer le grand public sur certaines demandes. Dans ces cas-là, les firmes ne prennent bien entendu aucun risque. »
A ce petit jeu, Twitter et Sonic.net (un FAI) sortent du lot, empilant les bons points sur l'ensemble des critères visés. L'EFF se félicite de « l'exceptionnel engagement de chacune de ces deux sociétés pour assurer la plus grande transparence autour de l'accès aux données privées ». Rappelons que Twitter a publié son tout premier rapport de transparence en juillet 2012. Une bonne progression pour le site de micro-blogging, qui l'an dernier n'avait obtenu que quatre étoiles aux tests de l'EFF.
Suivent ensuite Dropbox, le service de stockage en ligne, Google et le réseau social professionnel LinkedIn, qui totalisent tous les trois cinq étoiles sur six. Au moteur de recherche, l'EFF reproche de ne pas transmettre les requêtes qui lui sont adressées concernant ses utilisateurs. Quant aux deux autres, il ne faut pas tirer de conclusions hâtives. L'ONG explique en effet que le critère de l'engagement en justice n'est finalement qu'une catégorie bonus puisque toutes les sociétés n'ont peut-être pas eu l'occasion d'opérer une telle démarche.
Globalement, l'organisme se félicite des efforts entrepris par les sociétés pour gagner en transparence et notamment du recours de plus en plus fréquent aux rapports de transparence. Ce que confirme Olivia Luzi. « On voit que les sociétés jouent globalement le jeu. Ce qui a le mérite d'informer les utilisateurs sur une pratique dont ils ne soupçonnaient peut-être pas l'existence ».
Pour elle, le véritable risque ne pèse toutefois pas tant sur les particuliers que sur les entreprises. « Elles ne se posent peut-être pas suffisamment de questions, en ayant souvent tendance à se tourner vers des solutions de cloud attrayantes toutes faites et très économiques comme celles proposées par Google ou Microsoft. Sauf que les autorités américaines auront ensuite toute légitimité pour réclamer l'accès à leurs données ». Autorités américaines qui pour l'avocate disposent de larges prérogatives en la matière. « Il existe des lois comme le Patriot Act, adopté après le 11 septembre 2001, qui attribue un large pouvoir d'investigation aux autorités. Elles sont depuis à même de réclamer l'accès aux données de toute entreprise située sur le territoire américain ».
En France, les requêtes des autorités sont régies par l'article 60-1 du Code de procédure pénale qui dispose que « le procureur de la République ou l'officier de police judiciaire peut, par tout moyen, requérir de toute personne, de tout établissement ou organisme privé ou public ou de toute administration publique qui sont susceptibles de détenir des documents intéressant l'enquête, y compris ceux issus d'un système informatique ou d'un traitement de données nominatives, de lui remettre ces documents, notamment sous forme numérique, sans que puisse lui être opposée, sans motif légitime, l'obligation au secret professionnel ».
Restent les « mauvais élèves », l'EFF pointant notamment du doigt Amazon et Apple. Pour la firme de Cupertino, seule l'appartenance à la « Digital Due Process » (collectif visant à la clarification des règles d'utilisation des services) lui permet de s'en sortir avec une étoile.
Les travaux de l'EFF ont le mérite de mettre en lumière les efforts fournis ou non par les sociétés pour rendre la plus transparente possible la gestion des requêtes des autorités gouvernementales. Le débat autour de la protection des données privées, de leur gestion par des entités privées et de leur communication demeure toutefois entier, notamment lorsque l'on sait que Google a relevé dans son dernier rapport de transparence une nouvelle hausse des requêtes émanant d'administrations étatiques.
