Tant Google que Microsoft s’efforcent réellement non seulement d’être conformes concernant les informations qu’ils ont dû divulguer, mais aussi d’expliquer qu’ils font de leur mieux pour minimiser l’importance de ce qu’ils ont divulgué.

Une grande distinction est faite entre la « divulgation de contenu » et la « divulgation hors contenu » (métadonnées). Il y a beaucoup moins de divulgations de contenu, mais le hic, c’est que les données les plus importantes se trouvent dans les métadonnées : qui a communiqué avec qui, à quel moment ? Un courriel comportait-il une pièce jointe ? Quelle était la localisation du smartphone au moment où ce chat chiffré a été envoyé, et où se trouvait le destinataire ? À quelle fréquence communiquent-ils ? Pendant combien de temps ? Quel appareil a été utilisé ? Les joueurs Xbox avaient-ils un compte payant ? La personne a-t-elle tapé son mot de passe ou l’a-t-elle collé ? Les métadonnées sont souvent décrites simplement comme « l’enveloppe » d’une lettre. Malheureusement, elles contiennent bien plus d’informations.

Ainsi, tous les 6 mois, Google et Microsoft publient leurs rapports sur les demandes gouvernementales.

• Rapport Microsoft sur les demandes gouvernementales de données clients
• Rapport Google sur les demandes gouvernementales de données clients

# Contexte

# Chaque pays peut assigner…

Chaque pays peut assigner Google ou Microsoft dans le cadre des fondements juridiques propres à ce pays. En examinant les données pour le premier semestre 2025, voici ce que nous observons :

• Microsoft : 28 593 demandes, pour un total de 101 115 comptes (59 pays)
• Google : 313 424 demandes, 724 861 comptes (107 pays)

En examinant les chiffres historiques des deux rapports, nous constatons la même tendance pour les deux : non seulement le nombre augmente régulièrement, mais le nombre de comptes par demande progresse également. Le pic de 2025 pour les comptes belges est particulièrement surprenant. À ce stade, nous n’avons pu trouver d’explication à cela, mais cela mériterait des recherches.

# … mais les États-Unis ont leurs propres lois.

Des entreprises comme Google et Microsoft sont liées par la loi et l’expriment explicitement dans leurs principes. Comme elles sont aussi soumises au droit américain en tant qu’entreprises américaines, cela engendre parfois un dilemme. Ici, FISA 702 et l’Executive Order 12333 sont les plus importants. Nous disposons de chiffres approximatifs pour FISA, mais nous n’avons même pas d’informations sur l’EO 12333.

# Google et Microsoft

Google et Microsoft partagent leurs chiffres agrégés concernant les demandes FISA pour le S1 2025 :

Il est clair que, bien que le nombre de demandes puisse être assez limité, un nombre significatif de comptes en est affecté. Microsoft souligne que les utilisateurs ont parfois plusieurs comptes, de sorte que le nombre d’utilisateurs concernés peut être quelque peu inférieur. De plus, Google nous montre une tendance : les comptes FISA hors contenu sont passés d’environ 27 500 (S1 2021) à environ 75 500 (S1 2025) : presque triplé en quatre ans. Les comptes de contenu sont passés d’environ 89 000 à environ 177 500, soit un peu plus du double.

Tant Google que Microsoft signalent entre moins de 500 demandes de contenu FISA et moins de 500 demandes hors contenu. Cela situe le nombre total quelque part entre 0 et 1000 demandes… mais le nombre de comptes liés à ces moins de mille demandes nous donne un chiffre légèrement plus précis, puisque les chiffres doivent être communiqués par tranches de 500 : un peu plus de 210 000 comptes affectés.

# Particulier vs entreprise : le particulier est sous-protégé

L’analyse montre que Google (Android, Google Drive, Gmail, YouTube) est beaucoup plus activement utilisé par les particuliers, tandis que Microsoft a une clientèle bien plus orientée entreprises. Le nombre de comptes affectés (tant par les assignations nationales que par les demandes FISA) est clairement bien plus élevé dans l’écosystème Google que dans celui de Microsoft. Mais même dans l’environnement Microsoft, le graphique Demandes pour les données clients d’entreprise montre qu’il y a eu 28 000 demandes concernant les particuliers et seulement 168 demandes concernant les entreprises (0,6 %).

Il est clair qu’il est beaucoup plus facile d’obtenir des données sur des particuliers que sur des entreprises. Il pourrait être utile de chercher comment les particuliers peuvent obtenir un aperçu de ces demandes d’information ou s’en protéger.

# Impact de l’IA et des LLM sur les demandes

Une conséquence émergente de ce nombre croissant de demandes est que d’importants volumes de données sont collectés. Deux approches potentielles nouvelles ne sont pas clairement couvertes par la législation actuelle :

1. Tant Microsoft que Google disposent d’un LLM intégré dans leur écosystème. Est-il possible pour les forces de l’ordre ou les services de renseignement d’interagir avec ces LLM ?
2. Si ces ensembles de données sont récoltés, de quelle manière sont-ils traités ? Bien que l’usage prévu soit clair, ces ensembles seront-ils également ingérés par de grands modèles d’IA qui serviront ensuite à entraîner des outils de surveillance ? Si tel est le cas, cela discriminera clairement les particuliers (et sous-représentera les entreprises), puisqu’ils constituent l’essentiel (99,4 %) du jeu de données.

# Conclusion

À l’examen de l’analyse approfondie qui suit, la conclusion semble être que, bien qu’il existe certains garde-fous protégeant les particuliers et les entreprises, ceux-ci sont affaiblis et sujets à des abus.

Pour tout organisme du secteur public belge évaluant les fournisseurs de cloud américains, ces trois instruments signifient collectivement que la souveraineté des données ne peut être garantie contractuellement, indépendamment des engagements de résidence des données. L’évaluation doit porter sur la mesure dans laquelle l’exploitation des (méta)données stockées via ces services peut affecter la liberté et l’intégrité des citoyens belges et européens individuellement ou en tant que société.

# Analyse approfondie : lois extraterritoriales américaines pertinentes

Pour mieux comprendre les lois américaines qui affectent notre vie privée et notre souveraineté, nous procédons à une analyse approfondie de FISA 702 et expliquons brièvement ce que sont l’Executive Order 12333 et le CLOUD Act. Il apparaît que FISA 702, en particulier, est sous-représenté dans la conscience publique.

# FISA 702

Source principale : la Documentation officielle FISA 702.

# Étape 1 : Certifications

Le procureur général (Attorney General, AG) et le directeur du renseignement national (Director of National Intelligence, DNI) soumettent des « certifications » d’une durée maximale d’un an à la Foreign Intelligence Surveillance Court (FISC), précisant les catégories de renseignement étranger que la communauté du renseignement (IC) peut collecter en vertu de la Section 702. Il existe quatre certifications, couvrant :

• les gouvernements étrangers et entités liées
• la lutte contre le terrorisme
• la lutte contre la prolifération
• la lutte contre les stupéfiants

Le procureur général était jusqu’à récemment Pam Bondi, et il s’agit désormais de Todd Blanche ; cette personne est nommée par le président — donc une personne alignée. La directrice du renseignement national est Tulsi Gabbard. Elle est également connue pour être fortement alignée sur le président.

Les gouvernements étrangers sont clairement dans le périmètre, y compris les « entités liées » (ce qui n’est pas clairement défini. Les sous-traitants gouvernementaux aussi ?)

# Étape 2 : Procédures

Avec les certifications, l’AG et le DNI soumettent également :

• Procédures de ciblage : garantir que la Section 702 n’est utilisée que pour acquérir des informations de renseignement étranger auprès de personnes étrangères situées hors des États-Unis.
• Procédures de minimisation : règles visant à protéger toute information sur des personnes américaines acquise incidemment via la Section 702.
• Procédures d’interrogation : régissent la manière dont les agences interrogent les informations non minimisées acquises via la Section 702.

Il est clair que ces procédures ne font rien pour protéger les citoyens belges/européens.

# Étape 3 : Examen par la FISC

La FISC examine les certifications et les procédures pour s’assurer qu’elles respectent à la fois la FISA et le Quatrième Amendement, en tenant compte de l’historique de conformité de la collecte au titre de la Section 702.

La FISC est tenue de désigner des amici curiae (amis de la cour) pour fournir un éclairage supplémentaire dans les délibérations. Les juges de la FISC nomment eux-mêmes les amici curiae. Il n’existe ni contrôle externe ni processus de confirmation. L’American Civil Liberties Union (ACLU) a, à plusieurs reprises, demandé la possibilité d’admettre de véritables experts indépendants, mais cela n’a jamais été accordé. Les amici curiae ne sont donc nommés que dans des cas exceptionnels et forment rarement une opposition.

Les juges de la cour sont nommés exclusivement par le chef de la justice des États-Unis (Chief Justice), sans confirmation ni contrôle du Congrès américain. Le Chief Justice est nommé par le président.

• Influence indirecte : le président ne peut pas nommer directement les juges de la FISC, mais le Chief Justice (nommé par le président) joue un rôle clé. Un président qui nomme un Chief Justice avec une certaine philosophie judiciaire peut façonner la composition de la cour à long terme.
• Pression exécutive : bien que la cour soit indépendante en théorie, le pouvoir exécutif (par exemple, le procureur général, le FBI, la NSA) soumet les demandes et peut faire pression pour obtenir des pouvoirs de surveillance plus étendus. La nature secrète de la cour rend difficile de savoir si une telle pression a influencé les décisions.
• Aucun contrôle direct : le président n’exerce pas de contrôle direct sur les opérations de la FISC, mais le pouvoir exécutif peut influencer la cour en façonnant l’environnement juridique et politique dans lequel elle opère.

L’extension de la Section 702 permettant à la NSA de rechercher les communications d’Américains sans mandat a été approuvée pour la première fois par la FISC en 2017, mais l’extension majeure et la réautorisation de 2024 — qui ont encore élargi les pouvoirs de surveillance du gouvernement — ont été promulguées par le président Joe Biden en avril 2024. La décision de 2017 a été prise sous l’administration Trump, tandis que l’extension de 2024 s’est produite sous Biden.

Conclusion : la FISA ne protégera pas les non-citoyens américains (par ex. de l’UE) et le Quatrième Amendement (perquisitions et saisies abusives) ne protège pas les non-citoyens américains.

Les trois étapes ci-dessus constituent le cycle de certification annuel qui établit le cadre juridique. Les étapes suivantes décrivent ce qui se produit si une entreprise conteste une directive de collecte spécifique dans ce cadre — ce qui, en pratique, se produit rarement.

# Étape 4 : Ordonnance

La FISC rend un avis écrit expliquant son raisonnement. Lorsque la FISC émet une ordonnance, les entreprises peuvent faire appel devant la FISC Court of Appeals. Ce n’est qu’une fois la décision sur cet appel rendue que le gouvernement américain peut contraindre les entreprises à soutenir la collecte au titre de la Section 702.

En pratique, cela ne se produit que très rarement, car c’est un risque important à prendre.

• Secret et manque de transparence : la FISC et la FISCR opèrent dans le secret, la plupart des avis et raisonnements étant caviardés. Les entreprises ne peuvent pas contester publiquement les ordonnances ni même en discuter sans risquer des conséquences juridiques.
• Pas de véritable processus contradictoire : le système est conçu pour favoriser le gouvernement. Les entreprises n’ont aucun moyen significatif de présenter des contre-arguments ou de contester la nécessité de la surveillance. Même avec les amici curiae (amis de la cour), il s’agit généralement d’experts favorables au gouvernement, et non de défenseurs de la vie privée ou des libertés civiles.
• Risques juridiques et financiers : contester une ordonnance de la Section 702 est risqué pour les entreprises. Elles risquent de perdre l’accès à des contrats gouvernementaux, de faire face à des sanctions juridiques pour non-conformité ou d’être passibles de poursuites pénales pour la divulgation d’informations classifiées. La plupart des entreprises se conforment sans contestation pour éviter ces risques.
• Levier gouvernemental : le gouvernement a historiquement été en mesure d’imposer la conformité même après des contestations. Par exemple, après que Yahoo a contesté un statut de surveillance antérieur en 2008, le gouvernement a remporté la bataille judiciaire pour forcer Yahoo à se remettre en conformité.
• Extension de 2024 : le Reforming Intelligence and Securing America Act (RISAA), adopté en 2024, a encore étendu la capacité du gouvernement à imposer une assistance technique à un éventail plus large d’entreprises, y compris les centres de données et d’autres entités qui n’étaient pas traditionnellement considérées comme des ECSP. Cela rend encore plus difficile pour les entreprises d’éviter de se conformer aux ordonnances.

# Étape 5 : Directives

Ce n’est qu’après l’approbation par la FISC des certifications, y compris des procédures de ciblage, de minimisation et d’interrogation, que l’AG et le DNI peuvent contraindre les fournisseurs américains de services de communications électroniques à apporter leur aide à la collecte contre les cibles autorisées au titre de la Section 702.

À ce stade, une entreprise basée aux États-Unis (même avec des implantations hors des États-Unis) peut être légalement contrainte de se conformer.

# Étape 6 : Collectes

Le gouvernement utilise les informations recueillies au titre de la Section 702 pour protéger les États-Unis et leurs alliés contre des adversaires étrangers hostiles, notamment les terroristes, les proliférateurs, les espions, les pirates informatiques et les trafiquants de drogue internationaux.

« Adversaires étrangers hostiles » est un terme vague. Il est documenté que certains groupes de population ou certaines situations sont décrits comme hostiles aux États-Unis.

# Conclusion FISA

• Les garde-fous contre les biais politiques et les abus ne sont pas solidement présents
• S’opposer à une demande FISA est difficile à combattre ou à refuser (pratiquement impossible)
• La loi actuelle interdit aux destinataires d’ordonnances FISA de divulguer l’existence d’une ordonnance FISA
• Seules des statistiques vagues (approximatives) sont publiées 6 mois après les faits, mais elles montrent néanmoins une croissance régulière, année après année, du nombre de demandes FISA

Cela a un impact sévère sur la souveraineté non américaine.

# CLOUD Act vs RGPD art. 48

Avant le CLOUD Act, il existait une zone grise juridique : les forces de l’ordre américaines pouvaient assigner une entreprise américaine pour obtenir des données, mais si ces données étaient physiquement stockées hors des États-Unis, les entreprises soutenaient qu’elles ne pouvaient pas se conformer sans violer la loi locale. Microsoft a effectivement porté ce différend jusqu’à la Cour suprême (US v. Microsoft, 2018) — et le Congrès a rendu l’affaire sans objet en adoptant le CLOUD Act alors qu’elle était pendante. Le CLOUD Act a tranché l’ambiguïté en faveur du gouvernement : une entreprise américaine doit produire les données qu’elle contrôle, peu importe où elles sont physiquement stockées. Le critère juridique est « la possession, la garde ou le contrôle ». Tandis que les ordonnances de bâillon FISA sont permanentes, le CLOUD Act prévoit également des moyens d’imposer des ordonnances de bâillon temporaires (et le fait dans environ 1 cas sur 3).

La seconde partie du CLOUD Act reçoit moins d’attention mais est sans doute plus significative pour l’Europe. Elle permet aux États-Unis de négocier des accords exécutifs avec d’autres gouvernements (en contournant entièrement la ratification par traité), permettant aux forces de l’ordre étrangères d’envoyer des demandes de données directement aux entreprises américaines, en sautant le lent processus du Mutual Legal Assistance Treaty (MLAT). Le Royaume-Uni (depuis 2020) et l’Australie ont déjà un tel accord, et des négociations sont en cours avec le Canada et l’UE. Ce que cela signifie en pratique : si un accord CLOUD Act US-UE est signé, la police fédérale belge pourrait théoriquement envoyer une demande directe à Microsoft ou Google pour des données concernant un suspect belge. Mais les États-Unis pourraient également envoyer des demandes affectant des personnes concernées européennes, selon des termes négociés entre exécutifs sans ratification parlementaire de part et d’autre.

Tandis que FISA 702 effectue une collecte programmatique et l’EO 12333 une collecte de masse au niveau de l’infrastructure, le CLOUD Act fonctionne au cas par cas avec une demande juridique spécifique.

• L’article 48 du RGPD dit : les transferts fondés sur des décisions de justice étrangères ne sont licites que s’ils sont fondés sur un accord international reconnu par le droit de l’UE.
• Le CLOUD Act dit : produisez les données peu importe où elles sont stockées. Ces deux instruments juridiques pointent dans des directions opposées et aucun tribunal n’a définitivement résolu le conflit. Microsoft et Google sont techniquement dans une position impossible : se conformer au CLOUD Act et potentiellement violer le RGPD, ou refuser et faire face à des conséquences juridiques américaines. En pratique, les entreprises se conforment au CLOUD Act et gèrent silencieusement l’exposition au RGPD. Le Comité européen de la protection des données a signalé ce conflit à plusieurs reprises, mais des actions d’application contre les entreprises pour conformité au CLOUD Act ne se sont pas matérialisées à grande échelle.

Microsoft désigne Microsoft Ireland Operations Limited (MIOL) comme l’entité juridique servant les clients de l’UE, sous-entendant que la juridiction de l’UE prévaut. Cependant, le critère du CLOUD Act sur la « possession, garde ou contrôle » contourne cela : les tribunaux américains demandent si la société mère américaine peut accéder aux données, et non qui a signé le contrat client. Au mieux, MIOL crée un obstacle procédural.

# Executive Order 12333

Celui-ci est particulièrement problématique. Le PCLOB (Privacy and Civil Liberties Oversight Board) a conclu en 2014 que la surveillance EO 12333 constitue le plus grand volet de la collecte de la NSA en volume, et que les personnes non-américaines n’y bénéficient quasiment d’aucune protection significative. La Cour de justice de l’Union européenne a fait référence à ce point dans l’arrêt Schrems II (2020) comme l’une des raisons de l’invalidation du cadre Privacy Shield. L’EO 12333 est une directive présidentielle : elle peut être réécrite, étendue ou réinterprétée par décret exécutif seul, sans qu’aucun vote du Congrès soit requis. L’administration actuelle a activement démantelé le PCLOB : les membres du conseil ont été démis début 2025, le laissant sans quorum. L’organe de contrôle qui a produit l’évaluation de 2014 ne fonctionne plus comme prévu, ce qui signifie que « le plus grand volet de la collecte de la NSA » fait désormais l’objet d’un examen encore moindre que lorsque cette évaluation a été rédigée. Toutes les « limitations » énoncées dans le texte actuel de l’EO 12333 ne sont durables que dans la mesure où l’exécutif actuel ou suivant le souhaite.

Pourtant, malgré ce contexte amer, voici comment Microsoft le présente :

L’Executive Order (EO) 12333 est une directive présidentielle qui organise les activités de renseignement américaines et réglemente la collecte de renseignement étranger de certains composants de la communauté du renseignement américaine. Surtout, l’EO 12333 ne comporte aucune autorisation de contraindre des entreprises privées, telles que Microsoft, à divulguer des données clients, et Microsoft ne se conformerait pas à une demande du gouvernement américain au titre de l’EO 12333 visant à fournir volontairement des données personnelles.

L’EO 12333 n’a pas besoin de contraindre Microsoft à quoi que ce soit, car il autorise une collecte qui se produit en amont de Microsoft (au niveau du réseau, avant que les données n’atteignent ou ne quittent les serveurs de Microsoft). Exemples concrètement documentés :

• MUSCULAR (2013, Snowden) : la NSA et le GCHQ ont mis sur écoute les liaisons fibre entre les centres de données de Google et de Yahoo. Du trafic qui n’était pas chiffré en interne entre leurs propres infrastructures. Aucune ordonnance judiciaire. Aucune notification à l’entreprise.
• Collecte UPSTREAM : la NSA met sur écoute l’infrastructure dorsale d’Internet en vertu de l’autorité de l’EO 12333, interceptant le trafic en transit. Microsoft et Google peuvent ne pas avoir connaissance de ce qui arrive aux données de leurs utilisateurs.