Techno Le casse-tête de l'accès aux preuves stockées dans les serveurs américains

Le casse-tête de l'accès aux preuves stockées dans les serveurs américains

Les corps sans vie de deux Français ont été découverts le 21 août 2016 sur cette plage de l'île malgache de Sainte-Marie.

Photo: AFP/Archives

Certains pays craignent que les Etats-Unis utilisent des accords de coopération de manière abusive pour collecter des données sur leurs citoyens

Photo: AFP/Archives

Les Gafa, acronyme des géants du numérique que sont Google, Amazon, Facebook et Apple

Photo: AFP/Archives

Le casse-tête de l'accès aux preuves stockées dans les serveurs américains

Les corps sans vie de deux Français ont été découverts le 21 août 2016 sur cette plage de l'île malgache de Sainte-Marie.

Photo: AFP/Archives

Certains pays craignent que les Etats-Unis utilisent des accords de coopération de manière abusive pour collecter des données sur leurs citoyens

Photo: AFP/Archives

Les Gafa, acronyme des géants du numérique que sont Google, Amazon, Facebook et Apple

Photo: AFP/Archives

En août 2016, les corps sans vie de deux Français étaient retrouvés sur une plage de Madagascar. Près de trois ans plus tard, les enquêteurs n'ont toujours pas récupéré leurs derniers messages, échangés via les applications de géants californiens de l'internet.

Les deux jeunes, bénévoles dans une association de protection des baleines, communiquaient exclusivement sur Messenger, le service de messagerie instantanée de Facebook, ou par e-mails sur Outlook, un service de Microsoft.

Connaître leurs derniers échanges et leur calendrier aurait pu être «déterminant» pour l'enquête, mais ces «preuves numériques» n'ont jamais traversé l'Atlantique, selon des sources concordantes.

Comme dans ce dossier, nombre d'enquêtes piétinent à cause des lourdeurs des procédures d'entraide judiciaire, conçues bien avant que l'internet ne change le monde.

Conscients du problème, Washington et Bruxelles ont présenté des textes pour s'adapter à la nouvelle donne, mais leurs efforts se heurtent à une méfiance réciproque.

En mars 2018, les Etats-Unis ont adopté la loi «Cloud Act», qui oblige les compagnies américaines à divulguer les données sur des citoyens américains, même stockées à l'étranger, en cas de mandat émis par un juge.

Elle autorise aussi le gouvernement américain à conclure des accords bilatéraux avec les pays respectant les droits humains, afin que les enquêteurs des deux côtés puissent formuler directement leurs demandes aux opérateurs privés situés chez leur partenaire.

Le texte a mis un terme à un contentieux juridique né du refus, en 2013, de Microsoft de livrer à la justice américaine des e-mails d'un trafiquant de drogues présumé, au motif qu'ils étaient stockés en Irlande.

Pour le reste, la loi est au point mort, aucun pays n'ayant encore conclu d'accord avec Washington.

- En bloc -

«Depuis son adoption, le Cloud Act a malheureusement fait l'objet de nombreuses idées fausses et est considéré avec suspicion», a reconnu un haut responsable du ministère américain de la Justice, Richard Downing lors d'une visite à Londres.

De fait, certains pays craignent que les Etats-Unis n'utilisent ces accords de manière abusive pour collecter des données sur leurs citoyens.

«Personne ne peut accepter qu'un gouvernement étranger, même américain, puisse venir chercher des données sur les sociétés stockées par une société américaine, sans préavis et sans que nous puissions répondre», a jugé le ministre français des Finances, Bruno Le Maire.

Par ailleurs, les Européens veulent négocier en bloc, mais Washington dénonce la montée du populisme dans certains Etats-membres et refuse de conclure un accord global.

La commission européenne avance donc en parallèle son projet de résolution «e-Evidence», qui prévoit d'obliger tous les prestataires privés à désigner un représentant légal dans l'Union, de manière à ce que les enquêteurs lui adressent directement leurs demandes, même si les données sont stockées ailleurs.

Si ce projet était adopté par le Parlement, il obligerait les opérateurs à s'exécuter dans les dix jours au maximum, sous peine d'amende.

Mais ce texte ne fait pas non plus l'unanimité, les Allemands et les Pays-Bas ayant notamment émis des réserves au nom de la protection de la vie privée.

- 10 mois -

En attendant que cet imbroglio se démêle, les enquêteurs continuent de s'arracher les cheveux.

Dans l'UE, 85% des enquêtes pénales reposent sur des preuves électroniques, dont les deux tiers sont stockées à l'étranger.

Pour accéder à un compte Facebook par exemple, un juge européen doit aujourd'hui passer par l'intermédiaire de son gouvernement qui transmet la demande à Washington.

Un magistrat américain – qui ne connaît pas le dossier – est ensuite chargé d'adresser la requête au groupe californien qui n'a aucun délai pour répondre. Les données sont ensuite transmises au FBI, où une équipe est chargée de vérifier qu'elles ne contiennent pas d'informations confidentielles.

Quand la police fédérale a fini ses vérifications, elle transmet les données au gouvernement ayant émis la demande et in fine au juge en charge de l'enquête. L'ensemble de ces démarches prend en moyenne dix mois.

«Ca ne marche pas, les affaires sont toutes bloquées», tempête une magistrate européenne frustrée par ces délais.