Cloud Act : Amazon traite les requêtes de la justice américaine

Mise à jour du 22 juillet 2019 : Amazon Web Services a contacté « Les Echos » pour clarifier les propos de son porte-parole. Tout en reconnaissant que ce dernier a bien prononcé les propos rapportés ci-dessous, l'entreprise explique qu'un « malentendu en interne » l'a conduit à confondre plusieurs chiffres issus d'une enquête de ses services juridiques. En réalité, d'après AWS, la justice américaine aurait adressé 25 requêtes en douze mois visant à saisir des données sur les serveurs que loue la société à ses clients. Mais ces requêtes étaient motivées au nom de toutes les lois permettant aux forces de l'ordre américaines d'user de ce droit. Le Cloud Act fait partie de ces réglementations fédérales. « La vaste majorité de ces requêtes visait du contenu hébergé sur notre service par des citoyens américains qui ne sont pas concernés par le Cloud Act », ajoute l'entreprise. Retrouvez ci-dessous la version originale de notre article. 

C'est un chiffre qui sera commenté. Ceux qui craignent le pillage des données stratégiques au profit des intérêts américains appelleront à s'en méfier. Ceux qui ne voient que paranoïa dans ce scénario souligneront que le sujet se dégonfle.

Pour la première fois, un acteur américain de l'informatique en ligne indique dans quelle mesure la justice américaine perquisitionne des données à l'étranger sans prévenir la justice locale. « Nous avons des millions de clients dans 190 pays et au cours des douze derniers mois, nous avons reçu 25 demandes d'exécution de la loi [le Cloud Act, NDLR] visant à produire du contenu en réponse à de graves enquêtes criminelles », affirme aux « Echos » Michael Punke, le directeur des affaires publiques du numéro un mondial de la location de serveurs informatique en ligne.

D'après Amazon, aucune de ces requêtes n'a concerné une société française mais l'entreprise assure qu'elle informe ses clients quand la situation se présente. Elle ne précise pas si d'autres requêtes ont pu exiger des métadonnées (par exemple, l'heure de connexion d'un utilisateur).

Un risque de souveraineté

Critiqué à plusieurs reprises par Bruno Le Maire, le « Clarifying Lawful Overseas Use of Data Act », ou Cloud Act, est une loi extraterritoriale américaine qui autorise la justice de l'Oncle Sam à saisir des données en Europe si elles sont hébergées via des services américains comme Amazon Web Services, Microsoft Azure, Google Cloud, Oracle ou encore Salesforce.

La France y voit un risque pour sa souveraineté et négocie avec l'Union Européenne un accord de réciprocité. « Au fond, peu importe le nombre de requêtes, souffle un observateur haut placé, rien que le fait que ces requêtes soient possibles pose un problème. »

Dans un récent rapport, le député Raphael Gauvain a établi un schéma de défense en proposant de sanctionner financièrement les entreprises informatiques qui transmettraient des e-mails, des factures ou des contrats sensibles. Aux yeux de certains, ces données pourraient être utilisées à des fins d'intelligence économique par les concurrents américains des sociétés françaises.

Neuf refus de coopérer avec la justice américaine

En première ligne, les acteurs américains veulent rassurer leurs clients européens. Ils disent tous faire travailler leurs équipes de juristes sur les requêtes transmises par les juges américains. Amazon Web Services affirme avoir trouvé neuf fois la faille au raisonnement des juges et débouté leurs demandes, notamment en s'appuyant sur les garde-fous inclus dans le texte même du Cloud Act.

« AWS n'a transmis du contenu que pour seize requêtes, convient donc Michael Punke, tout en précisant le caractère non stratégique de ces données. Aucun de ces cas ne concernait une société cotée ou une entité du secteur public. » Pour lui, le Cloud Act sert avant tout à enquêter sur des particuliers dans des affaires de terrorisme, de trafic de drogue et de pédopornographie.

Au regard du nombre de requêtes judiciaires réceptionnées par Amazon dans le monde entier, ces 25 requêtes au nom du Cloud Act ne représentent qu'une goutte d'eau dans les nuages informatiques.

En 2018, Amazon Web Services a reçu 492 requêtes judiciaires et moins de 500 requêtes de « sécurité nationale », selon le rapport consacré au sujet par sa maison mère. Microsoft affirme avoir reçu 4369 requêtes de la part des forces de l'ordre américaine mais que seulement 36 d'entre elles concernaient des entreprises ayant souscrit plus de 50 licences à ces logiciels. De son côté, Google indique recevoir respectivement 21.433 et 43.683 requêtes au niveau mondial, sans préciser ce qui relève de son service d'informatique en ligne et du reste (messagerie, moteurs de recherche, etc.).