Les 14 Eyes expliqués : ce que l'alliance change vraiment pour un VPN
Ou : comment un accord signé en 1946 est devenu un argument de vente pour des abonnements à deux euros par mois.
La réponse courte : les Five Eyes, Nine Eyes et Fourteen Eyes sont des cercles de coopération entre services de renseignement électromagnétique, qui partagent des interceptions et des analyses. Les Five Eyes réunissent les États-Unis, le Royaume-Uni, le Canada, l’Australie et la Nouvelle-Zélande ; les Nine Eyes y ajoutent le Danemark, la France, les Pays-Bas et la Norvège ; les Fourteen Eyes complètent avec l’Allemagne, la Belgique, l’Espagne, l’Italie et la Suède. Pour un VPN, être établi dans l’un de ces pays ne l’oblige à rien en soi : ces accords lient des agences entre elles, pas des entreprises privées. Ce qui oblige un fournisseur, c’est le droit national de son pays, et c’est pourquoi l’appartenance à une alliance sert surtout d’indicateur, parmi les critères qui déterminent ce qu’un VPN peut être forcé de livrer.
L’origine est documentée par le GCHQ lui-même : l’accord UKUSA a été signé le 5 mars 1946 entre les services britanniques et américains de renseignement des transmissions. Le Canada s’y est associé à la fin des années 1940 (en 1949 selon le GCHQ), l’Australie et la Nouvelle-Zélande en 1956. Le texte intégral n’a été rendu public qu’en 2010, ce qui donne une idée du rythme auquel ce milieu pratique la transparence.
5 Eyes, 9 Eyes, 14 Eyes : trois cercles qui n’ont pas le même statut
Les trois appellations ne désignent pas des objets de même nature. Les Five Eyes reposent sur un accord formel. Les Nine Eyes sont une étiquette informelle, popularisée par les documents révélés par Edward Snowden en juin 2013. Les Fourteen Eyes ont un nom officiel, SIGINT Seniors Europe, et une date de naissance : le groupe a été créé en 1982, pendant la guerre froide, avec neuf membres, avant de s’élargir à quatorze et de se tourner vers l’antiterrorisme après 2001. Sa présidence revient au directeur de la NSA, comme l’ont montré les documents publiés par The Intercept en 2018.
| Cercle | Pays | Nature |
|---|---|---|
| Five Eyes | États-Unis, Royaume-Uni, Canada, Australie, Nouvelle-Zélande | Accord UKUSA de 1946, élargi jusqu’en 1956 |
| Nine Eyes | Les cinq, plus Danemark, France, Pays-Bas, Norvège | Désignation informelle |
| Fourteen Eyes | Les neuf, plus Allemagne, Belgique, Espagne, Italie, Suède | SIGINT Seniors Europe, créé en 1982 |
Pour un lecteur belge, la troisième ligne mérite une seconde lecture : la Belgique en fait partie. Un fournisseur installé à Bruxelles ne serait donc pas « hors alliance », pas plus qu’un fournisseur suédois ou néerlandais. Cela ne rend aucun de ces pays dangereux pour les droits de ses résidents, mais cela retire tout sens à l’argument du VPN « européen, donc à l’abri ».
Reste la question que les comparatifs posent rarement : y a-t-il un seul cas documenté où l’appartenance à une alliance a contraint un fournisseur VPN ? Je n’en ai trouvé aucun. Les affaires connues où un fournisseur a remis des données relèvent toutes du droit national ou de l’entraide judiciaire classique : une ordonnance d’un tribunal britannique visant HideMyAss en 2011, une réquisition du département américain de la Sécurité intérieure adressée à la société qui exploitait IPVanish en 2016, une coopération de PureVPN avec le FBI en 2017. Le mécanisme réel, ce sont des lois comme les National Security Letters américaines, qui imposent le silence à leur destinataire, ou l’Investigatory Powers Act britannique de 2016, qui permet d’exiger d’un opérateur qu’il retire une protection électronique. L’Australie a adopté en décembre 2018 une loi comparable sur l’assistance technique. L’alliance explique pourquoi ces pays partagent ensuite ce qu’ils obtiennent ; la loi nationale explique comment ils l’obtiennent.
Autrement dit, « hors 14 Eyes » est un raccourci utile, à condition de se souvenir que c’est un raccourci. Un fournisseur installé dans un pays hors alliance mais doté d’une loi de conservation stricte n’est pas mieux protégé qu’un fournisseur d’un pays membre qui n’en a pas.
Le pays, l’entité et l’adresse qui figure sur la facture
Si le droit national compte plus que l’alliance, encore faut-il savoir quel droit s’applique : celui du siège affiché, celui de l’entité qui facture, ou celui du pays où travaillent les équipes. Les cas de la Suisse, du Panama et de la Lituanie, qui ne se ressemblent pas du tout, sont examinés dans les pays d’établissement des fournisseurs VPN.
Ce que votre propre fournisseur d’accès conserve déjà
Pour un résident européen, la question de la surveillance commence chez son fournisseur d’accès à Internet, qui est soumis à des obligations de conservation que la Cour de justice de l’Union européenne a encadrées à plusieurs reprises. Ce qu’il garde, et ce que le VPN change à ce tableau, est expliqué dans la conservation des données chez le FAI.
Les affaires qui ont réellement eu lieu
Les trois cas cités plus haut, et quelques autres où les enquêteurs sont repartis bredouilles, sont racontés avec leurs dates et leurs sources dans les dossiers judiciaires qui ont testé le no-log.