9 décembre 2022
Leslie B.
Kiernan, Directrice des affaires juridiques
Ministère du
commerce des États-Unis, 1401 Constitution
Ave., NW Washington, DC 20230
Madame,
Le 7 octobre 2022, le président Biden a signé le décret présidentiel 14086 intitulé «Enhancing Safeguards for United States Signals Intelligence Activities», qui renforce le solide faisceau de garanties en matière de protection de la vie privée et des libertés civiles qui s’applique aux activités de renseignement d’origine électromagnétique des États-Unis. Ces garanties sont notamment les suivantes: exiger que les activités de renseignement d’origine électromagnétique répondent à des objectifs légitimes énumérés; interdire de manière explicite ces activités dans le but d’atteindre des objectifs spécifiques interdits; mettre en place de nouvelles procédures pour garantir que les activités de renseignement d’origine électromagnétique servent ces objectifs légitimes et ne servent pas des objectifs interdits; exiger que les activités de renseignement d’origine électromagnétique ne soient menées qu’après avoir déterminé, sur la base d’une évaluation raisonnable de tous les facteurs pertinents, que ces activités sont nécessaires pour faire progresser une priorité validée en matière de renseignement, et uniquement dans une mesure et d’une manière proportionnées à la priorité validée en matière de renseignement pour laquelle elles ont été autorisées; et demander aux composantes de la communauté du renseignement de mettre à jour leurs politiques et procédures afin de tenir compte des garanties imposées par le décret présidentiel en matière de renseignement d’origine électromagnétique. Plus important encore, le décret présidentiel met également en place un mécanisme indépendant et contraignant permettant aux particuliers des «États admissibles», désignés conformément au décret, de demander réparation s’ils estiment avoir fait l’objet d’activités illégales de renseignement d’origine électromagnétique aux États-Unis, notamment d’activités violant les protections prévues par le décret.
La publication du décret présidentiel 14086 par le président Biden marque l’aboutissement de plus d’un an de négociations pointues entre les représentants de la Commission européenne et des États-Unis et indique les mesures que les États-Unis prendront pour mettre en œuvre leurs engagements en vertu du cadre de protection des données UE — États-Unis. Conformément à l’esprit de coopération qui a présidé à l’élaboration du cadre, je crois comprendre que vous avez reçu deux séries de questions de la part de la Commission sur la manière dont la communauté du renseignement mettra en œuvre le décret. J’ai le plaisir de répondre à ces questions par la présente lettre.
Article 702 de la loi sur la surveillance et le renseignement extérieur de 1978 (article 702 du FISA)
La première série de questions concerne l’article 702 du FISA, qui autorise la collecte d’informations de renseignement extérieur via le ciblage de personnes non américaines dont il est raisonnable de penser qu’elles se trouvent hors des États-Unis, avec l’assistance obligatoire des fournisseurs de services de communications électroniques. Plus précisément, les questions portent sur l’interaction entre cette disposition et le décret présidentiel 14086, ainsi que sur les autres garanties qui s’appliquent aux activités menées en vertu de l’article 702 du FISA.
Pour commencer, nous pouvons confirmer que la communauté du renseignement appliquera les garanties énoncées dans le décret présidentiel 14086 aux activités menées en vertu de l’article 702 du FISA.
En outre, de nombreuses autres garanties s’appliquent à l’utilisation par le gouvernement de l’article 702 du FISA. Toutes les certifications de l’article 702 du FISA doivent, par exemple, être signées par le procureur général et le directeur du renseignement national, et le gouvernement doit soumettre toutes ces certifications à l’approbation du tribunal de surveillance du renseignement extérieur (Foreign Intelligence Surveillance Court ou «FISC»), qui est composé de juges indépendants, nommés à vie et dont le mandat est de sept ans non renouvelable. Les certifications définissent les catégories d’informations de renseignement extérieur à collecter, qui doivent répondre à la définition légale des informations de renseignement extérieur, en ciblant des personnes non américaines dont il est raisonnable de penser qu’elles se trouvent en dehors des États-Unis. Les certifications ont inclus des informations concernant le terrorisme international et d’autres sujets, tels que l’acquisition d’informations sur les armes de destruction massive. Chaque certification annuelle doit être soumise à l’approbation du FISC dans un dossier de demande de certification comprenant les certifications du procureur général et du directeur du renseignement national, les déclarations sous serment de certains chefs d’agences de renseignement, ainsi que les procédures de ciblage, de minimisation et d’interrogation qui sont contraignantes pour le gouvernement. Les procédures de ciblage exigent, entre autres, que la communauté du renseignement évalue raisonnablement, sur la base de l’ensemble des circonstances, que le ciblage est susceptible de donner lieu à la collecte d’informations de renseignement extérieur indiquées dans une certification au titre de l’article 702 du FISA.
En outre, lorsqu’elle collecte des informations en vertu de l’article 702 du FISA, la communauté du renseignement doit: expliquer par écrit la base sur laquelle elle a évalué, au moment du ciblage, que la cible est susceptible de détenir, de recevoir ou de communiquer des informations de renseignement extérieur indiquées dans une certification au titre de l’article 702 du FISA; confirmer que le critère de ciblage défini dans les procédures de ciblage de l’article 702 du FISA est toujours respecté; et cesser la collecte si le critère n’est plus respecté. Voir observations du gouvernement américain au tribunal de surveillance du renseignement extérieur, 2015 Summary of Notable Section 702 Requirements, aux pages 2 et 3 (15 juillet 2015).
Le fait d’exiger que la communauté du renseignement consigne par écrit et confirme régulièrement la validité de son évaluation selon laquelle les cibles de l’article 702 du FISA répondent aux normes de ciblage applicables facilite la supervision par le FISC des activités de ciblage de la communauté du renseignement. L’enregistrement de chaque évaluation et justification de ciblage est vérifié tous les deux mois par les avocats du ministère de la justice (Department of Justice ou «DOJ») chargés du contrôle des renseignements, qui exercent cette fonction de contrôle indépendamment des opérations de renseignement extérieur. Le département du DOJ chargé de cette fonction est alors responsable, en vertu d’une règle établie de longue date par le FISC, de lui signaler toute violation des procédures applicables. Cette obligation de rapport, ainsi que les réunions régulières entre le FISC et ce département du DOJ concernant le contrôle du ciblage au titre de l’article 702 du FISA, permettent au FISC de faire respecter les procédures de ciblage et autres de l’article 702 du FISA et de garantir que les activités du gouvernement sont conformes à la loi. Plus précisément, le FISC peut le faire de plusieurs manières, notamment en rendant des décisions correctives contraignantes pour mettre fin au pouvoir du gouvernement de collecter des données contre une cible particulière, ou pour modifier ou retarder la collecte de données en vertu de l’article 702 du FISA. Le FISC peut également demander au gouvernement de fournir des rapports ou des informations supplémentaires sur le respect des procédures de ciblage et autres, ou exiger des modifications de ces procédures.
La collecte «en vrac» de renseignement d’origine électromagnétique
La deuxième série de questions concerne la collecte «en vrac» de renseignement d’origine électromagnétique, définie par le décret présidentiel 14086 comme étant «la collecte autorisée de grandes quantités de données de renseignement d’origine électromagnétique qui, en raison de considérations techniques ou opérationnelles, sont acquises sans l’utilisation de discriminants (par exemple, sans l’utilisation d’indicatifs spécifiques ou de critères de sélection)».
En ce qui concerne ces questions, nous tenons tout d’abord à souligner que ni le FISA ni les lettres de sécurité nationale n’autorisent la collecte en vrac. Pour ce qui est du FISA:
— les titres I et III du FISA, qui autorisent respectivement la surveillance électronique et les fouilles corporelles, nécessitent une ordonnance judiciaire (sauf exceptions limitées, comme en cas d’urgence) et, dans tous les cas, un motif raisonnable de croire que la cible est une puissance étrangère ou un agent d’une puissance étrangère. Voir 50 U.S.C. §§ 1805, 1824.
— Le USA FREEDOM Act de 2015 a modifié le titre IV du FISA, qui autorise l’utilisation d’enregistreurs graphiques et de dispositifs de traçage, en vertu d’une ordonnance judiciaire (sauf en cas d’urgence), afin d’obliger le gouvernement à fonder ses demandes sur un «critère de sélection spécifique». Voir 50 U.S.C. § 1842(c)(3).
— Le titre V du FISA, qui permet au Federal Bureau of Investigation (FBI) d’obtenir certains types de documents commerciaux, requiert une ordonnance du tribunal sur la base d’une demande précisant «qu’il existe des faits spécifiques et clairs donnant des raisons de croire que la personne à laquelle les données se rapportent est une puissance étrangère ou un agent d’une puissance étrangère». Voir 50 U.S.C. § 1862(b)(2)(B).
— Enfin, l’article 702 du FISA permet le «ciblage de personnes dont il est raisonnable de penser qu’elles se trouvent hors des États-Unis pour se procurer des informations de renseignement extérieur». Voir 50 U.S.C. § 188la(a). Ainsi, comme l’a noté le Conseil de surveillance de la vie privée et des libertés civiles, la collecte de données par le gouvernement au titre de l’article 702 du FISA «consiste exclusivement dans le fait de cibler des personnes et de se procurer des communications liées à ces personnes, dont le gouvernement a des raisons de penser qu’il obtiendra certains types de renseignements étrangers», de sorte que le «programme ne fonctionne pas en collectant des communications en vrac». Conseil de surveillance de la vie privée et des libertés civiles, Report on the Surveillance Program Operated Pursuant to Section 702 of the Foreign Intelligence Surveillance Act, p. 103 (2 juillet 2014).
En ce qui concerne les lettres de sécurité nationale, le USA FREEDOM Act de 2015 impose un «critère de sélection spécifique» pour l’utilisation de ces lettres. Voir 12 U.S.C. § 3414(a)(2); 15 U.S.C. § 1681u; 15 U.S.C. § 1681v(a); 18 U.S.C. § 2709(b).
En outre, le décret présidentiel 14086 prévoit qu’«il convient de donner la priorité à une collecte ciblée» et que, lorsque la communauté du renseignement procède à une collecte en vrac, «la collecte en vrac de renseignements d’origine électromagnétique ne doit être autorisée que s’il est déterminé […] que les informations nécessaires pour faire progresser une priorité validée en matière de renseignement ne peuvent raisonnablement pas être obtenues par une collecte ciblée». Voir décret présidentiel 14086, § 2(c)(ii)(A).
En outre, lorsque la communauté du renseignement détermine que la collecte en vrac répond à ces normes, le décret présidentiel 14086 prévoit des garanties supplémentaires. Plus précisément, le décret exige que la communauté du renseignement, lorsqu’elle procède à une collecte en vrac, «applique des méthodes et des mesures techniques raisonnables afin de limiter les données collectées à ce qui est nécessaire pour faire progresser une priorité validée en matière de renseignement, tout en réduisant au minimum la collecte d’informations non pertinentes». Voir ibidem. Le décret précise également que les «activités de renseignement d’origine électromagnétique», qui comprennent l’interrogation de renseignements d’origine électromagnétique obtenus par une collecte en vrac, «ne sont menées qu’après avoir déterminé, sur la base d’une évaluation raisonnable de tous les facteurs pertinents, que ces activités sont nécessaires pour faire progresser une priorité validée en matière de renseignement». Voir ibidem § 2(a)(ii)(A). Le décret met en œuvre ce principe en indiquant que la communauté du renseignement ne peut interroger que les renseignements d’origine électromagnétique non réduits au minimum obtenus en vrac dans le cadre de six objectifs autorisés, et que ces interrogations doivent être effectuées conformément à des politiques et procédures qui «tiennent dûment compte de l’incidence [des interrogations] sur la vie privée et les libertés civiles de toutes les personnes, indépendamment de leur nationalité ou de leur lieu de résidence». Voir ibidem § 2(c)(iii)(D). Enfin, le décret prévoit des contrôles du traitement et de la sécurité des données collectées ainsi que de l’accès à celles-ci. Voir ibidem § 2(c)(iii)(A) et § 2(c)(iii)(B).
Nous espérons que ces éclaircissements vous seront utiles. Nous restons à votre disposition pour toute question supplémentaire sur la manière dont la communauté du renseignement des États-Unis prévoit de mettre en œuvre le décret présidentiel 14086.
Je vous prie, Madame, d’agréer l’expression de ma haute considération
Sincerely,
Christopher C. Fonzone,
directeur des affaires juridiques