Revue - Revue du droit public et de la science politique en France et à l'étranger N°4-2024 - 99

La section 702 de la loi FISA : un outil de surveillance domestique contraire à la Constitution ?
décision est intervenue quelques semaines après que les ÉtatsUnis
ont placé l'Union européenne sur la liste des bénéficiaires
du mécanisme de recours en matière de renseignement
mis en place par le décret E.O.14086 11
position américaine établie sous la présidence Obama 12
. Ce texte réaffirme la
selon
laquelle les États-Unis reconnaissent « que toute personne a
des intérêts légitimes en matière de protection de la vie privée
dans le cadre du traitement de ses données à caractère personnel
» 13
. Cependant, cette reconnaissance symbolique accompagnée
d'une voie de recours incertaine - sinon ineffective -,
tant les obstacles sont nombreux, ne suffisent pas à clore le
débat. Le Conseil d'État s'est prononcé à plusieurs reprises
depuis 2020 sur le risque d'une collecte des données de santé
des Français par les services de renseignement américains
dans le cadre de recours engagés contre les décisions prises
par l'État et le Health Data Hub de confier l'hébergement
de ces données sensibles à Microsoft 14
naux situés en dehors des États-Unis. En outre, la surveillance
doit se borner aux communications émises ou reçues par la
cible de l'opération, à l'exclusion des personnes qui évoquent
au cours de leurs échanges ladite cible. Enfin, la collecte doit
être conforme au Quatrième amendement.
L'acquisition est soumise à une procédure en quatre étapes
successives (on devrait dire séquentielles tant l'ordre d'exécution
prévu par le texte emporte des conséquences) et
cumulatives 18
qui conditionnent la légalité de la collecte et
. Dans sa décision de
mars 2024, le juge des référés n'y a vu qu'un risque « hypothétique
» 15
au regard des garanties offertes (pseudonymisation
des données) par le responsable du traitement. Plus récemment,
le législateur a entendu protéger les données de santé
directement ou indirectement identifiables stockées dans le
cloud en exigeant de l'État qu'il veille à ce que le fournisseur
de service privé mette en œuvre des garanties de sécurité suffisantes
pour prévenir tout accès non autorisé par des États
tiers 16
. Par conséquent, les interrogations demeurent, faute
d'éclairage sur la portée et la mise en œuvre de la section 702.
Cet article a donc vocation à éclairer le lecteur sur le texte de
la section 702 (I), sa mise en œuvre et en particulier son interprétation
extensive (II) permettant de facto une surveillance
des Américains (III) et les controverses autour de sa récente
prorogation (IV).
I. Une procédure exigeante
En apparence, le Congrès a strictement encadré la collecte
des renseignements (acquisitions) auprès des fournisseurs de
services de communications électroniques en application de
la section 702 de façon à limiter le risque d'interception des
données des Américains 17
de l'analyse des renseignements. Ces étapes sont la détermination
(determination) de la cible, le ciblage (targeting) précis
des identifiants de communication, la minimisation (minimization)
des données et la certification (certification) par
la FISC. Cette procédure a deux objectifs liés. Le premier
est juridique et s'apparente à un devoir de proportionnalité
quant à la collecte et au traitement des données, puisque
seules les informations indispensables au renseignement
extérieur (foreign intelligence) peuvent être légalement collectées,
analysées et disséminées. Le second est politique et
consiste à protéger les droits des Américains par opposition
aux étrangers situés en dehors du territoire et dépourvus de
toute protection constitutionnelle 19
. Une série de contrôles
administratifs internes et externes aux agences de renseignement
est ainsi prévue. L'attorney general et le directeur du
renseignement national approuvent les procédures élaborées
par la NSA, le FBI, la CIA, et le CNTC (centre national de
contre-terrorisme). Puis, la FISC reconnaît ou certifie l'existence
de ces procédures de nature à assurer la conformité de
la collecte au Quatrième amendement 20
. Après ce feu vert,
,
la NSA, qui dispose d'un monopole sur les acquisitions 21
envoie aux entreprises les sélecteurs 22
(selectors, les identifiants
de communication comme une adresse e-mail, un numéro de
téléphone) d'étrangers situés en dehors du territoire de façon
à limiter l'acquisition de données avant leur réception et analyse.
Cette étape comporte également un filtrage car deux
analystes seniors doivent valider la liste des sélecteurs 23
avant
. Ainsi, les acquisitions ne peuvent
cibler intentionnellement et directement ou indirectement
une personne dont une agence sait, au moment de la collecte,
qu'elle est située sur le sol national. De même, les services ne
peuvent obtenir délibérément les communications de natiodes
données à caractère personnel assuré par le cadre de protection des données
UE-États-Unis, C(2023) 4745.
11 EO 14086, Enhancing Safeguards for United States Signals Intelligence Activities,
7 oct. 2022.
12 Presidential Policy Directive, Signals Intelligence Activities, PPD-28, 28 janv.
2014.
13 EO 14086, Enhancing Safeguards for United States Signals Intelligence Activities,
7 oct. 2022, sect. 1.
14 CE, ord., 13 oct. 2020, n° 444937 - CE, 23 nov. 2022, n° 456162, InterHop -
CE, ord., 22 mars 2024, n° 492369.
15 CE, ord., 22 mars 2024, n° 492369, § 11.
16 L. n° 2024-449, 21 mai 2024, visant à sécuriser et à réguler l'espace numérique,
art. 31.
17 50 U.S.C. § 1881a(b).
18 L. K. Donohue, « Section 702 and the Collection of International Telephone
and Internet Content », Harvard Journal of Law & Public Policy 2015, vol. 38,
p. 139-141.
19 United States v. Verdugo-Urquidez, 494 U.S. 259, (1990) : G. Neuman, Strangers
to the Constitution, Immigrants, Borders, and Fundamental Law, 1996, Princeton
University Press - v. aussi, United States v. Muhtorov, 20 F.4th 558 (10th
Cir.
2021) (cert. denied, 143 S. Ct. 246 (2022), « When the target of Section 702
surveillance is a foreign national located abroad having no substantial connections
with the United States, that target is not entitled to Fourth Amendment protections.
Even if the instrumentalities of surveillance were located in the United
States, the foreign target does not have Fourth Amendment protection because
" what matters here is the location of the target, and not where the government
literally obtained the electronic data " [citant Mohamud, 843 F.3d, 439] ».
20 Senate Judiciary Committee Joint Statement, DNI, NSA, CIA, FBI, DOJ,
13 juin 2023, p. 6 « The certifications serve as the legal basis for targeting specific
non-U.S. persons outside the United States », https://lext.so/d0aUQA.
21 Joint Unclassified Statement of DNI, DOJ, FBI, NSA Before the Committee on
the Judiciary, U.S. House of Representatives, Hearing, Section 702 of the FISA
Amendments Act, 1er
mars 2017, p. 5 « The NSA initiates all Section 702 collection.
(...) FBI and CIA do not initiate Section 702 collection, but may nominate
selectors for collection and receive Section 702-acquired communications ».
22 V. NSA, Foreign Intelligence Surveillance Act of 1978 (FISA), https://lext.so/
k4KUP5.
23 PCLOB, Report on the Surveillance Program Operated pursuant to Section 702
of the Foreign Intelligence Surveillance Act, sept. 2023, p. 69.
Re vue du dr oit public * Déc embr e 2024
99

https://www.lext.so/d0aUQA https://www.lext.so/

Revue - Revue du droit public et de la science politique en France et à l'étranger N°4-2024

Table des matières de la publication Revue - Revue du droit public et de la science politique en France et à l'étranger N°4-2024