Le Parlement Européen a rendu publique une étude juridique et politique sur les programmes de surveillance de la NSA, en dénonçant moins les Etats-Unis que le laisser-faire de l’Europe. La CNIL, très influente au sein du G29 qui réunit les gendarmes européens de protection des données, est explicitement pointée du doigt.

La Commission LIBE (Liberté, sécurité et justice) du Parlement Européen a rendu publique ce jeudi une étude (.pdf) commandée à Caspar Bowden, un ancien conseiller de Microsoft devenu expert intransigeant des questions de vie privée sur Internet, sur "les programmes de surveillance des Etats-Unis et leurs effets sur les droits fondamentaux des citoyens de l’Union Européenne".

Les conclusions du rapport de 50 pages, réalisé en réaction aux révélations du programme PRISM et des pratiques de surveillance de la NSA, sont très critiques envers les USA, mais aussi et surtout à l’encontre des institutions européennes à qui Bowden reproche un laisser-faire coupable. La CNIL y est désignée comme figure de proue de ce qui apparaît au mieux comme de la naïveté, au pire comme de la complicité dans l’absence de protection effective de la vie privée des citoyens européens.

Tout d’abord, l’étude détaille comment, depuis plusieurs décennies, "les États-Unis ont systématiquement méprisé les droits fondamentaux des citoyens des pays tiers", en édictant des lois successives (FISA, Patriot Act, FAA...) qui ne protégeaient que leurs propres ressortissants, mais n’accordaient aucuns droits à la vie privée aux non-Américains. Avec le développement du cloud qui est très fortement dominé par les acteurs américains comme Amazon, Google, Apple, Microsoft, IBM, ou encore Yahoo, "les citoyens de l’UE sont dans une position de fragilité particulière, pris en étau qu’ils sont entre le marteau des services de renseignement américains et l’enclume des grandes compagnies privées qui fournissent ce type de services à l’échelle mondiale et exercent à leur guise leur droit de propriété sur les données échangées", fait remarquer Bowden.

L’Union Européenne se devait donc de redoubler de vigilance pour protéger ses concitoyens. Mais le rapport estime que malgré plusieurs avis d’experts et de nombreuses mises en garde, l’UE a largement négligé le fait que "l’informatique en nuage et la législation américaine dans ce domaine représentent une menace sans précédent contre la souveraineté des données de l’UE".

La CNIL au coeur d’un "stratagème juridique insensé" (...)

L’Europe se serait laissée endormir et n’a pas été vigilante dans les accords conclus avec les Etats-Unis, en particulier dans le Safe Harbor (ou "Sphère de sécurité") qui n’était pas assez bien cadré pour s’assurer du respect des normes européennes par les sous-traitants américains. "Depuis 2001, la Commission européenne a rédigé et approuvé des clauses "modèles" destinées à être introduites dans les contrats des contrôleurs et des sous-traitants situés à l’extérieur de l’UE, en vue de protéger la vie privée des individus de la même manière que si les données restaient à l’intérieur de l’UE", rappelle le rapport, au sujet des BCR sous-traitants. Mais "les révélations concernant le programme PRISM illustrent de manière frappante le caractère insensé de ce stratagème juridique".

"Aucune autorité ne peut, dans un contexte civil impliquant des acteurs privés, garantir le droit au respect de la vie privée lorsqu’un acteur tel que la NSA enfreint ce droit en tentant d’accéder à des données en opérant selon des règles qui lui sont propres et de manière légale à ses yeux".

Pour Caspar Bowden, "il est donc plutôt surprenant qu’aux diverses étapes de son développement, ce mécanisme ait bénéficié du soutien (...) de la Commission nationale de l’informatique et des libertés (CNIL), en France, qui a dirigé le travail d’élaboration de ces règles". Une grosse pierre dans le jardin de la CNIL, dont nous avions nous-mêmes relevé l’ambiguïté du discours. (...)

lire aussi :La CNIL conteste toute naïveté face au cloud américain et la NSA

Rejetant toute idée d’avoir fait preuve de naïveté, la CNIL a communiqué à Numerama les trois observations suivantes :

"Le dispositif BCR n’a jamais été conçu dans le but de s’opposer à des transferts massifs de données vers des autorités publiques d’Etats tiers. Il a uniquement pour objet d’encadrer le transfert de données entre entreprises du secteur privé. A ce titre, s’il intègre certaines exceptions aux obligations d’information au bénéfice d’autorités publiques, celles-ci ne peuvent être que ponctuelles et ciblées."

"Il en résulte que, comme indiqué à maintes reprises par la CNIL elle-même, les BCR n’ont ni pour objet, ni pour effet, de légaliser des pratiques d’aspirations massives de données par des autorités publiques" (notons sur ce point qu’à aucun moment le rapport Bowden ne dit que la collecte par la NSA des données hébergées sur le cloud est illicite. Il dit même précisément le contraire, ce qui justifie sa charge contre les autorités qui ont fermé les yeux et cru que des contrats pouvaient être supérieurs à la loi).

"La Présidente de la CNIL a été auditionnée le 7 octobre dernier au Parlement européen, et a indiqué que ni les Clauses contractuelles types, ni les BCR, ni le Safe Harbor ne sont les bons instruments pour faire obstacle à PRISM.  C’est pour cette raison que nous avons fait d’autres propositions, qui relèvent du niveau de la réglementation européenne, à savoir la subordination de tout transfert de données européennes aux autorités publiques américaines à l’autorisation des régulateurs européens (reprise par le parlement à l’article 43 du projet de règlement européen) ou la conclusion d’un accord bilatéral Union européenne / Etats-Unis, et non de simples outils contractuels."

Dont acte. C’est ce dernier point que nous avions trouvé ambigu.