La faille au cœur de la surveillance américaine
En 2018, la Cour suprême a jugé dans Carpenter c. États-Unis que le gouvernement doit obtenir un mandat avant de collecter les données de localisation des téléphones mobiles auprès d'un opérateur. C'était considéré comme un jugement important en matière de confidentialité — une reconnaissance que les traces numériques que nous laissons derrière nous révèlent une image intime de nos vies, et que les protections du quatrième amendement s'étendent à ces traces.
Mais le jugement avait une lacune importante : il s'appliquait uniquement aux données obtenues directement auprès des opérateurs. Les données achetées auprès de courtiers en données commerciaux — des entreprises qui agrègent les informations de localisation provenant d'applications, de réseaux publicitaires et de capteurs d'appareils — tombaient en dehors de son champ d'application. Les organismes d'application de la loi ont immédiatement reconnu l'opportunité, et dans les années qui ont suivi, le FBI, le ministère de la Sécurité intérieure, l'IRS et d'autres agences fédérales ont discrètement construit des programmes de surveillance autour de cette faille.
Lors d'une audience au Sénat la semaine dernière, le directeur du FBI Kash Patel a rendu cette pratique officielle et publique. Sous serment, il a confirmé que le bureau achète des données de localisation disponibles dans le commerce. « Nous achetons des informations disponibles dans le commerce qui sont conformes à la Constitution et aux lois en vertu de la Loi sur la confidentialité des communications électroniques », a déclaré Patel aux sénateurs, « et cela nous a fourni certains renseignements précieux. »
Ce que les courtiers en données vendent réellement
Pour comprendre pourquoi cela importe, il est utile de comprendre ce que les données de localisation commerciales contiennent réellement. Les courtiers en données agrègent les informations de localisation provenant des puces GPS dans les téléphones intelligents, principalement récoltées par les applications que nous installons — applications météo, jeux, programmes de fidélité au détail — qui demandent des autorisations de localisation puis vendent ces données à des intermédiaires. Certaines de ces données sont nominalement anonymisées, mais les chercheurs ont à plusieurs reprises démontré que l'anonymisation est largement cosmétique : les modèles de mouvement sont si uniques pour chaque individu que la ré-identification est simple.
Les ensembles de données résultants peuvent contenir des pings de localisation horodatés avec une précision de quelques mètres, mis à jour toutes les quelques minutes, s'étendant sur des mois ou des années. Pour une agence fédérale achetant ces données, l'effet pratique est pratiquement indistinguible de la surveillance continue sans mandat de l'historique de localisation physique d'une personne — sauf qu'au lieu de s'adresser à un juge pour approbation, l'agence se contente de faire un achat commercial.
L'admission de Patel rend clair que le FBI considère cela comme une pratique légitime. Le raisonnement juridique est techniquement défendable selon la jurisprudence actuelle : les données qui ont été volontairement partagées avec un tiers commercial tombent sous la doctrine du tiers, qui stipule que ces informations ne sont pas couvertes par une attente raisonnable de confidentialité. Les tribunaux ont établi cette doctrine à une époque de lignes terrestres et de registres bancaires ; l'appliquer aux données de localisation des téléphones intelligents capables de suivre chaque mouvement de la vie quotidienne d'une personne est une proposition différente.
La réponse politique et législative
L'audience au Sénat a suscité de vives critiques de la part des législateurs des deux côtés de l'allée. Le sénateur démocrate Ron Wyden a qualifié la pratique de « contournement révoltant du quatrième amendement », notant qu'elle était « particulièrement dangereuse compte tenu de l'utilisation de l'intelligence artificielle pour explorer de grandes quantités d'informations privées. » La dimension de l'IA est significative : ce qui aurait pu nécessiter autrefois qu'un analyste humain examine des mois de données de localisation peut maintenant être traité algorithmiquement à grande échelle, permettant des programmes de surveillance qui étaient auparavant impratiques en raison des contraintes de ressources.
Le représentant républicain Warren Davidson a rejoint une coalition bipartite dans la réintroduction de la Loi de réforme de la surveillance gouvernementale, qui fermerait la faille des courtiers en données en exigeant un mandat chaque fois que les organismes d'application de la loi achètent des données de localisation auprès de sources commerciales. « Les progrès technologiques, de l'IA à l'explosion des données des Américains disponibles à l'achat, ont largement dépassé les lois protégeant la vie privée et les libertés civiles des Américains », a déclaré Wyden en soutien du projet de loi.
La nature bipartite de l'effort de réforme reflète un réalignement politique plus large sur les questions de surveillance. Les conservateurs libertariens ont longtemps été sceptiques face à la surveillance gouvernementale expansive, tandis que les progressistes se sont concentrés sur la façon dont ces outils sont déployés de manière disproportionnée contre les communautés de couleur et les dissidents politiques. La faille des courtiers en données est devenue une préoccupation partagée car elle représente une érosion catégorique des exigences de mandat plutôt qu'un programme ciblé avec une supervision judiciaire même nominale.
L'effet d'amplification de l'IA
La mention de l'intelligence artificielle par Wyden mérite une explication. Le volume de données de localisation disponibles dans le commerce est impressionnant — des centaines de millions de pings par jour provenant d'appareils aux États-Unis. La contrainte pratique sur le volume dont une agence aurait pu exploiter historiquement était la bande passante des analystes humains. L'IA change entièrement cette équation.
Les systèmes d'apprentissage automatique peuvent ingérer des ensembles de données de localisation en masse et identifier les modèles de comportement, les réseaux sociaux et les anomalies de mouvement à des vitesses et des échelles qu'aucune équipe humaine ne pourrait égaler. Ils peuvent corréler les données de localisation avec d'autres ensembles de données achetés commercialement — historique d'achat, activité sur les réseaux sociaux, dossiers financiers — pour construire des profils complets d'individus sans qu'un seul mandat ne soit demandé. Les mêmes outils d'IA qui alimentent la publicité ciblée peuvent être réaffectés à la surveillance au niveau de la population avec seulement un changement de client et d'intention.
Ce n'est pas une menace hypothétique. Les documents obtenus par des demandes en vertu de la Loi sur la liberté d'information ont montré que les agences fédérales, notamment l'Agence de renseignement sur la défense, la division des enquêtes criminelles de l'IRS et la Protection des douanes et des frontières, ont tous acheté des données de localisation auprès de courtiers commerciaux à des fins d'enquête et de renseignement.
Ce qui change - et ce qui ne change pas
L'aveu public par Patel de cette pratique est peu probable de changer le comportement du FBI à court terme. L'agence croit qu'elle opère dans le cadre de la loi, et jusqu'à ce que le Congrès agisse ou qu'un tribunal se prononce définitivement contre la pratique, elle continuera. La Loi de réforme de la surveillance gouvernementale, malgré son soutien bipartite, fait face à des perspectives incertaines dans un calendrier législatif chargé.
Ce que le témoignage de Patel change, c'est le dossier public. Pendant des années, l'étendue des achats de données de localisation fédérales auprès de courtiers était documentée principalement par le biais de documents divulgués et de litiges de groupes de défense. Maintenant, elle est confirmée par le directeur du bureau sous serment devant le Sénat. Quelles que soient les batailles juridiques et politiques qui suivront, elles procéderont sur la base de faits documentés plutôt que d'inférence et de rapports.
Cet article est basé sur les reportages de Futurism. Lire l'article original.
Originally published on futurism.com