Juridictions, Five Eyes et vie privée
Chaque entreprise est soumise aux lois du pays où elle est établie. Ces lois déterminent quelles autorités peuvent exiger des données, selon quelle procédure, et si l'entreprise peut en informer ses utilisateurs. Privacy Ratings indique la juridiction de chaque entreprise sur sa page d'évaluation, dans les tableaux par catégorie et sur les pages par pays ci-dessous.
Les accords Eyes
Les Five Eyes sont nés de l'accord UKUSA sur le partage du renseignement d'origine électromagnétique. Les Nine Eyes et les Fourteen Eyes sont des accords de partage plus larges. Les services de renseignement de ces pays partagent des données entre eux, ce qui peut leur permettre de recevoir des informations sur des personnes qu'ils ne pourraient pas légalement collecter eux-mêmes.
| Accord | Pays |
|---|---|
| Five Eyes | États-Unis, Royaume-Uni, Canada, Australie, Nouvelle-Zélande |
| Nine Eyes | Five Eyes, plus Danemark, France, Pays-Bas et Norvège |
| Fourteen Eyes | Nine Eyes, plus Belgique, Allemagne, Italie, Espagne et Suède |
Sources : accord UKUSA, livre blanc technique de Forward Email (section 9.5).
Comment les autres guides traitent la juridiction
- Privacy Guides exige que les fournisseurs de VPN soient « établis dans une juridiction où ils ne peuvent pas être contraints à une journalisation secrète », et préfère les fournisseurs d'e-mail situés dans « une juridiction dotée de lois solides de protection de la confidentialité des e-mails », sans nommer de pays. Critères VPN, critères e-mail
- That One Privacy Site marquait en rouge les pays des Five Eyes, en jaune ceux des Nine et Fourteen Eyes, et tous les autres en vert. Formules du tableau
- Who Has Your Back de l'EFF évaluait les entreprises selon ce qu'elles font des demandes gouvernementales : rapports de transparence, notification des utilisateurs et exigence d'un mandat. Who Has Your Back
Comment Privacy Ratings la traite
La juridiction est indiquée, pas notée. Le lieu d'établissement seul est un indicateur faible :
- Proton, en Suisse et hors de tout accord Eyes, s'est conformé à 8 313 des 9 301 ordonnances judiciaires reçues selon son dernier rapport annuel. Source
- Proton VPN, même entreprise et même pays, ne s'est conformé à aucune, car il ne conserve aucun journal. Source
- Mullvad, en Suède (Fourteen Eyes), a passé des audits confirmant que ses serveurs VPN ne conservent aucune donnée client. Source
Ce qu'un fournisseur peut remettre dépend des données qu'il conserve et de qui détient les clés. Les scores mesurent donc cela : chiffrement, journalisation, audits, rapports de transparence et notification des utilisateurs. Chaque page indique tout de même le pays, son appartenance aux Eyes, la couverture par l'UE ou le RGPD, et si le CLOUD Act s'applique, pour que chacun puisse juger lui-même du poids de la juridiction.