Nouvelle claque pour le gouvernement français et sa stratégie très controversée de « Cloud de confiance ». Suffit-il de posséder un siège social en France ou en Europe et de couper tout lien capitalistique avec les Etats-Unis pour être protégé contre le Cloud Act, même en vendant une offre basée sur des technologies américaines ? Non, tranche une étude réalisée par le bureau européen du cabinet d’avocats américain Greenberg Traurig LLP, pour le compte du ministère de la Justice et de la Sécurité des Pays-Bas, et rendue publique le 26 juillet dernier.
Le gouvernement néerlandais souhaitait savoir si le Cloud Act, une législation extra-territoriale adoptée en 2018 pour légaliser la collecte de données à l’étranger au nom de la protection des Etats-Unis, s’appliquait seulement aux entités américaines présentes en Europe, comme on le présente souvent, ou s’il pouvait oui ou non aussi toucher les entreprises 100% européennes, c’est-à-dire dont le siège social est situé dans l’Union européenne.
Le Cloud Act peut s’appliquer aux entreprises qui vendent des logiciels américains
La réponse du cabinet américain Greenberg Trauring LTT -qu’on ne peut accuser de servir un agenda pro-européen- est très claire : « Les entités européennes peuvent être à la portée du Cloud Act, même si [elles] sont situées en dehors les Etats Unis », tranche le document en première page.
Les avocats précisent toutefois qu’il est possible pour les entreprises européennes de minimiser ce risque en établissant une « muraille de Chine » avec les Etats-Unis, notamment en n’employant aucun Américain ou n’avoir aucun client américain. Ceux-ci peuvent être des chevaux de Troie pouvant justifier une intervention au titre du Cloud Act.
Mais d’après les auteurs de l’étude, même ce bouclier anti-Cloud Act est insuffisant si l’entité utilise des technologies américaines. « Le Cloud Act peut accéder aux données via des sous-traitants/fournisseurs de matériel et de logiciels, de/vers les fournisseurs de cloud », affirme le rapport.
Or, ce sera précisément le mode de fonctionnement de Bleu, future coentreprise entre Orange et Capgemini, et de S3ns, détenue par Thales. Bleu commercialisera sous licence les offres cloud logicielles de Microsoft Azure (notamment la suite Office 365), tandis que S3ns proposera celles de Google Cloud. Ces deux offres se présentent comme souveraines : elles affirment qu’elles seront étanches au Cloud Act américain car le service sera hébergé par des datacenters situés en France, et sera commercialisé par une entreprise de droit français, coupé de tout lien capitalistique avec les Etats-Unis.
Ces précautions, accompagnées d’autres mesures de sécurité, sont effectivement suffisantes pour la plupart des entreprises. Mais probablement pas pour Bleu et S3ns, car Microsoft et Google sont pour elles des fournisseurs de logiciels dont elles commercialisent les services. Contacté par La Tribune, le cabinet Greenberg Trauring LTT confirme également qu’il suffit, d’après lui, de vendre des logiciels américains, même si l’entreprise est française, pour tomber sous le coup du Cloud Act.
Cette déduction apparaît logique : dans l’économie numérique, l’hébergement des données n’est qu’une commodité. La valeur réside dans l’infrastructure logicielle qui fait tourner les clouds, ainsi que dans les logiciels qui utilisent les données. Pour justifier l’application du Cloud Act à une entité étrangère comme Bleu ou S3ns, les Etats-Unis doivent montrer que celle-ci a « suffisamment de contacts avec les Etats-Unis », et pour de nombreux experts juridiques, la commercialisation de technologies américaines sous licence leur offre une raison suffisante.
Une « muraille de Chine » en théorie possible mais extrêmement complexe et coûteuse
Le gouvernement français n’ayant pas demandé ou rendu publique une étude approfondie sur la portée réelle du Cloud Act sur les futures solutions « Cloud de confiance », les conclusions du rapport de Greenberg Trauring doivent être prises avec des pincettes.
La Tribune a donc demandé à d’autres avocats experts du droit du numérique, d’analyser la portée du Cloud Act sur les offres Cloud de confiance. « La seule voie possible pour Bleu et S3ns, c’est de cloisonner l’offre de telle façon à ce qu’il y ait pas d’accès possible à une personne sous juridiction américaine », explique Olivier Iteanu, avocat spécialiste du droit du numérique. « Cela signifie qu’il ne peut pas y avoir de clients américains et surtout, pas un seul employé américain dans la structure, sinon le Cloud Act s’applique », met-il en garde.
L’avocat rappelle la genèse du Cloud Act, après le scandale Snowden en 2013 qui a révélé au monde l’ampleur de la surveillance de masse opérée par les services de renseignement américains, au nom de leur souveraineté nationale. « Les Etats-Unis ont besoin de légaliser les pratiques de surveillance de masse, de façon à ne pas soumettre les entreprises et les personnes qui coopèrent avec eux, à des actions judiciaires a posteriori. Ils ont donc prévu un très large éventail d’actions pour le Cloud Act. Il est mensonger de dire qu’il ne s’applique qu’aux entreprises américaines à l’étranger et pas aux entreprises locales ».
Sonia Cissé, avocate associée en droit des technologies au sein du cabinet Linklaters, affirme « partager l’analyse du cabinet Greenberg Trauring » sur le fait que « les offres Cloud de confiance peuvent être soumises au Cloud Act ». Elle insiste elle-aussi sur la nécessité d’ériger une « muraille de Chine » pour se protéger au maximum des possibles intrusions américaines.
« En plus d’empêcher tout Américain, y compris pour du support technique ou de la sauvegarde de données, d’accéder à la plateforme, il faudra mettre en place une totale ségrégation des données. Cela nécessite un cumul de mesures très lourdes, complexes et extrêmement coûteuses : c’est une muraille de Chine technique et organisationnelle, impliquant la gouvernance même des structures ainsi que les ressources humaines et la communication entre entités, qu’il faudra mettre en place et surveiller en permanence », décline-t-elle, tout en pointant les « nombreuses zones de flou » qui demeurent encore du côté de l’organisation de Bleu et de S3ns.
Backdoors et loi FISAA, les autres gros risques des offres « Cloud de confiance »
Si le gouvernement, Bleu et S3ns se sont montrés très légers en affirmant avant même la création des offres Cloud de confiance qu’elles seront labellisées par l’Anssi -ce qui n’est pas garanti- et immunes au Cloud Act en dépit d’une analyse juridique approfondie, que dire des deux autres éléphants dans la pièce eux aussi magistralement ignorés : le risque accru de backdoors -logiciels espions infiltrés dans le code-, et celui d’une autre loi extraterritoriale américaine, FISAA.
Ainsi, FISAAA -pour Foreign Intelligence Surveillance Act Amendments Act- s’applique uniquement aux citoyens étrangers. Cette loi permet aux agences de renseignement américaines de demander aux fournisseurs de cloud l’installation de dispositifs permanents qui permettent de scanner toutes les données qu’ils gèrent en dehors des Etats-Unis. Cette surveillance peut se faire avec du matériel d’inspection des paquets en profondeur (DPI), ou de manière invisible au niveau de l’infrastructure logicielle du cloud, c’est-à-dire en utilisant les fournisseurs de la technologie. Or, Bleu et S3ns devraient ne pas avoir accès au code source des logiciels de Microsoft et de Google, qui sont leur secret industriel le plus précieux. Et même s’ils y avaient accès, encore faudrait-il qu’ils repèrent la porte dérobée imposée par les services de renseignement.
Ces portes dérobées, ou backdoors, peuvent aussi être illégales. C’est l’autre gros risque, pour les données des opérateurs d’importance vitale, d’utiliser des services étrangers. Or, les logiciels de Microsoft et de Google sont bien connus des services américains de renseignement, et il est certainement plus facile pour eux d’entrer dans un logiciel américain qu’ils connaissent que dans une autre solution bénéficiant des plus hauts niveaux de sécurité.