Dans cette affaire, qui a débuté en 2014, le département américain de la Justice (DoJ) a porté plainte contre Microsoft pour avoir refusé de fournir des informations sur des emails stockés sur des serveurs en Irlande. Le gouvernement fédéral a fait valoir que Microsoft devrait se conformer au mandat, en vertu du Stored Communications Act, mais Microsoft conteste la demande estimant que les mandats de perquisition émanant de la juridiction américaine ne pouvaient pas s’appliquer au-delà des frontières américaines.
Après les premières décisions de tribunal rendues en faveur de Microsoft, le Département américain de la Justice a décidé de saisir la Cour suprême ; une requête qui lui a été accordée en octobre dernier. Dans un dépôt fait à la Cour suprême le 6 décembre, le DoJ a réitéré son argument selon lequel Microsoft pourrait se conformer au mandat « en entreprenant des actes entièrement à l’intérieur des États-Unis » et donc sans avoir besoin d’impliquer ses bureaux en Irlande ou en Europe. Mais de quelle manière ? « Comme l’a reconnu la Cour d’appel, le DoJ estime qu’en utilisant un programme de gestion de base de données accessible dans certains de ses bureaux aux États-Unis [Microsoft] peut collecter des données de compte stockées sur l’un de ses serveurs et apporter ces données aux États-Unis », explique le gouvernement fédéral.
D’après le Département américain de la justice, le risque que Microsoft viole la législation irlandaise en matière de protection de données en se soumettant à sa demande est également spéculatif. « Au cours de ce litige, Microsoft n’a jamais déclaré qu’elle serait soumise à une responsabilité en vertu des lois de l’Irlande ou de l’Union européenne pour avoir divulgué aux États-Unis des communications stockées dans son centre de données de Dublin », explique le DoJ dans son dépôt à la Cour suprême. « L’Irlande n’a pas non plus évoqué expressément un tel conflit dans son amicus brief, bien qu’elle ait laissé entendre que les lois irlandaises sur la protection des données pourraient s’appliquer. »
Autant d’éléments qui ont encouragé la Commission européenne à intervenir ; début décembre, cette dernière a décidé de soumettre un amicus brief devant la Cour suprême des États-Unis pour s’assurer que les lois européennes sont « correctement comprises et prises en compte par la Cour suprême des États-Unis », qui va se prononcer sur la question cette année.
« Étant donné que le transfert de données personnelles par Microsoft de l’UE vers les États-Unis tomberait sous le coup des règles européennes, la Commission a estimé qu’il était dans l’intérêt de l’UE de s’assurer que les règles européennes en matière de protection des données dans le cadre des transferts internationaux sont correctement comprises et prises en compte par la Cour suprême des États-Unis. » La Commission assure toutefois qu’elle ne prend aucune position dans ce procès. L’amicus brief ne sera donc pas en faveur de l’une ou l’autre des parties.
Néanmoins, comme l’a indiqué Brad Smith, le responsable des affaires juridiques de Microsoft, vendredi dernier, les tierces parties qui ont signé l’amicus brief émanent de divers horizons : « Les membres du Congrès ont adopté la même position que les membres du Parlement européen. La Chambre de commerce des États-Unis a cité de manière approbatrice une déclaration de la Commission européenne. Les groupes d’affaires et les grandes entreprises étaient d’accord avec les défenseurs des consommateurs et de la protection de la vie privée. La faculté de Harvard se joint à des professeurs de Princeton. Des professeurs de Duke ont rejoint des rivaux de l’Université de Caroline du Nord, tandis que ceux de Berkeley se sont rangés du côté de Stanford. Et Fox News a convenu avec l’American Civil Liberties Union. »
Au total, « Jeudi, 289 différents groupes et individus de 37 pays ont signé 23 mémoires juridiques différents soutenant la position de Microsoft selon laquelle le Congrès n’a jamais donné aux forces de l’ordre le pouvoir d’ignorer les traités et de violer ainsi la souveraineté de l’Irlande. »
Smith reconnaît qu’il arrive que les forces de l’ordre aient besoin d’avoir accès à des courriels stockés dans d’autres pays : « Depuis que nous avons intenté cette poursuite en 2013, nous avons répété qu’il y a des moments où cela est nécessaire pour protéger la sécurité publique. »
Cependant, « Comme l’ont expliqué hier 51 éminents informaticiens dans leur mémoire, les courriels sont stockés dans des emplacements physiques connus, sur des disques durs, dans des centres de données. Lorsque le gouvernement des États-Unis demande à une société de technologie d’exécuter un mandat pour les courriels stockés à l’étranger, le fournisseur doit chercher dans un centre de données étranger et en faire une copie à l’étranger, puis importer cette copie aux États-Unis. Cela crée un problème complexe avec d’énormes conséquences internationales. Il ne devrait pas être résolu en plaçant la loi dans un endroit où elle n’a jamais été destinée. »
Citant la France, l’Irlande, l’Union européenne, il a indiqué que « Comme ces fonctionnaires l’ont expliqué, la tentative du Département américain de la Justice de saisir les courriels des clients étrangers des autres pays ignore les frontières, les traités et le droit international, ainsi que les lois en place pour protéger la vie privée de leurs citoyens. Comme le gouvernement français l’a déclaré lundi, c’est une voie qui crée “un risque important de conflit de lois”. Et, selon l’appréciation du secteur de la technologie, c’est un conflit qui va laisser les entreprises technologiques et les consommateurs pris entre deux feux. »
« Tout le monde des deux côtés de cette affaire est d’accord que ce sont de vrais problèmes qui ont besoin de vraies solutions. Mais elles doivent être conçues avec un scalpel, et non un couperet à viande », a conclu Smith.
Source : Microsoft
