Stockage par des fournisseurs approuvés pour les forces de l'ordre

Résumé#

Le projet de loi ajoute une nouvelle loi permettant à certaines entreprises de stockage dans le cloud de travailler pour les forces de l'ordre en stockant du matériel d'abus sexuel sur des enfants (appelé « pornographie juvénile » dans la loi fédérale) et en limitant les poursuites judiciaires ou les accusations criminelles contre ces entreprises pour ce travail. Il établit également des règles de sécurité pour les fournisseurs, exige que les preuves restent aux États-Unis et demande aux fournisseurs de notifier le ministère de la Justice (ou un procureur général d'État) dans certaines circonstances.

• Changement principal : Crée une nouvelle catégorie de « fournisseur approuvé » pour le stockage de preuves des forces de l'ordre et accorde à ces fournisseurs une large protection contre les réclamations civiles et les accusations criminelles pour l'exécution de leurs obligations contractuelles, avec des exceptions énumérées pour inconduite.
• Règles de sécurité et de garde : Les fournisseurs approuvés doivent suivre des étapes spécifiques en matière de cybersécurité (cadre NIST, cryptage, audits), limiter l'accès et conserver le matériel stocké aux États-Unis.
• Notification et garde : Les fournisseurs doivent informer le ministère de la Justice dans les 30 jours suivant un contrat et doivent notifier le DOJ ou les procureurs généraux d'État si une agence cesse de payer ou enfreint le contrat ; les fournisseurs doivent préserver les preuves jusqu'au transfert légal.
• Conservation des preuves : Les agences utilisant le stockage dans le cloud doivent conserver les preuves conformément à la politique de sécurité CJIS du FBI et aux périodes de conservation habituelles ou de prescription.
• Points flous : Le projet de loi ne définit pas clairement « l'obscénité juvénile », et les normes qui permettent les poursuites (négligence contre malice/inconduite) sont rédigées de manière à être confuses.

Ce que cela signifie pour vous#

• Entreprises de stockage dans le cloud et entrepreneurs technologiques

  • Si vous êtes un fournisseur approuvé sous contrat avec les forces de l'ordre américaines, vous bénéficieriez d'une protection juridique contre la plupart des poursuites civiles et des accusations criminelles pour l'exécution de vos obligations contractuelles — sauf dans certains cas d'inconduite.
  • Vous devez respecter des règles techniques : suivre le Cadre de cybersécurité NIST, utiliser un cryptage de bout en bout (ou équivalent), limiter l'accès des employés, réaliser des audits de cybersécurité indépendants annuels et résoudre rapidement les problèmes d'audit.
  • Vous devez conserver les données et les analyses à l'intérieur des États-Unis et déposer un avis auprès du ministère de la Justice dans les 30 jours suivant le début d'un contrat.
  • Si une agence des forces de l'ordre enfreint ou annule le contrat (ou ne paie pas), vous devez notifier le DOJ ou le procureur général de l'État et continuer à préserver les preuves jusqu'à leur transfert légal.

• Forces de l'ordre et procureurs

  • Les agences peuvent engager des fournisseurs approuvés pour stocker et analyser du matériel d'abus sexuel sur des enfants et exiger que le fournisseur fournisse un accès et des services d'analyse sur demande.
  • Les agences doivent suivre la politique de sécurité CJIS du FBI et conserver les preuves pendant les périodes de conservation requises ou au moins jusqu'à ce que les délais de prescription ou de révision post-condamnation applicables prennent fin.

• Ministère de la Justice et procureurs généraux d'État

  • Le DOJ reçoit des lettres de notification obligatoires lorsque les fournisseurs commencent des contrats et lorsque des contrats sont enfreints ou résiliés.
  • Le DOJ ou les AG d'État peuvent devenir le prochain gardien légal des preuves si un contrat est résilié.

• Victimes, familles et plaignants civils

  • Le projet de loi pourrait affecter la capacité d'intenter certaines actions en justice contre les fournisseurs. Les poursuites et les accusations criminelles restent possibles dans certains cas décrits dans le projet de loi, mais l'étendue précise n'est pas entièrement claire dans le texte.

Dépenses#

Aucune information disponible publiquement.

• Le projet de loi exige des audits de cybersécurité indépendants annuels et des actions correctives. Cela crée des coûts de conformité pour les fournisseurs (frais d'audit, travail technique, limites de personnel).
• L'exigence de conserver les données aux États-Unis peut augmenter les coûts pour les fournisseurs qui utilisent une infrastructure cloud internationale ou des centres de données mondiaux.
• Les fournisseurs doivent préserver les preuves après une violation ou une résiliation de contrat jusqu'au transfert. Cela pourrait créer des coûts de stockage et juridiques pour les fournisseurs.
• Les agences peuvent faire face à des coûts administratifs pour se conformer aux politiques de sécurité CJIS du FBI et pour gérer les transferts lorsque les contrats prennent fin.
• Le projet de loi lui-même n'inclut pas d'estimation des dépenses fédérales dans le matériel fourni.

Point de vue des partisans#

• Le projet de loi semble destiné à moderniser la manière dont les forces de l'ordre stockent et analysent le matériel d'abus sexuel sur des enfants en permettant aux fournisseurs de cloud privés de fournir un stockage et un soutien d'analyse.
• Les partisans peuvent faire valoir que la limitation de la responsabilité incitera les fournisseurs à entrer plus facilement en contrat avec les forces de l'ordre et ainsi améliorer la capacité technique des enquêteurs.
• Le projet de loi établit des attentes de sécurité claires (cadre NIST, cryptage, audits), ce qui pourrait être perçu comme une protection de l'intégrité des preuves et une réduction des fuites.
• L'exigence de conserver les données aux États-Unis et l'obligation de notifications et de préservation des preuves visent à préserver la chaîne de garde et à rendre le transfert vers d'autres agences ordonné.

Point de vue des opposants#

• Une préoccupation est que la large protection de responsabilité pourrait réduire les incitations des fournisseurs à prévenir les abus ou à traiter le matériel avec une prudence accrue, surtout lorsque les limites de responsabilité ne sont pas clairement définies.
• Le langage du projet de loi concernant les moments où les réclamations sont autorisées est flou. Il énumère à la fois « conduite négligente » et des normes telles que « malice réelle » et « mépris imprudent », ce qui pourrait créer de la confusion sur le moment où des poursuites ou des accusations criminelles sont autorisées.
• Le projet de loi fait référence à « l'obscénité juvénile » mais ne définit pas ce terme, ce qui peut créer une incertitude juridique.
• L'exigence de stockage uniquement aux États-Unis et d'audits indépendants annuels pourrait entraîner des coûts de conformité significatifs pour les fournisseurs, en particulier les petites entreprises, et pourrait limiter le nombre de fournisseurs disponibles.
• Le projet de loi n'explique pas ce que le ministère de la Justice doit faire après avoir reçu des notifications, ni comment la surveillance des fournisseurs approuvés sera appliquée.