Loi sur les pouvoirs d'enquête

La loi de 2016 sur les pouvoirs d'enquête (IPA) est une législation britannique qui régit l'utilisation des pouvoirs de surveillance et d'enquête par les autorités publiques, y compris les agences de renseignement, les forces de l'ordre et divers ministères.

La loi détaille comment ces organismes peuvent collecter des données de communication, interférer avec les équipements et intercepter les communications dans le but exprès de surveiller.

Surnommée la « Charte des espions » par ses détracteurs, la loi IPA est controversée, beaucoup affirmant qu'elle porte atteinte aux droits individuels et aux libertés civiles. À l'inverse, ses partisans soutiennent qu'il s'agit d'un outil essentiel pour garantir la sécurité nationale et lutter contre le terrorisme.

Les entreprises qui traitent des données sensibles ou des données clients doivent connaître la loi indienne sur la protection des données (IPA) pour s'y conformer. Le respect de cette loi est non seulement une obligation légale, mais il renforce également la confiance des clients en témoignant de leur engagement en matière de protection des données.

Cyera joue un rôle clé en aidant les entreprises évaluer les risques liés aux données et maintenir préparation à la conformité dans des environnements réglementaires complexes, notamment l'IPA.

Pourquoi la loi sur les pouvoirs d'enquête a-t-elle été introduite ?

L'IPA a été introduite pour moderniser les lois britanniques sur la surveillance, devenues obsolètes en raison des progrès rapides des technologies de communication au cours des deux dernières décennies.

Les téléphones portables, les SMS, les applications de messagerie cryptée, le stockage en nuage et la navigation Internet n'étaient pas pris en charge par les cadres de sécurité obsolètes en vigueur à l'époque.

Les autorités avaient besoin d'une législation plus claire et plus complète pour prendre en compte les modes modernes de communication et de stockage des données.

Avant l'introduction de l'IPA, les activités de surveillance étaient régies par la loi de 2000 sur la réglementation des pouvoirs d'enquête (RIPA) et diverses dispositions de la loi de 1984 sur les télécommunications.

Ces lois manquaient de clarté et de portée pour couvrir les nouvelles technologies numériques. C’est pourquoi l’IPA a été créée afin de consolider et d’étendre ces lois existantes en un cadre unifié.

En résumé, les objectifs de l'IPA sont les suivants :

• Fournir aux forces de l'ordre et aux services de renseignement les outils adéquats pour prévenir les menaces à la sécurité nationale et y répondre.
• Créer des mécanismes formels d'autorisation et de contrôle, notamment le rôle du commissaire aux pouvoirs d'enquête, afin d'accroître la responsabilisation et de garantir l'utilisation légale des pouvoirs de surveillance.
• Combler les lacunes en matière d'interception des données numériques et de conservation des enregistrements de connexion Internet. Cela concerne principalement l'interception des communications en ligne et la conservation des enregistrements de connexion Internet et des métadonnées.

Dispositions et pouvoirs fondamentaux en vertu de l'IPA

Il faut bien comprendre que les pouvoirs de l'IPA sont vastes et de grande portée, s'étendant aux entreprises, aux ménages et même aux entités situées hors du Royaume-Uni.

Les principales dispositions de l'IPA sont les suivantes :

• Interception ciblée des communications (avec l'approbation du secrétaire d'État et du pouvoir judiciaire), telles que les appels téléphoniques, les courriels et autres moyens.
• Collecte massive de métadonnées et d'ensembles de données personnelles, y compris les dossiers de personnes qui ne font pas l'objet de soupçons directs.
• Conservation obligatoire des enregistrements de connexion Internet (ICR) par les fournisseurs de services de communication (CSP), permettant de suivre les sites Web et les services consultés par les utilisateurs.
• Interférence avec l'équipement (également appelée piratage légal), y compris l'accès à distance aux ordinateurs, aux téléphones et aux réseaux.

Les fournisseurs de services cloud (CSP) sont légalement tenus de soutenir les enquêtes, notamment par le biais de notifications de capacités techniques, ce qui peut impliquer le décryptage de données ou la mise en place d'une interception en temps réel pour aider les autorités.

Surveillance et garanties : Comment l'IPA est-elle contrôlée ?

Compte tenu des pouvoirs étendus de l'IPA, plusieurs niveaux de contrôle ont été mis en place pour garantir la responsabilité et l'utilisation légale de ses dispositions.

Les méthodes de surveillance les plus intrusives sont soumises à une procédure d'approbation en double aveugle, dans le cadre de laquelle un secrétaire d'État et un commissaire judiciaire doivent chacun examiner et approuver indépendamment la décision avant sa mise en application.

Le commissaire aux pouvoirs d'enquête effectue des audits réguliers de l'utilisation des pouvoirs d'enquête par les autorités publiques et présente un rapport annuel au Parlement sur les problèmes de conformité ou les abus afin de maintenir la transparence.

Des protections supplémentaires s'appliquent lors de la surveillance de professions sensibles, telles que les journalistes, les avocats ou les membres du Parlement, afin de protéger des droits fondamentaux comme la liberté d'expression et le privilège juridique.

Il est important de noter qu'en 2024, l'IPA a été mise à jour afin d'accorder aux organes de surveillance une plus grande flexibilité dans l'examen des décisions en matière de surveillance, pour suivre l'évolution technologique et l'évolution du contexte mondial.

Qui peut accéder aux données en vertu de l'IPA ?

Les personnes habilitées à accéder aux données en vertu de l'IPA sont principalement impliquées dans la sécurité nationale, les enquêtes criminelles et l'application de la loi.

Par exemple, les services de renseignement britanniques disposent de pouvoirs d'enquête, notamment :

• MI5 : Service de sécurité britannique
• MI6 : services de renseignement secrets britanniques
• GCHQ : communications du gouvernement britannique

Toutes les divisions de police britanniques peuvent demander des données pour faciliter les enquêtes criminelles, de même que la National Crime Agency, un organisme central chargé de lutter contre le crime organisé et la cybercriminalité.

L’administration fiscale britannique (HM Revenue & Customs) peut demander des données pour faciliter les enquêtes relatives à la fraude fiscale et douanière. Le ministère de l’Intérieur peut utiliser les pouvoirs d’accès aux données à des fins de contrôle de l’immigration et de sécurité des frontières. Le ministère du Travail et des Pensions peut accéder aux données pour enquêter sur la fraude aux prestations sociales et les infractions connexes, et le ministère de la Défense a besoin de pouvoirs de surveillance pour la sécurité militaire, le contre-espionnage et la protection des installations de défense.

Parmi les autres organisations disposant de différents niveaux d'accès figurent la Financial Conduct Authority, le Serious Fraud Office, les autorités locales compétentes et divers organismes de réglementation enquêtant sur les crimes graves relevant de leur juridiction.

Ces entités n'ont pas besoin de mandat pour accéder aux ICR. La demande requiert simplement l'approbation d'un « cadre supérieur désigné » au sein de l'organisation, et l'objectif de l'accès doit être lié à :

• Détecter ou prévenir les crimes graves
• Protection de la sécurité nationale
• Retrouver les personnes disparues

Controverses et débat public

Alors que le gouvernement britannique considère l'IPA comme essentielle à la sécurité publique, les organisations de défense des libertés civiles ont exprimé de vives inquiétudes quant à la surveillance de masse de personnes innocentes et aux abus de pouvoir.

La principale préoccupation des critiques est l'érosion des droits fondamentaux, notamment le droit à la vie privée et à la liberté d'expression.

En 2018, la Haute Cour britannique a statué que certaines parties de la loi violaient le droit de l'UE, notamment en ce qui concerne l'accès aux données de communication conservées sans autorisation.

En conséquence, la loi a été modifiée afin de se conformer aux normes juridiques. Depuis la sortie du Royaume-Uni de l'UE en 2020, ces modifications ont été partiellement annulées, ce qui suscite de nouvelles inquiétudes.

La vive réaction du public contre cette loi a donné lieu à des pétitions demandant sa réforme ou son abrogation, à des enquêtes médiatiques et à des campagnes menées par des groupes de la société civile qui militent pour plus de transparence et de contrôle.

De leur côté, les partisans de la loi affirment que l'IPA renforce la transparence et le contrôle des pratiques mises en œuvre en vertu des lois existantes, arguant qu'elle donne aux autorités les moyens de protéger la société à l'ère numérique, où les menaces sont de plus en plus complexes.

Modifications récentes : Qu'est-ce qui a changé en 2024 ?

En 2024, l'IPA a fait l'objet d'une nouvelle réforme et a introduit plusieurs mises à jour importantes. Celles-ci comprenaient :

• Nouvelles obligations de notification pour les entreprises technologiques, telles que les fournisseurs de réseaux et de services de communication. Elles doivent désormais informer le gouvernement britannique avant d'apporter certaines modifications à leurs services, notamment si celles-ci affectent leur capacité à se conformer aux demandes formulées en vertu de la loi britannique sur la protection des données (IPA).
• Les fournisseurs de services de communication doivent notifier à l'IPC toute violation de données personnelles.
• Les services de renseignement disposent désormais de pouvoirs élargis leur permettant d'accéder plus facilement à de vastes ensembles de données, notamment lorsque les individus n'ont que peu ou pas d'attentes en matière de confidentialité. Il s'agit par exemple des données déjà publiques ou facilement accessibles.
• Ces pouvoirs élargis comprennent également un accès plus large aux ICR.

Il est important de noter qu'une clarification a été apportée : les entreprises étrangères desservant des utilisateurs britanniques sont considérées comme des « opérateurs de télécommunications » et sont désormais soumises aux exigences de conformité de l'IPA, quel que soit leur lieu d'établissement.

D'autres amendements ont suscité une vive inquiétude, notamment concernant les points suivants :

• La suppression du système de double verrouillage dans certains cas.
• Réduction du contrôle judiciaire de certains ordres ou avis émis par le gouvernement.
• Le secrétaire d'État bénéficie d'une forte concentration de pouvoirs, ce qui peut potentiellement réduire sa responsabilité.

Pourquoi les entreprises et les équipes de sécurité devraient-elles s'en soucier ?

La loi sur la protection des données (IPA) a un impact direct sur toute entreprise qui traite des données et des communications numériques. La conformité étant obligatoire, toutes les organisations doivent être prêtes à répondre à une demande d'accès à l'information formulée en vertu de l'IPA.

Les entreprises peuvent être tenues de :

• Fournir ou transmettre des données sensibles. Cela inclut l'interception de communications, la divulgation de données stockées et l'installation de technologies de surveillance.
• Équilibrer les exigences IPA avec conformité en matière de sécurité des données Les obligations découlant du RGPD et d'autres lois internationales complexifient le maintien de la conformité.
• Gérer les risques opérationnels et de réputation si les clients sont informés de pratiques de surveillance, notamment celles des fournisseurs de technologies et de services cloud.
• Maintenir une visibilité claire sur les flux de données et les risques liés aux tiers grâce à des contrôles et des audits automatisés.

Meilleures pratiques pour les organisations confrontées aux exigences de l'IPA

Pour se conformer à la loi IPA, les organisations doivent gérer de manière proactive les risques liés aux données et les exigences légales de la loi.

Se fier uniquement à des mesures réactives ne suffit pas. Les entreprises doivent plutôt mettre en œuvre des processus cohérents, appuyés par des outils favorisant la gouvernance des données et la préparation aux audits.

Ces processus comprennent :

• Réaliser des évaluations régulières des risques liés aux données afin de cartographier les données sensibles.
• Maintenir une gouvernance claire en matière de chiffrement, de contrôle d'accès et de demandes d'accès légitimes.
• Conserver une trace écrite des activités de conformité.
• Sensibiliser le personnel aux obligations en matière de traitement des données et aux procédures d'escalade.
• Assurer une veille et une adaptation constantes aux évolutions réglementaires au Royaume-Uni, dans l'UE et au niveau mondial.
  
  

En utilisant un plateforme de sécurité des données Cyera, par exemple, simplifie la conformité en automatisant la classification des données, en surveillant les points d'accès et en suivant l'activité des utilisateurs en temps réel.

Les tableaux de bord de conformité centralisés signalent les risques et l'état de préparation aux audits, tandis que l'application des politiques alignées sur les obligations de l'IPA est intégrée au système.

Comment Cyera soutient les organisations confrontées aux défis liés à l'IPA

Avec le système adéquat en place, répondre aux exigences de l'IPA est nettement plus facile.

Cyera a été construite pour :

• Classer, gouverner et protéger les données sensibles dans les environnements cloud et hybrides.
• Offrir une visibilité sur les demandes d'accès et les mouvements de données de tiers.
• Automatisez la surveillance de la conformité et les alertes en cas de violations potentielles.
• Fournir aux équipes les outils nécessaires pour construire des cadres de conformité adaptables et résilients.

Avec Cyera, les organisations acquièrent la capacité et le contrôle nécessaires pour répondre avec assurance aux exigences IPA sans compromettre la sécurité des données ni les normes opérationnelles.

Faire de la protection de la vie privée et de la conformité un avantage concurrentiel

Il ne suffit pas d'avoir simplement connaissance de l'IPA et des autres cadres réglementaires et de conformité.

Les organisations doivent adopter une attitude proactive et mettre en œuvre des systèmes conformes aux normes actuelles tout en s'adaptant aux évolutions réglementaires.

Nous vous invitons à découvrir par vous-même les solutions Cyera en matière de confidentialité, de sécurité et de conformité.

Planifiez une démonstration dès aujourd'hui et effectuez un essai gratuit. évaluation des risques liés aux données pour découvrir comment votre organisation peut bénéficier d'une approche proactive en matière de conformité.