Vingt-cinq ans après le 11 septembre : les pouvoirs d'exception qui ne sont jamais rentrés chez eux

Il y a vingt-cinq ans jour pour jour, les États ont commencé à bâtir les systèmes de surveillance dans lesquels nous vivons désormais, et presque tous ont été annoncés comme temporaires. Certains portaient une date d’expiration dans leur texte même. La France en a inscrit une dans la loi : le 31 décembre 2003. Le Congrès a assorti de clauses de caducité les sections les plus contestées du PATRIOT Act. L’argument, à l’automne 2001, à Washington, à Paris et à Londres, était qu’un moment extraordinaire appelait des pouvoirs extraordinaires, et que ce moment passerait.

Il n’est pas passé. La façon la plus claire de voir ce que le 11 septembre a fait à la vie privée numérique n’est pas de relire les discours de 2001. C’est de lire les chiffres que ces mêmes gouvernements ont publiés cette année.

Qu'est-ce qui a réellement changé dans les semaines qui ont suivi le 11 septembre 2001 ?

Trois choses se sont produites presque simultanément, et une seule d’entre elles était publique à l’époque.

Le 4 octobre 2001, le président Bush a signé un mémorandum intitulé « Authorization for Specified Electronic Surveillance Activities During a Limited Period to Detect and Prevent Acts of Terrorism Within the United States », soit l’autorisation de certaines activités de surveillance électronique pendant une période limitée afin de détecter et de prévenir des actes de terrorisme sur le territoire des États-Unis. Ce programme, connu plus tard sous le nom de code Stellar Wind, autorisait une collecte sur le sol américain sans les mandats exigés par le Foreign Intelligence Surveillance Act. Il a été renouvelé à de nombreuses reprises, environ tous les 30 à 45 jours, et n’a été révélé au public que plus de quatre ans plus tard. Notez la formule « During a Limited Period », pendant une période limitée, dans le titre même du document.

Le 26 octobre 2001, le USA PATRIOT Act était promulgué dans la roseraie de la Maison-Blanche. La Chambre des représentants l’a adopté par 357 voix contre 66 et le Sénat par 98 voix contre 1, le sénateur Russ Feingold étant le seul à voter contre. La section 215 permettait au FBI d’exiger la production de « toute chose tangible » pertinente pour une enquête antiterroriste. La section 505 élargissait les national security letters, des injonctions administratives qui ne requièrent aucun juge et s’accompagnaient d’une interdiction de divulgation empêchant le destinataire de dire qu’il en avait reçu une.

Et début 2002, le Pentagone a créé l’Information Awareness Office sous la direction de John Poindexter, dont le programme Total Information Awareness proposait de verser les données financières, de voyage, médicales et de communication dans un système unique et interrogeable. Celui-là est allé trop loin, et trop publiquement. Une commission mixte de conférence Chambre-Sénat sur les crédits a voté le 24 septembre 2003 la suppression de son financement. Plusieurs de ses projets de recherche constitutifs ont été transférés ailleurs dans la communauté du renseignement et ont continué sous d’autres noms, ce qui est le schéma qu’il faut retenir : le programme au nom compromis est mort, la capacité, non.

L’Europe a avancé au même rythme. La loi n° 2001-1062 du 15 novembre 2001 relative à la sécurité quotidienne, publiée au Journal officiel le 16 novembre 2001, imposait aux opérateurs de télécommunications de conserver les données de trafic pour une durée pouvant aller jusqu’à un an, aux fins de recherche, de constatation et de poursuite des infractions pénales. Son chapitre V, qui contient cette disposition issue de l’article 29, a été adopté « pour une durée allant jusqu’au 31 décembre 2003 ». L’Anti-terrorism, Crime and Security Act britannique a reçu la sanction royale le 14 décembre 2001, sa partie 11 créant un régime de conservation des données de communication, volontaire dans un premier temps, assorti d’un pouvoir de réserve permettant de le rendre obligatoire.

Pourquoi ces pouvoirs « temporaires » existent-ils encore en 2026 ?

Parce qu’un pouvoir temporaire construit une institution autour de lui, et que l’institution survit à l’échéance.

La France en est la démonstration la plus nette, précisément parce que la date d’expiration figurait dans la loi et que l’on peut suivre exactement ce qu’elle est devenue. L’échéance de 2003 n’a pas été abrogée d’un seul coup. Elle a été reportée à la fin de 2005, puis reconduite par la loi relative à la lutte contre le terrorisme de 2006, puis prorogée une nouvelle fois en 2008 jusqu’en 2012, date à laquelle plus personne ne prétendait que le dispositif était provisoire. Trois prorogations successives, chacune de pure routine, et l’obligation de conservation d’un an s’est installée dans le droit français comme un élément permanent. Lorsque la Cour de justice de l’Union européenne a établi qu’une conservation générale et indifférenciée était incompatible avec le droit de l’Union, le Conseil d’État a jugé, par sa décision du 21 avril 2021, que « la conservation généralisée aujourd’hui imposée aux opérateurs par le droit français est bien justifiée par une menace pour la sécurité nationale ». Le raisonnement mérite d’être énoncé sans détour : la conservation généralisée est licite parce qu’il existe une menace pour la sécurité nationale, et le gouvernement doit réexaminer périodiquement si cette menace subsiste. Un état d’urgence permanent, sous réserve de réexamen.

L’histoire à l’échelle de l’Union suit le même cours, avec davantage de péripéties judiciaires. La directive sur la conservation des données a été adoptée le 15 mars 2006, au lendemain des attentats de Madrid et de Londres, obligeant les États membres à imposer la conservation des métadonnées de communication. La Cour de justice l’a annulée le 8 avril 2014 dans l’arrêt Digital Rights Ireland, jugeant qu’elle comportait une ingérence d’une vaste ampleur et d’une gravité particulière dans les droits fondamentaux, non limitée au strict nécessaire. Douze ans plus tard, la Commission en rédige une nouvelle. Sa stratégie ProtectEU d’avril 2025 a lancé une analyse d’impact sur la conservation des données par les fournisseurs de services aux fins des procédures pénales, avec une proposition législative attendue au cours de 2026, portant sur des métadonnées telles que les adresses IP et les données d’abonné, auprès d’un éventail de fournisseurs plus large que celui de la directive censurée par la Cour.

La version américaine de la permanence est plus étrange encore, et elle s’est jouée il y a trois mois.

La section 702 a expiré en juin 2026. Pourquoi fonctionne-t-elle encore ?

La section 702 de la loi FISA est l’autorisation qui compte le plus pour quiconque utilise un service internet américain. Elle permet une collecte sans mandat visant des personnes non américaines dont on peut raisonnablement penser qu’elles se trouvent hors des États-Unis, auprès de fournisseurs établis aux États-Unis. Les communications échangées avec ces cibles sont collectées elles aussi. C’est ainsi que les comptes de personnes qui n’ont jamais été ciblées se retrouvent dans une base de données susceptible d’être interrogée par la suite.

Le Congrès n’a pas su s’accorder sur la question de savoir si le FBI devait obtenir un mandat avant d’interroger cette base au sujet des communications d’un Américain. L’échéance est arrivée et rien n’a été voté. La section 702 a expiré à minuit le vendredi 12 juin 2026, après une série de courtes prorogations dont un dispositif de transition de dix jours en avril.

La collecte ne s’est pas arrêtée. En vertu des dispositions transitoires du FISA Amendments Act, les acquisitions autorisées par des certifications et des directives déjà en vigueur se poursuivent jusqu’à l’expiration de ces certifications. La FISA Court a approuvé les certifications en cours en mars 2026. Concrètement, une loi expirée en juin 2026 autorise de la surveillance jusqu’en mars 2027, et l’échéance qui s’impose désormais au Congrès est fixée par le calendrier de certification d’un tribunal plutôt que par la date de caducité qu’il s’était donnée à lui-même.

De tout ce que contiennent vingt-cinq ans de droit de la surveillance, c’est le fait que je mettrais sous les yeux de quiconque croit encore que le marché de 2001 comportait une porte de sortie intégrée. La clause de caducité était la garantie. Elle était la promesse que les pouvoirs d’exception seraient réexaminés et pourraient réellement prendre fin. En juin 2026, ce mécanisme a été mis à l’épreuve pour de bon. Il est tombé en désuétude, et la surveillance a continué.

La surveillance est-elle vraiment plus étendue aujourd'hui qu'en 2001 ?

Oui, et la source en est la comptabilité annuelle de la communauté du renseignement elle-même. L’ODNI a publié en avril 2026 son treizième Annual Statistical Transparency Report, portant sur l’année civile 2025.

Les chiffres de requêtes du FBI sont rapportés sur des périodes allant de décembre à novembre, et non sur des années civiles.

Le nombre de cibles est le chiffre marquant. Il a augmenté chaque année recensée ici, et celui de 2025, 349 823, est le plus élevé jamais publié, soit une hausse d’environ 20 % en une seule année. L’ODNI attribue les variations d’une année sur l’autre aux priorités de collecte, aux événements internationaux, aux capacités techniques et au comportement des cibles, entre autres facteurs.

Les chiffres de requêtes du FBI racontent une histoire plus intéressante que ne le laisse croire la chute brute. L’effondrement de 119 383 à 5 518 a suivi les réformes de 2024 introduites par le Reforming Intelligence and Securing America Act, et l’ODNI l’impute à des contrôles techniques et à la prudence individuelle. Mais le chiffre de 2025 est remonté à 7 413. Plus significatif encore, la division de la sécurité nationale du ministère de la Justice a constaté en août 2024 que le FBI recourait à une fonction de filtrage avancée pour rechercher des communications de personnes américaines sans la traiter comme une requête, et donc sans la comptabiliser. L’inspecteur général du ministère a documenté cet épisode en 2025, et la fonction n’a été désactivée qu’au début de cette année-là. Une statistique qui dépend de la définition que donne une agence du mot « requête » est un chiffre plus fragile qu’il n’y paraît.

Les national security letters sont le géant silencieux. En 2025, le FBI en a émis 8 865, contenant 29 203 demandes d’information distinctes. Ce ne sont pas des décisions de justice. Aucun juge ne les examine avant leur émission.

Et la surveillance que personne n'a légiférée ?

Le changement le plus important depuis 2001 n’est aucune loi en particulier. C’est que le volume de données sur la vie ordinaire a crû plus vite que n’importe quel texte encadrant l’accès à ces données.

En 2001, suivre les déplacements d’une personne supposait de suivre cette personne. Aujourd’hui, l’historique de localisation existe par défaut, produit par un téléphone, conservé par une entreprise. En juin 2023, en réponse à une demande fondée sur le Freedom of Information Act, l’ODNI a déclassifié un rapport de janvier 2022 sur les informations disponibles dans le commerce, qui reconnaissait que la communauté du renseignement achète des données sur les Américains auprès de courtiers commerciaux et avertissait que de telles informations « could facilitate blackmail, stalking, harassment, and public shaming », soit qu’elles pourraient faciliter le chantage, le harcèlement, la traque et l’humiliation publique. Aucun mandat n’entre en jeu. Les données sont achetées.

La frontière est l’autre lieu où l’architecture juridique de 2001 a rencontré le smartphone de 2026. Le service américain des douanes et de la protection des frontières fait état de 55 318 fouilles d’appareils électroniques au cours de l’exercice 2025, en hausse de 17,6 % par rapport aux 47 047 de l’année précédente. 50 922 étaient des fouilles basiques, qui n’exigent aucun soupçon. 13 590 ont visé des citoyens américains. L’exception frontalière est bien antérieure à 2001, mais elle a été écrite pour des valises, et un téléphone n’est pas une valise.

Les aéroports montrent à quel point la posture de 2001 est devenue la norme. La technologie de comparaison faciale de la TSA fonctionne désormais dans environ 350 aéroports à travers le pays, et l’agence indique que les voyageurs « may decline the optional photo, without recourse », soit qu’ils peuvent refuser la photo, facultative, sans aucune conséquence. La plupart des gens l’ignorent, parce qu’un système présenté comme une routine est rarement questionné.

Tout cela a-t-il changé le comportement des gens ?

C’est la partie que l’on affirme d’ordinaire et que l’on mesure rarement. En 2016, Jonathon Penney a publié dans le Berkeley Technology Law Journal une étude examinant le trafic de Wikipédia avant et après les révélations de juin 2013 sur les programmes de surveillance de la NSA. Il constate que la moyenne mensuelle des consultations des quarante-huit articles liés au terrorisme qu’il a suivis a baissé d’environ 19,5 % après juin 2013, et qu’un modèle de régression situe la chute immédiate à plus de 30 % du total des consultations.

Personne n’a été arrêté pour avoir lu un article de Wikipédia. C’est précisément là le point. Un système de surveillance n’a pas besoin d’être employé contre vous pour modifier ce que vous acceptez d’aller consulter. Savoir qu’il existe suffit, et le coût retombe sur des gens qui n’ont rien fait de mal.

Cela explique aussi pourquoi il est si difficile de débattre honnêtement de ce marché. Les bénéfices de la surveillance sont précis et faciles à annoncer. Les coûts se répartissent de façon diffuse entre des millions de personnes qui ne sauront jamais quelle recherche elles ont renoncé à faire. Les tribunaux qui ont fini par examiner le programme construit à partir de la section 215 n’ont pas été impressionnés par les bénéfices. La cour d’appel du deuxième circuit a jugé, dans l’affaire ACLU v. Clapper du 7 mai 2015, que la loi n’avait jamais autorisé la collecte en masse des relevés d’appels. La cour du neuvième circuit est allée plus loin le 2 septembre 2020 dans United States v. Moalin, estimant que la collecte en masse violait la loi FISA et pouvait être inconstitutionnelle. La section 215 elle-même est devenue caduque le 15 mars 2020. Le programme qu’elle servait à justifier a fonctionné pendant quatorze ans avant qu’une cour d’appel n’aborde la question de savoir si la loi le permettait.

Qu'est-ce que tout cela signifie pour la personne qui le lit ?

Vingt-cinq ans donnent une image claire de ce que l’action individuelle peut et ne peut pas faire.

Elle ne peut pas défaire l’architecture juridique. Aucun produit grand public ne modifie ce qu’une national security letter impose, ce qu’un agent des frontières peut inspecter, ni ce qu’autorise une certification de la FISA Court. Quiconque commercialise un outil comme une protection contre un État décrit un produit qui n’existe pas.

Ce que les choix individuels atteignent effectivement, c’est la couche commerciale et quotidienne de la collecte, qui a poussé à côté de la couche juridique. Cette couche touche presque tout le monde et n’est encadrée que par très peu de règles. Le trafic sur un réseau que vous ne contrôlez pas est visible pour celui qui l’exploite, et des règles de conservation comme l’obligation française d’un an pèsent sur les fournisseurs d’accès à internet. Chiffrer la connexion entre votre appareil et un serveur VPN signifie que l’opérateur du réseau voit un tunnel au lieu d’une liste de destinations. Ce bénéfice est réel, il est aussi limité, et les deux moitiés de cette phrase comptent. Le VPN a été fondé à Paris en novembre 2010, conserve des journaux de connexion, pas de journaux d’activité, prend en charge jusqu’à 10 connexions simultanées et offre une garantie de remboursement de 30 jours sur un premier achat.

L’autre leçon porte sur les échéances, et elle n’est pas encourageante. La date d’expiration française est arrivée à terme en 2003 et le pouvoir est resté. La section 215 a couru jusqu’en 2020, date à laquelle le programme qu’elle justifiait fonctionnait déjà depuis quatorze ans. La section 702 a expiré il y a trois mois et la collecte se poursuit au titre d’une certification judiciaire jusqu’en 2027.

Deux décisions vont façonner la période qui vient. Le Congrès doit revenir sur la section 702 avant que ces certifications ne deviennent caduques en mars 2027, et la Commission européenne doit mettre sur la table sa proposition relative à la conservation des données. Les deux méritent d’être suivies de près, car elles décideront si l’état d’urgence né un mardi matin de septembre 2001 sera enfin discuté sur le fond, ou s’il se reconduira simplement une fois de plus pendant que personne ne regarde.

Pour une vision plus large du développement de ces outils, voyez notre guide de la vie privée en ligne, le fonctionnement du chiffrement fort et les serveurs VPN aux États-Unis. Notre blog suit les nouvelles législations de surveillance à mesure qu’elles avancent.