La faille au cœur de la surveillance américaine

En 2018, la Cour suprême a jugé dans Carpenter c. États-Unis que le gouvernement doit obtenir un mandat avant de collecter les données de localisation des téléphones mobiles auprès d'un opérateur. C'était considéré comme un jugement important en matière de confidentialité — une reconnaissance que les traces numériques que nous laissons derrière nous révèlent une image intime de nos vies, et que les protections du quatrième amendement s'étendent à ces traces.

Mais le jugement avait une lacune importante : il s'appliquait uniquement aux données obtenues directement auprès des opérateurs. Les données achetées auprès de courtiers en données commerciaux — des entreprises qui agrègent les informations de localisation provenant d'applications, de réseaux publicitaires et de capteurs d'appareils — tombaient en dehors de son champ d'application. Les organismes d'application de la loi ont immédiatement reconnu l'opportunité, et dans les années qui ont suivi, le FBI, le ministère de la Sécurité intérieure, l'IRS et d'autres agences fédérales ont discrètement construit des programmes de surveillance autour de cette faille.

Lors d'une audience au Sénat la semaine dernière, le directeur du FBI Kash Patel a rendu cette pratique officielle et publique. Sous serment, il a confirmé que le bureau achète des données de localisation disponibles dans le commerce. « Nous achetons des informations disponibles dans le commerce qui sont conformes à la Constitution et aux lois en vertu de la Loi sur la confidentialité des communications électroniques », a déclaré Patel aux sénateurs, « et cela nous a fourni certains renseignements précieux. »

Ce que les courtiers en données vendent réellement

Pour comprendre pourquoi cela importe, il est utile de comprendre ce que les données de localisation commerciales contiennent réellement. Les courtiers en données agrègent les informations de localisation provenant des puces GPS dans les téléphones intelligents, principalement récoltées par les applications que nous installons — applications météo, jeux, programmes de fidélité au détail — qui demandent des autorisations de localisation puis vendent ces données à des intermédiaires. Certaines de ces données sont nominalement anonymisées, mais les chercheurs ont à plusieurs reprises démontré que l'anonymisation est largement cosmétique : les modèles de mouvement sont si uniques pour chaque individu que la ré-identification est simple.

Les ensembles de données résultants peuvent contenir des pings de localisation horodatés avec une précision de quelques mètres, mis à jour toutes les quelques minutes, s'étendant sur des mois ou des années. Pour une agence fédérale achetant ces données, l'effet pratique est pratiquement indistinguible de la surveillance continue sans mandat de l'historique de localisation physique d'une personne — sauf qu'au lieu de s'adresser à un juge pour approbation, l'agence se contente de faire un achat commercial.

L'admission de Patel rend clair que le FBI considère cela comme une pratique légitime. Le raisonnement juridique est techniquement défendable selon la jurisprudence actuelle : les données qui ont été volontairement partagées avec un tiers commercial tombent sous la doctrine du tiers, qui stipule que ces informations ne sont pas couvertes par une attente raisonnable de confidentialité. Les tribunaux ont établi cette doctrine à une époque de lignes terrestres et de registres bancaires ; l'appliquer aux données de localisation des téléphones intelligents capables de suivre chaque mouvement de la vie quotidienne d'une personne est une proposition différente.