Scandale PRISM : pourquoi il est illusoire de penser que vous pourriez attaquer Google, Facebook, Yahoo et cie pour violation de la loi

Atlantico : Pour l’avocat Frédéric Saffroy, qui s’exprimait jeudi 13 mai dans La Tribune sur les données exploitées par la NSA, "les opérateurs privés ont violé la loi". Est-ce exact ? Sur quelle base juridique se fonde-t-il ?

Etienne Drouard : Le consommateur français d’un service soumis à la loi américaine peut éventuellement attaquer sur le fondement de la violation de sa vie privée auprès d’une autorité française, qui constatera l’application du droit américain, et se déclarera incompétente. Si ce consommateur français traverse l’Atlantique pour attaquer sur le fondement du droit américain, il n’a aucune chance d’obtenir satisfaction car la seule faute que peut commettre un opérateur est de ne pas avoir informé les personnes de certains usages de données que fait l’entreprise. Cette application de l’information porte sur l’usage intentionnel par l’entreprise des données. Elle ne porte pas sur le fait que l’entreprise doit se conformer à une obligation réglementaire de fournir de l’information à la NSA. Il n’y a donc pas de manque d’information du consommateur lorsqu’on se soumet à une obligation légale de transmissions de données aux services de renseignement. Si le consommateur arrive à prouver que les informations fournies l’ont été illégalement, parce que la demande de la NSA était illégale, alors peut-être qu’une action serait envisageable.

Les demandes d’informations de la NSA ne sont-elles pas illégales ?

En droit, les conventions passées avec la NSA ont un fondement, qui est le Patriot Act. Tel qu’il est interprété aujourd’hui, les conventions ne sont pas illégales. Il n’est pas dit dans le Patriot Act qu’un opérateur doit fournir toutes les données de ses clients : il est dit que la NSA peut les obtenir sur le fondement de la sécurité nationale.

L’Europe peut-elle éventuellement offrir un moyen de recours, comme le dit Frédéric Saffroy ?

Un précédent existe sur la transmission des données des passagers aériens par les compagnies européennes aux autorités américaines. Cette transmission est, elle aussi, imposée par le Patriot Act. Le Parlement européen s’en est étonné en 2006, ce qui s’est soldé par des questions de la Commission européenne aux Etats-Unis. Ces derniers ont répondu qu’en vertu de la loi américaine, qui interdisait à un avion d’atterrir s’il n’avait pas fourni avant son décollage la liste de ses passagers, la sanction était économique. On a donc le droit de poser des questions aux Etats-Unis qui, s’ils le veulent bien, répondent en disant que c’est le droit américain qui s’applique. La question présente un vrai intérêt politique, mais est sans effet juridique.

Les révélations sur la NSA sont beaucoup plus américaines que le précédent en matière de transport aérien, puisqu’il s’agit pour une administration américaine d’accéder aux informations d’entreprises du même pays. Même si elles concernent des ressortissants européens, elles sont légalement traitées aux Etats-Unis.

Google, Facebook ou encore Yahoo en France peuvent-ils se défendre en utilisant l’argument selon lequel les décisions sont prises au niveau de leurs sièges respectifs, aux Etats-Unis?

Exactement. Viviane Reding est à la tête d’un projet de règlement sur la protection des données personnes, qui a été retoqué par le Conseil européen il y a une semaine. L’idée est de réformer le régime de la loi applicable, et que nos règles de protection de la vie privée s’appliquent à toute entreprise dans le monde. Ce texte est en attente, et s’il était adopté cette année, il entrerait en vigueur en 2015. Dans le futur, on aura le droit de poser des questions, car le droit européen permettra d’agir sur des filiales européennes de sociétés américaines. Pour l’heure, ce n’est pas la nationalité des personnes qui compte, mais le lieu d’établissement de l’entreprise

En l’état actuel des choses et à l’avenir, ni les opérateurs privés, ni le gouvernement américain ne pourront donc faire l’objet d’une quelconque pression?

Si l’on parle de pression juridique, non. Si l’on crée des mouvements de contestation des consommateurs de telle manière que ces sociétés sentent que leur image est écornée et qu’un geste s’impose, alors oui. Aujourd’hui, en droit, on ne peut pas imposer à une société américaine de violer le droit américain au motif de la protection de la vie privée des Européens.

Propos recueillis pas Gilles Boutin