Notre point de vue sur la plainte du Département de la Justice

Nous voulons souligner trois points importants pour commencer :

1. Nous soutenons l’engagement du gouvernement des États-Unis à protéger les intérêts américains de l’influence étrangère. Comme le note le Département de la Justice (DOJ), Zoom a pleinement coopéré en la matière. Après avoir également mené une enquête interne approfondie, nous avons licencié, pour violation des politiques de l’entreprise, l’ancien employé basé en Chine accusé dans cette affaire. Nous avons de la même manière mis à pied d’autres employés en attendant la fin de notre enquête.
2. Nous accordons une grande importance à l’échange libre et ouvert d’idées. Comme l’indique clairement le DOJ, toutes les entreprises américaines, y compris Zoom et nos homologues du secteur, sont confrontées à des défis lorsqu’elles font des affaires en Chine. Nous avons pris des mesures pour clarifier nos valeurs. À ce titre, nous avons publié en juillet notre Guide des demandes gouvernementales, sur la base duquel nous soumettons toute demande gouvernementale à un examen minutieux, en accordant toujours la priorité à la vie privée, à la sécurité et à la sûreté de nos utilisateurs. Nous avons également réalisé d’importants investissements dans notre plateforme et mis en place des politiques et des mesures de protection solides.
3. Nous continuerons à faire preuve de la plus grande fermeté pour anticiper et combattre les défis, en constante évolution, relatifs à la sécurité des données. Dans cette optique, nous avons lancé une fonctionnalité de chiffrement de bout en bout pour les utilisateurs de comptes gratuits et payants du monde entier. Nous avons par ailleurs considérablement renforcé nos contrôles d’accès internes. Nous avons également cessé de vendre des services directs et en ligne en Chine, et lancé des hubs d’ingénierie aux États-Unis, en Inde et à Singapour.

Contexte 

En septembre 2019, le gouvernement chinois a désactivé sans avertissement notre service en Chine. À l’époque, nous étions une entreprise beaucoup plus modeste qui servait principalement les petites entreprises. Cette fermeture a entraîné des perturbations importantes pour nombre de nos clients multinationaux, qui ne pouvaient plus communiquer normalement avec leurs employés et leurs partenaires en Chine. Nous avons dû prendre des mesures immédiates pour que le service reprenne.

L’arrêt du service a placé Zoom dans une position inédite et délicate. Comme beaucoup d’entreprises à croissance rapide, nous cherchions avant tout à proposer le meilleur produit possible pour satisfaire nos clients. À ce stade de notre développement, nous n’avions pas pensé devoir un jour nous intéresser à des questions sociétales ou politiques. 

Alors que nous nous efforcions de résoudre le problème, la Chine a demandé à Zoom de s’engager à respecter la législation chinoise, y compris en désignant un contact interne chargé de gérer les demandes d’application de la loi et en transférant les données des utilisateurs basés en Chine hébergées aux États-Unis vers un data center situé en Chine. Dans le but de rétablir notre service, le personnel de Zoom, ainsi que notre PDG, a rencontré les autorités chinoises en Chine en octobre 2019. Nous avons présenté les mesures que nous pourrions prendre en réponse à la fermeture de notre service par le gouvernement chinois. Il s’agit du « plan de rectification » que le Département de la Justice des États-Unis a mentionné dans sa plainte. Ce plan comprenait des mesures visant à se mettre en conformité avec les exigences d’identification réelle et de localisation des données applicables en Chine, d’une manière qui puisse faire l’objet d’un audit et d’une vérification, ainsi que l’établissement d’une entité juridique en Chine afin de satisfaire aux exigences légales et réglementaires locales. Il mentionnait également des mesures que nous n’avons pas mises en œuvre, telles que la collaboration avec un partenaire chinois local pour développer une technologie permettant d’analyser le contenu des réunions organisées en Chine afin d’identifier et de signaler toute activité illégale et de mettre fin aux réunions qui enfreignent la législation chinoise. Le plan contenait également des informations sur les mesures prises précédemment par Zoom pour se conformer à la législation chinoise, telles que l’interdiction de certains types de réunions politiques, religieuses et sexuellement explicites. L’objectif du plan de rectification était de rétablir notre service, ce qui a été chose faite le 17 novembre 2019. 

En octobre 2019, Zoom a nommé l’employé, qui a finalement été licencié, en tant que contact du gouvernement en Chine. Son travail consistait à répondre aux demandes du gouvernement chinois concernant la suppression de comptes, la suppression de réunions et les données des utilisateurs. Bien que le Département de la Justice ne nous ait pas communiqué ses allégations factuelles avant la publication de la plainte, nous avons appris au cours de notre enquête que cet ancien employé avait violé les politiques de Zoom en tentant, entre autres, de contourner certains contrôles d’accès internes. Nous avons mis fin à son contrat, et avons de la même manière mis à pied d’autres employés en attendant la fin de notre enquête. 

Pendant la période où cette personne était employée par Zoom, elle a pris des mesures qui ont entraîné l’interruption de plusieurs réunions organisées en mémoire des événements de Tiananmen et de réunions impliquant des activités religieuses et/ou politiques, dont certaines organisées par des utilisateurs non basés en Chine. Nous avons résilié les comptes associés à certaines de ces réunions*. Nous avons appris au cours de notre enquête que cet ancien employé avait également partagé une quantité limitée de données d’utilisateurs individuels avec les autorités chinoises, ou qu’il en avait facilité le partage. À ce stade de notre enquête, et à l’exception des données de ces quelque 10 utilisateurs individuels, nous ne pensons pas que cet ancien employé ou tout autre employé de Zoom ait fourni au gouvernement chinois les données d’utilisateurs non basés en Chine. L’ancien employé a également pu communiquer des informations sur une réunion organisée en souvenir des événements de Tiananmen. Rien n’indique que des données d’entreprise aient été transmises au gouvernement chinois. 

Alors que la plainte allègue que l’ancien employé a obtenu les ID de comptes Zoom et d’utilisateurs associés à la région chinoise du Xinjiang, notre enquête montre que ces données ont été anonymisées. À l’heure actuelle, nous n’avons aucune raison de penser qu’elles aient pu être partagées avec le gouvernement chinois. 

Enquêtes du DOJ et de la SEC 

En juin 2020, Zoom a reçu une citation à comparaître devant un grand jury du bureau du procureur du Département de la Justice pour le district Est de New York (EDNY). Cette citation à comparaître demandait des informations concernant nos interactions avec des gouvernements et des partis politiques étrangers, y compris le gouvernement chinois. Elle demandait en outre des informations concernant le stockage et l’accès aux données des utilisateurs, l’élaboration et la mise en œuvre des politiques de confidentialité de Zoom, et les mesures prises par Zoom concernant les commémorations de Tiananmen sur Zoom. Zoom a depuis reçu d’autres citations à comparaître de l’EDNY pour obtenir des informations connexes.

En juin 2020, nous avons reçu plusieurs citations à comparaître du bureau du procureur du Département de la Justice pour le district Nord de Californie (NDCA) et de la Securities and Exchange Commission (SEC) des États-Unis. Les deux citations à comparaître visaient à obtenir des documents et des informations concernant diverses questions de sécurité et de confidentialité, y compris le chiffrement de Zoom et les déclarations de Zoom à ce sujet, ainsi que le calcul des statistiques d’utilisation et les informations correspondantes. En outre, la citation à comparaître du NDCA cherchait à obtenir des informations relatives à tout contact entre des employés de Zoom et des représentants du gouvernement chinois, ainsi qu’à toute tentative d’influence, établie ou non, d’un gouvernement étranger sur les politiques, procédures, pratiques et actions de Zoom en ce qui concerne les utilisateurs basés aux États-Unis. 

Nous coopérons pleinement avec toutes ces enquêtes et avons mené en profondeur notre propre enquête interne. 

Nos actions

Nous nous engageons à passer au crible la manière dont nous interagissons avec cet environnement mondial complexe et sujet à controverse. Nous nous sommes engagés à aider nos utilisateurs pendant la pandémie, et sommes fiers d’avoir permis à des particuliers, des écoles, des hôpitaux, des gouvernements et des entreprises du monde entier de rester connectés pendant cette période difficile. Nous servons également le gouvernement américain par le biais de notre plateforme Zoom pour les gouvernements, intégralement déployée dans des data centers situés sur le continent américain et gérée uniquement par des citoyens américains basés aux États-Unis. 

Faciliter l’échange libre et ouvert d’idées est l’une de nos principales missions. Ces derniers mois, nous avons réaffirmé nos engagements en faveur de cette mission et du maintien des normes de confiance et de sécurité les plus élevées. Nous avons travaillé dur pour mettre au point des outils et des politiques solides qui nous aident à respecter ces engagements. Par exemple :

• Chiffrement de bout en bout : nous avons lancé notre fonctionnalité de chiffrement de bout en bout pour les utilisateurs de comptes gratuits et payants du monde entier.
• Routage des données géographiquement limitées : nous avons mis en place des procédures strictes de limitation géographique autour de notre data center basé en Chine continentale. Aucun contenu de réunion ne sera acheminé via ce data center (l’un de nos 19 data centers en colocation acheminant le trafic), à moins que la réunion en question n’inclut un participant de Chine.  Nos clients payants ont la possibilité de choisir les data centers par lesquels acheminer leurs données.
• Contrôles des accès internes : nous avons par ailleurs considérablement renforcé nos contrôles d’accès internes. Nous avons notamment restreint l’accès des employés basés en Chine au réseau de production mondial de Zoom.
• Guide des demandes gouvernementales : nous avons mis en place un guide des demandes gouvernementales, qui prévoit que Zoom soumettra toute demande gouvernementale à un examen minutieux, en donnant toujours la priorité à la vie privée, à la sécurité et à la sûreté de nos utilisateurs. Le traitement par Zoom des demandes émanant des gouvernements doit désormais être approuvé par le service juridique américain de Zoom.
• Formation des employés : nous avons mis en place une formation solide pour les employés, axée sur la protection des données et la conformité. 

Nous avons apporté de nombreuses autres améliorations de sécurité bien documentées, et nous ne comptons pas nous arrêter là. Nous disposons d’équipes d’ingénierie de sécurité et de conformité basées aux États-Unis qui scrutent de manière périodique le code source. Nous mettons également en place un programme de lutte contre les menaces internes. Avec ce programme, Zoom dispose des informations nécessaires sur ses employés actuels et potentiels pour évaluer les risques de menaces internes ainsi que des systèmes permettant de détecter les signes d’alerte en cas de comportement suspect. 

Chez Zoom, nous voulons avant tout servir nos utilisateurs. Dans cette optique, nous restons déterminés à répondre aux attentes des millions de personnes qui nous font confiance.

* Nous avons mis à jour notre article de blog du 11 juin concernant les réunions organisées en mémoire des événements de Tiananmen afin d’y faire figurer les dernières informations connues.

Safe Harbor et déclarations prospectives

Certaines déclarations contenues dans cet article constituent des « déclarations prospectives » au sens de la section 27A de la loi Securities Act de 1933, telle que modifiée, et de la section 21E de la loi Securities Exchange Act de 1934, telle que modifiée. Elles sont fondées sur nos convictions, notre compréhension et nos attentes actuelles concernant les enquêtes gouvernementales et internes décrites dans cet article, et les événements sous-jacents qui font l’objet de ces enquêtes. Ces enquêtes sont en cours jusqu’à une date indéterminée, et nous n’avons pour l’heure aucune idée des faits réels que nous découvrirons à l’issue de ces enquêtes, ni des mesures que le gouvernement pourrait ou non prendre. 

Les déclarations prospectives, qui ne sont que des prédictions, peuvent être influencées par des événements futurs, des risques et des incertitudes supplémentaires, dont beaucoup échappent à notre contrôle ou nous sont actuellement inconnus. Ces risques et incertitudes comprennent, sans s’y limiter, d’autres faits que nous pourrions apprendre à la suite de notre enquête en cours ou des preuves qui nous sont présentées par le gouvernement américain, des mesures prises par les organismes d’application et de réglementation du gouvernement américain concernant les événements décrits dans ce blog, des mesures prises par le gouvernement chinois susceptibles d’impacter nos activités commerciales, y compris notre capacité à opérer en Chine, et l’impact potentiel que l’un ou l’autre de ces événements, risques et incertitudes pourrait avoir sur nos employés. Nous sommes confrontés à d’autres événements, risques et incertitudes en ce qui concerne le maintien de la sécurité de notre plateforme. Citons notamment le risque de compromission de nos mesures de sécurité à l’avenir, tout manquement réel ou perçu au respect des lois, réglementations, normes, politiques et obligations contractuelles en matière de confidentialité, de protection des données et de sécurité de l’information, des retards ou des interruptions de service de nos data centers en colocation, et des défaillances de l’infrastructure Internet ou des interférences avec l’accès à large bande, qui pourraient amener les utilisateurs actuels ou potentiels à penser que notre plateforme n’est pas fiable. Des risques et incertitudes supplémentaires pouvant entraîner des résultats effectifs substantiellement différents de ceux impliqués par les déclarations prospectives sont inclus à la rubrique « Facteurs de risque » ainsi que dans nos présentations les plus récentes soumises à la Securities and Exchange Commission (SEC), y compris dans notre rapport trimestriel (Form 10-Q) pour le trimestre clôturé au 31 octobre 2020.

Les déclarations prospectives ne sont valables qu’à la date à laquelle elles sont faites. Nous ne nous engageons pas à les mettre à jour, sauf si la loi l’exige, et nous déclinons expressément toute obligation de le faire.