Noyé dans le vote du budget de l'Etat, qui compte quelques 2.000 pages, le texte américain tente d'imposer en douce le principe d'extraterritorialité, dans la logique du « Make America great again ».
«Ça a été décidé de manière très précipitée, ça n'a pas été voté, ça n'a pas été harmonisé avec le RGPD européen. Il y a un vrai problème de compatibilité», commente Antoine Lefebure, journaliste et historien spécialiste des systèmes de communication.
Le Cloud Act vise à contraindre les entreprises à divulguer des informations personnelles sur leurs utilisateurs dans le cadre d'enquêtes, même lorsque celles-ci ne sont pas stockées sur le territoire américain… Le problème, c'est que le texte reste flou sur les modalités et les objectifs:
«Le Cloud Act est assez vague la dessus […] Si c'était dans une procédure criminelle, avec un contrôle judiciaire, on pourrait à peu près le comprendre. Mais là, c'est absolument vague et général. Donc c'est très problématique pour les libertés, mais aussi les entreprises», poursuit Antoine Lefebure, pour qui le Cloud Act «sape» l'initiative européenne.
Un avis que partage également Yannick Harrel, expert et professeur en cyber stratégie, auteur d'ouvrages sur le sujet:
«Il n'est pas impossible que cela serve d'autres intérêts […] Il peut y avoir des enquêtes entièrement justifiées dans un premier temps, crime organisé, terrorisme, etc. Mais dans la réalité, ça peut dévier vers [la défense, ndlr] des intérêts américains […]»
«Le Cloud Act entre directement en conflit avec l'article 48 du RGPD», explique Yannick Harrel. La bonne nouvelle, c'est que «l'article 48 propose une porte de sortie», à savoir que les données peuvent être transférées à un pays tiers «à la condition qu'elles soient fondées sur un accord international». Ce n'est pas encore le cas, et l'Europe va devoir s'imposer.
«Ça va être un des nombreux défis que l'UE va affronter […] Quel est son poids géopolitique réel par rapport aux Etats-Unis? Si elle en a les moyens, elle imposera aux Etats-Unis la formalisation d'un accord international […] On verra s'ils sont dans un état de sujétion ou de souveraineté numérique»
Pour Yannick Harrel, «C'est un cheval de Troie dont la portée ne pourra être limitée que si l'UE fait acte de fermeté politique». Mais le fera-t-elle vraiment?
Trump fera pression, car il en a les moyens, sur eux [les géants du Web, nldr] pour qu'ils collaborent à la protection des intérêts américains. […] Les américains sont patriotes. Les Européens n'ont pas ce sentiment d'appartenance à une entité située à Bruxelles et dont les contours sont parfois un peu flous.»
Derrière la promesse du patron de Facebook, pris dans la tourmente du scandale Cambridge Analycita, d'être plus vigilant sur le traitement des données personnelles qu'il vend, son modèle économique restera le même, et les données ne seront pas plus protégées:
«Ça arrange Facebook, qui dira que ce n'est pas de son ressort… C'est l'administration américaine. Pour Facebook, ce n'est pas une volonté d'intrusion dans la vie privée […] Pour les Data effectivement, ils vont éviter qu'il y ait des utilisations abusives, mais ce n'est pas pour autant qu'ils vont protéger les données.»
En marge du salon VivaTech organisé par Publicis et Les Échos, qui se tient à Paris Porte de Versailles du 24 au 26 mai, Emmanuel Macron a prévu de rencontrer la veille une cinquantaine de dirigeants de la Sillicon Valley, dont Mark Zuckeberg, PDG de Facebook. L'Élysée assure que tous les sujets seront abordés de manière «très franche», au cours de discussion qui « vont être assez rudes». Antoine Leferbure est sceptique:
«La France ne peut pas interdire Facebook en France, ça serait ridicule. Il ne peut pas faire grand-chose, à part demander d'augmenter ses investissements dans la recherche et développement, de manière à ce que les Français bénéficient un peu de ses recherches.»