La NSA bloque la nomination de son nouveau chef tant qu’elle ne répond pas sur l’achat de données de localisation et de navigation

• Le sénateur Ron Wyden a annoncé qu’il bloquerait la confirmation du lieutenant-général Timothy Haugh tant que la NSA n’aurait pas répondu publiquement à la question de savoir si elle achète, sans mandat, les données de localisation et l’historique de navigation web des Américains
• L’enjeu ne porte pas tant sur les qualifications d’un candidat en particulier que sur la question de savoir si l’achat d’informations via des courtiers en données commerciaux constitue une surveillance intérieure contournant le quatrième amendement
• Les courtiers en données collectent et vendent des informations personnelles, notamment des données de localisation revendues par des applications, et les agences gouvernementales américaines peuvent acheter ces informations sans mandat
• Wyden a révélé en 2021 que la Defense Intelligence Agency (DIA) achetait des données de localisation de citoyens américains, et a indiqué ne pas avoir pu rendre publiques des réponses concernant d’autres agences militaires à cause du marquage CUI
• Ce blocage devient ainsi une pression politique visant à obtenir de la NSA une réponse simple par oui ou non sur l’achat de données de localisation de citoyens ou d’historiques de navigation web

---

La question qui bloque la confirmation du directeur de la NSA

• Le sénateur Ron Wyden affirme qu’il empêchera la confirmation du nouveau directeur de la NSA tant que l’agence n’aura pas répondu si elle achète les données de localisation et les historiques de navigation web des Américains
• Sont concernés la confirmation de Lieutenant General Timothy Haugh à la tête de la NSA ainsi que sa promotion au grade de général
• Wyden précise qu’il ne conteste ni la promotion ni la nomination de Haugh en elles-mêmes, et qu’il ne s’oppose pas à ses qualifications personnelles
• La réponse demandée est un simple oui ou non à la question de savoir si la NSA achète, sans mandat, les données de localisation ou les historiques de navigation web des citoyens

Achats de données sans mandat et quatrième amendement

• Wyden soutient que le public a le droit de savoir si la NSA mène une surveillance intérieure sans mandat contre les Américains en contournant le quatrième amendement
• Les agences gouvernementales américaines peuvent acheter sans mandat divers types de données personnelles auprès de courtiers en données commerciaux
• Ces courtiers rassemblent des données personnelles depuis de multiples sources, notamment des applications qui revendent la localisation des utilisateurs et d’autres informations
• Pour Wyden et d’autres, lorsque l’État fédéral et la police obtiennent ce type d’informations sans mandat, cela peut enfreindre le quatrième amendement, qui protège contre les perquisitions et saisies abusives

Les demandes de transparence de Wyden depuis 2021

• Wyden a appris que la Defense Intelligence Agency (DIA) achetait des données de localisation de citoyens américains, et il l’a révélé au début de 2021
• Il a ensuite demandé au département de la Défense les noms d’autres agences militaires achetant les historiques de localisation des personnes, leurs historiques de navigation web et d’autres données personnelles
• Il a obtenu les réponses souhaitées en mars 2021, mais les documents portaient la mention controlled unclassified information (CUI)
• Comme son nom l’indique, la CUI n’est pas une information classifiée, mais elle est généralement soumise à des contrôles d’accès et n’est pas largement diffusée
• Wyden critique ce marquage CUI, qu’il qualifie de « désignation inventée sans fondement juridique », et estime que l’exécutif en abuse pour cacher au public des informations non classifiées
• La CUI a été créée par un décret présidentiel de Barack Obama en 2010

Les options restantes dans la procédure de confirmation

• Le blocage de Wyden ne garantit pas à lui seul une réponse de la NSA
• Il faudrait soit que la NSA satisfasse à la demande de Wyden, soit que le Congrès américain force la confirmation via un vote de procédure
• La demande de Wyden vise à ce que la NSA confirme ou nie l’achat de ces données à un niveau de classification pouvant être rendu public

Lien avec le débat sur le renouvellement de la Section 702 de la FISA

• Cette pression intervient alors que le Congrès américain examine une éventuelle prolongation de la Section 702 de la FISA
• La Section 702 doit expirer à la fin de l’année et prendra fin si elle n’est pas renouvelée
• Cette disposition permet, dans certaines circonstances, aux agences de surveillance gouvernementales d’analyser sans mandat les communications privées des Américains
• Les élus pourraient renouveler cet outil de renseignement controversé, mais de nombreux parlementaires des deux partis réclament des garde-fous supplémentaires
• Un projet de loi de renouvellement comprend plusieurs réformes de la surveillance, dont l’une imposerait un mandat lorsque le gouvernement achète des données personnelles à des courtiers en données
• Ce texte a déjà suscité l’opposition de la White House, et un projet concurrent plus favorable aux agences de renseignement a également été présenté

Autres tentatives d’obtenir des informations

• Wyden n’est pas le seul à s’être heurté à des résistances en cherchant à obtenir davantage d’informations sur les activités de collecte de renseignements à l’intérieur des États-Unis
• L’Electronic Frontier Foundation a déposé des demandes au titre du Freedom of Information Act ainsi que des recours en justice pour obtenir des preuves liées à ce sujet

[GN⁺]

Avis de Hacker News

• Les CUI (informations non classifiées contrôlées), comme leur nom l’indique, ne sont pas des informations classifiées, mais ce sont généralement des informations qui doivent être protégées par des contrôles d’accès et ne pas être largement diffusées.
  Le plus gros problème, c’est que les documents classifiés ont une date obligatoire de déclassification, qui ne peut être repoussée que dans des cas particuliers, tandis que les CUI sont une construction hors du droit, conçue pour rester en dehors du système de classification, et peuvent donc en pratique être maintenues indéfiniment.

  • Ce n’est pas vrai. Les documents classifiés ont une date obligatoire de réexamen en vue de leur déclassification.
    Mais cette date peut être sans cesse repoussée au fil des réexamens, si bien qu’elle peut en pratique être prolongée à l’infini. Les « cas particuliers » dont tu parles correspondent aux situations où l’examinateur estime que l’information doit rester classifiée.
  • L’existence juridique de la classification ne vient pas de la loi. Elle découle, dans le cadre de la Constitution et du principe de séparation des pouvoirs, du pouvoir propre du président de conserver et de divulguer les secrets d’État.
    La marge dont dispose le Congrès pour encadrer ce pouvoir de l’exécutif est limitée.

• Ne suffirait-il pas d’adopter une loi qui qualifie explicitement ce type d’informations collectées et vendues d’informations privées, et interdise de les partager avec qui que ce soit sans mandat ?

  • Ces données sont très probablement collectées et vendues légalement, comme indiqué à la page 573 des conditions d’utilisation acceptées par les utilisateurs.
  • Si la NSA ne respecte pas la loi, à quoi servirait une telle loi ?
  • Il faudrait sans doute modifier la Constitution pour renforcer le quatrième amendement. Une sorte de 4A++.
  • Le rôle même des agences de renseignement est d’enfreindre la loi.

• L’issue la plus probable, c’est simplement que la procédure soit retardée de quelques semaines jusqu’à ce que le Congrès passe en force.
  Cela dit, cela jette un peu de lumière sur cette mascarade. Comme je ne suis pas citoyen américain, ça ne change pas grand-chose pour moi personnellement, mais la solution la plus simple et la meilleure serait d’empêcher les entreprises privées de dévorer et de revendre sans retenue des données privées. Sauf qu’il faudrait pour cela s’opposer aux entreprises, donc ça n’arrivera évidemment pas.

  • Je n’ai aucune sympathie pour la NSA. En particulier, l’existence de vastes agences secrètes est une moquerie de la démocratie.
    Dans le même temps, faire fonctionner le gouvernement en laissant le Congrès bloquer et entraver en permanence les agences est aussi une moquerie de la démocratie. Plutôt que de mettre fin aux mauvais comportements, cela normalise une guerre permanente entre le Congrès et les agences, et finit au contraire par rendre ces agences plus autonomes vis-à-vis du Congrès. Le « syndrome du Washington Monument » n’est qu’une partie de cette situation problématique [1].
    [1] https://en.wikipedia.org/wiki/Washington_Monument_syndrome
  • Dire que « comme je ne suis pas citoyen américain, ça ne change pas grand-chose » est presque l’inverse de la réalité.
    La NSA existe pour surveiller les non-citoyens, donc tu es au contraire davantage concerné.
  • Quant à l’idée d’un « retard de quelques semaines avant que le Congrès passe en force », il faudrait en parler aux hauts responsables militaires dont la nomination est bloquée depuis des mois par le sénateur Tuberville.
  • Ce genre de pratique est probablement très courant dans beaucoup d’autres gouvernements.
  • Nous pourrions tous essayer de fournir moins de données.
    Gestion des cookies, VPN, randomisation des métadonnées, bloqueurs de publicité, non-utilisation de Facebook, OS sécurisé, Tor, etc. : tout cela peut leur compliquer la vie. À ceux qui pensent que c’est peine perdue, c’est précisément ce qu’ils veulent vous faire croire.

• Après cette affaire et des choses comme « les installations militaires cartographiées grâce aux données Strava », il est vraiment étonnant que cela n’ait pas débouché aux États-Unis sur une discussion sérieuse sur la vie privée en général.
  Pourquoi le gouvernement autorise-t-il l’existence de telles bases de données commerciales ?

  • La raison pour laquelle le gouvernement autorise la surveillance commerciale, c’est qu’il peut acheter ces données.
    Si le gouvernement devait collecter lui-même ce type de données, il se heurterait à toutes sortes d’obstacles juridiques ; mais si des entreprises font le sale boulot à sa place, il n’a pas à s’en donner la peine.

• Wyden est excellent, et je soutiens globalement l’objectif ici. Mais le raisonnement détaillé est difficile à accepter.
  L’argument présenté dans l’article est que le gouvernement commet une perquisition abusive en achetant des données personnelles, ce qui constituerait une violation du quatrième amendement. Mais existe-t-il une meilleure définition de « raisonnable » que « disponible légalement à l’achat sur le marché libre » ? Si l’on ne veut pas que ce genre de choses soit vendu, il faut adopter une loi pour les retirer du marché.
  En l’absence d’une telle loi, honnêtement, la NSA me semble faire partie des acheteurs les moins menaçants de ces données pourries.

  • L’esprit du quatrième amendement peut, et devrait sans doute, s’appliquer aussi aux entreprises et aux grands courtiers en données.
    Toute la difficulté est de savoir comment l’appliquer concrètement. Des acteurs privés sont autorisés à créer à volonté des données qui correspondent aux documents ou aux biens non sécurisés de leurs clients, à prétendre qu’il s’agit de leur propriété, puis à les redistribuer.
    Si cela se produisait avec des biens physiques plutôt qu’avec des données numériques, personne ne serait dans le flou quant à sa légalité.

• Si la NSA doit acheter des données de localisation, cela veut-il dire qu’elle ne peut pas les obtenir directement auprès des opérateurs mobiles ?

  • Elle peut les obtenir avec un mandat. En les achetant, elle peut contourner entièrement la procédure régulière.
  • Il semble qu’elle achète aussi des données aux opérateurs mobiles.

• J’aimerais que Wyden devienne président.

  • Cet homme s’est trompé sur presque tous les sujets, à l’exception de la surveillance gouvernementale et de l’espionnage.
    Par exemple, il a soutenu l’Israel Anti-Boycott Act (S.720), qui criminalise les campagnes de boycott et de désinvestissement menées par des citoyens américains contre l’État d’Israël.
  • J’ai sincèrement envie de quitter mon travail demain, de déménager dans l’Oregon et d’aider sa campagne.
  • Malheureusement, il n’y a qu’un seul candidat de plus de 70 ans qui ait réellement une chance.

• C’est une sorte de canari. Le sénateur connaît la réponse, mais il veut qu’elle soit rendue publique.
  Si la réponse était « non », il n’insisterait pas, donc la réponse est manifestement « oui ». Ils achètent massivement des données de citoyens américains, sans mandat.

  • Même si c’est vrai, la mesure d’atténuation consiste à interdire la vente de ces données.
    Mieux encore, il faudrait interdire leur collecte tout court.
    Tout cela n’est que du théâtre. La réponse est évidente et la loi serait facile à écrire. Il suffirait d’interdire dès le départ les pratiques de collecte de données. Mais ils ne le feront pas. En réalité, ils veulent que ces entreprises collectent et agrègent nos données. Or, comme les défenseurs de la vie privée ont récemment commencé à exiger l’interdiction de ces pratiques, des politiciens corrompus montent un théâtre de la vie privée pour détourner l’attention du public.
    D’où cette « mesure qui ne change rien » visant la NSA.
  • Non. Ce sénateur ne connaît pas la réponse.
    S’il avait déjà signé les accords appropriés qui donnent accès aux SCI ou à d’autres informations classifiées, il ne pourrait pas poser ce genre de question. S’il la posait tout en connaissant déjà la réponse, cela constituerait une divulgation implicite.
    D’autres sénateurs ayant signé ce type de documents l’ont confirmé. Si la communauté du renseignement estime que vous lui avez causé du tort, même si vous ne pouvez pas être poursuivi pour des raisons politiques, vous ne serez plus invité à ce genre de réunions.