Dix ans que le malaise est palpable. Depuis l’entrée en vigueur du Patriot Act le 25 octobre 2001, le torchon n’a jamais cessé de brûler entre les acteurs européens et les États-Unis d’Amérique.

Ce texte, voté dans l’urgence, devait permettre aux autorités américaines de lutter plus efficacement contre le terrorisme. Dans les faits, il renforce les prérogatives de surveillance pour en étendre la portée et le champ d’action. La section 217 de ce texte autorise même l’accès aux données informatiques détenues par les particuliers et les entreprises soumises au droit américain, pourvu que ces données soient présentes sur des ordinateurs « servant de moyen de communication ». En clair, tout ordinateur relevant du droit américain et connecté à Internet est sujet au Patriot Act.
Cette section 217 a engendré une situation catastrophique pour des milliers de compagnies qui souhaitent préserver la confidentialité de leurs informations. Et pas seulement aux États-Unis : puisque les géants mondiaux de l’informatique, dans leur immense majorité des sociétés américaines, tombent sous le coup du Patriot Act, les données de l’ensemble de leur clients, y compris internationaux, sont ainsi concernées.

Des conséquences internationales

Cette véritable bombe juridique n’a pas épargné la législation internationale. Née dans la douleur, la directive européenne 95/46/CE prévoyait, dès 1995, un arsenal de dispositions visant à protéger les données des utilisateurs européens, y compris lorsque ces données étaient détenues par des entités extérieures à l’Union européenne (UE). Pour se conformer à ces exigences, les autorités américaines avaient alors mis au point une certification dite de « Safe Harbour » : les entreprises américaines qui le souhaitaient pouvaient se soumettre à des obligations de protections des données dont elles avaient la charge. Mais ce dispositif, soumis à la loi américaine, a volé en éclats avec le Patriot Act, plongeant l’UE dans le désarroi.
Depuis, aucun aménagement législatif n’a permis de sortir de l’impasse. En 2004, l’UE a modifié sa directive, précisant que cette collecte ne pouvait se faire sans en avertir la personne concernée. Un vœu pieu : en juillet 2011, des responsables de Microsoft admettaient à contrecœur qu’il leur était impossible de garantir le respect de cette obligation aux utilisateurs de son service « Office 365 ». Google a également reconnu qu’il livrait certaines informations en sa possession aux autorités américaines. À l’heure du Cloud Computing, qui préfigure une nouvelle tendance à l’externalisation des infrastructures informatiques, la situation est plus crispée que jamais. En septembre 2011, le gouvernement des Pays-Bas a déclaré que le Patriot Act excluait d’office les entreprises américaines de son appel d’offre pour créer son infrastructure en Cloud. Une décision qui sonne finalement comme un aveu d’impuissance : en dix ans, aucun pays n’est parvenu à protéger juridiquement la confidentialité de ses données hébergées par des acteurs américains.