Achat de données de localisation par les services Fédéraux américains aux fins de surveillance sans mandat. Le quatrième amendement contourné.

Le FBI achète des données de localisation « commercialement disponibles » pour suivre des déplacements et reconstituer des historiques, et son directeur Kash Patel l’a reconnu lors d’une audition au Sénat. Le sujet n’est pas un détail technique, c’est un choix opérationnel qui change l’équilibre entre enquête et vie privée, parce qu’il s’appuie sur des flux issus de l’économie publicitaire plutôt que sur une réquisition classique.

Le débat est explosif pour une raison simple, la Cour suprême a déjà encadré l’accès aux données de localisation détenues par les opérateurs. Or les courtiers en données offrent une autre porte d’entrée, l’achat. Des élus dénoncent un contournement du Quatrième amendement, d’autres défendent une logique pragmatique, si n’importe qui peut acheter ces informations, pourquoi la police fédérale s’en priverait-elle pour retrouver un suspect.

Kash Patel confirme l’achat de données lors d’une audition au Sénat

La scène se joue en commission, quand le directeur du FBI, Kash Patel, est interrogé sur l’utilisation de données de localisation issues de circuits commerciaux. Sa réponse est nette, l’agence « achète des informations commercialement disponibles », et affirme le faire dans un cadre qu’elle juge compatible avec la Constitution et avec l’Electronic Communications Privacy Act. Dans le même échange, l’argument mis en avant est l’efficacité, ces achats auraient déjà produit du « renseignement précieux ».

En face, le sénateur Ron Wyden ne parle pas d’optimisation, il parle de contournement. Son reproche vise le fait de pouvoir obtenir des traces de mouvements sans passer devant un juge, alors même que la localisation est une donnée intime, révélatrice d’habitudes, de croyances, de santé ou de sociabilité. Dans ce dossier, il insiste aussi sur le risque d’industrialisation, quand des outils d’analyse automatisée passent au crible des masses d’informations.

La défense politique existe, et elle est assumée. Le sénateur Tom Cotton, président de commission, appuie sur deux mots, « commercialement disponible ». Son raisonnement est direct, si ces données sont vendues sur un marché ouvert, l’État n’aurait pas à s’imposer des contraintes supplémentaires pour des enquêtes graves. Il cite des scénarios typiques, localisation d’un criminel violent, d’un trafiquant, ou d’un agresseur d’enfants, et place la protection du public au-dessus du malaise sur la collecte.

Ce qui rend l’affaire encore plus sensible, c’est que le FBI n’est pas isolé. Lors de la même audition, le directeur James Adams de la Defense Intelligence Agency a indiqué que son agence achète elle aussi des informations commercialement disponibles. Tu vois le tableau, la pratique n’est pas un « dérapage » local, elle ressemble à une norme discrète qui s’est installée, avec des frontières juridiques discutées et des justifications centrées sur l’efficacité.

Carpenter v. United States (2018) sert de repère, mais les courtiers contournent

Le point de repère juridique, c’est Carpenter v. United States en 2018. La Cour suprême a jugé que les forces de l’ordre doivent obtenir un mandat pour accéder aux données de localisation détenues par les opérateurs mobiles, un rappel que la géolocalisation prolongée n’est pas une simple « information technique ». Ce cadre est souvent cité parce qu’il reconnaît, noir sur blanc, que suivre une personne via son téléphone touche au cur de la vie privée.

Le problème, c’est le changement de fournisseur. Au lieu de demander à un opérateur, l’agence peut acheter à un courtier des données issues d’un autre écosystème, celui de la publicité et des applications. Ces données ne sont pas présentées comme un dossier nominatif « police », mais comme un produit de marché. Les critiques disent que le résultat est identique, reconstituer où tu dors, où tu travailles, où tu te soignes, mais sans passer par le même contrôle judiciaire.

Les défenseurs de la pratique répondent qu’il ne s’agit pas d’un accès « forcé », mais d’un achat de données déjà en circulation. Sauf que cette ligne est fragile, parce que la disponibilité commerciale ne dit rien du consentement réel. Un réglage obscur dans une app, une autorisation acceptée trop vite, et la localisation part dans une chaîne de revente. C’est là que la critique devient politique, le droit du mandat est conçu pour limiter l’État, pas pour l’inciter à faire ses courses chez des intermédiaires.

Autre point qui pèse dans le débat, le recours à l’analyse à grande échelle. Wyden a décrit le danger d’un « end run » autour du Quatrième amendement, particulièrement risqué quand l’intelligence artificielle permet de trier, corréler et profiler des volumes gigantesques. Le sujet n’est pas seulement « où est X », c’est la capacité à cartographier des réseaux entiers, des habitudes collectives, et à transformer une donnée publicitaire en outil de surveillance.

Venntel et Webloc, des outils déjà utilisés par l’ICE et les douanes

Ce débat ne sort pas de nulle part, des agences fédérales ont déjà utilisé des achats de localisation dans des cadres opérationnels. Le nom qui revient souvent est Venntel, un courtier dont des données ont été achetées par l’ICE et par le FBI. L’usage décrit est concret, identifier des personnes, puis procéder à des arrestations. Ce n’est pas une hypothèse théorique sur un futur dystopique, c’est une pratique documentée sur des années, avec des finalités migratoires et policières.

Entre 2019 et 2021, les douanes américaines ont mené un programme pilote pour tester si des identifiants publicitaires pouvaient servir à reconstituer des déplacements sur le territoire. Là, on touche au cur du mécanisme, l’écosystème publicitaire n’est pas seulement fait pour te vendre une paire de chaussures, il peut produire une traçabilité exploitable. Si tu ajoutes des requêtes par zone, tu peux isoler les téléphones présents dans un périmètre, puis regarder les trajectoires.

Un autre outil cité dans ce paysage est Webloc, présenté comme capable de collecter la position de millions de téléphones chaque jour et de permettre des recherches par zone géographique. Le vocabulaire compte, « par zone » veut dire qu’on ne part pas forcément d’un nom, on part d’un lieu, d’un quartier, d’un point de passage. En pratique, ce type de recherche peut balayer large, puis resserrer, ce qui pose la question des personnes non visées au départ.

Le parallèle avec la frontière est souvent utilisé pour illustrer l’usage. Des informations déjà rapportées indiquaient que le Department of Homeland Security a utilisé ces données pour repérer des « activités de téléphones » dans des zones inhabituelles, comme des étendues désertiques près de la frontière mexicaine, et pour rechercher des personnes soupçonnées d’entrer illégalement. Ce sont des exemples parlants, parce qu’ils montrent un glissement, on ne suit pas seulement un suspect identifié, on explore des motifs d’activité dans l’espace.

Le marché publicitaire alimente la collecte, Apple a réduit le suivi mais pas la fuite

Le nerf du système, c’est la pub ciblée. Dans les enchères publicitaires en temps réel, des informations circulent pour décider quelle publicité afficher, et la localisation peut faire partie du lot. Le point choquant, c’est l’échelle, ces mécanismes peuvent diffuser des coordonnées à un grand nombre d’entreprises, et pas uniquement à « une » régie. Même si tout le monde ne reçoit pas un GPS précis, la chaîne crée une surface d’attaque énorme, et un gisement de données revendables.

Sur iPhone, Apple a introduit en 2021 la transparence du suivi publicitaire, et une statistique a marqué les esprits, 96 % des utilisateurs auraient refusé le suivi quand la question a été posée clairement. C’est un signal simple, quand on demande franchement, la majorité dit non. Mais ça ne ferme pas la porte à tout, parce que l’économie publicitaire continue avec d’autres identifiants, d’autres signaux, et des collectes qui ne se résument pas au bouton « autoriser ».

Ce point est central pour comprendre pourquoi l’achat « commercial » pose problème. Tu peux refuser des cookies, tu peux limiter des options, et malgré tout, des applications continuent de collecter des données de localisation pour des raisons multiples, service, analytics, monétisation. Ensuite, ces données peuvent être agrégées et revendues. Tu n’as pas signé un contrat avec une agence fédérale, mais tu te retrouves dans une base qui peut être achetée. C’est là que la notion de consentement devient franchement bancale.

Un élément chiffré donne une idée de la puissance industrielle de ces acteurs. Des plaintes de la FTC contre Gravy Analytics ont allégué le traitement de 17 milliards de signaux provenant de près d’un milliard d’appareils chaque jour. Même si ces chiffres relèvent d’allégations dans une procédure, ils illustrent l’ordre de grandeur dont on parle. À cette échelle, une « base historique » peut couvrir des villes entières, et transformer une recherche en balayage massif.

ACLU et PCLOB pointent l’opacité, du courtage aux Stingrays sous accords de silence

Le débat sur les achats de localisation se connecte à un autre sujet, l’opacité des outils de surveillance. L’ACLU a publié des documents obtenus via une procédure FOIA montrant que le FBI a imposé, et impose encore dans certains cas, des accords de confidentialité à des polices locales quand elles demandent l’assistance du Bureau pour déployer des outils. L’idée est simple, limiter ce qui peut être dit au tribunal ou au public sur la technologie utilisée, ce qui complique le contrôle démocratique.

Dans ces documents, un outil ressort, les simulateurs de sites cellulaires, connus sous le nom de Stingray ou IMSI catcher. Leur fonctionnement est intrusif, ils imitent une antenne-relais et poussent les téléphones à se connecter, ce qui permet d’identifier et de localiser des appareils. Le point critique, c’est l’effet de zone, quand tu cherches un téléphone, tu captes aussi des informations sur des téléphones de passants. Ce n’est pas une surveillance « chirurgicale », c’est un filet.

Une cour du Maryland a déjà écrit qu’une interdiction trop extensive de divulguer des informations au tribunal empêche la justice d’exercer ses fonctions constitutionnelles. C’est une phrase qui compte, parce qu’elle résume le conflit, si la défense et le juge ne savent pas comment la preuve a été obtenue, comment vérifier la légalité, la proportionnalité, ou les erreurs possibles. Et ce sujet rejoint l’achat de données, quand la méthode est opaque, la contestation devient presque impossible.

De son côté, un inventaire du PCLOB a catalogué des contrats du FBI avec des acteurs comme Babel Street, ZeroFox et Clearview pour de la surveillance des réseaux sociaux. Dans ce contexte, le Bureau affirme ne pas acheter de flux continus en temps réel de localisation. Des défenseurs des libertés civiles rétorquent qu’avec des mises à jour périodiques en masse, tu obtiens quelque chose qui ressemble à du quasi temps réel. L’argument est technique, mais l’effet sur la vie privée, lui, est très concret.