Emails stockés à l’étranger : les géants américains du cloud se liguent autour de Google

Google est actuellement aux prises avec la justice américaine face à une affaire aux airs de déjà-vu. Un tribunal exige ainsi, suite à une demande du FBI, que l’entreprise récupère des données qu’elle stocke dans des serveurs situés dans un autre pays. Google, soutenu par la Silicon Valley, agite le spectre d’un imbroglio juridique.

Nouveau choc entre les grandes entreprises américaines du cloud et le département de la Justice (DoJ). Ce dernier a demandé le mois dernier, via un tribunal de Pennsylvanie, que Google lui remettre des emails provenant de Gmail. Problème, ces données sont bien gérées par la société, mais sont stockées sur des serveurs situés physiquement hors des frontières américaines.

Nuage dense ou fragmenté ?

Ici, deux grandes visions s’affrontent. Le DoJ considère que la masse des données gérées par une société américaine doit être considéré comme un lot unique, accessible à la demande et si besoin. En clair, l’entreprise est américaine, donc tout ce qu’elle héberge peut être la cible d’un mandat délivré par un tribunal américain.

Google, de son côté, n’a clairement pas le même angle de vue. Oui elle a son siège aux États-Unis, mais les données du cloud sont stockées dans des serveurs répartis un peu partout sur la planète. Accéder à ces données revient à accéder aux serveurs. L’entreprise craint que les pays concernés voient d’un très mauvais œil l’application d’un mandat étranger sur leur propre territoire.

Les entreprises veulent préserver les frontières nationales pour le cloud

Il s’agit en définitive d’un nouveau procès autour d’une thématique qui n’est pas neuve : les frontières juridiques du cloud. Microsoft a affronté l’année dernière le DoJ sur le même sujet, avec une victoire à la clé. Un tribunal fédéral de New York avait donné raison à la firme, la demande d’appel du FBI étant rejetée. La requête de l’agence portait initialement sur des emails envoyés par un suspect dans enquête pour trafic de drogue. Les données étaient stockées sur des serveurs situés en Irlande. L'État irlandais a d'ailleurs défendu publiquement Google dans ce dossier, donc sa souveraineté.

Il n’est donc pas étonnant – comme pour Microsoft – de voir d’autres grandes entreprises courir à la rescousse d’un Google actuellement en train de perdre. Apple, Amazon, Microsoft et Cisco se sont ainsi réunies autour d’un même amicus curiae. Ce type de document est remis à un tribunal par des personnes physiques ou morales qui souhaitent donner leur avis, en proposant d’apporter des compléments d'informations sur des questions techniques.

Crainte d'une « position intenable » sur le plan international

Le point central est abordé en fin de page 8 : « Quand un mandat cherche le contenu d’emails [stockés] dans un centre de données à l‘étranger, l’invasion de la vie privée intervient hors des États-Unis – dans le lieu où les communications des clients sont stockées, où on y accède et où elles sont copiées au bénéfice des forces de l’ordre, sans le consentement du client ».

Pour ces entreprises, le consentement d’un juge sur un tel mandat représenterait tout simplement une intrusion flagrante « dans la souveraineté » des États étrangers, ce que le Congrès américain « n’a pas autorisé ». Et pour enfoncer le clou, le quatuor soulève un autre lièvre : « Tout aussi troublant, [le mandat] invite les nations étrangères à répliquer en demandant de la même manière aux bureaux locaux des entreprises américaines de fournir les communications des citoyens américains, stockées sur le sol national ».

En clair, l’amicus brosse le portrait d’un véritable imbroglio juridique international qui placerait « les entreprises du numérique dans une position intenable » où elles seraient amenées à violer les lois étrangères sur la vie privée pour appliquer un mandat américain. Seule solution envisagée, que le SCA (Stored Communications Act) soit amendé afin de clarifier la situation pour les mandats futurs. Même avis du côté de Yahoo, qui a publié un amicus curiae séparé, mais aboutissant à des conclusions similaires : le tribunal va trop loin dans son interprétation du SCA.

Le juge n'a pas tenu compte du précédent établi par Microsoft

Tous se réfèrent également à l’affaire qui a opposé Microsoft à la Justice et qui s’est terminée en février dernier. Elles accusent toutes le juge en charge de l’affaire de ne pas avoir tenu compte de cet important précédent. Google va donc faire appel, la procédure devant se poursuivre encore pendant plusieurs mois.

On rappellera dans tous les cas qu’un amicus curiae n’est qu’un document consultatif. Le juge a toute latitude pour en tenir compte ou pas, les avis des entreprises ne constituant pas des témoignages.