En ce qui concerne le II du même article L. 852-1, le Conseil constitutionnel a en outre fait état de conditions strictes de mises en œuvre, relevant dans sa décision :
- un recours limité à certaines finalités seulement, « relatives à la prévention d’atteintes particulièrement graves à l’ordre public » ;
- une obligation de destruction des correspondances interceptées sans lien avec l’autorisation délivrée, et au plus tard 30 jours à compter du recueil.
1.3. CADRE EUROPEEN
La Convention Européenne de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales admet, de façon constante depuis son arrêt Klass et autres c. Allemagne (n° 5029/71, 6 septembre 1978), que les services de renseignement étatiques puissent se munir de moyens de surveiller les individus pour faire face à des menaces pouvant mettre en péril une société démocratique. Les mesures prises à cet égard, qui peuvent concerner un grand nombre de données ne portent ainsi pas, par nature, une atteinte disproportionnée au droit à la vie privée protégée par l’article 8 de la Convention.
Dans son arrêt Weber et Saravia c. Allemagne (n° 54934/00, 29 juin 2006, § 95), la Cour a exposé les principes généraux à l’aune desquels une mesure de surveillance secrète doit être appréciée pour déterminer si elle est ou pas conforme aux exigences de l’article 8 § 2 de la Convention, à savoir : la nature des infractions susceptibles de donner lieu à un mandat d’interception, la définition des catégories de personnes susceptibles d’être mises sur écoute, la fixation d’une limite à la durée d’exécution de la mesure, la procédure à suivre pour l’examen, l’utilisation et la conservation des données recueillies, les précautions à prendre pour la communication des données à d’autres parties et les circonstances dans lesquelles peut ou doit s’opérer l’effacement ou la destruction des enregistrements.
2. NECESSITE DE LEGIFERER ET OBJECTIFS POURSUIVIS
Encore résiduels il y a encore quelques années, les moyens de communication par voie satellitaire tendent à se développer à l’échelle internationale, sous l’impact de la mise en orbite de plusieurs constellations satellitaires dits de basse altitude offrant des possibilités de communications mobiles identiques à celles des réseaux de communications terrestres.
D’ores et déjà, il est constaté des usages de ces nouveaux moyens de communication sur le territoire national, dont une fraction est liée à des activités criminelles ou de nature à porter atteinte aux intérêts fondamentaux de la Nation. À ce jour, les services sont ainsi en mesure de détecter l’utilisation, sur le territoire national, de plusieurs centaines de boîtiers satellitaires, pour lesquels il existe des raisons sérieuses de penser qu’ils sont, au moins pour partie, utilisés par des individus dont les activités sont de nature à porter atteinte aux intérêts fondamentaux de la Nation. Ces détections sont évidemment loin d’être exhaustives et ne correspondent qu’aux utilisations détectées par les moyens actuels des services de renseignement.
Le déploiement annoncé, d’ici à 2025, de nouvelles constellations satellitaires d’ampleur portées par des entreprises étrangères laisse à penser que ces usages devraient aller croissants et se banaliser au cours des prochaines années. Parmi les projets visant le grand public actuellement en cours de déploiement peuvent notamment être cités :
- le projet Starlink a été initié par la société SpaceX, avec pour ambition d’offrir au grand public une offre d’accès Internet, sur une couverture mondiale. La mise en
service initiale est prévue pour la fin de l’année 2021 au Canada et le nord des Etats-Unis, avec une montée en puissance progressive sur l’ensemble du globe jusqu’à 2025 ;
- le projet Oneweb, dont la mise en service est annoncée pour 2022 et devrait comporter 648 satellites ;
- enfin, la société Amazon a également initié un projet de déploiement satellitaire qui devrait être mis en service à horizon 2026 et comporter, à terme, 3 236 satellites.
A relativement court terme, il existera une offre complète de télécommunications transitant par la voie satellitaire, qui plus est à des tarifs avantageux, qui pourrait être de nature à concurrencer les offres des opérateurs de communications électroniques traditionnels empruntant le réseau terrestre.
Cette évolution significative des modes de communication pose, pour les services de renseignement, un enjeu majeur de préservation de leurs capacités techniques de surveillance.
Dans un premier temps, des individus ou des groupes se livrant à des activités criminelles pourraient se tourner vers ces nouveaux moyens de communication afin d’échapper à la surveillance. À terme, avec la démocratisation des terminaux satellitaires, les services de renseignement risquent de se trouver dans l’incapacité d’intercepter une partie importante des communications émises ou reçues depuis le territoire national.
Plusieurs caractéristiques des réseaux de communications par satellite rendent l’interception sur le territoire national difficilement appréhendable par le droit en vigueur.
Bien que les opérateurs de communications par satellite soient, en droit, assimilables à tout opérateur de communications électroniques au sens du code des postes et des communications électroniques et soient donc soumis aux obligations fixées par ce code et rappelées au point 1, se pose, en pratique, l’effectivité de ce cadre légal, fait aujourd’hui, les concernant, l’objet d’interrogations pour trois séries de raisons.
En premier lieu, les constellations satellitaires actuelles, de même que les constellations en cours de déploiement, sont à ce jour toutes exploitées par des opérateurs étrangers30, qui ne disposent le plus souvent pas de représentant légal sur le territoire national et se révèlent, dès lors, plus difficiles à réquisitionner au titre de la loi renseignement. La mise en œuvre des réquisitions légales à leur endroit serait ainsi incertaine ou difficile En deuxième lieu, à supposer même qu’un opérateur étranger défère à une réquisition délivrée par l’autorité administrative tendant à la mise en œuvre d’interceptions de sécurité, cela ne serait pas sans soulever une problématique de confidentialité dans la mesure où elle conduirait, à droit
constant, à révéler à une entreprise étrangère l’identité de certains des objectifs suivis par les services de renseignement français.
En troisième lieu, les protocoles de communication entre le satellite et les terminaux ne garantissent pas, à l’heure actuelle, qu’il sera toujours possible de disposer d’un identifiant précis dont l’interception des communications pourra être demandé A cet égard, il convient en outre d’observer que l’exploitation d’un réseau satellitaire en France n’imposant pas toujours techniquement l’installation d’équipements sur le territoire national, la plupart des opérateurs satellitaires actuels sont en mesure d’offrir un service sur le territoire français sans pour autant respecter strictement les exigences fixées aux articles L. 33-1 et D.
98-7 du code des postes et des communications électroniques. Or, ces conditions sont celles qui assurent non seulement la disponibilité des opérateurs pour répondre aux réquisitions de l’autorité administrative pour la mise en œuvre d’une interception légale, mais aussi le respect d’un niveau satisfaisant de confidentialité.
A ce stade, il faut donc envisager que les conditions permettant la mise en œuvre du I de l’article L. 852-1 ne seront pas réunies dans nombre de cas. Or, la loi actuelle n’offre aucun cadre alternatif qui permettrait de pallier cette grave lacune si une partie importante des communications devaient, demain, transiter par la voie satellitaire, puisque la technique d’interceptions via un dispositif de proximité (II de l’article L. 851-2 du code de la sécurité intérieure) ne permet pas de répondre au besoin identifié, dès lors que les conditions entourant sa mise en œuvre, en particulier la limitation de la durée d’autorisation à 48 heures, se révèlent en pratique trop restrictives pour permettre son déploiement par les services de renseignement.
En outre, la limitation à seulement trois finalités ne permettrait pas de couvrir l’ensemble des besoins identifiés, en particulier en matière de lutte contre la criminalité organisée.
Dans ces conditions, la modification du cadre légal apparaît nécessaire pour permettre aux services de renseignement de préserver, à moyen terme, leurs capacités de surveillance technique sur le territoire national, en les autorisant à intercepter les correspondances transitant par la voie satellitaire, au même titre que par les autres voies de communications électroniques aujourd’hui couvertes par le droit.
3. OPTIONS POSSIBLES ET DISPOSITIF RETENU
3.1. OPTIONS ENVISAGEES
1) Il aurait pu être envisagé de modifier ou d’élargir les conditions d’application des techniques de recueil de renseignement autorisées par le I de l’article L. 852-1 du code de la sécurité intérieure, afin d’y inclure les besoins spécifiques liés à la captation des communications satellitaires.
Cependant, en raison d’une part, des difficultés susmentionnées liées à la réquisition d’opérateurs étrangers et, d’autre part, des difficultés techniques propres aux communications
satellitaires limitant les possibilités de procéder à des interceptions ciblées sur un élément technique, l’extension de la technique prévue au I de cet article est apparue inadaptée au besoin identifié.
2) De la même manière, a été écartée l’option consistant à assouplir les critères de mise en œuvre de la technique autorisée par le II du même article L. 852-1, bien qu’elle se rapproche le plus, sur le plan technique, du besoin identifié. Pour l’interception de communications satellitaires, le recours à un dispositif de captation de proximité ne constitue pas, contrairement à l’interception des communications empruntant les réseaux terrestres, une alternative à la réquisition, mais bien l’unique option technique à ce jour envisageable eu égard aux caractéristiques propres de ces nouveaux moyens de communication. Aussi est-il apparu préférable de privilégier la création d’un cadre légal adapté répondant à des critères de mise en œuvre propres.
3) S’agissant enfin des critères de mise en œuvre de l’expérimentation proposée, plusieurs solutions ont été écartées.
Il aurait tout d’abord pu être décidé de n’ouvrir cette nouvelle technique qu’aux seuls services spécialisés de renseignement. Une telle limitation est toutefois apparue contradictoire avec l’objectif même de la modification législative envisagée, qui consiste non pas à ajouter un nouvel outil à l’arsenal des services de renseignement, mais uniquement à combler le déficit opérationnel qui pourrait résulter du changement technologique induit par l’émergence des terminaux de communications satellitaires. Dans ces conditions, les services appartenant au second cercle du renseignement étant également susceptibles de pâtir du déport de certaines communications vers les moyens satellitaires, il est indispensable que leur soit également ouverte la possibilité de recourir à cette technique, étant observé que, à la fois pour des questions de coût et des questions de technicité, la mise en œuvre effective des interceptions sera opérée par les services du premier cercle. Par ailleurs, elle sera contingentée.
En effet, la seule circonstance que le service demandeur de la mise en œuvre d’une telle technique soit un service du second cercle ne paraît pas de nature à majorer l’atteinte à la vie privée, dès lors que l’ensemble des opérations postérieures à la demande sont prises en charge par les services du premier cercle (pour la captation) et par le GIC (pour la centralisation, le tri et la suppression des informations sans lien avec la cible, le service demandeur ne pouvant exploiter en retour que des informations concernant sa cible.
Par ailleurs, a été écartée l’option qui aurait consisté à proposer une expérimentation de courte durée, inférieure à quatre ans. En l’espèce, une durée technique suffisamment longue apparaît en effet nécessaire :
- d’une part, en raison du délai nécessaire à la définition des conditions techniques de mise en œuvre de la technique, qui pourra nécessiter plusieurs mois après la promulgation de la loi ;
- d’autre part, du déploiement de nouvelles constellations satellitaires d’ici à 2025, dont le fonctionnement est à ce stade inconnu. Il importe que la période d’expérimentation laisse le temps aux services de conduire de premiers tests sur ces nouvelles constellations, ce que ne permettrait pas une durée inférieure à 4 ans.
3.2. DISPOSITIF RETENU
Le dispositif retenu consiste à créer une nouvelle modalité d’interception de correspondances qui serait mise en œuvre directement à l’aide d’un dispositif ou d’un appareil de captation, sans que l’opérateur ne réponde à une réquisition d’interception. Une telle modalité est en effet celle qui répond le mieux, techniquement, au besoin identifié pour les communications satellitaires, dès lors qu’elle autorise une captation tactique de l’ensemble des communications transitant sur une zone, aux fins d’identifier les communications de la cible surveillée.
Le dispositif n’ajoute pas un nouvel outil à l’arsenal existant, mais a pour seul objectif de compenser la perte opérationnelle qui pourrait résulter de l’évolution des moyens de communications électroniques, avec deux objectifs :
- d’une part, donner un cadre légal à des besoins opérationnels identifiés par les services de renseignement qui, s’ils ne sont pas encore majoritaires, n’en présentent pas moins un intérêt opérationnel fort. Dans la plupart des cas identifiés, il s’agit de pouvoir poursuivre, sur le territoire national, une surveillance initiée dans le cadre de la surveillance internationale sur les constellations satellitaires existantes, ce qui n’est pas possible dans le cadre légal actuel ;
- d’autre part, se préparer, sur le plan technique, à l’émergence de nouvelles constellations satellitaires qui pourraient, à terme, supplanter, pour partie, le recours aux moyens de communications électroniques classiques. Face à un monde des communications électroniques en pleine évolution, il est indispensable que les services de renseignement se mettent en situation de pouvoir répondre aux besoins opérationnels liés au déploiement engagé de nouvelles constellations satellitaires.
Cette nouvelle technique d’interception serait ouverte à quatre finalités prévues à l’article L.
811-3 du même code : l'indépendance nationale, l'intégrité du territoire et la défense nationale (1°), la prévention du terrorisme (4°), la promotion et la défense des intérêts majeurs de la politique étrangère, de l'exécution des engagements européens et internationaux de la France et la prévention de toute forme d'ingérence étrangère (2°), la lutte contre la criminalité et la délinquance organisées (6°)
Par ailleurs, la technique serait ouverte à l’ensemble des services de renseignement, y compris aux services du second cercle, dont la liste sera définie par décret en Conseil d’État. Le fait que le service demandeur soit un service du premier ou du second cercle est neutre en termes d’atteinte à la vie privée et au secret des correspondances. A cet égard, il peut être observé que l’ouverture à l’ensemble des services ne préjuge en rien d’éventuelles coopérations techniques
qui pourront par la suite être mises en œuvre, par exemple afin qu’une assistance technique soit apportée, par les services relevant du premier cercle, aux services du second cercle. De telles mutualisations, qui sont d’ores et déjà pratiquées pour d’autres techniques de renseignement, permettent de faire bénéficier tous les services de l’expertise de ceux qui sont les plus avancés sur certaines techniques et de mutualiser des investissements coûteux.
De plus, cette technique pourrait être autorisée pour une durée de 30 jours renouvelable, contre 4 mois pour les interceptions de sécurité de droit commun. L’autorisation délivrée vaudrait également autorisation de recueil des données de connexion.
En contrepartie, sa mise en œuvre répondrait à des garanties strictes :
- contrairement à la technique prévue par le II de l’article L. 852-1 du code de la sécurité intérieure, qui vise des cas qui pourraient être couverts par une interception de sécurité réalisée par l’intermédiaire d’un opérateur, le nouveau cas d’usage répondrait à un principe de subsidiarité et ne pourrait être mis en œuvre que lorsque l’interception de correspondances ne peut être réalisée par le biais de la réquisition d’un opérateur. Dans la pratique, l’impossibilité de réquisitionner un opérateur pourra recouvrir deux situations : soit des situations d’impossibilité technique, lorsque l’opérateur ne dispose d’aucun représentant légal ni d’aucun équipement sur le territoire national permettant de procéder à une interception, ou ne répond pas à la réquisition qui lui est adressée par l’autorité administrative ; soit des situations dans lesquelles l’interception ne peut être mise en œuvre dans des conditions de confidentialité satisfaisantes.
- Si, pour des raisons opérationnelles et tactiques, les opérations de captation seront réalisées par les services de renseignement, il est prévu une centralisation au GIC des communications interceptées. Cette centralisation devra être mise en place dès le stade de l’interception. Il est toutefois maintenu la possibilité de procéder à cette centralisation de manière différée, afin de couvrir les situations d’impossibilité technique faisant obstacle à un transfert des flux d’interceptions vers les locaux du GIC. Dans cette dernière hypothèse, les flux de données feront l’objet d’un chiffrement asymétrique, dont seul le GIC aura la clé, le temps qu’il soit procédé à la centralisation desdites données ;
- à l’instar des interceptions de sécurité, les opérations d’extraction et de transcription des correspondances interceptées ne pourront être mises en œuvre qu’au sein et sous le contrôle du GIC et les données seront conservées pour un maximum de 30 jours ;
- à l’instar des interceptions de sécurité, un contingentement serait imposé à ces techniques, fixé par arrêté du Premier ministre pris après avis de la CNCTR ;
- enfin, les correspondances interceptées sans lien avec la personne faisant l’objet de l’autorisation de mise en œuvre de cette technique seraient détruites, au plus tard
30 jours à compter de leur recueil. En effet, lors de l’interception des communications entre des terminaux et les satellites par un dispositif tactique, il ne sera pas techniquement possible dans certains cas de discriminer les seules communications du terminal utilisé par la personne désignée dans l’autorisation du Premier ministre. Le GIC procèdera donc à la destruction, le plus tôt possible et en tout état de cause, dans un délai de 30 jours, des communications interceptées n’appartenant pas à la personne désignée, étant précisé que dans tous les cas, le service demandeur ne disposera, in fine, que des renseignements concernant la personne faisant l’objet de l’autorisation.
La liste des services de renseignement autorisés à mettre en œuvre cette technique est renvoyée à un décret en Conseil d’État, pris après avis de la CNCTR.
Compte tenu des incertitudes qui pèsent encore sur l’évolution de l’environnement technologique, il est proposé de n’ouvrir cette nouvelle technique qu’à titre temporaire, pour une durée de quatre ans à compter de l’entrée en vigueur du projet de loi. Cette phase permettra d’une part, aux services de renseignement de tester et d’expérimenter de nouvelles capacités techniques et, d’autre part, de s’adapter aux nouvelles constellations satellitaires qui seront déployées.
Une durée suffisamment longue est nécessaire pour permettre d’évaluer techniquement l’efficacité du dispositif légal adopté, en particulier compte tenu des évolutions importantes à venir du secteur des communications satellitaires.
C’est également la raison pour laquelle toute limitation de la technique à certains services, constituerait une perte opérationnelle pour les services, pendant toute la durée de l’expérimentation, avec de réels risques de contournement immédiat de la part des individus ayant le projet de porter atteinte aux intérêts fondamentaux de la Nation.
Six mois avant l’échéance de la disposition, un rapport d’évaluation sera remis au Parlement.
Le cas échéant, selon la confidentialité des données de l’évaluation, une partie du rapport sera remis à la délégation parlementaire au renseignement, habilitée à connaître d’éléments relevant du secret de la défense nationale.
L’évaluation s’attachera à apprécier l’utilité, sur le plan opérationnel, de la technique créée ainsi que la pertinence des conditions de sa mise en œuvre, telles que prévues par le nouvel article L. 852-3 du code de la sécurité intérieure, notamment au regard de l’évolution observée des moyens de communications satellitaires. Ces éléments pourront être appréciés au vu de plusieurs critères, parmi lesquels :
- le nombre d’interceptions effectivement autorisées et mises en œuvre sur le fondement du nouvel article L. 852-3 du code de la sécurité intérieure, par service et par finalité ;
l’évaluation des obstacles juridiques, techniques ou opérationnels, ayant empêché le recours au régime des interceptions de sécurité de droit commun du I de l’article L. 852-1 du même code ;
- le nombre de communications interceptées sans rapport avec la cible visée par le biais des capteurs déployés ;
- l’évaluation des conditions techniques de centralisation au GIC, en particulier le nombre de techniques pour lesquelles cette centralisation, pour des raisons techniques, a dû être opérée de manière différée, avec mise en place d’un chiffrement.
4. ANALYSE DES IMPACTS DES DISPOSITIONS ENVISAGEES
4.1. IMPACTS JURIDIQUES
Un nouvel article L. 852-3 est créé au code de la sécurité intérieure et l’article L. 822-2 est modifié.
4.2. IMPACTS SUR LES ADMINISTRATIONS
Le lancement de l’expérimentation n’aura pas d’incident directe sur les effectifs des services de renseignement qui seront autorisés à mettre en œuvre la technique créée.
4.3. IMPACTS SUR LES FINANCES PUBLIQUES
Le lancement de l’expérimentation rend nécessaire l’acquisition, par les services de renseignement, de nouveaux équipements adaptés à la captation de communications satellitaires, dont le coût dépendra de l’évolution de l’environnement technique et du déploiement de nouvelles constellations au cours des années à venir.
5. CONSULTATIONS ET MODALITES D’APPLICATION
5.1. CONSULTATIONS
Le projet de loi a été présenté à la Commission nationale de contrôle des techniques de renseignement en application de l’article L. 833-11 du code de la sécurité intérieure. La Commission a rendu son avis le 15 avril 2021.
Cette disposition a été présentée, conformément à L. 36-5 du code des postes et communications électroniques, à l’autorité de régulation des communications électroniques, des postes et de la distribution de la pressequi a rendu son avis le 16 avril 2021.
Cette disposition a été présentée, à titre facultatif, à la Commission nationale informatique et liberté qui a rendu son avis le 15 avril 2021.
5.2. MODALITES D’APPLICATION
5.2.1. Application dans le temps
Ces dispositions s’appliqueront dès le lendemain de la publication de la loi au Journal officiel de la République française.
5.2.2. Application dans l’espace
Elles sont d’application immédiate sur l’ensemble du territoire français.
5.2.3. Textes d’application
L’établissement de la liste des services de renseignement autorisés à mettre en œuvre cette expérimentation sera précisé par un décret en Conseil d’Etat, pris après avis de la CNCTR.
Article 12 : Pérennisation des dispositions relatives à l’algorithme 1. ÉTAT DES LIEUX
1.1. CADRE GENERAL
L’article L. 851-3 du code de la sécurité intérieure, créé par la loi n° 2015-912 du 24 juillet 2015 relative au renseignement, ouvre la possibilité d’imposer la mise en place, sur les réseaux des opérateurs de communications électroniques et des fournisseurs de services sur internet, de traitements automatisés destinés à détecter des connexions susceptibles de révéler une menace terroriste, plus communément appelés algorithmes, sans qu’il soit possible de procéder, dans un premier temps, à l’identification des personnes concernées. Ce n’est que lorsque la menace est avérée que le Premier ministre peut, après avis de la Commission nationale de contrôle des techniques de renseignement (CNCTR), autoriser l’identification de la personne en cause et le recueil des données de connexion afférentes.
Cet article est applicable jusqu’au 31 décembre 2021, conformément aux dispositions modifiées de l’article 25 de la loi n° 2015-912 du 24 juillet 2015 relative au renseignement, le Gouvernement devant adresser au Parlement un nouveau rapport sur l'application de cette disposition, au plus tard le 30 juin 2021.
Contrairement aux autres techniques de renseignement (balisage, captations de paroles et d’images…) qui lui préexistaient à la loi de 2015 et dont le législateur a encadré les conditions de mise en œuvre, la technique de l’algorithme n’avait pas encore été mise au point ; c’est d’ailleurs pourquoi une période d’expérimentation a été exigée par le législateur.
A la suite de la promulgation de la loi du 24 juillet 2015, le groupement interministériel de contrôle (GIC), en liaison avec la direction générale de la sécurité intérieure (DGSI) et la direction générale de la sécurité extérieure (DGSE), a ainsi examiné plusieurs options possibles d’exécution des algorithmes, sous le contrôle permanent de la Commission nationale de contrôle des techniques de renseignement (CNCTR).
Ces travaux visaient à garantir le bon fonctionnement du dispositif et à élaborer une architecture technique préservant l’intérêt opérationnel de l’outil de détection prévu à l’article L. 851-3 du CSI. Deux facteurs conditionnent l’efficacité du dispositif :
- les paramètres d’alerte doivent être définis de manière suffisamment précise pour répondre au besoin opérationnel de détection de données susceptibles de caractériser l’existence d’une menace terroriste. Des paramètres trop restrictifs aboutiraient en effet à un nombre quasi nul d’alertes produites par les traitements automatisés ; des critères trop larges contribueraient au contraire à de nombreux « hits » sans intérêt opérationnel pour les services, avec le risque de ne pas être en capacité de traiter l’ensemble des alertes et de passer à côté d’une menace réelle. L’objectif des services est bien de minimiser le nombre d’alertes ;
- la qualité des données traitées par les algorithmes est essentielle. Pour construire leurs algorithmes, les services de renseignement se sont appuyés sur des éléments recueillis lors de leurs investigations relatives à des faits de terrorisme ou à des opérations militaires à l’étranger qui leur ont permis de comprendre quels étaient les événements télécom caractéristiques d’une activité terroriste ou de la préparation d’une telle activité.
La modalité initialement envisagée pour mettre en œuvre la technique des algorithmes consistait à placer physiquement les dispositifs techniques de détection en plusieurs points des réseaux des opérateurs. Au sein de chaque dispositif, des algorithmes se seraient exécutés sur les flux de données de connexion en transit sur chacun de ces points. Les investigations conduites au cours de la phase d’expérimentation ont cependant montré que cette modalité aurait conduit à une impasse pour plusieurs raisons pratiques.
La principale d’entre elles tient au fait que positionner des traitements algorithmiques au sein des réseaux des opérateurs présente le risque de perturber la sécurité de ces réseaux.
Par ailleurs, les cibles terroristes utilisent des moyens de communication discrets et se dissimulent sur les réseaux en utilisant plusieurs abonnements, des adresses fictives ou des « téléphones de guerre », potentiellement chez de multiples opérateurs. Certains algorithmes ayant vocation à être configurés pour détecter une séquence d’événements de communication, chaque dispositif de détection aurait dû être relié avec tous les autres pour pouvoir communiquer avec eux afin de détecter efficacement des successions d’événements de connexion susceptibles de révéler une menace terroriste.
Enfin, les algorithmes peuvent avoir, parmi leurs paramètres de détection, des identifiants particuliers issus de techniques ou d’activités de renseignement, y compris de services partenaires. Ces données et paramètres de détection, qui revêtent une sensibilité particulière, doivent être utilisés par les algorithmes mais dans des conditions garantissant une stricte confidentialité.
Au terme d’une réflexion conduite en concertation avec les opérateurs de communications électroniques, le Gouvernement a donc opté pour une modalité d’exécution centralisée des algorithmes, qui permet :
- de garantir aux opérateurs que l’exécution de ces derniers ne perturbe pas les services de communications électroniques qu’ils offrent à leurs abonnés ;
- de simplifier considérablement l’architecture technique en évitant de recourir à une exécution répartie entre plusieurs points relevant d’opérateurs différents ;
- de limiter considérablement les délais de réalisation ;
- de limiter le risque de compromission des paramètres de détection utilisés par les algorithmes.
Le Gouvernement a communiqué à la CNCTR une description détaillée de l’architecture envisagée. La Commission a rendu un avis favorable en 2016, estimant que la proposition selon laquelle les flux de données de connexion étaient dupliqués chez les opérateurs puis acheminés pour être soumis à des dispositifs de détection centralisés était une interprétation permise par la lettre de la loi, les opérations de sélection, duplication, acheminement des données puis d’exécution des algorithmes constituant des traitements dont la mise en œuvre est imposée aux opérateurs sur leurs réseaux.
La CNCTR a cependant rappelé que l’objet de la technique de l’algorithme était d’agir à la manière d’un tamis sur les flux de données de connexion, de sorte qu’il ne permettait aucune conservation des données autre que strictement nécessaire à la détection de successions d’événements de télécommunication traduisant la séquence révélatrice d’une menace terroriste que l’algorithme a été configuré pour détecter. Elle a par ailleurs subordonné son avis favorable à deux conditions :
- d’une part, le dispositif centralisé de détection algorithmique devait être placé sous la seule responsabilité du GIC, chargé de garantir l’étanchéité de ce dispositif vis-à-vis des services de renseignement ;
- d’autre part, le Gouvernement devait clarifier devant le Parlement l’option finalement retenue pour la mise en œuvre de l’article L. 851-3 du code de la sécurité intérieure.
Les deux conditions ont été remplies préalablement à la mise en œuvre du premier algorithme fin 2017 :
- le GIC est seul habilité à exécuter les algorithmes, dans les conditions définies par la loi, sous le contrôle de la CNCTR qui « dispose d’un accès permanent, complet et direct à ces traitements ainsi qu’aux informations et données recueillies » (II de l’article L. 851-3). Il est le seul destinataire des alertes automatiques et c’est lui seul qui, après nouvelle autorisation, remet au service de renseignement les données qui ont déclenché l’alerte. Aucun service de renseignement ne peut accéder aux données soumises aux traitements automatisés ; les seules données susceptibles de leur être transmises sont celles qui ont donné lieu à une alerte de la part d’un algorithme autorisé par une première décision du Premier ministre, prononcée en application du I de l’article L. 851-3 et dont l’anonymat est levé par une seconde décision du Premier ministre, prononcée en application du IV du même article ;
- une description du dispositif retenu et les raisons qui ont présidé à son choix ont été communiquées à la Délégation parlementaire au renseignement.
Le dispositif a finalement été mis en œuvre fin 2017, après avis favorable de la CNCTR. Trois algorithmes ont été autorisés depuis lors par le Premier ministre ; ils avaient préalablement fait l’objet d’un avis favorable de la CNCTR. Le paramétrage des algorithmes, placé sous le contrôle de la CNCTR, a permis de contenir la fréquence des alertes tout en maintenant un seuil de détection utile : le nombre d’alertes issues des trois algorithmes autorisés s’est ainsi élevé à
1739 pour l’année 2020. Ces alertes ont donné lieu à autant de levées d’anonymat sur le fondement du IV de l’article L. 851-3, systématiquement effectuées après avis favorable de la CNCTR.
L’expérimentation de cette technique innovante expirait le 31 décembre 2018. Elle a néanmoins été prorogée au 31 décembre 2020 par la loi n° 2017-1510 du 30 octobre 2017 renforçant la sécurité intérieure et la lutte contre le terrorisme, afin de donner le temps aux services de mesurer les apports opérationnels des algorithmes, dont le premier n’était en service que depuis la fin de l’année 2017. Elle a été à nouveau prorogée au 31 décembre 2021 par la loi n° 2020-1671 du 24 décembre 2020 relative à la prorogation des chapitres VI à X du titre II du livre II et de l’article L. 851-3 du code de la sécurité intérieure, cette fois en raison des circonstances sanitaires exceptionnelles résultant de l’épidémie de COVID-19.
Le Gouvernement doit adresser au Parlement un nouveau rapport sur l'application de cette disposition, au plus tard le 30 juin 2021. Celui-ci contribuera à démontrer que ce dispositif s’avère indispensable pour permettre de détecter des individus inconnus des services de renseignement ou que leurs comportements antérieurs n’avaient jusqu’ici pas permis d’identifier comme menaçants, dans un contexte de persistance de la menace terroriste.
Comme l’illustrent les attaques ou projets d’attaques terroristes récents, la menace terroriste endogène demeure élevée et présente un caractère particulièrement diffus et évolutif. Elle se nourrit et s’inspire d’une propagande terroriste toujours très présente et relayée sur les réseaux numériques. L’accès à cette propagande est particulièrement aisé et le recours aux moyens de communications numériques favorise en outre des contacts à distance d’individus radicalisés avec des réseaux ou groupes terroristes, ainsi qu’un passage à l’acte rapide difficilement détectable par les autres moyens à la disposition des services spécialisés.
S’il n’est pas possible de détailler les résultats obtenus au moyen de ces algorithmes, qui sont protégés au titre de la protection du secret de la défense nationale, conformément à l’article 413-9 du code pénal, il peut néanmoins être mentionné que ces algorithmes ont notamment permis :
- d’identifier des individus porteurs d’une menace à caractère terroriste et de détecter des contacts entre les individus porteurs de menace ;
- d’obtenir des informations sur la localisation d’individus en lien avec cette menace ;
- de mettre à jour des comportements d’individus connus des services de renseignement et nécessitant des investigations plus approfondies ;
- d’améliorer la connaissance des services sur la manière de procéder des individus de la mouvance terroriste.
L’apport de ce dispositif est donc majeur dans la lutte contre le terrorisme.
1.2. CADRE CONSTITUTIONNEL
Dans sa décision n° 2015-713 DC du 23 juillet 2015, le Conseil constitutionnel a déclaré conformes à la Constitution les dispositions de l’article L. 851-3 du code de la sécurité intérieure.
Il a estimé que ces dispositions ne portaient pas une atteinte disproportionnée au droit au respect de la vie privée au regard de l’existence de nombreuses garanties :
- l’existence d’une autorisation du Premier ministre délivrée sur demande écrite et motivée d’un ministre ;
- l’obligation de solliciter un avis préalable d’une autorité administrative indépendante, dotée en outre de prérogatives de contrôle ;
- l’existence d’une voie de recours spéciale devant le Conseil d’Etat, ouverte à la CNCTR comme à toute personne souhaitant vérifier que la technique n’a pas été irrégulièrement mise en œuvre à son encontre.
Le Conseil constitutionnel a également relevé que :
- cette technique ne peut être mise en œuvre qu’aux fins de prévention du terrorisme ;
- la première autorisation est délivrée pour une durée limitée à deux mois renouvelable dans le cadre d’une demande comportant un relevé du nombre d’identifiants techniques signalés par le traitement automatisé et une analyse de la pertinence de ces signalements ;
- cette technique utilise exclusivement les informations ou documents mentionnés à l’article L. 851-1 du code de la sécurité intérieure sans recueillir d’autres données que celles qui répondent à leurs paramètres de conception et sans permettre l’identification des personnes auxquelles les informations ou documents se rapportent ;
- l’identification de la ou des personnes dont les données ont été détectées par l’algorithme ne peut intervenir qu’après qu’une nouvelle autorisation a été délivrée par le Premier ministre après avis de la Commission, permettant d’exploiter les données recueillies dans un délai maximal de soixante jours avant destruction des données sauf en cas d’éléments sérieux confirmant l’existence d’une menace terroriste.
Le caractère expérimental de la mesure n’est donc pas au nombre des caractéristiques qui garantissent sa conformité à la Constitution.
1.3. CADRE EUROPEEN
➢ Droit de l’Union européenne
Dans un arrêt La Quadrature du Net E.A. du 6 octobre 2020, la Cour de justice de l’Union européenne (CJUE) a jugé que la Charte des droits fondamentaux de l’Union européenne ne s’oppose pas à la mise en œuvre de la technique de recueil de renseignement mentionnée à l’article L. 851-3 du code de la sécurité intérieure dès lors qu’elle est « limitée à des situations dans lesquelles un État membre se trouve confronté à une menace grave pour la sécurité nationale qui s’avère réelle et actuelle ou prévisible » et sous réserve qu’elle « [fasse] l’objet
d’un contrôle effectif soit par une juridiction, soit par une entité administrative indépendante, dont la décision est dotée d’un effet contraignant, visant à vérifier l’existence d’une situation justifiant ladite mesure ainsi que le respect des conditions et des garanties devant être prévues ».
Dans sa décision en date du 21 avril 2021, qui tire les conséquences de cet arrêt (Ass., French Data Network et autres, n° 393099), l’assemblée du Conseil d’État a confirmé que l’article L. 851-3 du code de la sécurité intérieure et les décrets pris pour son application ne méconnaissaient le droit de l’Union européenne qu’en tant seulement qu’ils permettent la mise en œuvre de traitements automatisés sans prévoir, avant l’identification des personnes dont les données sont susceptibles de révéler une menace à caractère terroriste, un contrôle préalable par une juridiction ou par une autorité administrative dotée d’un pouvoir contraignant. Si, comme pour toutes les techniques de renseignement, l’identification des personnes détectées par le biais d’un algorithme ne peut être mis en œuvre qu’après l’avis d’un organisme de contrôle indépendant, la CNCTR, celui-ci n’est en effet pas contraignant pour le Premier ministre. L’article 16 du présent projet en tire les conséquences, en apportant à la loi les modifications qui s’imposent sur ce point.
La décision du Conseil d’État reconnaît en revanche que les autres exigences posées par la Cour sont satisfaites par le droit en vigueur ainsi que par les modifications que le présent projet de loi entend y apporter, observant à cet égard que l’algorithme ne peut être mis en œuvre que pour les seuls besoins de la prévention du terrorisme et que la Commission nationale de contrôle des techniques de renseignement, chargée d’émettre un avis préalable à la mise en œuvre de la technique, « vérifie l’existence et l’actualité de la menace grave pour la sécurité nationale susceptible de justifier une telle mesure ».
➢ Convention européenne de sauvegarde des droits de l’Homme et des libertés fondamentales
La Cour de Strasbourg admet, de façon constante depuis son arrêt Klass et autres c. Allemagne (n° 5029/71, 6 septembre 1978), que les services de renseignement des États puissent se munir de moyens de surveiller les individus pour faire face à des menaces pouvant mettre en péril une société démocratique. Les mesures prises à cet égard, qui peuvent concerner un grand nombre de données ne portent ainsi pas, par nature, une atteinte disproportionnée au droit à la vie privée protégée par l’article 8 de la Convention.
Dans son arrêt Weber et Saravia c. Allemagne (n° 54934/00, 29 juin 2006, § 95), la Cour a exposé les principes généraux à l’aune desquels une mesure de surveillance secrète doit être appréciée pour déterminer si elle est ou pas conforme aux exigences de l’article 8 § 2 de la Convention : la nature des infractions susceptibles de donner lieu à un mandat d’interception, la définition des catégories de personnes susceptibles d’être mises sur écoute, la fixation d’une limite à la durée d’exécution de la mesure, la procédure à suivre pour l’examen, l’utilisation et la conservation des données recueillies, les précautions à prendre pour la communication des données à d’autres parties et les circonstances dans lesquelles peut ou doit s’opérer l’effacement ou la destruction des enregistrements.
La Cour a fait application de ces critères à un système d’interception généralisée des communications dans son arrêt de grande chambre, req. n° 47143/06, 4 décembre 2015, Zakharov c. Russie, § 227 s.) : elle y déduit de l’article 8 de la Convention qu’une ingérence dans ce droit ne peut se justifier que si :
- elle est prévue par la loi, c’est-à-dire qu’elle doit avoir une base en droit interne et être compatible avec la prééminence du droit ; elle doit être accessible à la personne concernée, prévisible quant à ses effets et assurer une protection adéquate contre l’arbitraire ;
- elle doit viser un ou plusieurs des buts légitimes énumérés à l’article 8§2 et être nécessaire, dans une société démocratique, pour atteindre ce ou ces buts.
2. NECESSITE DE LEGIFERER ET OBJECTIFS POURSUIVIS
En matière de renseignement, la technique de recueil de renseignement prévue à l’article L. 851-3 du code de sécurité intérieure, dite « algorithme », a été instaurée à titre d’expérimentation pour une durée limitée par l’article 25 modifié de la loi n° 2015-912 du 24 juillet 2015, qui arrive à son terme le 31 décembre 2021.
La technique mentionnée à l’article L. 851-3 répond à un besoin essentiel de détection précoce de la menace terroriste. L’un des enjeux les plus cruciaux de l’activité de renseignement consiste en effet à être en mesure de détecter une nouvelle menace, dont les auteurs et les modes opératoires ne sont pas connus et ne peuvent par définition faire l’objet d’une surveillance ciblée a priori, afin de la caractériser et de l’évaluer. Ce besoin est particulièrement prégnant en matière de lutte contre le terrorisme pour deux raisons.
En premier lieu, du fait du caractère diffus et très évolutif de la menace terroriste. Les dispositifs de nature algorithmique visent ainsi à repérer et discriminer sur les réseaux de communications électroniques des données caractéristiques de comportements typiques d’organisations et de cellules terroristes, afin de repérer des menaces et d’engager, le cas échéant, des mesures de surveillance individuelle aussi précisément ciblées qu’il est possible. Les algorithmes sont conçus à partir d'éléments recueillis au cours d'enquêtes menées en France ou à l’étranger sur des faits de terrorisme ou d'opérations militaires conduites à l'étranger qui permettent, notamment à l'occasion de saisies d'ordinateurs, de découvrir des modes particuliers de communication qui constituent une « signature » caractéristique de ces groupes terroristes (ex :
comportement caractéristique d’une diffusion de propagande djihadiste). Par exemple, lorsqu'un terroriste se livre à des exactions dans un pays étranger, des connexions se mettent en place sur notre territoire, pour identifier les réseaux sociaux qui montrent la scène. Un algorithme peut permettre de vérifier immédiatement les connexions qui assurent la diffusion de l'acte terroriste commis à l’étranger.
En second lieu, la nécessité de disposer d’un outil de détection est directement liée à l’apparition de nouveaux comportements, à la faveur notamment de la diffusion informatique d’une vaste propagande terroriste et de l’émergence de nouveaux moyens de communication électroniques.
Les actions terroristes sont ainsi, de plus en plus, le fait d’individus qui s’inspirent des messages de propagande qui émanent des organisations terroristes, incitant au passage à l’acte en fournissant les tutoriels pour leur réalisation, mais qui ne sont pas entrés en contact visible ou direct avec des organisations, réseaux ou groupes terroristes, échappant ainsi à toute capacité de détection par le biais d’une surveillance ciblée. En effet, si le maillage territorial des services de renseignement et de police ainsi que la sensibilisation des différents acteurs administratifs et sociaux permettent de détecter une évolution du comportement social d’un individu susceptible de révéler l’existence d’une menace terroriste, cette capacité disparaît lorsque ces indices n’apparaissent que par l’activité numérique de la personne.
La mise en œuvre des mesures autorisées par ces dispositions est donc essentielle, tant en matière d’entrave pour prévenir les actes de terrorisme, ainsi que le démontrent les rapports détaillés adressés chaque année au Parlement, qu’en matière de renseignement. C’est pour l’ensemble de ces motifs qu’une pérennisation du dispositif apparaît nécessaire.
3. DISPOSITIF RETENU
Le dispositif prévu à l’article L. 851-3 du code de la sécurité intérieure ayant déjà vu sa date d’échéance repoussée, et son utilité opérationnelle étant indéniable, l’option consistant à proroger une nouvelle fois ce dispositif pour une durée déterminée a été écartée au profit d’une pérennisation du dispositif, afin de conforter durablement l’action des services de renseignement.
Cette pérennisation est proportionnée, au regard des conditions entourant la mise en œuvre de cette technique et des garanties nouvelles qui sont apportées.
En premier lieu, les algorithmes ne permettent en aucun cas aux services de renseignement d’accéder à l’ensemble des données des réseaux des opérateurs.
Ce dispositif de détection vise, au contraire, à discriminer sur les données des opérateurs celles de nature à révéler un risque de nature terroriste afin d’orienter de la manière la plus ciblée possible l’activité de surveillance, par la mise en œuvre subséquente d’une technique permettant aux services d’accéder aux données d’un individu détecté par l’algorithme. Le service demandeur conçoit ainsi l’algorithme en fonction du comportement qu’il sait ou suppose être celui des individus porteurs de la menace qu’il cherche à détecter. Ce comportement est modélisé informatiquement : cela signifie que le service définit des paramètres techniques caractérisant le comportement recherché et reposant sur la seule analyse des données de connexion. L’objectif du service est que l’algorithme soit le plus discriminant possible afin d’éviter au maximum qu’il produise des faux positifs. En effet, un trop grand nombre de faux positifs remettrait en cause l’utilité de l’algorithme, qui vise à orienter au mieux l’action des services et à éviter la mobilisation de leurs moyens en vain.
En deuxième lieu, les garanties procédurales qui entourent la mise en œuvre de l’algorithme sont particulièrement fortes.
Les paramètres de détection sont contrôlés par la CNCTR, autorité administrative indépendante.
La Commission s’assure notamment que les paramètres retenus correspondent précisément à la finalité annoncée par le service et que la demande de mise en œuvre de l’algorithme est motivée de manière détaillée et circonstanciée. Concrètement, les ingénieurs de la CNCTR analysent le code de l’algorithme dans le détail. L’autorisation le cas échéant délivrée l’est pour une période limitée à deux mois. Par ailleurs, toute modification de l’algorithme nécessite un nouvel examen de la part de la Commission préalablement à sa mise en œuvre.
Si l’algorithme fait l’objet d’une demande de renouvellement, les services sont légalement obligés d’indiquer dans leur demande le nombre d’alertes produites par l’algorithme. Ils doivent également transmettre à la CNCTR une analyse de la pertinence de ces alertes.
Pendant la durée de validité de l’autorisation (deux mois pour la demande initiale, quatre mois en cas de renouvellement de l’autorisation), les services de renseignement ne peuvent à aucun moment accéder aux données des opérateurs.
En cas d’alerte, le service de renseignement concerné est simplement averti, sans qu’aucune autre information ne lui soit transmise. Il doit alors former une nouvelle demande motivée pour que le Premier ministre permette, après avis de la CNCTR, que lui soit transmis l’identifiant technique lié à l’alerte.
Le service de renseignement effectue alors généralement une demande d’identification de l’utilisateur de l’identifiant signalé en sollicitant la mise en œuvre de la technique prévue à l’article L. 851-1 du CSI. Si cette première démarche confirme le caractère crédible de la détection, le service pourra poursuivre ses investigations en se soumettant à toutes les obligations matérielles et procédurales prévues par la loi pour la mise en œuvre d’une technique de recueil de renseignement.
Seules les données relatives aux personnes dont la mise sous surveillance est précisément justifiée seront donc conservées. Toutes les autres données seront immédiatement détruites.
La mise en œuvre de ces traitements automatisés permet donc aux services de renseignement de procéder par levée de doute, de la manière la moins intrusive possible, et de ne solliciter ensuite la mise en œuvre de mesures de surveillance individuelle que si le besoin en est avéré.
Enfin, la pérennisation de la technique de l’algorithme s’accompagnera de plusieurs garanties nouvelles (cf. article 13 du projet de loi), résultant des enseignements tirés de l’expérimentation et qui viennent renforcer la proportionnalité du dispositif :
- la mise en œuvre des traitements ne pourra plus être sollicitée que par les seuls services spécialisés de renseignement,
- la possibilité de proroger la durée de conservation des données correspondant aux paramètres de détection et dont le Premier ministre autorise le recueil est supprimée. En l’état de la loi, cette durée est fixée à soixante jours mais peut être prolongée, en cas d’éléments sérieux confirmant l’existence d’une menace terroriste, jusqu’à quatre ans.
L’expérimentation a fait apparaître qu’une telle prolongation n’est pas nécessaire, dès
lors que le délai normal de soixante jours permet, en tout état de cause, de solliciter la mise en œuvre d’une technique de renseignement ciblée sur la personne à laquelle se rapporte les données détectées par les traitements ;
- un service du Premier ministre, distinct des services de renseignement, sera seul habilité à exécuter, à la demande des services, les traitements autorisés. Cette mission incombera au groupement interministériel de contrôle, service à compétence nationale doté de compétences juridiques et d’effectifs déjà chargés de veiller de manière centralisée à la mise en œuvre des traitements dans les conditions définies par la loi, sous le contrôle de la CNCTR.
4. ANALYSE DES IMPACTS DES DISPOSITIONS ENVISAGÉES
4.1. IMPACTS JURIDIQUES
L’article 25 de la loi n° 2015-912 du 24 juillet 2015 relative au renseignement est abrogé.
Une telle pérennisation ne remet pas en cause la constitutionnalité de l’article L. 851-3 du code de la sécurité intérieure, telle qu’elle a été reconnue par le Conseil constitutionnel dans sa décision n° 2015-713 DC précitée. Celle-ci, en effet, n’a tenu aucun compte du fait que ces dispositions avaient été adoptées pour une durée limitée pour les déclarer conformes à la Constitution (considérant 60).
4.2. IMPACTS SUR LES SERVICES ADMINISTRATIFS
Les services de renseignement continueront, avec le GIC et sous le contrôle de la Commission nationale de contrôle des techniques de renseignement, à mettre en œuvre ce dispositif, dans les mêmes conditions que celles actuellement en vigueur.
4.3. IMPACTS SUR LES PARTICULIERS
Le dispositif prévu à l’article L. 851-3 du CSI a pour finalité de détecter un comportement susceptible de constituer une menace de nature terroriste. L’identification de la ou des personnes dont les données ont été détectées par l’algorithme ne peut intervenir que dans un second temps, à l’issue d’une nouvelle autorisation délivrée par le Premier Ministre après avis de la CNCTR. Compte-tenu, entre autres, de cette garantie, le Conseil constitutionnel a considéré que cette disposition ne portait pas une atteinte disproportionnée au droit au respect de la vie privée.
5. CONSULATION ET MODALITES D’APPLICATION
5.1. CONSULTATIONS
Cette disposition a été présentée à la Commission nationale de contrôle des techniques de renseignement en application de l’article L. 833-11 du code de la sécurité intérieure qui a rendu son avis le 7 avril 2021.
Cette disposition a été présentée à la Commission nationale informatique et liberté qui a rendu son avis le 8 avril 2021.
Cette disposition a été présentée, conformément à L. 36-5 du code des postes et communications électroniques, à l’autorité de régulation des communications électroniques, des postes et de la distribution de la presse qui a rendu son avis le 16 avril 2021.
5.2. MODALITES D’APPLICATION
5.2.1. Application dans le temps
Le présent article qui a pour conséquence de pérenniser la possibilité de mise en œuvre de la technique de renseignement prévue par l’article L. 851-3 du code de la sécurité intérieure entrera en vigueur au lendemain de la publication de la présente loi au Journal officiel de la République française.
5.2.2. Application dans l’espace
Les dispositions envisagées s’appliqueront à l’échelle nationale, y compris dans les collectivités régies par les articles 73 et 74 de la Constitution.
Article 13 : Modalités d’exécution des traitements automatisés et extension aux adresses complètes de ressources sur internet (URL) 1. ÉTAT DES LIEUX
1.1. CADRE GENERAL
Comme évoqué dans les développements relatifs à l’article 12 du projet de loi, la technique de l’algorithme, prévue par l’article L. 851-3 du code de la sécurité intérieure, permet la mise en place, sur les réseaux des opérateurs de communications électroniques et des fournisseurs de services sur internet, de traitements automatisés destinés à détecter des connexions susceptibles de révéler une menace terroriste. Il s’agit particulièrement de contribuer à la détection d’individus inconnus des services de renseignement ou que leurs comportements antérieurs n’avaient jusqu’ici pas permis d’identifier comme menaçants.
Ces traitements ne peuvent utiliser que les informations ou documents mentionnés à l'article L. 851-1 du code de la sécurité intérieure, c’est-à-dire les données de connexion, à l’exclusion de toute donnée révélant le contenu des communications. L’article L. 34-1 du code des postes et des communications électroniques (CPCE) relatif au traitement des données à caractère personnel dans le cadre de la fourniture au public de services de communications électroniques donne une définition en creux des données de connexion en excluant la conservation des données portant sur le contenu des correspondances échangées ou des informations consultées.
Cette définition en creux est reprise à l’article R. 851-5 du CSI qui prévoit que « les informations ou documents mentionnés à l’article L. 851-1 sont, à l’exclusion du contenu des correspondances échangées ou des informations consultées : (...) ».
1.2. CADRE CONSTITUTIONNEL
Dans sa décision n° 2015-713 DC du 23 juillet 2015, le Conseil constitutionnel a déclaré conformes à la Constitution les dispositions de l’article L. 851-3 du code de la sécurité intérieure (voir développements à l’article 12).
Il précisait explicitement (cons. 55) « que selon les dispositions du paragraphe VI de l’article L. 34-1 du code des postes et des communications électroniques, les données conservées et traitées par les opérateurs de communications électroniques et les personnes offrant au public une connexion permettant une telle communication portent exclusivement sur l’identification des personnes utilisatrices des services fournis par les opérateurs, sur les caractéristiques techniques des communications assurées par ces derniers et sur la localisation des équipements terminaux et ne peuvent en aucun cas porter sur le contenu des correspondances échangées ou des informations consultées, sous quelque forme que ce soit, dans le cadre de ces communications ». Selon le Conseil constitutionnel, c’est donc le renvoi à l’article L. 34-1 du CPCE (qui pourtant n’est opéré par le L. 851-1 du CSI que pour identifier « les personnes »
mentionnées par cet article) qui exclut de la catégorie des « données de connexion » le contenu des correspondances échangées ou des informations consultées. Cela amène donc à distinguer deux sous catégories au sein des correspondances, les correspondances échangées et les « informations consultées » distinctes des « données de connexion ».
1.3. CADRE EUROPEEN
➢ Convention européenne de sauvegarde des droits de l’Homme et des libertés fondamentales
La Cour de Strasbourg admet, de façon constante depuis son arrêt Klass et autres c. Allemagne (n° 5029/71, 6 septembre 1978), que les services de renseignement des Etats puissent se munir de moyens de surveiller les individus pour faire face à des menaces pouvant mettre en péril une société démocratique. Les mesures prises à cet égard, qui peuvent concerner un grand nombre de données ne portent ainsi pas, par nature, une atteinte disproportionnée au droit à la vie privée protégée par l’article 8 de la Convention.
S’agissant d’un système d’interception généralisée des communications31, la Cour déduit de l’article 8 de la Convention qu’une ingérence dans ce droit ne peut se justifier que si :
- elle est prévue par la loi, c’est-à-dire qu’elle doit avoir une base en droit interne et être compatible avec la prééminence du droit ; elle doit être accessible à la personne concernée, prévisible quant à ses effets et assurer une protection adéquate contre l’arbitraire ;
- elle doit viser un ou plusieurs des buts légitimes énumérés à l’article 8§2 et être nécessaire, dans une société démocratique, pour atteindre ce ou ces buts.
➢ Droit de l’Union européenne
Dans un arrêt La Quadrature du Net E.A. du 6 octobre 2020, la Cour de justice de l’Union européenne (CJUE) a jugé que la Charte des droits fondamentaux de l’Union européenne ne s’oppose pas à la mise en œuvre de la technique de recueil de renseignement mentionnée à l’article L. 851-3 du code de la sécurité intérieure dès lors qu’elle est « limitée à des situations dans lesquelles un Etat membre se trouve confronté à une menace grave pour la sécurité nationale qui s’avère réelle et actuelle ou prévisible » et sous réserve qu’elle « [fasse] l’objet d’un contrôle effectif soit par une juridiction, soit par une entité administrative indépendante, dont la décision est dotée d’un effet contraignant, visant à vérifier l’existence d’une situation justifiant ladite mesure ainsi que le respect des conditions et des garanties devant être prévues ».
Dans sa décision en date du 21 avril 2021, qui tire les conséquences de cet arrêt (Ass., French Data Network et autres, n° 393099), l’assemblée du Conseil d’État a confirmé que l’article
31 Arrêt Zakharov c. Russie, req. n° 47143/06, 4 décembre 2015, § 227 s.
L. 851-3 du code de la sécurité intérieure et les décrets pris pour son application ne méconnaissaient le droit de l’Union européenne qu’en tant seulement qu’ils permettent la mise en œuvre de traitements automatisés sans prévoir, avant l’identification des personnes dont les données sont susceptibles de révéler une menace à caractère terroriste, un contrôle préalable par une juridiction ou par une autorité administrative dotée d’un pouvoir contraignant. Si, comme pour toutes les techniques de renseignement, l’identification des personnes détectées par le biais d’un algorithme ne peut être mis en œuvre qu’après l’avis d’un organisme de contrôle indépendant, la CNCTR, celui-ci n’est en effet pas contraignant pour le Premier ministre. Comme indiqué précédemment, l’article 16 en tire les conséquences en apportant à la loi les modifications qui s’imposent.
La décision du Conseil d’État reconnaît en revanche que les autres exigences posées par la Cour sont satisfaites par le droit en vigueur ainsi que par les modifications que le présent projet de loi entend y apporter, observant à cet égard que l’algorithme ne peut être mis en œuvre que pour les seuls besoins de la prévention du terrorisme et que la Commission nationale de contrôle des techniques de renseignement, chargée d’émettre un avis préalable à la mise en œuvre de la technique, « vérifie l’existence et l’actualité de la menace grave pour la sécurité nationale susceptible de justifier une telle mesure ».
2. NECESSITE DE LEGIFERER ET OBJECTIFS POURSUIVIS
La technique mentionnée à l’article L. 851-3 du code de la sécurité intérieure répond à un besoin essentiel de détection précoce de la menace terroriste.
L’un des enjeux les plus cruciaux de l’activité de renseignement consiste en effet à être en mesure de détecter une nouvelle menace, dont les auteurs et les modes opératoires ne sont pas connus et ne peuvent par définition faire l’objet d’une surveillance ciblée a priori, afin de la caractériser et de l’évaluer. Ce besoin est particulièrement prégnant en matière de lutte contre le terrorisme du fait du caractère diffus et très évolutif de la menace.
Les dispositifs de nature algorithmique visent ainsi à repérer et discriminer sur les réseaux de communications électroniques des données caractéristiques de comportements typiques d’organisations et de cellules terroristes, afin de repérer des menaces et d’engager, le cas échéant, des mesures de surveillance individuelle aussi précisément ciblées qu’il est possible.
De nouveaux comportements sont également apparus, à la faveur notamment de la diffusion informatique d’une vaste propagande terroriste et de l’émergence de nouveaux moyens de communication électroniques. Les actions terroristes sont ainsi, de plus en plus, le fait d’individus qui s’inspirent des messages de propagande qui émanent des organisations terroristes, incitant au passage à l’acte en fournissant les tutoriels pour leur réalisation, mais qui ne sont pas entrés en contact visible ou direct avec des organisations, réseaux ou groupes terroristes, échappant ainsi à toute capacité de détection par le biais d’une surveillance ciblée.
En effet, si le maillage territorial des services de renseignement et de police ainsi que la sensibilisation des différents acteurs administratifs et sociaux permettent de détecter une
évolution du comportement social d’un individu susceptible de révéler l’existence d’une menace terroriste, cette capacité disparaît lorsque ces indices n’apparaissent que par l’activité numérique de la personne.
Dans ces conditions, il est utile, en même temps que l’on pérennise cette technique, de lui permettre de s’adapter au caractère évolutif de la menace. À ce titre, ces dispositifs, qui ne traitent aujourd’hui que les seules données téléphoniques, doivent pouvoir être déployés sur les adresses de ressources sur internet (URL), y compris lorsqu’elles sont susceptibles de révéler indirectement, au regard de la nature de l’adresse complète permettant l’acheminement de la communication électronique, des informations sur le contenu des sites consultés.
Les usages contemporains en matière de télécommunications recourent en effet de plus en plus à des applications Internet et non aux voies téléphoniques classiques. C’est particulièrement le cas pour la population visée. Les données de connexion produites par l’utilisation d’internet prennent notamment la forme d’adresses de ressources sur internet (URL). Ces données sont, au regard des usages actuels en matière de communication, les plus pertinentes pour détecter les comportements caractérisés par les paramètres d’un algorithme définis sous le contrôle de la CNCTR. Un algorithme spécifique, fondé en partie sur les URL, pourrait ainsi permettre la détection de consultations ou de téléchargements de fichiers caractérisant une menace (manuels de création d’explosifs ou de poisons, vidéo de revendications ou d’appel au djihad, etc…). Il est rappelé que la CNCTR accède aux codes sources de ces algorithmes pour vérifier leur complète conformité aux traitements attendus.
L’élargissement du champ des données traitées aux URL, données particulièrement pertinentes pour la détection des comportements terroristes, est également de nature à favoriser un meilleur ciblage des alertes, à réduire le nombre de faux positifs et, en conséquence, à améliorer l’efficacité de la technique, dans le strict respect de la vie privée et du secret des correspondances.
3. OPTIONS POSSIBLES ET DISPOSITIF RETENU
3.1. OPTIONS ENVISAGEES
Il appartient au législateur d’assurer la conciliation entre, d’une part, la prévention des atteintes à l’ordre public et des infractions, nécessaire à la sauvegarde de droits et de principes de valeur constitutionnelle, et, d’autre part, l’exercice des droits et des libertés constitutionnellement garantis, au nombre desquels figure le droit au respect de la vie privée.
Deux options ont été envisagées :
Une première option possible consiste à compléter la liste, fixée par voie réglementaire, des données de connexion que les services de renseignement sont habilités à recueillir pour y inclure l’ensemble des URL. Ceci suppose de considérer que les informations dont sont porteuses les adresses complètes des ressources sur internet (URL) sont limitées et ne donnent pas
nécessairement par elles-mêmes d’indication directe et précise sur la nature des informations consultées, et encore moins sur les activités de la personne qui procède à la consultation.
De fait, s’il prend en compte le fait que l’algorithme ne peut traiter que des données de connexion, à l’exclusion du contenu des correspondances échangées ou des informations consultées (cf. décision précitée n° 2015-713 DC du 23 juillet 2015), le Conseil constitutionnel ne s’est pas prononcé sur la nature juridique des adresses de ressources sur internet qui ne permettent qu’indirectement d’obtenir des indications sur le contenu des informations consultées sur un site internet.
Pour autant, la Commission nationale de contrôle des techniques de renseignement a considéré dans sa délibération n° 1/2016 du 14 janvier 2016 précitée que les adresses de ressources sur internet constituaient une catégorie de données mixte, ces adresses pouvant constituer de simples données de connexion comme des données de contenu lorsqu’elles « sont porteuses par nature des informations consultées ».
Par ailleurs, ajouter les URL aux données visées par l’article L. 851-1, impliquerait que cette catégorie de donnée puisse être consultée pour toutes les techniques de renseignement permettant le recueil des « données visées à l’article L. 851-1 », à savoir :
- Le recueil des données de connexion (L. 851-1 CSI) ;
- Le recueil en temps réel (L. 851-2) ;
- Les traitements automatisés (L. 851-3) ;
- l’autorisation d’interception de sécurité vaudra autorisation de recueil des URL (III de l’article L. 852-1 et 2d alinéa de l’article L. 852-2) ;
Enfin, la durée de conservation de cette catégorie de données serait alignée sur celle des données de connexion, ce qui n’est pas souhaitable, au regard de leur nature mixte.
La seconde option consiste à restreindre la possibilité de recueillir les adresses complètes de ressources utilisées sur internet, sans que cela ne puisse concerner le contenu des informations consultées, aux seules techniques de renseignement des articles L. 851-2 et L. 851-3 du CSI, solution qui correspond au principe de nécessité et de proportionnalité, les URL étant particulièrement utiles dans ce cadre.
3.2. DISPOSITIF RETENU
➢ Étendre le champ de la technique prévue à l’article L. 851-3 du CSI aux adresses complètes de ressources utilisées sur Internet
En droit, ces adresses, lorsqu’elles ont la nature de données de connexion peuvent d’ores et déjà être prises en compte par les algorithmes. Ces « URL-données de connexion » sont très majoritairement celles qui présentent un intérêt opérationnel. Toutefois, dès lors qu’il est techniquement impossible a priori de les isoler des adresses qui « sont porteuses par nature
des informations consultées », et que ces dernières peuvent également contribuer à la pertinence de l’algorithme, les algorithmes pourront concerner les unes et les autres.
Il est entendu que les adresses complètes de ressources utilisées sur internet qui feront l’objet d’un traitement automatisé en application de l’article L. 851-3 seront celles des seules ressources auxquelles un utilisateur accède, à l’exclusion de celles pouvant figurer au sein de contenus de correspondances électroniques, par exemple des liens dans des SMS ou des courriers électroniques, ou au sein de contenus consultés, par exemple des liens dans des pages web. Dès lors, il n’est pas apparu nécessaire de les exclure expressément du dispositif.
Enfin, il convient de noter que les données URL ne sont pas traitées par les opérateurs de communications électroniques et doivent donc être recueillies par d’autres moyens techniques, ce que permet le dispositif retenu.
➢ Renforcer les garanties applicables à la mise en œuvre de l’algorithme Le dispositif retenu vise par ailleurs à assortir l’élargissement des données susceptibles d’être traitées par l’algorithme aux adresses complètes d’une ressource sur internet d’un renforcement des garanties fortes qui entourent, depuis l’entrée en vigueur de la loi relative au renseignement du 24 juillet 2015, la mise en œuvre de ces traitements automatisés dont les paramètres de détection sont contrôlés par la CNCTR.
En pratique, les ingénieurs de la Commission nationale de contrôle des techniques de renseignement accompagnent les services de l’État dans la définition des paramètres et de leur évolution, ainsi que dans la mise en œuvre des algorithmes qu’ils contrôlent périodiquement tout au long de la durée de l’autorisation.
Toute modification de l’algorithme nécessite un nouvel examen de la part de la Commission préalablement à sa mise en œuvre. En cas de demande de renouvellement, les services de renseignement sont légalement tenus d’indiquer dans leur demande le nombre d’alertes produites par l’algorithme. Ils doivent également transmettre à la CNCTR une analyse de la pertinence de ces alertes.
Une seconde autorisation est requise pour obtenir l’identifiant technique à l’origine d’une alerte et les données techniques afférentes, ainsi le cas échéant que l’identité de l’utilisateur du numéro de téléphone ou de l’adresse IP concerné.
Les données recueillies en cas d’alerte ne peuvent être exploitées que pour une durée maximale de soixante jours. Toutefois, en l’état actuel de la législation, ces données peuvent être conservées au-delà de cette durée, lorsqu’il existe des éléments sérieux confirmant une menace à caractère terroriste. Dans ce cas, elles peuvent être conservées jusqu’à quatre ans à compter de leur recueil, par application du 3° du I l’article L. 822-2 du code de la sécurité intérieure. En tout état de cause, les données non détectées par les traitements comme susceptibles de révéler une menace à caractère terroriste sont détruites immédiatement.
Le projet de loi supprime cette possibilité de conservation prolongée des données afférentes à la détection d’une menace terroriste par l’algorithme. Ainsi, compte tenu de l’extension des catégories de données exploitées par les traitements automatisés concernés, les services de renseignement seront tenus de confirmer l’existence d’une menace dans ce délai de soixante jours afin de décider le cas échéant de demander la possibilité d’engager une mesure de surveillance ciblée au moyen d’une des techniques de recueil de renseignement prévues au livre VIII du code de la sécurité intérieure (analyse des facturations détaillées liées à un numéro de téléphone, placement sur écoutes administratives, etc.).
Il convient de rappeler que l’engagement d’une telle mesure est soumis à une nouvelle autorisation du Premier ministre après avis de la CNCTR, qui intervient après deux autorisations données dans les mêmes conditions pour mettre en œuvre l’algorithme puis pour obtenir la communication de l’identifiant technique que les paramètres de détection auraient signalé.
Enfin, le projet de loi entend limiter le nombre des services de renseignement autorisés à solliciter la mise en œuvre d’un algorithme sur le fondement de l’article L. 851-3 en précisant que seuls les services spécialisés de renseignement mentionnés à l’article L. 811-2 peuvent présenter une telle demande.
➢ Clarification de l’architecture de l’algorithme
Le projet de loi clarifie enfin les modalités de fonctionnement des algorithmes, telles qu’elles résultent du travail progressif de construction de cet outil, en concertation avec les opérateurs et en accord avec la CNCTR, entre l’adoption de la loi et la mise en service du premier algorithme fin 2017.
Il précise ainsi que l’exécution des algorithmes est assurée de manière centralisée, sous le contrôle de la CNCTR, par un service du Premier ministre, en l’occurrence le GIC, qui fait écran entre les données passées au tamis des algorithmes et les services de renseignement ayant demandé leur mise en œuvre. Ce faisant, le projet de loi formalise la garantie dont la CNCTR avait exigé le respect lorsqu’elle a rendu son avis favorable en 2016.
4. ANALYSE DES IMPACTS DES DISPOSITIONS ENVISAGEES
4.1. IMPACTS JURIDIQUES
L’article L. 851-3 du code de la sécurité intérieure est modifié.
La responsabilité de la mise en œuvre des traitements automatisés de l’article L. 851-3 du code de la sécurité intérieure est transférée des opérateurs de communications électroniques vers un service du Premier ministre, le GIC. Les services spécialisés de renseignement ne pourront recevoir communication que des données de connexion, résiduelles, afférentes aux seules communications repérées par l’algorithme au titre de la prévention du terrorisme, et à condition
d’y avoir été spécialement autorisés au préalable par une nouvelle décision du Premier ministre prise après avis de la CNCTR.
4.2. IMPACTS SUR LES ADMINISTRATIONS
Les modifications prévues (centralisation par le GIC, prise en compte des adresses complètes des ressources sur internet) rendent nécessaires une adaptation de l’architecture technique actuellement mise en œuvre. Ces évolutions nécessitent un renfort de 25 ETP. La cellule commune pilotée par la DGSI chargée de concevoir et paramétrer les algorithmes ainsi que de gérer les alertes devra élargir sa compétence pour définir des traitements automatisés tirant bénéfice des nouvelles possibilités offertes par les URL.
4.3. IMPACTS SUR LES FINANCES PUBLIQUES
Le coût d’adaptation de l’architecture technique est évalué à 20 M€ pour l’achat et la mise en œuvre des dispositifs techniques et de 4 M€ annuels pour leur maintien en condition opérationnelle.
5. CONSULATIONS ET MODALITES D’APPLICATION
5.1. CONSULTATIONS
Cette disposition a été présentée à la Commission nationale de contrôle des techniques de renseignement en application de l’article L. 833-11 du code de la sécurité intérieure qui a rendu son avis le 7 avril 2021.
Cette disposition a été présentée à la Commission nationale informatique et liberté qui a rendu son avis le 8 avril 2021.
Cette disposition a été présentée, conformément à L. 36-5 du code des postes et communications électroniques, à l’autorité de régulation des communications électroniques, des postes et de la distribution de la presse qui a rendu son avis le 16 avril 2021.
5.2. MODALITES D’APPLICATION
5.2.1. Application dans le temps
Ces dispositions s’appliqueront dès le lendemain de la publication de la loi au Journal officiel de la République française.
5.2.2. Application dans l’espace
Elles sont d’application immédiate sur l’ensemble du territoire français.
Article 14 : Ajout des adresses complètes de ressource sur internet (URL) aux données susceptibles d’être recueillies en temps réel (1°) et définition de leur durée de conservation (2°)
1. ÉTAT DES LIEUX
1.1. CADRE GENERAL
Prévue à l’article L. 851-2 du CSI, la technique de recueil en temps réel, sur les réseaux des opérateurs et des personnes mentionnés à l'article L. 851-1, des informations ou documents relatifs à une personne préalablement identifiée susceptible d'être en lien avec une menace, cette technique concerne, les seules données visées à l’articles L. 851-1 du même code, c’est-à-dire les données techniques relatives à l'identification des numéros d'abonnement ou de connexion à des services de communications électroniques, au recensement de l'ensemble des numéros d'abonnement ou de connexion d'une personne désignée, à la localisation des équipements terminaux utilisés ainsi qu'aux communications d'un abonné portant sur la liste des numéros appelés et appelants, la durée et la date des communications.
Conformément à l’article L. 821-4 du même code, cette technique peut être mise en œuvre pour une durée de quatre mois, sur autorisation du Premier ministre délivrée après avis de la CNCTR.
Elle est renouvelable dans les mêmes conditions.
La procédure prévue à l’article L. 821-5 du CSI, qui permet au Premier ministre, en cas d’urgence absolue, d’autoriser cette technique sans attendre l’avis de la CNCTR, n’est pas applicable.
1.2. CADRE CONSTITUTIONNEL
Dans sa décision n° 2015-713 DC du 23 juillet 2015, le Conseil constitutionnel a déclaré conformes à la Constitution les dispositions de l’article L. 851-2 du code de la sécurité intérieure. Il a estimé que ces dispositions ne portaient pas une atteinte disproportionnée au droit au respect de la vie privée au regard d’un faisceau de garanties. Au nombre de ces garanties figurent :
- l’existence d’une autorisation du Premier ministre délivrée sur demande écrite et motivée d’un ministre ;
- l’obligation de solliciter un avis préalable d’une autorité administrative indépendante, dotée en outre de prérogatives de contrôle ;
- l’existence d’une voie de recours spéciale devant le Conseil d’Etat, ouverte à la CNCTR comme à toute personne souhaitant vérifier que la technique n’a pas été irrégulièrement mise en œuvre à son encontre.
Le Conseil constitutionnel a également relevé que :
- une telle autorisation de recueil des données en temps réel ne pourra être délivrée que pour les besoins de la prévention du terrorisme ;
- l’autorisation de recueil de renseignement en cause porte uniquement sur l'identification des personnes utilisatrices des services fournis par les opérateurs, sur les caractéristiques techniques des communications assurées par ces derniers et sur la localisation des équipements terminaux et ne peuvent en aucun cas porter sur le contenu des correspondances échangées ou des informations consultées, sous quelque forme que ce soit ;
- elle est autorisée pour une durée de quatre mois renouvelable conformément à l'article L. 821-4 du CSI ;
- elle ne peut être mise en œuvre qu’à l’égard de personnes dont il existe une raison valable de soupçonner qu’elles sont impliquées d’une manière ou d’une autre dans des activités de terrorisme, ce ciblage étant soumis à un contrôle préalable d’une AAI, la CNCTR et, le cas échéant, du Conseil d’État dont la décision sera dotée d’un effet contraignant
- l’article L. 821-5 du code de la sécurité intérieure, qui permet, en cas d’urgence absolue, au Premier ministre de délivrer une autorisation sans avis préalable de la CNCTR, n’est pas applicable à cette technique de renseignement.
1.3. CADRE CONVENTIONNEL
La Cour de Strasbourg admet, de façon constante depuis son arrêt Klass et autres c. Allemagne (n° 5029/71, 6 septembre 1978), que les services de renseignement des Etats puissent se munir de moyens de surveiller les individus pour faire face à des menaces pouvant mettre en péril une société démocratique. Les mesures prises à cet égard, qui peuvent concerner un grand nombre de données ne portent ainsi pas, par nature, une atteinte disproportionnée au droit à la vie privée protégée par l’article 8 de la Convention.
Dans son arrêt Weber et Saravia c. Allemagne (n° 54934/00, 29 juin 2006, § 95), la Cour a exposé les principes généraux à l’aune desquels une mesure de surveillance secrète doit être appréciée pour déterminer si elle est ou pas conforme aux exigences de l’article 8 § 2 de la Convention : la nature des infractions susceptibles de donner lieu à un mandat d’interception, la définition des catégories de personnes susceptibles d’être mises sur écoute, la fixation d’une limite à la durée d’exécution de la mesure, la procédure à suivre pour l’examen, l’utilisation et la conservation des données recueillies, les précautions à prendre pour la communication des données à d’autres parties et les circonstances dans lesquelles peut ou doit s’opérer l’effacement ou la destruction des enregistrements.
La Cour a fait application de ces critères à un système d’interception généralisée des communications dans son arrêt de grande chambre, req. n° 47143/06, 4 décembre 2015, Zakharov c. Russie, § 227 s.) : elle y déduit de l’article 8 de la Convention qu’une ingérence dans ce droit ne peut se justifier que si :
- elle est prévue par la loi, c’est-à-dire qu’elle doit avoir une base en droit interne et être compatible avec la prééminence du droit ; elle doit être accessible à la personne concernée, prévisible quant à ses effets et assurer une protection adéquate contre l’arbitraire ;
- elle doit viser un ou plusieurs des buts légitimes énumérés à l’article 8§2 et être nécessaire, dans une société démocratique, pour atteindre ce ou ces buts.
2. NECESSITE DE LEGIFERER ET OBJECTIFS POURSUIVIS
La technique mentionnée à l’article L. 851-2 répond à un besoin essentiel de détection de la menace terroriste. Comme pour la technique de l’algorithme, l’efficacité des alertes produites reste très dépendante de la nature des données intégrées dans les paramètres initiaux. En effet, le dispositif actuel n’intègre pas les données internet mais uniquement les données de téléphonie.
Or, les usages contemporains en matière de télécommunications recourent en effet de plus en plus à des applications Internet et non aux voies téléphoniques classiques. C’est particulièrement le cas pour la population visée. Les données de connexion produites par l’utilisation d’internet prennent notamment la forme d’adresses de ressources sur internet (URL).
A ce titre, et sans permettre d’accéder au contenu des sites internet consultés, cette technique doit, néanmoins pouvoir être déployée sur les adresses de ressources sur internet (URL) utilisées par la personne concernée, y compris lorsqu’elles sont susceptibles de révéler indirectement, au regard de la nature de l’adresse complète permettant l’acheminement de la communication électronique, des informations sur le contenu des sites consultés.
3. OPTIONS POSSIBLES ET DISPOSITIF RETENU
3.1. OPTIONS ENVISAGEES
Le livre VIII du code de la sécurité intérieure est organisé autour de deux catégories de données : les données de connexion (L. 851-1) et les correspondances (L. 852-1 ; L. 852-2).
Ces deux catégories de données répondent à des régimes différents de recueil et de durée de conservation.
Or, il appartient au législateur d’assurer la conciliation entre, d’une part, la prévention des atteintes à l’ordre public et des infractions, nécessaire à la sauvegarde de droits et de principes de valeur constitutionnelle, et, d’autre part, l’exercice des droits et des libertés constitutionnellement garantis, au nombre desquels figure le droit au respect de la vie privée.
Une option possible consiste à compléter la liste, fixée par voie réglementaire, des données de connexion que les services de renseignement sont habilités à recueillir pour y inclure l’ensemble des URL. Ceci suppose de considérer que les informations dont sont porteuses les adresses complètes des ressources sur internet sont limitées et ne donnent pas nécessairement par elles-mêmes d’indication directe et précise sur la nature des informations consultées, et encore moins sur les activités de la personne qui procède à la consultation.
De fait, s’il prend en compte le fait que la technique de renseignement visée à l’article L. 851-2 du CSI ne peut traiter que des données de connexion, à l’exclusion du contenu des correspondances échangées ou des informations consultées (cf. décision n° 2015-713 DC du 23 juillet 2015, cons. 55), le Conseil constitutionnel ne s’est pas prononcé sur la nature juridique des adresses de ressources sur internet qui ne permettent qu’indirectement d’obtenir des indications sur le contenu des informations consultées sur un site internet.
Pour autant, la Commission nationale de contrôle des techniques de renseignement a considéré dans sa délibération n° 1/2016 du 14 janvier 2016 que les adresses de ressources sur internet constituaient une catégorie de données mixte, ces adresses pouvant constituer de simples données de connexion comme des données de contenu lorsqu’elles « sont porteuses par nature des informations consultées ».
Au regard de cette analyse, l’extension des données susceptibles d’être recueillies en temps réel en application de l’article L. 851-2 au-delà des seules données de connexion, pour inclure les URL porteuses des informations consultées, appelle nécessairement l’intervention du législateur.
Cette extension porte uniquement sur les URL ayant donné lieu à une consultation effective par les utilisateurs. En effet, la technique de recueil en temps réel des données de connexion n’ayant en aucun cas vocation à recueillir et analyser le contenu des communications, qui demeure exclu du champ d’application de l’article L. 851-2 du CSI, défini par référence à l’article L. 851-1 du même code, les URL qui, sans avoir été consultées, se trouveraient dans le contenu de correspondances échangées ne pourront pas être collectées dans ce cadre. Dès lors, il n’est pas apparu nécessaire de préciser le dispositif afin d’exclure ces dernières URL.
Par ailleurs, ces données constituant une catégorie particulière de données de connexion, le 2° du présent article prévoit leur durée de conservation en l’alignant, non pas sur celle des données de connexion, que le 3° de l’article L. 822-2 porte à quatre ans mais sur celle des données mixtes, prévues à au 2° du même article, soit cent vingt jours : en effet, ces données ne sont pas des données de contenu (dont la conservation est limitée à trente jours) mais sont susceptibles de révéler certaines informations et portent donc une atteinte à la vie privée supérieure à celle des données de connexion classiques.
3.2. DISPOSITIF RETENU
Le dispositif retenu vise à assortir l’élargissement des données susceptibles d’être traitées recueillies en temps réel via la technique de renseignement visée à l’article L. 852-1 du CSI aux adresses complètes d’une ressource sur internet utilisées par une personne d’une distinction de la durée de conservation des deux types de données susceptibles d’être recueillies par ce biais.
Cette détection est effectuée pour les seuls besoins de la prévention du terrorisme, à l’encontre de personnes préalablement identifiées comme étant susceptibles d’être en lien avec une menace terroriste, ou de personnes de leur entourage.
Ainsi, il conviendra de distinguer, lorsque la technique visée à l’article L. 852-1 sera mise en œuvre, entre les données de connexion « classiques », qui pourront être conservées quatre ans, conformément au droit applicable actuellement, et les données relatives aux URL qui, elles, devront être détruites au terme d’un délai beaucoup plus réduit de 120 jours, conformément aux dispositions de l’article L. 822-2 modifié.
4. ANALYSE DES IMPACTS DES DISPOSITIONS ENVISAGEES
4.1. IMPACTS JURIDIQUES
Les articles L. 822-2 et L. 851-2 du code de la sécurité intérieure sont modifiés.
4.2. IMPACTS SUR LES PARTICULIERS
Les adresses des sites consultés sur internet par des personnes présentant une menace de nature terroriste et à l’égard desquelles la technique prévue à l’article L. 851-2 du code de la sécurité intérieure aura été autorisée par le Premier ministre après avis de la CNCTR, pourront être transmises et exploitées par les services de renseignement.
5. CONSULTATIONS ET MODALITES D’APPLICATION
5.1. CONSULTATIONS MENEES
Cette disposition a été présentée à la Commission nationale de contrôle des techniques de renseignement en application de l’article L. 833-11 du code de la sécurité intérieure qui a rendu son avis le 7 avril 2021.
Cette disposition a été présentée à la Commission nationale informatique et liberté qui a rendu son avis le 8 avril 2021.
Cette disposition a été présentée, conformément à L. 36-5 du code des postes et communications électroniques, à l’autorité de régulation des communications électroniques, des postes et de la distribution de la pressequi a rendu son avis le 16 avril 2021.
5.2. MODALITES D’APPLICATION
5.2.1. Application dans le temps
Ces dispositions entrent en vigueur immédiatement.
5.2.2. Application dans l’espace
Les dispositions s’appliqueront à l’échelle nationale, y compris dans les collectivités régies par les articles 73 et 74 de la Constitution.
Article 15 : Modalités de conservation des données de connexion en cas de menace grave, actuelle ou prévisible sur la sécurité nationale 1. ÉTAT DES LIEUX
1.1. CADRE GENERAL
Les données de connexion, parfois appelées métadonnées pour les distinguer de celles qui portent sur le contenu des communications échangées, jouent aujourd’hui un rôle central dans la recherche, la constatation et la poursuite des infractions pénales et dans, le domaine du renseignement, pour la défense et la promotion des intérêts fondamentaux de la Nation.
Ainsi, dans le domaine judiciaire, près de deux millions environ de réquisitions portant sur ces données sont effectuées annuellement par l’intermédiaire de la plateforme nationale des interceptions judiciaires (PNIJ), procédure mise en œuvre dans plus de quatre enquêtes judiciaires sur cinq. Une telle procédure revêt notamment un intérêt fondamental dans la répression de la criminalité organisée où elle est utilisée systématiquement.
Dans le domaine du renseignement, plusieurs techniques visées au livre VIII du code de la sécurité intérieure consiste en un accès aux données de connexion en possession des opérateurs, accès opéré via un service du Premier ministre, le groupement interministériel de contrôle (GIC). Chaque année, environ 50 000 accès à ces données sont autorisés pour les besoins du renseignement.
Ces techniques d’accès aux données de connexion par les services de renseignement font l’objet du titre V du livre II du code de la sécurité intérieure. Il s’agit de :
- la technique de recueil en temps différé des données de connexion (article L. 851-1) ;
- la technique du recueil en temps réel de ces mêmes données (article L. 851-2) ;
- la technique dite de l’ « algorithme », qui, appliqué à un flux de données de connexion, permet le cas échéant un accès à ces données, en cas de détection d’une menace terroriste (article L. 851-3) ;
- la technique de géolocalisation en temps réel (article L. 851-4).
Les règles en matière de conservation de certaines des données de connexion sont définies à l’article L. 34-1 du code des postes et des communications électroniques. Cet article, applicable aux « opérateurs de communications électroniques, (…) notamment les personnes dont l'activité est d'offrir un accès à des services de communication au public en ligne » pose tout d’abord le principe selon lequel ces personnes effacent ou rendent anonyme toute donnée relative au trafic.
Ce principe est toutefois assorti d’exceptions.
La première, visée au III de l’article L. 34-1, concerne les besoins de la recherche, de la constatation et de la poursuite des infractions pénales ou d'un manquement à l'obligation de respect du droit d’auteur sur internet ou pour les besoins de la prévention des atteintes aux systèmes de traitement automatisé de données prévues et réprimées par les articles 323-1 à 323-3-1 du code pénal. Pour ces besoins, et dans le seul but de permettre la mise à disposition de ces données à l’autorité judiciaire, à la Haute autorité pour la diffusion des œuvres et de la protection des droits sur internet (HADOPI) ou à l'autorité nationale de sécurité des systèmes d'information (ANSSI), les opérateurs sont tenus de différer, pour une durée d’un an, les opérations tendant à effacer ou à rendre anonymes certaines catégories de données techniques, définies aux articles R. 10-13 (besoins judiciaires) et R. 10-13-1 (ANSSI) du code des postes et des communications électronique.
La seconde, visée au IV de l’article L. 34-1, concerne les besoins de la facturation et du paiement des prestations de communications électroniques, pour la satisfaction desquels les opérateurs peuvent, jusqu'à la fin de la période au cours de laquelle la facture peut être légalement contestée ou des poursuites engagées pour en obtenir le paiement, utiliser, conserver et, le cas échéant, transmettre à des tiers concernés directement par la facturation ou le recouvrement les catégories de données techniques visées à l’article R. 10-14 du code des postes et des communications électronique.
Ces modalités trouvent leur pendant, s’agissant des fournisseurs d’accès à internet et des hébergeurs, à l’article 6 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique (LCEN) qui fait obligation aux personnes précitées de conserver les données nécessaires à l’identification des personnes créant, modifiant ou supprimant des contenus en ligne (la liste des données concernées étant fixée à l’article 1er du décret n° 2011-218 du 25 février 2011). Le même article 6 prévoit un droit d’accès aux données ainsi conservées ouvert à l’autorité judiciaire pour la recherche ou la poursuite des infractions.
Bien que l’article L. 34-1 du CPCE ne traite pas spécifiquement de la conservation des données de connexion pour les besoins des services de renseignement, le Conseil d’État a jugé qu’il résultait des dispositions des articles L. 851-1 et L. 811-3 du code de la sécurité intérieure (qui organisent l’accès aux données de connexion conservées en application des articles L. 34-1 CPCE et 6 de la LCEN) que le législateur a également entendu imposer aux opérateurs de communications électroniques, aux fournisseurs d’accès à internet et aux hébergeurs l’obligation de conserver de manière générale et indifférenciée les données de connexion pour les besoins des missions de défense et de promotion des intérêts fondamentaux de la Nation confiées aux services de renseignement (CE ass. 21 avr. 2021, French data Network et a., n° 393099, 394922, 397844, 397851, 424717, 424718)
1.2. CADRE EUROPEEN
1.2.1. Le droit de l’Union européenne
La directive 97/66/CE du Parlement européen et du Conseil du 15 décembre 1997 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des télécommunications est venue prévoir, à son article 6 § 1 que « les données relatives au trafic concernant les abonnés et les utilisateurs traitées en vue d'établir des communications et stockées par le fournisseur d'un réseau public de télécommunications et/ou d'un service de télécommunications accessible au public doivent être effacées ou rendues anonymes dès que la communication est terminée », ce principe étant assorti d’une exception, prévue au § 2 du même article, liée aux besoins de la facturation.
Les obligations découlant de cette directive ont été reprises par la directive 2002/58/CE du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (dite « e-privacy »), notamment l’obligation d’effacement ou d’anonymisation des données « relatives au trafic », reprise à l’article 6 de cette directive.
Cette directive prévoit néanmoins, à son article 1er § 3 (« champs d’application ») qu’elle « ne s'applique pas aux activités qui ne relèvent pas du traité instituant la Communauté européenne, telles que celles visées dans les titres V et VI du traité sur l'Union européenne, et, en tout état de cause, aux activités concernant la sécurité publique, la défense, la sûreté de l'État (y compris la prospérité économique de l'État lorsqu'il s'agit d'activités liées à la sûreté de l'État) ou aux activités de l'État dans des domaines relevant du droit pénal ».
En outre, son article 15 § 1 permet aux Etats membres d’adopter des mesures législatives visant à limiter, notamment, l’obligation d’effacement ou d’anonymisation, « lorsqu'une telle limitation constitue une mesure nécessaire, appropriée et proportionnée, au sein d'une société démocratique, pour sauvegarder la sécurité nationale - c'est-à-dire la sûreté de l'État - la défense et la sécurité publique, ou assurer la prévention, la recherche, la détection et la poursuite d'infractions pénales ou d'utilisations non autorisées du système de communications électroniques ».
Si, dans les premières années d’application de cette directive, la jurisprudence de la Cour de justice de l’Union européenne semblait admettre la possibilité d’une conservation généralisée et indifférenciée pour les besoins des services d’enquête, elle a néanmoins, par trois principaux arrêts (CJUE, 21 déc. 2016, Télé2 Sverige AB, n° C-203/15 et C-698/15 ; CJUE 2 oct. 2018, Ministerio fiscal, n° C-207/16 et CJUE 6 oct. 2020, La Quadrature du Net et a., n° C-511/18, C-512/18 et C-520/18), adopté une lecture différente des textes européens applicables à la conservation des données de connexion et aux modalités d’accès des autorités publiques à ces données.
A rebours de nombreux Etats membres, la Cour a tout d’abord, dans son arrêt Télé2, considéré que la directive e-privacy trouvait à s’appliquer aux mesures nationales qui prévoient tant l'obligation des fournisseurs de conserver les données de connexion que l'accès des autorités nationales à ces données, à des fins de lutte contre la criminalité. Sur l’autorisation, prévue à l’article 15 § 1 de la directive, donnée aux Etats de limiter, notamment, l’obligation d’effacement ou d’anonymisation, pour des finalités de protection de la sécurité et de répression
de la criminalité, la Cour considère qu’une telle autorisation, sauf à la priver de tout effet utile, « présuppose nécessairement que les mesures nationales qui y sont visées, telles que celles relatives à la conservation de données à des fins de lutte contre la criminalité, relèvent du champ d'application de cette même directive, puisque cette dernière n'autorise expressément les États membres à les adopter que dans le respect des conditions qu'elle prévoit ».
Cette applicabilité de la directive e-privacy a conduit la Cour à une condamnation du principe de conservation généralisée et indifférenciée des données, au regard des articles 7 et 8 de la Charte des droits fondamentaux de l’Union européenne, qui garantissent respectivement le droit à la vie privée et le droit à la protection des données personnelles, comme de l'article 11 de la Charte qui garantit la liberté d'expression.
Aussi, selon la Cour, la conservation généralisée des données de connexion constitue-t-elle une ingérence « particulièrement grave » excédant « les limites du strict nécessaire et ne [pouvant] être considérée comme étant justifiée, dans une société démocratique, ainsi que l'exige l'article 15, paragraphe 1, de la directive 2002/58, lu à la lumière des articles 7, 8 et 11 ainsi que de l'article 52, paragraphe 1, de la Charte » CJUE, 21 déc. 2016, Télé2 Sverige AB, n° C-203/15 et C-698/15).
Dans son dernier arrêt, La Quadrature du Net (CJUE 6 oct. 2020, n° C-511/18, C-512/18 et C-520/18), la Cour, se prononçant sur la possibilité d’une conservation généralisée des données de connexion lorsqu’est en cause la sécurité nationale, a rappelé que des limitations à l’exercice du droit à la vie privée étaient possibles, pour autant que ces limitations soient prévues par la loi, qu’elles respectent le contenu essentiel desdits droits et que, dans le respect du principe de proportionnalité, elles soient nécessaires et répondent effectivement à des objectifs d’intérêt général reconnus par l’Union ou au besoin de protection des droits et des libertés d’autrui. La Cour énonce que l’objectif de sauvegarde de la sécurité nationale est susceptible de justifier des mesures comportant des ingérences dans les droits fondamentaux plus graves que celles que pourraient justifier les autres objectifs visés à l’article 15 de la directive e-privacy.
Elle a ainsi jugé que, si une conservation systématiquement générale et indifférenciée des données n’est pas possible, le législateur peut adopter une mesure de conservation pour une période limitée au strict nécessaire, dès lors qu’il existe des circonstances suffisamment concrètes permettant de considérer que l’État membre concerné fait face à une menace grave pour la sécurité nationale qui s’avère réelle et actuelle ou prévisible. Cette injonction de conservation doit pouvoir faire l’objet d’un contrôle effectif soit par une juridiction, soit par une entité administrative indépendante, dont la décision est dotée d’un effet contraignant.
De l’ensemble de ces arrêts, il ressort que la Cour identifie trois objectifs dont la « gravité »
justifie une conservation plus importante de données dont la « sensibilité » augmente parallèlement : la « lutte contre la criminalité et la prévention des menaces contre la sécurité publique », la « lutte contre la criminalité grave et prévention des menaces graves pour la sécurité publique » et la « sauvegarde de la sécurité nationale ». Le premier peut justifier la conservation des données les moins révélatrices de la vie privée des personnes, le deuxième la conservation ciblée de données plus vastes et, enfin, le troisième la conservation généralisée
et indifférenciée des données, y compris celles qui apportent les informations les plus précises sur la personne à laquelle elles se rapportent, mais dans la limite et le délai circonscrit par la réalité de la menace qui pèse sur la sécurité nationale.
Par ailleurs, la Cour établit une gradation entre les catégories de données de connexion susceptibles d’être conservées et distingue entre :
- les données relatives à l’identité civile de l’utilisateur qui, eu égard à leur faible sensibilité, peuvent être conservées de manière généralisée et indifférenciée, quel que soit l’objectif poursuivi ;
- les adresses IP, qui présentent davantage de sensibilité, et qui ne peuvent donc être conservées de manière généralisée et indifférenciée que pour lutter contre la criminalité grave et pour sauvegarder la sécurité nationale ;
- et enfin les autres données de connexion, dont la conservation est réservée aux objectifs les plus graves, et selon deux modalités différentes en fonction de l’objectif poursuivi.
S’agissant de la lutte contre la criminalité grave et de la prévention des atteintes à la sécurité publique, la CJUE admet seulement la possibilité d’adopter une réglementation permettant, à titre préventif, une conservation ciblée des données relatives au trafic et des données de localisation afin de lutter contre la criminalité grave à condition qu’une telle conservation soit, en ce qui concerne les catégories de données à conserver, les moyens de communication visés, les personnes concernées ainsi que la durée de conservation retenue, limitée au strict nécessaire. La Cour propose deux exemples : ciblage de personnes (notamment celles ayant été préalablement identifiées, dans le cadre des procédures nationales applicables et celles présentant sur la base d’éléments objectifs une menace pour la sécurité publique ou la sécurité nationale) et/ou de lieux (lieux particulièrement exposés à la commission d’actes de criminalité grave, tels que des lieux ou infrastructures fréquentés régulièrement par un nombre très élevé de personnes, ou encore des lieux stratégiques, tels que des aéroports, des gares ou des zones de péages).
En outre, pour cet objectif, la Cour juge possible une « conservation rapide » des données, conformément à l’article 16 de la convention du Budapest sur la cybercriminalité du 23 novembre 2001. Une telle conservation rapide, à des fins de la lutte contre la criminalité grave et de la prévention des atteintes à la sécurité publique, ne pourra concerner que les données susceptibles de contribuer à la prévention ou à la répression d’une infraction déterminée, étant précisé qu’elle pourra concerner les personnes de l’entourage de la personne soupçonnée (victime ou complice potentiel par exemple).
S’agissant de la sécurité nationale, le législateur peut adopter une mesure de conservation généralisée et indifférenciée pour une période limitée au strict nécessaire, dès lors qu’il existe des circonstances suffisamment concrètes permettant de considérer que l’État membre concerné fait face à une menace grave pour la sécurité nationale qui s’avère réelle et actuelle ou prévisible. Cette injonction de conservation doit être soumise à un examen régulier de sa nécessité (et donc à une réévaluation périodique de l’état de la menace) et soumise au contrôle
d’un juge ou d’une autorité indépendante dotée d’un pouvoir contraignant qui appréciera son caractère proportionné.
1.2.2. Cadre conventionnel
La Cour européenne des droits de l’Homme (CEDH) considère que le simple fait de conserver des données relatives à la vie privée des individus constitue une ingérence au sens de l’article 8 de la Convention qui garantit le droit au respect de la vie privée et familiale et surtout de la correspondance, peu importe que ces informations soient ou non utilisées par la suite. Pour déterminer si les informations à caractère personnel conservées par les autorités font entrer en jeu un aspect de la vie privée, la Cour tient toutefois compte du contexte particulier dans lequel ces informations ont été recueillies et conservées, de la nature des données consignées, de la manière dont elles sont utilisées et des résultats qui peuvent en être tirés (CEDH gr.ch., 4 déc.
2008, S. & Marper c. Royaume-Uni, aff. n° 30562/04).
Sur l’accès aux données à caractère personnel conservées par ailleurs, la Cour a eu l’occasion de se prononcer à de nombreuses reprises. Ainsi, dans le domaine judiciaire, la Cour juge-t-elle par exemple que ne méconnaît pas l’article 8 de la Convention une réquisition judiciaire adressée à un opérateur de téléphonie mobile pour obtenir la liste des bornes déclenchées par une ligne téléphonique dans le cadre d’une procédure pénale relative à des faits d’importation de stupéfiants en bande organisée, d’association de malfaiteurs et de blanchiment. La Cour relève qu’une telle réquisition poursuivait un but légitime et avaient été utilisées dans le cadre d’une enquête et d’un procès pénal au cours duquel le requérant avait bénéficié d’un contrôle effectif (CEDH 8 févr. 2018, Ben Faiza c. France, n° 31446/12).
Dans le domaine du renseignement, la Cour admet, de façon constante depuis son arrêt Klass et autres c. Allemagne (n° 5029/71, 6 septembre 1978), que les services de renseignement étatiques puissent se munir de moyens de surveiller les individus pour faire face à des menaces pouvant mettre en péril une société démocratique. Les mesures prises à cet égard, qui peuvent concerner un grand nombre de données ne portent ainsi pas, par nature, une atteinte disproportionnée au droit à la vie privée protégée par l’article 8 de la Convention.
En 2018, la Cour s’est penchée spécifiquement sur le degré d’atteinte à la vie privée d’une personne susceptible de résulter de l’accès et de l’examen de données de connexion dans son arrêt Big Brother Watch. Et a. c. Royaume-Uni (n° 58170/13). Elle a jugé en l’espèce que tout système permettant l’accès à des données détenues par des fournisseurs de services de communication doit se limiter au but que constitue la lutte contre le crime, et l’accès doit être soumis au contrôle préalable d’un tribunal ou d’un organe administratif indépendant. Dans cet arrêt, elle reconnaît expressément la gravité des menaces qui pèsent actuellement sur de nombreux État contractants, notamment le terrorisme international et d’autres crimes tels que le trafic de stupéfiants, la traite d’êtres humains, l’exploitation sexuelle d’enfants et la cybercriminalité. Elle considère en conséquence que les États doivent jouir d’une ample marge d’appréciation pour choisir le meilleur moyen de protéger la sécurité nationale.
1.2.3. Cadre constitutionnel
Les dispositions législatives de l’article L. 851-1 du code de la sécurité intérieure, qui permettent aux services de renseignement d’accéder, à certaines conditions, aux données de connexion conservées de manière généralisée par les opérateurs – et donc, implicitement mais nécessairement, le principe même d’une telle conservation, également prévu aux articles L.34-1 du CPCE et 6 de la LCEN (v. CE ass. 21 avr. French data Network et a., n° 393099, 394922, 397844, 397851, 424717, 424718, préc.) – ont été jugées conformes à la Constitution par le Conseil constitutionnel, à la lumière de l’ensemble des droits, libertés, principes et objectifs à valeur constitutionnelle, conformément à son office (décision n° 2015-713 DC du 23 juillet 2015). Ce faisant, validant les techniques de recueil de renseignement permettant l’accès aux données de connexion conservées, il a validé implicitement leur conservation.
En outre, le Conseil constitutionnel avait déjà eu l'occasion de valider l'accès aux données de connexion par diverses administrations. Il avait, notamment, jugé conforme à la Constitution, dans son principe, le dispositif de réquisition d'accès aux données de connexion prévu par l'article 6 de la loi n° 2006-64 du 23 janvier 2006, dont est issu l'article L. 851-1 (décision n° 2005-532 DC du 19 janvier 2006).
Par ailleurs, le Conseil constitutionnel a été amené à reconnaître plusieurs principes et objectifs constitutionnels de nature à justifier que des données à caractère personnel soient conservées ou réquisitionnées par une autorité publique. Il en est ainsi de l’exigence constitutionnelle de sauvegarde des intérêts fondamentaux de la Nation, au nombre desquels figurent l’indépendance de la Nation et l’intégrité du territoire (décision n° 2011-192 QPC du 10 novembre 2011), l’objectif à valeur constitutionnelle de prévention des infractions et de recherche des auteurs d’infraction pénale (décision n° 2004-492 DC du 2 mars 2004) et, enfin, l’objectif de lutte contre le terrorisme, composante de l’objectif à valeur constitutionnelle de protection de l’ordre public (décisions no
2017-691 QPC du 16 février 2018 et n° 2017-695 du
29 mars 2018).
1.2.4. La décision du Conseil d’État, après question préjudicielle Le Conseil d’État a, par une décision de l’Assemblée du contentieux du 21 avril 2021 (French data Network et a., n° 393099, 394922, 397844, 397851, 424717, 424718) tracé les modalités de transposition, en droit interne, des décisions précitées de la CJUE et plus particulièrement de l’arrêt rendu sur sa question préjudicielle, La Quadrature du Net, du 6 octobre 2020.
Il a d’abord considéré qu’il ressort de l'article 12 de la Déclaration des droits de l'Homme et du citoyen de 1789 que la garantie des droits de l'homme et du citoyen nécessite une force publique. La sauvegarde des intérêts fondamentaux de la Nation, la prévention des atteintes à l'ordre public, notamment celle des atteintes à la sécurité des personnes et des biens, la lutte contre le terrorisme, ainsi que la recherche des auteurs d'infractions pénales constituent des objectifs de valeur constitutionnel, nécessaires à la sauvegarde de droits et de principes de même valeur et qui doivent être conciliés avec l'exercice des libertés constitutionnellement
garanties, au nombre desquelles figurent la liberté individuelle, la liberté d'aller et venir et le respect de la vie privée.
Or, considère le Conseil d’État, ces exigences constitutionnelles, qui s'appliquent à des domaines relevant exclusivement ou essentiellement de la compétence des Etats membres en vertu des traités constitutifs de l'Union, ne sauraient être regardées comme bénéficiant, en droit de l'Union, d'une protection équivalente à celle que garantit la Constitution. Faisant application de sa jurisprudence Arcelor (8 février 2007, Société Arcelor Atlantique Lorraine, n°287110), il considère dès lors qu’il lui revient d'examiner si, en écartant la règle de droit national contestée au motif de sa contrariété avec le droit de l'Union européenne, il priverait de garanties effectives ces exigences constitutionnelles dont le défendeur se prévaut et, le cas échéant, d'écarter le moyen dont le requérant l'a saisi.
Le Conseil d’État a donc appliqué cette grille de lecture aux différentes modalités de conservation des données de connexion applicables en France.
S’agissant des données relatives à l’identité civile, aux paiements et aux comptes de l’abonné, le Conseil d’État relève, comme la CJUE, qu’elles peuvent faire l’objet, sans limitation de durée, d’une conservation généralisée et indifférenciée pour les besoins de toute procédure pénale, de la prévention de toute menace contre la sécurité publique et de la sauvegarde de la sécurité nationale.
S’agissant des adresses IP, si leur conservation généralisée et indifférenciée ne saurait être justifiée par les besoins de la lutte contre l’ensemble des infractions pénales, mais uniquement pour les besoins de la lutte contre la criminalité grave, il a considéré en revanche, que le législateur n’est pas tenu d’énumérer les infractions relevant du champ de la criminalité grave en se référant à des catégories strictement prédéfinies en droit interne. Le rattachement d’une infraction pénale à la criminalité grave a donc vocation à s’apprécier de façon concrète, sous le contrôle du juge pénal qui fait application du principe de proportionnalité consacré par l’article préliminaire du code de procédure pénale, au regard de la nature de l’infraction commise et de l’ensemble des faits de l’espèce. Une obligation de conservation généralisée et indifférenciée des adresses IP peut ainsi être imposée aux opérateurs, dès lors que les conditions d’accès à ces données par les services d’enquête sont fixées en fonction de la gravité des infractions susceptibles de le justifier, dans le respect du principe de proportionnalité.
S’agissant des autres données de connexion, le Conseil d’État distingue selon que cette conservation est opérée aux fins de sauvegarde de la sécurité nationale ou aux fins de lutte contre la criminalité et de prévention des menaces à l’ordre public.
S’agissant de sauvegarde de la sécurité nationale, la CJUE a défini cette notion comme « l’intérêt primordial de protéger les fonctions essentielles de l’État et les intérêts fondamentaux de la société et inclut la prévention et la répression d’activités de nature à déstabiliser gravement les structures constitutionnelles, politiques, économiques ou sociales fondamentales d’un pays, et en particulier à menacer directement la société, la population ou l’État en tant que tel, telles que notamment des activités de terrorisme ». En écho, le Conseil d’État estime que cette notion
doit être « appréciée au regard de l’ensemble des intérêts fondamentaux de la Nation listés à l’article L. 811-3 du code de la sécurité intérieure ».
Le Conseil relève ensuite, avec la CJUE, que l’objectif de sauvegarde de la sécurité nationale peut justifier une conservation généralisée et indifférenciée des données de connexion lorsque pèse sur elle une menace grave, actuelle ou prévisible.
Par suite, en l’état actuel de la menace grave qui pèse sur la France, analysée par le Conseil d’État dans son arrêt au regard de la persistance d’un risque terroriste élevé ainsi qu'en témoigne les attentats perpétrés ou empêchés récemment, exposition au risque d’espionnage et d’ingérence étrangère en raison notamment des capacités de la France et de ses engagements militaires et de son potentiel technologique et économique ainsi que menaces graves pour la paix publique, liées à une augmentation de l’activité de groupes radicaux et extrémistes, cette conservation généralisée et indifférenciée, prévue à l’article L. 34-1 du CPCE et à l’article 6 de la LCNE et, au niveau réglementaire, par l’article R. 10-13 du CPCE, est bien justifiée.
Néanmoins, dès lors que l’état de cette menace et, par suite, la nécessité de l’injonction de conservation (qui ne peut excéder un an) doivent être régulièrement réévalués, il considère que les dispositions législatives précitées ainsi que les dispositions réglementaires prises pour leur application méconnaissent le droit de l’Union européenne en tant que leurs dispositions ne prévoient pas un réexamen périodique de l’existence d’une menace grave, actuelle ou prévisible pour la sécurité nationale.
S’agissant de la lutte contre la criminalité et la prévention des menaces à l’ordre public, le Conseil d’État rappelle que si la CJUE estime que ces objectifs ne sauraient justifier une conservation généralisée et indifférenciée des données de connexion, et ce, quel que soit le degré de gravité de cette criminalité ou de ces menaces et n’admet qu’une conservation ciblée de ces données pour la seule lutte et répression de la criminalité grave, une telle conservation ciblée, à supposer qu’elle soit techniquement réalisable, ferait obstacle à l’action des services d’enquête et serait contraire au principe constitutionnel d’égalité devant la loi.
En outre, si la CJUE admet que la lutte contre la criminalité et la prévention des menaces à l’ordre public peut justifier une « conservation rapide » des données de connexion, encore faut-il que ces données aient été conservées. Dès lors que, en l’absence de conservation de ces données pour un autre motif, cette conservation rapide ne peut concerner que les données émises à compter de la date et de l’heure à laquelle il est enjoint à un opérateur d’y procéder, un tel dispositif ne présentera un intérêt que si les données ont été effectivement conservées par ailleurs.
Le Conseil d’État en déduit donc que ni l’accès aux données de connexion conservées volontairement par les opérateurs, ni la possibilité de leur imposer une obligation de conservation ciblée, ni le recours à la technique de la conservation rapide ne permettent, par eux-mêmes, de garantir le respect des objectifs de valeur constitutionnelle de prévention des atteintes à l’ordre public, notamment celle des atteintes à la sécurité des personnes et des biens, ainsi que de recherche des auteurs d’infractions, notamment pénales.
Il ajoute toutefois que, tant que la France sera soumise à une menace grave actuelle ou prévisible sur sa sécurité nationale, le mécanisme de conservation rapide pourra s’appliquer aux données conservées à ce titre. Aussi, tant que cette menace perdure, l’autorité judiciaire et les autorités administratives indépendantes disposant d’un droit d’accès aux données de connexion en vertu de la loi en vue de lutter contre les manquements graves aux règles dont elles ont la charge d’assurer le respect sont donc en mesure d’accéder aux données nécessaires à la poursuite et à la recherche des auteurs d’infractions pénales dont la gravité le justifie. Par conséquent, en l’état actuel de la menace, il n’y a pas lieu de considérer que la mise à l’écart des dispositions législatives qui imposent une conservation généralisée et indifférenciée des données de connexion à des fins judiciaires, au motif qu’elles seraient contraires au droit de l’Union européenne, priverait de garanties effectives les objectifs de valeur constitutionnelle invoqués.
2. NECESSITE DE LEGIFERER ET OBJECTIFS POURSUIVIS
Dans sa décision précitée, le Conseil d’État désigne plusieurs dispositions législatives qui sont contraires au droit de l’Union européenne et qu’il appartient, par conséquent, au législateur de modifier.
Il s’agit tout d’abord des dispositions des articles L. 34-1 du CPCE et de l’article 6 de la LCEN qui fixent les motifs pour lesquels les opérateurs et les fournisseurs d’accès à internet peuvent différer l’effacement des données de connexion, et donc de les conserver de manière généralisée et indifférenciée hors cas de menace grave, actuelle ou prévisible sur la sécurité nationale. Cela concerne en particulier le III de l’article L. 34-1 qui impose cette conservation notamment pour les besoins de la recherche, de la constatation et de la poursuite des infractions pénales, ou d'un manquement à l'obligation de respect du droit d’auteur sur internet ou pour les besoins de la prévention des atteintes aux systèmes de traitement automatisé de données prévues et réprimées par les articles 323-1 à 323-3-1 du code pénal.
Par ailleurs, la CJUE et le Conseil d’État ayant précisé le cadre juridique permettant de procéder à la conservation généralisée et indifférenciée des données de connexion, en cas de menace grave, il convient que le législateur en tire les conséquences, au moyen d’une disposition précise et encadrée.
En outre, il importe de prévoir que les autorités qui disposent actuellement, en vertu de la loi, d’un droit d’accès aux données de connexion conservées par les opérateurs, peuvent enjoindre une « conservation rapide » de ces données, dans une finalités de répression de la criminalités graves ou des manquements graves aux règles dont elles ont la charge d’assurer le respect.
Enfin, il convient également de préciser les catégories de données de connexion pouvant être conservées de manière plus large au regard de leur nature, à savoir les informations relatives à l’identité des utilisateurs, les informations fournies lors de la souscription du contrat et les adresses IP.
3. OPTIONS POSSIBLES ET DISPOSITIF RETENU
3.1. OPTIONS ENVISAGEES
3.1.1. Les modalités de conservation
Il aurait pu être envisagé, comme le suggère la CJUE, de prévoir un cadre de conservation ciblé des données à des fins judiciaires ou de renseignement, applicable en l’absence de menace grave, actuelle ou prévisible sur la sécurité nationale, en ciblant par exemple les personnes au regard de leurs condamnations passées ou de leur inscription dans un fichier à finalité de prévention de la récidive ou de souveraineté ou en ciblant certaines données de connexion en fonction de leur zone géographique d’émission, ces zones étant définies au regard de la prévalence des infractions graves.
Toutefois, au-delà des obstacles techniques dirimants relevés par ailleurs par le Conseil d’État dans sa décision et de la méconnaissance du principe d’égalité devant la loi qu’elle induirait, les moyens des services de renseignement ou de l’autorité judiciaire et leur efficacité variant en fonction de ce ciblage, cette solution se heurte également à des considérations de confidentialité dès lors qu’un tel ciblage nécessiterait de communiquer aux opérateurs de communications électroniques la liste des personnes dont l’État estime qu’elles sont susceptibles de constituer une menace pour la sécurité publique ou de commettre des infractions ou la liste de zones plus exposées à la criminalité grave.
Par ailleurs, de telles listes sont nécessairement amenées à évoluer, en fonction de l’évolution du ciblage, ne serait-ce que pour faire échec aux tentatives de contournement des personnes surveillées. Outre la difficulté technique, pour les opérateurs, de mettre à jour, en permanence, les listes inhérentes à ce ciblage, s’ajoute le coût de tels traitements, à la charge de l’État.
Cette solution n’est donc pas apparue de nature à garantir l’effectivité des exigences constitutionnelles de prévention des atteintes à l’ordre public et de recherche des auteurs d’infraction.
Par ailleurs, le Conseil d’État ayant admis l’existence d’une menace grave actuelle ou prévisible pesant sur la sécurité nationale depuis de nombreuses années, au regard de la persistance d’un risque terroriste élevé ainsi qu'en témoigne les attentats perpétrés ou empêchés récemment, exposition au risque d’espionnage et d’ingérence étrangère en raison notamment des capacités de la France et de ses engagements militaires et de son potentiel technologique et économique ainsi que menaces graves pour la paix publique, liées à une augmentation de l’activité de groupes radicaux et extrémistes, il a été considéré que seule cette hypothèse de conservation des données de connexion pouvait être envisagée.
Enfin, si le Conseil d’État a traduit, dans sa décision, la notion de menace pesant sur la sécurité nationale retenue par la CJUE comme devant être « appréciée au regard de l’ensemble des intérêts fondamentaux de la Nation listés à l’article L. 811-3 du code de la sécurité intérieure », il a été préféré la notion de « menace pesant sur la sécurité nationale » à celle de « menace
pesant sur les intérêts fondamentaux de la Nation » afin de permettre d’englober, au titre de cette injonction de conservation, les besoins des services du renseignement pénitentiaire créé par l’article L. 855-1 du code de la sécurité intérieure, qui ont pour mission la collecte et l'exploitation du renseignement dans les domaines de la lutte antiterroriste, de la lutte contre la criminalité organisée et du renforcement de la sécurité pénitentiaire (notamment prévention des émeutes et des évasions) et participent, de ce fait, à la prévention des atteintes à la sécurité nationale.
3.1.2. Le niveau de norme imposant la conservation en cas de menace grave, actuelle et prévisible, sur la sécurité nationale
S’il appartient au législateur de définir avec précision les conditions dans lesquelles pèse sur les opérateurs de communications électroniques une obligation de conservation des données de connexion et d’assortir ce dispositif de garanties suffisantes pour assurer le respect des droits et libertés constitutionnellement garantis (en particulier le droit au respect de la vie privée), la Constitution confère au pouvoir exécutif des responsabilités particulières en matière de protection des intérêts fondamentaux de la Nation, ce qui justifie que la loi lui confie le pouvoir de décision en matière de renseignement.
En vertu de l'article 5 de la Constitution, le Président de la République est le garant de l'indépendance nationale et de l'intégrité du territoire. L’article 20 de la Constitution prévoit en outre que « le Gouvernement détermine et conduit la politique de la Nation » et « dispose de l'administration et de la force armée », tandis que l’article 21 prévoit que le Premier ministre « dirige l'action du Gouvernement » et « est responsable de la Défense nationale ». Ceci justifie que le pouvoir de décision soit confié au Premier ministre, s’agissant d’une matière relevant en outre de la police administrative et, partant, de la seule responsabilité du pouvoir exécutif (décision n°2005-532 DC, cons. 5).
Dès lors, le pouvoir d’injonction aux opérateurs en matière de sécurité nationale paraît naturellement relever des prérogatives de l’exécutif, l’option consistant en une injonction directement fixée par la loi se heurtant à l’exigence d’une réitération au moins une fois par an qui n’est pas nécessairement compatible avec les contraintes du calendrier parlementaire.
Tout en respectant le principe de séparation des pouvoirs, la solution de niveau réglementaire, qui permet de contester directement l’injonction devant le juge administratif, y compris en urgence, et d’en demander l’abrogation à tout moment (le refus d’abroger pouvant lui-même être contesté), ouvre de larges possibilités de contrôle sur la mesure. Le Gouvernement sera en outre amené à rendre compte de son action en la matière suivant les mécanismes de contrôle parlementaire prévus par la Constitution.
3.1.3. Le contrôle juridictionnel sur l’injonction de conservation L’article L. 841-1 du code de la sécurité intérieure a prévu une procédure spécifique pour connaître des requêtes concernant la mise en œuvre des techniques de renseignement
mentionnées au titre V du livre VIII du même code. La juridiction compétente est une formation spécialisée du Conseil d’État, dont les juges sont habilités ès qualité au secret de la défense nationale.
Le recours à cette juridiction et à la procédure, prévue à l’article L. 773-2 du code de justice administrative, fondée sur le principe d’un contradictoire asymétrique, a été envisagé comme permettant au juge d’exercer un contrôle de proportionnalité sur l’existence d’une menace grave, actuelle ou prévisible telle qu’exigée par la loi, en lui permettant de disposer d’éléments d’information éventuellement couverts par le secret de la défense nationale.
Toutefois, une telle option n’a pas été retenue, le contrôle juridictionnel relevant du droit commun, dès lors qu’en tout état de cause, l’article L. 5 du code de la justice administrative permet, le cas échéant, d’adapter les exigences du débat contradictoire à celles de la défense nationale.
3.2. DISPOSITIF RETENU
Est en premier lieu supprimée toute possibilité d’effacement différé des données de connexion par les opérateurs de communication électroniques, non justifiée par leur besoin de facturation d’une part ou par l’existence d’une menace grave actuelle ou prévisible sur la sécurité nationale d’autre part. Sont ainsi supprimées les dispositions du III de l’article L. 34-1 du CPCE, qui permettaient de différer d’un an cet effacement pour les besoins de l’autorité judiciaire, de l’HADOPI et de l’ANNSI ainsi que les dispositions du II de l’article 6 de la LCEN qui l’imposaient pour l’autorité judiciaire.
Sont ensuite regroupées dans un nouveau II bis de l’article L. 34-1 du CPCE les règles de conservation des données les moins sensibles et qui peuvent, à ce titre, faire l’objet d’une conservation généralisée pour diverses finalités. Il s’agit, pour les besoins de toute procédure pénale, de la prévention de toute menace contre la sécurité publique et de la sauvegarde de la sécurité nationale, des informations relatives à l’identité civile de l’utilisateur, conservées jusqu’à l’expiration d’un délai de cinq ans après la fin de validité de son contrat, pour les mêmes finalités, des autres informations fournies par l’utilisateur lors de la souscription d’un contrat ou de la création d’un compte, ainsi que des informations relatives au paiement, conservées jusqu’à l’expiration d’un délai d’un an après la fin de validité de son contrat ou la clôture de son compte, et enfin, pour les besoins de la lutte contre la criminalité grave, de la prévention des menaces graves contre la sécurité publique et de la sauvegarde de la sécurité nationale, des données techniques permettant d’identifier la source de la connexion ou relatives aux équipements terminaux de connexion utilisés, jusqu’à l’expiration d’un délai d’un an à compter de la connexion ou de l’utilisation des équipements terminaux.
De plus, le nouveau III de l’article L. 34-1 du CPCE, prévoit l’hypothèse dans laquelle il peut être fait obligation d’une conservation généralisée et indifférenciée des données de connexion pour des motifs tenant à la sauvegarde de la sécurité nationale, lorsqu’est constatée menace grave, actuelle ou prévisible contre cette dernière. Cette conservation est strictement encadrée :
- elle doit être décidée par décret du Premier ministre au regard de l’existence d’une menace grave, actuelle ou prévisible, pour la sécurité nationale ;
- la durée de cette injonction de conservation ne peut excéder un an ;
- elle peut être renouvelée si les conditions prévues pour son édiction continuent d’être réunies ;
- elle doit, en tout état de cause, faire l’objet d’une réévaluation annuelle ;
- cette injonction et ses renouvellements font l’objet d’un contrôle du Conseil d’État qui peut être saisi de conclusions en annulation du décret la prononçant, mais également et à tout moment, de conclusions dirigées contre un refus d’abrogation de ce décret ;
- l’éventuelle expiration ou abrogation de l’injonction de conservation générale et indifférenciée est sans incidence sur la durée de conservation de chacune des données qui est fixée à un an.
En outre, les données conservées par les opérateurs peuvent faire l’objet d’une injonction de conservation rapide par les autorités disposant en vertu de la loi d’un accès aux données relatives aux communications électroniques à des fins de prévention et de répression de la criminalité grave et des autres manquements graves aux règles dont elles ont la charge d’assurer le respect afin d’y accéder.
Enfin, un décret en Conseil d’État précisera, comme le fait actuellement l’article R. 10-13 CPCE, celles des données qui font l’objet d’une conservation, notamment au titre de la menace grave ainsi que les modalités de compensation des surcoûts induits par cette conservation pour les opérateurs.
4. ANALYSE DES IMPACTS DES DISPOSITIONS ENVISAGEES
4.1. IMPACTS JURIDIQUES
L’article L. 34-1 du code des postes et communications électronique et l’article 6 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique sont modifiés.
4.2. IMPACTS SUR LES ENTREPRISES
Les coûts induits pour les opérateurs par ces règles de conservation des données de connexion seront compensés financièrement par l’État, dans des conditions similaires à celles actuellement prévues par le cadre réglementaire.
5. CONSULTATIONS ET MODALITES D’APPLICATION
5.1. CONSULTATIONS MENEES
Cette disposition a été présentée, à la Commission nationale informatique et liberté, à la Commission nationale de contrôle des techniques de renseignement et à l’Autorité de régulation des communications électroniques et de la distribution de la presse qui ont émis leur avis le 30 avril 2021.
5.2. MODALITES D’APPLICATION
5.2.1. Application de la loi dans le temps
Ces mesures s’appliqueront dès la publication de la loi.
5.2.2. Application de la loi dans l’espace
Cette mesure s’applique sur l’ensemble du territoire
5.2.3. Textes d’application
Les nouvelles dispositions appellent l’adoption d’un décret en Conseil d’Etat qui déterminera, selon l'activité des opérateurs et la nature des communications, les informations et catégories de données conservées en application des II bis et III de l’article L. 34-1 du CPCE, ainsi que les modalités de compensation des surcoûts identifiables et spécifiques des prestations assurées à ce titre, à la demande de l'État, par les opérateurs.
Article 16 : Procédure de contrôle préalable à la mise en œuvre des techniques de renseignement sur le territoire national
1. ÉTAT DES LIEUX
1.1. CADRE GENERAL
L’article L. 821-1 du code de la sécurité intérieure prévoit que la mise en œuvre sur le territoire national d’une technique de recueil de renseignement est soumise à autorisation préalable du Premier ministre, délivrée après avis d’une autorité administrative indépendante, la Commission nationale de contrôle des techniques de renseignement (CNCTR).
La demande écrite et motivée de mise en œuvre d’une technique de renseignement est présentée par le ministre dont relève le service de renseignement qui la sollicite, cette attribution ne pouvant être déléguée qu’à des collaborateurs directs habilités au secret de la défense nationale.
Elle est transmise au président de la commission (ou, à défaut, à l’un de ses membres désigné parmi ceux qui sont issus du Conseil d’Etat ou de la Cour de cassation), qui rend son avis au Premier ministre dans un délai de vingt-quatre heures.
Dans trois cas particuliers, la demande est examinée en formation restreinte (composée du président et des membres issus du Conseil d’Etat et de la Cour de cassation) ou plénière de la commission :
- lorsqu’elle soulève une question nouvelle ou sérieuse, ou si la validité de la demande n’est pas certaine (article L. 832-3) ;
- lorsqu’elle porte sur l’introduction dans un lieu privé (article L. 853-3) à usage d’habitation ou en vue de la mise en œuvre de la technique prévue au 1° du I de l’article L. 853-2 (recueil de données stockées dans un système informatique) ;
- lorsqu’elle concerne une personne exerçant une profession ou un mandat bénéficiant d’une protection particulière (parlementaire, magistrat, avocat, journaliste), ses véhicules, ses bureaux ou ses domiciles (article L. 821-7) ; dans ce cas, seule la formation plénière est compétente.
Dans ces cas de figure, l’avis de la commission est rendu dans un délai de 72 heures. La formation restreinte et la formation plénière ne peuvent valablement délibérer que si, respectivement, au moins trois et quatre membres sont présents.
Dans l’hypothèse où l’avis ne serait pas transmis au Premier ministre dans les délais prévus par la loi, l’avis est alors réputé rendu.
Une fois l’autorisation délivrée par le Premier ministre, la technique de renseignement concernée peut être immédiatement mise en œuvre par le service à l’origine de la demande.
Dans le cas où l’autorisation aurait été délivrée en dépit d’un avis défavorable de la CNCTR, elle indique les motifs pour lesquels cet avis n’a pas été suivi. La commission peut alors, en application de l’article L. 833-8 du code de la sécurité intérieure, saisir la formation spécialisée
du Conseil d’Etat32 mentionnée à l’article L. 773-2 du code de justice administrative afin que celle-ci en contrôle la légalité et, le cas échéant, en suspende l’exécution ou l’annule dans les conditions prévues par le code de justice administrative.
Il convient de souligner que si, en droit, l’avis de la CNCTR n’est pas contraignant, il est, en pratique, systématiquement suivi par le Premier ministre.
Ce cadre général est ainsi marqué par deux caractéristiques :
- le Premier ministre ne peut décider sans avoir recueilli l’avis d’une autorité administrative indépendante ;
- cet avis est non contraignant, de sorte que les décisions du Premier ministre bénéficient du privilège du préalable et sont immédiatement exécutoires.
Deux tempéraments sont néanmoins prévus par la loi :
Absence d’effet exécutoire de l’autorisation du Premier ministre en cas d’avis défavorable de la CNCTR à une demande d’introduction dans un lieu privé à usage d’habitation L’article L. 853-3 du code de la sécurité intérieure prévoit une règle spéciale pour le cas où l’avis rendu par la formation restreinte de la CNCTR serait défavorable à l’introduction dans un lieu privé à usage d’habitation. Dans une telle hypothèse (qui ne s’est jamais produite depuis l’entrée en vigueur de la loi), le Conseil d’État est immédiatement saisi par le président de la commission ou l’un des membres mentionnés aux 2° et 3° de l’article L. 831-1 et statue, dans un délai de vingt-quatre heures, sur ce recours.
Cette saisine est obligatoire, la commission étant tenue d’y procéder ; elle est également suspensive, l’autorisation du Premier ministre ne pouvant alors être exécutée avant que le Conseil d’État n’ait statué. Il ne peut en aller autrement que si l’autorisation a été délivrée au titre de la prévention du terrorisme et que le Premier ministre en a ordonné la mise en œuvre immédiate.
Dispense d’avis préalable de la CNCTR en cas d’urgence absolue Par dérogation à l’article L. 821-1 du code de la sécurité intérieure, l’article L. 821-5 prévoit que le Premier ministre peut, en cas d’urgence absolue, délivrer l’autorisation de mise en œuvre de la technique de renseignement sans avis préalable de la CNCTR. Cette procédure dérogatoire est, néanmoins, strictement encadrée et ne peut trouver à s’appliquer, aux termes de la loi, que « de manière exceptionnelle » :
32 Dont les membres sont habilités ès qualité au secret de la défense nationale et qui disposent des pouvoirs d’instruction les plus larges pour contrôler la régularité de la mise en œuvre des techniques de renseignement, sur saisine de la CNCTR ou de toute personne souhaitant vérifier qu’elle ne fait pas irrégulièrement l’objet d’une telle mise en œuvre.
- elle n’est ouverte que pour trois finalités (indépendance nationale, intégrité du territoire et défense nationale ; prévention du terrorisme ; prévention des atteintes à la forme républicaine des institutions) ;
- elle est exclue pour certaines techniques de renseignement (détection en temps réel, prévue à l’article L. 851-2 ; algorithme, prévu à l’article L. 851-3 ; introduction dans un lieu privé, prévue à l’article L. 853-3, lorsque ce lieu est à usage d’habitation ou qu’il s’agit de procéder au recueil de données informatiques33) ;
- elle est également exclue, quelle que soit la technique ou la finalité, lorsque la demande concerne une profession ou un mandat protégés par l’article L. 821-7.
S’il met en œuvre cette procédure, le Premier ministre doit faire parvenir à la commission, dans un délai maximal de vingt-quatre heures à compter de la demande d’autorisation, tous les éléments de motivation fournis à l’appui de celle-ci ainsi que ceux justifiant l’urgence absolue.
En pratique, le Premier ministre n'a eu recours qu'une seule fois à la procédure de l'article L.821-5. En dehors de ce cas, aucune autorisation n'a été délivrée sans avis préalable de la CNCTR.
Le dispositif interne d’astreinte suivant lequel la commission s'est organisée lui permet de rendre un avis à tout moment et dans des délais très restreints, sur sollicitation du groupement interministériel de contrôle, service du Premier ministre auquel parviennent les demandes.
L’arrêt de grande chambre de la Cour de justice de l’Union européenne en date du 6 octobre 2020 (La Quadrature du Net, C-511/18) comme la décision d’assemblée du Conseil d’Etat en date du 21 avril 2021, qui en tire les conséquences (Ass., French Data Network et autres, n° 393099) nécessitent de revoir ce cadre général ainsi que les tempéraments dont il est assorti.
Ces deux juridictions ont en effet jugé contraire au droit de l’Union européenne la possibilité de mettre en œuvre certaines techniques de renseignement sans contrôle préalable par une autorité administrative indépendante dotée d’un pouvoir d’avis conforme ou une juridiction, en dehors des cas d’urgence dûment justifiée.
1.2. CADRE CONSTITUTIONNEL
D’une part, la mise en œuvre des techniques de renseignement doit être entourée de garanties suffisantes définies par la loi.
Il appartient en effet au législateur de fixer les règles concernant les garanties fondamentales accordées aux citoyens pour l'exercice des libertés publiques. Il lui incombe en particulier d'assurer la conciliation entre, d'une part, la prévention des atteintes à l'ordre public et des infractions, nécessaire à la sauvegarde de droits et de principes de valeur constitutionnelle, et, d'autre part, l'exercice des droits et des libertés constitutionnellement garantis. Au nombre de ces derniers figurent le droit au respect de la vie privée, l'inviolabilité du domicile et le secret des correspondances, protégés par les articles 2 et 4 de la Déclaration des droits de l'homme et du citoyen de 1789. Ceci justifie en particulier l’organisation d’un contrôle par une autorité
33 Cf. considérants 72 et 73 de la décision n°2005-532 DC du Conseil constitutionnel.
indépendante sur la mise en œuvre des techniques de renseignement et nécessite l’aménagement de règles permettant de garantir le droit au recours effectif.
D’autre part, la Constitution confère au pouvoir exécutif des responsabilités particulières en matière de protection des intérêts fondamentaux de la Nation, ce qui justifie que la loi lui confie le pouvoir de décision en matière de renseignement.
En vertu de l'article 5 de la Constitution, le Président de la République est le garant de l'indépendance nationale et de l'intégrité du territoire. L’article 20 de la Constitution prévoit en outre que « le Gouvernement détermine et conduit la politique de la Nation » et « dispose de l'administration et de la force armée », tandis que l’article 21 prévoit que le Premier ministre « dirige l'action du Gouvernement » et « est responsable de la Défense nationale ». Ceci justifie que le pouvoir de décision soit confié au Premier ministre, s’agissant d’une matière relevant en outre de la police administrative et, partant, de la seule responsabilité du pouvoir exécutif (décision n°2005-532 DC, cons. 5), et qu’aucune technique de renseignement ne puisse être mise en œuvre sans son autorisation préalable34
.
Ainsi, dans le cadre du contrôle a priori de la loi relative au renseignement du 23 juillet 2015, le Conseil constitutionnel a rejeté le grief tiré de ce que les dispositions de l’article L. 821-1 du code de la sécurité intérieure, en permettant que l'autorisation puisse être délivrée en dépit d'un avis défavorable de la CNCTR, présenteraient des garanties insuffisantes au regard des droits et libertés constitutionnellement garantis. Il a motivé sa décision en rappelant les garanties applicables (demande motivée, avis préalable d’une autorité indépendante, mise en œuvre pour une durée maximale de quatre mois par des agents individuellement désignés et habilités) et relevé que « le législateur s'est fondé sur l'article 21 de la Constitution pour confier au Premier ministre le pouvoir d'autoriser la mise en œuvre des techniques de recueil de renseignement dans le cadre de la police administrative » (décision n° 2015-713 DC, cons. 16 à 22). Il a également déclaré conformes à la Constitution, compte tenu des garanties qu’elles prévoient, les dispositions de l’article L. 821-5 relatives à la procédure d’urgence absolue (même décision, cons. 23 à 26).
La jurisprudence constitutionnelle donne encore d’autres indications sur les conditions dans lesquelles doivent être articulés les prérogatives constitutionnelles de l’exécutif et les pouvoirs de contrôle dont sont dotées les autorités administratives indépendantes. Ainsi, s’agissant de l’exercice du pouvoir réglementaire, confié au Premier ministre par l’article 21 de la Constitution, le Conseil constitutionnel pose en principe qu’il ne peut être subordonné à l’avis
34 A cet égard, il convient de rappeler que le Conseil constitutionnel a censuré l’article L. 821-6 du code de la sécurité intérieure, qui permettait la mise en œuvre sans avis préalable de la CNCTR ni autorisation du Premier ministre de certaines techniques de renseignement « en cas d'urgence liée à une menace imminente ou à un risque très élevé de ne pouvoir effectuer l'opération ultérieurement ». Relevant notamment que cette procédure ne prévoyait pas non plus l’information du Premier ministre et du ministre concerné préalablement à la mise en œuvre d'une technique dans ce cadre, il a jugé que ces dispositions portaient une atteinte manifestement disproportionnée au droit au respect de la vie privée et au secret des correspondances (décision n° 2015-713 DC, cons. 27 à 29).
conforme d’une autorité de l’Etat autre que le Premier ministre (voir décisions n° 2006-544 DC, cons. 35 à 38 ; n° 2015-715 DC, cons. 45 ; n° 2020-800 DC).
Le Conseil constitutionnel a toutefois déclaré conformes à la Constitution les dispositions du III de l’article L. 853-3 du code de la sécurité intérieure faisant obstacle, jusqu’à l’intervention de la décision du Conseil d’Etat, à l’exécution immédiate d’une décision du Premier ministre autorisant l’intrusion dans un lieu privé à usage d’habitation en cas d’avis défavorable de la CNCTR sur la demande de mise en œuvre de cette technique (décision n° 2015-713, cons. 73), en considérant que le législateur avait ainsi « entouré la mise en œuvre des techniques prévues aux articles L. 853-1 à L. 853-3, lorsqu'elles imposent l'introduction dans un lieu privé à usage d'habitation, de dispositions de nature à garantir que les restrictions apportées au droit au respect de la vie privée et à l'inviolabilité du domicile ne revêtent pas un caractère manifestement disproportionné ».
1.3. CADRE EUROPEEN
Par son arrêt du 21 décembre 2016 Tele2 Sverige AB c/ Post-och telestyrelsen et Secretary of State for the Home Department c/ Tom Watson et autres (C-203/15 et C 698/15), la Cour de justice de l'Union européenne a dit pour droit que l'article 15 de la directive du 12 juillet 2002 devait « être interprété en ce sens qu'il s'oppose à une réglementation nationale régissant la protection et la sécurité des données relatives au trafic et des données de localisation, en particulier l'accès des autorités nationales compétentes aux données conservées (…) sans soumettre ledit accès à un contrôle préalable par une juridiction ou une autorité administrative indépendante ». Le point 120 de cet arrêt précise qu’ « aux fins de garantir, en pratique, le plein respect de ces conditions, il est essentiel que l'accès des autorités nationales compétentes aux données conservées soit, en principe, sauf cas d'urgence dûment justifiés, subordonné à un contrôle préalable effectué soit par une juridiction soit par une entité administrative indépendante, et que la décision de cette juridiction ou de cette entité intervienne à la suite d'une demande motivée de ces autorités présentée, notamment, dans le cadre de procédures de prévention, de détection ou de poursuites pénales ».
Saisi par le Conseil d’Etat d’une question préjudicielle relative à la conformité au droit de l’Union européenne des dispositions des articles L. 851-2 à L. 851-4 du code de la sécurité intérieure, la Cour de justice a rappelé cette règle dans son arrêt du 6 octobre 2020 susmentionné à propos du recueil en temps réel des données de connexion par les services de renseignement, tout en réservant le cas de l’urgence dûment justifiée. Elle a ainsi considéré qu’ « une décision autorisant le recueil en temps réel des données relatives au trafic et des données de localisation doit être fondée sur des critères objectifs et non discriminatoires prévus dans la législation nationale. Aux fins de garantir, en pratique, le respect de ces conditions, il est essentiel que la mise en œuvre de la mesure autorisant le recueil en temps réel soit soumise à un contrôle préalable effectué soit par une juridiction, soit par une entité administrative indépendante, dont la décision est dotée d’un effet contraignant, cette juridiction ou cette entité devant notamment s’assurer qu’un tel recueil en temps réel n’est autorisé que dans la limite de ce qui est strictement nécessaire (voir, en ce sens, arrêt du 21 décembre 2016, Tele2, C-203/15 et
C-698/15, EU:C:2016:970, point 120). En cas d’urgence dûment justifiée, le contrôle doit intervenir dans de brefs délais. »
Tirant les conséquences de cette jurisprudence européenne, le Conseil d’Etat a jugé, par sa décision susmentionnée en date du 21 avril 2021, que « l'accès des services de renseignement aux données de trafic et de localisation conservées par les opérateurs de communications électroniques sur le fondement des articles L. 34-1 du code des postes et des communications électroniques et 6 de la loi du 21 juin 2004, pour les finalités mentionnées à l'article L. 811-3 du code de la sécurité intérieure, qui toutes relèvent de la sauvegarde de la sécurité nationale, est possible sans méconnaître les dispositions de l'article 15, paragraphe 1, de la directive du 12 juillet 2002 et de l'article 23 du RGPD, à condition que cet accès soit soumis, sauf en cas d'urgence dûment justifiée, à un contrôle préalable par une juridiction ou une autorité administrative indépendante dotée d'un pouvoir contraignant et s'opère sur le fondement de critères objectifs et non discriminatoires » (§ 69).
Il a jugé de même s’agissant des techniques mises en œuvre en application du IV de l’article L. 851-3 (identification au moyen d’un algorithme des personnes dont les données de connexion sont susceptibles de révéler une menace terroriste et recueil des données de connexion correspondantes), de l’article L. 851-2 (détection en temps réel) et de l’article L. 851-4 (géolocalisation en temps réel).
Par conséquent, le Conseil d’Etat a annulé les décrets pris pour l’application des articles L. 851-1, L. 851-2, L. 851-4 et du IV de l’article L. 851-3 en tant seulement qu’ils permettent la mise en œuvre de ces dispositions « sans contrôle préalable par une autorité administrative indépendante dotée d’un pouvoir d’avis conforme ou une juridiction, en dehors des cas d’urgence dûment justifiée ».
2. NECESSITE DE LEGIFERER ET OBJECTIFS POURSUIVIS
Il est nécessaire, pour tirer les conséquences de la jurisprudence de la Cour de justice de l’Union européenne et du Conseil d’Etat, de modifier les dispositions législatives relatives au renseignement afin de les mettre en conformité avec le droit de l’Union européenne pour :
- d’une part, renforcer le contrôle préalable à la mise en œuvre des techniques de renseignement concernées, en prévoyant qu’il est assuré par une autorité administrative indépendante dont les décisions sont dotées d’un effet contraignant ou par une juridiction ;
- d’autre part, adapter les conditions dans lesquelles il peut être dérogé à ce contrôle préalable en cas d’urgence dûment justifiée.
3. OPTIONS POSSIBLES ET DISPOSITIF RETENU
3.1. OPTIONS ENVISAGEES
Plusieurs options sont envisageables s’agissant :
- du champ d’application de la procédure de contrôle préalable renforcé ;
- des modalités du contrôle préalable ;
- des modalités de la procédure d’urgence dûment justifiée.
En ce qui concerne le champ d’application de la procédure de contrôle préalable renforcé La décision du Conseil d’Etat ne concerne directement que les techniques de renseignement prévues aux articles L. 851-1, L. 851-2, L. 851-4 et par le IV de l’article L. 851-3.
La compatibilité des dispositions relatives aux autres techniques de renseignement mises en œuvre sur le territoire national avec le droit de l’Union européenne (à supposer qu’il s’applique à elles) n’a été examinée ni par la Cour de justice de l’Union européenne ni par le Conseil d’Etat, de sorte qu’il pourrait théoriquement être envisagé de ne pas leur appliquer la procédure renforcée.
A l’inverse, leur caractère au moins aussi intrusif et attentatoire au droit au respect de la vie privée que celles qui ont été examinées par les deux juridictions, ainsi que la cohérence et la lisibilité du dispositif, peuvent inciter à leur appliquer les mêmes garanties.
En revanche, la décision du Conseil d’Etat a clairement jugé que le droit de l’Union européenne ne s’applique pas aux techniques mises en œuvre en application du chapitre IV du titre V du livre VIII du code de la sécurité intérieure, relatif à la surveillance des communications électroniques internationales (§ 95), de sorte que les dispositions législatives en la matière n’ont pas à être modifiées.
En ce qui concerne les modalités du contrôle préalable
S’agissant de l’autorité compétente pour exercer ce contrôle préalable contraignant, la jurisprudence de la CJUE et du Conseil d’Etat ouvre une alternative.
Il peut s’agir :
- soit d’une autorité administrative indépendante (en l’espèce, la CNCTR) dotée d’un avis conforme,
- soit d’une juridiction (en l’espèce, la formation spécialisée du Conseil d’Etat).
Il est possible, en conséquence, de choisir de généraliser le dispositif prévu au III de l’article L. 853-3 du code de la sécurité intérieure en ce qui concerne l’introduction dans un lieu privé à usage d’habitation. Il prévoit que le juge est obligatoirement et immédiatement saisi par la CNCTR d’un recours suspensif en cas d’autorisation délivrée par le Premier ministre en dépit d’un avis défavorable de la commission. Ainsi, c’est le juge qui trancherait, sous vingt-quatre heures, le désaccord entre le Premier ministre et la CNCTR.
En toute hypothèse, l’avis conforme de l’autorité indépendante ou l’autorisation du juge doivent intervenir aussi rapidement que possible, afin de garantir la préservation des intérêts fondamentaux de la Nation auxquels concourt la mise en œuvre des techniques de renseignement.
En ce qui concerne le champ d’application et les modalités de la procédure d’urgence dûment justifiée.
Deux options paraissent envisageables.
Une première option peut consister à maintenir ou, en contrepartie de l’introduction d’une procédure d’avis conforme par la CNCTR ou d’autorisation préalable par le juge, à élargir les cas dans lesquels la procédure d’urgence absolue prévue à l’article L. 821-5 du code de la sécurité intérieure, permet de se dispenser à titre exceptionnel de l’avis préalable de la CNCTR.
Un tel élargissement ne serait pas contraire au droit de l’Union européenne : la Cour de justice de l’Union européenne, au § 189 de l’arrêt du 6 octobre 2020, a précisément autorisé que, dans les cas d’urgence dûment justifiée, le contrôle de l’autorité indépendante ou de la juridiction intervienne, non pas à titre préalable, mais dans de brefs délais et a fait ce constat à l’issue de son examen des dispositions de l’article L. 851-2 du code de la sécurité intérieure, pour lesquelles la procédure prévue par l’article L. 821-5 n’est pourtant pas applicable. Toutefois, cet élargissement ne serait pas sans risque constitutionnel, dès lors que la limitation de cette procédure à certaines finalités et son exclusion pour certaines techniques ont été relevées par le Conseil constitutionnel comme des garanties permettant de déclarer cet article conforme à la Constitution.
Une seconde option consiste :
- d’une part, à prévoir la suppression de la procédure d’urgence absolue de l’article L. 821-5,
- d’autre part, à assortir la procédure d’avis conforme de la CNCTR (ou de saisine automatique du juge en cas d’autorisation délivrée en dépit d’un avis défavorable de la CNCTR) d’une clause permettant au Premier ministre d’ordonner néanmoins la mise en œuvre immédiate de l’autorisation sans attendre la décision du juge, en cas d’urgence dûment justifiée auprès de lui par le service de renseignement à l’origine de la demande.
Une telle clause, de nature à préserver les prérogatives constitutionnelles du Premier ministre, serait disponible pour les différentes finalités de l’article L. 811-3 et pour tout ou partie des techniques de renseignement. Elle serait la transposition de celle qui est prévue au III de l’article L. 853-3, pour l’introduction dans un lieu privé à usage d’habitation, pour les seules autorisations délivrées au titre de la finalité de prévention du terrorisme.
3.2. DISPOSITIF RETENU
Le projet de loi prévoit :
- que la procédure de contrôle préalable renforcé s’applique à l’ensemble des techniques de renseignement mises en œuvre sur le territoire national, et non pas seulement à celles d’entre elles qui sont directement visées par la décision du Conseil d’Etat en date du 21 avril 2021 ;
- la suppression de la procédure d’urgence absolue prévue à l’article L. 821-5 du code de la sécurité intérieure, excluant ainsi toute possibilité de mettre en œuvre une technique de renseignement sans que l’avis de la CNCTR ait été préalablement sollicité ;
- que l’autorisation délivrée par le Premier ministre en dépit d’un avis défavorable de la CNCTR ne puisse être exécutée avant que le Conseil d’Etat, obligatoirement saisi par la commission, n’ait statué, dans un délai de vingt-quatre heures ;
- la faculté, pour le Premier ministre, d’ordonner néanmoins, en cas d’urgence dûment justifiée, la mise en œuvre immédiate de la technique qu’il a autorisée en dépit d’un tel avis défavorable, sans attendre que le Conseil d’État se soit prononcé, cette faculté étant :
o limitée à trois finalités (indépendance nationale, intégrité du territoire, défense nationale ; prévention du terrorisme ; prévention des atteintes à la forme républicaine des institutions) pour les techniques, plus intrusives, prévues aux articles L. 853-1 à L. 853-3 (captation de paroles ou d’images, recueil ou captation de données informatiques ; introduction dans les lieux privés) voire à une seule (prévention du terrorisme) pour l’introduction dans un lieu privé à usage d’habitation ;
o exclue pour l’application des I et II de l’article L. 851-3 (mise en œuvre de la technique de l’algorithme), qui ne s’inscrit pas dans un contexte de menace imminente mais suppose une élaboration fine des paramètres de l’algorithme en lien étroit avec la CNCTR ;
o exclue concernant l'une des personnes mentionnées au premier alinéa de l’article L. 821-7, autrement dit un parlementaire, un magistrat, un avocat ou un journaliste, ou ses véhicules, ses bureaux ou ses domiciles.
En tout état de cause et comme le permet d’ores et déjà la loi en vigueur, dans l’hypothèse où le Conseil d’État, saisi par la CNCTR, jugerait que la technique de renseignement a été mise en œuvre illégalement, il pourra, en application de l’article L.773-7 du code de justice administrative, annuler l’autorisation délivrée par le Premier ministre et ordonner la destruction des renseignements irrégulièrement collectés.
4. ANALYSE DES IMPACTS DES DISPOSITIONS ENVISAGEES
4.1. IMPACTS JURIDIQUES
Les modifications proposées assurent la conformité des dispositions relatives au renseignement aux exigences résultant du droit de l’Union européenne telles qu’elles ont été précisées par la Cour de justice de l’Union européenne puis le Conseil d’Etat.
Elles préservent en outre une capacité d’action immédiate au bénéfice du Premier ministre et des services de renseignement en cas d’avis défavorable de la CNCTR à la mise en œuvre d’une technique de renseignement, lorsque l’urgence le justifie.
4.2. IMPACTS SUR LES ADMINISTRATIONS
La suppression de la procédure d’urgence absolue, d’application particulièrement rare, ne devrait pas avoir d’impact majeur sur le fonctionnement des administrations concernées.
Le cabinet du Premier ministre, le GIC et la CNCTR sont en effet organisés suivant un dispositif de permanence et d’astreinte leur permettant un traitement en temps réel des demandes qui leur sont adressées par les services de renseignement.
Dans l’hypothèse où une telle procédure ne pourrait être mise en œuvre au regard de son extrême urgence, le Premier ministre conserverait en tout état de cause la possibilité de faire application de la théorie des circonstances exceptionnelles pour faire face à une situation de crise telle que les délais de ces procédures ne puissent être respectés (CE, 28 juin 1918, Heyriès, req. n° 63412).
5. CONSULTATIONS ET MODALITES D’APPLICATION
5.1. CONSULTATIONS
Le projet de loi a été présenté à la Commission nationale de contrôle des techniques de renseignement en application de l’article L. 833-11 du code de la sécurité intérieure. La Commission a rendu son avis le 30 avril 2021.
5.2. MODALITES D’APPLICATION
5.2.1. Application dans le temps
Ainsi que l’indique le Conseil d’Etat dans sa décision du 21 avril dernier (§ 98), « l’annulation des décrets attaqués, compte tenu de sa portée, implique seulement, dans l’attente de l’intervention des textes nécessaires à la mise en conformité des dispositions du droit national avec le droit de l’Union européenne, qu’en cas d’avis défavorable de la Commission nationale de contrôle des techniques de renseignement, le Premier ministre ne pourra légalement
autoriser la mise en œuvre des techniques de renseignement mentionnées aux articles L. 851-1, L. 851-2, L. 851-4 et au IV de l’article L. 851-3 avant l’intervention de la décision du Conseil d’Etat, qu’il appartiendra alors à la commission de saisir en application de l’article L. 833-8 du même code ». L’application des nouvelles dispositions proposées à compter de l’entrée en vigueur de la loi prendra le relai du dispositif transitoire ainsi défini par le Conseil d’Etat.
5.2.2. Application dans l’espace
Le présent article s’applique sur l’ensemble du territoire national.
Article 17 : Echanges d’informations entre les services judiciaires et les services de renseignement dans le cadre de la lutte contre la cybercriminalité et la criminalité organisée et entre les services judiciaires et l’ANSSI dans le cadre de la lutte contre la cybercriminalité
1. ÉTAT DES LIEUX
1.1. CADRE GENERAL
L’article 11 du code de procédure pénale prévoit que, sauf dans le cas où la loi en dispose autrement et sans préjudice des droits de la défense, la procédure au cours de l’enquête et de l’instruction est secrète. Cet article ajoute que toute personne qui concourt à la procédure est tenue au secret professionnel dans les conditions et sous les peines prévues aux articles 226-13 et 226-14 du code pénal.
Plusieurs dispositions législatives dérogent à la règle du secret de l’enquête pour permettre au procureur de la République ou au juge d’instruction de communiquer des informations issues de procédures judiciaires, dans des cas précis encadrés par la loi.
Ainsi, le dernier alinéa de l’article 11 susmentionné prévoit que le procureur de la République peut, d’office et à la demande de la juridiction d'instruction ou des parties, rendre publics des éléments objectifs tirés de la procédure ne comportant aucune appréciation sur le bien-fondé des charges retenues contre les personnes mises en cause, afin d'éviter la propagation d'informations parcellaires ou inexactes ou pour mettre fin à un trouble à l'ordre public.
Par ailleurs, sur autorisation du procureur de la République ou du juge d'instruction selon les cas, peuvent être communiqués à des autorités ou organismes habilités à cette fin par arrêté du ministre de la justice, des éléments des procédures judiciaires en cours afin de permettre la réalisation de recherches ou d’enquêtes scientifiques ou techniques, destinées notamment à prévenir la commission d'accidents, ou de faciliter l'indemnisation des victimes ou la prise en charge de la réparation de leur préjudice35
.
En outre, le ministère public peut informer par écrit l'administration, les personnes publiques, les personnes morales de droit privé chargées d’une mission de service public ou les ordres professionnels des décisions de condamnation, de poursuites devant un tribunal ou de mise en examen rendues contre une personne qu’elles emploient lorsqu’elles concernent un crime ou un délit puni d'une peine d'emprisonnement. Le ministère public ne peut procéder à cette information que lorsqu’il estime cette transmission nécessaire, en raison de la nature des faits
35 Article 11-1 du code de procédure pénale
ou des circonstances de leur commission, pour mettre fin ou prévenir un trouble à l'ordre public ou pour assurer la sécurité des personnes ou des biens36
.
Enfin, et sans prétendre à l’exhaustivité, l’article 706-25-2 du code de procédure pénale, récemment modifié par la loi n° 2020-1672 du 24 décembre 2020 relative au Parquet européen, à la justice environnementale et à la justice pénale spécialisée, prévoit que le procureur de la République antiterroriste, pour les procédures d’enquête ou d’instruction ouvertes sur le fondement d’une ou de plusieurs infractions terroristes, peut communiquer aux services spécialisés de renseignement des éléments de toute nature figurant dans ces procédures et nécessaires à l'exercice des missions de ces services en matière de prévention du terrorisme.
Le deuxième alinéa de l’article 706-25-2 dispose que cette communication peut également être réalisée, selon les mêmes modalités et pour les mêmes finalités, à destination des autorités et services compétents pour la prévention du terrorisme par tout procureur de la République pour des procédures ouvertes pour un crime ou un délit puni d'une peine d'emprisonnement, lorsque ces procédures font apparaître des éléments concernant une personne dont le comportement constitue une menace d'une particulière gravité pour la sécurité et l'ordre publics et qui soit entre en relation de manière habituelle avec des personnes ou des organisations incitant, facilitant ou participant à des actes de terrorisme, soit soutient, diffuse, lorsque cette diffusion s'accompagne d'une manifestation d'adhésion à l'idéologie exprimée, ou adhère à des thèses incitant à la commission d'actes de terrorisme ou faisant l'apologie de tels actes.
1.2. CADRE CONSTITUTIONNEL
À l’occasion d’une question prioritaire de constitutionnalité, le Conseil constitutionnel a admis que le secret de l’enquête et de l’instruction avait deux finalités : « d’une part, garantir le bon déroulement de l’enquête et de l’instruction, poursuivant ainsi les objectifs de valeur constitutionnelle de prévention des atteintes à l’ordre public et de recherche des auteurs d’infractions, tous deux nécessaires à la sauvegarde de droits et de principes de valeur constitutionnelle […], d’autre part, protéger les personnes concernées par une enquête ou une instruction, afin de garantir le droit au respect de la vie privée et de la présomption d’innocence, qui résulte des articles 2 et 9 de la Déclaration de 1789 » 37 .
La transmission d’informations, lorsque celles-ci ont la nature de données à caractère personnel, doit donc notamment être appréciée au regard du droit au respect de la vie privée et de la présomption d’innocence.
Par ailleurs, le Conseil constitutionnel estime que, si « aucune norme constitutionnelle ne s'oppose par principe à l'utilisation à des fins administratives de données nominatives recueillies dans le cadre d'activités de police judiciaire ; que, toutefois, cette utilisation
36 Article 11-2 du code de procédure pénale
37 Décision n° 2017-693 QPC du 2 mars 2018, Association de la presse judiciaire [Présence des journalistes au cours d'une perquisition], paragr. 8.
méconnaîtrait les exigences résultant des articles 2, 4, 9 et 16 de la Déclaration de 1789 si, par son caractère excessif, elle portait atteinte aux droits ou aux intérêts légitimes des personnes concernées »
38
La transmission d’informations nominatives à caractère pénal par l’autorité judiciaire doit être justifiée par des impératifs protégeant d’autres droits ou intérêts de même valeur avec lesquels les droits ou intérêts légitimes des personnes concernées doivent se concilier.
2. NECESSITE DE LEGIFERER ET OBJECTIFS POURSUIVIS
Les procédures judiciaires peuvent comporter des informations qui, au-delà de leur valeur probatoire au regard d’une infraction commise et poursuivie, révèlent l’existence d’une menace distincte sans que celle-ci se matérialise par la commission d’infractions et peuvent, dès lors, se révéler intéressantes pour les services de renseignement.
Ainsi, une personne condamnée pour infraction à caractère terroriste dans le cadre d’une procédure judiciaire peut également être suivi par un service de renseignement afin de s’assurer de la nature de la menace qu’il représente, à raison de ses contacts, de ses activités, de son endoctrinement ou tout autre critère de nature à entraîner la nécessité d’un suivi administratif.
Au-delà du terrorisme, il apparaît tout aussi nécessaire de favoriser des transmissions d’informations ciblées par l’autorité judiciaire vers les services de renseignement en matière de criminalité organisée ainsi que vers les différents services compétents en matière de lutte contre la cybercriminalité.
Ces deux champs du droit pénal sont définis de manière précise et limitée par le code pénal et le code de procédure pénale, à la fois par un critère matériel (champ des infractions concernées) et par un critère organique, celui de la juridiction compétente.
Ainsi, les articles 706-73 à 706-74 figurant au sein du titre XXV au sein du livre IV du code de procédure pénale intitulé : « De la procédure applicable à la criminalité et à la délinquance organisées », recensent les infractions pour lesquelles s’applique cette procédure. S’agissant de la cybercriminalité, il s’agit des infractions pénales commises sur un système de traitement automatisé d'informations mentionnées à l’article 706-72 du code de procédure pénale.
Le tribunal judiciaire de Paris dispose d’une compétence nationale concurrente, en application du dernier alinéa de l’article 706-75 du code de procédure pénale, pour lutter contre la criminalité organisée de très grande complexité et, en application de l’article 706-72-1 du même code pour lutter contre la cybercriminalité.
Les spécificités de ces deux contentieux, qui les distinguent fondamentalement de la criminalité de droit commun, sont multiples et justifient la mise en place d’un dispositif permettant des transmissions plus nourries par l’autorité judiciaire vers les services de renseignement. En
38 Décision n° 2003-467 DC du 13 mars 2003, Loi pour la sécurité intérieure, cons. 32.
l’absence de cadre légal, une telle démarche est en effet très contrainte, et ce dans un contexte où la prévention et la lutte contre la cybercriminalité et la très grande criminalité organisée ont changé de dimension.
En premier lieu, la prévention et la lutte contre ces deux phénomènes est caractérisée par sa complexité et son caractère international.
Il apparaît en pratique que le parquet de Paris se saisit, au titre de sa compétence nationale, de faits mettant en cause des individus et des organisations criminelles agissant le plus souvent au-delà du territoire national, implantés ou bénéficiant de relais à l’étranger et, pour certains faits, pouvant être commis par certains États (notamment en matière de cybercriminalité) ou avec leur complicité ou une facilitation de leur part (trafic d’êtres humains ou trafics de stupéfiants).
Malgré des mécanismes de coopération judiciaire dont l’efficacité a progressé au cours des années, l’autorité judiciaire nationale est néanmoins parfois limitée dans sa capacité à mener des enquêtes dans les pays d’origine des criminels, surtout lorsque ces derniers choisissent de mener leurs activités depuis des territoires peu coopératifs. Ces particularités sont autant d’obstacles à la conduite de procédures judiciaires efficaces contre une forme de très grande délinquance organisée dont la gravité peut apparaître sans rapport avec sa répression pénale.
Face à de tels phénomènes criminels, la mobilisation collective des services compétents et la complémentarité de leur action sont cruciales. Elles exigent de donner sa pleine effectivité au continuum justice-renseignement-cyber
En second lieu, l’ampleur et la sophistication des phénomènes criminels concernés par la présente disposition ont conduit les enquêteurs à adopter des méthodes et techniques d’enquête innovantes. Les données, notamment numériques ou techniques, issues des procédures judiciaires constituent une source de renseignement majeure pour les services qui, contrairement à leurs principaux partenaires étrangers, ne se les voient pas transmettre et ne sont ainsi pas en situation de compléter la connaissance qu’ils ont de réseaux et des acteurs s’agissant de la criminalité organisée la plus complexe comme de la menace des cyber-attaquants et de leurs modes opératoires. Ce décalage entre les cadres juridiques de différents pays entraîne un décrochage des capacités françaises à lutter contre la cybercriminalité et la très grande criminalité organisée.
Le Gouvernement, conscient de ces évolutions et de l’impact de ces formes de criminalité sur le territoire national, a d’ailleurs confié aux services de renseignement la mission d’analyser et de prévenir ces menaces. Il est, par conséquent, important qu’ils puissent disposer de l’ensemble des moyens et des informations leur permettant d’accomplir leurs missions aux fins de sauvegarde des intérêts fondamentaux de la Nation.
Pour ces raisons, les informations collectées dans le cadre des procédures judiciaires doivent pouvoir être communiquées aux services de renseignement qui ont notamment pour mission, aux termes de l’article L. 811-3 du code de la sécurité intérieure, la prévention de toute forme d’ingérence étrangère et la défense des intérêts économiques, industriels et scientifiques
majeurs de la France et la prévention de la criminalité et de la délinquance organisées ainsi qu’aux services de l’Etat compétents en matière de cyberdéfense pour le strict champ de la lutte contre les menaces cyber.
Par conséquent, le mécanisme existant à l’article 706-25-2 du code de procédure pénale en matière terroriste doit être transposé et adapté au domaine de la criminalité organisée et de la cybercriminalité, afin de permettre une coordination efficace entre le parquet de Paris et les services spécialisés de renseignement afin de lutter de concert contre la cybercriminalité et les formes les plus graves de criminalité organisée.
De même, il apparaît nécessaire de développer les échanges entre les services judiciaires et les services qui interviennent en matière de sécurité et de défense des systèmes d’information dans le cadre de la lutte contre la cybercriminalité, afin notamment de permettre une transmission plus rapide des éléments pour prévenir et caractériser les attaques informatiques et neutraliser leurs effets : il s’agit, chacun agissant dans le cadre de ses missions, des services de renseignement, de l’Agence nationale de sécurité des systèmes d’information (ANSSI), service à compétence nationale rattaché au secrétaire général de la défense et de la sécurité nationale, et du chef d’état-major des armées via l’état-major de la cyberdéfense, pour les système d’information du ministère de la défense.
En effet, l’explosion du volume de cyberattaques auquel la France fait face, ainsi que leur sophistication croissante, rendent indispensable une coopération accrue entre l’autorité judiciaire et les services de l’Etat compétents en la matière. Appelée de ses vœux par la revue stratégique de cyberdéfense, cette coopération accrue nécessite un partage d’informations plus dense et plus rapide pour garantir l’efficacité opérationnelle des services d’enquête ainsi que des services de l’Etat compétents en matière de cyberdéfense.
Des obstacles à l’exploitation judiciaire des nombreuses données de nature technique sont observés, malgré leur extrême richesse pour les services de renseignement et pour l’ANSSI.
L’exploitation de ces données peut être extrêmement éclairante sur les modes opératoires utilisés par les attaquants. Grâce à leur exploitation, les services compétents de l’Etat sont en mesure de protéger plus efficacement les systèmes d’informations des entités critiques de la Nation en détectant au plus tôt les tentatives d’attaques et en identifiant des victimes potentielles. L’échange d’informations entre les services judiciaires et les services de l’Etat concourant directement à la mission de cyberdéfense se révèle d’autant plus crucial pour lutter contre les menaces cyber que la matière est marquée par la fragmentation et l’obsolescence rapide des éléments d’intérêt. Trop souvent, les acteurs étatiques engagés dans cette lutte disposent d’une vision parcellaire des menaces traitées et des modes opératoires adverses, ce qui nuit à leur efficacité respective et commune. Renforcer le partage d’informations entre ces entités permettra d’obtenir des gains opérationnels significatifs dans le traitement des cyberattaques sur l’ensemble du spectre d’activités de ces services. Plus encore que sur d’autres terrains infractionnels, l’espace cyber exige une très forte réactivité aux menaces identifiées et rend dès lors indispensable la transmission rapide des informations disponibles. C’est en acquérant très rapidement la meilleure compréhension technique d’un phénomène cyber menaçant que les services compétents de l’Etat peuvent prévenir, détecter et traiter ses
conséquences et limiter les dommages notamment en condamnant les accès aux systèmes d’information compromis.
3. OPTIONS POSSIBLES ET DISPOSITIF RETENU
3.1. OPTIONS ENVISAGEES
Il aurait pu être envisagé de ne prévoir aucune disposition législative particulière, ou de prévoir ces dispositions de façon très large, pour l’ensemble des infractions graves.
La première option, celle d’un statu quo, n’apparaît pas satisfaisante dès lors que des dispositions législatives encadrant ces échanges ont été introduites en matière de lutte contre le terrorisme. Une telle disposition apparaît donc désormais nécessaire pour permettre à l’autorité judiciaire de communiquer des informations aux services de renseignement dans d’autres domaines.
La seconde option, qui consiste à prévoir des dispositions particulièrement larges pour permettre à l’autorité judiciaire de communiquer des informations issues de procédures judiciaires aux services de renseignement, quelle que soit l’infraction poursuivie, et quel que soit le motif guidant une telle transmission, ne répond pas à l’exigence de proportionnalité de l’atteinte ainsi portée à la vie privée des personnes concernées.
3.2. DISPOSITIF RETENU
Il est proposé d’introduire un nouvel article 706-105-1 au sein du chapitre II du titre XXV du livre IV du code de procédure pénale. Cet article étend les modalités de communication existantes, prévues à l’article 706-25-2 du code de procédure pénale et limitées à la prévention du terrorisme, d’une part, à la cybercriminalité et, d’autre part, à la criminalité organisée.
Au sein des autorités judiciaires, il est prévu que ces échanges soient centralisés par le parquet et le juge d’instruction de Paris, dont les services sont spécialisés dans ces deux matières.
Afin d’assurer la nécessité et la proportionnalité de l’atteinte portée au secret de l’enquête et de l’instruction, le dispositif retenu traite, de manière distincte, le cas de la cybercriminalité et de la criminalité organisée, non seulement en termes de finalités mais également s’agissant de l’étendue des services pouvant être rendus destinataires des données judiciaires concernées.
Concernant la cybercriminalité (I du nouvel article 706-105-1), le procureur de la République de Paris peut, pour les procédures d'enquête ou d’instruction en matière de lutte contre la cybercriminalité, communiquer des données issues de ces procédures à quatre services de l’État exerçant des missions en matière de sécurité et de défense des systèmes d’informations, visés par l’article L. 2321-2 du code de la défense : deux services spécialisés de renseignement (la DGSE et la DGSI), l’ANSSI et le commandant de la cyberdéfense ou comcyber, qui relève du
chef d’état-major des armées. Ne peuvent être transmis, dans ce cadre, que les éléments nécessaires à l’exercice, par ces services, de leur mission en matière de sécurité et de défense des systèmes d’information : il s’agit de leur permettre de capitaliser de la connaissance et de mieux prévenir les cyberattaques, d’en identifier les auteurs ou les modes opératoires et de neutraliser autant que possible leurs effets qui peuvent être systémiques et porter atteinte à l’intégrité de biens civils et militaires essentiels comme à la sécurité des personnes.
Concernant la criminalité organisée (II du nouvel article 706-25-1), le procureur de la République de Paris peut transmettre des éléments issus de procédures d’enquête ou d’instruction en matière de lutte contre la criminalité organisée d’une part, aux services spécialisés de renseignement mentionnés à l’article L. 811-2 du code de la sécurité intérieure, d’autre part, aux services de renseignement mentionnés à l’article L. 811-4 qui exercent des missions en matière de prévention de la criminalité et de la délinquance organisées, dont la liste sera définie par décret en Conseil d’État. De même qu’en matière cyber, ne peuvent être transmis que les éléments nécessaires à l’exercice des missions de ces services au titre de la prévention de la criminalité et de la délinquance organisées : il s’agit de leur permettre de capitaliser de la connaissance sur des réseaux et des modes opératoires particulièrement complexes, aux fins de prévenir les atteintes aux intérêts fondamentaux de la Nation.
Dans les deux cas, si la procédure fait l’objet d’une information, cette communication ne peut intervenir qu’avec l’avis favorable du juge d’instruction. Le juge d’instruction peut également procéder à cette communication, et pour les mêmes finalités que celles précitées, pour les procédures d’information dont il est saisi après avoir recueilli l’avis du procureur de la République de Paris.
Contrairement au dispositif prévu par l’article 706-25-2 du code de procédure pénale concernant les procédures terroristes, les informations brutes communiquées ne peuvent être transmises par les services qui en ont été destinataires à d’autres services. Elles ne peuvent non plus faire l’objet d’un échange avec des services étrangers ou avec des organismes internationaux compétents dans le domaine du renseignement. Toute personne qui en est destinataire est tenue au secret professionnel (III du nouvel article 706-105-1), 4. ANALYSE DES IMPACTS DES DISPOSITIONS ENVISAGEES
4.1. IMPACTS JURIDIQUES
La section VIII du chapitre II du titre XXV du livre IV du code de procédure pénale sera complété par un nouvel article 706-105-1.
4.2. IMPACTS SUR LES SERVICES JUDICIAIRES
La mise en œuvre de cette disposition engendrera davantage de transmissions de l’autorité judiciaire vers les services de renseignement, l’ANSSI et le comcyber. Néanmoins, il ne s’agit
aucunement d’une obligation de transmission de la part de l’autorité judiciaire, mais seulement d’une possibilité. La charge pesant ainsi sur elle apparaît mesurée.
4.3. IMPACTS SUR LES PARTICULIERS
Les transmissions d’information par l’autorité judiciaire aux services de renseignement en matière de lutte contre la criminalité organisée et la cybercriminalité et à l’ANSSI et au commandement cyber pour cette dernière finalité, répondront à un cadre strict fixé par le législateur, garantissant une atteinte adaptée et proportionnée au droit au respect de la vie privée.
5. MODALITES D’APPLICATION
5.1. CONSULTATIONS MENEES
Cette disposition a été présentée à la Commission nationale informatique et liberté qui a rendu son avis le 15 avril 2021.
5.2. APPLICATION DANS LE TEMPS
Ces dispositions entreront en vigueur le lendemain de la publication de la loi.
5.3. APPLICATION DANS L’ESPACE
Les dispositions s’appliqueront à l’échelle nationale. Une modification de l’article 804 du code de procédure pénale est nécessaire pour étendre l’application de ces dispositions en Nouvelle-Calédonie, en Polynésie française et dans les îles Wallis et Futuna.
CHAPITRE III – DISPOSITIONS RELATIVES A LA LUTTE
CONTRE LES AERONEFS CIRCULANT SANS PERSONNE A
BORD PRESENTANT UNE MENACE
Article 18 : Lutte contre les aéronefs circulant sans personne à bord présentant une menace
1. ETAT DES LIEUX
1.1. CADRE GENERAL
Les aéronefs circulant sans personne à bord, couramment appelés « drones », sont de plus en plus nombreux (le nombre de drones de plus de 800 grammes, soumis à obligation de déclaration, est de 40 000) à circuler au-dessus du territoire. Ces « drones aériens » constituent des aéronefs dont le télépilote est la personne qui contrôle manuellement les évolutions ou, dans le cas d’un vol automatique, celle qui est en mesure à tout moment d’intervenir sur sa trajectoire ou, dans le cas d’un vol autonome, celle qui détermine directement la trajectoire ou les points de passage de cet aéronef.
Le faible coût des aéronefs circulant sans personne à bord, l’évolution de leurs technologies (autonomie, qualité des vidéos) et l’intérêt qu’ils suscitent dans la population entraînent un accroissement important de leur nombre39. Cette augmentation entraîne une utilisation de l’espace aérien susceptible de présenter des risques pour la sécurité des personnes, des biens ou de certains sites alors que cette utilisation est soumise au respect de certaines règles. Ainsi, le nombre des survols illicites constatés de zones interdites (dont des centrales nucléaires) est élevé et constant sur les 3 dernières années selon les données du ministère de l’intérieur (2017 :
384 ; 2018 : 370, 2019 : 335). Les données du ministère de la justice font également apparaître le phénomène des survols de prisons par drone (2018 : 48 ; 2019 : 54, 2020 : 53).
En outre, il s’agit de prendre en compte la menace terroriste. En effet, bien qu’à ce jour, l’usage de drones à des fins terroristes n’ait pas été identifié sur le territoire national, les utilisations des drones par Daesh ont démontré l’étendue des menaces qui peuvent un jour se déporter sur le territoire national. Conformément aux dispositions de l’article L. 6211-1 du code des transports, « Tout aéronef peut circuler librement au-dessus du territoire français (…). » Cette disposition est complétée par l’article L. 6211-4 du même code qui prévoit que « Le survol de certaines zones du territoire français peut être interdit pour des raisons d’ordre militaire ou de sécurité publique dans des conditions fixées par décret en Conseil d’Etat. L’emplacement et l’étendue
39 Sur le territoire national, le marché du drone (loisir et pro) était de 200 millions d’euros en 2017, estimé à 304 millions d’euros en 2020 et la projection pour 2025 est de 652 millions d’euros.
des zones interdites sont définis par l’autorité administrative. »
40 Enfin, l’article L. 6211-5
précise que « L’aéronef qui s’engage au-dessus d’une zone interdite est tenu, dès qu’il s’en aperçoit, d’atterrir sur l’aérodrome le plus rapproché en dehors de la zone interdite. »
Lorsqu’un aéronef circulant sans personne à bord s’engage dans une zone interdite de survol, de manière temporaire ou permanente, pour des raisons d’ordre militaire ou de sécurité publique, il appartient à l’Etat de mettre en œuvre les moyens nécessaires pour faire cesser cette situation. A cette fin, les capacités techniques disponibles peuvent lui permettre de recourir à un dispositif de brouillage des ondes émises et reçues par l’aéronef, lequel intègre des équipements radioélectriques.
Le recours à de tels dispositifs par l’autorité administrative apparait également nécessaire aux fins de prévenir les menaces susceptibles d’affecter la sécurité de grands événements (sommets internationaux, manifestations sportives, cérémonies nationales), de certains convois (convois officiels, convois de matières dangereuses…) ou de certaines installations sensibles (centrales nucléaires, centres pénitentiaires, emprises militaires). En effet, la menace constituée par les drones « malveillants » se caractérise par sa mobilité, sa célérité et la difficulté de repérage visuel en phase d’approche vers des lieux, zones, personnes ou véhicules à protéger. En outre, les drones ont une grande capacité de repérage et de prise de vidéos. Enfin, ils sont susceptibles d’entraîner des risques de collision et potentiellement, grâce à leur capacité d’emport de charge (explosifs, stupéfiants), des menaces terroristes et de trafics au profit de réseaux de criminalité organisée.
1.2. CADRE CONVENTIONNEL
La Convention relative à l’aviation civile internationale, conclue à Chicago le 7 décembre 1944, précise, en son article 1er, que « chaque Etat a la souveraineté complète et exclusive sur l’espace aérien au-dessus de son territoire ».
Cette disposition est complétée par le b) de l’article 9 prévoyant que « Chaque Etat contractant se réserve également le droit, dans des circonstances exceptionnelles, en période de crise ou dans l’intérêt de la sécurité publique, de restreindre ou d’interdire temporairement et avec effet immédiat les vols au-dessus de tout ou partie de son territoire, à condition que cette restriction ou interdiction s’applique, sans distinction de nationalité, aux aéronefs de tous les autres Etats. »
40 Par ailleurs et pour une autre finalité, les dispositions du code des transports qui confient au ministre des Transports la faculté d’interdire le survol de certaines zones pour des raisons de sécurité n’ont pas pour objet et ne sauraient avoir pour effet de priver le maire de la possibilité d’utiliser ses pouvoirs de police pour réglementer, en vue d’assurer la tranquillité et la sécurité des habitants de sa commune, l’utilisation des appareils d’aéromodélisme sur le territoire de sa commune (CE, 8 mars 1993, Commune des Molières, n° 102027).
Enfin, l’article 36 de la Convention relative à l’aviation civile internationale prévoit que « Tout Etat contractant peut interdire ou réglementer l’usage d’appareils photographiques à bord des aéronefs survolant son territoire. »
Ces dispositions ont été déclinées en droit interne par les articles L. 6211-1 et suivants du code des transports.
1.3. CADRE CONSTITUTIONNEL
Le législateur doit assurer la conciliation entre le respect des droits et libertés de chacun et la protection de l’ordre public ainsi que des exigences inhérentes à la sauvegarde des intérêts fondamentaux de la Nation. Dans un objectif de protection de la sécurité intérieure, de la défense nationale et du service public de la justice, la neutralisation de l’équipement radioélectrique d’un aéronef circulant sans personne à bord malveillant est susceptible d’impacter plusieurs libertés.
➢ La liberté de communication
L’usage de brouilleurs est susceptible d’altérer la liberté de communication (découlant de l’article 11 de la Déclaration des droits de l'homme et du citoyen de 1789) d’un tiers dont la fréquence du moyen de communication, tel un téléphone portable ou une radio, serait temporairement affectée.
Dans sa récente décision n° 2020-801 DC du 18 juin 2020, le Conseil constitutionnel a rappelé :
« Aux termes de l'article 11 de la Déclaration des droits de l'homme et du citoyen de 1789 :
« La libre communication des pensées et des opinions est un des droits les plus précieux de l'homme : tout citoyen peut donc parler, écrire, imprimer librement, sauf à répondre de l'abus de cette liberté dans les cas déterminés par la loi ». […] L'article 34 de la Constitution dispose :
« La loi fixe les règles concernant ... les droits civiques et les garanties fondamentales accordées aux citoyens pour l'exercice des libertés publiques ». Sur ce fondement, il est loisible au législateur d'édicter des règles concernant l'exercice du droit de libre communication et de la liberté de parler, d'écrire et d'imprimer. Il lui est aussi loisible, à ce titre, d'instituer des dispositions destinées à faire cesser des abus de l'exercice de la liberté d'expression et de communication qui portent atteinte à l'ordre public et aux droits des tiers. […]. Il s'ensuit que les atteintes portées à l'exercice de cette liberté doivent être nécessaires, adaptées et proportionnées à l'objectif poursuivi. »
En l’absence d’autres moyens permettant de lutter contre un aéronef circulant sans personne à bord et présentant une menace pour la sécurité des personnes, des biens ou des sites sensibles, la neutralisation de l’équipement radioélectrique de cet aéronef, par l’autorité administrative dans des circonstances précises pendant une période adaptée au temps de la menace, répond aux critères de nécessité, d’adaptation et de proportionnalité, tels qu’exigés par le Conseil constitutionnel.
➢ Le droit de propriété
Ce droit, garanti par les articles 2 et 17 de la Déclaration des droits de l’Homme et du Citoyen, est susceptible de faire l’objet d’une atteinte si l’utilisation de brouilleurs a pour conséquence de faire chuter le drone et d’entrainer sa détérioration ou sa destruction.
Néanmoins selon le type d’aéronef en cause et sa programmation et selon l’usage qui est fait du brouilleur, l’aéronef est également susceptible de dévier de sa trajectoire, de retourner à son point de départ ou d’atterrir. L’atteinte au droit de propriété n’est alors que potentielle.
En tout état de cause, le droit de propriété doit être concilié avec les autres exigences constitutionnelles, en particulier la sauvegarde de l’ordre public ainsi que les exigences inhérentes à la sauvegarde des intérêts fondamentaux de la Nation.
2. NECESSITE DE LEGIFERER ET OBJECTIFS POURSUIVIS
2.1. NECESSITE DE LEGIFERER
Les droits et libertés susceptibles d’être affectés par l’usage des brouilleurs contre les drones malveillants étant constitutionnellement garantis, le recours à la loi est nécessaire.
De fait, à ce jour, le livre II relatif aux communications électroniques du code des postes et des communications électroniques ne comporte pas de disposition particulière permettant de lutter spécifiquement contre les drones aériens malveillants. Les dispositions du code des postes et des communications électroniques méritent ainsi d’être précisées pour fonder et permettre explicitement la mise en œuvre d’un dispositif de neutralisation des ondes émises ou reçues par un aéronef circulant sans personne à bord dont la trajectoire ou le positionnement sont de nature à créer une menace pour l’ordre public.
2.2. OBJECTIFS POURSUIVIS
Il apparait utile de prévoir un nouveau dispositif permettant d’étayer l’action des services de l’Etat pour lutter contre les aéronefs circulant sans personne à bord susceptibles de présenter des risques pour les personnes, les biens ou à l’encontre de certains sites.
L’objectif est de prévenir les menaces susceptibles d’affecter la sécurité de grands événements (sommets internationaux, manifestations sportives, cérémonies nationales), de certains convois (convois officiels, convois de matières dangereuses…) ou de certains sites sensibles (centrales nucléaires, centres pénitentiaires, emprises militaires).
Par ailleurs, un autre des objectifs est d’empêcher que l’aéronef transmette pendant son vol des données sensibles ou protégées, telles que des vidéos prises à l’intérieure de sites sensibles.
3. OPTIONS POSSIBLES ET DISPOSITIF RETENU
Les dispositions pouvaient être introduites dans le code des transports ou dans le code des postes et des communications électroniques, néanmoins, il a paru plus cohérent d’insérer ces nouvelles dispositions législatives dans le code des postes et des communications électroniques pour compléter et expliciter le régime de brouillage des appareils de communication électronique existant.
La mesure envisagée prévoit de rendre inopérant l’équipement radioélectrique d’un aéronef circulant sans personne à bord considéré comme malveillant par les services de l’Etat concourant à la sécurité intérieure, à la défense nationale et au service public de la justice. La neutralisation est autorisée aux seules fins de prévenir les menaces pour la sécurité des personnes et des biens ou le survol d’une zone en violation d’une interdiction.
La neutralisation de l’équipement radioélectrique de ce type d’aéronef a pour effet de l’empêcher de recevoir et d’émettre des ondes lui permettant de se localiser dans l’espace et de perturber ainsi son itinéraire et, le cas échéant, la transmission immédiate de données captées pendant le vol au télépilote ou à un tiers. Cette neutralisation de l’équipement radioélectrique, par brouillage ne permet pas à l’aéronef de continuer son vol tel que programmé initialement ou tel que prévu par le télépilote.
Un décret en Conseil d’État détermine les modalités de mise en œuvre de ces dispositifs. Ce décret aura vocation à préciser les modalités procédurales du brouillage (les autorités compétentes, les procédures de validation technique des brouilleurs…).
4. ANALYSE DES IMPACTS DES DISPOSITIONS ENVISAGEES
4.1. IMPACTS JURIDIQUES
La mesure envisagée prévoit la création de nouvelles dispositions qui seront codifiées dans le livre II « les communications électroniques » de la partie législative du code des postes et des communications électroniques à l’article L. 33-3-1.
La modification de l’article L. 33-3-2 du code des postes et des communications électroniques permet de rendre applicable la modification effectuée à l’article L. 33-3-1 en Polynésie française, dans les îles Wallis et Futuna, dans les Terres australes et antarctiques françaises et en Nouvelle-Calédonie.
4.2. IMPACTS SUR LES SERVICES ADMINISTRATIFS
Les services de l’Etat concernés sont ceux chargés de la sécurité intérieure, de la défense nationale et du service public de la justice.
Les services de L’Etat relevant des autorités compétentes chargées de la prévention des menaces pour la sécurité des personnes et des biens et du respect de l’interdiction de survol d’une zone du territoire qui seront mentionnées dans le décret en Conseil d’Etat mettront en œuvre les dispositifs permettant de rendre inopérants l’équipement électrique des aéronefs circulant sans personne à bord malveillants.
Les services de police sont déjà équipés de matériels de détection et de neutralisation.
Concernant la préfecture de police et le RAID, un déploiement au profit d'autres directions de police est envisagé pour couvrir une gamme plus de large de missions et d'évènements (environ 60 000 euros, très variable). Pour la police nationale, les opérations de neutralisation sont encadrées par une doctrine d’emploi des moyens de lutte anti drone, des consignes particulières opérationnelles qui prévoient ainsi les finalités, le matériel utilisé, les ressources humaines affectées pour les opérations (2/3 personnels pour constitution d’une équipe : superviseur/chef de mission, détecteur/guetteur, opérateur brouilleur), les mesures de sécurisations de sites, les coordination 3D et les autorisations administratives à recevoir, les procédures d’autorisation à respecter (un compte rendu écrit doit être réalisé après chaque opération de brouillage auprès de l’agence nationale des fréquence (ANFR)), les moyens de compte rendu et de traçabilité des opérations (une application de reporting et de planification des missions Drones pourra utilement être utilisée à cette fin), les consignes de reconnaissances de sites et d’études d’impact, le protocole d’intervention avec la définition de l’autorité d’emploi (chef de service), et le processus décisionnel prévu pour l’autorisation du bouillage (autorisation hiérarchique impérative) (les instructions d’engagement peuvent être, sur instruction de l’autorité d’emploi, en cas de légitime défense ou d’initiative).
4.3. IMPACTS SUR LES PARTICULIERS
La mise en œuvre de dispositifs rendant inopérant l’équipement radioélectrique d’un aéronef circulant sans personne à bord est susceptible de restreindre la liberté du télépilote de faire circuler son aéronef, de porter atteinte à la liberté de communication des tiers, et de porter atteinte au droit de propriété du propriétaire de l’aéronef circulant sans personne à bord.
La mise en œuvre de ces dispositifs répondra au cadre fixé par la loi et devra être nécessaire et proportionnée aux finalités poursuivies.
5. CONSULTATIONS ET MODALITES D’APPLICATION
5.1. CONSULTATIONS MENEES
Cette disposition a été présentée, conformément à L. 36-5 du code des postes et communications électroniques, à l’autorité de régulation des communications électroniques, des postes et de la distribution de la pressequi a rendu son avis le 16 avril 2021.
5.2. MODALITES D’APPLICATION
5.2.1. Application dans le temps
Les dispositions de la loi entrent en vigueur au lendemain de la publication de la loi au Journal officiel de la République française.
5.2.2. Applications dans l’espace
La mesure envisagée s’appliquera sur l’ensemble du territoire.
5.2.3. Textes d’application
Un décret en Conseil d’Etat fixera les modalités de mise en œuvre des dispositifs de lutte contre les aéronefs circulant sans personne à bord présentant une menace, ainsi que les autorités compétentes pour procéder à cette mise en œuvre.
CHAPITRE IV – DISPOSITIONS RELATIVES AUX
ARCHIVES INTERESSANT LA DEFENSE NATIONALE
Article 19 : Accès aux archives publiques
1. ÉTAT DES LIEUX
1.1. CADRE GENERAL
Le champ des archives intéressant la défense nationale présente un intérêt croissant, pour la recherche, qu’elles concernent les forces armées, les services de renseignement ou les différentes administrations qui y concourent. Simultanément, certaines de ces archives peuvent susciter l’intérêt de services de renseignement étrangers ou d’organisations non-étatiques hostiles.
Le secret de la défense nationale, qui contribue à l’exigence constitutionnelle de protection des intérêts fondamentaux de la Nation, doit donc, dans le cas des archives, être concilié avec l’impératif constitutionnel de droit d’accès aux archives publiques.
L’article L. 213-1 du code du patrimoine, dans sa rédaction issue de l’article 17 de la loi n° 2008-696 du 15 juillet 2008 relative aux archives, pose ainsi le principe de la communicabilité de plein droit des archives publiques sous réserve des délais prévus à l’article L. 213-2. Ce dernier article prévoit notamment que les archives dont la communication porte atteinte au secret de la défense nationale ne deviennent communicables qu’à l’expiration d’un délai de cinquante ans. Ce délai est porté à cent ans pour celles, classifiées ou non, dont la communication est de nature à porter atteinte à la sécurité de personnes nommément désignées ou facilement identifiables.
Par ailleurs, le II de l’article L. 213-2 du code du patrimoine définit, par dérogation au principe de communicabilité de plein droit des archives publiques, une catégorie de documents perpétuellement incommunicables, à savoir ceux dont la communication est susceptible d'entraîner la diffusion d'informations permettant de concevoir, fabriquer, utiliser ou localiser des armes nucléaires, biologiques, chimiques ou toutes autres armes ayant des effets directs ou indirects de destruction d'un niveau analogue.
S’agissant des archives dont la communication porte atteinte au secret de la défense nationale (c’est-à-dire les archives ayant fait l’objet d’une mesure de classification mentionnée à l’article 413-9 du code pénal), les dispositions de l’article L. 213-2 du code du patrimoine sont à lire de manière combinée avec celles des articles 413-9 et suivants du code pénal. Ce code réprime, en effet, l’accès ou le fait de donner accès à des informations ou supports présentant le caractère de secret de la défense nationale à toute personne non qualifiée, délits usuellement qualifiés de
« compromission ». Aux termes de l’article 413-9, « présentent un caractère de secret de la défense nationale (…) les procédés, objets, documents, informations, réseaux informatiques, données informatisées ou fichiers intéressant la défense nationale qui ont fait l'objet de mesures de classification destinées à restreindre leur diffusion ou leur accès ».
Prenant acte de l’impossibilité de définir de manière stable et homogène le contenu du secret de la défense nationale, respectueuse du principe constitutionnel de séparation des pouvoirs et conforme à l’office particulier du juge pénal en cette matière, la définition du secret de la défense nationale introduite par le code pénal entré en vigueur en 1994 est ainsi purement formelle.
Les différents niveaux de classification, de même que les conditions à remplir pour qu’une personne puisse être regardée comme qualifiée pour accéder à des informations et supports classifiés, sont, pour leur part, définis aux articles R. 2311-1 et suivants du code de la défense.
Les critères et modalités de la classification sont, enfin, précisés par l’instruction générale interministérielle n° 1300 sur la protection du secret de la défense nationale.
Cette instruction, approuvée par arrêté du Premier ministre du 23 juillet 2010, et des deux instructions qui l’ont suivie (arrêtés des 30 novembre 2011 et 13 novembre 2020), organisent l’articulation entre les dispositions du code du patrimoine et celles du code pénal. A ce titre, elle rappelle qu’avant toute communication d’un document classifié, y compris d’un document classifié devenu communicable de plein droit au titre du code du patrimoine, ce document doit faire l’objet, pour que sa divulgation et sa consultation ne soient pas constitutives d’une infraction pénale, d’une décision formelle de déclassification, matérialisée sur le document par l’apposition d’un timbre de déclassification.
Dans les faits, cette obligation, qui résulte de la nécessaire conciliation du code du patrimoine et du code pénal – conciliation qui découle, elle-même, de la nécessaire combinaison d’impératifs constitutionnels (cf. infra) – se traduit par un allongement significatif des délais de consultation. La décision des services détenteurs d’archives reste, en effet, suspendue à celle de l’autorité émettrice quant à la déclassification des documents concernés.
1.2. CADRE CONSTITUTIONNEL
Par une décision n° 2017-655 QPC du 15 septembre 2017, le Conseil constitutionnel a jugé que les dispositions de l'article 15 de la Déclaration des droits de l’homme et du citoyen de 1789, aux termes desquelles « la société a le droit de demander compte à tout agent public de son administration », garantissent le droit d'accès aux documents d'archives publiques.
Il a cependant, par la même occasion, précisé qu’il est loisible au législateur d'apporter à ce droit des limitations liées à des exigences constitutionnelles ou justifiées par l'intérêt général, à la condition qu'il n'en résulte pas d'atteintes disproportionnées au regard de l'objectif poursuivi.
Le Conseil constitutionnel, par une décision n° 2011-192 QPC du 10 novembre 2011, a également jugé que le secret de la défense nationale participe au respect des exigences constitutionnelles inhérentes à la sauvegarde des intérêts fondamentaux de la Nation.
L’accès aux documents d’archives classifiés doit ainsi permettre la conciliation de ces deux impératifs constitutionnels.
1.3. ÉLEMENTS DE DROIT COMPARE
À la différence de la France, où la loi fixe les délais de communicabilité applicables aux archives publiques, le cadre juridique des États-Unis d’Amérique confie au service producteur le soin de fixer librement les délais qu'il estime souhaitables pour la mise à disposition des documents au public ; sous la limite, cependant, de trente ans. Au-delà, tous les documents deviennent en principe communicables. Toutefois, pour des raisons touchant principalement à la protection des intérêts supérieurs du pays (sûreté de l'État, défense nationale), le délai de restriction peut être prolongé. Il appartient alors aux instances gouvernementales de désigner les documents concernés. Cette procédure a pour nom la « classification ». Elle n'est limitée par aucun plafond : seule l'autorité qui a procédé à la classification peut en lever l'effet lorsque la durée écoulée lui semble suffisante (« déclassification »). C'est aussi cette même autorité qui peut accorder une autorisation de consultation anticipée aux documents, après instruction du dossier par le service d'archives concerné.
Le principe est assez similaire en Israël, où les archives qui portent atteinte à la sûreté de l’État sont communicables à l’issue d’un délai de cinquante ans, sauf si elles ont été classifiées comme « secrètes ».
D’autres pays, en revanche, prévoient un système de classification soumis à un ou plusieurs plafonds de durée : au Royaume-Uni, le délai qui protège les archives relatives à la sûreté de l’État est de cinquante, soixante-quinze ou cent ans ; en Tunisie, il est de soixante ou de cent ans.
2. NECESSITE DE LEGIFERER ET OBJECTIFS POURSUIVIS
2.1. NECESSITE DE LEGIFERER
L’instruction générale interministérielle 1300, qui a explicité l’articulation entre le code pénal et le code du patrimoine, prévoit qu’un document classifié devenu communicable de plein droit au titre du code du patrimoine ne peut être communiqué à une personne non habilitée et ne disposant pas du besoin d’en connaître qu’après avoir fait l’objet d’une décision formelle de déclassification, matérialisée par l’apposition d’un timbre de déclassification sur le document.
Cette diligence est nécessaire pour exonérer tant le service détenteur d’un document classifié que celui qui en demande la consultation du risque pénal associé à la compromission du secret de la défense nationale.
Ces modalités d’articulation sont aujourd’hui contestées par nombre d’historiens et archivistes qui considèrent qu’elles sont source d’un allongement inacceptable des délais de consultation, voire constituent une entrave au travail historique et au devoir de mémoire.
L’allongement des délais de traitement des demandes d’accès aux archives classifiées se révèle particulièrement conséquent lorsque la déclassification préalable exige une intervention de l’autorité émettrice ou de son service héritier. En moyenne, cette phase peut s’étendre sur des durées allant de six mois à plus d’un an. Au ministère des armées, le chantier de déclassification des archives de la seconde guerre mondiale a marqué les chercheurs autant que le service historique de la défense, dont le fonds relatif à cette période comptait 100 000 cartons. Aux archives nationales, la mise en œuvre de la dérogation générale du 24 décembre 2015 sur les archives de la seconde guerre mondiale a mobilisé l’équivalent de 100 mois d’agents équivalents temps plein, essentiellement affectés à des tâches de déclassification.
Les fonds des archives nationales comportant des documents classifiés auxquels l’accès est le plus souvent demandé sont ceux des ministères des armées, de l’intérieur et de la justice ainsi que ceux des cabinets du Président de la République et services du Premier ministre. Ces demandes d’accès sont formulées le plus souvent pour des recherches portant sur les périodes de la seconde guerre mondiale, de la guerre d’Algérie et de la guerre froide, étudiées selon des prismes très variés, allant de l’histoire institutionnelle, politique et diplomatique à l’histoire sociale (prosopographie, microhistoire, etc.), voire culturelle (histoire des représentations politiques, histoire des mentalités etc.). De manière fréquente, également, des demandes de déclassification sont formulées dans le cadre de recherches personnelles (descendants de personnes assassinées, disparues ou condamnées par exemple durant la guerre d’Algérie).
La demande des historiens, des étudiants et du monde de la recherche retient toute l’attention du Gouvernement et le conduit à proposer une modification de la loi. D’ores et déjà, des aménagements ponctuels ont été mis en œuvre, qu’il s’agisse du recours temporaire à un renfort en personnel ou de la fluidification de l’instruction des demandes de communication en procédant à la déclassification de cartons d’archives entiers et non document par document. La situation actuelle ne peut cependant être résolue de façon pérenne, sur le plan du droit, sans modification législative, dès lors que les normes en tension sont chacune de niveau législatif et viennent, chacune, préciser la mise en œuvre de principes constitutionnels.
2.2. OBJECTIFS POURSUIVIS
Il apparaît nécessaire de modifier le point d’équilibre entre les impératifs constitutionnels susmentionnés, dans le sens d’une large ouverture de l’accès aux archives publiques classifiées.
Ainsi, afin de donner sa pleine effectivité au principe de libre communicabilité des archives, il est proposé d’inscrire expressément dans la loi, en créant un nouveau III à l’article L. 213-2 du code du patrimoine modifié, la règle selon laquelle, sauf exception, « toute mesure de classification mentionnées à l’article 413-9 du code pénal prend automatiquement fin à la date à laquelle le document qui en a fait l’objet devient communicable de plein droit […] ». Dès lors, à l’échéance des délais applicables au titre de l’article L. 213-2 du code du patrimoine,
tout document classifié pourra être communiqué, sans qu’aucune formalité complémentaire ne soit nécessaire, à l’exception des documents, peu nombreux, classifiés ou non, perpétuellement incommunicables en application du II du même article (cf. 1.1) Parallèlement, la modification de l’article L. 213-2 du code du patrimoine offre l’occasion d’améliorer la protection de certaines catégories de documents d’une sensibilité particulière, qu’ils soient classifiés ou non, dont la communication prématurée serait de nature à nuire aux intérêts fondamentaux de la Nation. Cette mesure concerne notamment les documents relatifs aux caractéristiques techniques d’emprises militaires, de missions diplomatiques et consulaires, de centrales nucléaires, de barrages hydrauliques de grande hauteur, les informations techniques permettant la neutralisation de systèmes d’armes défensifs ou la reproduction de matériel de guerre, ou encore les procédures opérationnelles et les capacités techniques des services de renseignement.
Ce projet permet également d’adapter le champ des armes de destructions massives à la réalité de la menace contemporaine, en y ajoutant la menace radiologique (cf. modification du II de l’article L. 213-2 du code du patrimoine).
Il permet, enfin, d’ajuster au plus près des besoins le champ de la protection des documents dont la communication serait de nature à porter atteinte à la sécurité de personnes nommément désignées ou facilement identifiables.
3. OPTIONS POSSIBLES ET DISPOSITIF RETENU
3.1. OPTIONS ENVISAGEES
Dans le cadre de ses travaux préparatoires, le Gouvernement s’est interrogé sur la possibilité de moduler la conciliation des deux régimes juridiques par voie réglementaire, à travers une lecture volontariste du code du patrimoine, en reconnaissant, via l’instruction générale n° 1300, une pleine effectivité à la notion de communicabilité de plein droit, et en supprimant par conséquent l’obligation d’une déclassification préalable des archives classifiées devenues librement communicables.
Cette option n’est pas apparue satisfaisante car elle reviendrait à ignorer la portée des dispositions du code pénal et ne permettrait pas de clarifier l’existence ou non d’un risque pénal auquel seraient exposés les archivistes donnant accès à des documents non démarqués, de même que les personnes en obtenant la communication. Elle priverait par ailleurs de toute protection certains des documents classifiés de plus de cinquante ans, dont la communication pourrait porter atteinte aux intérêts fondamentaux de la nation et en particulier ceux des services de renseignement.
C’est pourquoi l’option d’une simple modification réglementaire a été écartée.
S’est alors posée la question des modifications législatives à opérer.
Parmi les options envisagées, la possibilité de modifier à la fois le code pénal et le code du patrimoine a été explorée. Elle aurait consisté à limiter la modification du code du patrimoine à l’amélioration de la protection de certaines catégories de documents (cf. point 3.2 b) et à « neutraliser », par modification du code pénal, les effets répressifs attachés à la manipulation d’un document classifié dès lors qu’il serait devenu pleinement communicable au sens du code du patrimoine.
Dans un souci de lisibilité pour les services d’archives et leurs usagers, le Gouvernement a préféré insérer l’ensemble des modifications législatives souhaitées à l’article L. 213-2 du code du patrimoine. Il est à noter que cette option est cohérente avec l’économie générale du titre modifié qui, aux articles L. 214-1 et suivants, intègre déjà un ensemble de dispositions pénales.
S’agissant du fond, il aurait pu être envisagé de s’en tenir à une disposition mettant automatiquement fin à toute mesure de classification à l’issue du délai de cinquante ans prévu par le 3° du I. Cette option, cependant, présentait l’inconvénient de priver de la protection pénale relative au secret de la défense nationale tous les documents de plus de cinquante ans, y compris les plus sensibles, par exemple en matière de dissuasion nucléaire ou ceux appartenant à la catégorie définie au II, pour lesquelles l’incommunicabilité est perpétuelle aux fins de prévenir toute prolifération d’armes de destruction massive.
La définition au a), b) et c) du 3° du I de l’article L. 213-2 du code du patrimoine de catégories de documents pouvant donner lieu à une prolongation du délai de communicabilité de 50 ans et les modalités de cette prolongation ont également donné lieu à réflexion.
S’agissant des nouvelles catégories de documents justifiant un délai d’incommunicabilité plus long, le Gouvernement s’est encore une fois placé dans la perspective d‘une ouverture maximale des archives publiques. Ainsi, il a volontairement restreint son projet aux seuls documents dont l’exploitation par des acteurs malveillants aurait la portée la plus grave. Ainsi, par exemple, alors qu’il aurait pu, dans une logique de sécurité, choisir d’intégrer dans ces nouvelles catégories l’ensemble des documents relatifs à la conception, à l’élaboration et aux fonctionnements des infrastructures d’importance vitale définies aux articles L. 1332-1 et L. 1332-2 du code de la défense (soit environ 1500 emprises), il s’est limité aux informations les plus névralgiques, en ne prenant en compte que les documents relatifs aux caractéristiques techniques des infrastructures de défense, des centrales nucléaires civiles, des barrages hydrauliques de grande hauteur et des missions diplomatiques et consulaires.
S’agissant des modalités de prolongation, le Gouvernement a considéré qu’un report du point de départ du délai de 50 ans à compter de la fin d’usage des infrastructures et matériels de guerre concernés ou de la fin de valeur opérationnelle des informations techniques relatives à la dissuasion nucléaire, sur le modèle retenu par la loi n° 2018-670 du 30 juillet 2018 pour les prisons41, aurait été excessif. C’est pourquoi le Gouvernement propose que le délai de 50 ans
41 L’article L213-2 du code du patrimoine actuellement en vigueur dispose en effet que pour les documents relatifs à la construction, à l'équipement et au fonctionnement des ouvrages, bâtiments ou parties de bâtiment utilisés pour la détention des personnes ou recevant habituellement des personnes, le délai de 50 ans « est décompté depuis la fin de l'affectation à ces usages des ouvrages, bâtiments ou parties de bâtiment en cause ».
soit, le cas échéant, prolongé jusqu’à la fin de l’usage ou de la valeur opérationnelle ; lorsque la perte de cette valeur opérationnelle se sera produite avant l’arrivée à échéance du délai de 50 ans, ce qui sera le plus souvent le cas, la prolongation de l’incommunicabilité n’a en effet pas lieu d’être. Pour que cette approche libérale ne préjudicie pas aux impératifs de sécurité, le projet de loi précise toutefois que la fin d’affectation doit être entendue comme la fin d’affectation de l’infrastructure considérée ou des autres infrastructures présentant des caractéristiques similaires. Ainsi, demeurent protégées les constructions toujours en service et bâties sur le même modèle que d’autres infrastructures nouvellement désaffectées (cas par exemple des prisons ou de certaines centrales nucléaires ou des parties de ces bâtiments).
3.2. DISPOSITIF RETENU
➢ S’agissant de l’articulation des dispositions du code du patrimoine et du code pénal
Le premier alinéa du 3° de l’article L. 213-2 est modifié afin que la désignation d’un document classifié corresponde à la définition du code pénal.
Par ailleurs, les nouvelles dispositions introduites au III nouveau du même article prévoient expressément que la protection accordée à un document au titre du secret de la défense nationale prend automatiquement fin dès lors que le document qui en fait l’objet est devenu communicable de plein droit. Cette rédaction permet de s’assurer que les documents qui ne sont pas communicables de plein droit peuvent, le cas échéant, bénéficier, y compris au-delà de cinquante ans, de la protection résultant de leur classification. La classification expire ainsi automatiquement, selon les cas, à l’issue d’un délai de cinquante ou cent ans, ou d’un délai de cinquante ans prolongé. Aucune expiration automatique de classification ne peut intervenir s’agissant des documents perpétuellement incommunicables mentionnés au II de l’article L.
213-2 (cf. 1.1).
Une exception à cette règle est prévue pour les seuls documents mentionnés au 4° du I de l’article L. 213-2. Ces archives – notamment les documents relatifs aux affaires portées devant les juridictions – font, en effet, l’objet de fréquentes demandes de consultation anticipée sur le fondement du I de l’article L. 213-3. Or il arrive que ces documents soient classifiés et doivent, par suite, être déclassifiés avant toute communication. L’expérience ayant montré que la classification de ces documents devient sans objet avant l’expiration du délai de soixante-quinze ans, le Gouvernement propose, afin de fluidifier l’accès anticipé à ces archives, de distinguer, dans ce cas seulement, la communicabilité de plein droit, dont les conditions demeurent inchangées, de l’expiration automatique des mesures de classification, qui, pour sa part, interviendra à l’issue du délai prévu au 3°, c’est-à-dire 50 ans à compter de la date du document ou du document le plus récent inclus dans le dossier.
➢ S’agissant de l’amélioration de la protection de certaines catégories de documents
L’option retenue consiste à identifier, au sein des catégories visées au 3° du I de l’article L. 213-2, des sous-ensembles de documents pour lesquels le délai d’incommunicabilité de 50 ans à compter de la date du document ou du document le plus récent du dossier peut s’avérer insuffisant. Il s’agit des documents relatifs :
- aux caractéristiques techniques des installations militaires, des installations et ouvrages nucléaires civils, des barrages hydrauliques de grande hauteur, des locaux des missions diplomatiques et consulaires françaises et des installations utilisés pour la détention des personnes, à compter de la date, constatée par un acte publié, de fin de l’affectation à ces usages de ces infrastructures ou d’infrastructures présentant des caractéristiques similaires ;
- à la conception technique et aux procédures d’emploi de certains types de matériels de guerre et matériels assimilés mentionnés au second alinéa de l’article L. 2335-2 du code de la défense, identifiés ex ante par un arrêté du ministre de la défense, révisé chaque année, comme étant particulièrement sensibles, tant que ceux-ci demeurent utilisés par les forces armées et les formations rattachées mentionnées à l’article L. 3211-1-1 du même code. Il s’agit d’abord de protéger les militaires qui les utilisent et de préserver les avantages opérationnels que ces équipements leur confèrent sur les théâtres d’opérations. Il est en outre indispensable de ne pas divulguer les informations qui permettraient de développer des stratégies ou des techniques de contre-mesures. Ce besoin se conçoit aisément lorsqu’il s’agit par exemple de ne pas révéler d’éventuels points de fragilité du châssis ou de la tourelle d’un véhicule terrestre de combat, ainsi que les capacités techniques des matériels d’imagerie ou de détection. Cette nécessité correspond à un besoin de plus en plus prégnant pour les forces armées au regard de l’allongement de la période de conception de certains de ces matériels, qui diffère par voie de conséquence la date de leur entrée en service opérationnel, justifiant ainsi une protection de la documentation correspondante supérieure au délai de droit commun de cinquante ans. A titre d’illustration, ce phénomène peut être constaté à travers des fleurons du secteur aéronautique militaire, à savoir les aéronefs de combat de type Rafale ou de transport de type A400M, dont les travaux de conception ont été engagés dans les années 1980 et dont la date prévisionnelle de retrait de service est postérieure à 2040 ;
- aux capacités techniques et procédures opérationnelles des services de renseignement mentionnés à l’article L. 811-2 du code de la sécurité intérieure ainsi qu’à ceux des services mentionnés à l’article L. 811-4 du même code désignés, au regard de leurs missions, par décret en Conseil d’État, à compter de la perte de leur valeur opérationnelle. Les procédures opérationnelles – notion qui figure à l’article L. 833-9 du code de la sécurité intérieure et les capacités techniques des services de renseignement désignent quant à elles, • d’une part, les moyens et accès techniques utilisés par ces services pour recueillir des renseignements et protéger leurs opérations ainsi que leurs personnels • et, d’autre part les procédures et méthodes mises en œuvre par leurs agents pour la collecte de renseignement et la mise en œuvre de certaines mesures d’entrave,
ainsi que celles qui permettent la sécurité des opérations et des agents qui les conduisent sur le terrain. Ces procédures, en effet, constituent des savoir-faire caractéristiques, acquis en grande partie depuis la seconde guerre mondiale, capitalisés et améliorés progressivement et sur lesquelles repose encore aujourd’hui la sécurité des agents (contre-filature, systèmes de liaison, techniques de contre-espionnage et de clandestinité). Une protection particulière de ces capacités et de ces procédures se justifie donc par l’incidence de leur diffusion éventuelle sur l’activité actuelle des agents des services de renseignement et leur sécurité, y compris physique, comme sur la capacité de ces services à assumer certaines de leurs missions ;
- à l’organisation, la mise en œuvre et la protection des moyens de la dissuasion nucléaire, à compter de la perte de leur valeur opérationnelle des documents. Le champ couvert correspond au cadre défini aux articles L. 1411-1 et suivants et R*1411-1 à R*1411-18 du code de la défense. Si l’élaboration et la conception de la politique de dissuasion nucléaire doivent être ouvertes aux travaux de recherche, l’organisation détaillée des composantes de la dissuasion comme celle de la chaîne de responsabilité la caractérisant ou les systèmes destinés à garantir l’intégrité de ses moyens doivent être très rigoureusement protégés. La liste des moyens de la dissuasion nucléaire est fixée par un arrêté non publié du Premier ministre. Ils comprennent notamment des matières nucléaires, des installations, ou encore des systèmes d’information, et peuvent dépendre tant du ministère de la défense que du Commissariat à l'énergie atomique et aux énergies alternatives ou d’opérateurs publics ou privés. Dans le cadre du contrôle gouvernemental de la dissuasion nucléaire, ils font l’objet de mesures visant en particulier à les protéger contre la malveillance et les atteintes au secret de la défense nationale : mesures organisationnelles avec mise en place de chaînes de responsabilité indépendantes, protection physique des installations, organisation et surveillance des transports, cybersécurité…
➢ S’agissant de la sécurité des personnes nommément désignées ou facilement identifiables
L’option retenue consiste :
- d’une part, à élargir la portée de la protection figurant au 5° du I en l’appliquant à l’ensemble des documents d’archives, qu’ils aient fait ou fassent ou non l’objet d’une mesure de classification eu égard aux enjeux de protection de la sécurité de personnes nommément désignées ou facilement identifiables qui justifient cette disposition ;
- d’autre part, à en préciser la portée en indiquant que cette disposition ne vise à protéger que les personnes impliquées dans une activité de renseignement.
➢ Prise en compte des armes radiologiques dans le champ des armes de destruction massive
Afin de s’adapter à l’évolution de la menace et à la définition aujourd’hui retenue pour les armes de destruction massive, par analogie avec la terminologie retenue à l’article 421-2-6 du code pénal, il est proposé d’introduire au II de l’article L. 213-2 du code du patrimoine, portant sur
les documents perpétuellement incommunicables, les documents dont la communication est susceptible d'entraîner la diffusion d'informations permettant de concevoir, fabriquer, utiliser ou localiser des armes radiologiques.
4. ANALYSE DES IMPACTS DES DISPOSITIONS ENVISAGEES
4.1. IMPACTS JURIDIQUES
4.1.1. Impacts sur l’ordre juridique interne
La modification de l’article L. 213-2 du code du patrimoine portée par le présent article propose une articulation rénovée des régimes juridiques relatifs à la protection du secret de la défense nationale, d’une part, et à la communicabilité des archives publiques, d’autre part. Dans un esprit d’ouverture massive des archives publiques, la nouvelle conciliation proposée donnera une pleine effectivité au principe de communicabilité de plein droit des archives publiques.
Elle implique également la modification de l’instruction générale interministérielle n° 1300 sur la protection du secret de la défense nationale et des instructions ministérielles, ainsi que, le cas échéant, des directives techniques particulières qui en découlent.
4.1.2. Articulation avec le droit international et le droit de l’Union européenne Le droit de l’Union européenne ne régit pas le droit d’accès aux archives publiques.
La modification de l’article L. 213-2 du code du patrimoine portée par le présent article est sans incidence sur les engagements conventionnels de la France. En effet, cet article ne saurait s’appliquer aux informations et supports classifiés étrangers reçus par la France et dont la protection pénale, garantie par les articles 414-8 et 414-9 du code pénal, est organisée par des accords intergouvernementaux ad-hoc dits « accords de sécurité ».
4.2. IMPACTS ECONOMIQUES ET FINANCIERS
4.2.1. Impacts macroéconomiques
A la différence de la France et en dépit des accords intergouvernementaux en vigueur, certains Etats étrangers ne respectent pas l’obligation d’obtenir l’accord de l’Etat émetteur de documents classifiés avant de les rendre librement communicables. Ainsi, un certain nombre de documents d’archives français classifiés sont librement accessibles dans plusieurs services publics d’archives américains. D’autres, encore, ont pu être publiées dans des ouvrages étrangers.
En mettant fin à ces distorsions et en simplifiant l’accès des chercheurs aux archives classifiées devenues librement communicables, les mesures envisagées auront une incidence positive sur la compétitivité de la recherche française à l’international.
4.2.2. Impacts budgétaires
En supprimant l’obligation de déclassification formelle et physique des documents classifiés devenus communicables de plein droit, les mesures envisagées permettront à court terme au ministère des armées de libérer les ressources actuellement affectées au démarquage préalable des documents.
4.3. IMPACTS SUR LES COLLECTIVITES TERRITORIALES
Aujourd’hui, la majorité des archives classifiées sont conservées par les archives nationales, les archives diplomatiques et le service historique de la défense. Les archives départementales détiennent cependant parfois quelques documents classifiés anciens et ne disposent pas toujours des équipements nécessaires pour les traiter conformément aux exigences de la réglementation relative à la protection du secret.
La modification envisagée prévoyant que toute mesure de classification prend automatiquement fin à la date à laquelle le document qui en a fait l’objet devient communicable de plein droit, les documents détenus par les archives départementales pourront être manipulés sans mesure de protection spécifique, en toute régularité au regard des règles relatives au secret de la défense nationale et donc sans risque de compromission.
Cette modification est ainsi source de sécurisation juridique pour les agents des archives départementales et leurs publics.
4.4. IMPACTS SUR LES SERVICES ADMINISTRATIFS
➢ Une avancée pour les services d’archives
En rendant communicable l’écrasante majorité des documents classifiés datant de plus de cinquante ans, la mesure projetée allégera significativement la charge qui pèse actuellement sur les services publics d’archives pour la préparation matérielle des demandes de déclassification, leur suivi et le démarquage des documents concernés. Ces opérations sont aujourd’hui rendues particulièrement chronophages par l’absence d’identification des documents classifiés dans les dossiers versés, parfois de très longue date, dans les services publics d’archives. La mesure projetée permettra de recentrer leurs missions de service public sur la collecte, la conservation, la description, la communication, la mise en valeur et la diffusion des archives (art. R. 212-4-1 du code du patrimoine), et de relancer ainsi les chantiers dont le lancement a pu être différé par la charge de travail que faisait peser sur eux l’obligation de déclassification formelle préalable de documents d’archives classifiés qu’ils conservent.
La modification envisagée est également un gage de sérénité pour les agents des services publics d’archives et leurs publics, le risque pénal associé à la communication de documents portant un timbre de classification devenus librement communicables étant désormais écarté.
➢ Une meilleure protection pour les membres des services de renseignement La mesure envisagée permettra également, au travers du nouveau point c) du 3° de l’article L. 213-2 du code du patrimoine modifié, de renforcer la protection des documents relatifs aux capacités opérationnelles des services de renseignement et contribuera ainsi à sécuriser leur action.
4.5. IMPACTS SUR LES PARTICULIERS
La mesure aura à la fois un impact significatif sur l’accès de toute personne aux archives publiques et permettra, dans le même temps, de renforcer la sécurité des citoyens contre des actes malveillants.
➢ Un accès aux archives publiques significativement renforcé La mesure envisagée permettra l’ouverture de plusieurs millions de documents classifiés, dont la communication n’était aujourd’hui possible qu’après déclassification formelle et démarquage préalable. Ainsi, notamment, au seul service historique de la défense, cette mesure permettra d’ouvrir l’accès de plus de 650 000 dossiers d’archives représentant jusqu’à 20 km linéaires.
Aux Archives nationales, la mesure permettra l’accès à près de 600 000 documents.
En rendant ainsi désormais immédiatement accessibles des documents dont la déclassification préalable supposait jusqu’à présent des délais de traitement de plusieurs mois, cette mesure aura pour conséquence directe une fluidification du traitement des demandes d’accès aux archives publiques, que la loi impose de satisfaire à l’issue d’un délai d’un mois (deux mois lorsqu’elles ne sont pas librement communicables), et une très nette amélioration des conditions de travail des chercheurs, notamment pour l’accès aux sources de l’histoire contemporaine. Elle permettra ainsi de mettre fin aux retards affectant actuellement les travaux de nombre d’entre eux. Cette mesure permettra également d’éliminer le risque pénal qui, sous l’empire de la législation actuelle, pèse sur les personnes ayant accédé à un document qui, bien que communicable de plein droit en application du code du patrimoine, serait toujours porteur d’une marque de classification.
➢ Une meilleure protection du citoyen
La mesure portant création de nouvelles catégories de document soumis au délai de cinquante ans (nouveau a), b) et c) de l’article L. 213-2 du code du patrimoine modifié) permettra, par ailleurs, de renforcer la sécurité des citoyens, en améliorant la protection offerte par le code du patrimoine aux documents, classifiés ou non, dont l’exploitation malveillante pourraient avoir de lourdes conséquences : plans de centrales nucléaires, de barrages hydrauliques, d’infrastructures militaires ; système de contrôle gouvernemental de la dissuasion nucléaire, etc.
Il convient de noter que cette extension à de nouvelles catégories est articulée de façon proportionnée avec l’objectif de renforcement de l’accès aux archives publiques. En effet, l’accès aux documents ainsi visés, tout comme l’accès à l’ensemble des documents dont il est question au I. de l’article L. 213-2 du code du patrimoine, demeurera possible dans le cadre de demandes de consultation anticipée (cf. point I de l’article L. 213-3 du code du patrimoine), tel qu’encadré par la jurisprudence du Conseil d’Etat (décision n° 422327 du 16 juin 2020) voire dans le cadre d’arrêtés d’ouverture anticipée (cf. point II du même article).
5. MODALITES D’APPLICATION
5.1. APPLICATION DANS L’ESPACE
Les modifications de l’article L. 213-2 du code du patrimoine portées par le présent article s’appliqueront de plein droit aux collectivités régies par le principe d’identité législative, et sont applicables au territoire des Terres australes et antarctiques françaises sous la seule réserve, s’agissant de Wallis et Futuna, des dispositions de l’article L. 760-2 du code du patrimoine.
Elles n’ont pas vocation à être étendues en Nouvelle-Calédonie et en Polynésie française.
5.2. TEXTES D’APPLICATION
L’instruction générale n° 1300 sur la protection du secret de la défense nationale, ainsi que les instructions ministérielles et, le cas échéant, les directives techniques particulières qui en découlent, devront être adaptées pour être mise en cohérence avec les nouvelles dispositions de l’article L. 213-2 du code du patrimoine.
Un décret en Conseil d’Etat sera pris pour désigner ceux des services de renseignement mentionnés à l’article L. 811-4 du code de la sécurité intérieure (dits « du second cercle ») auxquelles pourra s’appliquer la disposition de prolongation de l’incommunicabilité des documents relatifs à leurs procédures opérationnelles et à leurs capacités techniques au-delà du délai de cinquante ans et jusqu’à la perte de leur valeur opérationnelle.
5.3. APPLICATION DANS LE TEMPS
Les dispositions résultant de la modification proposée sont d’application immédiate.
Toutefois, les documents non classifiés de plus de cinquante ans qui étaient devenus communicables par application de la législation antérieure ne sont pas soumis aux règles de communicabilité plus strictes prévues par le présent article. Ainsi, l’adaptation de certains délais pour mieux prendre en compte les enjeux actuels de certaines catégories de documents désormais expressément visées à l’article L. 213-2 du code du patrimoine ne rendra pas de nouveau incommunicables des documents qui peuvent déjà être communiqués sous l'empire de la législation actuelle.
S’agissant des documents classifiés de plus de cinquante ans, leur communicabilité étant jusqu’à présent subordonnée à leur déclassification préalable, ils ne sont pas communicables, en l’état de la législation actuelle. Ils le deviennent, par l’effet de l’entrée en vigueur de la loi nouvelle, à moins de relever de l’un des cas spécifiques définis par la loi dans lesquels le délai de communicabilité est plus tardif et n’est pas encore atteint.