Section 702 de la loi FISA

L'article 702 de la FISA fait partie de la loi sur la surveillance des renseignements étrangers (Foreign Intelligence Surveillance Act). Il autorise les agences de renseignement américaines à collecter des renseignements étrangers auprès de personnes non américaines situées en dehors des États-Unis. La collecte repose sur des critères de sélection. Les agences ciblent des identifiants spécifiques, tels que des adresses e-mail, et non des catégories générales de communications. Le programme fonctionne dans le cadre de certifications annuelles examinées par la Cour de surveillance du renseignement étranger (FISC). La FISC ne délivre pas de mandats individuels pour chaque collecte. Elle évalue les procédures utilisées par les agences en matière de ciblage, de minimisation et d'interrogation.

L'article 702 de la loi FISA prévoit qu'il faille établir que la collecte permettra d'obtenir des renseignements étrangers liés à des thèmes certifiés, tels que la lutte contre le terrorisme et les menaces en matière de cybersécurité. La loi ne repose pas sur l'existence d'un motif raisonnable de soupçonner un crime. 

Les procédures de ciblage orientent la collecte vers des personnes non américaines situées à l'étranger. Ces procédures comprennent des mesures de protection visant à éviter la collecte intentionnelle de communications émanant de personnes américaines. Le Bureau du directeur du renseignement national (ODNI) assure la supervision et le suivi. Le ministère de la Justice (DOJ) veille au respect de la législation. Des agences telles que l’Agence nationale de sécurité (NSA) et le Bureau fédéral d’enquête (FBI) sont les principaux utilisateurs des données relevant de l’article 702. Les fournisseurs de services américains sont tenus de contribuer à ces efforts. 

Les menaces se propagent rapidement à travers les frontières et les réseaux. L’article 702 de la loi FISA permet une collecte d’informations urgente, capable de mettre au jour des renseignements sur des adversaires étrangers avant que les risques ne se concrétisent sur le territoire national. Pour les responsables chargés de la sécurité publique, de la résilience nationale et des services essentiels, l’intérêt est concret : des informations exploitables qui éclairent les décisions. 

Par ailleurs, en raison des mécanismes modernes de routage sur Internet, les communications peuvent transiter par des infrastructures américaines même lorsque les participants se trouvent à l’étranger. Cette réalité ouvre la voie à une collecte accidentelle de données concernant des personnes américaines. Conformément aux dispositions de l’article 702 de la loi FISA, des contrôles rigoureux en matière de minimisation, d’audit et d’interrogation permettent de limiter ce risque. Lorsque ces contrôles sont clairs, appliqués de manière cohérente et soumis à un examen indépendant, ils favorisent à la fois l’agilité opérationnelle et la protection des libertés civiles. 

L'article 702 de la loi FISA repose sur cinq éléments étroitement liés qui, ensemble, permettent une collecte de renseignements légale et ciblée tout en limitant les abus :

1. Le ciblage par sélecteur associe la collecte à des identifiants spécifiques, ce qui limite les excès et concentre les activités sur les cibles dont la valeur en matière de renseignement étranger est avérée. 

2. Le contrôle judiciaire programmatique exige des certifications annuelles ainsi que des procédures de ciblage, de minimisation et d'interrogation approuvées par la FISC pour toutes les opérations menées au titre de l'article 702. 

3. Les contrôles relatifs à la minimisation et aux requêtes définissent des règles en matière de masquage, de conservation, de diffusion et de documentation des requêtes des analystes, avec des étapes procédurales supplémentaires requises pour les identifiants de personnes américaines. 

4. Le système de responsabilité à plusieurs niveaux répartit les responsabilités entre le pouvoir exécutif, chargé de la mise en œuvre et des contrôles de conformité, le Congrès, chargé du contrôle, et le pouvoir judiciaire, par l'intermédiaire du FISC et de la Cour de révision. 

5. Les mécanismes de transparence comprennent les rapports publics de l'ODNI, les avis déclassifiés et les rapports de transparence des prestataires, qui fournissent des indicateurs agrégés et mettent en évidence les tendances. 

Lutte contre le terrorisme et la prolifération :  La collecte ciblée permet de mettre au jour des indicateurs de planification étrangers et des liens logistiques qui servent de base aux mesures d’interception et aux sanctions. 

Renseignements sur les menaces de cybersécurité :  La collecte au titre de la section 702 de la loi FISA permet de mettre au jour les infrastructures de commandement et de contrôle ou les outils utilisés par des adversaires étrangers pour cibler les réseaux américains, ce qui renforce la posture défensive et favorise une réponse coordonnée. 

Activités criminelles transnationales :  Les communications entre les acteurs étrangers impliqués dans des opérations de rançongiciel, de fraude ou de financement illicite peuvent être identifiées et partagées dans le cadre de procédures juridiques bien définies. 

Protection des infrastructures critiques :  Des indicateurs de perturbations planifiées visant les réseaux énergétiques, de transport, de santé ou d’approvisionnement en eau peuvent être mis en évidence afin de permettre une intervention rapide. 

Dans ces quatre domaines, la valeur des renseignements n’est garantie que si les agences exercent ces pouvoirs en veillant rigoureusement à en limiter l’utilisation au strict minimum et en assurant un contrôle rigoureux. C’est cette rigueur qui rend le programme défendable.

Les entreprises susceptibles de recevoir des ordonnances légales — y compris celles pouvant être liées à l’article 702 — doivent disposer de procédures documentées de réception, de validation et de réponse, avec le soutien de juristes, de responsables de la protection de la vie privée et des équipes chargées de la sécurité. L’objectif est de respecter les obligations légales, de protéger les utilisateurs et de conserver une piste d’audit défendable.

Meilleures pratiques opérationnelles 

Validation de la compétence et du champ d'application : avant de donner suite à toute ordonnance, il convient de vérifier la compétence, le fondement juridique et la spécificité de celle-ci. L'ordonnance elle-même doit désigner des sélecteurs ou des comptes spécifiques.

Principe du privilège minimal et double contrôle : limiter l’accès à ce qui est strictement nécessaire pour chaque rôle. Les actions sensibles doivent être approuvées par deux personnes avant d’être exécutées.

Journalisation inviolable : conservez des journaux d'audit inviolables qui enregistrent qui a accédé à quoi, quand et pourquoi. Ces enregistrements constituent vos preuves de conformité lorsque cela compte vraiment.

Minimisation des données : ne conserver que ce qui est nécessaire aux opérations et à la sécurité. Moins il y a de données conservées, moins le risque d'exposition est important lorsque des demandes de production sont formulées.

Mesures techniques 

Inventaires et classification des données :  Cartographiez les flux de données et les niveaux de sensibilité afin de définir précisément le périmètre de production et d’accélérer les évaluations. 

Calendriers de conservation :  Appliquer des délais de conservation alignés sur les exigences légales, réglementaires et opérationnelles. 

Tokenisation et pseudonymisation :  Réduire les risques liés aux champs sensibles tout en préservant leur utilité opérationnelle. 

Normes de sécurité :  Alignez-vous sur les cadres du NIST en matière d’identité, d’accès, de surveillance et de réponse aux incidents. Mettez en place un accès basé sur les rôles, des privilèges « juste à temps » et une surveillance continue. 

Préparation à l'accès légal 

Considérez les anomalies dans les processus de traitement des demandes juridiques comme des incidents de sécurité potentiels. Organisez régulièrement des exercices de simulation portant sur la réception des ordonnances relatives à la sécurité nationale, la transmission de ces demandes aux conseillers juridiques, les communications dans le respect des dispositions légales et les analyses a posteriori. La mise en place de guides opérationnels documentés permet de réduire les incertitudes et facilite la prise de décisions rapides et défendables, même en situation de pression. 

Protéger les utilisateurs tout en garantissant la conformité 

Une conception sécurisée de la plateforme peut limiter l’exposition tout en respectant les obligations découlant de la section 702 de la loi FISA et d’autres dispositions légales. Dans la mesure du possible, utilisez un chiffrement de bout en bout pour le contenu des utilisateurs, la communication légale de ces données étant limitée aux couches contrôlées par le fournisseur, conformément à la politique en vigueur et aux engagements pris envers les utilisateurs. Mettez en œuvre une gestion rigoureuse des clés grâce à des protections matérielles, au partage des connaissances et au partage des contrôles, afin qu’aucun administrateur ne puisse accéder unilatéralement à des données sensibles. Ces mesures aident les organisations à répondre aux demandes au titre de l’article 702 dans le respect de la loi et à préserver la confiance des utilisateurs. 

L'architecture moderne constitue un véritable obstacle au ciblage et à la collecte au titre de l'article 702. Le chiffrement est la norme pour la plupart des communications. Le trafic transite par des réseaux de diffusion de contenu. Les charges de travail s’exécutent sur une infrastructure cloud mondiale. La collecte légale se concentre généralement sur les données situées dans les couches contrôlées par les fournisseurs, telles que les métadonnées ou le contenu au repos, laissant intact le chiffrement de bout en bout. Les flux de données transfrontaliers ajoutent à la complexité juridictionnelle. Par conséquent, la précision des sélecteurs, la rigueur des évaluations de localisation et le strict respect des procédures approuvées par la FISC revêtent tous une importance accrue.

Le cadre juridique est encore en cours d’affinement. Les débats actuels portent sur un durcissement des règles relatives aux requêtes concernant des « personnes américaines », un renforcement des contrôles, une amélioration des notifications dans le cadre des procédures pénales et une transparence accrue. L’objectif est de préserver la valeur opérationnelle tout en réduisant le risque d’accès injustifié et en garantissant que le contrôle indépendant prévu par la section 702 reste efficace.

Bien que les activités de renseignement soient classées, une transparence significative existe. L’ODNI publie des rapports annuels contenant des indicateurs agrégés sur les cibles, les requêtes concernant des ressortissants américains et les incidents de non-conformité. Les avis déclassifiés de la FISC mettent en lumière le raisonnement judiciaire. Les prestataires de services publient des rapports de transparence dans les limites autorisées. Ces documents, combinés aux évaluations de l’inspecteur général et aux analyses de la société civile, alimentent le débat public et renforcent la légitimité du système. 

Les organisations peuvent aller plus loin. Une gouvernance claire en matière de demandes légitimes, des directives destinées au public concernant les forces de l'ordre, des audits indépendants le cas échéant, ainsi que des explications en langage simple des politiques mises en place contribuent à renforcer la confiance. Des voies de recours bien définies et un système de signalement cohérent démontrent que la conformité est rigoureuse, mesurée et soumise à un contrôle. 

La section 702 de la loi FISA vise à fournir des renseignements étrangers en temps opportun tout en respectant les limites constitutionnelles. Son efficacité repose sur la précision des critères de sélection, un contrôle à plusieurs niveaux et des garanties techniques empêchant toute utilisation abusive. Pour les responsables au sein du gouvernement et des infrastructures critiques, ces exigences se traduisent par des engagements organisationnels spécifiques : adopter les principes de « privacy by design » (respect de la vie privée dès la conception) afin que la minimisation des données et les contrôles d’accès soient intégrés dès le départ ; concevoir les systèmes selon les principes du « privilège minimal » et de l’auditabilité, de sorte que chaque accès soit circonscrit et enregistré ; et maintenir une gouvernance transparente capable de résister à un examen indépendant de la part des tribunaux, des inspecteurs généraux et des organismes de contrôle. Les organisations qui intègrent ces contrôles dans leurs systèmes en tant que normes opérationnelles s’acquittent de leurs obligations légales de manière plus cohérente, protègent les droits des utilisateurs et offrent au public une base concrète de confiance quant à la manière dont les pouvoirs sensibles sont exercés.

Les mandats pénaux exigent l’existence d’un motif raisonnable de soupçon d’infraction pénale. Ce n’est pas le cas de l’article 702 de la loi FISA. L’autorisation repose sur la constatation que la collecte permettra d’obtenir des renseignements étrangers liés à des thèmes certifiés relevant de la sécurité nationale : lutte contre le terrorisme, lutte contre la prolifération et menaces liées à la cybersécurité. Les procédures de ciblage doivent orienter la collecte vers des personnes non américaines situées à l’étranger et inclure des garanties spécifiques visant à empêcher l’acquisition intentionnelle de communications de personnes américaines.

Parmi les principales entités figurent le Bureau du directeur du renseignement national (ODNI), chargé de la supervision et de l'établissement de rapports, le ministère de la Justice (DOJ), chargé de veiller au respect de la législation, ainsi que des agences telles que l'Agence nationale de sécurité (NSA) et le Bureau fédéral d'enquête (FBI), qui sont les principaux utilisateurs des données relevant de l'article 702, aux côtés des prestataires de services américains tenus d'apporter leur concours. La supervision s'appuie sur des procédures approuvées par la FISC, des inspecteurs généraux, des audits internes et un contrôle par le Congrès.