- La Section 702 du FISA (Foreign Intelligence Surveillance Act) autorise la surveillance ciblée de personnes non-américaines situées hors des États-Unis, via les fournisseurs US.
- Adoptée en 2008, elle a été renouvelée plusieurs fois, en dernier lieu en avril 2024 pour deux ans.
- Contrairement au CLOUD Act qui relève du droit pénal, FISA 702 relève du renseignement et de la sécurité nationale.
- L'arrêt Schrems II (CJUE, 2020) a invalidé le Privacy Shield en pointant notamment FISA 702 comme incompatible avec les standards UE de protection des données.
Qu’est-ce que FISA 702 ?
La Section 702 a été introduite en 2008 dans le Foreign Intelligence Surveillance Act, lui-même adopté en 1978 après les abus révélés par la commission Church. Elle autorise l'Attorney General et le Director of National Intelligence à conduire, sans mandat individualisé, la surveillance de personnes non-américaines raisonnablement présumées hors des États-Unis, à des fins de renseignement étranger.
Dans la pratique, la NSA et le FBI peuvent émettre des directives aux opérateurs de communications électroniques américains, en les obligeant à transmettre les communications correspondant à des sélecteurs (adresses email, numéros, identifiants). Les programmes PRISM (collecte auprès des fournisseurs) et Upstream (interception sur la dorsale Internet) reposent sur cette base légale.
La supervision est assurée par la FISA Court, juridiction spéciale dont les décisions sont longtemps restées entièrement secrètes. La loi a été renouvelée plusieurs fois, en dernier lieu en avril 2024 par le RISAA, avec des modifications mais sans remise en cause du dispositif fondamental.
De 2008 au Data Privacy Framework
- Juillet 2008Adoption du FISA Amendments Act qui introduit la Section 702. Codifié au 50 U.S.C. § 1881a.
- Juin 2013Révélations Snowden : la presse documente les programmes PRISM et Upstream, qui s'appuient sur FISA 702 et impliquent neuf grandes entreprises technologiques américaines.
- Octobre 2015Arrêt Schrems I de la CJUE qui invalide le Safe Harbor au motif que les transferts vers les États-Unis ne garantissent pas un niveau de protection adéquat.
- Juillet 2020Arrêt Schrems II qui invalide le Privacy Shield, successeur du Safe Harbor. La Cour cite explicitement FISA 702 et Executive Order 12333 parmi les programmes problématiques.
- Juillet 2023La Commission européenne adopte un nouveau cadre de transfert (EU-US Data Privacy Framework) après l'Executive Order 14086 du président Biden qui crée la Data Protection Review Court.
- Avril 2024Le Congrès renouvelle la Section 702 pour deux ans via le Reforming Intelligence and Securing America Act (RISAA).
CLOUD Act et FISA 702, deux régimes différents
Les deux dispositifs visent des situations différentes mais peuvent concerner les mêmes fournisseurs. Les confondre conduit à sous-estimer le risque global.
| Axe | CLOUD Act (2018) | FISA Section 702 (2008) |
|---|---|---|
| Base juridique | Droit pénal et civil, modifie le Stored Communications Act | Loi de renseignement, vise les ressortissants étrangers |
| Autorité demandante | Procureur fédéral via injonction judiciaire | Procureur général + DNI, supervisé par la FISA Court |
| Cible typique | Suspect dans une affaire criminelle | Personne non-US à l'étranger jugée d'intérêt pour la sécurité nationale |
| Notification | Possible gag order, mais cadre judiciaire | Confidentialité par construction |
| Voie de recours UE | Coopération via Mutual Legal Assistance Treaty | Data Protection Review Court depuis 2022, contestée |
Conséquences pour les organisations européennes
Cinq effets observés depuis Schrems II dans les démarches de mise en conformité des grandes organisations européennes.
Surveillance sans notification
FISA 702 vise par construction les personnes non-américaines à l'étranger. Le citoyen européen ou l'organisation européenne ne sera pas informé qu'une collecte le concerne, et ne dispose pas de voie de recours juridictionnel direct devant un juge américain.
Périmètre large
La loi vise tout fournisseur de communications électroniques soumis à la juridiction US. Cela inclut les hyperscalers, les éditeurs SaaS américains et les filiales européennes intégrées techniquement à leur maison-mère.
Risque RGPD documenté
Depuis Schrems II, le risque FISA 702 doit faire l'objet d'une évaluation d'impact sur les transferts (Transfer Impact Assessment). Cette analyse devient une obligation pour les DPO et les responsables de traitement.
Limites du DPF
Le Data Privacy Framework de 2023 introduit des garanties supplémentaires mais ne change pas FISA 702 lui-même. Des recours sont en cours devant la CJUE. Une éventuelle invalidation produirait un Schrems III avec des effets immédiats sur les transferts.
Choix d'architecture
Pour les données les plus sensibles, la seule réponse robuste consiste à éviter qu'elles entrent dans un système reposant sur une stack d'orchestration US, donc soumis à FISA 702. Les opérateurs réellement souverains (pile logicielle ouverte ou maîtrisée) et le chiffrement applicatif à clés détenues par le client réduisent le risque ; les coentreprises Bleu et S3NS l'atténuent sur le plan contractuel mais ne l'éliminent pas tant qu'elles embarquent du code éditeur non auditable (voir ci-dessous).
Le vrai déclencheur : la stack d’orchestration
FISA 702 ne dépend pas seulement de l'endroit où la donnée est stockée. Dès qu'un service repose sur une stack d'orchestration américaine - hyperviseur, plan de contrôle, services managés, télémétrie ou chaîne de mises à jour fournis par Google, AWS ou Microsoft - le fournisseur dépend d'un éditeur soumis au droit américain. Localiser les serveurs en France ne neutralise pas cette dépendance logicielle.
Or le cœur de ces plateformes est propriétaire et fermé. L'ANSSI ne peut pas auditer le code source de Google, AWS ou Microsoft : il n'est pas communiqué. Une qualification porte sur une architecture, des processus et des configurations observables - pas sur le binaire réellement exécuté au plus bas niveau, ni sur ce qu'une mise à jour distante pourrait y introduire.
Conséquence directe pour Bleu (Microsoft + Orange + Capgemini) et S3NS (Google + Thales) : la coentreprise française ne met pas ces offres à l'abri. Tant qu'elles embarquent du code non auditable de l'éditeur américain, rien ne garantit l'absence d'un composant dormant ou d'un canal de mise à jour par lequel les autorités américaines pourraient, en s'appuyant sur leur droit, contraindre l'éditeur à imposer une porte dérobée - chez n'importe quel opérateur, quelle que soit la structure juridique.
Schéma : le chemin qui déclenche FISA 702 (au-delà de la localisation)
- Données hébergées en France. La géolocalisation seule semble rassurante.
- Mais une stack d'orchestration US. Hyperviseur, plan de contrôle, services managés, mises à jour : Google, AWS ou Microsoft.
- Éditeur soumis au droit américain. Le fournisseur de la pile logicielle a un rattachement aux États-Unis.
- FISA 702 & CLOUD Act s'appliquent. La loi américaine prime sur le contrat et la localisation des serveurs.
- Code fermé, non auditable par l'ANSSI. L'ANSSI audite une architecture et des processus, pas le binaire de l'éditeur.
- Porte dérobée imposable. Rien ne garantit l'absence d'un composant dormant ou d'un canal de mise à jour activable à distance.
Cinq questions pour comprendre
Qu'est-ce que la Section 702 du FISA ?
La Section 702 a été introduite en 2008 dans le Foreign Intelligence Surveillance Act. Elle autorise la surveillance ciblée, sans mandat individualisé, de personnes non-américaines présumées situées hors des États-Unis, à des fins de renseignement étranger.
Quelle différence avec le CLOUD Act ?
Le CLOUD Act relève du droit pénal et civil. FISA 702 relève du renseignement et de la sécurité nationale. Les deux peuvent concerner les mêmes fournisseurs mais selon des autorités différentes (procureur fédéral pour le CLOUD Act, FISA Court pour la Section 702).
Suis-je concerné en tant que citoyen européen ?
FISA 702 vise par construction les personnes non-américaines à l'étranger. Un citoyen européen utilisant un service soumis au droit US est potentiellement dans le champ. La collecte est confidentielle et ne donne pas lieu à notification.
Schrems II a-t-il invalidé FISA 702 ?
Non. L'arrêt de juillet 2020 a invalidé le Privacy Shield en citant FISA 702 comme incompatible avec les standards européens, mais la loi américaine elle-même reste en vigueur et a été renouvelée en avril 2024 par le RISAA.
Le Data Privacy Framework de 2023 résout-il le problème ?
Partiellement. L'Executive Order 14086 introduit la Data Protection Review Court et certaines garanties. Mais FISA 702 reste inchangée. Des recours sont en cours devant la CJUE ; une éventuelle invalidation produirait un Schrems III.
Pour aller plus loin
- 50 U.S.C. § 1881a, texte officiel de la Section 702 (US Code)
- Office of the Director of National Intelligence, FISA Section 702 resources (intel.gov)
- Arrêt Schrems II, CJUE C-311/18 (curia.europa.eu)
- Reforming Intelligence and Securing America Act (RISAA), Public Law 118-49 (congress.gov)
- EDPB, Recommendations 01/2020 on measures supplementing transfer tools (edpb.europa.eu)
- Executive Order 14086 on Enhancing Safeguards for United States Signals Intelligence Activities (Maison-Blanche, 2022)