octobre | 2015 | Valentin Boullier

SB-741 : la Californie renforce les droits fondamentaux face aux technologies d’interception des communications électroniques (téléphone) octobre 16, 2015

Le gouverneur de Californie, M. Brown, a signé le 8 octobre la loi SB 741 qui vise à renforcer la protection des droits fondamentaux lorsque sont ordonnées des interceptions de communications électroniques sur un téléphone portable. Cette loi renforce considérablement le cadre législatif relatif aux technologies permettant l’interception de communications transmises entre téléphones portables, dont l’IMSI-catcher (international mobile subscriber information – catcher) est l’illustration la plus pertinente. Cette technologie permet à un opérateur d’intercepter des communications électroniques en utilisant un appareil se faisant passer pour une antenne de téléphonie mobile. Les données téléphoniques sont, par voie de conséquence, transmises à la fausse antenne.

« CCIT is a portable cell phone surveillance tool used by government agencies at the federal, state and local levels that generally consists of an antenna, a processor, and laptop computer for analysis and configuration. They work by emulating the operation of a cellular telephone network tower, which prompts nearby cell phones to switch over and communicate with it like it was the carrier’s nearest base station ».

Assembly Floor Analysis, 31 août 2015, Senate Third Readinf, SB 741 (Hill) As Amended August 31, 2015, Majority Vote. Le document est publi et peut être consulté sur le site web d’informations légales California Legislative Information (site officiel), ici.

Avec cette loi, la Californie souhaite maîtriser l’usage de telles technologies, en imposant aux « agencies » un cadre strict mettant l’accent sur l’information des citoyens.Cette loi s’articule sur deux points essentiels.

D’une part, elle impose de protéger les données interceptées par la mise en place de procédures : ainsi, des garanties « opérationnelles, administratives, techniques et physiques » doivent être implémentées afin de pouvoir protéger les données interceptées des intrusions et garantir leur exactitude. Il s’agit ainsi de pouvoir s’assurer que les données ne pourront être détruites ou modifiées.

D’autre part, et il s’agit là d’un point novateur, cette loi impose aux agences utilisant des technologies d’interception de données téléphoniques d’instaurer une politique d’utilisation permettant de garantir le respect des droits fondamentaux et notamment la vie privée des citoyens. Ainsi, les agences ayant recours à de tels procédés doivent informer les citoyens. Cette communication pourra, par exemple, être opérée grâce au site web de l’agence. Il est intéressant de noter que par « agence », cette loi inclut également les polices locales mais également le « county sheriff ». Les autorités locales californiennes se retrouvent soumises à cette loi, dans leur ensemble.

La loi s’intéresse particulièrement à la politique que doivent adopter les autorités locales. Ainsi, celle-ci devra répondre à plusieurs exigences formelles. La « politique » devra de ce fait impérativement préciser :

les buts rendant nécessaires l’utilisation de technologies d’interception de communications électroniques;
les qualités des employés autorisés, ainsi que leur formation;
la manière dont l’agence utilisera la technologie d’interception afin de garantir l’exactitude des informations ainsi interceptées, ainsi que la manière dont les techniques employées respecteront les lois en vigueur;
l’existence ou non d’une convention de partage avec d’autres agences. L’identité des agences avec qui les informations seront partagées devra être rendue publique. La politique devra également détailler s’il s’agit d’un partage de technologies ou d’informations interceptées grâce à ces technologies;
les modalités de partage avec d’autres agences (autorisations – restrictions);
enfin, la politique devra également détailler la durée d’interception ainsi que les modalités de destruction des informations.

La loi prend soin de préciser que les entités californiennes ne pourront acquérir une technologie d’interception seulement si celle-ci a été approuvée par le corps législatif, ou si une ordonnance ou une résolution l’approuve. Si ces conditions sont respectées, un county sheriff pourra acquérir une telle technologie. Le county sheriff devra notamment porter à la connaissance du public une telle acquisition.

Enfin, la loi précise la possibilité pour un citoyen d’obtenir réparation devant une juridiction, si celui-ci estime que ses droits ont été violés en raison du non-respect des modalités.

Il est également intéressant de noter que cette loi a suscité l’unanimité : en effet, soutenue par l’EFF (Electronic Frountier Foundation) et soumise à plusieurs votes (dont plusieurs comités), la proposition a été adoptée à l’unanimité (aucun « noes » n’a été enregistré). La Californie a adopté récemment plusieurs lois qui renforcent considérablement les droits et libertés fondamentaux : outre la SB 741, le Gouverneur a également signé la SB 178 (cf. post précédent), la SB 34 (relative à la reconnaissance des plaques d’immatriculation), et la SB 272 (« Disclosure of Enterprise Systems »). Si la Californie a été l’État précurseur sur de nombreux points, il semble qu’il soit également en pointe dans le renforcement des droits et libertés fondamentaux appliqués à la sphère du numérique. Vous pouvez consulter l’avis de l’EFF sur ces lois ici.

Pour aller plus loin :

SB 741 : Mobile communications : privacy, consultable ici.
FARIVAR (C.), « New California bill would require local approval for stingray use », arstechnica.com, publié le 16 avril 2015, consulté le 16 octobre 2015, consultable ici.
SEIPEL (T.), KURHI (E.), California digital privacy laws boosted, protecting consumers from Big Brother, big business », www.mercurynews.com, publié le 10 septembre 2015, consulté le 16 octobre 2015, consultable ici.
CAGLE (M.), « California Just Got a Privacy Upgrade – Alameda County, It’s Your Move », www.aclunc.org (site web de l’ACLU- Californie du Nord), publié le 13 octobre 2015, consulté le 16 octobre 2015, consultable ici.
MAAS (D.), « Success in Sacramento; Four new laws, One Veto – All Victories for Privacy and Transparency », www.eff.org, publié le 14 octobre 2015, consulté le 16 octobre 2015, consultable ici.
SEIPEL (T.), KURHI (E.), « Law Extends Privacy Rights to Electronic Data », www.officer.com (source : San José Mercury News), publié le 12 octobre 2015, consulté le 16 octobre 215, consultable ici.

La Californie renforce sa législation relative à la protection des communications électroniques #epicwin octobre 12, 2015

Le gouverneur de Californie, M. Jerry Brown, a signé le 8 octobre le California Electronic Communications Act (CEPA SB-178). Cette loi a notamment pour objectif d’empêcher les entités gouvernementales d’accéder aux communications électroniques sans mandat, citation à comparaître ou autorisation de mise sur écoute. La Californie, déjà précurseur dans la protection des communications électroniques, renforce donc son arsenal législatif en tirant les conséquences des révélations d’Edward Snowden. Cette loi avait par ailleurs le support de plusieurs associations de défense des droits des citoyens, comme l’EFF (Electronic Frountier Foundation, très active dans la protection des droits fondamentaux), et la renommée ACLU (American Civil Liberties Union).

Rédigée par les sénateurs Mark Leno et Joel Anderson, cette loi renforce considérablement les droits des citoyens, en imposant aux government entities (définie comme « un ministère, une agence ou une subdivision, ou un individu agissant au nom de l’Etat ou de l’une de ses subdivisions ») d’obtenir un mandat ou une autorisation de mise sur écoute afin de pouvoir obtenir la production ou l’accès aux communications électroniques d’un citoyen. La loi établit également une longue liste de définitions. Par exemple, elle établit qu’une communication électronique est « le transfert de signes, signaux, écrits, images, sons, données ou renseignements de toute nature, système ou partie de système, en tout ou partie par un fil, par radio, ou par système électromagnétique, électrique ou optique ». Cette définition est à rapprocher de la définition établie par l’article L.32 du Code des postes et communications électroniques français, qui dispose que : « on entend par communications électroniques les émissions, transmissions ou réception de signes, de signaux, d’écrits, d’images ou de sons, par voie électromagnétique ».

Cette loi renforce donc considérablement les droit des citoyens. Ainsi, les entités gouvernementales peuvent accéder physiquement ou électroniquement aux appareils visés si et seulement si l’une ou plusieurs des conditions suivantes sont remplies :

obtention d’un mandat, dont les formes sont conformes aux autres dispositions de la loi;
obtention d’une autorisation de mise sur écoute;
consentement spécifique du détenteur de l’appareil;
consentement spécifique du propriétaire de l’appareil, si l’appareil a été perdu ou volé;
sans mandat, s’il existe un danger de mort ou de blessures graves;
si l’appareil est perdu, volé, et si les communications électroniques pourraient permettre d’identifier et de contacter le propriétaire de l’appareil.

Une dernière disposition s’applique aux saisies d’appareils électroniques dans les prisons.

De même, le mandat autorisant la production et l’accès aux communications électroniques doit respecter plusieurs conditions formelles :

il doit notamment indiquer les informations à saisir, la période de temps concernée, les comptes et/ou les applications concernées, et l’information recherchée. Ainsi, l’interception massive avec traitement a posteriori de l’information afin d’y déceler une information ou un renseignement jusque-là non spécifiquement recherché est prohibée;
le mandat doit impérativement préciser que si une information différente de celle recherchée est obtenue, celle-ci doit être « scellée » et ne pas être utilisée, sans une autorisation judiciaire. Nous retrouvons là la notion de « probable cause », chère au droit américain. En effet, si une juridiction estime qu’il existe une « probable cause », elle peut alors délivrer une autorisation pour qu’une telle information puisse être utilisée;
l’authenticité des informations doit également être garantie par le fournisseur de service;
la juridiction en charge de l’affaire pourra également, à titre discrétionnaire, imposer la destruction des informations saisies mais ne rentrant pas dans le champ d’application du mandat;
enfin, et il s’agit là d’un point intéressant, si le fournisseur de service délivre des informations de manière volontaire (et ne violant pas d’autres dispositions juridiques) ces informations devront être détruites 90 jours après leur saisie. Des exceptions sont une nouvelle fois prévues, par exemple si l’entité gouvernementale obtient le consentement de l’expéditeur ou du destinataire sur l’information délivrée. L’emploi d’une telle conjonction de coordination n’est pas neutre. Il en sera de même, si la juridiction délivre une autorisation de rétention. Cependant, cette autorisation est elle-même soumise à plusieurs conditions, par exemple s’il existe une raison de penser que l’information constitue la preuve qu’un crime a été commis.

Une dernière disposition importante est la possibilité pour un citoyen, partie à un procès ou à une procédure de réclamer la suppression des informations obtenues en violation du quatrième amendement, qui dispose que :

The right of the people to be secure in their persons, houses, papers, and effects, against unreasonable searches and seizures, shall not be violated, and no Warrants shall issue, but upon probable cause, supported by Oath or affirmation, and particularly describing the place to be searched, and the persons or things to be seized.

Cette loi constitue, de toute évidence, une avancée importante pour la protection des droits fondamentaux, et les principales associations de défense des droits ont salué sa signature par le gouverneur.

The law places California not only at the forefront of protecting digital privacy among states, it outpaces even the federal government, where such efforts have stalled

ZETTER (K.), « California now has the nation’s best digital privacy law », www.wired.com, publié le 8 octobre 2015, consulté le 12 octobre 2015, consultable ici.

Il estégalement intéressant de noter que de nombreux universitaires américains avaient adressé au gouverneur de l’Etat de Californie une lettre en faveur du SB-178. Cette lettre peut être librement consultée ici.

Pour aller plus loin :

Le dossier législatif peut être consulté ici.
HANS (G.S.), « A Major Win for Privacy: California ECPA Signed into Law », cdt.org, publié le 9 octobre 2015, consulté le 12 octobre 2015, consultable ici.
Anonyme, « California Rejects Warrantless Surveillance, Enacts CalECPA », epic.org, publié le 9 octobre 2015, consulté le 12 octobre 2015, consultable ici.
Anonyme, « California’s Electronic Communications Privacy Act (CalECPA) – SB 178 », www.eff.org, date de publication inconnue, consulté le 12 octobre 2015, consultable ici.