Ce qu'un gouvernement peut exiger

Les géants de la tech reçoivent chaque année un grand nombre de demandes officielles portant sur les données de leurs utilisateurs, dont beaucoup dans le cadre d'enquêtes pénales. La règle est simple : si une entreprise peut lire vos données, elle peut être contrainte de les remettre.

Des messages qui n'étaient pas chiffrés

En 2022, Meta a remis à la police du Nebraska, sur mandat, les messages Facebook échangés entre une mère et sa fille adolescente. Ces messages ont ensuite servi dans des poursuites liées à un avortement. Meta a déclaré que les mandats ne mentionnaient pas l'avortement et étaient assortis d'obligations de confidentialité qui l'empêchaient d'en parler (NPR, Meta). À l'époque, les conversations Messenger n'étaient pas chiffrées de bout en bout par défaut. Les conversations personnelles sur Messenger le sont désormais : Meta a commencé à les basculer en décembre 2023 (Meta).

Les métadonnées suffisent souvent

Même lorsque le contenu des messages est chiffré, les métadonnées (à qui vous parlez, quand et d'où) ne le sont souvent pas. Selon un document interne du FBI datant de 2021, WhatsApp peut indiquer à la police à qui une personne visée envoie des messages, et quand, toutes les 15 minutes, en réponse à une ordonnance dite « pen register ». Le contenu des messages n'est pas inclus.

Même les entreprises soucieuses de la vie privée doivent obéir

Les entreprises axées sur la vie privée doivent elles aussi respecter la loi du pays où elles sont établies. Proton, par exemple, a remis à la police une adresse IP et une adresse e-mail de récupération à la suite d'ordonnances judiciaires suisses (détails). La différence, c'est que Proton ne peut pas remettre le contenu de vos e-mails stockés, car ils sont chiffrés avec des clés qu'il ne détient pas. (Les objets et les adresses ne sont pas protégés de la même manière.)

Le pays où l'entreprise est établie compte

Les entreprises américaines peuvent être contraintes, par des lois comme le CLOUD Act, de remettre les données qu'elles contrôlent, même si elles sont stockées dans un autre pays. D'autres pays offrent une protection plus forte ou plus faible, et les lois changent.

Ce que vous pouvez faire

• Préférez le chiffrement de bout en bout pour les messages, les fichiers et les sauvegardes : il n'y a alors rien de lisible à remettre.
• Réduisez les métadonnées. N'associez pas une adresse e-mail de récupération ou un numéro de téléphone personnels à des comptes qui doivent rester anonymes.
• Consultez les rapports de transparence. Les entreprises qui publient le nombre de demandes qu'elles reçoivent, et la fréquence à laquelle elles s'y opposent, gagnent des points dans notre catégorie transparence.