La loi britannique sur les pouvoirs d'investigation de 2016

La loi “Investigatory Powers Act 2016” est un cadre juridique complet qui offre à la communauté du renseignement du Royaume-Uni toute une gamme d’outils pour effectuer des surveillances et des collectes de données. Souvent appelée “la Charte des Fouineurs”, cette loi permet aux agences de renseignement de surveiller légalement les communications numériques et les activités en ligne. La loi a été largement controversée, les critiques citant des préoccupations majeures en matière de confidentialité et de droits de l’homme. Ses partisans soutiennent qu’elle est nécessaire à la sécurité nationale à l’ère numérique.

Cet article offre un examen approfondi de la loi Investigatory Powers Act 2016 du Royaume-Uni : son développement, ses dispositions principales, ses caractéristiques clés et le rôle du Commissaire aux Pouvoirs d’Investigation. Il analyse également l’impact de la loi sur les fournisseurs de services de télécommunication et d’internet, la réaction de l’industrie de la cybersécurité et les divers défis juridiques et critiques auxquels elle fait face. Enfin, l’article compare la loi avec des lois similaires à l’échelle internationale, examine sa relation avec le RGPD et explore ses implications pour la sécurité nationale et la vie privée des individus.

Qu’est-ce que l’ Investigatory Powers Act 2016 du Royaume-Uni?

Officiellement promulguée le 29 novembre 2016, l'”Investigatory Powers Act 2016″ constitue le fondement de la loi sur la surveillance au Royaume-Uni. Cette législation fournit un cadre juridique permettant aux agences de renseignement de mener des activités de surveillance et de collecte de données dans l’intérêt de la sécurité nationale.

La loi consolide et étend les pouvoirs de diverses législations antérieures et introduit de nouvelles mesures telles que l’obligation pour les fournisseurs de services Internet (FSI) de conserver les journaux de connexion des utilisateurs. Néanmoins, elle a également été largement critiquée et a fait l’objet de défis juridiques sur des questions de confidentialité.

Origine de l’Investigatory Powers Act

L'”Investigatory Powers Act 2016″ est née dans le sillage de changements politiques significatifs au Royaume-Uni. Les fuites de Snowden en 2013, qui ont révélé les programmes de surveillance de masse des gouvernements américain et britannique, ont suscité des discussions sur l’ampleur et la légalité de telles pratiques.

Face à un appel croissant à la transparence, le gouvernement britannique a proposé une nouvelle loi pour consolider et préciser ses pouvoirs d’investigation. Cette proposition a rencontré une résistance, mais malgré tout, elle est finalement devenue l'”Investigatory Powers Act 2016″.

Le parlement britannique a joué un rôle crucial dans la creation de l’Investigatory Powers Act. Un projet de loi a été soumis à un examen pré-législatif par une commission mixte des deux chambres du Parlement, qui a fourni des recommandations pour affiner le projet de loi sur la base de témoignages d’experts et de soumissions publiques.

La réaction du public à la création de la loi a été mitigée. Beaucoup s’y sont opposés, exprimant des préoccupations quant à l’impact sur la vie privée des individus et le risque de dérive étatique. Les campagnes publiques contre le projet de loi ont gagné un soutien significatif, mais en fin de compte, elles n’ont pas réussi à empêcher son adoption.

D’autre part, certains segments de la société qui privilégient la sécurité à la confidentialité ont accueilli favorablement la loi, considérant qu’elle fournit les outils nécessaires pour combattre les menaces modernes. La force de ces opinions polarisées souligne la complexité et les défis de la loi sur la surveillance.

L’impact de la loi Investigatory Powers Act sur la protection des données

La loi Investigatory Powers Act a un impact significatif sur la protection des données au Royaume-Uni. Cette législation donne à diverses agences gouvernementales d’importantes prérogatives de surveillance, y compris la capacité de collecter et d’accéder à grande échelle à des données personnelles et à des données internet, affectant ainsi la protection des données de plusieurs manières, notamment :

• Registres de Connexion Internet (ICRs) : La loi oblige les fournisseurs de services de communication à conserver les ICRs pendant une période allant jusqu’à un an. Ces registres fournissent un journal détaillé de tous les sites web visités par tous les utilisateurs au Royaume-Uni.
• Collecte de Données en Vrac : Les agences de renseignement sont légalement autorisées à collecter de grands volumes de données provenant de nombreuses sources, pas seulement des criminels présumés. Ces données en vrac incluent des détails personnels tels que les données financières, de communication, de voyage et de santé.
• Pouvoir de Piratage : La loi légalise le pouvoir des agences gouvernementales de pirater des appareils, des réseaux et des services. Cela peut impliquer la surveillance de cibles individuelles ou de groupes plus larges.
• Accès aux Données Personnelles sans Mandat : Certaines autorités ont le pouvoir d’accéder aux données personnelles sans avoir besoin d’obtenir un mandat, contournant ainsi une protection juridique essentielle.
• Partage de Données : La loi permet également le partage de données entre divers organismes publics, augmentant potentiellement le nombre de personnes qui peuvent accéder aux données personnelles.
• Contournement du Chiffrement : La loi permet au gouvernement de contraindre légalement les entreprises à supprimer la protection électronique, contournant essentiellement le chiffrement et compromettant potentiellement la sécurité des données.

Principales dispositions de la loi Investigatory Powers Act

La loi fournit un cadre juridique pour l’interception de communication, le piratage d’appareils électroniques, la collecte de données en vrac et l’utilisation de jeux de données personnelles. Elle établit également des procédures pour l’obtention de mandats, la protection des communications journalistiques et juridiquement privilégiées, et l’implication des opérateurs de télécommunications dans les efforts de sécurité nationale. Le tableau ci-dessous résume les principales dispositions de la loi.

Interception de Communication	La loi Investigatory Powers Act 2016 permet l’interception de communication, comme les appels téléphoniques, les emails et les activités en ligne. Elle oblige les entreprises de télécommunications à conserver les “données de communication” des utilisateurs pour une année et à les rendre accessibles aux agences de sécurité.
Interférence avec les Équipements Ciblés	La loi permet le piratage ciblé et en vrac d’appareils électroniques par les agences de renseignement si cela est jugé nécessaire pour la sécurité nationale, la prévention de crimes graves ou la protection du bien-être économique du Royaume-Uni.
Collecte de Données en Vrac	La loi prévoit des dispositions pour la collecte en vrac de données de communication et d’autres “données pertinentes” par les services de renseignement. Ils peuvent recueillir de grandes quantités de données sur les individus, incluant des détails personnels, des registres de communication et des informations sur l’activité en ligne.
Surveillance et Responsabilité	La loi instaure un commissaire aux pouvoirs d’investigation (IPC) pour surveiller et contrôler la manière dont les agences chargées de l’application de la loi utilisent leurs pouvoirs en vertu de cette loi. L’IPC a le pouvoir d’examiner les actions, d’informer le public sur l’utilisation de ces pouvoirs et de recommander des modifications.
Protection contre la Surveillance	La loi comprend des protections pour les communications journalistiques et juridiquement privilégiées contre la surveillance de l’État. Cela signifie que des procédures spéciales doivent être suivies avant que ces communications puissent être accessibles.
Mandats et Autorisations	La loi détaille comment les mandats sont délivrés pour l’interception ciblée et les collectes en vrac. Les mandats doivent être approuvés à la fois par un secrétaire d’État et par un commissaire judiciaire.
Utilisation des Données de Communication pour Identifier les Sources Journalistiques	Les responsables de l’application de la loi sont autorisés à utiliser les données de communication pour identifier les sources journalistiques si cela est jugé nécessaire pour la protection de la sécurité nationale ou la prévention d’un crime.
Registres de Connexion Internet	La loi oblige les fournisseurs de services Internet à conserver les Registres de Connexion Internet (ICRs) pour une durée allant jusqu’à un an et à les rendre accessibles aux agences de renseignements et de police.
Utilisation de Jeux de Données Personnelles en Vrac	La loi autorise le traitement de jeux de données personnelles en vrac par les agences de sécurité, qui peuvent inclure divers types de données sur de nombreux individus, dont la majorité n’intéresseront pas les services de sécurité.
Notifications de Sécurité Nationale	La loi permet au secrétaire d’État d’imposer des obligations aux opérateurs de télécommunications en relation avec la sécurité nationale, par exemple en fournissant une assistance technique ou des informations au gouvernement.

Rôle du Commissaire aux Pouvoirs d’Investigation de la loi

Le Commissaire aux Pouvoirs d’Investigation est nommé par le Premier ministre du Royaume-Uni. Son mandat englobe une grande variété de pouvoirs, allant de l’inspection et l’approbation des mandats pour l’interception et l’interférence avec l’équipement, à la supervision de l’utilisation des données de communications et des ensembles de données personnelles en bloc. Il est également chargé de passer en revue les activités opérationnelles des agences de sécurité et de renseignement. De plus, le Commissaire a la possibilité de faire des recommandations et de fournir des orientations sur l’utilisation des pouvoirs d’investigation, en s’assurant qu’ils sont utilisés d’une manière qui est conforme à la loi, nécessaire et proportionnée.

Comment l’Investigatory Powers Act se compare-t-elle à des lois similaires ?

L’Investigatory Powers Act du Royaume-Uni va plus loin que des lois similaires dans des nations démocratiques telles que les États-Unis, l’Australie ou l’Allemagne en termes de conservation et d’accès aux données. Jetons un coup d’oeil plus approfondi aux similarités et différences clés entre l’Investigatory Powers Act 2016 et les lois internationales similaires.

L’Investigatory Powers Act 2016 vs. le USA Patriot Act des États-Unis

Comparativement, le USA Patriot Act des États-Unis comporte des dispositions pour la surveillance et la collecte de données de communication, tout comme l’Investigatory Powers Act. Cependant, la législation britannique semble plus invasive, en particulier avec ses exigences de collecte et de conservation de données en masse. Contrairement à l’Investigatory Powers Act, la loi américaine ne contraint pas les entreprises à créer des portes dérobées dans les communications chiffrées.

L’Investigatory Powers Act 2016 vs. la loi australienne Assistance and Access Act

La loi Assistance and Access en Australie est similaire à l’Investigatory Powers Act, les deux lois exigeant la fourniture d’accès aux communications cryptées. Cependant, alors que la loi britannique exige la mise en place de “capacités permanentes” pour l’interception, la législation australienne prévoit l’émission de demandes d’assistance technique, de notifications, ou de directives obligatoires pour contraindre l’industrie à fournir son aide.

L’Investigatory Powers Act 2016 vs. la loi G10 Allemande

La loi G10 allemande, tout comme l’Investigatory Powers Act, permet la surveillance des non-nationaux à des fins de sécurité étrangère. Cependant, elle n’offre pas des pouvoirs étendus pour la collecte de données en masse. La loi G10 prévoit des permissions de surveillance plus ciblées et dispose un mécanisme de supervision différent, avec un panel de contrôle parlementaire plutôt qu’un commissaire.

L’Investigatory Powers Act et le RGPD

L’Investigatory Powers Act s’efforce de se conformer aux principes de minimisation des données, de limitation des objectifs et de sécurité de la RGPD (Réglementation Générale sur la Protection des Données). Plus précisément, elle impose des restrictions strictes sur l’utilisation des données recueillies, limitant leur utilisation à des enquêtes spécifiques et garantit que les données sont stockées en toute sécurité. En outre, tout accès aux données conservées est soumis à l’approbation du Commissaire pour garantir son alignement avec les principes du RGPD.

Les zones de conflit entre l’Investigatory Powers Act et le RGPD

Malgré les efforts pour se conformer, les conflits entre l’Investigatory Powers Act et le RGPD sont notables. L’exigence de la loi pour une collecte et une conservation massives de données semble contredire le principe de minimisation des données du RGPD. De la même manière, les dispositions de la loi pour l’accès en masse aux données par les agences de renseignement pourraient potentiellement violer la position du RGPD sur la protection de la vie privée et des données individuelles.

Opinion publique et controverses autour de la loi

Dès sa création, l’Investigatory Powers Act 2016 a suscité des controverses et des débats. Ses partisans soutiennent que la loi fournit les outils nécessaires pour lutter contre le terrorisme et le crime grave, en donnant aux forces de l’ordre la capacité de suivre le rythme des avancées technologiques. À l’inverse, les critiques affirment que la loi empiète sur les libertés personnelles, avec ses pouvoirs de grande envergure et un manque de supervision suffisante perçu. L’opinion publique sur la loi est partagée, teintée de préoccupations concernant la vie privée, les libertés individuelles et la nécessité de tels pouvoirs étendus au nom de la sécurité nationale.

Kiteworks aide les organisations à protéger la confidentialité des données sensibles de leurs clients

La conformité est un aspect crucial des opérations commerciales modernes. La conformité peut avoir de nombreux visages : étatiques, nationaux, régionaux et sectoriels. Bien que ces sources puissent varier, l’exigence de base demeure la même : protéger la vie privée des clients et être capable de le prouver devant les régulateurs. Les entreprises doivent se conformer ou faire face à de sévères pénalités et amendes. Les entreprises du monde entier, mais particulièrement celles des secteurs très réglementés comme les services financiers et la santé, ont adopté la conformité réglementaire comme un coût du fait d’entreprendre, mais aussi comme un moyen de créer et de maintenir la fidélité des clients.

La réponse aux demandes d’informations et aux citations à comparaître des forces de l’ordre est plus controversée, car les entreprises sont généralement interdites d’informer leurs clients qu’une agence d’application de la loi a demandé leurs dossiers. Les fournisseurs de télécommunications, de médias sociaux et de stockage dans le cloud sont des cibles fréquentes des forces de l’ordre et sont tenus de se conformer aux citations à comparaître. Les fournisseurs de stockage dans le cloud multilocataires gèrent les clés de chiffrement de leurs clients et sont donc en mesure de fournir un accès aux données des clients. Lorsqu’une agence d’application de la loi assigne les données des clients, les fournisseurs de stockage dans le cloud sont tenus de les fournir.

Le réseau de contenu privé de Kiteworks consolide les canaux de communication tiers comme l’email, le partage de fichiers, le transfert sécurisé de fichiers (MFT) et le SFTP et les protège avec une appliance virtuelle durcie qui réduit efficacement la surface d’attaque pour ces applications vulnérables. Le contenu sensible partagé par les organisations en utilisant Kiteworks est protégé par de nombreuses fonctionnalités de sécurité, dont des contrôles d’accès granulaires, le chiffrement de bout en bout automatisé, une visibilité sur toute l’activité de fichiers — qui a envoyé quoi, à qui, quand et comment —, les intégrations de sécurité avec ATP, DLP, CDR et d’autres solutions, l’authentification multifactorielle et des logs d’audit exhaustifs.

Kiteworks propose également une variété d’options de déploiement sécurisées, y compris sur site, privé, hybride, et FedRAMP virtual private cloud. Les clients gèrent seuls leurs clés de chiffrement, de sorte que ni les agences d’application de la loi ni Kiteworks ne peuvent accéder à leur contenu.

Pour en savoir plus sur le réseau de contenu privé de Kiteworks et comment il offre des fonctionnalités globales de protection des données, prenez rendez-vous pour une démonstration personnalisée dès aujourd’hui.

 

Retour au Glossaire des Risques et de la Conformité