- La RISAA prolonge la FISA de deux ans, assurant ainsi la pérennité des pouvoirs de collecte de renseignements.
- La Sec. 25 élargit considérablement la définition légale de l’Electronic Communication Service Provider (ECSP).
- Désormais, l’ECSP englobe potentiellement toute organisation ayant accès à des dispositifs de transmission ou de stockage de communications électroniques.
- Cette extension semble répondre à un jugement de la FISC et pourrait même couvrir des prestataires de services atypiques comme les entreprises de nettoyage.
Le FISA, le Foreign Intelligence Surveillance Act, la pièce maîtresse de la collecte d’informations des services de renseignement américains, n’est mis en vigueur que pour une durée limitée à chaque fois. La dernière prolongation a eu lieu le 22 décembre 2023 jusqu’au 19 avril 2024. Quelques heures après l’expiration, le président Biden a signé une nouvelle prolongation de deux ans, sous la forme de la ” loi sur la surveillance des communications “.Loi sur la réforme du renseignement et la sécurisation de l’Amérique” (RISAA).
La RISAA ne prolonge pas seulement la validité de la FISA, mais apporte également quelques adaptations de contenu. Entre autres, la définition légale du fournisseur de services de communication électronique (ECSP) a été étendu. Le site disposition déterminante est nouvelle (modifications en gras) :
(4) Fournisseur de services de communication électronique.
(A) un opérateur de télécommunications, tel que ce terme est défini à l’article 3 de la loi sur les communications de 1934 (47 U.S.C. 153) ;
(B) un fournisseur de service de communication électronique, tel que ce terme est défini dans section 2510 du titre 18, United States Code ;
(C) un fournisseur de services informatiques à distance, tel que ce terme est défini dans section 2711 du titre 18, United States Code ;
(D) tout autre fournisseur de services de communication ayant accès aux communications par fil ou par voie électronique, que ce soit dans le cadre de la transmission de ces communications ou de leur stockage ; ou
(E) tout autre fournisseur de services ayant accès à des équipements utilisés ou susceptibles d’être utilisés pour transmettre ou stocker des communications par fil ou par voie électroniquemais n’incluant pas toute entité servant principalement à-
(i) un établissement public d’hébergement, tel que ce terme est défini à la section 501(4) ;
(ii) un logement, selon la définition donnée à ce terme à l’article 802 du Fair Housing Act (42 U.S.C. 3602) ;
(iii) un établissement communautaire, tel que ce terme est défini à l’article 315 du Defense Housing and Community Facilities and Services Act de 1951 (42 U.S.C. 1592n) ; ou
(iv) un établissement de services alimentaires, tel que ce terme est défini à l’article 281 de l’Agricultural Marketing Act de 1946 (7 U.S.C. 1638) ; ou
(F) un officier, un employé, custodian ou agent d’une entité décrite aux paragraphes (A), (B), (C), (D), ou E.
Par conséquent, tout prestataire de services ayant accès à des équipements utilisés ou susceptibles d’être utilisés pour la transmission ou le stockage de communications électroniques est désormais considéré comme un ECSP.
Il ne s’agit pas d’une extension négligeable. La notion d’ECSP était déjà très large jusqu’à présent – toute entreprise fournissant des services de communication à des tiers était en principe couverte. Désormais, tout prestataire de services ayant accès à un serveur, à un routeur, à un PC ou à un téléphone – donc même une entreprise de nettoyage – serait potentiellement concerné. Il semble que le gouvernement américain réponde ainsi à un besoin. Jugement de la FISC qui n’avait pas classé une entreprise – vraisemblablement un centre de données – comme RCSP, comme l’explique le média en ligne Just Security a rapporté.