Récemment, la Commission européenne annonça son intention d’intervenir à titre d’amicus curiae devant la Cour suprême américaine dans l’affaire opposant les États-Unis à la compagnie informatique Microsoft.

L’affaire en question soulève des enjeux importants concernant la vie privée et le respect de la souveraineté nationale. Rappelons les faits.

L’affaire débuta à la fin de l’année 2013 lorsque Microsoft reçut un mandat de perquisition, émanant de la justice américaine, réclamant l’obtention du contenu de la messagerie en ligne d’un client européen dans le cadre d’une enquête reliée aux narcotiques. Microsoft s’opposa à leur divulgation et l’affaire se retrouva devant les tribunaux. Dans sa décision, la Cour fédérale américaine (District Court for the Southern District of New York), énonça qu’un mandat américain ordonnant la saisie des courriels relatifs à certains clients de Microsoft était valide, même si ces données sont emmagasinées sur des serveurs situés à l’étranger, en l’occurrence en Irlande.

La décision se basait sur les dispositions 18 U.S.C. §2703, contenues dans le Titre II de la loi américaine Electronic Communication Privacy Act (ECPA). Connues sous l’appellation du Stored Communication Act (SCA), ces dispositions du Titre II de l’ECPA confèrent aux Cours américaines le pouvoir d’exiger d’une compagnie privée de messagerie en ligne, établie aux États-Unis, de divulguer le contenu des courriels d’un utilisateur.

Microsoft porta cette décision en appel. La Cour d’appel américaine (Second Circuit), dans sa décision de juillet 2016, donna raison aux prétentions de Microsoft :

«We conclude that Congress did not intend the SCA’s warrant provisions to apply extraterritorially. The focus of those provisions is protection of a user’s privacy interests. Accordingly, the SCA does not authorize a U.S. court to issue and enforce an SCA warrant against a United States‐based service provider for the contents of a customer’s electronic communications stored on servers located outside the United States. The SCA warrant in this case may not lawfully be used to compel Microsoft to produce to the government the contents of a customer’s e‐mail account stored exclusively in Ireland. Because Microsoft has otherwise complied with the Warrant, it has no remaining lawful obligation to produce materials to the government».

Selon les propos de Brad Smith, chef des Affaires juridiques de Microsoft, cette décision est importante, car elle garantit la protection de la vie privée d’un individu selon les lois de son propre pays.

Mais le département américain de justice ne comptait pas en rester là.

Demandant l’autorisation d’interjeter appel devant la Cour suprême américaine, leur requête fut consentie en octobre dernier. En réaction à cette nouvelle, Brad Smith exprima par voie de communiqué les enjeux que représente cette future décision :

«We will continue to press our case in court that the Electronic Communications Privacy Act (ECPA) – a law enacted decades before there was such a thing as cloud computing – was never intended to reach within other countries’ borders. […] We challenged the DOJ’s interpretation of the law because we strongly believe it is problematic in a number of ways:

1. It contradicts the basic premise that before a U.S. statute reaches across another country’s borders, it should be clear that’s what Congress intended when it passed the law.

2. We disagree with the premise of the government’s argument in favor of the warrant that customer email is the property of the email provider, not the customer, which would cause people to lose their rights when they go online.

3. It creates conflicts with the laws of countries in Europe and elsewhere around the globe, which are intended to protect privacy interests and restrict the disclosure and transfer of personal data to a third country.

4. It puts everyone’s emails at risk – if the U.S. government can unilaterally use a warrant to seize emails outside the United States, what’s to stop other governments from acting unilaterally to seize emails stored inside the United States? At a time when countries are rightly worried about foreign government hacking, the DOJ’s interpretation would open the door to accomplishing the same thing».

C’est dans cette optique que la Commission européenne annonça son intervention dans l’affaire en cours à titre d’amicus curiae. Par voie de communiqué, la Commission énonça ses motifs:

« Given that the transfer of personal data by Microsoft from the EU to the US would fall under the EU data protection rules, the Commission considered it to be in the interest of the EU to make sure that EU data protection rules on international transfers are correctly understood and taken into account by the US Supreme Court. The amicus brief will not be in support of either one of the parties».

En effet, les dispositions de la Directive 95/46/CE et ainsi que celles du nouveau Règlement général sur la protection des données offrent diverses protections relativement aux traitements des données à caractère personnel.

En raison des implications de la décision à venir, ayant la possibilité d’affectée divers géants du net, nous devrons suivre avec grande attention les développements de cette affaire.