Section 702 evitee de justesse: comment AT&T et Verizon ont failli arreter la surveillance de masse americaine et ce que cela signifie pour les VPN

Pendant quelques heures tard le 19 avril 2026, les États-Unis se sont approchés plus que le public ne le réalise d'un arrêt complet de l'un de leurs plus grands programmes de surveillance sans mandat. Une poignée d'opérateurs de télécommunications qui aident le gouvernement à faire fonctionner la Section 702 du Foreign Intelligence Surveillance Act avaient averti en privé la Maison-Blanche qu'ils cesseraient de collecter des données le 20 avril, jour où le programme devait expirer, si le Congrès n'agissait pas. Puis, aux premières heures du 17 avril, la Chambre a adopté une extension minimaliste de 10 jours; le Sénat l'a validée quelques heures plus tard; et le président Donald Trump a signé le texte le samedi 19 avril. La coupure a été évitée. Mais le brinkmanship a révélé ce que le gouvernement préfère taire: le fonctionnement quotidien de la Section 702 dépend de la volonté des opérateurs télécoms privés de continuer à coopérer, et cette volonté a une limite juridique.

Ce qui allait se passer

La Section 702, ajoutée à la FISA en 2008, autorise la NSA, la CIA et le FBI à collecter les communications de cibles non américaines situées à l'étranger sans mandat. Le programme fonctionne sur des données que les opérateurs télécoms privés et les fournisseurs cloud remettent au gouvernement sous directives juridiques. Ces directives ne sont exécutoires que tant que la loi est en vigueur. Si la loi expire, les opérateurs sont exposés: continuer à livrer les communications des utilisateurs pourrait constituer une violation du Quatrième Amendement, faire naître des recours collectifs ou enfreindre leurs propres conditions de service.

Selon The Wall Street Journal, les principaux opérateurs américains, dont AT&T et Verizon, ont fait savoir en privé à l'administration Trump que sans base législative valide, ils cesseraient de livrer les données à minuit le 20 avril. Les opérateurs ont explicitement invoqué le Quatrième Amendement: sans loi en vigueur, la collecte massive de contenu lié aux communications américaines les exposerait à des poursuites civiles, potentiellement à des recours collectifs, pour perquisition inconstitutionnelle. Les responsables du renseignement ont pris la menace assez au sérieux pour dire au Congrès qu'une expiration créerait de vraies lacunes opérationnelles dans une période de tension accrue avec l'Iran.

La porte de sortie à 10 jours

Trump avait initialement poussé pour une réautorisation propre de 18 mois sans nouvelles réformes. Cette proposition s'est effondrée au sol de la Chambre vers 2 heures du matin heure de l'Est le vendredi 17 avril, perdant par 197 voix contre 228, quand une coalition de républicains libertariens et de démocrates axés sur la vie privée a refusé de la faire passer. Une proposition séparée sur cinq ans a également échoué. Le seul projet de loi qui a pu passer était la H.R. 8322, un patch de 10 jours. La Chambre l'a adopté par consentement unanime lors de la même séance nocturne, le Sénat l'a approuvé quelques heures plus tard, Trump l'a signé samedi soir. La nouvelle échéance est le 30 avril.

La coalition de réforme qui a arrêté l'extension propre est inhabituellement transpartisane: les sénateurs Ron Wyden (D-OR), Rand Paul (R-KY), Mike Lee (R-UT) et Dick Durbin (D-IL) exigent la même chose en termes différents, une obligation de mandat sur probable cause avant que le FBI puisse interroger la base Section 702 pour les communications de personnes américaines. Les associations de défense des libertés civiles voient dans le succès de cette coalition une vraie chance de réforme, pas un énième report.

Ce que cela signifie pour les dix prochains jours

Trois issues sont possibles. La première est une réautorisation à long terme avec de vraies réformes attachées, principalement une obligation pour le FBI d'obtenir un mandat sur probable cause avant de rechercher dans la base Section 702 les communications d'une personne américaine. L'EFF, l'EPIC et l'ACLU poussent depuis des semaines pour exactement cette réforme. La deuxième est un autre patch propre qui renvoie le combat à l'été. La troisième, encore techniquement possible, est une expiration après le 30 avril, auquel cas les opérateurs s'arrêteront presque certainement à nouveau, et le gouvernement devra décider de recourir à des pouvoirs d'urgence, à d'autres statuts, ou simplement d'accepter la brèche.

Ce que ce quasi-accident a révélé

La surveillance de masse aux États-Unis est souvent discutée comme si elle était un appareil permanent et autonome. Elle ne l'est pas. C'est un partenariat entre le gouvernement et une poignée d'entreprises télécoms et cloud, et ce partenariat a des termes contractuels. Quand la base juridique disparaît, le contrat disparaît. Le système n'est pas à toute épreuve: il n'est stable que dans la mesure où les entreprises privées sont disposées à continuer de porter un risque juridique pour le compte du gouvernement.

Pour les utilisateurs, cette semaine est un rappel: le pipeline de données qui les inquiète passe par des entreprises avec lesquelles ils ont déjà une relation client. L'opérateur qui fournit votre téléphone et votre internet est la même entité qui, sous la bonne directive juridique, remet vos messages transfrontaliers à la NSA.

Ce que cela signifie pour les VPN et les utilisateurs ordinaires

Un VPN ne retire pas vos communications de la collecte Section 702 si la personne à qui vous parlez est légitimement ciblée, car ce ciblage se fait à l'autre bout du tuyau, pas chez votre FAI. Ce que fait un VPN, c'est changer ce que voit votre opérateur domestique. Au lieu d'une requête DNS vers un site d'actualité, d'une demande vers un forum politique européen ou d'une session de chat avec un contact Telegram, votre FAI ne voit que du trafic chiffré vers un serveur de fournisseur VPN. Cette seule transformation bloque le type de données le plus commun qu'un opérateur peut être légalement obligé de remettre: la liste des domaines, services et contacts liés à votre adresse IP.

Associé à une messagerie chiffrée de bout en bout, à un résolveur DNS en dehors de votre FAI et à une politique VPN sans logs, la surface d'attaque pratique pour tout filet, Section 702 ou autre, rétrécit fortement. Pas à zéro, mais à quelque chose de beaucoup moins passif et beaucoup moins automatique.

La suite

Le Congrès a jusqu'au 30 avril pour fixer la forme à moyen terme de la Section 702. Les défenseurs de la vie privée voient cette fenêtre étroite comme leur meilleure chance d'obtenir une obligation de mandat depuis 2024. Les faucons de la sécurité nationale y voient une échéance pour préserver un outil de renseignement qu'ils jugent irremplaçable. Les opérateurs observent les deux camps. Et les utilisateurs, pour la première fois depuis longtemps, ont une raison concrète de s'y intéresser: l'infrastructure de la collecte de masse a failli s'éteindre toute seule cette semaine.

Nos articles précédents sur vpnlab.io

Trois articles antérieurs posent le contexte de l'histoire d'aujourd'hui:

• Des sénateurs américains avertissent que les utilisateurs VPN pourraient perdre leurs protections FISA - la lettre d'un groupe de parlementaires de mars 2026 qui a cadré l'actuel débat de reconduction.
• FISA Section 702 et VPN: comment votre outil de confidentialité peut vous priver de protection légale - l'analyse approfondie du paradoxe constitutionnel quand un Américain se trouve à l'autre bout d'une conversation 702.
• Le DOJ américain refuse d'aider la France dans l'enquête sur X de Musk - un combat parallèle sur la question de savoir si les plateformes peuvent être régulées par la poursuite pénale, et pourquoi les couches VPN et messagerie chiffrée comptent désormais aussi juridictionnellement.

Conclusion