Apple attaque de nouveau Londres sur le chiffrement iCloud
Photo: Garry Knight / CC BY 2.0
Apple retourne devant la justice face à l'exigence britannique d'accéder aux données iCloud chiffrées : l'entreprise a déposé une nouvelle plainte auprès de l'Investigatory Powers Tribunal contre une Technical Capability Notice réécrite. Le Financial Times a révélé ce recours le premier, les reprises datent du 3 août 2026. Le litige porte sur une porte dérobée de chiffrement que le gouvernement britannique n'a jamais confirmée publiquement et qu'Apple n'a légalement pas le droit de décrire.
L'enjeu dépasse le service cloud d'une seule entreprise. C'est le premier vrai test juridique de la question de savoir si un Etat peut ordonner à un fournisseur de conserver la capacité technique de lire ce qu'il a promis de ne pas pouvoir lire.
Ce qu'exige réellement une Technical Capability Notice
Une Technical Capability Notice est délivrée au titre de l'article 253 de l'Investigatory Powers Act 2016. Elle ne vise pas un compte précis. Elle oblige une entreprise à conserver la capacité de produire un contenu lisible si un mandat arrive plus tard. Pour un service bâti sur le chiffrement de bout en bout, ce n'est pas une demande de communication, c'est une consigne de conception.
Advanced Data Protection, la fonction d'Apple, étend le chiffrement de bout en bout aux sauvegardes iCloud, aux photos, aux notes et à la plupart des autres catégories. Les clés sont générées et stockées sur les appareils de l'utilisateur, Apple ne les détient donc pas et ne peut pas déchiffrer le contenu, même si elle le voulait. Conserver la capacité décrite dans l'injonction revient donc à changer l'architecture : garder une clé, une copie ou un chemin que quelqu'un chez Apple pourrait emprunter sur demande.
Plutôt que de construire ce chemin, Apple a désactivé Advanced Data Protection pour les utilisateurs britanniques en février 2025. Les clients du Royaume-Uni ont perdu l'option, le reste du monde l'a conservée.
Apple contre le gouvernement britannique : comment l'affaire du chiffrement en est arrivée là
| Date | Evénement |
|---|---|
| Février 2025 | Le Washington Post révèle une injonction secrète adressée à Apple au titre de l'Investigatory Powers Act. Selon les informations publiées, elle couvre les données iCloud dans le monde entier, pas seulement celles des Britanniques. |
| Février 2025 | Apple retire Advanced Data Protection au Royaume-Uni plutôt que de construire un accès. |
| Mars 2025 | Apple dépose sa première plainte devant l'Investigatory Powers Tribunal. |
| Avril 2025 | Le tribunal publie une décision confirmant les éléments de base du dossier et rejette l'argument du gouvernement selon lequel même l'existence de l'affaire devrait rester secrète. |
| Juillet 2025 | Une ordonnance de mise en état impose aux deux parties de convenir d'un jeu de faits présumés pour une audience de sept jours. |
| Automne 2025 | Après les objections de Washington, l'exigence mondiale est abandonnée et remplacée par une injonction plus étroite, limitée aux utilisateurs britanniques. |
| Août 2026 | Apple dépose une nouvelle plainte, cette fois contre l'injonction limitée au Royaume-Uni. |
La deuxième injonction est plus étroite, pas plus légère
Réduire l'ordre aux comptes britanniques a réglé un problème diplomatique. Des élus américains avaient protesté contre le fait qu'un gouvernement étranger atteigne les données d'utilisateurs américains, et la Maison-Blanche traitait la demande comme une question bilatérale plutôt que comme une affaire intérieure britannique. Limiter l'injonction aux résidents du Royaume-Uni a fait disparaître cette friction.
Elle n'a pas fait disparaître le problème d'ingénierie. Une porte dérobée limitée à un pays doit malgré tout exister dans une base de code mondiale unique. Une fois qu'un mécanisme d'accès légal est construit, les frontières qui l'entourent relèvent de la politique, pas de la physique, et la politique change précisément quand les gouvernements changent.
Pourquoi une décision britannique sera lue bien au-delà du Royaume-Uni
L'Investigatory Powers Tribunal est la seule juridiction britannique compétente pour ce type de recours, et il siège habituellement à huis clos. Il a déjà dû céder sur ce point : après les commentaires publics de personnalités de haut rang des deux côtés de l'Atlantique, le tribunal a admis que la publicité de la justice l'emportait sur un secret général, et a accepté de plaider sur un ensemble de faits présumés plutôt que sur des détails classifiés. Privacy International et Liberty mènent un recours parallèle contre le régime même de ces injonctions.
Quelle que soit la décision, elle servira de modèle. Si un gouvernement peut obliger un fournisseur à conserver une capacité de déchiffrement qu'il a publiquement abandonnée, alors toute promesse du type "nous ne pouvons pas y accéder" devient conditionnelle, suspendue au droit du pays dont dépend le fournisseur. La question ne s'arrête pas aux sauvegardes cloud. C'est exactement celle qui se cache derrière chaque promesse de non-conservation de journaux dans le secteur de la vie privée : savoir si un fournisseur ne détient pas vos données ou ne les détient pas encore dépend moins du marketing que de la juridiction capable d'imposer une refonte.
Pour les utilisateurs, la lecture pratique est plus étroite. Advanced Data Protection reste indisponible au Royaume-Uni pendant la procédure, ce qui signifie que les sauvegardes iCloud des comptes britanniques restent dans un format qu'Apple peut déchiffrer sur mandat. Qui veut une protection de bout en bout pour ces données dans l'intervalle doit les conserver hors d'iCloud.
