ANNEXE I

Le 7 juillet 2016

Madame la Commissaire,

Au nom des États-Unis, j'ai le plaisir de vous transmettre, par la présente, un ensemble de textes relevant du «bouclier de protection des données UE–États-Unis», qui sont le fruit de deux années de discussions productives entre nos équipes. Cet ensemble de textes, au même titre que d'autres documents auxquels la Commission a accès auprès de sources publiques, constituent une base très solide pour une nouvelle décision de la Commission européenne relative à l'adéquation du niveau de protection (1).

Nous pouvons être fiers, de part et d'autre, des améliorations qui ont été apportées au cadre. Le bouclier de protection des données repose sur des principes qui font l'objet d'un fort consensus des deux côtés de l'Atlantique, et nous avons renforcé leur application. Grâce au travail que nous avons accompli ensemble, nous avons réellement l'occasion d'améliorer la protection de la vie privée à travers le monde.

Le paquet «bouclier de protection des données» comprend les principes du bouclier de protection des données, précédés d'une lettre, jointe en annexe 1, de la direction du commerce international du ministère du commerce des États-Unis, qui administre le programme, exposant les engagements pris par notre ministère pour assurer un fonctionnement efficace du bouclier de protection. Le paquet comporte également l'annexe 2, qui renferme d'autres engagements du ministère du commerce des États-Unis concernant le nouveau modèle arbitral prévu par le bouclier de protection des données.

J'ai demandé à mes collaborateurs de consacrer toutes les ressources nécessaires à la mise en œuvre intégrale et rapide du cadre du bouclier de protection des données, et de veiller à ce que les engagements figurant aux annexes 1 et 2 soient mis en pratique sans tarder.

Le paquet «bouclier de protection des données» comporte en outre des documents d'autres agences des États-Unis, à savoir:

Soyez assurée que les États-Unis prennent ces engagements au sérieux.

Dans les trente jours suivant l'approbation définitive de la présomption d'adéquation du niveau de protection, l'intégralité du paquet «bouclier de protection des données» sera transmise au Registre fédéral (Federal Register) pour publication.

Nous nous réjouissons à la perspective de coopérer avec vous dans la mise en œuvre du bouclier de protection des données et dans la phase suivante de ce processus que nous entamons conjointement.

(1)  Pour autant que la décision de la Commission relative à l'adéquation de la protection assurée par le bouclier de protection des données UE-États-Unis s'applique à l'Islande, au Liechtenstein et à la Norvège, le paquet «bouclier de protection des données» couvrira non seulement l'Union européenne, mais également ces trois pays.

ANNEXE II

PRINCIPES DU CADRE «BOUCLIER DE PROTECTION DES DONNÉES UE-ÉTATS-UNIS» PUBLIÉS PAR LE MINISTÈRE AMÉRICAIN DU COMMERCE

I.   VUE D'ENSEMBLE

II.   PRINCIPES

1.   Notification

2.   Choix

3.   Responsabilité en cas de tranfert ultérieur

4.   Sécurité

5.   Intégrité des données et limitation des finalités

6.   Accès

7.   Voies de recours, application et responsabilité

III.   PRINCIPES COMPLÉMENTAIRES

1.   Données sensibles

2.   Exceptions journalistiques

3.   Responsabilité secondaire

4.   Mesures de diligence raisonnable et réalisation d'audits

5.   Rôle des autorités chargées de la protection des données

6.   Autocertification

7.   Vérification

8.   Accès

a)   Le principe d'accès dans la pratique

b)   Charge de travail ou dépense occasionnée par l'accès

c)   Informations commerciales confidentielles

d)   Organisation de bases de données

e)   Circonstances permettant de restreindre l'accès

f)   Droit d'obtenir une confirmation de possession d'informations et possibilité de rendre l'accès payant pour couvrir les frais

g)   Demandes d'accès répétitives ou vexatoires

Une organisation peut fixer une limite acceptable au nombre de demandes d'accès déposées au cours d'une période donnée. Lorsqu'elle fixe ces limites, l'organisation doit tenir compte de facteurs tels que la fréquence de mise à jour des informations, le but de l'utilisation des données et la nature des informations.

h)   Demandes d'accès frauduleuses

L'organisation n'est pas tenue de fournir l'accès si elle ne reçoit pas les informations nécessaires à l'identification du demandeur.

i)   Délai de réponse

Les organisations doivent répondre aux demandes d'accès dans un délai raisonnable, de façon raisonnable et sous une forme aisément compréhensible pour la personne concernée. Une organisation qui fournit des informations aux personnes concernées à intervalles réguliers peut répondre à une demande d'accès individuelle dans le cadre de sa communication régulière si cela n'entraîne pas de délai excessif.

9.   Données relatives aux ressources humaines

a)   Couverture par le bouclier de protection des données

b)   Application des principes «Notification» et «Choix»

c)   Application du principe d'accès

Le principe complémentaire «Accès» fournit des indications sur les raisons qui peuvent justifier le refus ou la restriction de l'accès demandé dans le contexte des ressources humaines. Dans l'Union européenne, les employeurs doivent naturellement respecter les réglementations locales et veiller à ce que les salariés de l'Union européenne aient accès à ces informations, conformément à la loi de leur pays d'origine, quel que soit le lieu de traitement et de conservation des données. Dans le contexte du bouclier de protection des données, une organisation traitant de telles données aux États-Unis doit coopérer en fournissant cet accès, soit directement, soit par le biais de l'employeur de l'Union européenne.

d)   Exécution

e)   Application du principe de responsabilité en cas de transfert ultérieur

Pour les besoins opérationnels occasionnels liés à l'emploi d'une organisation adhérant au bouclier de protection des données et concernant des données à caractère personnel transférées au titre du bouclier de protection des données, comme la réservation d'un vol, d'une chambre d'hôtel ou la couverture d'assurance, les données à caractère personnel d'un petit nombre d'employés peuvent être transférées aux responsables du traitement sans appliquer le principe «Accès» et sans conclure de contrat avec le responsable du traitement de la partie tierce (comme l'exige normalement le principe «Responsabilité en cas de transfert ultérieur»), pour autant que l'organisation adhérant au bouclier de protection des données ait respecté les principes «Notification» et «Choix».

10.   Contrats obligatoires pour les transferts ultérieurs

a)   Contrats de traitement de données

b)   Transferts au sein d'un groupe contrôlé d'entreprises ou d'entités

Lorsque des informations à caractère personnel sont transférées entre deux responsables du traitement au sein d'un groupe contrôlé d'entreprises ou d'entités, un contrat n'est pas toujours requis en vertu du principe «Responsabilité en cas de transfert ultérieur». Les responsables d'un traitement au sein d'un groupe contrôlé d'entreprises ou d'entités peuvent fonder ces transferts sur d'autres instruments, comme les règles d'entreprise contraignantes de l'Union européenne ou d'autres instruments intragroupe (par ex. les programmes de conformité et de contrôle), garantissant ainsi la continuité de la protection des informations à caractère personnel conformément aux principes. Dans le cas de tels transferts, l'organisation adhérant au bouclier de protection des données reste responsable du respect des principes.

c)   Transferts entre responsables du traitement

Pour les transferts entre responsables du traitement, le responsable du traitement qui reçoit les données ne doit pas nécessairement être une organisation adhérant au bouclier de protection des données ni posséder d'instance de recours indépendante. L'organisation adhérant au bouclier de protection des données doit conclure, avec le responsable du traitement tiers qui reçoit les données, un contrat prévoyant un niveau de protection égal à celui requis dans le cadre du bouclier de protection des données, à ceci près que le responsable du traitement tiers ne doit pas être une organisation adhérant au bouclier de protection des données ni posséder d'instance de recours indépendante pour autant qu'il mette à disposition un mécanisme équivalent.

11.   Résolution des litiges et application des décisions

a)   Le principe «Voies de recours, application et responsabilité» fixe les exigences relatives à l'application du bouclier de protection des données. Le principe complémentaire «Vérification» explique la manière de satisfaire les exigences énoncées au point a) ii). Le présent principe complémentaire traite des points a) i) et a) iii), qui nécessitent tous deux des mécanismes de recours indépendants. Ces mécanismes peuvent prendre différentes formes, mais doivent répondre aux exigences énoncées au titre du principe «Voies de recours, application et responsabilité». Les organisations satisfont à ces exigences: i) en participant à des programmes du secteur privé en matière de protection de la vie privée intégrant dans leurs règles les principes du bouclier de protection des données et comportant des mécanismes de mise en œuvre efficaces, de même nature que ceux qui sont décrits dans le principe «Voies de recours, application et responsabilité»; ii) en se conformant aux instructions des organes légaux ou statutaires de surveillance qui assurent le traitement des plaintes de particuliers et la résolution des litiges; iii) en s'engageant à coopérer avec les autorités chargées de la protection des données au sein de l'Union européenne ou avec leurs représentants autorisés.

b)   La présente liste a valeur indicative et n'est pas restrictive. Le secteur privé peut concevoir d'autres mécanismes de mise en œuvre pour autant que ceux-ci répondent aux exigences du principe «Voies de recours, application et responsabilité» ainsi qu'aux principes complémentaires. On notera que les exigences du principe «Voies de recours, application et responsabilité» s'ajoutent à l'exigence selon laquelle les mesures d'autoréglementation doivent être mises en application conformément à la section 5 de la Federal Trade Commission Act, qui interdit les pratiques déloyales ou frauduleuses, ou à toute autre loi du même type.

c)   Afin de garantir le respect de leurs engagements au titre du bouclier de protection des données et de faciliter l'administration du programme, les organisations ainsi que leurs instances de recours indépendantes doivent fournir des informations relatives au bouclier de protection des données à la demande du ministère. En outre, les organisations doivent répondre sans retard aux plaintes relatives au respect des principes formulées par les APD par l'intermédiaire du ministère. La réponse doit déterminer si la plainte est fondée et, le cas échéant, comment l'organisation compte corriger le problème. Le ministère protègera la confidentialité des informations qu'elle reçoit conformément à la législation américaine.

d)   Instances de recours

e)   Recours et sanctions

Tout recours auprès de l'organisme d'instruction des litiges devrait aboutir à l'annulation ou à la correction, dans la mesure du possible, des effets du non-respect des principes par l'organisation, au respect des principes lors des traitements futurs par cette même organisation et, le cas échéant, à l'arrêt du traitement des données personnelles de la personne qui a déposé la plainte. Les sanctions doivent être suffisamment sévères pour garantir le respect des principes de la part de l'organisation. Une série de sanctions ayant des degrés de sévérité différents permettra aux instances de résolution des litiges de répondre de manière adéquate à des niveaux différents de non-respect. Les sanctions doivent inclure à la fois la publication des violations et l'obligation d'effacer les données dans certaines circonstances (6). D'autres sanctions pourraient être la suspension ou le retrait de l'agrément, l'indemnisation des pertes subies par les particuliers en raison du non-respect et des injonctions. Les organismes de résolution des litiges et d'autoréglementation du secteur privé doivent signaler aux tribunaux ou aux pouvoirs publics compétents, selon le cas, les organisations adhérant aux principes du bouclier de protection des données qui ne respectent pas leurs décisions et en informer le ministère.

f)   Action de la FTC

La FTC s'est engagée à examiner en priorité les cas de non-conformité alléguée par rapport aux principes, soumis par: i) les organisations d'autoréglementation en matière de protection de la vie privée et les autres organismes indépendants d'instruction des litiges; ii) les États membres de l'Union européenne; et iii) le ministère, afin de déterminer s'il y a eu une violation de la section 5 de la Federal Trade Commission Act, qui interdit les actions ou pratiques déloyales ou frauduleuses dans le commerce. Si la FTC conclut qu'il y a lieu de croire que la section 5 a été violée, elle peut résoudre l'affaire en obtenant une injonction administrative de cessation interdisant les pratiques contestées ou en déposant une plainte auprès d'une cour de district fédérale qui, si la plainte aboutit, peut rendre un arrêt dans le même sens. Ces infractions incluent les déclarations mensongères d'adhésion aux principes du bouclier de protection des données ou de participation au bouclier de protection des données par des organisations qui ont été supprimées de la liste du bouclier de protection des données ou qui ne se sont jamais autocertifiées auprès du ministère. La FTC peut requérir des sanctions civiles en cas de violation d'une injonction administrative de cessation et poursuivre le contrevenant pour outrage au tribunal de nature civile ou criminelle s'il viole l'arrêt d'une cour fédérale. La FTC informe le ministère de toute action de ce type qu'elle entreprend. Le ministère encourage les autres organismes publics à lui communiquer l'issue de toutes les affaires analogues ou d'autres décisions déterminant l'adhésion aux principes du bouclier de protection des données.

g)   Non-respect persistant

12.   Choix — Moment de l'exercice du droit de refus (ou de choix)

13.   Informations sur les voyages

14.   Produits pharmaceutiques et médicaux

a)   Application de la législation des États membres de l'Union européenne ou des principes du bouclier de protection des données

La législation des États membres de l'Union européenne s'applique à la collecte des données personnelles et à tout traitement intervenant avant le transfert aux États-Unis. Les principes du bouclier de protection des données s'appliquent aux données une fois qu'elles ont été transférées aux États-Unis. Les données utilisées pour la recherche pharmaceutique et à d'autres fins devraient être rendues anonymes le cas échéant.

b)   Recherche scientifique future

c)   Retrait d'un essai clinique

Les participants peuvent à tout moment décider de se retirer d'un essai clinique ou être priés de le faire. Toutes les données à caractère personnel recueillies avant le retrait peuvent encore être traitées avec les autres données recueillies dans le cadre de l'essai clinique, à condition que cela ait été précisé au participant dans la notification au moment où il a donné son accord.

d)   Transferts à des fins de réglementation et de contrôle

Les sociétés d'appareils pharmaceutiques et médicaux ont le droit de fournir des données personnelles extraites des essais cliniques réalisés dans l'Union européenne aux autorités des États-Unis à des fins de réglementation et de contrôle. Ce type de transfert vers des parties autres que les autorités de réglementation, telles que des sites de sociétés et d'autres chercheurs, est autorisé en conformité avec les principes «Notification» et «Choix».

e)   Études «masquées»

f)   Contrôle de la sécurité et de l'efficacité du produit

Les sociétés d'appareils pharmaceutiques ou médicaux ne doivent pas appliquer les principes du bouclier de protection des données «Notification», «Choix», «Responsabilité en cas de transfert ultérieur» et «Accès» à leurs activités de contrôle de la sécurité et de l'efficacité du produit, y compris le compte rendu d'incidents et le suivi des malades ou sujets recourant à certains médicaments ou dispositifs médicaux, dans la mesure où le respect de ces principes entre en conflit avec les exigences réglementaires. Cela est vrai pour ce qui concerne, par exemple, les rapports effectués tant par les prestataires de soins de santé aux sociétés d'appareils pharmaceutiques et médicaux que par les sociétés d'appareils pharmaceutiques et médicaux à des agences gouvernementales telles que la Food and Drug Administration (organisme de surveillance des aliments et des médicaments).

g)   Données codées

Les données de la recherche sont toujours codées de manière unique à leur source par le chercheur principal, pour ne pas révéler l'identité des intéressés. Les sociétés pharmaceutiques qui commanditent ce type de recherche ne reçoivent pas la clé de ce code. Le code de la clé unique est détenu par le seul chercheur, pour qu'il puisse identifier la personne concernée dans des circonstances spéciales (par exemple, si un suivi médical est requis). Le transfert de l'Union européenne aux États-Unis de données personnelles ainsi codées ne représente pas un transfert de données à caractère personnel soumis aux principes du bouclier de protection des données.

15.   Informations des registres publics et informations accessibles au public

16.   Demandes d'accès par les autorités publiques

(1)  Pour autant que la décision de la Commission relative à l'adéquation de la protection assurée par le bouclier de protection des données UE-États-Unis s'applique à l'Islande, au Liechtenstein et à la Norvège, le paquet «bouclier de protection des données» couvrira non seulement l'Union européenne, mais également ces trois pays. Dès lors, les références à l'Union européenne et à ses États membres doivent s'entendre comme incluant également l'Islande, le Liechtenstein et la Norvège.

(2)  Selon les circonstances, les finalités de traitement compatibles peuvent par exemple comprendre celles qui ont raisonnablement pour objectif les relations avec la clientèle, le respect de la réglementation et les considérations juridiques, l'audit, la sécurité et la prévention de la fraude, la préservation ou la défense des droits de l'organisation reconnus par la loi, ou d'autres finalités conformes aux attentes d'une personne raisonnable compte tenu du contexte dans lequel s'inscrit la collecte.

(3)  Dans ce contexte, si, compte tenu des moyens d'identification raisonnablement susceptibles d'être utilisés (en prenant entre autres en considération les frais et le temps nécessaires pour identifier la personne concernée ainsi que la technologie disponible au moment du traitement) et de la forme sous laquelle les données sont conservées, une personne concernée peut raisonnablement être identifiée par l'organisation, ou un tiers si celui-ci a accès aux données, on peut considérer que la personne concernée est «identifiable».

(4)  Les organisations devraient répondre aux questions de personnes concernées portant sur les finalités du traitement, les catégories de données à caractère personnel sur lesquelles il porte et les destinataires ou les catégories de destinataires auxquels les données à caractère personnel sont communiquées.

(5)  Section I.5 des principes.

(6)  Les circonstances dans lesquelles ces sanctions doivent être appliquées sont laissées à l'appréciation des organismes d'instruction des litiges. Lorsque l'on décide s'il convient d'exiger l'effacement des données, il faut notamment prendre en compte le caractère sensible des informations concernées et déterminer si elles ont été collectées, employées ou divulguées en violation manifeste des principes du bouclier de protection des données.

ANNEXE III

Le 7 juillet 2016

Madame la Commissaire,

Je suis heureux que nous soyons parvenus à un accord sur le bouclier de protection des données UE–États-Unis qui inclura un mécanisme de médiation par lequel les autorités de l'Union européenne pourront soumettre des demandes au nom de citoyens de l'Union concernant les pratiques de renseignement d'origine électromagnétique des États-Unis.

Le 17 janvier 2014, le président Barack Obama a annoncé d'importantes réformes concernant le renseignement décrites dans la directive présidentielle no 28 (PPD-28). En vertu de la PPD-28, j'ai désigné la sous-secrétaire d'État Catherine A. Novelli, qui est également coordinatrice principale de la diplomatie internationale en matière de technologie de l'information, comme point de contact des États-Unis vis-à-vis des gouvernements étrangers qui souhaitent exprimer leurs préoccupations concernant les activités de renseignement d'origine électromagnétique des États-Unis. Sur cette base, j'ai mis en place un mécanisme de médiation dans le cadre du bouclier de protection des données conformément aux conditions indiquées à l'annexe A, ayant fait l'objet d'une mise à jour depuis ma lettre du 22 février 2016. J'ai chargé la sous-secrétaire Catherine A. Novelli d'assurer la fonction de médiateur. La sous-secrétaire Catherine A. Novelli est indépendante des services de renseignement américains et me rend compte directement.

J'ai donné consigne à mon équipe de consacrer les ressources nécessaires à la mise en œuvre de ce nouveau mécanisme de médiation, et je suis convaincu qu'il constituera un moyen efficace de répondre aux préoccupations des citoyens de l'Union européenne.

ANNEXE IV

Le 7 juillet 2016

PAR COURRIER ÉLECTRONIQUE

Madame la Commissaire,

La commission fédérale du commerce des États-Unis (Federal Trade Commission, FTC) apprécie l'occasion qui lui est donnée de décrire la manière dont elle applique le nouveau cadre du bouclier de protection des données UE–États-Unis (ci-après le «cadre du bouclier de protection des données» ou le «cadre»). Nous pensons que ce cadre jouera un rôle de premier plan pour faciliter des transactions commerciales respectueuses de la vie privée dans un monde de plus en plus interconnecté. Il permettra aux entreprises de réaliser des transactions importantes au sein de l'économie mondiale tout en garantissant aux citoyens de l'Union européenne des mesures de protection considérables de leur vie privée. La FTC s'est engagée depuis longtemps à protéger la vie privée partout dans le monde et fera de l'application du nouveau cadre l'une de ses principales priorités. Nous expliquerons ci-dessous comment, de manière générale, la FTC a fait par le passé une application stricte des règles de respect de la vie privée, et notamment du programme initial de la sphère de sécurité (SAFE Harbour); nous décrirons ensuite l'approche adoptée par la FTC pour la mise en application du nouveau cadre.

La FTC a manifesté publiquement son engagement à appliquer le programme de la sphère de sécurité pour la première fois en 2000. Le président de la FTC de l'époque, Robert Pitofsky, avait alors envoyé à la Commission européenne une lettre décrivant l'engagement de la FTC à faire respecter de manière stricte les principes de la sphère de sécurité relatifs à la protection de la vie privée. La FTC a continué de respecter cet engagement moyennant près de 40 actions de mise en application, de nombreuses enquêtes complémentaires et une coopération avec différentes autorités chargées de la protection des données (ADP) de l'Union européenne sur des questions d'intérêt mutuel.

Après que la Commission européenne, en novembre 2013, a exprimé des inquiétudes concernant l'administration et la mise en application du programme de la sphère de sécurité, la FTC et le ministère américain du commerce ont entamé des consultations avec des représentants de la Commission européenne afin d'étudier les moyens de renforcer ce programme. Le 6 octobre 2015, tandis que ces consultations se poursuivaient, la Cour de justice européenne a rendu un arrêt dans l'affaire Schrems invalidant, entre autres, la décision de la Commission européenne constatant le niveau de protection adéquat du programme de la sphère de sécurité. À la suite de cette décision, nous avons continué de collaborer étroitement avec le ministère du commerce et avec la Commission européenne en vue de renforcer les mesures de protection de la vie privée des particuliers de l'Union européenne. Le cadre du bouclier de protection des données est le résultat de ces consultations. Comme pour le programme de la sphère de sécurité, la FTC s'engage aujourd'hui à faire respecter le nouveau cadre de manière stricte. La présente lettre consacre cet engagement.

Nous affirmons notamment notre engagement dans quatre domaines-clés: 1) la hiérarchisation et l'instruction des dossiers soumis; 2) la lutte contre les déclarations mensongères ou frauduleuses d'adhésion au bouclier de protection des données; 3) la poursuite du contrôle des ordonnances; et 4) le renforcement de l'engagement et de la coopération en matière de mise en application avec les ADP de l'Union européenne. Nous fournirons ci-dessous des informations détaillées concernant chacun de ces engagements et replacerons dans son contexte le rôle de la FTC en matière de protection de la vie privée des consommateurs et d'application de la sphère de sécurité; nous décrirons également le paysage général de la protection de la vie privée aux États-Unis (1).

I.   CONTEXTE

A.   Travaux de la FTC concernant le respect de la vie privée et l'élaboration de politiques en la matière

La FTC possède de larges pouvoirs civils de mise en application visant à promouvoir la protection des consommateurs et la concurrence dans la sphère commerciale. Dans le cadre de son mandat de protection des consommateurs, la FTC veille à l'application d'un large éventail de lois afin de protéger la confidentialité et la sécurité des données des consommateurs. La législation primaire mise en application par la FTC, la loi portant établissement de la commission fédérale du commerce (FTC Act), interdit les actes ou pratiques «déloyaux» et «frauduleux» dans le domaine du commerce (2).Une déclaration, omission ou pratique est frauduleuse si elle est concrète et susceptible d'induire en erreur des consommateurs agissant de manière raisonnable compte tenu des circonstances (3).Un acte ou une pratique sont déloyaux s'ils entraînent ou sont susceptibles d'entraîner un préjudice important que les consommateurs ne sont pas raisonnablement en mesure d'éviter ou qui n'est pas compensé par des avantages pour les consommateurs ou la concurrence (4).La FTC applique également une législation ciblée qui vise à protéger les informations en matière de santé, de crédit et d'autres aspects financiers, ainsi que les informations en ligne concernant les enfants; elle a publié des réglementations mettant en œuvre chacun de ces actes.

Au titre de la loi qui l'établit, le mandat de la FTC concerne le domaine du commerce. La FTC n'est pas compétente pour faire exécuter la législation pénale ni en ce qui concerne les questions de sécurité nationale. La FTC n'est pas non plus habilitée à se pencher sur la plupart des autres mesures prises par les pouvoirs publics. Il existe par ailleurs des exceptions à la compétence de la FTC en matière de pratiques commerciales, notamment en ce qui concerne les banques, les compagnies aériennes, l'assurance et les activités habituelles des fournisseurs de services de télécommunications. La plupart des organisations sans but lucratif, ne sont pas de son ressort, mais elle peut en revanche connaître des fausses organisations caritatives ou autres organisations sans but lucratif dont l'activité vise en fait la réalisation d'un profit. La FTC est également compétente pour contrôler les organisations sans but lucratif qui travaillent pour le bénéfice de leurs membres poursuivant un but lucratif, notamment en assurant des avantages économiques importants à ces membres (5).Dans certains cas, les compétences de la FTC recoupent celles d'autres agences chargées de l'application des lois.

Nous avons établi des relations de travail solides avec les autorités fédérales et les autorités des États, et nous collaborons étroitement avec ces autorités pour coordonner des enquêtes ou déférer des dossiers, le cas échéant.

L'application de la législation est la pierre angulaire de l'approche de protection de la vie privée adoptée par la FTC. À ce jour, la FTC a intenté plus de 500 actions visant à protéger la confidentialité et la sécurité des informations des consommateurs. Ces dossiers couvrent aussi bien des informations en ligne que hors ligne et incluent des mesures de mise en application visant des petites comme des grandes entreprises qui, selon la FTC, n'ont pas mis correctement à l'écart certaines données sensibles à propos de consommateurs, n'ont pas sécurisé les informations à caractère personnel des consommateurs, ont suivi des consommateurs en ligne de manière frauduleuse, envoyé des courriers électroniques non désirés (spam) aux consommateurs, installé des logiciels espions ou malveillants sur les ordinateurs de consommateurs, enfreint les consignes «Do Not Call» (ne pas appeler) ou d'autres règles en matière de télémarketing et collecté et partagé de manière inappropriée des informations relatives aux consommateurs sur des appareils mobiles. Les activités de mise en application de la FTC, dans le monde physique comme dans le monde numérique, envoient un message important aux entreprises à propos de la nécessité de protéger la vie privée des consommateurs.

La FTC a également mené de nombreuses initiatives stratégiques qui visaient à renforcer la protection de la vie privée des consommateurs et qui guident son action de mise en application des lois. La FTC a organisé des ateliers et publié des rapports recommandant de bonnes pratiques en vue d'améliorer le respect de la vie privée dans l'écosystème mobile, de renforcer la transparence du secteur des sociétés de courtage de données, d'exploiter au maximum les avantages des mégadonnées tout en en atténuant les risques, en particulier pour les consommateurs à faibles revenus et négligés par les entreprises, et de mettre en exergue les implications pour la vie privée et la sécurité de la reconnaissance faciale et de l'internet des objets, entre autres.

La FTC mène également des initiatives de sensibilisation des consommateurs et des entreprises afin de renforcer l'impact de ces initiatives d'application des lois et d'élaboration de politiques. La FTC a utilisé différents outils (publications, ressources en ligne, ateliers et médias sociaux) afin de fournir des documents de sensibilisation sur un large éventail de sujets, notamment les applications mobiles, la vie privée des enfants et la sécurité des données. Plus récemment, la FTC a lancé son initiative «Start With Security» («Commençons par la sécurité»), qui présente aux entreprises de nouvelles lignes directrices fondées sur les enseignements tirés des dossiers de l'agence en matière de sécurité des données, ainsi qu'une série d'ateliers à travers le pays. Par ailleurs, la FTC est depuis longtemps à la pointe des initiatives visant à sensibiliser les consommateurs aux principes de base de la sécurité informatique. L'année dernière, notre site «OnGuard Online» et son pendant en espagnol «Alerta en Linea» ont été consultés plus de cinq millions de fois.

B.   Mesures de protection juridiques aux États-Unis bénéficiant aux consommateurs de l'Union européenne

Le bouclier de protection des données s'inscrira dans le contexte plus large des mesures adoptées aux États-Unis qui protègent aussi les consommateurs de l'Union européenne de différentes façons.

L'interdiction des actes et pratiques déloyaux ou frauduleux instaurée par la FTC Act ne se limite pas à protéger les consommateurs américains contre les entreprises américaines, étant donné qu'elle couvre également les pratiques qui: 1) entraînent ou sont susceptibles d'entraîner des préjudices raisonnablement prévisibles aux États-Unis; ou 2) impliquent un comportement concret aux États-Unis. Pour protéger les consommateurs étrangers, la FTC peut, par ailleurs, user de toutes les mesures de réparation, y compris la restitution, auxquelles il est possible de recourir pour protéger les consommateurs américains.

Il est clair que les activités de mise en application des lois de la FTC profitent aux consommateurs étrangers comme aux consommateurs américains. Ainsi, nos actions visant à faire respecter la section 5 de la FTC Act ont protégé la vie privée tant des consommateurs américains que des consommateurs étrangers. Dans une action intentée contre un courtier en informations, Accusearch, la FTC a avancé l'argument selon lequel la vente par cette société de registres téléphoniques confidentiels à des tiers sans en informer les consommateurs ni obtenir leur consentement constituait une pratique déloyale contraire à la section 5 de la FTC Act. Accusearch vendait des informations relatives à des consommateurs américains et étrangers (6). Le tribunal a prononcé une injonction interdisant à Accusearch, entre autres, de commercialiser ou de vendre les informations à caractère personnel des consommateurs sans leur consentement écrit, sauf dans les cas où il s'agissait d'informations publiques obtenues de façon licite, et a ordonné le versement d'indemnités à hauteur de près de 200 000 USD (7).

La transaction conclue par la FTC avec TRUSTe en est un autre exemple. Cet accord garantit que les consommateurs, y compris les consommateurs de l'Union européenne, peuvent se fier aux déclarations d'une organisation mondiale autoréglementée concernant son examen et sa certification de services en ligne nationaux et étrangers (8). Il importe de noter que notre action contre TRUSTe renforce aussi de façon plus générale le système d'autoréglementation de la protection de la vie privée en garantissant la responsabilité des entités qui jouent un rôle important dans les mécanismes d'autoréglementation, y compris les cadres transfrontaliers de lutte contre le piratage.

La FTC assure aussi le respect d'autres lois ciblées dont la portée en matière de protection s'étend aux consommateurs non américains, comme la loi sur le respect de la vie privée des enfants en ligne (Children's Online Privacy Protection Act, COPPA). Entre autres choses, le COPPA exige des opérateurs de sites internet et de services en ligne destinés aux enfants, ou de sites destinés à un public général qui collectent sciemment des informations à caractère personnel d'enfants âgés de moins de treize ans, qu'ils en informent les parents et qu'ils obtiennent un consentement parental vérifiable. Les sites web et services basés aux États-Unis qui sont soumis à la COPPA et qui collectent des informations à caractère personnel auprès d'enfants étrangers sont tenus de respecter la COPPA. Les sites web et services en ligne basés à l'étranger doivent également respecter la COPPA s'ils ciblent les enfants américains ou s'ils collectent sciemment des informations à caractère personnel auprès d'enfants aux États-Unis. Outre les lois fédérales américaines dont la FTC assure l'application, certaines autres lois de protection des consommateurs et de la vie privée au niveau fédéral et au niveau des États sont susceptibles d'apporter des avantages aux consommateurs de l'Union européenne.

C.   Mise en application de la sphère de sécurité

Dans le cadre de son programme de mise en application des règles en matière de vie privée et de sécurité, la FTC s'est également efforcée de protéger les consommateurs de l'Union européenne en menant des actions destinées à prévenir ou réparer toute violation des principes de la sphère de sécurité. La FTC a lancé 39 actions de mise en application liées à la sphère de sécurité: 36 actions faisaient état de fausses déclarations de certification et trois actions (contre Google, Facebook et Myspace) concernaient une violation alléguée des principes de la sphère de sécurité relatifs à la protection de la vie privée (9). Ces affaires démontrent la possibilité de faire respecter les principes de certification et les conséquences en cas de non-conformité. Des ordonnances par consentement sur vingt ans imposent à Google, Facebook et Myspace de mettre en œuvre des programmes complets de protection de la vie privée qui doivent être raisonnablement conçus pour lutter contre les risques pour la vie privée liés au développement et à la gestion de produits et services nouveaux et existants et pour protéger la vie privée et la confidentialité des informations à caractère personnel. Les programmes complets de protection de la vie privée imposés par ces ordonnances doivent identifier les risques substantiels prévisibles et mettre en place des mesures de contrôle pour lutter contre ces risques. Les entreprises doivent également se soumettre à des évaluations permanentes et indépendantes de leurs programmes de protection de la vie privée, qui doivent être communiquées à la FTC. Les ordonnances interdisent également à ces entreprises de faire de fausses déclarations quant à leurs pratiques en matière de protection de la vie privée et à leur participation à tout programme de protection de la vie privée ou de la sécurité. Cette interdiction s'applique aussi aux actes et pratiques des entreprises dans le nouveau cadre du bouclier de protection des données. La FTC peut assurer l'exécution de ces ordonnances en réclamant des sanctions civiles. De fait, Google a payé une pénalité civile d'un montant record de 22,5 millions d'USD en 2012 à la suite d'allégations selon lesquelles elle avait violé l'ordonnance la concernant. Ces ordonnances de la FTC contribuent donc à protéger plus d'un milliard de consommateurs dans le monde, dont plusieurs centaines de millions en Europe.

Les actions intentées par la FTC se sont aussi centrées sur les déclarations mensongères, frauduleuses ou trompeuses de participation à la sphère de sécurité. La FTC prend ces déclarations au sérieux. Dans l'affaire FTC v. Karnani par exemple, la FTC a intenté en 2011 une action contre un site commercial basé aux États-Unis au motif que cette entreprise faisait croire aux consommateurs britanniques qu'elle était basée au Royaume-Uni, notamment en utilisant des noms de domaine en «.uk», en affichant ses prix en devise britannique et en se référant au système postal britannique (10). Cependant, au moment de recevoir les produits commandés, les consommateurs découvraient qu'ils devaient payer des droits à l'importation imprévus, que les garanties n'étaient pas valables au Royaume-Uni et que des frais étaient demandés pour obtenir un remboursement. La FTC a également conclu que les défendeurs avaient trompé les consommateurs concernant leur participation au programme de la sphère de sécurité. On notera que tous les consommateurs victimes se trouvaient au Royaume-Uni.

Bon nombre de nos autres dossiers de mise en application de la sphère de sécurité portaient sur des organisations qui avaient adhéré à ce programme mais qui n'avaient pas renouvelé leur certification annuelle tout en continuant à se présenter comme participants actuels. Comme indiqué ci-après, la FTC s'engage également à lutter contre les déclarations mensongères de participation au cadre du bouclier de protection des données. Ces activités stratégiques de mise en application des lois viendront s'ajouter aux démarches renforcées du ministère du commerce visant à vérifier le respect des exigences de certification et de recertification du programme, son contrôle de la conformité effective, notamment par l'utilisation de questionnaires adressés aux participants au cadre et ses efforts accrus visant à détecter toute affirmation mensongère d'adhésion au cadre et toute utilisation abusive du label de certification du cadre (11).

II.   HIÉRARCHISATION ET INSTRUCTION DES DOSSIERS SOUMIS

Tout comme nous l'avons fait pour le programme de la sphère de sécurité, la FTC s'engage à donner la priorité aux dossiers soumis par des États membres de l'Union européenne dans le cadre du bouclier de protection des données. Nous donnerons également la priorité aux dossiers concernant la non-conformité aux lignes directrices d'autoréglementation liées au cadre du bouclier de protection des données par les organisations d'autoréglementation en matière de protection de la vie privée et d'autres organes indépendants de résolution des litiges.

Afin de faciliter la saisine par les États membres de l'Union européenne dans le cadre du bouclier de protection des données, la FTC met actuellement en place un processus normalisé de soumission et fournit des indications aux États membres de l'Union européenne quant aux informations les mieux à même d'aider la FTC dans l'instruction des dossiers. Dans le cadre de cette démarche, la FTC va désigner un point de contact en son sein pour les dossiers soumis par des États membres de l'Union européenne. Il est vivement recommandé que l'autorité soumettant un dossier ait procédé à une instruction préliminaire sur la violation alléguée et soit en mesure de coopérer avec la FTC dans l'éventualité d'une enquête.

Après réception d'un dossier soumis par un État membre de l'Union européenne ou par une organisation d'autoréglementation, la FTC peut prendre différentes mesures pour corriger les problèmes soulevés. Nous pouvons, par exemple, examiner les politiques de protection de la vie privée de l'entreprise concernée, obtenir des informations complémentaires directement auprès de l'entreprise ou auprès de tiers, assurer un suivi avec l'entité qui a soumis le dossier, déterminer s'il existe une tendance systématique aux violations ou un nombre important de consommateurs affectés, déterminer si le dossier touche à des aspects relevant des compétences du ministère du commerce, étudier l'utilité éventuelle de mesures de sensibilisation des entreprises et des consommateurs et, le cas échéant, lancer une procédure d'exécution.

La FTC s'engage également à échanger des informations avec les autorités de mise en application qui les ont soumis les dossiers, notamment sur l'état d'avancement des dossiers soumis, dans le respect des lois et restrictions applicables en matière de confidentialité. Dans la mesure du possible au vu du nombre et du type de dossiers soumis, les informations fournies comprendront une évaluation des éléments du dossier, et notamment une description des questions importantes soulevées et des mesures prises pour combattre les infractions à la loi relevant des compétences de la FTC. La FTC fournira aussi un retour d'information à l'autorité qui a soumis le dossier quant aux types de dossiers reçus afin d'accroître l'efficacité des démarches visant à lutter contre les comportements répréhensibles. Si une autorité de mise en application soumettant un dossier souhaite obtenir des informations sur l'état d'avancement des dossiers soumis afin de mener sa propre procédure d'exécution, la FTC répondra en tenant compte du nombre de dossiers en cours d'examen et dans le respect des exigences de confidentialité et autres exigences légales.

La FTC travaillera également en étroite collaboration avec les ADP de l'Union européenne pour apporter une assistance à la mise en application. Selon le cas, cette assistance pourrait inclure un échange d'informations et une aide aux enquêtes conformément à la loi US SAFE WEB, qui autorise la FTC à apporter une assistance aux agences étrangères de mise en application des lois lorsque l'agence étrangère concernée s'efforce de faire respecter des lois interdisant des pratiques essentiellement similaires aux pratiques interdites par les lois dont la FTC assure le respect (12). Dans le cadre de cette assistance, la FTC peut partager des informations obtenues en lien avec une enquête de la FTC, lancer une procédure obligatoire pour le compte de l'ADP de l'Union européenne menant sa propre enquête et recueillir le témoignage oral de témoins ou de défendeurs en lien avec la procédure de mise en application de l'ADP, dans le respect des exigences de la loi US SAFE WEB. La FTC fait régulièrement usage de ce pouvoir pour apporter son assistance aux autorités du monde entier dans des dossiers de protection de la vie privée et des consommateurs (13).

Outre la hiérarchisation des dossiers relatifs au bouclier de protection des données soumis par des États membres de l'Union européenne et par des organisations d'autoréglementation (14), la FTC s'engage à enquêter sur les éventuelles violations du cadre de sa propre initiative le cas échéant en utilisant un éventail d'outils.

Depuis plus d'une décennie, la FTC mène un solide programme d'enquêtes sur les aspects de la protection de la vie privée et de la sécurité impliquant des organisations commerciales. Dans le cadre de ces enquêtes, la FTC vérifie d'office si l'entité concernée a fait des déclarations relatives à la sphère de sécurité. Dans les cas où l'entité a fait des déclarations de ce type et où l'enquête révèle des violations manifestes des principes de la sphère de sécurité relatifs à la protection de la vie privée, la FTC inclut des allégations de violation des principes de la sphère de sécurité dans ses actions de mise en application. Nous poursuivrons notre stratégie proactive au titre du nouveau cadre. À noter que la FTC mène de nombreuses autres enquêtes aboutissant, en définitive, à des actions publiques d'application des lois. De nombreuses enquêtes de la FTC sont closes sans suite parce que ses agents ne décèlent aucune violation manifeste de la loi. Étant donné que les enquêtes de la FTC sont confidentielles (et non accessibles au public), la clôture d'une enquête n'est généralement pas rendue publique.

La FTC a lancé près de 40 actions de mise en application dans le cadre du programme de la sphère de sécurité, ce qui témoigne de l'engagement de l'agence à faire appliquer, de façon proactive, les programmes transfrontaliers de protection de la vie privée. La FTC inscrira les violations potentielles du cadre du bouclier de protection des données au programme des enquêtes qu'elle mène régulièrement en matière de protection de la vie privée et de sécurité.

III.   LUTTE CONTRE LES DÉCLARATIONS MENSONGÈRES OU FRAUDULEUSES D'ADHÉSION AU BOUCLIER DE PROTECTION DES DONNÉES

Comme indiqué ci-dessus, la FTC prendra des mesures contre les entités qui font des déclarations mensongères concernant leur participation au cadre. La FTC examinera en priorité les dossiers soumis par le ministère du commerce concernant les organisations identifiées comme se présentant indûment comme adhérant actuellement au cadre, ou qui utilisent un label de certification du cadre sans autorisation.

Par ailleurs, nous faisons observer que, si une organisation promet, dans sa politique de protection de la vie privée, de respecter les principes du bouclier de protection des données, le fait qu'elle ne soit pas ou plus inscrite auprès du ministère du commerce ne la dispensera pas en principe de l'obligation, contrôlée par la FTC, de respecter ces engagements au titre du cadre.

IV.   SUIVI DES ORDONNANCES

La FTC s'engage également à assurer le suivi des ordonnances d'exécution afin de garantir le respect du cadre du bouclier de protection des données.

Nous exigerons le respect du cadre par différentes injonctions appropriées dans les futures ordonnances relatives au cadre du bouclier de protection des données. Nous interdirons notamment les déclarations trompeuses relatives au cadre et à d'autres programmes de protection de la vie privée lorsque ces déclarations sont à l'origine de l'action sous-jacente de la FTC.

Les actions menées par la FTC pour faire appliquer le programme initial de la sphère de sécurité sont instructives. Dans les 36 dossiers portant sur des déclarations mensongères ou frauduleuses de certification du titre de la sphère de sécurité, chaque ordonnance interdit au défendeur de donner une image fausse de sa participation à la sphère de sécurité ou à tout autre programme de protection de la vie privée ou de sécurité et impose à l'entreprise de mettre des rapports de conformité à la disposition de la FTC. Dans certains dossiers portant sur des violations des principes de la sphère de sécurité relatifs à la protection de la vie privée, les entreprises concernées ont été tenues de mettre en œuvre des programmes complets de protection de la vie privée et de faire évaluer ces programmes par des tiers indépendants tous les deux ans pendant vingt ans. Elles doivent fournir les résultats de ces évaluations à la FTC.

Le non-respect d'ordonnances administratives de la FTC peut entraîner des sanctions civiles allant jusqu'à 16 000 USD par infraction ou 16 000 USD par jour en cas d'infraction persistante (15). Dans le cas de pratiques touchant de nombreux consommateurs, ces sanctions peuvent s'élever à plusieurs millions de dollars. Chaque ordonnance par consentement contient également des dispositions en matière de rapport et de mise en conformité. Les entités soumises à une ordonnance doivent conserver des documents attestant de leur conformité pendant un nombre d'années déterminé. Les ordonnances doivent également être communiquées aux employés chargés d'en assurer le respect.

La FTC contrôle systématiquement le respect des ordonnances relatives à la sphère de sécurité, comme elle le fait pour toutes ses autres ordonnances. La FTC prend au sérieux le respect de ses ordonnances en matière de protection de la vie privée et de sécurité des données, et lance des actions en vue de les faire respecter si nécessaire. Par exemple, comme indiqué ci-dessus, Google a payé une amende civile de 22,5 millions d'USD à la suite d'allégations selon lesquelles elle n'avait pas respecté l'ordonnance de la FTC la concernant. Il importe de signaler que les ordonnances de la FTC continueront de protéger, dans le monde entier, tous les consommateurs ayant des interactions avec une entreprise, et pas uniquement les consommateurs qui ont déposé une plainte.

Enfin, la FTC continuera de tenir une liste en ligne d'entreprises faisant l'objet d'ordonnances liées à l'application du programme de la sphère de sécurité et du nouveau cadre du bouclier de protection des données (16). Par ailleurs, les principes du bouclier de protection des données imposent désormais aux entreprises faisant l'objet d'une ordonnance de la FTC, ou d'une ordonnance judiciaire pour non-conformité aux principes, de rendre publiques toutes les parties des rapports de conformité ou d'évaluation soumis à la FTC qui sont liées au bouclier de protection des données, dans la mesure autorisée par les lois et règles en matière de confidentialité.

V.   ENGAGEMENT AUPRÈS DES ADP DE L'UNION EUROPÉENNE ET COOPÉRATION EN MATIÈRE D'APPLICATION

La FTC a conscience du rôle important joué par les ADP de l'Union européenne dans le respect des principes du cadre et encourage un renforcement des initiatives de consultation et une coopération accrue en matière d'application de la réglementation. Outre les consultations avec les ADP sur des questions propres à chaque dossier qu'elles soumettent, la FTC s'engage à participer à des réunions périodiques avec les représentants désignés du groupe de travail «article 29» afin de discuter de manière générale de la façon d'améliorer la coopération en matière d'application du cadre. La FTC participera également, aux côtés du ministère du commerce, de la Commission européenne et du groupe de travail «article 29», à l'examen annuel du cadre afin de discuter de sa mise en œuvre.

La FTC encourage également le développement d'outils qui amélioreront la coopération en matière de mise en application avec les ADP de l'Union européenne et avec les autres autorités d'application des règles de protection de la vie privée du monde entier. La FTC, avec ses partenaires en matière répressive dans l'Union européenne et dans le monde entier, a notamment lancé l'année dernière un système d'alerte au sein du réseau mondial d'application des lois pour la protection de la vie privée (Global Privacy Enforcement Network, GPEN) afin de partager des informations relatives aux enquêtes et de promouvoir la coordination en matière d'application des lois. L'outil d'alerte du GPEN pourrait s'avérer particulièrement utile dans le cadre du bouclier de protection des données. La FTC et les ADP de l'Union européenne pourraient l'utiliser afin de coordonner leurs actions concernant le cadre et les autres enquêtes en matière de protection de la vie privée, y compris comme point de départ pour le partage d'informations afin d'assurer une protection coordonnée et plus efficace de la vie privée des consommateurs. Nous nous réjouissons de pouvoir poursuivre notre collaboration avec les autorités participantes de l'Union européenne en vue d'un déploiement plus large du système d'alerte du GPEN et de l'élaboration d'autres outils permettant d'améliorer la coopération dans l'application des lois dans les dossiers de protection de la vie privée, notamment ceux impliquant le cadre.

La FTC est heureuse de réaffirmer son engagement à faire appliquer le nouveau cadre du bouclier de protection des données. Nous nous réjouissons également de poursuivre notre engagement auprès de nos collègues de l'Union européenne dans notre travail commun visant à protéger la vie privée des consommateurs.

(1)  Nous fournissons des informations supplémentaires concernant les lois américaines relatives à la protection de la vie privée au niveau fédéral comme au niveau des États à l'annexe A. En outre, une synthèse de nos activités récentes en matière de protection de la vie privée et de sécurité est disponible sur le site internet de la FTC à l'adresse: https://www.ftc.gov/reports/privacy-data-security-update-2015.

(2)  15 U.S.C. § 45(a).

(3)  Voir la déclaration de politique de la FTC en matière de fraude, jointe au dossier Cliffdale Assocs., Inc., 103 FTC 110, 174 (1984), disponible à l'adresse: https://www.ftc.gov/public-statements/1983/10/ftc-policy-statement-deception.

(4)  Voir 15 U.S.C § 45(n); Déclaration de politique de la FTC concernant le caractère déloyal, jointe au dossier Int'l Harvester Co, 104 FTC 949, 1070 (1984), disponible à l'adresse https://www.ftc.gov/public-statements/1980/12/ftc-policy-statement-unfairness.

(5)  Voir California Dental Ass'n v. FTC, 526 U.S. 756 (1999).

(6)  Voir Commissariat à la protection de la vie privée du Canada, plainte au titre de la LPRPDE contre Accusearch, Inc., agissant sous l'appellation Abika.com, https://www.priv.gc.ca/cf-dc/2009/2009_009_0731_e.asp. Le Commissariat à la protection de la vie privée du Canada a déposé un mémoire d'amicus curiae dans la procédure d'appel de l'action lancée par la FTC et mené sa propre enquête, qui a conclu que les pratiques d'Accusearch enfreignaient aussi la législation canadienne.

(7)  Voir FTC v. Accusearch, Inc., No. 06CV015D (D. Wyo. Dec. 20, 2007), aff'd 570 F.3d 1187 (10th Cir. 2009).

(8)  Voir In the Matter of True Ultimate Standards Everywhere, Inc., No C-4512 (FTC 12 mars 2015) (décision et ordonnance), disponible à l'adresse https://www ftc.gov/system/files/documents/cases/150318trust-edo.pdf.

(9)  Voir In the Matter of Google, Inc., No C-4336 (FTC 13 octobre 2011) (décision et ordonnance), disponible à l'adresse https://www ftc.gov/news-events/press-releases/2011/03/ftc-charges-deceptive-privacy-practices-googles-rollout-its-buzz; In the Matter of Facebook, Inc., No C-4365 (F.T.C. 27 juillet 2012) (décision et ordonnance), disponible à l'adresse https://www ftc.gov/news-events/press-releases/2012/08/ftc-approves-final-settlement-facebook; In the Matter of Myspace LLC, No C-4369 (F.T.C. 30 août 2012) (décision et ordonnance), disponible à l'adresse https://www.ftc.gov/news-events/press-releases/2012/09/ftc-finalizes-privacy-settlement-myspace.

(10)  Voir FTC v. Karnani, No 2:09-cv-05276 (C.D. Cal. 20 mai 2011) (ordonnance définitive stipulée), disponible à l'adresse https://www ftc.gov/sites/default/files/documents/cases/2011/06/110609karnanistip.pdf; voir aussi Lesley FAIR, FTC Business Center Blog, Around the World in Shady Ways, https://www.ftc.gov/blog/2011/06/around-world-shady-ways (9 juin 2011).

(11)  Lettre de M. Ken Hyatt, sous-secrétaire faisant fonction au commerce chargé du commerce international, administration du commerce international, à Mme Věra Jourová, commissaire pour la justice, les consommateurs et l'égalité des genres.

(12)  Lorsqu'elle détermine si elle peut ou non exercer ses compétences au titre de la loi US SAFE WEB, la FTC tient compte, notamment, des éléments suivants: «(A) si l'agence demandeuse a convenu de fournir ou fournira une assistance réciproque à la commission; (B) si le fait d'accéder à la demande porterait atteinte à l'intérêt public des États-Unis; et (C) si la procédure d'enquête ou de mise en application de l'agence demandeuse porte sur des actes ou pratiques qui causent ou sont susceptibles de causer un préjudice à un nombre important de personnes». 15 U.S.C. § 46(j)(3). Ces compétences ne concernent pas la mise en application des législations relatives à la concurrence.

(13)  Au cours des exercices fiscaux 2012 à 2015, par exemple, la FTC a fait usage de ses compétences au titre de la loi US SAFE WEB pour échanger des informations en réponse à près de 60 demandes émanant d'agences étrangères, et elle a émis près de 60 demandes d'enquêtes civiles (équivalentes à des citations à comparaître administratives) en vue de contribuer à 25 enquêtes étrangères.

(14)  Même si la FTC n'intervient pas pour traiter les plaintes de consommateurs individuels ou jouer un rôle de médiateur dans ces dossiers, elle affirme qu'elle accordera la priorité aux dossiers relatifs au bouclier de protection des données soumis par les ADP de l'Union européenne. Par ailleurs, la FTC utilise les plaintes enregistrées dans sa base de données «Consumer Sentinel», accessible à de nombreuses autres agences répressives, pour repérer les tendances, déterminer les priorités de mise en application et recenser les cibles d'enquêtes potentielles. Les citoyens de l'Union européenne peuvent utiliser le système de plaintes accessible aux ressortissants américains pour soumettre une plainte à la FTC à l'adresse www.ftc.gov/complaint. Pour les plaintes individuelles relatives au bouclier de protection des données, cependant, il peut être préférable pour les citoyens de l'Union européenne de soumettre les plaintes à l'ADP de leur État membre ou à une instance de règlement extrajudiciaire des litiges.

(15)  15 U.S.C. § 45(m); 16 CFR § 1.98.

(16)  Voir FTC, Business Center, Legal Resources, https://www.ftc.gov/tips-advice/business-center/legal-resources?type=case&field-consumer-protection-topics-tid=251.

ANNEXE V

19 février 2016

Objet: Cadre du bouclier de protection des données UE–États-Unis

Madame la Commissaire,

Le ministère américain des transports (ci-après le «ministère» ou le «DOT») est heureux d'avoir l'occasion de décrire son rôle dans la mise en œuvre du cadre du bouclier de protection des données UE–États-Unis. Ce cadre joue un rôle essentiel dans la protection des données à caractère personnel assurée lors de transactions commerciales dans un monde de plus en plus interconnecté. Il permettra aux entreprises de réaliser des transactions importantes au sein de l'économie mondiale tout en garantissant aux citoyens de l'Union européenne des mesures de protection considérables de leur vie privée.

Le DOT a manifesté publiquement pour la première fois son engagement à appliquer le cadre que constituait la sphère de sécurité dans une lettre transmise à la Commission européenne il y a plus de 15 ans. Dans cette lettre, le DOT s'engageait à appliquer fermement les principes de la sphère de sécurité relatifs à la protection de la vie privée. Il continue à respecter cet engagement tel que consacré par cette lettre.

Le DOT réaffirme notamment son engagement dans les domaines clés suivants: 1) hiérarchisation des enquêtes sur les allégations de violations du bouclier de protection des données; 2) répression adéquate contre les entités effectuant des déclarations de certification fausses ou frauduleuses au titre du bouclier de protection des données; et 3) surveillance des violations du bouclier de protection des données et adoption d'ordonnances d'exécution à leur encontre. Nous fournissons des informations sur chacun de ces engagements et, dans les contextes pertinents, des informations utiles sur le rôle du DOT dans la protection de la vie privée des consommateurs et l'application du cadre du bouclier de protection des données.

I.   CONTEXTE

A.   Compétences du DOT en matière de protection de la vie privée

Le ministère a pris le ferme engagement de garantir le respect de la confidentialité des informations fournies par les consommateurs aux compagnies aériennes et aux agents de billetterie. L'autorité du DOT est habilitée à prendre des mesures dans ce domaine en vertu du titre 49., section 41712, de l'U.S.C., qui interdit aux transporteurs et aux agents de billetterie «toute pratique déloyale ou frauduleuse ou tout acte de concurrence déloyale» pour la vente de prestations de transport aérien qui porte ou risque de porter préjudice au consommateur. La section 41712 est calquée sur la section 5 de la loi sur la commission fédérale du commerce (Federal Trade Commission, FTC) (15 U.S.C. 45). Selon notre interprétation, la législation sur les pratiques déloyales ou frauduleuses interdit aux compagnies aériennes et aux agents de billetterie: 1) d'enfreindre les dispositions de leur politique sur le respect de la vie privée; ou 2) de collecter ou divulguer des informations privées d'une manière contraire à l'ordre public, immorale ou entraînant pour les consommateurs un préjudice important non compensé par des avantages. Nous interprétons également la section 41712 comme interdisant aux transporteurs aériens et aux agents de billetterie: 1) d'enfreindre les règles établies par le ministère déterminant les pratiques déloyales ou frauduleuses; ou 2) d'enfreindre la loi sur la protection de la vie privée des enfants en ligne (Children's Online Privacy Protection Act, COPPA) ou les règles de la FTC portant exécution de la COPPA. En vertu du droit fédéral, le DOT est seul compétent pour réglementer les pratiques des compagnies aériennes relatives au respect de la vie privée et partage avec la FTC la compétence en ce qui concerne les pratiques, en matière de respect de la vie privée, des agents de billetterie d'avion dans le cadre de la vente de transport aérien.

Dès lors, lorsqu'un transporteur aérien ou un vendeur de transport aérien s'engage publiquement à respecter les principes de respect de la vie privée établis par le cadre du bouclier de protection des données, le ministère peut faire usage des pouvoirs qui lui sont conférés par la section 41712 pour assurer le respect de ces principes. Par conséquent, lorsqu'un passager communique des informations à un transporteur ou à un agent de billetterie qui s'est engagé à respecter les principes du cadre du bouclier de protection des données relatifs au respect de la vie privée, tout manquement à cet engagement constituerait une violation de la section 41712.

B.   Pratiques en matière de mise en application

Le bureau du ministère des transports pour l'application de la législation et les procédures en matière d'aéronautique (Aviation Enforcement Office) mène des enquêtes et engage des poursuites en vertu du titre 49, section 41712, de l'U.S.C. Il fait appliquer l'interdiction, établie à la section 41712, des pratiques déloyales et frauduleuses, principalement par la négociation, la préparation d'ordonnances de cessation et d'abstention, et l'élaboration d'ordonnances en vue de sanctions civiles. L'Aviation Enforcement Office prend essentiellement connaissance des violations potentielles au travers des plaintes qu'il reçoit de particuliers, d'agents de voyage, de compagnies aériennes et d'agences gouvernementales américaines et étrangères. Les consommateurs peuvent utiliser le site web du DOT pour déposer des plaintes en matière de respect de la vie privée contre les compagnies aériennes et les agents de billetterie (1).

Lorsqu'une transaction raisonnable et appropriée ne peut être conclue, l'Aviation Enforcement Office est habilité à entamer une procédure d'exécution impliquant une audition de témoins devant un juge de droit administratif relevant du DOT. Le juge de droit administratif est habilité à rendre des ordonnances de cessation et à infliger des sanctions civiles. Le non-respect des dispositions de la section 41712 peut entraîner l'émission d'ordonnances de cessation et d'abstention, et des sanctions de droit civil jusqu'à un montant de 27 500 USD pour chaque violation de la section 41712.

Le ministère n'est pas habilité à accorder des dommages-intérêts ou une réparation pécuniaire aux plaignants. Il est en revanche compétent pour approuver des transactions, conclues à la suite des enquêtes entamées par l'Aviation Enforcement Office, qui proposent un avantage direct aux consommateurs (par ex. sous forme de liquidités ou de bons d'achat) en échange des amendes payables dues au gouvernement américain. Cela s'est déjà produit par le passé et pourrait également arriver dans le contexte de l'application des principes du bouclier de protection des données lorsque les circonstances le permettent. Des infractions répétées à la section 41712 par une compagnie aérienne soulèveraient également des questions quant à la bonne volonté de celle-ci de respecter son engagement. Dans des situations extrêmes, on pourrait considérer qu'elle n'est plus apte à l'exploitation et, par conséquent, elle risquerait de perdre sa licence d'exploitation.

À ce jour, le DOT a reçu relativement peu de plaintes faisant état de violations de la vie privée par des agents de billetterie ou des compagnies aériennes. Lorsqu'il y a plainte, celle-ci est instruite conformément aux principes susmentionnés.

C.   Mesures de protection juridiques adoptées par le DOT bénéficiant aux consommateurs de l'Union européenne

Au titre de la section 41712, l'interdiction des pratiques déloyales ou frauduleuses relatives au transport aérien ou à la vente de transport aérien s'applique aux transporteurs aériens et agents de billetterie américains et étrangers. Le DOT poursuit régulièrement des compagnies aériennes américaines et étrangères pour des pratiques qui affectent à la fois les consommateurs étrangers et américains dans la mesure où ces pratiques sont intervenues dans le cadre de la fourniture de services de transport de ou vers les États-Unis. Le DOT utilise et continuera à utiliser tous les moyens à sa disposition pour protéger les consommateurs étrangers et américains contre les pratiques déloyales ou frauduleuses des entités réglementées dans le secteur du transport aérien.

Le DOT met également en œuvre, en ce qui concerne les compagnies aériennes, d'autres lois ciblées dont la protection s'étend aux consommateurs non américains, comme la COPPA. Cette dernière exige notamment que les opérateurs de sites web et de services en ligne destinés aux enfants, ou des sites grand public qui collectent sciemment des informations à caractère personnel auprès d'enfants de moins de 13 ans, affichent un avertissement parental et obtiennent un consentement parental vérifiable. Les sites web et services basés aux États-Unis qui sont soumis à la COPPA et qui collectent des informations à caractère personnel auprès d'enfants étrangers sont tenus de respecter la COPPA. Les sites web et services en ligne basés à l'étranger doivent également respecter la COPPA s'ils ciblent les enfants américains ou s'ils collectent sciemment des informations à caractère personnel auprès d'enfants aux États-Unis. Le DOT est compétent pour prendre des mesures répressives à partir du moment où des compagnies aériennes américaines ou étrangères actives aux États-Unis enfreignent la COPPA.

II.   APPLICATION DU BOUCLIER DE PROTECTION DES DONNÉES

Lorsqu'une compagnie aérienne ou un agent de billetterie décide de participer au cadre du bouclier de protection des données et que le ministère reçoit une plainte alléguant une violation du cadre par cette compagnie ou cet agent, le ministère prend les mesures suivantes afin d'appliquer fermement le cadre.

A.   Hiérarchisation des enquêtes sur allégation de violations

L'Aviation Enforcement Office du ministère des transports enquête sur chaque allégation de violation du bouclier de protection des données (y compris les plaintes émanant des autorités européennes de protection des données). Il prend des mesures répressives lorsqu'une violation est avérée. L'Aviation Enforcement Office coopère en outre avec la FTC et le ministère du commerce et donne la priorité aux allégations de manquement, par les entités réglementées, des engagements pris en matière de respect de la vie privée dans le cadre du bouclier de protection des données.

Lorsqu'une allégation de violation du cadre du bouclier de protection des données lui parvient, l'Aviation Enforcement Office peut prendre une série de mesures dans le cadre de son enquête. Il peut, par exemple, examiner les politiques de l'agent de billetterie ou de la compagnie aérienne en matière de respect de la vie privée, exiger des informations complémentaires auprès de l'agent de billetterie ou de la compagnie ou de tierces parties, assurer un suivi auprès de l'entité ayant soumis la plainte et déterminer s'il existe un schéma de violations ou un nombre considérable de consommateurs affectés. Par ailleurs, il détermine si l'affaire comporte des aspects relevant du ministère du commerce ou de la FTC, étudie l'utilité d'une sensibilisation des consommateurs et des entreprises et, le cas échéant, entame une procédure d'exécution.

Si des violations potentielles du bouclier de protection des données par des agents de billetterie sont portées à sa connaissance, il travaille sur le dossier en coordination avec la FTC. Nous informons également la FTC et le ministère du commerce des résultats de toute action d'application du bouclier de protection des données.

B.   Traitement des déclarations d'adhésion fausses ou frauduleuses

Le ministère maintient son engagement à enquêter sur les violations du bouclier de protection des données, y compris les déclarations fausses ou frauduleuses d'adhésion au programme du bouclier de protection des données. Nous examinerons en priorité les dossiers soumis par le ministère du commerce concernant les organisations qui, selon lui, affirment indûment adhérer au bouclier de protection des données ou utilisent sans autorisation le label de certification du cadre du bouclier de protection des données.

Signalons également que, lorsqu'une organisation affirme, dans sa politique sur le respect de la vie privée, être en conformité avec les principes matériels du bouclier de protection des données, le fait qu'elle ne soit pas ou plus enregistrée auprès du ministère du commerce ne suffit pas à empêcher le DOT d'exiger qu'elle respecte ces engagements.

C.   Surveillance et délivrance d'ordonnances d'exécution publiques relatives des violations du bouclier de protection des données

L'Aviation Enforcement Office du ministère des transports maintient également son engagement à contrôler les ordonnances d'exécution selon les besoins, afin d'assurer le respect du programme du bouclier de protection des données. Plus précisément, lorsqu'il délivre une ordonnance exigeant qu'une compagnie aérienne ou un agent de billetterie mette fin ou renonce à des violations du bouclier de protection des données et de la section 41712, elle contrôle le respect, par l'entité, de la clause de cessation et d'abstention incluse dans l'ordonnance. L'Office veille en outre à ce que les ordonnances découlant d'affaires relatives au bouclier de protection des données soient publiées sur son site web.

Nous nous nous réjouissons à l'idée de poursuivre notre collaboration avec nos partenaires fédéraux et les acteurs de l'Union européenne sur les questions ayant trait au bouclier de protection des données.

J'espère que ces informations vous seront utiles et me tiens à votre disposition pour tout renseignement complémentaire.

(1)  http://www.transportation.gov/airconsumer/privacy-complaints.

ANNEXE VI

Le 22 février 2016

Monsieur Antonipillai, Monsieur Dean,

Au cours des deux ans et demi écoulés, dans le cadre des négociations pour le bouclier de protection des données UE–États-Unis, les États-Unis ont fourni une quantité importante d'informations sur la collecte de renseignements d'origine électromagnétique par les services de renseignement américains Il s'agit notamment d'informations sur le cadre juridique en vigueur, la supervision à plusieurs niveaux de ces activités, la grande transparence qui entoure ces activités et les mesures de protection générales offertes en matière de respect de la vie privée et de respect des libertés civiles, afin d'aider la Commission européenne à se faire une idée de l'adéquation de ces protections dans le cadre de l'exception aux principes du bouclier de protection des données relative à la sécurité nationale. Le présent document résume les informations qui ont été fournies.

I.   LA PPD-28 ET LES ACTIVITÉS AMÉRICAINES DE RENSEIGNEMENT D'ORIGINE ÉLECTROMAGNÉTIQUE

Les services de renseignement des États-Unis collectent des renseignements étrangers d'une manière minutieusement contrôlée, dans le strict respect de la législation américaine et sur la base de plusieurs niveaux de supervision, en se centrant sur certaines priorités importantes en matière de renseignement étranger et de sécurité nationale. Une mosaïque de lois et de politiques régissent la collecte de renseignements d'origine électromagnétique par les États-Unis, et notamment la constitution américaine, la loi sur la surveillance du renseignement étranger (50 U.S.C. § 1801 et suivants) (Foreign Intelligence Surveillance Act, FISA), le décret exécutif 12333 et ses procédures d'exécution, l'orientation présidentielle et de nombreuses procédures et lignes directrices, approuvées par la Cour FISA et le procureur général, qui établissent des règles supplémentaires limitant la collecte, la conservation, l'utilisation et la diffusion de renseignements étrangers (1).

a)   Aperçu de la PPD 28

En janvier 2014, le président Obama a prononcé un discours décrivant plusieurs réformes concernant les activités de renseignement d'origine électromagnétique, qu'il a ensuite inscrites dans la directive présidentielle no 28 (PPD-28) (2). Le président a insisté sur le fait que les activités de renseignement d'origine électromagnétique contribuent à protéger non seulement notre pays et nos libertés, mais aussi la sécurité et les libertés des autres pays, dont les États membres de l'Union européenne, qui se basent sur les informations obtenues par les agences de renseignement américaines pour protéger leurs propres citoyens.

La PPD-28 définit une série de principes et d'exigences applicables à l'ensemble des activités de renseignement d'origine électromagnétique américaines et à tous les individus, quelle que soit leur nationalité ou leur localisation. Elle établit notamment des exigences relatives aux procédures de traitement, de conservation et de diffusion d'informations à caractère personnel sur des ressortissants non américains suivies dans le cadre du renseignement d'origine électromagnétique américain. Ces exigences sont décrites ci-après, de façon résumée.

L'applicabilité des procédures et des mesures de protection ici mentionnées au bouclier de protection des données est claire. Lorsque des données sont transférées à des sociétés américaines dans le cadre du bouclier de protection des données, ou par tout autre moyen, les agences de renseignement américaines peuvent demander des données à ces sociétés uniquement si leur demande est conforme à la FISA ou si elle est introduite en vertu de l'une des dispositions statutaires de la lettre de sécurité nationale, abordées ci-dessous (3). En outre, sans confirmer ni infirmer les dires des médias selon lesquels les services de renseignement américains collecteraient des données originaires de câbles transatlantiques pendant leur transmission vers les États-Unis, précisons que, si les services de renseignement américains collectaient des données provenant de câbles transatlantiques, ils le feraient dans le respect des limitations et garanties ici mentionnées, y compris des exigences de la PPD-28.

b)   Limitations en matière de collecte

La PPD-28 énonce une série de principes généraux importants qui régissent la collecte de renseignements d'origine électromagnétique:

L'exigence selon laquelle les activités de renseignement d'origine électromagnétique soient «aussi spécifiques que possible» s'applique à la manière dont les renseignements d'origine électromagnétique sont collectés ainsi qu'à la nature des renseignements collectés. Par exemple, pour déterminer s'il y a lieu de collecter des renseignements d'origine électromagnétique, les services de renseignement doivent tenir compte de la disponibilité d'autres informations, y compris provenant de sources diplomatiques ou publiques, et privilégier la collecte par ces moyens, dans la mesure de ce qui est approprié et faisable. Par ailleurs, les politiques applicables aux composantes des services de renseignement doivent exiger que la collecte soit orientée, dans la mesure du possible, sur des cibles ou des sujets spécifiques du renseignement étranger moyennant l'utilisation de discriminants (p.exemple des canaux, critères de sélection et identifiants spécifiques).

Il est important d'envisager les informations fournies à la Commission dans leur globalité. Les décisions relatives à ce qui est «faisable» ou «possible» ne sont pas laissées à la discrétion des individus, mais sont régies par les politiques convenues par les agences au titre de la PPD-28 — publiquement disponibles — et aux autres processus qui y sont décrits (4). Selon la PPD-28, on entend par collecte en vrac de renseignements d'origine électromagnétique une collecte qui «pour des raisons techniques ou opérationnelles, est effectuée sans utiliser de discriminants (par exemple des identifiants ou des critères de sélection spécifiques)». La PPD-28 reconnaît à cet égard que les composantes des services de renseignement doivent, dans certaines circonstances, collecter en vrac des renseignements d'origine électromagnétique afin de détecter les menaces nouvelles ou émergentes ainsi que d'autres informations cruciales de sécurité nationale souvent dissimulées dans le vaste et complexe système des communications mondiales modernes. Elle reconnaît également que la collecte en vrac de renseignements d'origine électromagnétique puisse susciter des préoccupations relatives au respect de la vie privée et des libertés publiques. La PPD-28 exige par conséquent des services de renseignement qu'ils privilégient les solutions permettant l'obtention de renseignements d'origine électromagnétique ciblés plutôt que la collecte en vrac de tels renseignements. Les composantes des services de renseignement doivent dès lors préférer autant que possible les activités de collecte ciblée aux activités de collecte en vrac, en ce qui concerne les renseignements d'origine électromagnétique (5). Grâce à ces principes, l'exception relative à la collecte en vrac ne prendra pas le pas sur la règle générale.

En ce qui concerne la notion de «caractère raisonnable», il s'agit de l'un des principes fondamentaux du droit américain. Cela signifie que les composantes des services de renseignement ne sont pas tenues d'adopter toutes les mesures théoriquement envisageables, mais doivent trouver un équilibre entre leurs efforts visant à protéger les intérêts légitimes relatifs au respect de la vie privée et des libertés civiles et les nécessités pratiques des activités de renseignement d'origine électromagnétique. Ici encore, les politiques des agences ont été rendues publiques et peuvent garantir que le terme «raisonnablement conçues afin de limiter la diffusion et la conservation d'informations à caractère personnel» ne nuit pas à la règle générale.

La PPD-28 dispose également que les renseignements d'origine électromagnétique collectés en vrac ne peuvent être utilisés qu'à six fins spécifiques: la détection et la neutralisation de certaines activités de puissances étrangères; le contre-terrorisme; la contre-prolifération; la cybersécurité; la détection et la neutralisation des menaces vis-à-vis des forces armées américaines ou alliées; et la lutte contre les menaces criminelles transnationales, y compris contre le non-respect des sanctions. Le conseiller du président des États-Unis pour la sécurité nationale (National Security Advisor) procède chaque année, en consultation avec le directeur du renseignement national (Director for National Intelligence, DNI), à un réexamen des utilisations autorisées des renseignements d'origine électromagnétique collectés en vrac afin de déterminer s'il convient de les modifier. Le DNI rend publique cette liste, dans toute la mesure du possible, compte tenu des impératifs de la sécurité nationale. Cela constitue une limitation importante et transparente de l'utilisation de la collecte en vrac de renseignements d'origine électromagnétique.

En outre, les composantes des services de renseignement chargées de la mise en œuvre de la PPD-28 ont renforcé les pratiques et normes d'analyse existantes pour les requêtes portant sur des renseignements d'origine électromagnétique non évalués (6). Les analystes doivent structurer leurs demandes ou autres critères et techniques de recherche afin de s'assurer qu'ils conviennent à l'identification de renseignements pertinents pour une mission valide de renseignement étranger ou d'application de la loi. À cette fin, les composantes des services de renseignement doivent axer leurs requêtes relatives à des personnes sur les catégories de renseignements d'origine électromagnétique qui relèvent d'un impératif de renseignement étranger ou d'application de la loi, de manière à éviter l'utilisation d'informations à caractère personnel sans pertinence pour le renseignement étranger ou l'application de la loi.

Il importe de souligner que les activités de collecte en vrac de communications internet menées par les services de renseignement américains au travers du renseignement d'origine électromagnétique ne portent que sur une partie réduite de l'internet. Par ailleurs, l'utilisation de requêtes ciblées, comme décrit ci-dessus, garantit que seuls les éléments considérés comme présentant un intérêt potentiel pour le renseignement sont soumis aux analystes. Ces limitations ont pour but de protéger la vie privée et les libertés civiles de tous les citoyens, quelle que soit leur nationalité et quel que soit l'endroit où ils résident.

Les États-Unis disposent de procédures élaborées garantissant que les activités de renseignement d'origine électromagnétique sont uniquement réalisées à des fins adéquates de sécurité nationale. Chaque année, le président des États-Unis définit les grandes priorités de la nation en matière de collecte de renseignements étrangers à l'issue d'un vaste processus formel interagences. Le DNI est chargé de traduire ces priorités en un «cadre des priorités du renseignement national» (National Intelligence Priorities Framework, NIPF). La PPD-28 a renforcé et amélioré ce processus interagences afin que toutes les priorités des services de renseignement soient examinées et approuvées par les hauts responsables. La directive relative aux services de renseignement (Intelligence Community directive, ou ICD) no 204 contient d'autres orientations sur le NIPF. Elle a été mise à jour en janvier 2015 afin de tenir compte des exigences de la PPD-28 (7). Bien que les données du NIPF soient classifiées, les informations relatives aux priorités spécifiques de renseignement étranger sont reprises chaque année dans le document déclassifié du DNI sur l'évaluation mondiale des menaces (Wordwide Threat Assessment), également disponible sur le site web de l'ODNI.

Les priorités du NIPF sont formulées à un niveau de généralité relativement élevé. Elles abordent notamment des thèmes tels que la constitution de capacités nucléaires et de capacités en matière de missiles balistiques par certains adversaires étrangers, les conséquences de la corruption pratiquée par les cartels de la drogue et les violations des droits de l'homme dans certains pays. En outre, elles ne s'appliquent pas uniquement au renseignement d'origine électromagnétique, mais à toutes les activités de renseignement. L'organisation responsable de la concrétisation des priorités du NIPF sous la forme d'activités réelles de collecte de renseignements d'origine électromagnétique s'appelle le comité national du renseignement d'origine électromagnétique (National Signals Intelligence Committee, SIGCOM). Ce comité est placé sous l'égide du directeur de l'Agence de sécurité nationale (National Security Agency, NSA), désigné par le décret exécutif no 12333 comme étant le «directeur fonctionnel du renseignement d'origine électromagnétique», responsable de la supervision et de la coordination du renseignement d'origine électromagnétique dans l'ensemble des services de renseignement sous la surveillance du ministre de la défense et du DNI. Le SIGCOM est constitué de représentants de toutes les composantes des services de renseignement et, dès que les États-Unis auront pleinement mis en œuvre la PPD-28, inclura également une représentation à part entière des autres ministères et agences ayant un intérêt stratégique dans le renseignement d'origine électromagnétique.

Tous les ministères et agences des États-Unis consommateurs de renseignements étrangers soumettent leurs demandes de collecte au SIGCOM. Le SIGCOM examine ces demandes, veille à ce qu'elles soient conformes au NIPF et leur assigne une priorité selon des critères tels que:

Le processus d'évaluation des besoins de renseignements d'origine électromagnétique mis en œuvre par les États-Unis implique également de tenir explicitement compte d'autres facteurs tels que:

Enfin, à la fin du processus, des membres dûment formés du personnel de la NSA reprennent les priorités validées par le SIGCOM et isolent et étudient certains critères de sélection, tels que des numéros de téléphone ou des adresses de courrier électronique, qui doivent permettre de collecter des renseignements étrangers correspondant à ces priorités. Tous les sélecteurs doivent être examinés et approuvés avant d'être inclus dans les systèmes de collecte de la NSA. Toutefois, même lorsque ces conditions sont remplies, l'autorisation et le moment de la collecte à proprement parler dépendront en partie d'autres aspects tels que la disponibilité de ressources de collecte appropriées. Ce processus permet de garantir que les activités américaines de collecte de renseignements d'origine électromagnétique répondent à des besoins de renseignement étrangers valables et importants. En outre, lorsqu'une collecte est effectuée conformément à la FISA, la NSA et les autres agences doivent naturellement respecter les restrictions supplémentaires approuvées par la Cour FISA. En résumé, ni la NSA ni les autres agences de renseignement américaines ne décident seules de ce qu'elles collectent.

De manière générale, ce processus permet de garantir que toutes les priorités de renseignement américain sont établies par les hauts responsables les mieux placés pour déterminer quels sont les besoins des États-Unis en matière de renseignement étranger et que tous ces responsables tiennent compte non seulement de la valeur potentielle de la collecte de renseignements, mais aussi des risques associés à cette collecte, y compris sur le plan du respect de la vie privée, des intérêts économiques nationaux et des relations étrangères.

En ce qui concerne les données transmises aux États-Unis conformément au bouclier de protection des données, bien que les États-Unis ne puissent confirmer ou infirmer certaines méthodes ou activités de renseignement, les exigences établies par la PPD-28 s'appliquent à toutes les activités de collecte de renseignements d'origine électromagnétique effectuées par les États-Unis, quel que soit le type ou la source des données collectées. En outre, les limitations et garanties applicables à la collecte de renseignements d'origine électromagnétique s'appliquent à toutes les finalités autorisées, y compris celles ayant trait aux relations étrangères et à la sécurité nationale.

Les procédures dont il est question ci-dessus illustrent l'engagement clairement pris par les États-Unis d'éviter la collecte arbitraire et indifférenciée de renseignements d'origine électromagnétique et d'appliquer — jusqu'aux plus hauts niveaux de notre gouvernement — le principe du caractère raisonnable. La PPD-28 et ses procédures d'exécution établies par les agences précisent les limitations, nouvelles ou non, et décrivent plus en détail les finalités pour lesquelles les États-Unis collectent et utilisent des renseignements d'origine électromagnétique. Elles garantiront que les activités de renseignement d'origine électromagnétique sont et continueront d'être effectuées dans l'unique but d'atteindre des objectifs de renseignement étranger légitimes.

c)   Limitations en matière de conservation et de diffusion

La section 4 de la PPD-28 dispose que chaque composante des services de renseignement doit respecter des limites explicites en matière de conservation et de diffusion des informations à caractère personnel relatives à des ressortissants non américains collectées par le renseignement d'origine électromagnétique, lesquelles limites doivent être comparables aux limites applicables aux ressortissants américains. Ces règles sont intégrées dans des procédures destinées à chaque composante des services de renseignement; publiées en février 2015, ces procédures sont à la disposition du public. Pour pouvoir être conservées ou diffusées en tant que renseignements étrangers, les informations à caractère personnel doivent être en rapport avec un besoin de renseignement autorisé, conformément au processus NIPF décrit ci-dessus; il doit exister des raisons valables de penser que ces informations apportent la preuve d'une infraction; ou elles doivent répondre à l'un des autres critères de conservation d'informations sur des ressortissants américains énoncés dans le décret exécutif 12333, section 2.3.

Les informations pour lesquelles aucun de ces critères n'est rempli ne peuvent être conservées plus de cinq ans, à moins que le DNI ne décide expressément que leur conservation prolongée répond aux intérêts de sécurité nationale des États-Unis. Les composantes des services de renseignement sont donc tenues de supprimer les informations relatives à des ressortissants non américains qu'elles ont collectées par le renseignement d'origine électromagnétique dans les cinq ans suivant leur collecte, à moins qu'il ne soit établi qu'elles répondent à un besoin de renseignement étranger autorisé ou que le DNI ne considère, après prise en compte du point de vue de l'agent de l'ODNI pour la protection des libertés civiles et des responsables de la protection de la vie privée et des libertés civiles des agences, qu'une conservation prolongée répond aux intérêts de la sécurité nationale.

Par ailleurs, toutes les politiques de mise en œuvre de la PPD-28 adoptées par les agences disposent désormais explicitement que les informations relatives à une personne ne peuvent être diffusées au seul motif qu'il s'agit d'un ressortissant non américain et l'ODNI a adressé une directive à toutes les composantes des services de renseignement (8) afin qu'elles tiennent compte de cette exigence. Le personnel des services de renseignement a l'obligation expresse de tenir compte du respect de la vie privée des ressortissants non américains lorsqu'il élabore et diffuse des rapports de renseignement. En particulier, le renseignement d'origine électromagnétique sur les activités habituelles d'un étranger ne peut être considéré comme du renseignement étranger pouvant être diffusés ou conservés indéfiniment sur la base de ce seul fait, à moins qu'ils ne répondent à une nécessité de renseignement étranger autorisée. Cette disposition constitue une limitation importante qui fait suite aux préoccupations de la Commission européenne relatives à la portée de la définition de «renseignement étranger» incluse dans le décret exécutif 12333.

d)   Respect des exigences et surveillance

Le système américain de surveillance du renseignement étranger assure un contrôle rigoureux et à plusieurs niveaux, afin de garantir le respect des lois et procédures applicables, y compris celles relatives à la collecte, à la conservation et à la diffusion des informations sur les ressortissants non américains obtenues par le renseignement d'origine électromagnétique conformément à la PPD-28. Ce système de surveillance se présente comme suit:

En plus de ces mécanismes de surveillance formels, les services de renseignement ont également mis en place plusieurs mécanismes visant à garantir le respect, en leur sein, des limitations en matière de collecte décrites ci-dessus. Par exemple:

Comme l'illustre ce panorama global, les services de renseignement ne décident pas seuls des conversations qu'ils vont écouter, ne tentent pas de tout collecter et ne sont pas exempts de tout contrôle. Leurs activités sont axées sur les priorités définies par les responsables politiques, au travers d'un processus auquel contribue le gouvernement tout entier, et sous une surveillance effectuée à la fois par la NSA, l'ODNI, le ministère de la justice et le ministère de la défense.

La PPD-28 contient également de nombreuses dispositions visant à ce que les informations à caractère personnel collectées par voie électromagnétique soient protégées, indépendamment de la nationalité de la personne concernée. Par exemple, la PPD-28 prévoit des procédures de contrôle de la sécurité, de l'accès et de la qualité des données, afin de protéger les informations à caractère personnel collectées par voie électromagnétique, ainsi qu'une formation obligatoire afin de s'assurer que le personnel comprenne sa responsabilité dans la protection de ces informations, indépendamment de la nationalité de la personne concernée. La PPD prévoit également des mécanismes supplémentaires de surveillance et de conformité, dont des audits et contrôles périodiques, par les responsables compétents en la matière, des pratiques mises en œuvre pour protéger les informations à caractère personnel contenues dans les renseignements d'origine électromagnétique. Les contrôles doivent également évaluer la conformité des agences avec les procédures de protection de ces informations.

La PPD-28 prévoit en outre que les problèmes importants de conformité relatifs à des ressortissants non américains doivent être pris en charge par les plus hautes instances gouvernementales. Les problèmes de conformité majeurs concernant les informations à caractère personnel d'un individu collectées dans le cadre d'activités de renseignement d'origine électromagnétique doivent être signalés rapidement au DNI, en plus des éventuelles autres exigences de notification. Si le problème porte sur les informations à caractère personnel d'un ressortissant non américain, le DNI décide, en consultation avec le secrétaire d'État et le directeur de la composante des services de renseignement concernée, des mesures à prendre pour notifier le gouvernement étranger concerné, en respectant la protection des sources et des méthodes et du personnel américain. Par ailleurs, conformément à la PPD-28, le Secrétaire d'État a nommé une haute fonctionnaire, la sous-secrétaire Catherine A. Novelli, afin de servir de point de contact aux gouvernements étrangers souhaitant manifester leur préoccupation au sujet d'activités de renseignement d'origine électromagnétique de la part des États-Unis. Cet engagement en faveur d'une implication au plus haut niveau illustre les efforts entrepris par le gouvernement ces dernières années afin d'instaurer la confiance dans les nombreuses protections simultanées de la confidentialité mises en place pour les informations des ressortissants et ressortissants non américains.

e)   Synthèse

Les processus mis en place par les États-Unis pour la collecte, la conservation et la diffusion des renseignements étrangers apportent d'importantes protections de la confidentialité des informations à caractère personnel de tous les individus, quelle que soit leur nationalité. En particulier, ces processus veillent à ce que nos services de renseignement se concentrent sur leur mission de sécurité nationale en application des lois, décrets exécutifs et directives présidentielles qui les habilitent, protègent les informations contre l'accès, l'utilisation et la divulgation non autorisés et effectuent ses activités sous la supervision de plusieurs niveaux de contrôle et de surveillance, y compris par les organes parlementaires de surveillance. La PPD-28 et ses procédures d'application représentent nos efforts en vue d'étendre aux informations à caractère personnel de tous les individus, quelle que soit leur nationalité, certains principes de limitation et autres principes importants de protection des données. Les informations à caractère personnel obtenues via la collecte américaine de renseignements d'origine électromagnétique sont soumises aux principes et exigences de la législation américaine et aux directives présidentielles, y compris les protections incluses dans la PPD-28. Ces principes et exigences veillent à ce que tous les individus soient traités avec dignité et respect, quels que soient leur nationalité ou leur lieu de résidence, et reconnaissent que toute personne possède des intérêts légitimes en matière de vie privée dans le cadre du traitement de ses informations à caractère personnel.

II.   LOI SUR LA SURVEILLANCE ET LES RENSEIGNEMENTS ÉTRANGERS — SECTION 702

La collecte de données au titre de la section 702 de la loi sur la surveillance et les renseignements étrangers (11) n'est pas «massive et indifférenciée», mais strictement orientée vers la collecte de renseignements étrangers sur la base d'objectifs légitimes déterminés au cas par cas, expressément autorisée par un mandat légal explicite, et soumise à un contrôle judiciaire indépendant ainsi qu'à une surveillance et à un examen importants de la part du pouvoir exécutif et du Congrès. La collecte au titre de la section 702 est considérée comme étant une collecte de renseignements d'origine électromagnétique soumise aux exigences de la PPD-28 (12).

La collecte au titre de la section 702 constitue l'une des sources les plus précieuses de renseignements en vue de protéger les États-Unis et nos partenaires européens. Des informations détaillées sur le fonctionnement et le contrôle de la section 702 sont à la disposition du public. De nombreux actes de procédures, décisions de justice et rapports de surveillance relatifs au programme ont été déclassifiés et publiés sur le site web de l'ODNI consacré à la diffusion de documents au grand public, www.icontherecord.tumblr.com. La section 702 a par ailleurs fait l'objet d'une analyse complète du PCLOB dans un rapport consultable à l'adresse https://www.pclob.gov/library/702-Report.pdf (13).

La section 702 a été adoptée dans le cadre de la loi de 2008 portant modification de la FISA (14), à l'issue d'un vaste débat public au Congrès. Elle autorise l'obtention de renseignements étrangers via le ciblage de ressortissants non américains se trouvant en dehors du territoire des États-Unis, avec l'assistance obligatoire des fournisseurs de services de communications électroniques américains. La section 702 autorise le procureur général et le DNI — deux responsables gouvernementaux nommés par le Président et approuvés par le Sénat — à soumettre des certifications annuelles à la Cour FISA (15). Ces certifications identifient des catégories spécifiques de renseignements étrangers à collecter, telles que des renseignements en rapport avec le contre-terrorisme ou les armes de destruction massive, qui doivent relever des catégories de renseignement étranger définies par la FISA (16). Comme l'a noté le PCLOB, «[c]es limitations n'autorisent pas la collecte illimitée d'informations sur les étrangers» (17).

Les certifications doivent également inclure des procédures de «ciblage» et de «limitation» à examiner et approuver par la Cour FISA (18). Les procédures de ciblage servent à faire en sorte que la collecte ne soit effectuée que dans les limites prévues par la législation et selon la portée définie dans les certifications; les procédures de limitation, elles, visent à limiter l'ampleur de l'obtention, de la diffusion et de la conservation de données sur les ressortissants américains, mais contiennent également des dispositions apportant une protection importante aux informations relatives aux ressortissants non américains, qui sont décrites ci-dessous. Par ailleurs, comme indiqué ci-dessus, le Président a demandé dans sa PPD-28 que les services de renseignement prévoient des mesures de protection supplémentaires en ce qui concerne les informations à caractère personnel relatives à des ressortissants non américains; ces protections s'appliquent aux informations collectées au titre de la section 702.

Une fois que la cour a approuvé les procédures de ciblage et de minimisation, la collecte au titre de la section 702 ne peut être effectuée ni en vrac, ni de façon indifférenciée, mais «consiste exclusivement à cibler des personnes spécifiques identifiées de manière individuelle», conformément au PCLOB (19). Le ciblage de la collecte s'effectue en utilisant des sélecteurs individuels, tels que les adresses de courrier électronique ou les numéros de téléphone, des données qui, selon le personnel du renseignement américain, sont susceptibles d'être utilisées pour communiquer des renseignements étrangers du type couvert par la certification présentée à la cour (20). La base utilisée pour choisir la cible doit être motivée et la motivation de chaque sélecteur est ensuite contrôlée par le ministère de la justice (21). Le gouvernement américain a publié des informations selon lesquelles on comptait en 2014 environ 90 000 personnes ciblées au titre de la section 702, soit une infime proportion des plus de 3 milliards d'utilisateurs d'internet dans le monde entier (22).

Les informations collectées au titre de la section 702 sont soumises aux procédures de limitation approuvées par la cour, qui prévoient des mesures de protection pour les aux ressortissants non américains comme pour les ressortissants américains et qui ont été rendues publiques (23). Par exemple, les communications obtenues au titre de la section 702 sont enregistrées dans des bases de données dont l'accès est strictement contrôlé, qu'elles concernent des ressortissants américains ou non américains. Elles ne peuvent être examinées que par des agents du renseignement qui ont été formés aux procédures de limitation destinées à protéger la vie privée et qui ont reçu une autorisation d'accès spécifique pour effectuer les tâches qui leur incombent (24). L'utilisation des données est limitée à la détection de renseignements étrangers ou de preuves d'un crime (25). Conformément à la PPD-28, ces informations ne peuvent être diffusées qu'à la condition que cette diffusion présente un intérêt valable pour le renseignement étranger ou l'application de la loi; il ne suffit pas que l'une des parties à la communication ne soit pas un ressortissant américain (26). Par ailleurs, les procédures de limitation et la PPD-28 établissent également des limites en ce qui concerne la durée pendant laquelle des données obtenues au titre de la section 702 peuvent être conservées (27).

La surveillance de la section 702 est étendue et assurée par les trois branches de l'État américain. Les agences qui mettent en œuvre la législation disposent de plusieurs niveaux de contrôle interne, notamment par des inspecteurs généraux indépendants, ainsi que de contrôles technologiques de l'accès aux données. Le ministère de la justice et l'ODNI examinent et contrôlent minutieusement l'utilisation faite de la section 702 afin de s'assurer du respect des règles de droit. Les agences ont également une obligation indépendante de signaler les cas de non-conformité potentiels. Ces incidents font l'objet d'une enquête et tous les cas de non-conformité sont signalés à la Cour FISA, au conseil de surveillance du renseignement (Intelligence Oversight Board) auprès du Président et au Congrès, et les mesures correctives nécessaires sont prises (28). À ce jour, aucun incident relatif à une tentative volontaire de violation du droit ou de contournement des dispositions légales n'a été enregistré (29).

La Cour FISA joue un rôle important dans la mise en œuvre de la section 702. Elle se compose de juges fédéraux indépendants qui y sont nommés pour sept ans, mais qui, comme tous les juges fédéraux, sont nommés en tant que juges à vie. Comme mentionné ci-dessus, la Cour doit examiner les certifications annuelles et les procédures de ciblage et de limitation afin de s'assurer qu'elles sont conformes à la loi. En outre, comme également indiqué ci-dessus, les pouvoirs publics sont tenus de signaler immédiatement à la Cour tout cas de non-conformité (30); de fait, plusieurs avis de la Cour ont été déclassifiés et publiés afin de démontrer le niveau exceptionnel de contrôle judiciaire et d'indépendance dont elle dispose pour examiner ces infractions.

Les procédures rigoureuses de la Cour ont été décrites par son ancien président dans une lettre adressée au Congrès qui a été rendue publique (31). Par ailleurs, à la suite de l'adoption de la loi USA FREEDOM, décrite ci-dessous, la Cour est désormais expressément autorisée à nommer un juriste externe en tant que défenseur indépendant de la vie privée dans les cas qui présentent des difficultés juridiques nouvelles ou importantes (32). Un tel degré d'implication d'une instance judiciaire indépendante dans les activités de renseignement étranger d'un pays, ciblant des personnes qui n'en sont pas ressortissantes et qui ne résident pas sur son territoire est inhabituel, voire inédit, et contribue à garantir que les collectes au titre de la section 702 ne dépassent pas les limites juridiques adéquates.

Le Congrès exerce une surveillance par le biais de rapports requis par la loi et transmis aux commissions du renseignement et des affaires judiciaires, ainsi que de fréquents briefings et auditions. Parmi ces rapports figurent un rapport semestriel du procureur général motivant l'utilisation de la section 702 ainsi que les éventuels cas de non-conformité (33); une évaluation semestrielle distincte du procureur général et du DNI étayant le respect des procédures de ciblage et de limitation, y compris la conformité avec les procédures visant à garantir que la collecte répond à un objectif valable de renseignement étranger (34); ainsi qu'un rapport annuel des directeurs des composantes des services de renseignement assurant notamment que les collectes au titre de la section 702 continuent à produire des renseignements étrangers (35).

En résumé, la collecte au titre de la section 702 est autorisée par la loi, soumise à plusieurs niveaux de contrôle, de surveillance et de supervision judiciaires et, comme la Cour FISA l'a indiqué dans un avis récemment déclassifié, elle n'est «pas effectuée en vrac ou de façon indifférenciée», mais. «sur la base […] de décisions de ciblage distinctes pour les différents canaux [de communication]» (36).

III.   LA LOI USA FREEDOM

La loi USA FREEDOM (Uniting and Strengthening America by Fulfilling Rights and Ending Eavesdropping, Dragnet-collection and Online Monitoring Act), promulguée en juin 2015, a modifié en profondeur les pouvoirs de surveillance et autres pouvoirs en rapport avec la sécurité nationale aux États-Unis et amélioré la transparence publique de l'utilisation de ces pouvoirs et des décisions de la Cour FISA, comme expliqué ci-dessous (37). Cette loi confère à nos professionnels du renseignement et de l'application de la loi les compétences nécessaires pour protéger la Nation tout en veillant à ce que la vie privée des individus soit suffisamment protégée dans le cadre de leur exercice. Elle améliore le respect de la vie privée et des libertés civiles tout en renforçant la transparence.

Cette loi interdite la collecte en vrac d'archives, qu'ils concernent des ressortissants américains ou non américains, au titre de différentes dispositions de la FISA ou via l'utilisation de lettres de sécurité nationale, une forme d'injonction administrative autorisée par la loi (38). Cette interdiction inclut spécifiquement les métadonnées téléphoniques relatives aux appels entre des personnes sur le territoire américain et des personnes hors du territoire américain et concerne également la collecte d'informations relevant du bouclier de protection des données effectuée dans l'exercice de ces compétences. Cette loi exige des pouvoirs publics qu'ils fondent toute demande d'archives, dans l'exercice de ces compétences, sur un «critère de sélection spécifique» — un critère qui identifie précisément une personne, un compte, une adresse ou un dispositif personnel d'une manière qui limite la portée des informations recherchées dans la plus grande mesure raisonnablement possible (39). Cela garantit également que la collecte d'informations à des fins de renseignement est précisément orientée et ciblée.

La loi USA FREEDOM a également modifié de manière substantielle les procédures devant la Cour FISA, en en améliorant la transparence et en apportant des garanties supplémentaires quant à la protection de la vie privée. Comme indiqué ci-dessus, il a permis la création d'un comité permanent d'avocats possédant une habilitation de sécurité et disposant d'une expertise en matière de protection de la vie privée et des libertés civiles, de collecte de renseignements, de technologies de communication ou d'autres domaines pertinents, qui peuvent être appelés à plaider devant la cour à titre d'amicus curiae dans les cas nécessitant une interprétation approfondie ou inédite du droit. Ces avocats sont habilités à présenter des arguments légaux en vue de défendre la protection de la vie privée et des libertés civiles, et peuvent accéder à toutes les informations, y compris classifiées, que la cour juge nécessaire à l'exercice de leurs fonctions (40).

Cette loi se base également sur la transparence sans précédent dont le gouvernement a fait preuve en matière de renseignement en exigeant du DNI, en consultation avec le procureur général, qu'il déclassifie ou publie un résumé non classifié de chaque décision, ordonnance ou avis rendu par la Cour FISA ou la Cour d'appel pour la surveillance du renseignement étranger (Foreign Intelligence Surveillance Court of Review) impliquant une interprétation élaborée d'une disposition de droit.

La loi USA FREEDOM prévoit par ailleurs des divulgations à grande échelle d'informations sur les activités de collecte au titre de la FISA et sur les demandes de lettres de sécurité nationale. Les États-Unis doivent communiquer chaque année au Congrès et au public, entre autres informations, le nombre d'ordonnances et de certifications FISA demandées et obtenues, une estimation du nombre de ressortissants américains et non américains ciblés et concernés par la surveillance et le nombre de désignations d'amici curiae  (41). La loi USA FREEDOM exige également des pouvoirs publics qu'ils communiquent publiquement le nombre de demandes de lettres de sécurité nationale relatifs aux ressortissants et ressortissants non américains (42).

En ce qui concerne la transparence des entreprises, la loi offre à ces dernières plusieurs moyens de déclarer publiquement le nombre total d'ordonnances et directives FISA ou de lettres de sécurité nationale qu'elles reçoivent de la part des pouvoirs publics, ainsi que le nombre de comptes clients ciblés par ces ordonnances (43). Plusieurs entreprises ont déjà communiqué des informations en ce sens, qui ont révélé que les demandes de renseignements concernaient peu de clients.

Ces rapports de transparence des entreprises prouvent que les demandes de renseignements des États-Unis n'affectent qu'une infime partie des données. Par exemple, le rapport de transparence récemment publié par une grande société montre que les requêtes de sécurité nationale (au titre de la FISA ou de lettres de sécurité nationale) qui lui ont été adressées ont concerné moins de 20 000 comptes alors qu'elle possédait au moins 400 millions d'abonnés. En d'autres termes, l'ensemble des requêtes de sécurité nationale américaines déclarées par cette société représentaient moins de 0,005 % de ses abonnés. Quand bien même l'une de ces requêtes aurait porté sur des données relevant de la sphère de sécurité, ce qui n'est bien entendu pas le cas, il est évident que les requêtes sont ciblées et d'une ampleur appropriée et qu'elles ne sont effectuées ni en vrac, ni de façon indifférenciée.

Enfin, alors que les dispositions législatives qui autorisent les lettres de sécurité nationale limitaient déjà les circonstances dans lesquelles le destinataire d'un tel courrier pouvait se voir interdire de le divulguer, la loi USA FREEDOM précise que ces exigences de non-divulgation doivent être périodiquement réexaminées, exige que les destinataires de ces courriers soient prévenus lorsque l'obligation de non-divulgation n'est plus fondée et prévoit des procédures codifiées pour les destinataires souhaitant contester une exigence de non-divulgation (44).

En résumé, les modifications importantes apportées par la loi USA FREEDOM aux compétences du renseignement américain illustrent clairement les efforts notables déployés par les États-Unis pour placer la protection des informations à caractère personnel, de la vie privée, des libertés civiles et de la transparence au centre de toutes les pratiques du renseignement américain.

IV.   TRANSPARENCE

En plus de la transparence exigée par la loi USA FREEDOM, les services de renseignement américains fournissent au public de nombreuses informations supplémentaires, montrant ainsi l'exemple au niveau de la transparence de leurs activités de renseignement. Les services de renseignement ont rendu publics un grand nombre de leurs politiques, procédures, décisions de la Cour FISA et autres documents déclassifiés, assurant ainsi un niveau de transparence extraordinaire. En outre, les services de renseignement ont considérablement renforcé leur communication de statistiques sur l'utilisation faite par les pouvoirs publics de ses compétences en matière de collecte de renseignements à des fins de sécurité nationale. Le 22 avril 2015, les services de renseignement ont publié leur deuxième rapport annuel, qui présente des statistiques sur la fréquence du recours par les pouvoirs publics à ces compétences importantes. L'ODNI a également publié, sur son site web ainsi que sur le site IC On the Record, une série de principes concrets en matière de transparence (45) et un plan de mise en œuvre transposant les principes en initiatives concrètes et mesurables (46). En octobre 2015, le directeur du renseignement national a demandé à chaque agence de renseignement de désigner au sein de sa direction un responsable de la transparence en matière de renseignement afin de favoriser la transparence et de diriger les initiatives dans ce domaine (47). Le responsable de la transparence travaillera en étroite collaboration avec le responsable de la protection de la vie privée et des libertés civiles de chaque agence de renseignement, afin de veiller à ce que la transparence et le respect de la vie privée et des libertés civiles demeurent prioritaires.

Une illustration de ces efforts est la publication, par le responsable en chef de la protection de la vie privée et des libertés civiles de la NSA, de plusieurs rapports déclassifiés au cours des dernières années, dont des rapports sur des activités au titre de la section 702, du décret exécutif 12333 et de la loi USA FREEDOM (48). Les services de renseignement travaillent par ailleurs en étroite collaboration avec le PCLOB, le Congrès et les services de défense de la vie privée aux États-Unis en vue d'accroître la transparence des activités du renseignement américain, dans la mesure du possible et d'une manière qui ne nuise pas à la protection des sources et méthodes de renseignement sensibles. Dans leur ensemble, les activités de renseignement des États-Unis sont aussi transparentes, voire plus, que celles des autres nations du monde et sont aussi transparentes que ne le permet la protection des sources et méthodes sensibles.

Voici quelques exemples de la transparence accrue qui préside aux activités du renseignement américain:

Cette grande transparence se maintiendra. Toutes les informations rendues publiques seront bien entendu accessibles au ministère du commerce et à la Commission européenne. L'examen annuel de la mise en œuvre du bouclier de protection des données, réalisé par le ministère américain du commerce et la Commission européenne, sera l'occasion pour la Commission européenne d'aborder les questions éventuellement soulevées par les informations nouvellement publiées, ainsi que toute autre question relative au bouclier de protection des données et à son fonctionnement. Nous avons été informés que le ministère pourrait, à sa discrétion, inviter les représentants d'autres acteurs, y compris les services de renseignement, à participer à cet examen. Celui-ci vient bien entendu s'ajouter au mécanisme de la PPD-28 donnant aux États membres de l'Union européenne la possibilité de signaler leurs inquiétudes en matière de renseignement à un représentant ministériel désigné.

V.   RECOURS

Le droit américain met plusieurs moyens de recours à la disposition des individus qui ont fait l'objet d'une surveillance électronique illégale pour les besoins de la sécurité nationale. En vertu de la FISA, le droit de saisir les tribunaux américains n'est pas limité aux ressortissants américains. Toute personne ayant qualité pour agir dispose de moyens de recours lui permettant de contester les actes de surveillance électronique illégaux menés au titre de la FISA. Celle-ci permet par exemple aux personnes faisant l'objet d'une surveillance électronique illégale de poursuivre des responsables du gouvernement américain à titre personnel en vue d'obtenir une réparation financière, y compris des dommages-intérêts et le remboursement des frais d'avocat. Voir 50 U.S.C. § 1810. Les personnes ayant qualité pour agir peuvent également introduire une procédure civile en vue d'obtenir une réparation financière, y compris le remboursement des frais de procédure, contre les États-Unis lorsque des informations les concernant obtenues dans le cadre d'une surveillance électronique au titre de la FISA ont été volontairement et illégalement utilisées ou divulguées. Voir 18 U.S.C. § 2712. Si les pouvoirs publics ont l'intention de divulguer des informations obtenues ou dérivées de la surveillance électronique concernant une personne lésée aux termes de la FISA ou de les utiliser contre cette personne dans une procédure judiciaire ou administrative aux États-Unis, il doit faire connaître au préalable son intention à la juridiction compétente et à la personne concernée, qui peut alors contester la légalité de la surveillance et réclamer la suppression des informations. Voir 50 U.S.C. § 1806. Enfin, la FISA prévoit également des sanctions pénales à l'encontre des personnes qui participent volontairement à une surveillance électronique illégale sous couvert de la loi ou qui utilisent ou divulguent volontairement des informations obtenues grâce à une surveillance illégale. Voir 50 U.S.C. § 1809.

Les citoyens de l'Union européenne disposent d'autres moyens pour poursuivre en justice des responsables de l'administration américaine en cas d'utilisation ou d'accès illégal des pouvoirs publics à des données, y compris en cas de violation de la loi par des agents publics dans le cadre d'un accès ou d'une utilisation illégale d'informations sous couvert d'intérêt de sécurité nationale. La loi relative à la fraude et aux abus informatiques (Computer Fraud and Abuse Act) interdit l'accès intentionnel non autorisé (ou l'abus d'un accès autorisé) aux informations d'une institution financière, à un système informatique de l'administration américaine ou à un ordinateur via l'internet, ainsi que les menaces d'endommagement d'ordinateurs protégés à des fins d'extorsion ou de fraude. Voir 18 U.S.C. § 1030. Toute personne victime d'une perte ou d'un préjudice à la suite d'une violation de cette loi peut, quelle que soit sa nationalité, poursuivre en justice le coupable (y compris s'il s'agit d'un agent public) afin d'obtenir une indemnisation ou des mesures de redressement par voie d'injonction ou de toute autre mesure équitable au titre de la section 1030(g), que des poursuites pénales aient été ou non engagées et pour autant que la violation implique au moins l'une des circonstances énoncées dans la législation. La loi sur la confidentialité des communications électroniques (Electronic Communications Privacy Act, ECPA) réglemente l'accès du gouvernement aux communications électroniques enregistrées et aux archives de transactions et abonnements électroniques détenus par des fournisseurs de communications tiers. Voir 18 U.S.C. §§ 2701 à 2712. L'ECPA autorise les personnes lésées à poursuivre en justice les représentants du gouvernement ayant accédé illégalement à des données enregistrées. L'ECPA s'applique à tous les individus, quelle que soit leur citoyenneté. Les personnes lésées peuvent se voir accorder des dommages-intérêts ainsi que le remboursement de leurs frais d'avocat. La loi relative au droit à la confidentialité financière (Right to Financial Privacy Act, RFPA) limite l'accès du gouvernement américain aux dossiers bancaires et boursiers des clients. Voir 12 U.S.C. §§ 3401 à 3422. Au titre de la RFPA, un client d'une banque ou d'un service boursier a le droit de poursuivre le gouvernement américain afin d'obtenir des dommages-intérêts préétablis, réels et punitifs lors de l'obtention illégale d'un accès à son dossier; en outre, la constatation d'un caractère volontaire à cet accès illégal entraîne automatiquement une enquête en vue d'une éventuelle poursuite disciplinaire contre les employés gouvernementaux concernés. Voir 12 U.S.C. § 3417.

Enfin, la loi sur la liberté d'information (FOIA) donne à toute personne la possibilité de demander l'accès aux archives d'une agence fédérale relatives à des sujets soumis à certaines catégories de dérogations. Voir 5 U.S.C. § 552(b). Il s'agit notamment de limitations de l'accès à des informations classifiées sur la sécurité nationale, aux informations à caractère personnel d'autres personnes et aux informations relatives aux enquêtes liées à l'application de la loi. Elles sont comparables aux limitations imposées par les pays qui possèdent leur propre législation sur l'accès aux informations. Ces restrictions s'appliquent tout autant aux citoyens américains qu'aux ressortissants d'autres pays. Les litiges relatifs à la communication d'archives demandées au titre de la FOIA peuvent être portés devant une juridiction administrative, puis devant un tribunal fédéral. Le tribunal est alors amené à déterminer de novo si l'accès aux archives en question a été refusé à juste titre [5 U.S.C. § 552(a)(4)(B)]. Il peut obliger les pouvoirs publics à accorder l'accès aux archives en question. Il est arrivé que les tribunaux donnent tort à des déclarations du gouvernement selon lesquelles l'accès aux informations devait être refusé car elles étaient classifiées (49). Bien qu'aucune réparation financière ne puisse être obtenue, les tribunaux peuvent accorder le remboursement des frais d'avocat.

VI.   CONCLUSION

Les États-Unis reconnaissent que toute personne, quels que soient sa nationalité ou son lieu de résidence, doit être traitée avec dignité et respect dans le cadre de leurs activités de renseignement d'origine électromagnétique et autres activités de renseignement, quelle que soit sa nationalité ou son lieu de résidence, et que toute personne possède des intérêts légitimes en matière de vie privée dans le cadre du traitement de ses informations à caractère personnel. Les États-Unis n'utilisent le renseignement d'origine électromagnétique que dans le but d'assurer leur sécurité nationale, de défendre leurs intérêts de politique étrangère et de protéger du danger leurs citoyens et ceux de leurs alliés et partenaires. En résumé, les services de renseignement ne soumettent personne, encore moins les citoyens européens ordinaires, à une surveillance indifférenciée. La collecte de renseignements d'origine électromagnétique n'intervient que lorsqu'elle est dûment autorisée et dans des conditions strictement conformes aux limitations susmentionnées, après examen de la disponibilité d'autres sources de renseignement, y compris diplomatiques et publiques, et en privilégiant les solutions de substitution appropriées et praticables. En outre, dans la mesure du possible, la collecte de renseignements d'origine électromagnétique est uniquement orientée vers des cibles ou des sujets spécifiques du renseignement étranger, à l'aide de discriminants.

La politique des États-Unis à cet égard a été clarifiée dans la PPD-28. Dans le cadre ainsi décrit, les agences de renseignement américaines n'ont ni le pouvoir légal, ni les ressources, ni la capacité technique, ni le désir d'intercepter toutes les communications effectuées dans le monde entier. Ces agences ne lisent pas les courriers électroniques de tous les citoyens américains, ni ceux de tout un chacun dans le reste du monde. Conformément à la PPD-28, les États-Unis offrent de solides protections concernant les informations à caractère personnel de ressortissants non américains collectées par le renseignement d'origine électromagnétique. Dans la mesure du possible et en fonction des besoins de la sécurité nationale, ces protections incluent des politiques et procédures destinées à limiter la conservation et la diffusion d'informations à caractère personnel concernant des ressortissants non américains comparables aux protections accordées aux ressortissants américains. Par ailleurs, comme nous l'avons vu ci-dessus, le régime de surveillance approfondie des pouvoirs conférés par la section 702 de la FISA est unique au monde. Enfin, les profondes modifications apportées à la loi américaine sur le renseignement par la loi FREEDOM et les initiatives menées par l'ODNI en vue de favoriser la transparence au sein des services de renseignement améliorent remarquablement le respect de la vie privée et des libertés civiles de toute les personnes concernées, quelle que soit leur nationalité.

Le 21 juin 2016

Monsieur Antonipillai, Monsieur Dean,

Cette lettre a pour but de fournir de plus amples informations sur la façon dont les États-Unis procèdent à la collecte en vrac de renseignements d'origine électromagnétique. Comme expliqué dans la note 5 de bas de page de la directive présidentielle no 28 (PPD-28), on entend par collecte «en vrac» l'acquisition d'un volume relativement important d'informations ou de données issues du renseignement d'origine électromagnétique dans des conditions où les services de renseignement ne peuvent pas utiliser d'identifiant associé à une cible spécifique (tels que l'adresse électronique ou le numéro de téléphone de la cible) pour orienter la collecte. Toutefois, il ne s'agit pas pour autant d'une collecte «massive» ou «indifférenciée». En effet, PPD-28 exige également que «[l]es activités de renseignement d'origine électromagnétique sont aussi adaptées aux besoins que possible». Dans le cadre de ce mandat, les services de renseignement veillent à ce que, même lorsqu'il n'est pas possible d'utiliser des identifiants spécifiques pour cibler la collecte, les données à collecter soient susceptibles de contenir des renseignements étrangers qui répondront aux exigences définies par les responsables politiques américains, conformément à la procédure expliquée dans ma lettre précédente, et limitent la quantité d'informations non pertinentes collectées.

À titre d'exemple, les services de renseignement peuvent être amenés à acquérir des renseignements d'origine électromagnétique sur les activités d'un groupe terroriste opérant dans une région du Proche-Orient, dont on suppose qu'il planifie des attaques contre des pays d'Europe occidentale, mais sans connaître les noms, numéros de téléphone et adresses électroniques ou autres identifiants des individus associés à ce groupe terroriste. Nous pourrions choisir de cibler ce groupe en collectant des communications à destination et en provenance de cette région, qui seront ensuite passées au crible et analysées afin de déterminer les communications qui se rapportent à ce groupe. Ce faisant, les services de renseignement chercheraient à réduire autant que possible le champ de la collecte. Cette activité serait considérée comme une collecte «en vrac», puisque l'utilisation de discriminants n'est pas possible, mais il ne s'agirait pas d'une collecte «massive» ou «indifférenciée»: au contraire, elle serait orientée aussi précisément que possible.

Ainsi, même lorsqu'un ciblage au moyen de sélecteurs spécifiques n'est pas possible, les États-Unis ne collectent pas l'ensemble des communications provenant de l'ensemble des installations de communication existant dans le monde, mais ils appliquent des filtres et d'autres outils techniques pour orienter cette collecte vers les canaux de communication susceptibles de d'avoir une valeur en termes de renseignement étranger. De cette manière, les activités américaines de renseignement d'origine électromagnétique ne touchent qu'une fraction des communications transitant sur le réseau internet.

De plus, comme indiqué dans ma lettre précédente, du fait que la collecte «en vrac» comporte un plus grand risque de collecter des communications non pertinentes, la PPD-28 limite à six finalités spécifiques l'utilisation que les services de renseignement peuvent faire des renseignements d'origine électromagnétique collectés de cette façon. La PPD-28, et les politiques des agences qui la mettent en œuvre, imposent également des restrictions à la conservation et à la diffusion d'informations à caractère personnel acquises par le renseignement d'origine électromagnétique, indépendamment du mode de collecte — en vrac ou ciblée — et de la nationalité des personnes concernées.

Par conséquent, la collecte «en vrac» pratiquée par les services de renseignement n'est pas une collecte «massive» ou «indifférenciée», mais implique l'utilisation de méthodes et d'outils de filtrage afin d'orienter la collecte sur le matériel qui répondra aux exigences définies par les responsables politiques américains en matière de renseignement étranger, tout en réduisant autant que possible la collecte d'informations non pertinentes et en prévoyant des règles strictes pour protéger les informations non pertinentes qui pourraient être acquises. Les stratégies et les procédures décrites dans la présente lettre s'appliquent à tous les types de collecte en vrac de renseignements les signaux d'origine électromagnétique, y compris la collecte en vrac de communications à destination et en provenance de l'Europe, sans que cette lettre ne confirme ni l'infirme la réalité d'une telle collecte.

Vous avez également demandé un complément d'information sur le Conseil de surveillance de la vie privée et des libertés civiles (Privacy and Civil Liberties Oversight Board, PCLOB) et les inspecteurs généraux, et sur leurs compétences. Le PCLOB est une agence indépendante au sein de l'exécutif américain. Les cinq membres de ce conseil bipartite sont nommés par le Président des États-Unis et confirmé par le Sénat (50). Chaque membre du conseil a un mandat de six ans. Les membres et les effectifs du PCLOB bénéficient des habilitations de sécurité leur permettant de s'acquitter pleinement de leurs tâches et de leurs responsabilités statutaires (51).

La mission du PCLOB est de veiller à ce que les efforts déployés par le gouvernement fédéral pour lutter contre le terrorisme soient mis en balance avec la nécessité de protéger la vie privée et les libertés civiles. Le Conseil assume deux responsabilités essentielles: la surveillance et le conseil. Il définit lui-même son programme de travail et détermine quelles activités de surveillance ou de conseil il souhaite mener.

Dans le cadre de sa fonction de surveillance, le PCLOB passe en revue et analyse les mesures prises par l'exécutif pour protéger la nation contre le terrorisme, en veillant à ce que la nécessité de ces mesures soit mise en balance avec la nécessité de protéger la vie privée et les libertés civiles (52). La revue la plus récente dans ce domaine que le PCLOB ait mené à terme était centrée sur les programmes de surveillance mis en place en vertu de la section 702 de la FISA (53). Il procède actuellement à un examen des activités de renseignement menées en vertu du décret présidentiel 12333 (54).

Dans le cadre de sa fonction consultative, le PCLOB veille à ce que les enjeux dans le domaine des libertés soient dûment pris en compte lors de l'élaboration et de la mise en œuvre des lois, réglementations et politiques liées aux efforts déployés pour protéger la nation du terrorisme (55).

Afin de remplir sa mission, le Conseil est habilité par la législation à accéder à l'ensemble des archives, rapports, audits, réexamens, documents, notes, recommandations et autre matériel des agences, y compris les informations classifiées en conformité avec la loi (56). En outre, la Conseil peut interroger, prendre la déposition ou le témoignage public de tout agent ou employé du pouvoir exécutif (57). De plus, le Conseil peut demander par écrit que le procureur général délivre, en son nom, des citations à comparaître contraignant les parties n'appartenant pas à l'exécutif à fournir des informations requises (58).

Enfin, le PCLOB est statutairement soumis à des exigences de transparence à l'égard du public. Il s'agit notamment de tenir le public informé de ses activités en organisant des séances publiques et en rendant ses rapports accessibles au public, et ce, dans toute la mesure du possible, en conformité avec la protection des informations classifiées (59). Par ailleurs, le PCLOB est tenu de signaler les cas où une agence du pouvoir exécutif refuse de suivre ses conseils.

Les inspecteurs généraux (IG) au sein des services de renseignement (Intelligence Community, IC) effectuent des audits, des inspections et des réexamens de programmes et d'activités dans ce secteur pour identifier et traiter les risques systémiques, les faiblesses et les lacunes. En outre, les IG enquêtent en cas de plaintes ou d'allégations de violations de la législation ou de la réglementation, ou de mauvaise gestion; de gaspillage massif de fonds; d'abus de pouvoir; ou de menace concrète et spécifique pour la santé et la sécurité publiques découlant de programmes ou d'activité des services de renseignement. L'indépendance est la pierre angulaire de l'objectivité et de l'intégrité de chaque rapport, conclusion et recommandation émise par un IG. Le processus de nomination et de révocation des IG, la séparation des compétences opérationnelles, budgétaires et en matière de personnel; et la double exigence de rapport aux directeurs des agences de l'exécutif et au Congrès, entre autres aspects, forment la clé de voûte sur laquelle repose l'indépendance des IG.

Le Congrès a mis en place un bureau indépendant des IG dans chaque agence relevant du pouvoir exécutif, y compris dans chaque composante des services de renseignement (60). Depuis l'adoption de la loi d'habilitation des services de renseignement pour l'exercice 2015 (Intelligence Authorisation Act for Fiscal Year 2015), presque tous les IG exerçant une surveillance sur une composante des services de renseignement — y compris le ministère de la justice, l'Agence centrale de renseignement, l'Agence de sécurité nationale et les services de renseignement — sont nommés par le Président des États-Unis et entérinés par le Sénat (61). En outre, ces fonctionnaires ont un poste permanent, n'appartiennent à aucun parti et ne peuvent être révoqués que par le Président. Alors que la constitution des États-Unis dispose que le Président a le pouvoir de révoquer les IG, cette compétence a rarement été exercée; en pareil cas, le Président est tenu de présenter au Congrès une justification écrite dans un délai de 30 jours avant la révocation (62). Ce processus de nomination garantit que les agents de l'exécutif ne s'immiscent pas dans la sélection, la désignation ou la révocation d'un IG.

D'autre part, les IG disposent d'importances compétences statutaires pour effectuer des audits, des enquêtes et des réexamens concernant les programmes et les activités du pouvoir exécutif. Outre les enquêtes et examens de surveillance prévus par la loi, les IG ont toute latitude pour exercer leurs compétences de surveillance en passant en revue les programmes et activités de leur choix (63). Dans l'exercice de ces compétences, la loi garantit aux IG la fourniture de ressources indépendantes pour s'acquitter de leurs obligations, y compris le pouvoir d'engager leur propre personnel et de motiver séparément leurs demandes de crédits budgétaires au Congrès (64). La loi garantit aux IG l'accès aux informations nécessaires à l'exécution de leurs tâches. Ils ont notamment autorité pour avoir directement accès à l'ensemble des archives des agences et à tous les documents détaillant les programmes et activités d'une agence, quelle que soit leur classification; pour ordonner la production d'informations et de documents; et de faire prêter serment (65). Dans des cas limités, le directeur d'une agence relevant de l'exécutif peut interdire l'activité d'un IG si, par exemple, l'audit ou l'enquête menés par celui-ci portaient sensiblement atteinte aux intérêts nationaux des États-Unis. Là encore, l'exercice de cette compétence est extrêmement rare et, dans ce cas, le directeur de l'Agence devrait en notifier la motivation dans les 30 jours au Congrès (66). D'ailleurs, le directeur du renseignement national n'a jamais fait usage de cette compétence limitative à l'encontre des activités d'aucun IG.

Par ailleurs, les IG ont pour tâche de garder tant les directeurs des agences relevant du pouvoir exécutif que le Congrès pleinement et constamment informés, au moyen de rapports, des fraudes et autres problèmes graves, abus et irrégularités décelés dans les programmes et activités du pouvoir exécutif (67). L'obligation de double rapport renforce l'indépendance des IG, en assurant la transparence de leurs procédures de surveillance et en offrant aux directeurs des agences la possibilité de mettre en œuvre leurs recommandations avant que le Congrès ne puisse arrêter des mesures législatives. Ainsi, les IG sont légalement tenus de rédiger des rapports semestriels pour décrire les problèmes rencontrés ainsi que les mesures correctives adoptées jusque-là (68). Les agences relevant du pouvoir exécutif prennent les constatations et les recommandations des IG au sérieux et il n'est pas rare que les IG mettent en avant l'acceptation et l'application, par les agences, de leurs recommandations dans les rapports semestriels ou autres soumis au Congrès, et parfois communiqués au grand public (69). Outre cette activité de double rapport, les IG sont également chargés d'accompagner les lanceurs d'alerte au sein du pouvoir exécutif lorsqu'ils décident de divulguer aux commissions de surveillance compétentes du Congrès des fraudes, gaspillages ou abus dans les programmes et activités du pouvoir exécutif. Ceux qui se manifestent ainsi ont la garantie que leur identité ne sera pas divulguée au pouvoir exécutif, ce qui les met à l'abri d'éventuelles mesures de représailles interdites, d'ordre professionnel ou touchant à leur habilitation de sécurité, pour avoir communiqué des informations aux IG (70). Étant donné que les lanceurs d'alerte sont souvent à l'origine des enquêtes menées par les IG, la possibilité de faire part de leurs préoccupations au Congrès sans interférence du pouvoir exécutif accroît l'efficacité de la surveillance réalisée par les IG. En raison de cette indépendance, les IG peuvent favoriser le progrès de l'économie, de l'efficacité et la responsabilisation dans les agences relevant du pouvoir exécutif en toute objectivité et intégrité.

Pour finir, le Congrès a mis en place un conseil des inspecteurs généraux en faveur de l'intégrité et de l'efficacité (Council of Inspectors General on Integrity and Efficiency). Ce conseil, entre autres activités, élabore des normes pour les audits, les enquêtes et les réexamens des IG; encourage la formation; et a compétence pour se pencher sur les allégations d'action fautive des IG, exerçant ainsi un regard critique sur ces instances chargées de surveiller toutes les autres (71).

J'espère que ces informations pourront vous être utiles.

(1)  D'autres informations sur les activités de renseignement étranger américaines sont publiées en ligne et accessibles au public par le site IC on the Record (www.icontherecord.tumblr.com), site web public de l'ODNI destiné à accroître la visibilité des activités de renseignement du gouvernement pour le grand public.

(2)  Disponible à l'adresse https://www.whitehouse.gov/the-press-office/2014/01/17/presidential-policy-directive-signals-intelligence-activities.

(3)  Les agences répressives ou réglementaires peuvent demander des informations auprès des sociétés à des fins d'enquête aux États-Unis en vertu d'autres pouvoirs en matière pénale, civile et réglementaire non abordés dans le présent document, qui se limite aux pouvoirs en rapport avec la sécurité nationale.

(4)  Disponible à l'adresse www.icontherecord.tumblr.com/ppd-28/2015/privacy-civil-liberties#ppd-28. Ces procédures portent application des concepts de ciblage et de spécificité dont il est question dans cette lettre d'une manière qui est propre à chaque composante des services de renseignement.

(5)  Pour ne citer qu'un exemple, les procédures de la NSA mettant en œuvre la PPD-28 disposent que «[a]utant que possible, la collecte est effectuée à l'aide d'un ou plusieurs critères de sélection afin de l'orienter vers des cibles spécifiques de renseignement étranger (par exemple un terroriste ou groupe terroriste international connu spécifique) ou des sujets spécifiques de renseignement étranger (par exemple la prolifération d'armes de destruction massive par une puissance étrangère ou ses agents)».

(6)  Disponible à l'adresse http://www.dni.gov/files/documents/1017/PPD-28_Status_Report_Oct_2014.pdf.

(7)  Disponible à l'adresse http://www.dni.gov/files/documents/ICD/ICD%20204%20National%20Intelligence%20Priorities%20Framework.pdf.

(8)  Directive relative aux services de renseignement (ICD) 203, disponible à l'adresse http://www.dni.gov/files/documents/ICD/ICD%20203%20Analytic%20Standards.pdf.

(9)  Voir par exemple le rapport de l'inspecteur général du ministère américain de la justice, «A Review of the Federal Bureau of Investigation's Activities Under Section 702 of the Foreign Intelligence Surveillance Act of 2008» (septembre 2012), disponible à l'adresse https://oig.justice.gov/reports/2016/o1601a.pdf.

(10)  Voir www.dni.gov/clpo.

(11)  50 U.S.C. § 1881a.

(12)  Les États-Unis peuvent également obtenir des ordonnances judiciaires au titre d'autres dispositions de la FISA relatives à la production de données, notamment de données transférées au titre du bouclier de protection des données. Voir 50 U.S.C. § 1801 et suivants. Les titres I et III de la FISA, qui autorisent respectivement la surveillance électronique et les fouilles corporelles, nécessitent une ordonnance judiciaire (sauf en cas d'urgence) et, dans tous les cas, un motif raisonnable de croire que la cible est une puissance étrangère ou un agent d'une puissance étrangère. Le titre IV de la FISA autorise l'utilisation d'enregistreurs graphiques («Pen Registers») et de dispositifs de traçage (Trap and Trace devices) dans les activités autorisées de renseignement étranger ou de contre-espionnage ou les enquêtes antiterroristes. Le titre V de la FISA autorise le FBI, sur la base d'une ordonnance d'un tribunal (sauf en cas d'urgence), d'obtenir des documents professionnels pertinents aux fins d'une activité autorisée de renseignement étranger, de contre-espionnage ou d'une enquête antiterroriste. Comme expliqué ci-dessous, la loi USA FREEDOM interdit expressément l'utilisation d'ordonnances FISA autorisant les enregistreurs graphiques et dispositifs de traçage pour la collecte en vrac de renseignements et impose l'exigence d'un «critère de sélection spécifique» afin de veiller à ce que ces pouvoirs soient utilisés de manière ciblée.

(13)  Privacy and Civil Liberties Board, «Report on the Surveillance Program Operated Pursuant to Section 702 of the Foreign Intelligence Surveillance Act» (2 juillet 2014) («rapport du PCLOB»).

(14)  Voir Pub. L. No. 110-261, 122 Stat. 2436 (2008).

(15)  Voir 50 U.S.C. § 1881a(a) et (b).

(16)  Voir ibidem, § 1801(e).

(17)  Voir le rapport du PCLOB, point 99.

(18)  Voir 50 U.S.C. § 1881a(d) et (e).

(19)  Voir le rapport du PCLOB, point 111.

(20)  Ibidem.

(21)  Ibidem. au point 8; 50 U.S.C. § 1881a(l); voir également NSA Director of Civil Liberties and Privacy Report, «NSA's Implementation of Foreign Intelligence Surveillance Act Section 702» (ci-après le «rapport de la NSA») p. 4, disponible à l'adresse http://icontherecord.tumblr.com/ppd-28/2015/privacy-civil-liberties.

(22)  Director of National Intelligence 2014 Transparency Report, disponible à l'adresse http://icontherecord.tumblr.com/transparency/odni_transparencyreport_cy2014.

(23)  Les procédures de limitation sont disponibles aux adresses suivantes: http://www.dni.gov/files/documents/ppd-28/2014 %20NSA%20702%20Minimization%20Procedures.pdf («procédures de limitation de la NSA»); http://www.dni.gov/files/documents/ppd-28/2014%20FBI%20702%20Minimization%20Procedures.pdf; et http://www.dni.gov/files/documents/ppd-28/2014%20CIA%20702%20Minimization%20Procedures.pdf.

(24)  Voir le rapport de la NSA, p. 4.

(25)  Voir par exemple les procédures de limitation de la NSA, p. 6.

(26)  Les procédures des agences de renseignement au titre de la PPD-28 sont disponibles à l'adresse http://icontherecord.tumblr.com/ppd-28/2015/privacy-civil-liberties.

(27)  Voir les procédures de limitation de la NSA et la PPD-28, section 4.

(28)  Voir 50 U.S.C. § 1881(l); voir également le rapport du PCLOB, p. 66 à 76.

(29)  Voir l'évaluation semestrielle du respect des procédures et lignes directrices conformément à la section 702 de la loi sur la surveillance du renseignement étranger, publiée par le procureur général et le Directeur du renseignement national, p. 2 et 3, disponible à l'adresse http://www.dni.gov/files/documents/Semiannual%20Assessment%20of%20Compliance%20with%20procedures%20and%20guidelines%20issued%20pursuant%20to%20Sect%20702%20of%20FISA.pdf.

(30)  Règle 13 du règlement de procédure de la Cour FISA, disponible à l'adresse http://www.fisc.uscourts.gov/sites/default/files/FISC%20Rules%20of%20Procedure.pdf.

(31)  29 juillet 2013 — Lettre de M. Reggie B. Walton à M. Patrick J. Leahy, disponible à l'adresse http://fas.org/irp/news/2013/07/fisc-leahy.pdf.

(32)  Voir la section 401 de la loi USA FREEDOM, P.L. 114-23.

(33)  Voir 50 U.S.C. § 1881f.

(34)  Voir 50 U.S.C. § 1881a(l)(1).

(35)  Voir 50 U.S.C. § 1881a(l)(3). Certains de ces rapports sont classifiés.

(36)  Mem. Opinion and Order at 26 (FISC 2014), disponible à l'adresse http://www.dni.gov/files/documents/0928/FISC%20Memorandum%20Opinion%20and%20Order%2026%20August%202014.pdf.

(37)  Voir la loi USA FREEDOM de 2015, Pub. L. No. 114-23, § 401, 129 Stat. 268.

(38)  Voir ibidem, §§ 103, 201, 501. Les lettres de sécurité nationale sont autorisées par différentes dispositions législatives. Elles permettent au FBI d'obtenir des informations figurant dans des rapports de solvabilité, des états financiers et certains documents de transactions et d'abonnements électroniques de certains types de sociétés, uniquement dans un but de protection contre le terrorisme international ou les activités de renseignement clandestines. Voir 12 U.S.C. § 3414; 15 U.S.C. §§ 1681u et 1681v; 18 U.S.C. § 2709. Les lettres de sécurité nationale sont généralement utilisées par le FBI pour rassembler des informations essentielles ne portant pas sur le contenu lors des phases initiales des enquêtes antiterroristes et de contre-espionnage — comme l'identité d'un abonné à un compte qui pourrait avoir été en communication avec les membres d'un groupe terroriste comme l'EI. Les destinataires d'une lettre de sécurité nationale ont le droit de la contester devant un tribunal. Voir 18 U.S.C. § 3511.

(39)  Voir ibidem.

(40)  Voir ibidem § 401.

(41)  Voir ibidem § 602.

(42)  Voir ibidem.

(43)  Voir ibidem § 603.

(44)  Voir ibidem §§ 502(f) à 503.

(45)  Disponible à l'adresse http://www.dni.gov/index.php/intelligence-community/intelligence-transparency-principles.

(46)  Disponible à l'adresse http://www.dni.gov/files/documents/Newsroom/Reports%20and%20Pubs/Principles%20of%20Intelligence%20Transparency%20Implementation%20Plan.pdf.

(47)  Voir ibidem.

(48)  Disponible aux adresses: https://www.nsa.gov/civil_liberties/_files/nsa_report_on_section_702_program.pdf; https://www.nsa.gov/civil_liberties/_files/UFA_Civil_Liberties_and_Privacy_Report.pdf; https://www.nsa.gov/civil_liberties/_files/UFA_Civil_Liberties_and_Privacy_Report.pdf.

(49)  Voir:New York Times v. Department of Justice, 756 F.3d 100 (2d Cir. 2014); American Civil Liberties Union v. CIA, 710 F.3d 422 (D.C. Cir. 2014).

(50)  42 U.S.C. 2000ee(a), (h).

(51)  42 U.S.C. 2000ee(k).

(52)  42 U.S.C. 2000ee(d)(2).

(53)  Voir, sur un plan général, https://www.pclob.gov/library.html#oversightreports.

(54)  Voir, sur un plan général, https://www.pclob.gov/events/2015/may13.html.

(55)  42 U.S.C. 2000ee(d)(1); Voir également le document du PCLOB décrivant ses stratégies et procédures pour la fonction consultative (PCLOB Advisory Function Policy and Procedure, Policy 2015-004), disponible à l'adresse https://www.pclob.gov/library/Policy-Advisory_Function_Policy_Procedure.pdf.

(56)  42 U.S.C. 2000ee(g)(1)(A).

(57)  42 U.S.C. 2000ee(g)(1)(B).

(58)  42 U.S.C. 2000ee(g)(1)(D).

(59)  42 U.S.C. 2000eee(f).

(60)  Sections 2 et 4 de la loi relative aux inspecteurs généraux (Inspector General Act) de 1978, telle que modifiée; section 103H(b) et (e) de la loi sur la sécurité nationale (National Security Act) de 1947, telle que modifiée; section 17(a) de la loi relative à l'Agence centrale de renseignement (Central Intelligence Act).

(61)  Voir Pub. L. No. 113-293, 128 Stat. 3990, (19 décembre 2014). Seuls les IG pour l'Agence du renseignement militaire (Defense Intelligence Agency) et l'Agence nationale de renseignement géospatial (National Geospatial-Intelligence Agency) ne sont pas nommés par le Président; cependant, les IG du ministère de la défense et des services de renseignement disposent de compétences partagées pour ces agences.

(62)  Section 3 de l'Inspector General Act de 1978, telle que modifiée; section 103H(c) de la National Security Act; et section 17(b) de la Central Intelligence Act.

(63)  Voir sections 4(a) et 6(a)(2) de l'Inspector General Act de 1947; section 103H(e) et (g)(2)(A) de la National Security Act; section 17(a) et (c) de la Central Intelligence Act.

(64)  Sections 3(d), 6(a)(7) et 6(f) de l'Inspector General Act; sections 103H(d), (i), (j) et (m) de la National Security Act; sections 17(e)(7) et (f) de la Central Intelligence Act.

(65)  Section 6(a)(1), (3), (4), (5), et (6) de l'Inspector General Act; sections 103H(g)(2) de la National Security Act; section 17(e)(1), (2), (4), et (5) de la Central Intelligence Act.

(66)  Voir, par exemple, sections 8(b) et 8E(a) de l'Inspector General Act; section 103H(f) de la National Security Act; section 17(b) de la Central Intelligence Act.

(67)  Section 4(a)(5) de l'Inspector General Act; section 103H(a)(b)(3) et (4) de la National Security Act; section 17(a)(2) et (4) de la Central Intelligence Act.

(68)  Section 2(3), 4(a), et 5 de l'Inspector General Act; section 103H(k) de la National Security Act; section 17(d) de la Central Intelligence Act. Les rapports que l'inspecteur général du ministère de la justice a rendus publics sont disponibles à l'adresse http://oig.justice.gov/reports/all.htm. De même, l'inspecteur général des services de renseignement met ses rapports semestriels à la disposition du public à l'adresse https://www.dni.gov/index.php/intelligence-community/ic-policies-reports/records-requested-under-foia#icig.

(69)  Section 2(3), 4(a), et 5 de l'Inspector General Act; section 103H(k) de la National Security Act; section 17(d) de la Central Intelligence Act. Les rapports que l'inspecteur général du ministère de la justice a rendus publics sont disponibles à l'adresse http://oig.justice.gov/reports/all.htm. De même, l'inspecteur général des services de renseignement met ses rapports semestriels à la disposition du public à l'adresse https://www.dni.gov/index.php/intelligence-community/ic-policies-reports/records-requested-under-foia#icig.

(70)  Section 7 de l'Inspector General Act; section 103H(g)(3) de la National Security Act; section 17(e)(3) de la Central Intelligence Act.

(71)  Section 11 de l'Inspector General Act.

ANNEXE VII

Le 19 février 2016

Monsieur Antonipillai, Monsieur Dean,

La présente lettre vous propose un bref aperçu des principaux outils d'enquête utilisés pour obtenir des données commerciales et d'autres informations auprès de sociétés aux États-Unis à des fins de répression pénale ou d'intérêt public (en matière civile et réglementaire), ainsi que les limitations d'accès qui accompagnent ces compétences (1). Ces procédures légales sont de nature non discriminatoire dans la mesure où elles servent à obtenir des informations auprès de sociétés aux États-Unis, y compris des sociétés autocertifiées au titre du cadre du bouclier de protection des données États-Unis/UE, sans distinction de nationalité de la personne concernée. En outre, les sociétés qui font l'objet d'une procédure légale de leurs données aux États-Unis peuvent contester celui-ci devant une juridiction, comme indiqué ci-dessous (2).

Le quatrième amendement de la Constitution des États-Unis, particulièrement important en ce qui concerne la saisie de données par des autorités publiques, dispose que «[l]e droit des citoyens d'être protégés dans leurs personne, résidence, papiers et effets contre toute perquisition et saisie présentant un caractère déraisonnable est inviolable, et aucun mandat ne peut être délivré, si ce n'est pour de sérieux motifs appuyés par serment ou déclaration, ni sans qu'il décrive avec précision le lieu à fouiller et les personnes ou objets à saisir». Amendement IV de la Constitution américaine. Comme l'a jugé la Cour suprême des États-Unis dans l'arrêt Berger v. State of New York, «[l]a finalité première [de cet] amendement, telle que reconnue dans de nombreuses décisions de la Cour, est de protéger la vie privée et la sécurité des individus contre les intrusions arbitraires des responsables du gouvernement.» 388 U.S. 41, 53 (1967) [citant Camara v. Mun. Court of San Francisco, 387 U.S. 523, 528 (1967)]. Dans les enquêtes pénales nationales, le quatrième amendement exige généralement des responsables de l'application de la loi qu'ils obtiennent un mandat délivré par un tribunal avant de mener une perquisition. Voir Katz v. United States, 389 U.S. 347, 357 (1967). Lorsque l'obligation de mandat n'est pas applicable, le quatrième amendement soumet les activités du gouvernement à un critère de «caractère raisonnable». La Constitution elle-même garantit donc que le gouvernement américain n'a pas le pouvoir illimité ou arbitraire de saisir des informations privées.

Autorités répressives en matière pénale:

Les procureurs fédéraux, qui sont des agents du ministère de la justice (Department of Justice ou DOJ), et les enquêteurs fédéraux, y compris les agents du Federal Bureau of Investigation (FBI), un organe répressif relevant du DOJ, peuvent exiger la production de documents et d'autres informations auprès de sociétés aux États-Unis aux fins d'une enquête pénale en utilisant plusieurs types de procédures juridiques contraignantes, dont des citations à comparaître devant un grand jury («grand jury subpoenas»), des injonctions administratives et des mandats de perquisition, et peuvent également obtenir d'autres communications grâce aux pouvoirs fédéraux relatifs aux écoutes téléphoniques et aux enregistreurs graphiques.

Citations à comparaître devant un grand jury: celles-ci sont utilisées dans le cadre d'enquêtes d'application de la loi ciblées. Une citation à comparaître devant un grand jury est une demande officielle émanant d'un grand jury (généralement à la demande d'un procureur fédéral) pour les besoins d'une enquête judiciaire sur une suspicion de violation du droit pénal. Le grand jury est l'organe d'enquête de la cour. Il est présidé par un juge ou un magistrat. L'injonction peut contraindre une personne à témoigner dans le cadre d'une procédure ou à produire ou mettre à disposition des autorités les documents professionnels, informations électroniques ou autres éléments tangibles en sa possession. Les informations doivent être pertinentes pour l'enquête et l'injonction doit rester raisonnable, c'est-à-dire qu'elle ne peut être trop large, trop lourde ou trop oppressive. Le destinataire peut invoquer ces motifs pour contester une injonction. Voir Fed. R. Crim. P. 17. Dans de rares circonstances, les injonctions de comparution relatives à des documents peuvent être utilisées après la mise en accusation par le grand jury.

Injonctions administratives: les pouvoirs d'injonction administrative peuvent être exercés dans le cadre d'enquêtes pénales ou civiles. Dans le contexte de l'application du droit pénal, plusieurs actes législatifs fédéraux autorisent l'utilisation d'injonctions administratives pour obtenir la production ou la mise à disposition de documents professionnels, d'informations électroniques ou d'autres éléments tangibles dans des enquêtes sur des fraudes à l'assurance maladie, des abus d'enfants, la protection des services secrets, des abus de substances illégales et des enquêtes de l'inspecteur général impliquant des agences gouvernementales. Si les pouvoirs publics demandent l'exécution d'une injonction administrative à une juridiction, le destinataire de l'injonction peut, comme pour une injonction de comparution, faire valoir que l'injonction présente un caractère déraisonnable car elle est trop large, oppressive ou lourde.

Ordonnances judiciaires relatives aux enregistreurs graphiques et aux dispositifs de traçage: Au titre des dispositions relatives à l'utilisation d'enregistreurs graphiques et de dispositifs de traçage en matière pénale, les autorités répressives peuvent obtenir une ordonnance judiciaire afin d'accéder à des informations génériques de composition de numéro de téléphone, de routage, d'adressage et de signalisation, ne portant pas sur le contenu et en temps réel, sur un numéro de téléphone ou une adresse de courrier électronique, à condition de certifier que les informations à fournir sont en rapport avec une enquête pénale en cours .Voir 18 U.S.C. §§ 3121 à 3127. L'utilisation ou l'installation d'un tel dispositif en dehors du cadre prévu par la loi constitue une violation du droit fédéral.

Loi sur la confidentialité des communications électroniques (Electronic Communications Privacy Act ou ECPA): d'autres règles régissent l'accès des pouvoirs publics aux informations d'abonnement, données de trafic et contenus de communications enregistrés par des compagnies de téléphone fournissant un accès internet et d'autres fournisseurs de services tiers, conformément au titre II de l'ECPA, également appelée loi sur les communications enregistrées (Stored Communications Act, SCA) (18 U.S.C. §§ 2701 à 2712). La SCA établit un système de droits au respect de la vie privée empêchant les autorités répressives d'accéder aux données des clients et abonnés des fournisseurs de services internet au-delà de ce qui est prévu par le droit constitutionnel. La SCA prévoit des niveaux accrus de protection de la vie privée en fonction du caractère intrusif de la collecte. Pour les informations relatives à l'enregistrement des abonnés, les adresses IP et les données temporelles y afférentes, ainsi que les informations de facturation, les autorités répressives doivent obtenir une injonction. Pour la plupart des autres informations enregistrées ne portant pas sur le contenu, telles que les intitulés de courriers électroniques sans indication d'objet, elles doivent présenter des faits spécifiques à un juge afin de démontrer que les informations demandées sont pertinentes et nécessaires pour une enquête pénale en cours. Afin d'accéder au contenu enregistré de communications électroniques, les autorités répressives doivent, en règle générale, obtenir auprès d'un juge un mandat fondé sur un motif sérieux de croire que le compte en question contient des preuves d'une infraction grave. La SCA prévoit également des sanctions de responsabilité civile ainsi que des sanctions pénales.

Ordonnances judiciaires de surveillance conformément à la loi fédérale relative aux écoutes téléphoniques: les autorités répressives peuvent également intercepter en temps réel les communications filaires, orales ou électroniques pour les besoins d'une enquête pénale conformément à la loi fédérale relative aux écoutes téléphoniques. Voir 18 U.S.C. §§ 2510 à 2522. Ce pouvoir est soumis à l'octroi d'une ordonnance judiciaire par un juge estimant notamment qu'il existe un motif sérieux de croire que la mise sur écoute ou l'interception électronique permettra d'obtenir des preuves d'une infraction grave au droit fédéral ou des renseignements sur la localisation d'un fugitif cherchant à échapper à des poursuites. La législation prévoit des sanctions pénales et en responsabilité civile en cas de violation des dispositions relatives aux écoutes téléphoniques.

Mandat de perquisition — Règle 41: les autorités répressives peuvent procéder à des fouilles physiques de locaux aux États-Unis sur autorisation du juge. Elles doivent pour cela démontrer au juge qu'il existe un «motif sérieux» de penser qu'une infraction grave a été ou va être commise et que des éléments en rapport avec cette infraction pourraient se trouver à l'endroit spécifié dans le mandat. Ce pouvoir est souvent utilisé lorsque la fouille physique d'un local par la police est nécessaire compte tenu du risque que la société ne détruise les preuves si elle reçoit une injonction ou une autre ordonnance de production d'informations. Voir l'amendement IV de la Constitution américaine (abordé plus en détail ci-dessus), Fed. R. Crim. P. 41. La personne concernée par un mandat de perquisition peut chercher à faire annuler celui-ci au motif qu'il est trop large, qu'il est vexatoire ou qu'il a été obtenu de manière illégale. De même, les parties lésées ayant la qualité pour agir peuvent réclamer la suppression des preuves obtenues lors d'une fouille illégale. Voir Mapp v. Ohio, 367 U.S. 643 (1961).

Lignes directrices et politiques du DOJ: outre ces limitations constitutionnelles, législatives et réglementaires de l'accès des pouvoirs publics aux données, le procureur général a également publié des lignes directrices limitant davantage l'accès des autorités répressives aux données, qui contiennent également des protections concernant la vie privée et les libertés civiles. Par exemple, les lignes directrices du procureur général destinées aux activités intérieures du Federal Bureau of Investigation (FBI) (septembre 2008) (Attorney General's Guidelines for Domestic Federal Bureau of Investigation Operations, ci-après «AG FBI Guidelines»), disponibles à l'adresse http://www.justice.gov/archive/opa/docs/guidelines.pdf, limitent l'utilisation de moyens d'enquête pour l'obtention d'informations relatives à des enquêtes sur des infractions fédérales graves. Ces lignes directrices exigent du FBI qu'il utilise les méthodes d'enquête les moins intrusives possible, en tenant compte de leur impact sur la vie privée et les libertés civiles et du préjudice potentiel à la réputation des personnes concernées. Elles indiquent par ailleurs que «le FBI doit de toute évidence effectuer ses enquêtes et autres activités d'une manière licite et raisonnable, qui respecte la liberté et la vie privée et évite toute intrusion inutile dans la vie des personnes respectueuses de la loi». Voir les AG FBI Guidelines, p. 5. Le FBI a mis en œuvre ces lignes directrices au moyen du guide sur les enquêtes et activités intérieures du FBI (Domestic Investigations and Operations Guide, DIOG), disponible à l'adresse https://vault.fbi.gov/FBI%20Domestic%20Investigations%20and%20Operations%20Guide%20(DIOG). Il s'agit d'un manuel complet qui inclut des limitations détaillées de l'utilisation des outils d'enquête, ainsi que des orientations visant à garantir la protection des libertés civiles et de la vie privée dans toutes les enquêtes. D'autres règles et politiques limitant les activités d'enquête des procureurs fédéraux sont incluses dans le manuel des procureurs des États-Unis (United States Attorneys'Manual, USAM), également disponible en ligne à l'adresse http://www.justice.gov/usam/united-states-attorneys-manual.

Compétences civiles et réglementaires (intérêt public):

Il existe également des limitations importantes d'ordre civil ou réglementaire (autrement dit d'«intérêt public») à l'accès aux données détenues par des sociétés aux États-Unis. Les agences investies de responsabilités civiles et réglementaires peuvent adresser des injonctions aux sociétés afin d'accéder à des documents professionnels, à des informations électroniques ou à d'autres éléments tangibles. L'exercice, par ces agences, de leurs pouvoirs d'injonction administrative ou civile est limité non seulement par leur statut interne, mais aussi par un contrôle judiciaire indépendant des injonctions préalable à leur éventuelle application judiciaire. Voir par exemple Fed. R. Civ. P. 45. Les agences ne peuvent demander l'accès qu'aux données concernées par les domaines relevant de leur compétence. Par ailleurs, le destinataire d'une injonction administrative peut contester l'exécution de celle-ci devant un tribunal en démontrant que l'agence n'a pas respecté le principe fondamental du caractère raisonnable présenté ci-dessus.

Il existe d'autres bases juridiques permettant aux sociétés de contester des demandes de données émanant d'agences administratives, en fonction de leur secteur d'activité et du type de données en leur possession. Par exemple, les institutions financières peuvent contester les injonctions administratives réclamant certains types d'informations au motif d'une violation de la loi sur le secret bancaire et de ses modalités d'exécution. Voir 31 U.S.C. § 5318, 31 C.F.R. Partie X. Les autres sociétés peuvent invoquer la FAIR Credit Reporting Act (voir 15 U.S.C. § 1681b) ou d'autres dispositions législatives sectorielles. L'utilisation abusive par une agence de son pouvoir d'injonction peut entraîner la responsabilité de l'agence ou la responsabilité personnelle de ses employés. Voir par exemple la loi sur le droit à la confidentialité financière (Right to Financial Privacy Act), 12 U.S.C. §§ 3401 à 3422. Les tribunaux des États-Unis servent donc de remparts aux demandes réglementaires abusives et assurent une surveillance indépendante des activités des agences fédérales.

Enfin, tout pouvoir accordé par la loi aux autorités administratives pour saisir physiquement des documents d'une société aux États-Unis en vertu d'un mandat de perquisition doit respecter les exigences du quatrième amendement Voir See v. City of Seattle, 387 U.S. 541 (1967).

Conclusion

Toutes les activités réglementaires et répressives effectuées aux États-Unis doivent respecter le droit applicable, y compris la Constitution américaine, les actes législatifs, les règles et les règlements. Ces activités doivent également se conformer aux politiques applicables, notamment les lignes directrices du procureur général régissant les activités répressives des autorités fédérales. Le cadre juridique décrit ci-dessus limite la capacité des agences répressives et réglementaires américaines d'obtenir des informations de la part de sociétés aux États-Unis — qu'elles concernent des ressortissants américains ou des ressortissants de pays tiers — tout en permettant le contrôle judiciaire de toute demande de données adressée par les pouvoirs publics en vertu de ces compétences.

(1)  Le présent aperçu ne décrit pas les outils d'enquête utilisés aux fins de la sécurité nationale par les professionnels de l'application de la loi dans les enquêtes antiterroristes et autres enquêtes de sécurité nationale, notamment les lettres de sécurité nationale envoyées pour obtenir certaines informations figurant dans des rapports de solvabilité, des états financiers et des documents de transactions et d'abonnements électroniques (voir 12 U.S.C. § 3414; 15 U.S.C. § 1681u; 15 U.S.C. § 1681v; 18 U.S.C. § 2709) et pour la surveillance électronique, les mandats de perquisition, les dossiers commerciaux et d'autres collectes d'informations au titre de la loi sur la surveillance du renseignement étranger (Foreign Intelligence Surveillance Act, voir 50 U.S.C. § 1801 et suivants).

(2)  Le présent document a pour objet les pouvoirs réglementaires et répressifs octroyés au titre du droit fédéral; les violations du droit des États sont examinées par les États concernés et poursuivies devant les juridictions d'État. Les autorités d'État chargées de l'application de la loi font un usage des mandats de perquisition et des injonctions délivrés au titre du droit des États sensiblement identique à ce qui est décrit dans le présent document, à la différence que les traitements légaux relevant du droit des États peuvent être soumis à des protections au titre de la constitution d'un État plus rigoureuses que celles prévues par la Constitution américaine. Les protections octroyées par le droit des États doivent être au moins égales à celles découlant de la Constitution américaine, notamment — mais non exclusivement — de son quatrième amendement.

ANNEXE

CHAPITRE I

Définitions

Aux fins de la présente annexe, les définitions qui figurent dans le règlement (CE) no 1224/2009 du Conseil (1), le règlement d'exécution (UE) no 404/2011 de la Commission (2) et le règlement (UE) no 1380/2013 du Parlement européen et du Conseil (3) s'appliquent. Les définitions suivantes s'appliquent également.

1)    Navire actif : un navire qui participe à une quelconque opération de pêche (d'un jour ou plus) au cours d'une année civile. Un navire qui n'a participé à aucune opération de pêche au cours d'une année civile est réputé «inactif».

2)    Espèce anadrome : les ressources aquatiques vivantes dont le cycle de vie commence par une éclosion en eau douce suivie d'une migration vers des eaux salées puis d'un retour et finalement d'une ponte en eau douce.

3)    Espèce catadrome : les ressources aquatiques vivantes dont le cycle de vie commence par une éclosion en eau salée suivie d'une migration vers des eaux douces puis d'un retour et finalement d'une ponte en eau salée.

4)    Fraction des captures : une partie du total des captures, telle que la partie des captures débarquées dont la taille est supérieure à la taille minimale de référence de conservation, la partie des captures débarquées dont la taille est inférieure à la taille minimale de référence de conservation, la partie des captures rejetées dont la taille est inférieure à la taille minimale de référence de conservation, les rejets de minimis ou les rejets.

5)    Jour en mer : toute période continue de 24 heures (ou une partie de celle-ci) durant laquelle un navire est présent dans une zone et absent du port.

6)    Jour de pêche : un jour civil en mer au cours duquel se déroule une opération de pêche, sans préjudice des obligations internationales de l'Union et de ses États membres. Une sortie de pêche peut contribuer à la fois à la somme des jours de pêche pour les engins passifs et à la somme des jours de pêche pour les engins actifs lors de cette sortie.

7)    Lieu de pêche : (un groupe d')unités géographiques où la pêche est pratiquée. Ces unités font l'objet d'un accord au niveau de la région marine sur la base des zones existantes et définies par les organisations régionales de gestion des pêches ou les organismes scientifiques.

8)    Segment de flotte : un groupe de navires appartenant à la même classe de longueur (longueur hors tout, LHT) et ayant le même engin de pêche prédominant durant l'année.

9)    Métier : un groupe d'opérations de pêche ciblant un ensemble similaire d'espèces, effectué au moyen d'un engin similaire (4) durant la même période de l'année et/ou dans la même zone et caractérisé par un profil d'exploitation similaire.

10)    Campagne de recherche océanographique : des sorties effectuées sur un navire de recherche ou un navire consacré à la recherche scientifique en vue de la surveillance des stocks et de l'écosystème et désigné à cet effet par l'instance chargée de la mise en œuvre du plan de travail national établi conformément à l'article 21 du règlement (UE) no 508/2014.

CHAPITRE II

Méthodes de collecte de données

Les méthodes de collecte des données et la qualité des collectes sont adaptées aux fins prévues définies à l'article 25 du règlement (UE) no 1380/2013 et correspondent aux meilleures pratiques et méthodes pertinentes recommandées par les organismes scientifiques compétents. À cette fin, les méthodes et les résultats de l'application des méthodes sont examinés à intervalles réguliers par des organismes scientifiques indépendants, en vue de vérifier leur pertinence à l'égard de la gestion de la politique commune de la pêche.

CHAPITRE III

Exigences en matière de données

1.   Ensemble de données

2.   Données biologiques concernant les stocks capturés par la pêche commerciale de l'Union, dans les eaux de l'Union et en dehors des eaux de l'Union, et par la pêche récréative dans les eaux de l'Union

Ces données sont composées des éléments suivants: