Microsoft et Washington s’affrontent sur le statut des données hébergées à l’étranger

Si l’audience a débuté le 9 septembre dernier, le contentieux est vieux de presque 2 ans : cette audience devant la 2e cour d’appel de New York est en effet la seconde en appel pour Microsoft. La firme de Redmond ayant été déboutée lors des précédemment jugements. Elle devra déterminée si un gouvernement a le droit d’exiger d’une firme des données utilisateurs hébergées à l’étranger.

En effet, le conflit entre Microsoft et Washington se cristallise autour des données personnelles (en l’occurrence des emails) d’un utilisateur de Microsoft hébergées à Dublin, en Irlande, et auxquelles Washington voudrait avoir accès. Demande qui a été formulée en décembre 2013 par mandat dans une affaire de trafic de stupéfiants.
Refus catégorique de Microsoft qui justifie son opposition par le fait que ces données sont hébergées à l’étranger et ne tombent donc pas sous la coupe des États-Unis. Le juge a tranché une première fois en faveur de l’administration Obama arguant que le gouvernement était dans son droit en formulant cette demande.

En appel, Microsoft a prétexté que le Congrès américain n’avait pas autorisé le principe d’externalité sur les mandats émis par les États-Unis, qui ne pouvaient donc perquisitionner un établissement situé à l’étranger. La firme a été une nouvelle fois déboutée.

Aujourd’hui, les deux parties s’affrontent à nouveau, opposant leurs arguments.
Du côté de Microsoft, Joshua Rosenkranz, l’avocat du groupe, estime qu’accéder à la requête des États-Unis créerait un « chaos global ». Ces données doivent être considérées comme des données privées et être traitées comme telles. Cette requête du gouvernement américain se heurte en outre à d’autres lois de protection des données personnelles, comme celle de l’Union européenne. Qu’en serait-il si la Chine ou la Russie faisait de même avec des données hébergées en Europe ou aux États-Unis sans demander l’accord des autorités compétentes ? Pour l’avocat de Microsoft, « c’est une question de souveraineté ? ».

« On serait fous si la Chine pouvait venir faire ça chez nous. Pourquoi? Parce que c’est une question de souveraineté », a-t-il tempêté.

Ce à quoi le gouvernement rétorque par la voix de son avocat, Justin Anderson, qu’il n’est pas question de localisation des données dans le cas présent, mais de la nationalité de l’entreprise qui les stocke et donc la loi à laquelle elle est soumise. Le 4e amendent de la Constitution des États-Unis relatif à la protection contre les perquisitions et saisies non motivées ne s’applique pas au cloud computing. Microsoft étant une entreprise américaine, elle se doit d’accéder aux exigences de l’administration US. Le gouvernement a comparé cette demande à une collecte de données bancaires que les différents établissements bancaires fournissent volontiers.

Si l’affaire a débuté fin 2013, les révélations d’Edward Snowden sur le système de surveillance tentaculaire mis en place par la NSA ont depuis fait leur oeuvre, incitant les géants du web éclaboussés par le scandale à muscler leur discours et leur politique de confidentialité afin de redorer leur blason et restaurer la confiance de leurs clients/utilisateurs.

À cette époque, l’administration américaine veut contraindre Microsoft à lui fournir les données d’un client hébergé à Dublin, en Irlande, lieu où se situe son siège européen, après avoir obtenu un mandat auprès d’un magistrat. Mais Microsoft refuse d’obtempérer. La firme prévient aujourd’hui qu’un jugement en la faveur du gouvernement US aurait des conséquences néfastes pour les entreprises high-tech, notamment à l’heure du cloud computing.

Plus de 100 firmes du secteur technologique et numérique, parmi lesquelles Verizon (éclaboussé par le scandale PRISM), Cisco, Amazon, Apple ou AT&T, des médias dont le Washington Post ou encore l’ACLU (Union américaine pour les libertés civiles) ont apporté leur soutien à Microsoft qui ne fait donc pas cavalier seul.

Le Centre pour la démocratie et la technologie (CDT) a d’ores et déjà prévenu que « Les entreprises américaines pourraient avoir encore plus de mal à vendre des services à l’étranger si le gouvernement garde un droit d’accès à leurs contenus. De nombreux clients potentiels assimileront un tel accès à la surveillance menée par la NSA, au détriment des fournisseurs de service d’informatique dématérialisée [le cloud donc] ».

En décembre 2014, l’Irlande était montée au créneau tout en se disant prête à coopérer avec les États-Unis, les deux pays étant liés par un accord d’entraide juridique.
Néanmoins, l’Irlande ne souhaitait pas rester silencieuse dans une affaire qui se joue en partie sur son sol. Avec le soutien de la Commission européenne, elle avait déposé une procédure d’amicus curiae, permettant à une personne non partie à une procédure en cours dans un pays étranger de donner son avis. « Les tribunaux américains doivent respecter la souveraineté de l’Irlande », a ainsi souligné Dara Murphy, le ministre irlandais en charge de la protection des données.

« Le droit des individus à la protection de leurs données personnelles est un fondement essentiel de la société moderne et de la croissance de l’économie numérique. Nous devons nous assurer que les individus et les organisations peuvent avoir confiance dans les règles et les processus qui ont été mis en place pour protéger la vie privée. »

Avec cette procédure contre Microsoft, les États-Unis affirment un peu plus leur volonté de ne pas s’embarrasser de protocole ou de courbettes diplomatiques en traitant avec leurs homologues, mais préfèrent traiter directement avec les entreprises du secteur… américaines dans leur grande majorité.