- Google a transmis des données personnelles, dont des numéros de compte bancaire et de carte de crédit, d’une étudiante journaliste en réponse à une assignation (subpoena) émise par l’Agence américaine de l’immigration et des douanes (ICE)
- La personne concernée est Amandla Thomas-Johnson, interdite d’accès au campus après avoir participé à une manifestation dénonçant une entreprise fournissant des armes à Israël lors d’un forum de recrutement à Cornell en 2024
- L’ICE a demandé à Google un large éventail de données, dont le nom d’utilisateur, l’adresse, le service de masquage d’IP, le numéro de téléphone, les informations d’abonné et les données de paiement, et Google s’est exécuté sans notification préalable
- L’Electronic Frontier Foundation (EFF) et l’ACLU ont appelé les grandes entreprises technologiques comme Google, Amazon et Apple à résister aux demandes gouvernementales sans décision de justice et à informer les utilisateurs
- Des experts estiment que cette affaire montre la nécessité de réformer les lois sur la protection de la vie privée numérique et de limiter la coopération des Big Tech avec l’État
L’assignation de l’ICE et la réponse de Google
- L’ICE a émis une assignation demandant des détails liés au compte Gmail d’Amandla Thomas-Johnson
- Les éléments demandés comprenaient le nom d’utilisateur, l’adresse, l’historique d’utilisation du service, le service de masquage d’IP, le numéro de téléphone, les informations d’identification d’abonné, ainsi que les numéros de carte de crédit et de compte bancaire
- L’ICE a demandé à Google de garder l’existence de cette assignation confidentielle pour une durée indéfinie
- Google n’a envoyé à Thomas-Johnson qu’un bref e-mail indiquant qu’il avait déjà fourni des métadonnées au Department of Homeland Security (DHS), sans lui laisser la possibilité de réagir en amont
- Thomas-Johnson a confirmé que des informations de paiement étaient liées à son compte pour des achats d’applications
- L’avocat de Google a déclaré que l’entreprise n’avait fourni que des « informations d’abonné de base », mais l’étendue exacte des données transmises reste incertaine
Contexte de l’étudiante journaliste et déroulement des faits
- Thomas-Johnson a participé pendant environ cinq minutes à une manifestation contre des entreprises fournissant des armes à Israël organisée à Cornell en 2024, puis a fait l’objet d’une interdiction d’accès au campus
- Après l’entrée en fonctions du président Donald Trump et la publication d’un décret visant les étudiants participant à des manifestations pro-palestiniennes, elle est entrée dans la clandestinité avec son ami Momodou Taal
- Taal a réussi, par l’intermédiaire de ses avocats, à contester juridiquement les assignations adressées à Google et Meta, mais Thomas-Johnson n’a pas eu cette possibilité
- Elle réside actuellement à Dakar, au Sénégal, et affirme que la demande d’informations de l’ICE visait à la localiser et la placer en détention
Réponse des organisations civiles et critiques envers les entreprises technologiques
- L’EFF et l’antenne de l’ACLU de Californie du Nord ont envoyé une lettre à de grandes entreprises comme Google, Amazon, Apple, Discord, Meta, Microsoft et Reddit pour leur demander de ne pas obtempérer à l’avenir à des assignations similaires du DHS sans décision de justice
- La lettre souligne que les entreprises doivent prévenir les utilisateurs à l’avance afin de garantir leur possibilité de recours juridique
- Elle les exhorte aussi à résister aux ordonnances de bâillon (gag orders) afin d’informer les utilisateurs de l’existence des assignations
- La lettre indique que « le gouvernement demande de façon répétée les données des entreprises technologiques pour identifier ses détracteurs » et reproche à ces entreprises de ne pas défendre la vie privée des utilisateurs ni la liberté d’expression face à une surveillance illégale
- Dans une autre affaire concernant Meta, il y avait eu une demande de divulgation de l’identité d’utilisateurs documentant des opérations de contrôle migratoire, mais ces utilisateurs avaient été avertis à l’avance, ce qui leur avait permis d’agir en justice
Enjeux juridiques et politiques
- Lindsay Nash, professeure à Cardozo Law, a critiqué Google pour ne pas avoir donné de notification préalable, estimant que cela a privé l’intéressée de la possibilité d’exercer son droit à protéger ses informations
- Le Stored Communications Act et la section 5 du FTC Act encadrent le partage de données par les entreprises technologiques, mais la question de savoir s’il s’agit d’une pratique trompeuse envers les consommateurs reste débattue
- Le professeur Neil Richards (Washington University in St. Louis) explique que si une entreprise induit en erreur sur la façon dont elle traite les données, cela peut être considéré comme une pratique commerciale trompeuse
- Il cite l’affaire Cambridge Analytica comme exemple, rappelant que les problèmes de transparence autour de la collecte et du partage des données font l’objet de litiges depuis des décennies
Nécessité d’une réforme de la vie privée des données
- La politique publique de confidentialité de Google indique que l’entreprise peut fournir des informations en réponse à une « demande gouvernementale juridiquement valide » et précise qu’elle peut refuser les demandes excessives ou entachées d’irrégularités procédurales
- Toutefois, selon le rapport de transparence de Google, les demandes gouvernementales de données d’utilisateurs se sont comptées par millions au cours des dix dernières années et ont fortement augmenté sur les cinq dernières années
- La part de ces demandes ayant donné lieu à une notification préalable ou ultérieure des utilisateurs reste inconnue
- Le professeur Richards insiste sur la nécessité de réviser la loi pour durcir les conditions d’accès du gouvernement aux données numériques et de réglementer davantage le partage d’informations par les Big Tech
- Il estime aussi que, depuis un an, les relations entre les Big Tech et le gouvernement se sont encore resserrées, avec une évolution vers une attitude plus favorable au pouvoir étatique
Réaction de la journaliste et contexte de la liberté de la presse
- Thomas-Johnson a dit avoir été choquée de vivre directement un système de surveillance qu’elle n’observait jusque-là que de l’extérieur en tant que journaliste
- Elle a déclaré qu’« à une époque où le gouvernement et les Big Tech peuvent nous traquer, nous détenir et nous briser, il faut repenser ce que signifie résister »
- Ses propos sont perçus comme une occasion de réexaminer le rôle des entreprises technologiques à l’intersection entre liberté de la presse et surveillance numérique
- Selon une mise à jour ajoutée en fin d’article, son équipe juridique ne connaît toujours pas l’étendue exacte des informations que Google a transmises à l’ICE
1 commentaires
Commentaires sur Hacker News
Partage le lien vers l’article original (archive)
J’estime qu’il n’y a pas de problème à ce qu’une entreprise remette les données de ses clients lorsqu’il existe un mandat ou une assignation valides
Le vrai problème, c’est le cadre qui permet au DHS d’abuser des assignations administratives (administrative subpoenas)
Elles sont émises sans examen par un juge, et ne visent même pas des criminels
Par le passé, cela a pu améliorer l’efficacité des enquêtes, mais aujourd’hui c’est devenu un moyen pour l’ICE de procéder à des arrestations de masse sans contrôle judiciaire
Au final, le problème dépasse la vie privée : le Congrès laisse exister un véritable « système judiciaire parallèle »
Se demander si une agence gouvernementale « fait les choses correctement cette semaine » est vain
Elles essaient toujours de repousser les limites et ne sont jamais satisfaites
Dans un pays libre, on ne devrait pas pouvoir traquer des gens sans raison valable
C’est simplement que la plupart des gens n’en subissaient pas directement les effets et ne voyaient donc pas le problème
C’est un phénomène comparable à la façon dont la défense de la liberté d’expression varie selon qui est au pouvoir
Je me demande pourquoi le titre a été modifié
À l’origine, c’était : « Google Fulfilled ICE Subpoena Demanding Student Journalist’s Bank and Credit Card Numbers »
Voir les règles de HN
Le lien d’archive affiche « GOOGLE HANDED ICE STUDENT JOURNALIST’S BANK AND CREDIT CARD NUMBERS »
Google publie les statistiques des demandes gouvernementales dans son rapport de transparence
J’ai moi-même été inclus il y a quelques années dans une National Security Letter (NSL) du FBI
Google m’en a informé une fois la période de confidentialité expirée
Je me demande si ces informations de paiement correspondent à de véritables dépenses, ou si elles proviennent plutôt de la procédure de vérification de carte bancaire pour la vérification d’âge sur YouTube
Autrement dit, il pourrait s’agir de données collectées lors du processus de vérification d’âge de YouTube pour déterminer l’exposition à du contenu pour adultes
Laisse un commentaire sarcastique du style : « pour protéger les enfants, veillez bien à téléverser votre permis de conduire et votre pièce d’identité »
Système bancaire centralisé, Internet centralisé, pouvoir centralisé — soulève avec ironie la question de savoir ce qui pourrait mal tourner dans un tel cadre
Je me demande si Google était légalement obligé de remettre ces informations
Le contrôle judiciaire n’intervient qu’ensuite. Si Google juge la demande abusive, l’entreprise peut la contester devant un tribunal, mais en attendant elle doit soit s’exécuter, soit refuser en s’exposant à un risque d’outrage au tribunal
Google a donc transmis ces informations volontairement
Une assignation administrative n’a pas de force contraignante, et une perquisition domiciliaire exige obligatoirement un mandat signé par un juge
Dans cette affaire, la demande semble avoir été émise par le seul DHS, et c’est précisément l’absence d’approbation judiciaire qui pose problème
Le fait que Google ait transmis certaines informations tout en avertissant la personne concernée visait à lui donner la possibilité de réagir juridiquement
Si cette demande visait en particulier à se venger d’un participant à une manifestation, cela constitue une menace grave pour l’État de droit
Dans une telle situation, existe-t-il des moyens pour les utilisateurs de se protéger eux-mêmes ?
Apple est peut-être un peu mieux que Google, mais tant qu’il s’agit d’une entreprise américaine, l’ICE peut y avoir accès
Les informations émises ou validées par l’État (paiements, identité, etc.) sont au final impossibles à éviter
L’important est de considérer Google ou les services cloud comme des systèmes accessibles au gouvernement, et de ne pas y placer d’informations sensibles
Le cloud, au fond, reste simplement l’ordinateur de quelqu’un d’autre
Par exemple en gérant soi-même le mail, les contacts ou le stockage
Le titre devrait être formulé comme « Google handed over these things »
Sinon, cela crée une ambiguïté de sens, comme si Google les avait reçues