Réforme du renseignement américain : Si peu dans les paroles et dans les textes

Concernant le discours en lui-même, tel que traduit ci-dessus, la dynamique en est claire : Les renseignements sont bons pour les États-Unis, indépendamment des diverses révélations récentes (auxquelles le président lance quelques piques). C'est l'évolution technologique qui nécessite une réforme des programmes pour éviter une tendance "inévitable" à collecter de plus en plus de données pour les autorités en charge de ces programmes. Il n'y pas eu d'abus d'autorité mais je (président Obama) vais néanmoins mener une réforme pour accorder le fonctionnement de nos programmes de renseignement avec nos valeurs et objectifs pour maintenir la confiance (et dissiper les doutes). Ces objectifs sont, sur le plan interne, la conciliation de la sécurité avec la vie privée et, sur le plan international, "nos exigences de sécurité" et "notre besoin de maintenir la confiance et la coopération des personnes et des dirigeants autour du monde". Les réformes annoncées en ce sens ne contraindront ni nos capacités actuelles de collecte, ni nos méthodes classiques de renseignement. En effet, à travers ces réformes et les discussions des prochains mois, l'objectif est de renforcer la puissance des États-Unis.

Quelle analyse faire sur l'esprit et le fond du discours ? Voici quelques pistes et éléments à garder à l'esprit. Ces éléments concernent la nature et les buts de la réforme, la rédaction de la directive présidentielle et l'avenir.

Concernant la nature et les objectifs du discours :

• Les États-Unis disposent d'une maîtrise technologique qui leur assure une position prédominante dans le domaine du renseignement. Ils n'ont aucune intention de renoncer à cette position prédominante. "les capacités de l'Amérique sont uniques. Et la puissance des nouvelles technologies signifie qu'il y a de moins en moins de contraintes techniques sur ce que nous pouvons faire. Cela fait peser sur nous une obligation spéciale de poser des questions difficiles sur ce que nous devrions faire."

• Cet objectif de conservation du titre de superpuissance s'inscrit classiquement dans la vision de "l'exceptionnalisme américain" diffusée par les élites du pays à diverses fins. Dans le cas présent, cet exceptionnalisme sert à justifier le maintien des capacités opérationnelles des agences de renseignement : "En attendant, un certain nombre de pays, y compris certains qui ont fortement critiqué le NSA, reconnaissent en privé que l'Amérique a des responsabilités spéciales comme seule superpuissance du monde ; que nos capacités de renseignement sont critiques pour assumer ces responsabilités ; et eux-mêmes se fondent sur l'information que nous obtenons pour protéger leurs propres citoyens."

• La réforme proposée concernant le programme le plus controversée de collecte de masse de données ne s'écarte en rien de ces objectifs, en effet elle consistera en un "mécanisme qui préserve les capacités dont nous avons besoin sans recourir à cette collecte de métadonnées"

• Si c'est ici la collecte qui est évoquée, la suite des développements concerne l'usage des données collectées et non la collecte. En effet les barrières juridiques et les contraintes sur les acteurs économiques font pour le moment peser de lourdes incertitudes sur la suite du processus de réforme sur ce point précis. C'est plutôt l'enjeu du stockage et de l'utilisation que de la collecte qui compte ici. Faire stocker par des tiers et utiliser avec des garanties juridiques plus fortes est le coeur de la réforme souhaitée pour arriver à l'objectif de maintien des capacités et de la "confiance" des citoyens américains et surtout des étrangers.

• À titre personnel j'analyse les réformes annoncées comme une reprise en main sur d'éventuelles poursuites judiciaires au plan interne et comme un exercice de communication destiné à s'assurer la continuité de la coopération des autres états. La vie privée et les libertés civiles doivent désormais se fondre dans les objectifs américains en la matière et les volontés des autres états doivent rester alignées avec celle des États-Unis.

Concernant la rédaction de la directive présidentielle, je vais analyser en détail son contenu.

(Je reprends occasionnellement les traductions tirées de la synthèse des annonces de Barack Obama faite par Numérama)

•  Les directives présidentielles, plus exactement les Presidential Policy Directives sont des ordres exécutifs (ou décrets présidentiels) adopté avec le consentement du Conseil de Sécurité Nationale. Depuis 2009, 28 ont été adoptées. La directive est structurée en 6 parties qui appellent toutes des observations (je commencerais par la dernière section) :
  
  Introduction  : La fin de l'introduction de la directive précise le champ d'application de celle-ci : "Cette directive énonce des principes pour guider la raison pour laquelle, si, quand et comment les Etats-Unis procèdent à des activités de renseignement électromagnétique aux fins autorisées de renseignement extérieur et de contre-espionnage". En note de bas de page on lira avec attention que : "Sauf indication contraire, la présente directive s'applique aux activités de renseignement électromagnétique menées afin de recueillir des échanges d'infomations ou des informations sur les communications, excepté cela elle ne s'applique pas aux activités de renseignement électromagnétique menées pour tester ou développer des capacités de renseignement électromagnétique"

1. Dans les "dispositions générales" de la section 6, hormis les formules d'usage, deux éléments sont à signaler :
   - La mention selon laquelle "cette directive vise à compléter les processus ou les procédures existants pour l'examen des activités de renseignement étranger ou de contre-espionnage et ne doit pas être lu comme remplaçant ces processus et les procédures à moins que cela ne soit précisé explicitement." pose le cadre juridique de la directive.
   - La mention selon laquelle "cette directive mémorandum n'a pas pour but, et n'octroie aucun droit ou bénéfice, substantiel ou de procédure, en justice ou en équité, à une partie à faire valoir contre les États-Unis, ses administrations, bureaux ou entités, ses responsables, employés ou agents ou toute autre personne" est classique mais mérite également d'être soulignée pour une compréhension de la nature de l'acte et de sa portée juridique.

2. La section 1 intitulée "Principes gouvernant la collecte de renseignements d'origine électromagnétique" appelle plusieurs observations, elle traduit en quatre points les principes évoqués dans le discours :
   - Sur le premier point, en bref, "la collecte de renseignements devra toujours être spécifiquement autorisée par la loi, par décret, proclamation ou autre directive présidentielle, et appliquée conformément au cadre fixé" (Numerama)
   - Sur le second point, en bref, La vie privée et les libertés civiles devront être "prises en considération à part entière dans la planification des activités de renseignement d'origine électromagnétique. Les Etats-Unis ne doivent pas collecter de renseignements visant à supprimer la critique ou la dissidence, ni afin de désavantager des personnes sur la base de leur appartenance ethnique, race, sexe, orientation sexuelle, ou croyances religieuses. Les collectes de données d'étrangers ne devront être réalisées que là où elles présentent "un intérêt pour le renseignement ou le contre-espionnage, pour soutenir des missions nationales ou départementales". La question de la vie privée et des libertés civiles aurait pu recevoir une autre formule qu'une prise en considération. C'est la formulation la plus faiblement contraignante de l'arsenal du vocabulaire juridique.
   - Sur le troisième point : "La collecte d'informations ou de secrets commerciaux privés étrangers sera autorisée seulement pour protéger la sécurité nationale des États-Unis ou celle de leurs partenaires et alliés. Elle ne devra pas avoir pour but de donner un avantage concurrentiel aux entreprises américaines" (Numerama). Plusieurs observations doivent être faites qui se résument à trois bémols importants sur la formulation volontariste de la disposition. D'abord qu'est ce qui relève de la protection de la sécurité nationale des États-Unis ou des partenaires et alliés ? Ensuite, comment déterminer qu'une mesure apporte, ou non, un avantage compétitif ? Enfin, en note de bas de page (encore une fois) sont écartés des mesures conduisant à un avantage concurrentiel le fait "d'identifier des violations commerciales ou de sanctions" ainsi que "l'influence ou la direction d'un gouvernement" (en matière commerciale sous entendu). Cela fait partie de l'attirail classique mais on peut néanmoins imaginer les ambiguïtés que cela peut poser.
   - Sur le dernier point, en bref, priorité doit être donnée à la collecte d'information via des sources alternatives (publiques et diplomatiques) pour que la collecte de données reste aussi mesurée que possible. Cette disposition est purement déclaratoire et peut, à la rigueur, s'interpréter comme un signal aux équipes en charge des diverses opérations qu'un rééquilibrage léger pourrait s'opérer.

3. La section 2 est intitulée : "Limitations à l'utilisation des renseignements d'origine électromagnétique collectés en masse" :
   - Concernant cette section, une note de bas de page précise ce qui est entendu comme collecte "de masse", il s'agit de la "collection autorisée de larges quantités de données issues du renseignement d'origine électromagnétique qui sont acquises sans usage de "discriminants" (i.e. identifiants spécifiques, termes de sélection etc...) en raison de considérations techniques ou opérationnelles."
   - Cette section ne s'applique pas "aux données issues du renseignement d'origine électromagnétique qui sont temporairement acquises pour faciliter la collecte ciblée." Le section s'applique donc à la collecte de données hors les cas où cette collecte est liée directement à des cibles visées (je l'interprète ainsi).
   - Les collectes de données seront limitées en principe aux besoins de détecter et lutter contre : "l'espionnage et d'autres activités et menaces dirigées par des puissances étrangères ou leurs services de renseignement contre les États-Unis et leurs intérêts ; les menaces contre les USA et leurs intérêts provenant du terrorisme ; les menaces contre les USA et leurs intérêts liées au développement, la possession, la prolifération ou l'utilisation d'armes de destruction massive ; les menaces sur la cybersécurité ; les menaces contre les forces armées américaines, leurs alliés et les personnels américains et alliés ; les menaces criminelles transnationales, incluant le financement illicite et la fraude fiscale" (Numerama) (en réalité il s'agit de la violation de sanctions intéressant les autres points susmentionnés, je ne crois pas qu'il s'agisse de fraude fiscale contrairement à ce qu'a écrit Numerama). Il y aura un réexamen annuel des buts permettant cette collecte de masse au sein de l'Administration. 
   - Le directeur du Renseignement dressera une liste des usages autorisés des données collectées massivement, et sera rendue publique "dans la mesure maximum du possible". Cette liste devra être régulièrement mise à jour.

4.  La section 3 est intitulée : "Affiner le processus de collecte des renseignements d'origine électromagnétique".
   - En bref, les enjeux de sécurité nationale tenant à une publication non désirée, ainsi que le caractère stratégique de telles activités de renseignement rendent nécessaire une coopération entre les services et une analyse pertinente de la valeur de ces données "à la lumière des risques encourus en conduisant ces activités" doit être menée. Une revue des priorités et nécessités sera ainsi menée sur une base annuelle. La manière dont cela sera fait est détaillée dans une annexe classifiée.
   - Cette section ne s'applique pas aux activités menées par, ou pour, le FBI dans le cadre d'enquêtes fondées uniquement sur le but d'obtenir du renseignement extérieur Ou les activités de renseignement menées à l'appui des opérations militaires dans des zones d'activités hostiles, d'opérations clandestines, ou des opérations de renseignement humain.

5. La section 4 est intitulée : "Protection des informations personnelles collectées à travers le renseignement d'origine électromagnétique". C'est la section la plus fournie.
   L'idée générale est orientée autour des mesures permettant d'offrir aux résidents américains et étrangers un niveau de protection de leurs informations personnelles adéquat pour préserver leur dignité et leur vie privée. Cette seule idée générale appelle déjà deux observations :
   - Concernant les ressortissants américains, la directive précise en note de bas de page que, la directive n'a pas pour objet "d'altérer les règles applicables aux citoyens américains contenues dans l'ordre exécutif 12333, le Foreign Intelligence Surveillance Act (FISA) ou toute autre loi", en matière de politiques menées et de procédures. 
   - Concernant les "informations personnelles", elles sont entendues pour les étrangers de manière similaire à la conception posée dans l'ordre exécutif 12333.
   
   A- S'en suit le développement des "Politiques et Procédures" en la matière. Dans la "mesure maximum du possible", la communauté du renseignement doit respecter les principes suivants indifféremment de la nationalité des personnes dont les informations personnelles sont collectées. Cela se décline en 4 volets (Minimisation, Sécurité des données et accès à celles-ci, qualité des données et supervision)
   
   - Le principe de minimisation des informations personnelles est rappelé et doit concilier les objectifs de sécurité nationale et la vie privée. Les informations doivent être conservées suffisamment longtemps pour que les acteurs du renseignement puissent évaluer leur utilité pour les besoins de sécurité nationale. Les limites adéquates passent alors par des actions sur la dissémination et la rétention des informations. Ce principe de minimisation est envisagé de manière plus souple que dans l'Union Européenne ou celui-ci désigne le principe "qui impose au responsable du traitement de définir clairement les finalités d'un traitement et de ne collecter que les données nécessaires à la réalisation de cette finalité"
   Concernant la dissémination (diffusion, partage des données) elle est possible si la dissémination d'une information comparable concernant une personne américaine est permise par l'ordre exécutif 12333. On voit ici tout l'intérêt d'avoir cherché à aligner les deux conceptions. Plutôt que d'avoir cherché à s'aligner sur les pratiques de dissémination des états des citoyens étrangers, la "réforme" aligner le régime applicable aux étrangers sur celui des américains. Quand on voit la liste des informations personnelles qui peuvent être disséminées sous le régime de cet ordre exécutif on peut affirmer que toutes les informations peuvent être disséminées.
   Concernant le régime de rétention des informations c'est la même chose, il est aligné sur celui des américains. La durée de rétention sera alignée sur le régime américain, ou sera limité à 5 ans si une durée n'a pas été prévue.
   Une évaluation sur une dissémination et une rétention additionnelle sera remis dans les trois mois.
   
   - La sécurité des données et l'accès à celles-ci  : L'objectif est ici de sécuriser les données pour empêcher que des personnes "non-autorisées" accèdent à celles-ci. Pas de réels changement ici puisque la directive se borne à souligner que seuless des personnes autorisées ayant besoin de connaître l'information pour les besoins de leur mission peuvent accéder aux données. Elle renvoie aux procédures des normes pertinentes et existentes en la matière. Une formation adéquate aux procédures de ces textes et aux principes de la directive est nécessaire selon la directive.
   Concernant les informations dont le statut relatif à la dissémination ou à la rétention n'est pas connu, l'accès à ces données n'est permis que pour effectuer de telles déterminations "(ou pour conduire des fonctions autorisées administratives, de sécurité ou de supervision)". Étant donné le caractère extensif des possibilités permises par l'ordre exécutif 12333, cette disposition est purement théorique.
   
   - La qualité des données : En bref c'est une indication à se concentrer sur les informations pertinentes pour mener les informations relatives à la sécurité nationales et aux objectifs de politique étrangère. Ainsi les informations personnelles ne doivent être incluses dans les rapports transmis aux acteurs du renseignement que dans la mesure où elles répondent aux standards de précision et d'objectivité requis. Les analystes et acteurs doivent également prendre en considération les autres sources d'informations disponibles. (Probablement histoire d'éviter d'avoir à recourir de manière potentiellement illégale à des méthodes pour obtenir des informations que des méthodes plus traditionnelles auraient permis d'obtenir).
   
   - La supervision : Les politiques et procédures menées dans la communauté du renseignement "doivent inclure les mesures appropriées pour faciliter la supervision" concernant l'implantation des mesures de la directive (dont on a déjà analysé la faible portée). Juste "faciliter"... Elle doivent également "reconnaître et faciliter" l'exécution de la supervision réalisée par les inspecteurs généraux de la communauté du renseignement et autres entités de supervision. A contrario on lira que jusqu'à aujourd'hui certains services refusaient l'exécution de cette supervision. Quand un "problème significatif de conformité" sera soulevé, le Directeur du Renseignement National en sera informé et décidera de la nécessité d'entreprendre des actions correctrices.
   La supervision, quand elle sera reconnue et facilitée, se bornera à remonter les éventuels problèmes au Directeur Renseignement National, qui décidera de manière discrétionnaire.
   Il y a une spécificité : quand le "problème significatif de conformité" impliquera un citoyen étranger, il y aura coordination pour "déterminer si des mesures doivent être prises pour notifier le gouvernement étranger pertinent", en accord avec la protection des sources et méthodes.
   Je lis bien, même notifier l'existence d'un possible dysfonctionnement (qu'il serait possible de minimiser) est soumis à la discrétion des officiels du renseignement.
   
   B- Concernant l'actualisation des politiques et procédures et la publication des changements : des réformes pour implanter les dispositions ci-dessus (celles de la section 4) doivent être prises et publier dans la mesure du possible pour faciliter la compréhension et la confiance du public. D'ici un an, on aura donc de nouvelles mesures qui nous dirons que les données des étrangers sont alignées sur le régime des données des américains concernant ses aspects les moins protecteurs, que l'accès des données est toujours dans les mêmes mains avec un peu plus de contraintes pour empêcher un nouveau Snowden, que la qualité de l'information est importante aussi et que la supervision est reconnue et qu'elle sera facilitée dans une proportion telle que les mesures correctives seront à la seule responsabilité du Directeur du Renseignement National.
   Pas de quoi sauter au plafond...
   
   C- Concernant la mise en place d'un "corps" rattaché au Directeur National du Renseignement concernant les questions de vie privée et de libertés civiles :
   Pour "s'assurer que les intérêts légitimes relatifs à la vie privée [...] sont pris en compte de manière appropriée" (la formulation commence mal mais attendez la suite), "le Conseiller du Président pour les Affaires de Sécurité Nationale, le Directeur du Bureau de la Politique Scientifique et Technologique devront identifier un ou plusieurs responsables qui seront chargés de travailler" avec les acteurs de la communauté du renseignement (le Directeur du Renseignement National, le Procureur Général, les responsables des départements et agences) "quand ils développeront leurs politiques et procédures de la manière prévue dans cette section".
   Ainsi on a donc une, ou plusieurs personnes, nommées par l'Administration pour travailler à la simple mise en place des réformes prévues dans la directive. Même un conseiller technique issu d'un cabinet privé aurait été plus protecteur des "intérêts légitimes relatifs à la vie privée" sur le papier. C'est assez étrange dans la mesure où un Conseil en charge de la surveillance de la vie privée et des libertés civiles existe déjà (PCLOB). Il est simplement "encouragé" à remettre un rapport.
   
   D- Un "coordinateur pour la diplomatie internationale" sera mis en place. Son rôle sera de coordonner l'action des services américains sur les enjeux internationaux posés par les technologies de l'information. Il servira également de point de contact pour les gouvernements étrangers qui voudraient soulever des inquiétudes quant aux activité de renseignement d'origine électromagnétique des États-Unis (qu'il ne manquera probablement pas de renvoyer vers le travail fait par les américains pour traiter les enjeux internationaux posés par les technologies de l'information...). Quand on sait qu'il n'y a même pas une notification automatique des gouvernements étrangers en cas de soucis et après avoir assujetti leurs citoyens au régime américain c'est la moindre des choses d'avoir quelqu'un sur qui râler.
   
    

6. La section 5 est intitulée "Rapports", elle fixe les prochaines étapes :
   - Un rapport d'étape sera rendu par le Directeur du Renseignement National dans les 4 mois pour évaluer la mise en place des dispositions de la section 4.
   - Le PCLOB est encouragé à remettre un rapport qui évaluera la mise en oeuvre des questions contenues dans la directive qui tombent dans le cadre de son mandat.
   - Le Conseil Consultatif Présidentiel du Renseignement (President's Intelligence Advisory Board) devra remettre dans les 3 mois "un rapport identifiant les options pour évaluer la distinction entre les métadonnées et les autres types d'informations et pour remplacer les modèles de "need-to-share" (nécessité de partager) ou "need-to-know" (nécessité de savoir) pour le partage des informations confidentielles par un modèle d'accès lié au travail (Work-Related Access model). L'objectif (présent dans les recommandations du groupe d'évaluation) repose sur l'idée que seuls les agents qui ont réellement "besoin" des données devraient pouvoir y accéder plutôt que ceux qui sont simplement "intéressés". C'est une manière de réfléchir sur le degré de cloisement et de décloisonnement des données.
   - D'ici un an, le Directeur du Renseignement National devra remettre un rapport évaluant la faisabilité de développer des outils (software) permettant "plus facilement" à la commnauté du renseignement de conduire la collecte d'informations ciblées plutôt que par une collecte de masse. (Cette collecte n'a pas cessé, mais le président a ordonné qu'un rapport lui soit remis pour le remplacer à termes pour que la collecte d'information ciblées soit plus facile).

Il faut ajouter aux éléments de cette directive, la déclassification de nombreuses décisions de la Foreign Intelligence Surveillance Court (probablement soigneusement sélectionnées), l'annonce de la réforme des "lettres de sécurité nationale" : "en enquêtant sur des menaces, le FBI se fonde également sur les "lettres de sécurité nationale", qui leur permettent d'exiger des sociétés qu'elles fournissent des informations spécifiques et limitées au gouvernement sans révéler les ordres à la personne sujette de l'enquête. [...] Mais nous pouvons – et devons– être plus transparents dans la façon dont le gouvernement emploie cette autorité. J'ai donc ordonné au Procureur Général de modifier la manière dont nous employons les lettres de sécurité nationale, ainsi ce secret ne sera pas indéfini, et cela se terminera dans un délai fixe à moins que le gouvernement démontre un besoin réel de davantage de secret."

Et maintenant ?
 

• Le processus va reprendre majoritairement dans l'ombre, les rapports vont se construire sous la pression de divers lobbys (y compris le lobby de l'opinion publique et d'autres potentielles révélations quant à l'étendue des programmes de renseignement).

• Il ne faut pas exclure des luttes d'influence entre organes de l'Administration pour conserver des privilèges ou défendre leurs programmes.

• De nombreuses recommandations du Groupe en charge de formuler des pistes de réformes ont été abandonnées (temporairement ou non).

• Le gouvernement américain va sans doute essayer de faire en sorte que les choses se tassent après cet exercice de communication jugé sévèrement par les organisations de défense des libertés civiles et plus ou moins fraichement par la presse, mais la pression ne retombera probablement pas de sitôt.

• À titre personnel, je considère que cette directive et les annonces de Barack Obama peuvent être porteuses à moyen-terme de quelques évolutions positives, mais que dans sa grande majorité, cette réforme revient à piéger des fourmis avec du miel, à bonne distance de la table de pique-nique.

Article publié initialement sur Points de vue alternatifs