Le gouvernement fédéral a demandé à TikTok des capacités massives de surveillance intérieure
(gizmodo.com)- Le projet d’accord TikTok-CFIUS de l’été 2022 était une proposition négociée pour éviter l’interdiction de l’application, mais il aurait accordé à plusieurs agences américaines un droit de regard très large sur les opérations, les registres et les installations de TikTok aux États-Unis
- Le DOJ, le DoD et d’autres pouvaient inspecter les installations, registres et serveurs américains avec un préavis minimal, et même opposer leur veto à l’embauche de dirigeants de l’organisation de sécurité des données de TikTok aux États-Unis
- Le projet d’accord incluait aussi le blocage des modifications des conditions d’utilisation aux États-Unis, des exigences d’audit aux frais de l’entreprise et, dans des cas extrêmes, la demande de suspension temporaire de fonctionnalités de TikTok
- Ce projet d’environ 100 pages contenait des commentaires d’avocats de ByteDance et du CFIUS, et TikTok s’y opposait sur certains points liés à l’étendue de l’accès aux données utilisateurs, aux contrats futurs et au contrôle de l’algorithme de recommandation
- TikTok mettait en avant Project Texas et l’isolement des données des utilisateurs américains via Oracle Cloud Infrastructure, mais après l’affaire de surveillance d’utilisateurs et de journalistes par des employés ainsi que l’enquête du DOJ, le CFIUS aurait menacé en mars 2023 d’une interdiction nationale sans cession de la participation des propriétaires chinois
Le projet du CFIUS censé éviter l’interdiction de TikTok
- Les autorités de régulation américaines poursuivaient un accord destiné à empêcher l’interdiction de TikTok, tout en discutant de pouvoirs qui auraient permis au gouvernement fédéral d’intervenir profondément dans l’ensemble du fonctionnement de l’application
- Le projet obtenu par Forbes était un document d’accord entre TikTok et le Comité sur les investissements étrangers aux États-Unis (CFIUS), qui aurait accordé à plusieurs agences américaines un accès sans précédent aux registres et aux opérations de TikTok
- Présenté comme un moyen d’atténuer les inquiétudes selon lesquelles le gouvernement chinois pourrait utiliser TikTok comme outil de surveillance, le dispositif aurait, par ses clauses mêmes, pu rapprocher TikTok d’un outil de surveillance à l’américaine
Les pouvoirs que les agences américaines auraient pu obtenir
- Ce projet daté de l’été 2022 aurait permis à des agences gouvernementales américaines comme le DOJ et le DoD d’accéder aux opérations de TikTok beaucoup plus largement que pour d’autres réseaux sociaux
- Les principaux pouvoirs étaient les suivants
- inspecter les installations, registres et serveurs de TikTok aux États-Unis avec un préavis minimal
- exercer un droit de veto sur l’embauche des dirigeants chargés de l’organisation américaine de sécurité des données de TikTok
- bloquer les modifications des conditions d’utilisation de TikTok aux États-Unis
- exiger plusieurs audits aux frais de TikTok
- demander, dans des cas extrêmes, la suspension temporaire de fonctionnalités de TikTok aux États-Unis
- Gizmodo a sollicité un commentaire du CFIUS, sans obtenir de réponse immédiate
La position de TikTok et son argument sur l’isolement des données
- TikTok n’a ni confirmé ni démenti l’authenticité du projet d’accord
- Un porte-parole de TikTok a déclaré que l’entreprise travaillait depuis plus d’un an avec le CFIUS à la mise en œuvre d’un accord de sécurité nationale et qu’elle avait investi des ressources importantes pour construire un pare-feu destiné à isoler les données des utilisateurs américains
- TikTok a expliqué que les nouvelles données protégées des utilisateurs américains sont actuellement stockées aux États-Unis dans Oracle Cloud Infrastructure, avec des passerelles strictement contrôlées et surveillées
- TikTok a affirmé prendre davantage de mesures que ses pairs pour protéger les intérêts de la sécurité nationale américaine
Structure du document et étendue du contrôle
- Ce document, que Gizmodo n’a pas pu vérifier indépendamment, ferait environ 100 pages et comprendrait des commentaires d’avocats représentant ByteDance, la maison mère chinoise de TikTok, ainsi que des avocats du CFIUS
- Si cette rédaction avait été acceptée telle quelle à l’époque, les opérations américaines de TikTok auraient été placées sous la supervision de plusieurs auditeurs externes tiers et d’inspecteurs du code source
- La direction de ByteDance, accusée de longue date par des élus américains et des lanceurs d’alerte d’entretenir des liens étroits avec le Parti communiste chinois, aurait pu être écartée de certaines décisions de sécurité concernant la version américaine de l’application
- Certaines clauses restaient non résolues entre les deux parties
- les avocats de TikTok s’opposaient à une condition permettant au gouvernement de modifier les types de données utilisateurs que les employés de ByteDance pourraient consulter
- les deux parties divergeaient également sur l’exigence du gouvernement d’un droit de veto illimité sur les futurs contrats de TikTok
- TikTok aurait aussi modifié une formulation permettant au gouvernement d’exiger une modification de l’algorithme de recommandation de l’application si celui-ci promouvait des contenus auxquels les agences n’auraient pas consenti
Des négociations qui se sont détériorées après Project Texas
- Le CFIUS avait ouvert son enquête sur ByteDance il y a quatre ans, sous l’administration de Donald Trump, à une époque où des élus américains et une partie de l’opinion craignaient que le gouvernement chinois puisse surveiller les Américains via TikTok
- Après les menaces d’interdiction du président Trump, TikTok a indiqué avoir accepté Project Texas, un accord de routage des données avec Oracle, et a expliqué que les nouvelles données des utilisateurs américains seraient stockées sur l’infrastructure cloud d’Oracle aux États-Unis
- Mais les révélations et signalements de lanceurs d’alerte de l’année écoulée ont laissé planer des doutes sur l’efficacité réelle et la mise en œuvre en temps voulu des promesses de sécurité des données faites par TikTok
- Il a été révélé que plusieurs employés de ByteDance avaient surveillé des utilisateurs et des journalistes enquêtant sur l’entreprise, une affaire qui a conduit à une enquête du DOJ
- La position du CFIUS semble s’être durcie entre ce projet et mars 2023, moment où il aurait menacé d’interdire TikTok sur l’ensemble du territoire américain si les propriétaires chinois ne cédaient pas leur participation
1 commentaires
Avis de Hacker News
Beaucoup des concessions exigées de TikTok par le gouvernement ressemblent trop aux tactiques de surveillance dont les autorités chinoises sont critiquées pour l’abus
Je soutiens l’interdiction nationale de TikTok, mais c’est honteux. Nous ne devons pas devenir pires que le pays que nous critiquons pour surveiller ses propres citoyens. Avec ça, l’autorité morale que nous aurions pu revendiquer s’effondre, et l’argument donne l’impression de dire : « nous allons l’interdire parce que nous ne supportons pas qu’ils surveillent les Américains mieux que nous ».
Empêcher le recrutement de dirigeants semble viser à empêcher des lanceurs d’alerte d’entrer dans l’organisation, et c’est exactement ce que les États-Unis ont fait lorsqu’ils ont utilisé Crypto AG pour espionner leurs alliés : https://www.washingtonpost.com/graphics/2020/world/national-...
Quoi qu’il en soit, je suis opposé à l’interdiction de TikTok pour la même raison qu’une loi visant une entreprise ou une personne précise est inconstitutionnelle. Il faudrait plutôt interdire les pratiques de TikTok qui devraient être illégales, puis appliquer cette loi de la même manière aux entreprises de réseaux sociaux américaines et étrangères.
Des gens comme Trudeau ont même publiquement salué la flexibilité de la dictature chinoise. Le FBI, la CIA, etc., ne refuseraient certainement pas l’occasion d’utiliser le type d’outils dont dispose la Chine.
Si c’était pour des raisons de protection de la vie privée ou de morale, il faudrait aussi interdire les réseaux sociaux nationaux. Mais comme il a déjà accès aux données nationales, il n’a aucune raison de le faire.
Une deuxième raison pourrait être de réduire l’influence et la propagande étrangères, mais celles-ci sont également omniprésentes sur les réseaux sociaux nationaux, et il ne semble pas y avoir de volonté de les contrer. C’est absurde, étant donné que ces outils sont les armes principales de la guerre de l’information.
Les points de l’article original de Forbes (https://www.forbes.com/sites/emilybaker-white/2023/08/21/dra...) ressemblent moins à une surveillance intérieure qu’à une supervision stricte d’un acteur auquel on ne fait pas confiance, mais qu’on ne peut pas fermer
L’élément prévoyant « d’inspecter les installations, archives, équipements et serveurs américains de TikTok avec peu ou pas de préavis » pourrait toutefois faire exception. Si cela inclut un accès arbitraire aux données des utilisateurs, ou même la possibilité de modifier les systèmes plutôt qu’une simple inspection, cela pose problème.
Forbes contenait aussi un élément intéressant que je n’ai pas vu dans Gizmodo : TikTok U.S. serait contraint d’exclure les dirigeants de ByteDance de certaines décisions liées à la sécurité et de s’appuyer sur un comité exécutif de sécurité fonctionnant à l’insu de ByteDance.
Cela dit, je ne comprends pas pourquoi Forbes appelle cela une « plateforme de libre expression ». Je me demande si c’est désormais un terme admis, ou si cela pousse un certain cadrage. Peut-être que le fait que Forbes appartienne depuis 2014 au groupe d’investissement hongkongais Integrated Whale Media Investments suffit à tout expliquer.
À mon avis, la meilleure défense contre les menaces hypothétiques que ce type d’application peut faire émerger, c’est une société civile intelligente, critique et attachée à des principes. Mais Rupert Murdoch et la culture qui lui a succédé ayant fortement abîmé cette capacité, l’aide du gouvernement est peut-être devenue plus nécessaire.
Je ne vois pas quelle menace réelle TikTok représente pour les États-Unis. On ne soumet rien d’important dans l’app, donc cela ne devrait pas avoir grand-chose à voir avec la surveillance. Qui utilise les DM de TikTok ?
S’il y a une backdoor ou une vulnérabilité intentionnelle dans l’app et que le gouvernement fédéral s’en inquiète, c’est une question à poser aux politiques et pratiques de sécurité et de validation de Google et des app stores. On pourrait aussi neutraliser complètement le risque en imposant que le trafic non vidéo envoyé aux utilisateurs américains soit stocké, sous forme non chiffrée, chez un tiers basé aux États-Unis
Mais en pratique, ce serait insensé pour les services de renseignement chinois d’envoyer des exploits via TikTok. Ce serait facilement détectable et pourrait constituer un casus belli pour démanteler une entreprise qui pèse 8 milliards de dollars aux États-Unis
Ce que l’establishment américain n’aime réellement pas, c’est la capacité de TikTok à amplifier certains sujets, à en rétrograder d’autres et à influencer le public américain par ses politiques de contenu. Les entreprises américaines bénéficient de cette capacité dans le monde entier, à l’exception de quelques États autoritaires, et même l’UE n’arrive pas à auditer les algorithmes de Facebook ou de Google
Il y a des efforts, avec le Digital Services Act, pour imposer une explication des algorithmes, mais à ma connaissance on est très loin du niveau d’audit et de droit de veto évoqué dans cet article. Les pays ou entités politiques plus petits et moins influents ne peuvent même pas rêver d’obliger les FAANG à se plier à leurs exigences
Donc voir les États-Unis, malgré les révélations Snowden, agiter les peurs autour des « données personnelles » et de la « sécurité nationale » relève d’une hypocrisie énorme. Les règles dures s’appliquent aux autres, pas à eux-mêmes. Les algorithmes des entreprises américaines seraient probablement protégés par le premier amendement, donc je ne suis même pas sûr que la répression contre TikTok soit légale
Même le fait d’agir délibérément de manière intraçable devient un point de données intéressant. Strava a fait la plupart de cela presque par accident
Le gros problème, c’est que si l’on admet qu’il faut contrôler les données de localisation, comment justifier l’usage continu des systèmes existants, principalement ceux de Google et Facebook ? Il y a longtemps, j’ai audité le SDK d’une startup YC : lorsqu’un utilisateur voyait une publicité, il collectait même son altitude et son orientation. Ce genre de pratique est incroyablement répandu
Personnellement, je pense qu’il faut une loi interdisant la collecte centralisée de données de localisation. L’anonymisation ne suffit pas. Il est acceptable que l’utilisateur et l’app aient accès à un journal chiffré de la position de l’appareil, mais ce journal ne devrait être accessible à distance par personne
Je ne sais pas trop si l’idée est qu’un État ne devrait pas avoir d’espions, ou ne devrait pas chercher à se défendre contre des espions étrangers. Je ne comprends pas bien le grief ici
Utiliser des exploits tout en essayant de les bloquer n’est pas de l’hypocrisie. En revanche, je ne suis pas d’accord avec la simplification selon laquelle les entreprises américaines seraient alignées sur la politique américaine au même degré que les entreprises chinoises le sont sur la politique chinoise
J’apprends peu à peu que chaque fois qu’une agence gouvernementale américaine soulève un problème, le vrai problème n’est pas qu’elle se soucie sincèrement de l’objet qu’elle désigne, mais qu’elle ne profite pas elle-même de cet avantage
Apparemment, surveiller les Américains n’est mal que lorsque c’est le terrifiant Parti communiste chinois qui le fait
Même si vous ne pouvez pas savoir à quoi votre propre gouvernement utilise ces informations, une chose est sûre : le Parti communiste chinois n’essaie pas d’empêcher le terrorisme dans votre pays
Vous ne pouvez pas chasser Xi par les urnes, mais vous pouvez voter contre les responsables politiques chargés de la surveillance intérieure, ou exercer par divers moyens une pression pour obtenir de la transparence et une législation correcte
Il ne faut pas faire semblant que les deux situations sont identiques. Leur seul point commun, c’est qu’elles ne plaisent ni l’une ni l’autre
Étant donné que TikTok continue de mentir sur ses liens avec le Parti communiste chinois et sur la sécurité des données, ces exigences ressemblent à un moyen de le forcer à être honnête. Je ne vois pas de fonctionnalité de surveillance intérieure dans la liste
Le gouvernement fédéral doit regretter de ne pas l’avoir interdit bien avant que quiconque ait entendu parler de TikTok. Les prochains concurrents émergents n’auront probablement pas autant de chance
Le passage sur le fait « d’opposer un veto au recrutement des dirigeants de l’organisation américaine de sécurité des données de TikTok » est dangereusement proche de dire tout haut ce qui devrait rester discret
Il suffit de l’interdire au nom de la réciprocité. Soit la Chine autorise Facebook, Google, Instagram, X, etc. à opérer sur son territoire, soit les États-Unis interdisent TikTok
Les États disposent déjà de mécanismes contre la concurrence déloyale, et ce cas en relève aussi
Je ne vois pas vraiment de « surveillance » ici. Ce que le gouvernement demande, ce sont des pouvoirs d’audit, similaires à ceux dont dispose la FDA vis-à-vis des fabricants alimentaires nationaux
La FDA peut inspecter des usines alimentaires et, si l’intérêt public l’exige, les fermer temporairement. J’aimerais savoir comment le gouvernement pourrait tenir TikTok responsable de quoi que ce soit sans ce pouvoir
C’est plutôt comme si l’on obtenait en même temps le droit de savoir si chaque consommateur a mangé chaque bouchée, quelle a été sa réaction, dans quel repas cela s’inscrivait, où il l’a mangée et avec qui il l’a partagée
L’interdiction de TikTok me donne l’impression de brûler des livres. Chacun peut le voir différemment
Tant que les États-Unis n’auront pas un dispositif de niveau RGPD imposant par la loi les pratiques de confidentialité à toutes les entreprises, et tant que la surveillance de la NSA ne sera pas entièrement abolie, le roi est nu. Je suis favorable à empêcher la surveillance de masse, et c’est effectivement ce qu’il faut faire. Mais ici, ce n’est qu’une comédie, une facette de la guerre culturelle. Ce n’est que la voix d’une minorité en colère contre les gens qui consomment d’autres médias que le tuyau à drogue des médias conservateurs