Ce que peuvent faire les agents de la NSA (ou pas) 2/2

Le film d'Oliver Stone consacré à Edward Snowden et à la « surveillance de masse » était sous-titré « Nous sommes tous sur écoute ». Le texte expliquant ce que les employés de la NSA ont le droit faire, ou pas, évoque certes une « collecte en vrac », mais « très éloignée d'une approche totalement illimitée ».

Ancien sous-procureur général adjoint au ministère de la Justice américain, David Kris avait supervisé les questions de sécurité nationale à la Justice de 2000 à 2003, avant de contester (.pdf), en 2006, la légalité d'un programme d'espionnage de la NSA, sans mandat. Une critique que le Washington Post avait alors qualifiée de « dissidence publique inhabituelle de la part d'un ancien fonctionnaire de l'administration ».

Le 15 janvier, il a publié un nouveau mémo de 78 pages de décryptage d'une « Annexe SIGINT » (pour SIGnal INTelligence) de 44 pages (dont 35 de directives, et un glossaire de 7 pages), en grande partie déclassifiée, le 7 janvier dernier, et mise en ligne par la NSA le 13.

Après un premier compte-rendu de son volet historique, nous détaillons le contenu de ce nouveau document, destiné à mettre à jour une précédente directive qui ne l'avait pas été depuis mai 1988, alors même que la téléphonie mobile et Internet ont depuis révolutionné le SIGINT.

• Ce que peuvent faire les agents de la NSA (ou pas) 1/2

Avant d'entrer dans les détails, David Kris explique que la nouvelle annexe SIGINT semble refléter au moins trois changements significatifs par rapport au texte précédent.

Premièrement, la nouvelle est généralement plus prescriptive, et rend certaines exigences et autorisations « explicites » alors qu'elles étaient auparavant « implicites ». Elle précise notamment comment certaines dispositions interagissent pour permettre ou restreindre certaines possibilités opérationnelles qui se présentent régulièrement.

L'accent mis sur l'interrogation [querying, ndt] des données peut également refléter les progrès technologiques réalisés depuis la dernière mise à jour importante de l'annexe précédente en 1988. Alors qu'autrefois, l'interrogation consistait bien plus à faire en sorte qu'un être humain cherche l'information souhaitée dans un ensemble de données stockées sur du papier, des bandes magnétiques, microfilms et d'autres ensembles de données analogiques, aujourd'hui, il s'agit plutôt d'interrogations automatisées et d'autres exploitations de données numériques. 

L'annexe comporte en outre une série de FAQ intégrées dans le corps du document, et simplifie la recherche dans les règles applicables. Cet effort se manifeste d'ailleurs dans la longueur du document : alors que l'Annexe précédente comprenait une douzaine de pages de fond, la nouvelle Annexe SIGINT en compte environ 35, soit presque trois fois plus, sur 44 pages.

Des contrôles « beaucoup plus développés qu'à l'époque »

Un deuxième changement important par rapport à l'annexe précédente est lié au premier changement : la nouvelle annexe SIGINT tient compte des extensions statutairement requises de l'infrastructure de conformité et de libertés civiles de la NSA. Depuis 2010, l'agence dispose en effet d'un directeur de la conformité, chargé de la conseiller au sujet des questions de protection de la vie privée et des libertés civiles.

De plus, la NSA dispose aujourd'hui de procédures et d'un ensemble de personnels chargés de superviser la réglementation du SIGINT « beaucoup plus développé qu'à l'époque où l'annexe précédente était en vigueur pour traiter de ces questions ».

« La NSA est une entité hautement réglementée », souligne Kris, et l'annexe SIGINT « est subordonnée, et dérivée, de l'Executive Order 12333 », qui dispose que « [les] éléments de la communauté du renseignement ne sont autorisés à collecter, conserver ou diffuser des informations concernant des ressortissants américains que conformément aux procédures » établies par le chef de l'agence compétente avec l'approbation du procureur général (AG) après consultation du directeur du renseignement national (DNI).

Plus précisément, elle « régit la collecte SIGINT par l'USSS sous E.O. 12333 » à trois fins : « pour satisfaire aux exigences étrangères de renseignement ou de contre-espionnage, pour apporter un soutien aux opérations militaires » ou, dans certaines circonstances, « pour protéger la sécurité ou permettre la récupération d'une personne américaine captive ». Pour autant, l'annexe ne s'applique pas aux activités SIGINT « menées conformément à la FISA », à l'exception des « activités de collecte qui ciblent des personnes américaines en dehors des États-Unis ».

Troisièmement, l'annexe SIGINT semble être plus neutre sur le plan technologique que la précédente, qui comportait par exemple des règles spéciales pour les communications vocales et par fax, qui ne sont plus présentes dans la nouvelle. Alors que la précédente distinguait souvent les règles en fonction du type de signal collecté – par exemple, en traitant les radiofréquences (RF) différemment des communications filaires –, la nouvelle semble mettre l'accent sur les phases du cycle de vie du SIGINT, telles que la collecte, le traitement et l'interrogation.

Ce changement s'expliquerait en partie, explique David Kris, « parce que l'environnement SIGINT lui-même a évolué de telle sorte qu'il serait moins utile pour les opérateurs de trop se concentrer sur le type de signal, les réseaux et systèmes de communication plus complexes, divers et hybrides devenant de plus en plus la norme ».

Il recoupe également et dans une certaine mesure le premier changement, précise l'auteur : « l'annexe SIGINT fournit des orientations conçues pour les opérateurs et adaptées en tenant compte du fait que la protection de la vie privée et les risques connexes peuvent être différents à chaque phase du cycle de vie du SIGINT ».

Des collectes ciblées « chaque fois que possible »

L'annexe rappelle premièrement que l'U.S. Signals Intelligence System (USSS) ne peut « cibler intentionnellement des personnes américaines ou des personnes aux États-Unis à moins qu'une autorisation n'ait été obtenue conformément à la présente section ou à la FISA ».

Deuxièmement, en ce qui concerne les personnes américaines ou les personnes aux États-Unis, l'USSS doit « limiter la collecte SIGINT » à « ne pas collecter plus d'informations que ce qui est raisonnablement nécessaire », et si possible utiliser les moyens les moins intrusifs.

Troisièmement, l'USSS doit effectuer une collecte ciblée (par opposition à une collecte en vrac) « chaque fois que possible », en utilisant des termes de sélection ou d'autres éléments discriminants afin d'« identifier une cible, un sujet ou une caractéristique de la communication ou une combinaison de ces éléments, conformément à l'objectif de la collecte ou de la requête ».

Pour autant, il n'y a pas d'exigence dans l'annexe, comme le prévoit le FISA, de terme de sélection « identifiant spécifiquement une personne, un compte, une adresse ou un appareil personnel ». Un terme de sélection n'est donc pas le même qu'un « sélecteur » fort, un mot utilisé dans d'autres contextes pour désigner une installation comme une adresse e-mail ou un numéro de téléphone spécifique.

Kris explique que l'annexe autoriserait par exemple « l'utilisation d'une combinaison de termes de sélection comme celui-ci: tout message qui (1) contient le mot "pourquoi" utilisé dans les trois mots de l'expression "es-tu"; (2) est écrit à plus de 85% en pentamètre iambique [un type de vers utilisé notamment dans les poésies grecques, anglaises et allemandes, ndt]; et (3) est transmis entre 9h00 et 17h00 GMT ».

De plus, lorsque les termes de sélection « sont raisonnablement susceptibles d'entraîner ou ont abouti [lorsqu'ils ont déjà été utilisés dans le passé] à la collecte de communications à destination, en provenance ou à propos de citoyens américains (où qu'elles se trouvent) », l'annexe impose des exigences supplémentaires. À commencer par le fait de prendre des mesures pour s'assurer que les communications « non pertinentes » soient exclues.

La « collecte en vrac » est limitée à six catégories bien définies

En outre, la collecte SIGINT en vrac (« bulk SIGINT collection », souvent – incorrectement – traduite comme « surveillance de masse ») est quant à elle limitée à six catégories bien définies par la Presidential Policy Directive (PPD-28) approuvée par l'administration Obama en 2014 :

• l'espionnage et autres menaces et activités dirigées par des puissances étrangères ou leurs services de renseignement contre les États-Unis et leurs intérêts;
• les menaces contre les États-Unis et leurs intérêts par le terrorisme;
• les menaces pesant sur les États-Unis et leurs intérêts du fait de la mise au point, de la possession, de la prolifération ou de l'utilisation d'armes de destruction massive;
• les menaces de cybersécurité;
• les menaces contre les forces armées américaines ou alliées ou tout autre personnel américain ou allié; et
• les menaces criminelles transnationales, y compris le financement illicite et la fraude aux sanctions liées aux autres fins mentionnées dans la présente section.

La directive qui l'encadre rappelle en outre qu'« en aucun cas, les renseignements électromagnétiques recueillis en vrac ne peuvent être utilisés dans le but de supprimer ou d'alourdir la critique ou la dissidence; désavantager les personnes en raison de leur appartenance ethnique, de leur race, de leur sexe, de leur orientation sexuelle ou de leur religion; offrir un avantage concurrentiel aux entreprises américaines et aux secteurs commerciaux américains sur le plan commercial; ou atteindre un objectif autre que ceux identifiés dans cette section ».

Quatrièmement, l'USSS doit prendre des « mesures raisonnables » pour déterminer la nationalité et l'emplacement des cibles (pour l'application des règles appropriées, qui dépendent souvent de la nationalité et de l'emplacement).

Cinquièmement, l'USSS doit essayer de réduire la quantité de collecte accidentelle de communications nationales ou de communications concernant des citoyens américains.

La NSA peut examiner un spectre, mais pas n'importe comment

Kris recense au surplus quatre autres limitations pour ce qui est de l'examen de « l'environnement des signaux » afin d'identifier les « signaux ou communications » pertinents. La NSA compare cela au fait de tourner le cadran d'un autoradio pour trouver les stations locales qui diffusent un type particulier de musique ou d'autres programmes.

Un tel examen ne peut être mené que pour identifier les communications ou autres signaux qui satisfont à au moins l'une des quatre exigences suivantes :

1. « Peuvent contenir des informations relatives à la production de renseignement ou de contre-espionnage », comme les messages entre une unité militaire déployée à l'avant ou un actif de renseignement et son quartier général.
2. « Sont chiffrés ou semblent contenir une signification secrète et sont nécessaires pour développer des capacités techniques ». Par exemple, l'analyse cryptographique d'un chiffrement militaire particulier utilisé par un adversaire peut bénéficier d'un large échantillon de données chiffrées.
3. « Sont nécessaires pour assurer une collecte SIGINT efficace ou pour éviter la collecte de signaux indésirables », ce qui s'explique du fait des nombreux canaux de communication existants comparés aux ressources SIGINT limitées. Ils permettent à la NSA et à d'autres éléments de l'USSS d'étudier l'environnement plus large dans le but de diriger la collecte contre les canaux les plus précieux, et peuvent également permettre l'identification des canaux contenant un grand nombre ou un pourcentage de communications qui ne sont pas appropriés pour la collecte, éclairant les décisions pour éviter de diriger SIGINT contre ces canaux.
4. « Révéler les vulnérabilités de sécurité des communications aux États-Unis ». Par exemple, la NSA peut examiner un canal avec un terminal dans une installation de renseignement américaine pour vérifier si de grandes quantités de données sensibles sont exfiltrées.

Dès lors, le but et la fonction d'un tel examen n'est pas de collecter des renseignements étrangers en premier lieu (bien que cela puisse aboutir à une telle collecte), mais de vérifier des informations sur l'environnement SIGINT afin de faciliter, guider et documenter la future collecte SIGINT.

En conséquence, une enquête n'est pas et « ne doit pas être utilisée comme » un « substitut à une collecte continue », et doit être « raisonnable et suffisamment limitée en termes de portée, de résultats et de durée ».

Les enquêtes peuvent utiliser des termes de sélection pour aider à déterminer si un canal étudié (par exemple, une radiofréquence) contient des informations pertinentes, mais des enquêtes sur les canaux de communication avec un terminal (c'est-à-dire un point d'accès ou un point final) aux États-Unis ne peuvent être menées que pour « déterminer si la chaîne contient des "renseignements", doit être d'une durée aussi limitée que possible conformément à cet objectif et, si l'enquête n'implique pas de conditions de sélection, ne doit pas dépasser deux heures sans approbation spéciale ».

De la « minimisation » des données

Kris relève au surplus que « la section 2.5 de l'annexe SIGINT, qui traite des "limitations" à la collecte de SIGINT est la disposition la plus longue et la plus complexe de l'annexe, s'étendant sur plus de cinq pages ».

Lorsque les termes sélectionnés « sont raisonnablement susceptibles d'entraîner ou ont abouti à la collecte de » communications concernant des citoyens américains – même si elles ne sont pas conçues pour le faire – l'USSS doit entreprendre certains efforts de « minimisation » visant à réduire ou à annuler de telles communications (ainsi que les données liées à ces communications) qui ne sont pas pertinentes pour un objectif de collecte autorisé.

Kris note cela dit que la section 3.5 de l'annexe SIGINT prévoit que les limitations sur les requêtes évoquées ci-dessus ne s'appliquent pas à « l'analyse des métadonnées des communications, y compris le "contact chaining" », à savoir l'identification des contacts de la cible, voire des contacts de ses contacts.

Dans de tels cas, l'analyse des métadonnées et le « contact chaining » peuvent se dérouler « sans égard à l'emplacement physique ou à la nationalité de l'un des communicants ou à l'emplacement ou à l'enregistrement de tout appareil ».

Acheter des données plutôt que les intercepter !

Le New York Times vient de révéler que la Defense Intelligence Agency (DIA) avait reconnu avoir acheté des données de géolocalisation « en vrac » provenant de smartphones et obtenues auprès de brokers, mais également que ces derniers ne séparaient pas les données des étrangers de celles concernant les Américains.

Le NYT révèle également si la DIA filtrait les données de sorte de les minimiser, « l'autorisation d'interroger les données de localisation aux États-Unis a été accordée cinq fois au cours des deux dernières années et demie à des fins autorisées », et visant des citoyens américains.

Kris relève à ce titre que l'annexe « ne semble pas règlementer la collecte de données via l'achat d'informations auprès d'un courtier de données », au motif qu'il s'agit d'informations « accessibles au public par abonnement ou par achat » et « fournies volontairement » au gouvernement par une entreprise privée, et non interceptées secrètement par un service de renseignement. Dès lors, leur acquisition ne nécessiterait pas d'approbation spéciale.

Le département de la défense semblerait même « encourager la collecte sur le marché libre à la collecte utilisant le SIGINT, considérant que la première est moins intrusive que la seconde », note David Kris.

Un encouragement qu'il qualifie d'« important car l'un des principaux développements technologiques de l'ère post-11 septembre a été l'amélioration relative du secteur privé, par rapport au gouvernement, dans sa capacité à générer, accéder, collecter, traiter, analyser et exploiter les données, y compris les données de localisation et autres données sur les utilisateurs finaux d'appareils ou de services » :

« De vastes quantités de données, y compris des données de localisation, sont collectées et disponibles à la vente par diverses entités privées. Toute réglementation future possible dans ce domaine devrait vraisemblablement trouver un équilibre entre les préoccupations concernant l'accès du gouvernement américain à ces informations et les préoccupations concurrentes selon lesquelles, si l'accès du gouvernement américain est limité par la loi, l'accès continu resterait disponible pour les gouvernements étrangers adverses, les entités commerciales et organisations non gouvernementales.

En examinant la question dans l'autre sens, j'ai écrit sur les préoccupations de contre-espionnage liées à la disponibilité de ces données - y compris, "à mesure que la gamme des médias sociaux et d'autres informations accessibles au public s'élargit", des difficultés possibles "à établir des personnalités numériques pour l'infiltration agents et officiers" – et le Congrès semble également avoir récemment exprimé des préoccupations similaires. »

Des données conservées 5, 20, 25 ans voire indéfiniment, ou détruites rapidement

En dehors du champ d'application de la FISA, en vertu de la section 4.2 de l'annexe, l'USSS « peut généralement conserver un SIGINT non évalué jusqu'à 5 ans à compter du moment où il est collecté ».

Si l'information est chiffrée ou raisonnablement considérée comme ayant une signification secrète, elle peut être conservée « pendant une durée suffisante pour permettre l'exploitation », et que la durée de rétention de 5 ans ne commence qu'à partir du moment où elles « sont traitées sous une forme intelligible ».

Le FISA prévoit de même que « lorsque les communications sont codées ou ne sont pas traitées d'une autre manière, de sorte que le contenu de la communication est inconnu, il n'est pas nécessaire de minimiser ... jusqu'à ce que leur contenu soit connu ».

La section 4.3 de l'annexe autorise le directeur de la NSA (avec une certification des commissions du renseignement du Congrès) à approuver « la conservation des SIGINT non évalués pendant une période allant jusqu'à 20 ans au-delà de la période de conservation par défaut ».

Les informations collectées en ciblant des personnes non américaines en dehors des États-Unis, y compris des données concernant des Américains (USPI) mais collectées accidentellement, peuvent de leur côté être conservées pendant 25 ans.

La section 4.4 de l'annexe SIGINT permet cela dit la conservation « potentiellement indéfinie » de plusieurs catégories de SIGINT.

La première concerne des informations qui ne représentent pas une menace réelle pour les intérêts de la vie privée des citoyens américains. Il s'agit de « communications étrangères [c'est-à-dire des communications avec au moins une extrémité en dehors des États-Unis] qui sont déterminées comme constituant, en tout ou en partie, du renseignement ou du contre-espionnage étranger, ou des informations nécessaires pour comprendre ou évaluer le renseignement ou le contre-espionnage étranger, et dont toutes les parties sont raisonnablement considérées comme étant des personnes non américaines et dont toute USPI a été supprimé. » La rétention peut dès lors être permanente.

La section 4.6.b. prévoit en outre que l'USSS « détruira généralement rapidement après reconnaissance » toute communication recueillie à la suite d'un « ciblage par inadvertance d'un ressortissant américain non consentant », lorsque la collecte est à la fois inattendue et indésirable, mais se produit par accident, involontairement.

« Quelque chose de très éloigné d'une approche totalement illimitée »

En conclusion, David Kris relève que « l'Annexe SIGINT est flexible à bien des égards, mais elle fournit également des limites importantes à l'activité SIGINT qui n'est pas directement réglementée par la loi ».

De plus, si elle « protège principalement les personnes et les personnes américaines aux États-Unis », l'annexe SIGINT « fournit également des protections importantes qui s'étendent à toutes les personnes, y compris les personnes non américaines situées en dehors des États-Unis, au-delà de celles énoncées dans le PPD-28 ».

Kris résume les limites et les protections applicables concernant les Américains :

• Limites sur « le ciblage intentionnel de personnes ou de personnes américaines aux États-Unis »;
• Limites de la collecte intentionnelle de communications nationales;
• Obligation d'utiliser les « moyens les moins intrusifs » pour la collecte d'USPI effectuée aux États-Unis ou dirigée contre une personne américaine à l'étranger, de ne pas collecter plus d'USPI qu'il n'est « raisonnablement nécessaire », et d'envisager des méthodes pour limiter la collecte d'USPI non pertinentes;
• Obligations de « faire tous les efforts raisonnables » pour « réduire, dans toute la mesure du possible », la collecte accidentelle de communications nationales et de communications concernant des ressortissants américains, et de prendre en compte « certains facteurs pour limiter la collecte de l'USPI [non pertinent] »;
• Interdictions de « ciblage inversé », où la personne ou l'entité auprès de laquelle ou au sujet de laquelle le gouvernement cherche des informations n'est pas la cible identifiée (nominale) de la collecte;
• Obligation d'utiliser des termes de sélection pour la collecte chaque fois que possible et, lorsqu'il existe un risque de collecte accidentelle de communications non pertinentes concernant des personnes américaines, de prendre des mesures pour annuler cette collecte, y compris la collecte des communications elles-mêmes et des données connexes;
• Obligation, lors de collecte SIGINT sur les chaînes de radio étrangères avec un terminal aux États-Unis, de cibler les personnes non américaines à l'étranger (et utiliser des termes de sélection sauf si la chaîne est utilisée exclusivement par des puissances étrangères);
• Obligation de ne recourir à des requêtes destinées à récupérer des communications concernant des personnes américaines et des personnes aux États-Unis que dans certaines circonstances (« quoique l'éventail de circonstances soit assez large », remarque Kris);
• Obligation de destruction des communications nationales, des communications obtenues par ciblage inadvertant de personnes américaines non consentantes, et des communications de certaines personnes non américaines non consentantes ciblées par inadvertance aux États-Unis;
• Obligation de minimisation des USPI lors de la dissémination du SIGINT.

Concernant les non Américains, « les protections incluent » :

• Interdictions d'utiliser des partenaires étrangers pour accomplir indirectement quelque chose que l'USSS ne peut pas accomplir directement, en vertu de l'Executive Order 12333. « Il s'agit d'une limite importante car de nombreux gouvernements étrangers ne réglementent pas l'activité SIGINT de manière aussi rigoureuse ou de manière transparente comme le font les États-Unis », précise Kris.
• Limites quant aux finalités pour lesquelles la collecte SIGINT et l'interrogation de requêtes peuvent être effectuées, et obligations de « mener une collecte ciblée en utilisant une sélection de termes chaque fois que cela est possible ».
• Exigences concernant les moyens de limiter la collecte aux informations pertinentes et les moyens de filtrer « les informations non pertinentes dès que possible après la collecte ».
• Obligations de se conformer aux directives émises par le procureur général destinées à protéger les communications avocat-client.
• Limites de conservation des SIGINT non évalués. Le but de cette limite est principalement de protéger les personnes américaines et les personnes aux États-Unis, mais les limites ont pour effet de restreindre la conservation en général en raison du mélange indifférencié d'informations USPI ou non dans un SIGINT non évalué.
• Obligations générales de détruire les communications nationales de certaines personnes non américaines non consentantes ciblées par inadvertance aux États-Unis.
• Exigences relatives aux politiques internes, aux programmes de conformité, à la formation, à l'audit et aux contrôles internes, à la documentation et aux rapports aux superviseurs externes qui aident à garantir la conformité réelle avec les lois et politiques énoncées –« un autre facteur qui peut différencier les États-Unis de certains autres Gouvernements », précise Kris.

« Les esprits raisonnables peuvent certainement différer sur le point de savoir si l'Annexe SIGINT fournit des protections suffisantes pour les personnes américaines, les personnes aux États-Unis et les personnes non américaines à l'étranger », conclut Kris. « Mais ces 35 pages de détails prescrivent quelque chose de très éloigné d'une approche totalement illimitée » [« something very far removed from a wholly unrestricted approach », ndt] :

« En fournissant ces protections et limites, ainsi qu'en autorisant l'activité SIGINT, l'annexe SIGINT apporte plus de clarté et de prescription que son prédécesseur. Cela reflète en partie le nouvel environnement dans lequel il fonctionne et la tendance à une réglementation et à une transparence accrues en matière de SIGINT. »

La CJUE fustige la « collecte "en vrac" [...] d’un volume relativement important d’informations »

La publication de l'annexe SIGINT devrait donc intéresser juristes et autres afficionados de renseignement technique ou de protection de la vie privée, au vu de l'arrêt dit « Schrems 2 ».

Pour rappel, la Cour de justice de l’Union européenne (CJUE) avait alors invalidé le « bouclier de vie privée » (ou Privacy Shield), en juillet 2020, au motif que l’article 702 du Foreign Intelligence Surveillance Act (FISA) et de l’executive ordrer 12333 « ne correspondent [pas] aux exigences minimales attachées, en droit de l’Union, au principe de proportionnalité, si bien qu’il n’est pas permis de considérer que les programmes de surveillance fondés sur ces dispositions sont limités au strict nécessaire ».

Outre-Atlantique, les textes prévoient bien l’intervention du tribunal de la surveillance du renseignement extérieur (ou FISC, pour Foreign Intelligence Surveillance Court), toutefois elle se limite à « vérifier si ces programmes de surveillance correspondent à l’objectif d’obtenir des informations en matière de renseignement extérieur », pas à savoir « si les personnes sont correctement ciblées pour se procurer des informations en matière de renseignement extérieur ».

Ces dispositifs concoctés par le procureur général et le directeur du renseignement national ne ciblent en effet pas une personne déterminée, mais orchestrent bien un programme de surveillance extérieure.

Pas de limitations ciselées, pas de garanties pour les personnes non américaines potentiellement visées, ni même de droits opposables devant les tribunaux. Le Privacy Shield, si chèrement défendu par la Commission européenne, n’est donc « pas susceptible d’assurer un niveau de protection substantiellement équivalent à celui résultant de la Charte », contrairement à ce qu’exige le RGPD.

Les documents annexés au Privacy Schield indiquent en effet que la directive stratégique présidentielle n°28 (Presidential Policy directive 28, ou PPD-28), sur laquelle se fondent les programmes de surveillance, permet de procéder à une « collecte “en vrac” [...] d’un volume relativement important d’informations ou de données issues du renseignement d’origine électromagnétique dans des conditions où les services de renseignement ne peuvent pas utiliser d’identifiant associé à une cible spécifique [...] pour orienter la collecte ».

Pour la Cour, « cette possibilité, qui permet, dans le cadre des programmes de surveillance fondés sur l’E.O. 12333, d’accéder à des données en transit vers les États-Unis sans que cet accès fasse l’objet d’une quelconque surveillance judiciaire, n’encadre, en tout état de cause, pas de manière suffisamment claire et précise la portée d’une telle collecte en vrac de données à caractère personnel ».

« Une critique possible de la nouvelle annexe »

Un petit détail intrigue, cependant. Le mémo de David Kris, dont les méta-données indiquent qu'il a été enregistré le 15 janvier, fait 78 pages, est extrêmement fouillé et particulièrement documenté. Il renvoie en outre à rien de moins que 362 liens pointant vers des articles, directives, règlements et autres textes officiels particulièrement techniques, eux-mêmes très denses, et a priori impossibles à identifier sauf à être un « professionnel de la profession » des experts en droit du renseignement technique américain.

Or, le tampon de déclassification de l'annexe SIGINT est daté du 7 janvier, et le fichier n'a été mis en ligne que le 13 sur le site web de la NSA. De plus, dans un louable effort de transparence, et pour s'assurer qu'il ne risquait pas de compromettre la sécurité nationale, David Kris précise avoir consulté des représentants de la NSA et d'autres agences gouvernementales, et même « obtenu l'aide du GCHQ », l'homologue britannique de la NSA, afin de s'assurer de l'exactitude de son article.

Il détaille au surplus que son document a « été examiné par le gouvernement pour s'assurer qu'il ne contient pas d'informations classifiées ». De fait, le fichier .pdf est intitulé « nsa-sigint-annex-paper-cleared-by-usg-1-13-2021.pdf », mais sans que l'on comprenne si la référence au 13 janvier correspond à la mise en ligne de l'annexe sur le site de la NSA, ou bien la date à laquelle le document aurait été reçu, envoyé ou bien encore « cleared » et donc validé par le gouvernement US.

Intrigué, je lui ai donc demandé comment il avait pu produire une telle analyse, et l'avoir faite valider par plusieurs représentants de plusieurs agences, même et y compris en Grande-Bretagne, puis de la faire examiner et approuver « par le gouvernement », en moins de 48 heures. Il ne m'a pas répondu.

Reste qu'il est peu probable que David Kris ait pu produire un tel travail de décryptage, et encore moins obtenir des réponses de plusieurs représentants de la NSA et du GCHQ, puis faire valider son mémo, en moins de 48 heures.

L'explication pourrait se trouver dans le paragraphe de conclusion. Kris y explique que « l’annexe SIGINT conserve le point de vue d’un opérateur et se concentre sur la satisfaction des besoins de la mission », sans pour autant contribuer à éclairer le débat pour les non-spécialistes, ni donc être en mesure de contribuer au débat public, que les révélations dites Snowden ont contribué à polariser :

« En effet, une critique possible de la nouvelle annexe est qu'elle reste trop ancrée dans les opérations héritées et s'appuie trop fortement sur des catégories, des conventions et d'autres approches traditionnelles qui peuvent être utiles à ceux qui font du SIGINT pour gagner leur vie mais qui peuvent nuire à la clarté pour ceux-ci.

L'équilibre entre l'utilité opérationnelle et la clarté théorique est cependant un équilibre extrêmement difficile à trouver, car le public concerné pour l'annexe SIGINT comprend à la fois des initiés et des étrangers. J'ai essayé, dans ce document, de combler le fossé entre eux, en fournissant une explication de l'annexe SIGINT qui, je l'espère, sera utile à quiconque s'intéresse sérieusement à ce domaine. »

Bien qu'il précise que « les opinions exprimées sont uniquement les miennes et les erreurs de ma seule responsabilité », il ne s'agirait donc pas tant de l'initiative individuelle de celui qui, il y a 15 ans, avait critiqué la NSA. Mais, et probablement, d'une alliance objective entre la NSA et le contributeur du blog de référence pour ce qui est des questions de droit américain en termes de sécurité nationale, afin de vulgariser ce qu'elle autorise ses employés à surveiller, et comment, ou pas.