Ainsi, s’agissant de dispositions relatives à la procédure pénale, dont la modification relève du domaine de la loi en application de l’article 34 de la Constitution, un vecteur législatif est nécessaire.
3. OPTIONS POSSIBLES ET DISPOSITIF RETENU
3.1. OPTIONS ECARTEES
A été envisagée la création d’une mesure de sûreté comprenant des obligations de contrôle et de surveillance, à l’instar de celle prévue par la loi n° 2020-1023 du 10 août 2020 précitée, en adaptant ses modalités à l’aune des cinq griefs retenus par le Conseil constitutionnel.
Cette option a toutefois été écartée au bénéfice d’un dispositif global plus adapté au suivi des sortants de prison condamnés pour acte de terrorisme présentant deux volets distincts. La MJRSA a pour objectif de favoriser leur réinsertion, tandis que la prolongation de la durée des MICAS jusqu’à deux ans pour un certain public vise à assurer un contrôle et une surveillance de ces personnes. Il s’agit d’éviter une superposition de mesures susceptibles d’être appliquées aux mêmes fins et comprenant des prescriptions, sinon identiques, au moins comparables.
3.2. DISPOSITIF RETENU
La mesure judiciaire de réinsertion sociale antiterroriste (MJRSA) est une mesure de sûreté visant à assurer la réinsertion des personnes condamnées pour acte de terrorisme en les soumettant à des obligations et interdictions présentant une finalité de réadaptation sociale.
Cette mesure s’applique aux personnes condamnées à une peine privative de liberté non assortie du sursis d’une durée supérieure ou égale à 5 ans pour un acte de terrorisme, ou 3 ans en cas de récidive, s’il est établi, à l’issue d’un réexamen de leur situation intervenant à la fin de l’exécution de sa peine, qu’ils présentent une particulière dangerosité caractérisée par une probabilité très élevée de récidive et par une adhésion persistante à une idéologie ou à des thèses incitant à la commission d’actes de terrorisme (I de l’article 706-25-16 du code de procédure pénale).
Elle ne peut être ordonnée que si cette mesure apparaît strictement nécessaire (IV de l’article 706-25-16 du code de procédure pénale) pour prévenir la récidive. Elle n’est pas applicable si la personne a été condamnée à un suivi socio-judiciaire en application de l’article 421-8 du code pénal ou si elle fait l’objet d’une mesure de surveillance judiciaire prévue à l’article 723-29 du code de procédure pénale, d’une mesure de surveillance de sûreté prévue à l’article 706-53-19 ou d’une rétention de sûreté prévue à l’article 706-53-13 du même code.
La MJRSA est prononcée par le tribunal de l’application des peines de Paris, sur réquisitions du procureur de la République antiterroriste et après avis de la commission pluridisciplinaire des mesures de sûreté (article 706-25-16 du code de procédure pénale) pour une durée maximale d’un an. Elle peut être renouvelée pour la même durée dans la limite de cinq ans ou, lorsque le
condamné est mineur, dans la limite de trois ans (III de l’article 706-25-16 du code de procédure pénale).
La situation des personnes détenues susceptibles de faire l’objet d’une telle mesure est examinée, sur réquisitions du procureur de la République antiterroriste, au moins trois mois avant la date prévue pour leur libération par la commission pluridisciplinaire des mesures de sûreté prévue à l’article 763-10 du code de procédure pénale, afin d’évaluer leur dangerosité (article 706-25-17 du code de procédure pénale). À cette fin, la commission demande le placement de la personne concernée, pour une durée d’au moins six semaines, dans un service spécialisé chargé de l’observation des personnes détenues aux fins d’une évaluation pluridisciplinaire de dangerosité. À l’issue de cette période, la commission adresse au tribunal de l’application des peines de Paris et à la personne concernée un avis motivé sur la pertinence de prononcer la mesure de sûreté.
La décision est prise, avant la date prévue pour la libération du condamné, par un jugement rendu après un débat contradictoire et, si le condamné le demande, public, au cours duquel le condamné est assisté par un avocat choisi ou commis d’office. Elle doit être spécialement motivée au regard des conclusions de l’évaluation et de l’avis de la commission, ainsi que du caractère strictement nécessaire de la mesure pour prévenir la récidive. Le jugement précise les obligations auxquelles le condamné est tenu ainsi que la durée de celles-ci. La décision est exécutoire immédiatement à l’issue de la libération (article 706-25-18 du code de procédure pénale).
Le tribunal de l’application des peines de Paris peut, sur réquisitions du procureur de la République antiterroriste ou à la demande de la personne concernée, le cas échéant, après avis du procureur de la République antiterroriste, modifier les mesures de sûreté ou ordonner leur mainlevée. Cette compétence s’exerce sans préjudice de la possibilité, pour le juge de l’application des peines, d’adapter à tout moment les obligations de la mesure de sûreté (article 706-25-18 du code de procédure pénale). Les décisions peuvent être attaquées par la voie de l'appel devant la chambre de l'application des peines de la cour d'appel, (article 706-25-19 du code de procédure pénale).
Les obligations sont suspendues par toute détention intervenue au cours de leur exécution. Si la détention excède une durée de six mois, la reprise d’une ou de plusieurs des obligations doit être confirmée par le tribunal de l’application des peines de Paris au plus tard dans un délai de trois mois après la cessation de la détention, à défaut de quoi il est mis fin d’office à la mesure (article 706-25-20 du code de procédure pénale).
La décision définit (I de l’article 706-25-16 du code de procédure pénale) les conditions d’une prise en charge sanitaire, sociale, éducative ou psychologique, destinée à permettre la réinsertion et l’acquisition des valeurs de la citoyenneté. Cette prise en charge peut, le cas échéant, intervenir au sein d’un établissement d’accueil adapté. Elle peut imposer à l’intéressé d’exercer une activité professionnelle, de suivre un enseignement ou une formation professionnelle ; elle peut également lui interdire de se livrer à l’activité dans l’exercice ou à l’occasion de laquelle l’infraction a été commise. La décision précise les conditions dans
lesquelles l’intéressé doit communiquer au service pénitentiaire d’insertion et de probation les renseignements ou documents de nature à permettre le contrôle de ses moyens d’existence et de l’exécution de ses obligations, et répondre aux convocations du juge de l’application des peines ou du service pénitentiaire d’insertion et de probation. Elle peut aussi l’astreindre à établir sa résidence en un lieu déterminéǤ
Les obligations auxquelles la personne concernée est astreinte sont mises en œuvre par le juge de l’application des peines du tribunal judiciaire de Paris assisté du service pénitentiaire d’insertion et de probation et, le cas échéant, avec le concours des organismes habilités à cet effet.
La sanction prévue en cas de non-respect de ces obligations et interdictions est fixée à un an d’emprisonnement et 15 000 euros d’amende (article 706-25-21 CPP).
S’agissant plus précisément de l’obligation de respecter les conditions d’une prise en charge sanitaire, sociale, éducative ou psychologique, celle-ci est susceptible d’intervenir au sein des centres PAIRS (centres de prise en charge individualisée des personnes radicalisées).
Ces structures, initialement envisagée à titre expérimental en décembre 201624, ont été pérennisées par le plan national de prévention de la radicalisation présenté par le Gouvernement le 23 février 201825. Les centres de Paris et de Marseille ont été ouverts en 2018, celui de Lyon le 10 juillet 2019 et celui de Lille le 7 octobre 2019.
Au sein des centres, la prise en charge est effectuée par une équipe pluridisciplinaire, composée à minima de 7 travailleurs sociaux expérimentés, d’un spécialiste de l’islam contemporain, d’un psychiatre et d’un psychologue. Elle peut être étayée par un conseiller pénitentiaire d’insertion et de probation, un spécialiste de la géopolitique ou des universitaires.
Un hébergement individualisé au sein d’un réseau de partenaires des services pénitentiaires d'insertion et de probation (SPIP) peut être proposé pour garantir une distance géographique suffisante par rapport à un environnement considéré comme défavorable, favoriser l’insertion, ou permettre l’accès des personnes éloignées. Hors les cas où un hébergement sera proposé, les bénéficiaires doivent être domiciliés dans un rayon de 100 km ou 1h30 de transport, avec prise en charge partielle des frais.
Une première phase de diagnostic intervient au maximum dans les trois premiers mois de prise en charge et permet au référent en charge du suivi de la personne au sein de la structure de proposer un programme adapté de prise en charge.
24 Dispositif de prise en charge individuelle et pluridisciplinaire de personnes placées sous main de justice baptisé RIVE (recherche et intervention sur les violences extrémistes)
25 Le plan prévoit ainsi, dans sa mesure 58, la création de « trois nouveaux centres de prise en charge individualisée pour des personnes radicalisées ou en voie de radicalisation, placées sous-main de justice à Lille, Lyon et Marseille, pilotés par le ministère de la Justice, pour mettre en œuvre une prise en charge individualisée éducative, psychologique et sociale efficiente, avec un référent cultuel
Trois niveaux de prise en charge sont possibles en fonction des besoins repérés dans chacune des dimensions du suivi (psychosociale, psychologique, culturelle, socio-professionnelle…) :
- le niveau 1 dit milieu ouvert renforcé, consistant en une prise en charge de 3 heures par semaine ;
- le niveau 2 dit intermédiaire permettant une prise en charge jusqu’à 10 heures par semaine pour les personnes dont le niveau de radicalité et d’intégration sociale demande un accompagnement important ;
- le niveau 3 dit intensif correspondant à une prise en charge jusqu’à 20 heures par semaine, et visant les personnes ayant un niveau de radicalité élevé et nécessitant par ailleurs un accompagnement intensif en vue de leur réinsertion sociale.
Le niveau de prise en charge proposé par le centre à l’issue du diagnostic est soumis à la validation du SPIP et peut être modifié tout au long du suivi. Le magistrat mandant est destinataire de ce projet via le SPIP et peut solliciter un renforcement ou un allègement du suivi à tout moment du déroulement de la mesure. Une fois validé, ce programme fait l’objet d’un écrit (document individuel de prise en charge) communiqué à la personne concernée.
Un comité de suivi du dispositif, composé des représentants des centres, de l’autorité judiciaire, du SPIP, de la direction des affaires criminelles et des grâces, de la direction de l’administration pénitentiaire, se réunira au minimum deux fois par an pour faire le bilan de l’activité des centres.
4. ANALYSE DES IMPACTS DES DISPOSITIONS ENVISAGEES
4.1. IMPACTS JURIDIQUES
Les modifications législatives concernent exclusivement des dispositions du code de procédure pénale. Il est ainsi créé une section 5 au titre XV du livre IV intitulé « De la mesure judiciaire de réinsertion sociale antiterroriste » et comportant les articles 706-25-16 à 706-25-22.
4.2. IMPACTS SUR LES SERVICES JUDICIAIRES
Au regard du faible nombre du public concerné par la nouvelle mesure de sûreté, son impact sur les services judiciaires apparaît limité.
5. CONSULTATIONS ET MODALITES D’APPLICATION
5.1. CONSULTATIONS MENEES
Cette disposition a été présentée, à titre facultatif, à la Commission nationale informatique et liberté qui a rendu son avis le 8 avril 2021.
5.2. MODALITES D’APPLICATION
5.2.1. Application de la loi dans le temps
S’agissant d’une mesure de sûreté, celle-ci s’appliquera, dès son entrée en vigueur, à l’ensemble des faits commis avant son entrée en vigueur.
5.2.2. Application de la loi dans l’espace
Cet article a vocation à s’appliquer dans l’ensemble des collectivités ultra-marines où l’Etat est compétent en matière pénale.
Dans les collectivités régies par le principe de l’identité législative (Guadeloupe, Guyane, Martinique, La Réunion, Mayotte, Saint-Barthélemy, Saint-Martin, Saint-Pierre-et-Miquelon), les dispositions pénales sont applicables de plein droit. Aucune adaptation n’apparaît nécessaire.
Dans les collectivités régies par le principe de spécialité législative (Nouvelle-Calédonie, Polynésie française, Wallis-et-Futuna), aucune adaptation n’apparaît nécessaire et ces dispositions sont expressément étendues à ces collectivités.
5.2.3. Textes d’application
Les nouvelles dispositions appellent l’adoption d’un décret en Conseil d’Etat précisant les conditions et les modalités d’application de la nouvelle mesure, en application du nouvel article 706-25-21 du code de procédure pénale.
Article 6 : Droit de communication aux préfets et services de
renseignement des informations relatives aux soins psychiatrique
sans consentement
1. ÉTAT DES LIEUX
1.1. CADRE GENERAL
Depuis 2017, le passage à l’action terroriste de profils présentant des parcours personnels complexes au plan psychiatrique ou psychologique a conduit le ministère de l’Intérieur à considérablement œuvrer à l’amélioration des dispositifs de suivi de ces individus, en lien étroit avec le ministère de la Santé.
Une instruction commune des ministres de l’intérieur et de la santé du 2 février 2018 a notamment permis de renforcer la coopération entre les préfectures et les Agences régionales de santé (ARS) en matière de prévention de la radicalisation, prévoyant en particulier la signature d’une convention entre la préfecture de département et l’ARS compétente fixant la nature et les modalités de leurs échanges.
En outre, la prise en charge des publics en voie de radicalisation et présentant cumulativement des fragilités diverses, dont des troubles du comportement, a été au centre de la création des cellules départementales de suivi pour la prévention de la radicalisation et l’accompagnement des familles (CPRAF). L’apport de la CPRAF est, de par sa composition même, essentiel, là où un seul suivi en groupe d’évaluation départemental (GED) par un service de renseignement démontre ses limites dans la prise en compte de ce type de profils. Alors que les GED ne permettent qu’un suivi sécuritaire, les CPRAF offrent des possibilités d’accompagnements sociaux, éducatifs, médicaux et psychologiques, voire psychiatriques, adaptés à la situation de chaque individu ainsi que de sa famille.
Les actions terroristes commises en 2019 et 2020 ont cependant mis en avant la nécessité de renforcer encore davantage les interactions entre le milieu de la santé et l’autorité administrative, aux fins d’accroître la prévention d’éventuels actes terroristes et d’assurer une prise en charge plus adaptée des profils présentant des troubles du comportement altérant le discernement.
C’est dans ce contexte qu’a été acté, entre les ministères de l’intérieur et de la santé, le besoin de rapprocher le fichier HOPSYWEB26, qui recense et assure le suivi des personnes faisant l’objet de soins psychiatriques sans consentement, et le Fichier de traitement des signalements
26 Créé par le décret n° 2018-383 du 23 mai 2018, le fichier HOPSYWEB est un traitement de données à caractère personnel réalisé à l’échelle départementale, placé sous la responsabilité de chaque agence régionale de santé, relatif au suivi des personnes en soins psychiatriques sans consentement prises en charge en application des dispositions des articles L. 3212-1, L. 3213-1, L. 3213-7, L. 3214-3 du code de la santé publique et 706-135 du code de procédure pénale.
pour la prévention de la radicalisation à caractère terroriste (FSPRT), relevant du ministère de l’intérieur, qui recense et permet d’assurer le suivi des personnes, qui engagées dans un processus de radicalisation, sont susceptibles de vouloir se rendre à l’étranger sur un théâtre d’opérations de groupements terroristes ou de vouloir prendre part à des activités à caractère terroriste. Il ressort du rapport d’information sur les services publics face à la radicalisation, enregistré à la Présidence de l’Assemblée nationale le 27 juin 2019, que 12% des personnes enregistrées dans le FSPRT présenteraient des troubles psychiatriques.
Autorisé par le décret n° 2019-412 du 6 mai 201927 et effectif, sur le plan technique, depuis le 15 juillet 2020, ce rapprochement vise à informer les autorités préfectorales de la présence conjointe dans HOPSYWEB (sur une profondeur de trois ans) et FSPRT d’une même personne.
Parmi les finalités listées à l’article 1er du décret n° 2018-383 du 23 mai 2018, du décret précité, figure désormais au 6° « L'information du représentant de l'Etat sur l'admission des personnes en soins psychiatriques sans consentement nécessaire aux fins de prévention de la radicalisation à caractère terroriste dans les conditions prévues au livre II de la troisième partie du code de la santé publique et à l'article 706-135 du code de procédure pénale ».
Pour cette seule finalité, l’article 2-1 dudit décret (créé par le décret n° 2019-412 du 6 mai 2019) permet désormais la mise en relation des noms, prénoms et dates de naissance des personnes figurant dans ce traitement avec le fichier des signalements pour la prévention de la radicalisation à caractère terroriste (FSPRT).
Lorsque cette mise en relation des traitements révèle une correspondance, le représentant de l’État dans le département où les soins sont délivrés et, le cas échéant, les agents qu’il désigne à cette fin, en sont informés. Cette information permet au représentant de l’État d’adapter le suivi de l’individu connu à raison de sa radicalisation, pour adapter sa prise en charge au regard des troubles psychiatriques révélés.
1.2. CADRE CONSTITUTIONNEL
Le Conseil constitutionnel considère que la liberté proclamée par l'article 2 de la Déclaration des droits de l'Homme et du citoyen de 1789 implique le droit au respect de la vie privée, lequel requiert que soit observée une particulière vigilance dans la collecte et le traitement de données à caractère personnel de nature médicale (décision n° 2004-504 DC du 12 août 2004).
Toutefois, il appartient au législateur d’assurer la conciliation entre, d’une part, la protection de la santé des personnes souffrant de troubles mentaux ainsi que la prévention des atteintes à l’ordre public, nécessaire à la sauvegarde de droits et de principes de valeur constitutionnelle et, d’autre part, la protection des droits et libertés constitutionnellement garantis au nombre desquels figurent la liberté d’aller et venir et le respect de la vie privée, protégés par les articles
27 Décret n° 2019-412 du 6 mai 2019 modifiant le décret n° 2018-383 du 23 mai 2018 autorisant les traitements de données à caractère personnel relatifs au suivi des personnes en soins psychiatriques sans consentement.
2 et 4 de la Déclaration des droits de l’Homme et du citoyen de 1789 (CE 28 déc. 2018, Assoc.
Cercle de réflexion et de proposition d’actions sur la psychiatrie, n° 421329).
Le Conseil constitutionnel a déjà été amené à se prononcer sur la conformité à la Constitution de dispositions législatives organisant un partage, entre différentes autorités, d’informations à caractère confidentiel et en a confronté le principe et les modalités à l’objectif d’intérêt général poursuivi.
Si le législateur peut prévoir un droit de communication entre autorités publiques de données à caractère confidentiel, ce n’est qu’au nom d’un motif d’intérêt général, les atteintes au caractère confidentiel de ces données personnelles devant être adéquates et proportionnées à l’objectif poursuivi (CC 22 mars 2012, Loi relative à la protection de l’identité, n° 2012-652 DC ; 9 octobre 2013, Loi relative à la transparence de la vie publique, n° 2013-676 DC).
Le législateur doit alors définir avec suffisamment de précision les conditions des atteintes portées à la vie privée des personnes concernées, la nature des finalités poursuivies par l’atteinte portée à ce droit, ainsi que les garanties encadrant cette atteinte.
Ont ainsi été considérées comme ne méconnaissant pas le droit au respect de la vie privée, notamment, une dérogation au secret fiscal, dès lors qu’elle ne profite qu’à certaines personnes, dans des conditions clairement définies (CC 29 déc. 1983, Loi de finances pour 1984, n° 86-164 DC).
De même, a été jugé conforme à la Constitution, une disposition déliant un professionnel de l’action sociale de son secret professionnel pour communiquer au maire ou au président du conseil général, des informations confidentielles sur une personne ou une famille, dont l’aggravation des difficultés sociales, éducatives ou matérielles appelait l’intervention de plusieurs professionnel, dès lors que cette transmission d’informations est strictement nécessaire à l’accomplissement de la mission d’action sociale (CC 3 mars 2007, Loi relative à la prévention de la délinquance, n° 2007-553 DC).
Dans cette décision, le Conseil constitutionnel a considéré que le législateur a ainsi assorti les échanges d'informations qu'il a autorisés de limitations et précautions propres à assurer la conciliation qui lui incombe entre, d'une part, le droit au respect de la vie privée et, d'autre part, les exigences de solidarité découlant des dixième et onzième alinéas du Préambule de 1946.
En revanche, dans une décision relative aux dispositions de l’article L. 132-10-1 du code de la sécurité intérieure qui prévoyaient que les autorités judiciaires et les services pénitentiaires d’insertion et de probation peuvent transmettre aux états-majors de sécurité et aux cellules de coordination opérationnelle toute information qu’ils jugeraient utile de leur confier pour l’organisation du suivi des personnes condamnées qu’ils leur auraient désignées, le Conseil constitutionnel (23 sept. 2016, décision n° 2016-569 DC, cons. 25 s.) a certes reconnu que le législateur poursuivait un but d’intérêt général (favoriser l’exécution des peines et prévenir la récidive), mais a considéré qu’en se bornant à prévoir que la transmission pouvait concerner
« toute information (…) sans définir la nature des informations concernées ni limiter leur champ », le législateur a porté une atteinte disproportionnée au droit au respect de la vie privée.
En effet, aucune indication n’était donnée sur la nature ou les catégories d’informations susceptibles d’être transmises, en dehors du fait qu’elles devaient être utiles au suivi de la mesure en milieu ouvert.
Enfin, dans une décision n° 2019-789 QPC du 14 juin 2019, relative au droit de communication des organismes de sécurité sociale, prévu à l’article L. 114-20 du code de la sécurité sociale, le Conseil constitutionnel a fait application des critères dégagés par sa jurisprudence en matière d’échanges, tenant aux finalités qui le justifient, aux éléments sur lesquels ils portent (leur « domaine d’application », selon les termes du Conseil constitutionnel) et notamment sur leur caractère délimité et sur les garanties entourant leur mise en œuvre. Il a jugé conforme à la Constitution le fait que les agents compétents des organismes de sécurité sociale puissent exercer leur droit de communication à des fins de recueil de données bancaires auprès des établissements de crédit et des établissements assimilés, qui, notamment, présentent un lien direct avec l’évaluation de la situation de l’intéressé au regard du droit à prestation ou de l’obligation de cotisation. Il a en revanche censuré l’exercice du droit de réquisition aux fins d’obtenir auprès des opérateurs de communications électroniques les données de connexion conservées par ceux-ci, en se fondant sur le caractère à la fois sensible et non circonscrit de ces données, et donc sur la difficulté à les mettre directement en relation avec l’évaluation de la situation de l’intéressé au regard du droit à prestation ou de l’obligation de cotisation.
1.3. CADRE CONVENTIONNEL
La protection des données à caractère personnel, dont celles relatives à la santé, est capitale non seulement pour protéger la vie privée des malades, mais également pour préserver leur confiance dans le corps médical et les services de santé en général. Les législations internes doivent donc ménager des garanties appropriées pour empêcher toute communication ou divulgation de données à caractère personnel relatives à la santé qui ne serait pas conforme aux garanties prévues à l'art. 8 de la Convention (CEDH 25 févr. 1997, Z. c. Finlande, no 22009/93).
Cette divulgation doit tout d’abord être nécessaire et conformément au paragraphe 2 de l’article 8, une telle ingérence peut être motivée par la défense de l’ordre public.
La communication des seules informations médicales pertinentes à un service administratif peut répondre à un besoin légitime d'un État. Ce besoin peut, par exemple, être celui de vérifier les informations fournies par une personne qui demande à bénéficier de prestations sociales en raison de son état de santé (CEDH 27 août 1997, M. S. c/ Suède, n o
20837/92). En revanche, la
Cour conclut à la violation de l’article 8 s’agissant de la divulgation de dossiers médicaux de témoins de Jéhovah aux autorités de poursuite russes à la suite de leur refus de subir des transfusions sanguines durant leur séjour dans des hôpitaux publics (dans le cadre d’une enquête sur la légalité des activités de cette organisation).
La Cour considère en effet que les autorités n’ont pas ménagé un juste équilibre entre, d’une part, le droit des requérants au respect de leur vie privée et, d’autre part, l’objectif de protection
de la santé publique poursuivi par le procureur. (CEDH 6 juin 2013, Avilkina et a. c. Russie, n° 1585/09).
De même, la Cour relève que le recueil de données à caractère personnel relative à la localisation en temps réel du requérant ne méconnaît pas son droit au respect à la vie privée dès lors que cette ingérence poursuit un but légitime, à savoir la protection de la sécurité nationale, de la sûreté publique et des droits des victimes, ainsi que la prévention des infractions pénales.
En outre, cette collecte de donnée est proportionnée dès lors qu’elle a été opérée après que d’autres mesures d’investigation moins attentatoires à la vie privée se sont révélées inefficaces (CEDH 2 sept. 2010, Uzun c/ Allemagne, n° 35623/05).
En revanche, la Cour conclut à une violation de l’article 8 s’agissant de la divulgation, lors d’une procédure judiciaire, d’informations confidentielles concernant la santé mentale d’un requérant ainsi que de son traitement psychiatrique, alors qu’en l’espèce, les informations ainsi transmises étaient sans influence sur l’issue du litige et que la demande de l’autorité judiciaire était superflue, la santé mentale du requérant ne constituant pas un élément important pour l’enquête, l’instruction ou le procès. (CEDH 29 juin 2006, Panteleyenko c/ Ukraine, n° 11901/02).
La communication doit ensuite être encadrée et proportionnée Ainsi, l’article 8 est méconnu si les modalités de cette communication ne sont pas suffisamment encadrées (CEDH 8 février 2018, Ben Faiza c/ France, n° 31446/12). En effet, si le droit interne doit assurer que les données collectées sont pertinentes et non excessives par rapport aux finalités pour lesquelles elles sont enregistrées, il doit également contenir des garanties de nature à protéger efficacement les données à caractère personnel enregistrées contre les usages impropres ou abusifs (CEDH 4 déc. 2008, S. et Marper c/ Royaume-Uni, n° 30562/04).
Ainsi, l’utilisation, au cours d’une procédure judiciaire de divorce et sans le consentement de l’intéressé, de données à caractère médical le concernant est contraire aux stipulations de l’article 8 précité, la Cour relevant que la législation française n’assortit pas dans ce type de procédure, l’utilisation de telles données relevant la vie privée des personnes de garanties suffisantes (CEDH 10 oct. 2006, L.L. c/ France, n° 7508/02).
En revanche, le maintien, dans les archives d’un hôpital psychiatrique, de données relatives à l’internement d’office d’une patiente, qui ne sont pas accessibles au public mais à des catégories limitativement énumérées de personnes extérieures à l’établissement, ne constitue pas une ingérence disproportionnée au but légitime poursuivi, à savoir la protection de la santé (CEDH 9 juill. 1991, Chave c. France, n° 14032/88)
De même, ne viole pas l’article 8 le dispositif prévoyant une inscription au sein du Fichier judiciaire national automatisé des auteurs d’infractions sexuelles (FIJAIS) dès lors que, outre la finalité légitime du traitement et le caractère proportionné au but poursuivi de la durée de conservation des données, la consultation des données personnelles par les autorités judiciaires
et administratives était régie par une obligation de confidentialités et des circonstances précisément déterminées (CEDH 17 déc. 2009, B.B. c/ France, n° 5335/06).
2. NECESSITE DE LEGIFERER ET OBJECTIFS POURSUIVIS
2.1. NECESSITE DE LEGIFERER
Aux termes de l’article L. 1110-4 du code de la santé publique, toute personne prise en charge par un professionnel ou un organisme de soin régi par ce code « a droit au respect de sa vie privée et du secret des informations la concernant. Excepté dans les cas de dérogation expressément prévus par la loi, ce secret couvre l'ensemble des informations concernant la personne venues à la connaissance du professionnel, de tout membre du personnel de ces établissements, services ou organismes et de toute autre personne en relation, de par ses activités, avec ces établissements ou organismes. Il s'impose à tous les professionnels intervenant dans le système de santé. »
Par suite, seul le législateur peut autoriser des personnes qui ne sont pas des professionnels de santé à avoir accès à des données protégées par le secret médical.
Tel est le cas s’agissant des informations en matière d’admission en soins psychiatriques sans consentement, à la demande d’un tiers ou en cas de péril imminent, sur décision du directeur de l’établissement (articles L. 3212-1 et suivants du code de la santé publique), sur décision du représentant de l’Etat dans le département (articles L. 3213-1 et suivants du code de la santé publique) ou dans le cadre d’une déclaration d’irresponsabilité pénale pour cause de trouble mental sur décision de la chambre d’instruction ou de la juridiction de jugement en application de l’article 705-135 du code de procédure pénale.
Ces trois dispositions prévoient en effet que le représentant de l’État dans le département du lieu d’hospitalisation est informé des principales décisions prises à l’encontre d’un patient admis en soins psychiatriques.
Toutefois, seul le représentant de l’État dans le département du lieu d’hospitalisation est destinataire de ces informations. Ceci explique que seul celui-ci soit informé des données issues de la mise en relation des fichiers HOPSYWEB et FSPRT. Or, certains individus, suivis pour radicalisation à caractère terroriste, peuvent faire l’objet d’une admission en soin psychiatrique dans un département différent de celui dans lequel ils résident, notamment en cas d’admission sur le fondement de l’article L. 3113-1 du code de la santé publique ou en cas d’admission pour péril imminent (2° du II de l’article L. 3212-1 du même code), dès lors que les troubles conduisant à cette admission ont été constatés dans ce département.
Il en résulte une déperdition de l’information pour l’autorité administrative en charge du suivi de la radicalisation à caractère terroriste de l’individu, laquelle peut être départementale ou nationale.
Une modification législative s’impose, dès lors, pour permettre, par dérogation aux dispositions de l’article L. 1110-4 précité, l’information des autorités en charge de ce suivi.
2.2. OBJECTIFS POURSUIVIS
Aux fins de permettre un meilleur suivi des personnes radicalisées présentant des troubles psychiatriques et de prévenir ainsi un éventuel passage à l’acte de nature terroriste, le Gouvernement souhaite autoriser l’information du préfet lorsqu’une personne signalée comme radicalisée fait l’objet d’une mesure de soins sans consentement.
La disposition ainsi ajoutée au code de la santé publique, par l’article L 3211-12-7, permet donc aux autorités administratives chargées du suivi des personnes figurant dans le fichier FSPRT (préfet du département ou services de renseignement) mais différentes du représentant de l’État du département du lieu d’hospitalisation de pouvoir figurer parmi les destinataires de cette mise en relation.
3. OPTIONS POSSIBLES ET DISPOSITIF RETENU
3.1. OPTIONS ENVISAGEES
L’exception au principe posé à l’article L. 1110-4 du code de la santé publique pourrait trouver sa place au sein de ce code ou du code de la sécurité intérieure, eu égard à la finalité de prévention de la radicalisation ainsi poursuivie.
Au sein du code de la sécurité intérieure, il pourrait être envisagé de modifier l’article L. 222-2, qui prévoit l’accès, à des fins de prévention et de répression des atteintes aux intérêts fondamentaux de la nation, de certains agents habilités à des fichiers de traitement de données à caractère personnel.
Toutefois, pour une meilleure lisibilité, il a été considéré que ces dispositions avaient davantage leur place au sein du code de la santé publique qui, d’une part, pose le principe du secret médical et en prévoit les exceptions et d’autre part, encadre le régime des soins psychiatriques sans consentement et les modalités d’information de l’autorité administrative.
C’est d’ailleurs aujourd’hui sur la base des transmissions d’informations prévues par le code de la santé publique qu’est instaurée la mise en relation des fichiers FSPRT et HOPSYWEB.
3.2. DISPOSITIF RETENU
Dans le code de la santé publique, est créé un article L. 3211-12-7 qui prévoit que, aux seules fins d’assurer le suivi d’une personne qui présente une menace grave pour l’ordre public à raison de sa radicalisation à caractère terroriste, le représentant de l’État dans le département et, à
Paris, le préfet de police, ainsi que les services de renseignement (visés aux articles L. 811-2 et L. 811-4 du code de la sécurité intérieure) peuvent se voir communiquer les informations strictement nécessaires à l’accomplissement de leurs missions portées à la connaissance du représentant de l’État dans le département d’hospitalisation en application des articles L. 3212-5, L. 3212-8, L. 3213-9 du code de la santé publique et 706-135 du code de procédure pénale, qui prévoient les différentes voies d’accès à des soins sans consentement.
Ainsi, cette mise en relation des fichiers HOPSYWEB et FSPRT répond à un motif d’intérêt général, comme l’exige le Conseil constitutionnel (CC 22 mars 2012, Loi relative à la protection de l’identité, n° 2012-652 DC) et comme l’a reconnu le Conseil d’État (CE 27 mars 2020, Cercle de réflexion et de proposition d’actions sur la psychiatrie et a., n° 431350), à savoir « prévenir le passage à l’acte terroriste des personnes radicalisées qui présentent des troubles psychiatriques ».
La nécessité de cette mise en relation a été reconnue par le Conseil d’État dans la même décision, dès lors que ne sont mises en relation que les données strictement nécessaires à l’identification des personnes qui, à la fois, sont suivies pour radicalisation et font l’objet de soin psychiatriques sans consentement.
La finalité qui vise donc à partager les informations relatives au suivi des ces personnes entre les deux institutions est donc légitime, afin de mieux prévenir les risques de passage à l’acte des personnes faisant l’objet d’un suivi au titre de la radicalisation terroriste. A cet égard, l’autorité de police administrative en charge de ce suivi doit en particulier être à même de savoir si la personne inscrite dans le fichier de signalement pour la prévention de la radicalisation à caractère terroriste fait à ou a fait l’objet d’une prise en charge psychiatrique, pour adapter son suivi.
Cette mise en relation est également adaptée et proportionnée dès lors, tout d’abord, que les données mises en relations sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie. En effet, seules deux données, pertinentes au regard du but poursuivi, peuvent être potentiellement mises en relation : le suivi d’une personne pour radicalisation et le fait qu’elle fasse ou non l’objet de soin psychiatrique sans consentement (CC 3 mars 2007, Loi relative à la prévention de la délinquance, n° 2007-553 DC). Ne sont rapprochées que des données très limitées, à savoir le nom, le prénom et la date de naissance des personnes concernées, sans aucune autre information plus précise.
D’autre part, les modalités de cette mise en relation sont proportionnées à l’objectif poursuivi de prévenir le passage à l’acte terroriste des personnes radicalisées qui présentent des troubles psychiatriques dès lors que sont seuls destinataires les personnes ayant besoin d’en connaître pour contribuer à atteindre cet objectif (CC 29 déc. 1983, Loi de finances pour 1984, n° 86-164 DC), à savoir le préfet en charge du suivi pour radicalisation à caractère terroriste et les services de renseignement en charge de la prévention des atteintes aux intérêts fondamentaux de la Nation, au nombre desquelles figure la prévention du terrorisme (4° de l’article L. 811-3 du code de la sécurité intérieure).
4. ANALYSE DES IMPACTS DES DISPOSITIONS ENVISAGEES
4.1. IMPACTS JURIDIQUES
Il est créé un nouvel article L. 3211-12-7 au code de la sécurité intérieure.
La mise en relation entre ces deux fichiers, est déjà autorisée par le décret n° 2019-412 du 6 mai 2019 modifiant le décret n° 2018-383 du 23 mai 2018 autorisant les traitements de données à caractère personnel relatifs au suivi des personnes en soins psychiatriques sans consentement La disposition nouvelle ne vise qu’à permettre à d’autres représentant de l’État que celui dans le département du lieu d’hospitalisation, d’utiliser cette plateforme de mise en relation.
4.2. IMPACTS SUR LES SERVICES ADMINISTRATIFS
L’information du préfet chargé du suivi de l’individu au titre de sa radicalisation permettra à l’autorité administrative de mieux adapter son suivi et l’accompagnement qui lui est offert.
4.3. IMPACTS SUR LES PARTICULIERS
Le champ des autorités informées de l’admission en soins sans consentement d’une personne également suivie au titre de sa radicalisation sera étendu, tout en restant circonscrit aux autorités préfectorales de deux départements. Cette information permettra aux personnes concernées de bénéficier d’un accompagnement plus adapté à leurs troubles psychiatriques.
5. CONSULTATIONS ET MODALITES D’APPLICATION
5.1. CONSULTATIONS MENEES
Cette disposition a été présentée à la Commission nationale informatique et liberté qui a rendu son avis le 8 avril 2021.
5.2. MODALITES D’APPLICATION
5.2.1. Application dans le temps
Les dispositions s’appliqueront dès l’entrée en vigueur de la loi.
5.2.2. Application dans l’espace
Les dispositions s’appliqueront, à l’instar de la loi SILT, à l’échelle nationale, y compris dans les collectivités régies par les articles 73 et 74 de la Constitution.
5.2.3. Textes d’application
Le décret n° 2018-383 du 23 mai 2018 autorisant les traitements de données à caractère personnel relatifs au suivi des personnes en soins psychiatriques sans consentement devra être modifié pour permettre d’élargir la liste des accédants à l’information en cas de correspondance entre HOPSYWEB et FSPRT et les protocoles entre ARS et préfectures seront à modifier pour préciser les conditions de la levée de doute intervenant en cas d’identification d’une correspondance.
CHAPITRE II – DISPOSITIONS RELATIVES AU
RENSEIGNEMENT
Article 7 : Transmission de renseignements entre services – Communication d’information aux services de renseignement
1. ÉTAT DES LIEUX
1.1. CADRE GENERAL
Les conditions d’exploitation des renseignements collectés par le biais d’une technique de renseignement sont précisées par l’article L. 822-3 du code de la sécurité intérieure. Celui-ci précise que « les renseignements ne peuvent être collectés, transcrits ou extraits pour d'autres finalités que celles mentionnées à l'article L. 811-3 », « ces opérations [étant] soumises au contrôle de la Commission nationale de contrôle des techniques de renseignement ».
Les transcriptions ou les extractions doivent être détruites dès que leur conservation n'est plus indispensable à la poursuite de ces finalités. Conformément à l’article L. 822-4 du même code, ces opérations de destruction, comme celles de destructions des renseignements bruts collectés, font l’objet d’une information à la CNCTR.
Plusieurs dispositions législatives encadrent par ailleurs les modalités d’échanges de renseignements entre services, ainsi que de communications d’informations à ces services par d’autres administrations et entités publiques.
L’article L. 863-2 du code de la sécurité intérieure prévoit ainsi que « les services spécialisés de renseignement mentionnés à l’article L. 811-2 et les services désignés par le décret en Conseil d’État prévu à l’article L. 811-4 peuvent partager toutes les informations utiles à l’accomplissement de leurs missions ».
En outre, le même article L. 863-2 prévoit, à son deuxième alinéa, que « les autorités administratives mentionnées à l’article 1er de l’ordonnance n° 2005-1516 du 8 décembre 2005 [État, collectivités territoriales, organismes gérant des régimes de protection sociale, etc.] peuvent transmettre aux services de renseignement, de leur propre initiative ou sur requête de ces derniers, des informations utiles à l’accomplissement de leurs missions ».
Enfin, l’article L. 135 S du livre des procédures fiscales prévoit que les services spécialisés de renseignement peuvent, aux fins de recherche et de prévention des atteintes aux intérêts fondamentaux de la nation en matière de sécurité publique et de sûreté de l'État, « demander aux administrations chargées de l'assiette, du recouvrement ou du contrôle des impôts et des
recettes douanières de toutes sortes, sans qu'elles puissent leur opposer le secret professionnel, de leur communiquer tout document utile à l'exercice de leurs missions ».
1.2. CADRE CONSTITUTIONNEL
La transmission d’informations, lorsque celles-ci ont la nature de données à caractère personnel, doit être appréciée au prisme du droit au respect de la vie privée, principe à valeur constitutionnelle que le Conseil constitutionnel tire des articles 2 et 4 de la Déclaration de 1789.
Si le législateur peut y porter des atteintes au nom d’un motif d’intérêt général, celles-ci doivent être adéquates et proportionnées à l’objectif poursuivi (CC 22 mars 2012, Loi relative à la protection de l’identité, n° 2012-652 DC ; 9 octobre 2013, Loi relative à la transparence de la vie publique, n° 2013-676 DC).
À ce titre, le Conseil constitutionnel exige du législateur qu’il définisse avec suffisamment de précision les conditions des atteintes portées à la vie privée des personnes concernées, la nature des finalités poursuivies par l’atteinte portée à ce droit, ainsi que les garanties encadrant cette atteinte.
A ainsi été considérée comme ne méconnaissant pas le droit au respect de la vie privée, une dérogation au secret fiscal, dès lors qu’elle ne profite qu’à certaines personnes, dans des conditions clairement définies (CC 29 déc. 1983, Loi de finances pour 1984, n° 86-164 DC).
De même, a été jugé conforme à la Constitution, une disposition déliant un professionnel de l’action sociale de son secret professionnel pour communiquer au maire ou au président du conseil général, des informations confidentielles sur une personne ou une famille, dont l’aggravation des difficultés sociales, éducatives ou matérielles appelait l’intervention de plusieurs professionnels, dès lors que cette transmission d’informations est strictement nécessaire à l’accomplissement de la mission d’action sociale (CC 3 mars 2007, Loi relative à la prévention de la délinquance, n° 2007-553 DC).
Dans cette décision, le Conseil constitutionnel a considéré que le législateur a assorti les échanges d'informations qu'il a autorisés de limitations et précautions propres à assurer la conciliation qui lui incombe entre, d'une part, le droit au respect de la vie privée et, d'autre part, les exigences de solidarité découlant des dixième et onzième alinéas du Préambule de 1946.
En revanche, dans une décision relative aux dispositions de l’article L. 132-10-1 du code de la sécurité intérieure qui prévoyaient que les autorités judiciaires et les services pénitentiaires d’insertion et de probation peuvent transmettre aux états-majors de sécurité et aux cellules de coordination opérationnelle toute information qu’ils jugeraient utile de leur confier pour l’organisation du suivi des personnes condamnées qu’ils leur auraient désignées, le Conseil constitutionnel (23 sept. 2016, n° 2016-569 DC, cons. 25 s.) a certes reconnu que le législateur poursuivait un but d’intérêt général (favoriser l’exécution des peines et prévenir la récidive), mais a considéré qu’en se bornant à prévoir que la transmission pouvait concerner « toute
information (…) sans définir la nature des informations concernées ni limiter leur champ », le législateur a porté une atteinte disproportionnée au droit au respect de la vie privée.
En effet, aucune indication n’était donnée sur la nature ou les catégories d’informations susceptibles d’être transmises, en dehors du fait qu’elles devaient être utiles au suivi de la mesure en milieu ouvert.
Enfin, dans une décision n° 2019-789 QPC du 14 juin 2019, Mme Hanen S., relative au droit de communication des organismes de sécurité sociale, prévu à l’article L. 114-20 du code de la sécurité sociale, le Conseil constitutionnel a fait application des critères dégagés par sa jurisprudence en matière d’échanges, tenant aux finalités qui le justifient, aux éléments sur lesquels ils portent (leur « domaine d’application, selon les termes du Conseil constitutionnel) et notamment sur leur caractère délimité et sur les garanties entourant leur mise en œuvre. Il a jugé conforme à la Constitution le fait que les agents compétents des organismes de sécurité sociale puissent exercer leur droit de communication à des fins de recueil de données bancaires auprès des établissements de crédit et des établissements assimilés, qui, notamment, présentent un lien direct avec l’évaluation de la situation de l’intéressé au regard du droit à prestation ou de l’obligation de cotisation. Il a en revanche censuré l’exercice du droit de réquisition aux fins d’obtenir auprès des opérateurs de communications électroniques les données de connexion conservées par ceux-ci, en se fondant sur le caractère à la fois sensible et non circonscrit de ces données, et donc sur la difficulté à les mettre directement en relation avec l’évaluation de la situation de l’intéressé au regard du droit à prestation ou de l’obligation de cotisation.
1.3. CADRE CONVENTIONNEL
S’agissant de la transmission entre différentes autorités, d’informations revêtant le caractère de données personnelles protégées par l’article 8 de la CEDH, la Cour européenne des droits de l’Homme a notamment pu juger que la communication par un service médical à un organisme de sécurité sociale du dossier médical d’une patiente ne méconnaissait pas le droit au respect de la vie privée. Pour conclure ainsi, la Cour relève que le service médical a eu des raisons pertinentes et suffisantes de communiquer à l’organisme de sécurité sociale le dossier médical de la requérante et que la mesure n'avait pas été disproportionnée au but légitime poursuivi, à savoir, en permettant à l’organisme de vérifier si se trouvaient réunies les conditions auxquelles la requérante pouvait bénéficier d'une indemnité pour invalidité professionnelle, de protéger le bien-être économique du pays. En outre, s’agissant de la condition tenant à ce que les restrictions au droit au respect de la vie privée doivent être « prévues par la loi », la Cour relève que la communication de telles informations est soumise à des limitations importantes et assortie de garanties effectives et satisfaisantes contre les abus (CEDH 27 août 1997, n° 20837/92).
En revanche, la Cour conclut à la violation de l’article 8 s’agissant de la divulgation de dossiers médicaux de témoins de Jéhovah aux autorités de poursuite à la suite de leur refus de subir des transfusions sanguines durant leur séjour dans des hôpitaux publics (dans le cadre d’une enquête sur la légalité des activités de cette organisation).
La Cour considère en effet que les autorités n’ont pas ménagé un juste équilibre entre, d’une part, le droit des requérants au respect de leur vie privée et, d’autre part, l’objectif de protection de la santé publique poursuivi par le procureur (CEDH 6 juin 2013, Avilkina et a. c. Russie, n° 1585/09).
2. NECESSITE DE LEGIFERER ET OBJECTIFS POURSUIVIS
En l’état du droit, l’autorisation de mise en œuvre des techniques de recueil de renseignement, telle qu’encadrée par les articles L. 821-2 et suivants du code de la sécurité intérieure, est délivrée à un service de renseignement donné, au titre d’une ou plusieurs finalités figurant dans les missions de ce service, pour une ou plusieurs techniques dont la mise en œuvre est autorisée par la loi pour la finalité poursuivie, et pour des motifs expressément précisés.
Le recueil de renseignements sur le fondement de l’une des techniques du livre VIII est donc subordonné à un triple encadrement destiné à garantir la proportionnalité de l’atteinte à la vie privée : l’autorisation de mise en œuvre délivrée par le Premier ministre désigne la ou les finalités poursuivies, la technique autorisée et le service chargé de la mettre en œuvre.
Une fois collectés, si les renseignements s’avèrent utiles à d’autres finalités et à d’autres services, les intérêts fondamentaux de la Nation peuvent justifier voire commander la transmission de ces renseignements, ce qui suppose nécessairement de sortir du cadre initialement fixé pour la mise en œuvre de la technique ayant permis leur recueil.
Ainsi, par exemple, si la mise en œuvre d’une technique de recueil de renseignement au titre de la finalité de prévention de la criminalité organisée (6° du L. 811-3) aboutit au recueil de renseignements pertinents au regard de la finalité de prévention du terrorisme (4° du L. 811-3), il appartient au service qui a recueilli ces renseignements de les transmettre aux services de renseignement qui concourent à la lutte contre le terrorisme.
Une telle possibilité est déjà induite par la loi. En effet, en posant un principe d’interdiction des extractions ou des transcriptions sans rapport avec l’une des finalités de l’article L. 811-3 (et non avec la finalité ayant justifié l’autorisation de mettre en œuvre la technique de renseignement), le premier alinéa de l’article L. 822-3 permet déjà de transcrire et d’exploiter des renseignements recueillis au titre d’une finalité mais s’avérant ensuite correspondre à d’autres finalités énumérées à l’article L 811-3 ; d’autre part, l’article L. 863-2 permet que les services de renseignement partagent entre eux ces renseignements, comme toute autre information utile à leurs missions.
Ceci étant, les dispositions du premier alinéa de l’article L. 863-2 apparaissent superfétatoires dans la mesure où le simple dialogue entre services de renseignements n’a pas à être spécifiquement encadré, alors qu’elles n’apportent en revanche, par elles-mêmes, aucune précision s’agissant de l’encadrement des échanges de renseignements collectés par la mise en œuvre d’une technique de recueil de renseignement.
En effet, ces dispositions visent le partage « d’informations » entre services de renseignement, notion plus large que celle de « renseignements » recueillis par la mise en œuvre d’une technique de recueil de renseignement et qui peut concerner des informations recueillies par d’autres moyens (par exemple auprès d’une source humaine ou en source ouverte).
On rappellera que cette disposition est issue d’un amendement du rapporteur du projet de loi relatif au renseignement devant l’Assemblée nationale, qui relevait que le Gouvernement envisageait de déposer un amendement aux fins d’autoriser les échanges d’informations entre l’administration pénitentiaire et les différents services concourant aux activités de renseignement alors qu’il était muet sur le possible échange d’informations entre les autres services, pour lesquels les dispositions de la loi sur le renseignement trouvaient déjà à jouer et offraient un certain nombre de garanties. Craignant de créer un a contrario, cet amendement avait donc pour seul objet, par parallélisme des formes, de « maintenir les capacités de dialogue entre les administrations publiques sur les thématiques décisives pour la sécurité de[s] concitoyens ».
Le partage des renseignements nécessaires à l’exercice des missions de chacun des services de la communauté du renseignement est une condition essentielle de l’efficacité de l’action qu’ils mènent pour la défense et la promotion des intérêts fondamentaux de la Nation.
Il apparaît donc nécessaire, pour les favoriser et rendre plus lisible leur encadrement, d’expliciter les conditions de transmission de renseignements collectés entre services de renseignement, afin que des données recueillies par la mise en œuvre d’une technique de renseignement sollicitée par un service et qui pourraient s’avérer utiles à un autre puissent être partagées avec lui, pour l’accomplissement de ses missions.
Par ailleurs, le deuxième alinéa de l’article L. 863-2 prévoit la possibilité pour les autorités administratives mentionnées à l’article 1er de l’ordonnance n° 2005-1516 du 8 décembre 2005 (État, collectivités territoriales, organismes gérant des régimes de protection sociale, etc.) de transmettre aux services de renseignement, de leur propre initiative ou sur requête de ces derniers, des informations utiles à l’accomplissement de leurs missions.
Là encore, si ces transmissions s’avèrent souvent indispensables pour permettre aux services de renseignement de mener à bien leurs missions, il convient de mieux les encadrer, en précisant les informations concernées, les finalités au titre desquelles cette transmission est possible au regard des exigences du Conseil constitutionnel en la matière et du cadre conventionnel, les garanties qui l’entourent et notamment les obligations de traçabilité qui en découlent, plus spécifiquement lorsque les informations transmises sont susceptibles de faire l’objet, de la part des services de renseignement, d’un traitement de données à caractère personnel Pour rappel, les traitements automatisés de données à caractère personnel mis en œuvre par les services de renseignement font l’objet, en application de la loi du 6 janvier 1978 susmentionnée, d’un encadrement rigoureux. En application de l’article 31 de cette loi, dans la mesure où ils sont mis œuvre par l’État et intéressent la sûreté de l’État, la défense ou la sécurité publique, ces traitements doivent préalablement être autorisés par un acte réglementaire – selon la
sensibilité des données, un arrêté ministériel ou un décret en Conseil d’État – après avis de la Commission nationale de l’informatique et des libertés (CNIL). En outre, l’article 33 de la même loi prévoit que dans ces cas, la demande d’avis adressée à la CNIL précise obligatoirement les finalités poursuivies par le traitement concerné, les catégories de données collectées, la durée de conservation des informations ou encore les services qui peuvent en être rendus destinataires. La plupart de ces éléments figurent par ailleurs dans l’acte réglementaire autorisant le traitement, en application de l’article 35 de la loi du 6 janvier 1978.
Ainsi, le renvoi opéré par l’article L. 863-2 aux conditions applicables au fichier de destination permet de s’assurer du strict respect de ces conditions de traitement des données personnelles, fixées par des dispositions législatives et réglementaires, dont le contrôle est assuré par la CNIL.
3. OPTIONS POSSIBLES ET DISPOSITIF RETENU
3.1. OPTIONS ENVISAGEES
S’agissant des transmissions de renseignements entre services de renseignements, il aurait pu être envisagé de compléter, voire de remplacer, les dispositions sur le partage d’informations entre services du premier alinéa de l’article L. 863-2 du code de la sécurité intérieure par une explicitation des modalités du partage de renseignements entre services de renseignement.
Il a toutefois été considéré que cette disposition se référait à des notions étrangères à celles que le législateur de 2015 a retenues, puisqu’il a encadré le recueil par les services de données au moyen de techniques de renseignement, de sorte que le terme d’informations n’est pas adéquat.
En outre, il est apparu plus cohérent de traiter de cette question en explicitant certaines dispositions-cadres du livre VIII régissant le recueil de données brutes, leur extraction et leur transcription ou les obligations de traçabilité des services de renseignement.
L’article L. 822-3 mentionné infra, qui régit la collecte, l’extraction et la transcription des renseignements et autorise déjà un décloisonnement entre la finalité ayant justifié le recueil et celles permettant l’extraction et la transcription (« Les renseignements ne peuvent être collectés, transcrits ou extraits pour d’autres finalités que celles mentionnées à l’article L. 811-3 ») apparaît ainsi offrir le cadre le plus adapté pour préciser le régime de transmission des renseignements ainsi collectés, transcrits et extraits.
En revanche, l’alinéa 2 de l’article L. 863-2 est encadré et précisé pour concilier davantage l’atteinte portée à la vie privée par les transmissions qu’il prévoit, avec des finalités mieux délimitées et des garanties plus étendues.
3.2. DISPOSITIF RETENU
3.2.1. S’agissant des transmissions de renseignements entre services (I à V)
Le I de l’article 7 explicite deux possibilités déjà induites par la loi, mais qui ne font aujourd’hui l’objet d’aucun encadrement : d’une part, il prévoit à l’article L. 822-3 que si un service de renseignement obtient des renseignements utiles à la poursuite d’une finalité différente de celle qui en a justifié le recueil, il peut les transcrire ou les extraire pour le seul exercice de ses missions ; d’autre part, il explicite les conditions dans lesquelles les renseignements recueillis par un service de renseignement peuvent être transmis à un autre service lorsque cette transmission est strictement nécessaire à l’exercice des missions du service destinataire.
Ces échanges d’informations n’ont en principe pas à faire l’objet d’une procédure spécifique d’autorisation, sauf à alourdir inutilement et à freiner les échanges entre services, alors que leurs missions et leurs méthodes de travail supposent une coopération étroite.
L’article 7 prévoit toutefois deux tempéraments à ce principe.
D’une part, lorsqu’un service de renseignement découvre, dans le cadre de l’exploitation des renseignements recueillis, qu’ils intéressent une autre finalité que celle ayant justifié le recueil, les renseignements bruts (i.e., dans l’état dans lequel ils ont été recueillis, renseignements que la loi désigne par les termes de « renseignements collectés ») ne pourront être transmis à un autre service qu’après autorisation du Premier ministre donnée après avis de la Commission nationale de contrôle des techniques de renseignement dans les conditions de forme et de procédure prévues aux articles L. 821-1 et L. 821-5. Les renseignements extraits ou transcrits pourront en revanche être transmis sans autorisation.
D’autre part, et en toute hypothèse, la transmission de renseignements bruts comme de renseignements extraits ou transcrits est subordonnée à une autorisation du Premier ministre après avis de la CNCTR lorsqu’ils sont issus de la mise en œuvre d’une technique de recueil de renseignement à laquelle le service destinataire n’aurait pu recourir au titre de la finalité motivant la transmission.
Il convient en effet de rappeler :
- d’une part, que la possibilité de mettre en œuvre certaines techniques de renseignements est limitée à certaines des finalités prévues à l’article L. 811-3 (en particulier la prévention du terrorisme : tel est le cas de la détection en temps réel prévue à l’article L. 851-2 et de la mise en œuvre de traitements automatisés sur les réseaux des opérateurs prévue à l’article L. 851-3) ;
- d’autre part, que les services de renseignement du second cercle, à la différence des services spécialisés de renseignement, ne peuvent pas mettre en œuvre la totalité des techniques de renseignement prévues par la loi, mais seulement celles auxquelles un décret en Conseil d’Etat leur donne accès et qui peuvent varier suivant les finalités poursuivies.
Pour autant, certaines situations opérationnelles peuvent justifier qu’un service de renseignement transmette à un autre service les renseignements recueillis alors même que ce
dernier n’aurait pu mettre en œuvre lui-même, pour la finalité justifiant que le renseignement lui soit transmis, la technique de recueil qui en a permis la collecte. Cette transmission, qui devra être dûment motivée, sera soumise à une autorisation du Premier ministre prise après avis de la CNCTR dans les conditions de forme et de procédure prévues aux articles L. 821-1 et L.
821-5.
Plusieurs autres garanties sont prévues pour garantir la nécessité et la proportionnalité des transmissions prévues par l’article 7 :
- la transmission d’un renseignement à un autre service est sans incidence sur sa durée de conservation, qui commence à courir à la date de son recueil, conformément aux dispositions de l’article L. 822-2. Chaque service, qu’il transmette ou qu’il soit destinataire d’un renseignement, devra veiller au respect de ces durées maximales de conservation et veiller à la destruction des renseignements qui lui ont été transmis ;
- chaque service de renseignement, qu’il transmette ou soit destinataire de renseignement, étant « responsable » de la destruction des renseignements au terme de leur durée légale de conservation, il est imposé un système de contrôle interne à chaque service, chargé de veiller au respect de ces règles. Ainsi, le projet prévoit la désignation par le responsable de chaque service de renseignement, pour assurer le respect de ces durées de conservation par les services destinataires, d’un agent chargé de veiller à ce que les renseignements recueillis par son service et transmis à un autre aient bien été détruits dans les conditions définies à l’article L. 822-4. Cet agent qui assure une traçabilité des transmissions, est informé de la destruction des renseignements ainsi transmis et peut rendre compte de toute difficulté dans l’application de cette disposition ;
- outre qu’elle est consultée pour avis avant que ne puisse être délivrée l’autorisation requise pour la transmission de certains renseignements, conformément au 2° du II de l’article L. 822-3, la CNCTR exerce un contrôle renforcé sur ces transmissions.
Ce contrôle comporte un volet « permanent » et un volet « en temps réel », explicités à l’article L. 822-4 :
- les opérations de destruction des renseignements collectés, leurs transcription et leurs extractions font l’objet de relevés tenus à la disposition de la CNCTR. Afin de garantir la traçabilité des échanges et les moyens de contrôle de la commission, il est proposé d’inclure parmi les opérations donnant lieu à de tels relevés, les transmissions de renseignements entre services, ces relevés devant préciser la nature, la date et la finalité des transmissions réalisées ainsi que le service destinataire. Par son accès permanent à ces relevés, la CNCTR sera ainsi informée sur les transmissions de renseignement entre services. Elle disposera également, dans les conditions fixées à l’article L. 854-9 du code de la sécurité intérieure, d’un accès permanent, complet et direct aux transmissions, comme pour les renseignements collectés, les transmissions et les extractions ;
- afin de permettre à la CNCTR d’exercer un contrôle en temps réel sur les opérations qui pourraient, le cas échéant, requérir son intervention rapide, l’article L. 822-4 est également modifié pour prévoir que, lorsque les transcriptions, extractions ou les transmissions poursuivent une finalité différentes de celle au titre de laquelle les renseignements ont été recueillis, les relevés qui font état de ces opérations sont immédiatement transmis à cette Commission.
- Le IV de l’article 7 prévoit, en modifiant à ce titre l’article L. 854-6, que les opérations de destruction des renseignements collectés par le biais de mesures de surveillance des communications internationales, leurs transcriptions, leurs extractions et leurs transmissions sont également soumises au même régime, fixé à l’article L. 822-4 du CSI.
- Enfin, est également modifié l’article L. 833-6, au V de l’article 7, permettant à la CNCTR d’adresser à tout moment au Premier ministre, au ministre responsable de son exécution et au service concerné une recommandation tendant à ce que les renseignements transmis soient détruits lorsqu'elle estime que leur transmission entre services a été effectuée en méconnaissance de l’article L. 822-3. La commission pourra tirer toutes les conséquences qui résulteraient de l’absence de suite donnée à ses recommandations en ce domaine, en saisissant la formation spécialisée du Conseil d’Etat afin que le juge des techniques de renseignements ordonne, s’il y a lieu, au service à l’origine d’une transmission irrégulière d’y mettre fin ou au service destinataire de supprimer les renseignements qu’il aurait irrégulièrement reçus.
3.2.2. S’agissant des transmissions d’informations par les autorités administratives aux services de renseignement (VI et VII)
Ces informations sont précieuses pour les services de renseignement qui peuvent solliciter les autorités administratives mentionnées à l’article L. 863-2 sur un dossier ponctuel ou bénéficier d’une transmission dont celles-ci auraient l’initiative. En effet, les services de renseignement sont en partie dépendants des informations qui leur sont transmises par d’autres administrations qui détectent des signaux faibles dans le cadre de leur activité. Il est possible de citer, à titre d’exemple, les signalements de radicalisation qui sont faits aux numéros verts dédiés, par les services sociaux, l’éducation nationale etc.
Les services de renseignement doivent en outre pouvoir solliciter les administrations pour accéder à des informations disponibles. A contrario, priver les services de renseignement de la possibilité de solliciter ou de recevoir des informations des autorités administratives reviendrait à les priver d’une partie des informations qui leur sont nécessaires pour l’accomplissement de leurs misions ou à les inciter à recourir à des techniques de renseignement non nécessaires.
Cette possibilité s’articule donc avec le principe de nécessité et de proportionnalité du recours à la mise en œuvre d’une technique de renseignement.
Le VI de l’article 7 encadre davantage les conditions de ces transmissions :
- les informations sont adressées aux seuls services de renseignements ;
- les personnes destinataires de ces informations sont tenues au secret professionnel dans les conditions et sous les peines prévues aux articles 226-13 et 226-14 du code pénal ;
- les informations en cause peuvent, le cas échéant, être couvertes par l’un des secrets protégés par la loi ;
- elles doivent toutefois être strictement nécessaires à l’accomplissement des missions desdits services et la transmission doit concourir à la défense et la promotion des intérêts fondamentaux de la Nation, mentionnés à l’article L. 811-3 ;
- lorsque ces informations sont versées dans un traitement de données à caractère personnel, elles sont conservées dans les conditions applicables à ce traitement ;
- Les informations sont détruites dès lors qu’elles ne sont plus nécessaires à l’accomplissement des missions pour lesquelles elles ont été transmises ;
- une traçabilité des transmissions est organisée par chaque service destinataire, assurée par l’agent chargé de veiller au respect des durées de conservation des renseignements transmis entre services de renseignement, tel que prévu à l’article L. 822-3.
Il s’agira, a priori, du même agent qui devra, pour assurer la traçabilité sus-évoquée, mettre en place une organisation garantissant également la confidentialité des informations et l’habilitation des personnes permettant de les réceptionner.
Par voie de conséquence de la création de ce dispositif, le VII de l’article 7 supprime les dispositions de l’article 135 S du livre des procédures fiscales, qui fixent les modalités de transmission d’informations aux services de renseignement par l’administration fiscale, dont l’objet est, de facto, couverte par la nouvelle disposition créée.
Enfin, le VIII de l’article 7 prévoit la possibilité d’écarter partiellement le droit d’accès aux informations contenues dans un traitement de données personnelles d’une administration, s’agissant spécifiquement de l’information selon laquelle un service de renseignement a été rendu destinataire de données contenues dans le traitement. Cette dérogation vise à assurer la protection des modes opératoires des services de renseignement afin que les personnes concernées ne soient pas informées de ce qu’elles font l’objet d’un suivi par les services de renseignement.
Un décret en Conseil d’État est prévu pour l’application de cette mesure, afin de préciser les modalités particulières de ces transmissions. Son entrée en vigueur conditionnera l’abrogation de l’article L. 135 S du livre des procédures fiscales, lequel instaure, à la charge des seuls services de l’administration fiscale, un droit de communication au bénéfice des services de renseignements, aux fins de recherche et de prévention des atteintes aux intérêts fondamentaux de la Nation en matière de sécurité publique et de sûreté de l'État.
Dès lors que le VI de l’article 7 entrera en vigueur, cette disposition spéciale sera superfétatoire et son abrogation effective.
4. ANALYSE DES IMPACTS DES DISPOSITIONS ENVISAGEES
4.1. IMPACTS JURIDIQUES
4.1.1. Impacts sur l’ordre juridique interne
Les articles L. 822-3, L. 822-4, L. 833-2, L. 833-6, L. 854-6, L. 863-2 du code de la sécurité intérieure, l’article L. 135 S du livre des procédures fiscales et les articles 48 et 49 de la loi n° 78-17 du 6 janvier 1978 sont modifiés.
Les transmissions de renseignement et d’informations prévues par l’article 10, compte tenu des garanties dont elles sont entourées et exposées supra, assurent une conciliation équilibrée entre les objectifs de sauvegarde des intérêts fondamentaux de la Nation et de prévention des atteintes à l’ordre public et des infractions, d’une part, et le droit au respect de la vie privée tel qu’il est garanti par les articles 2 et 4 de la Déclaration de 1789, d’autre part.
4.1.2. Articulation avec le droit international et le droit de l’Union européenne Dès lors que les finalités de sauvegarde des intérêts fondamentaux de la Nation qu’elles poursuivent, mentionnées à l’article L. 811-3 du code de la sécurité intérieure, concourent à la sécurité nationale, laquelle relève de la seule responsabilité des États membres en application de l’article 4 §2 du traité sur l’Union européenne, les dispositions relatives aux transmissions d’information entre services de renseignement et vers ces services échappent au droit de l’Union européenne.
Par ailleurs, compte tenu des garanties précédemment exposées, elles sont conformes aux exigences résultant de l’article 8 de la Convention européenne de sauvegarde des droits de l’Homme et des libertés fondamentales et de la jurisprudence de la Cour rappelée supra.
4.2. IMPACTS SUR LES SERVICES ADMINISTRATIFS
4.2.1. S’agissant des transmissions de renseignements entre services Conformément aux nouvelles dispositions de l’article L. 822-3 du code de la sécurité intérieure, chaque chef de service de renseignement mentionné à l’article L. 811-2 du code de la sécurité intérieure ou d’un service désigné par le décret en Conseil d’Etat prévu à l’article L. 811-4 du même code devra désigner un agent qui aura pour mission de contrôler la bonne application des modalités légales de transmission de renseignements entre services, et notamment de s’assurer de la destruction des renseignements transmis une fois leur durée de conservation dépassée.
Pour s’en assurer, il devra mener des échanges avec ses homologues désignés dans les autres services de renseignement.
En outre, la rédaction des relevés visés par les dispositions de l’article L. 822-4 du code de la sécurité intérieure devra désormais intégrer les opérations de transmission des renseignements entre services effectuées sur le fondement du II de l’article L. 822-3.
4.2.2. S’agissant des transmissions d’informations des autorités administratives aux services de renseignements
La mise en œuvre de cette disposition exige, à l’instar des transmissions de renseignements entre services de renseignement, la mise en place d’une traçabilité des échanges, qui devra être assurée par l’agent chargé de veiller au respect des durées de conservation des renseignements transmis entre services de renseignement, tel que prévu à l’article L. 822-3.
Il s’agira, a priori, du même agent qui devra, pour assurer la traçabilité sus-évoquée, mettre en place une organisation garantissant également la confidentialité des échanges, lorsque les échanges entrent dans le champ d’un secret professionnel.
4.3. IMPACTS SUR LES PARTICULIERS
Les transmissions de renseignements entre services de renseignement, ou entre ces derniers et d’autres administrations de l’État, répondront à un cadre strict fixé par le législateur, garantissant une atteinte adaptée et proportionnée au droit au respect de la vie privée.
5. CONSULTATIONS ET MODALITES D’APPLICATION
5.1. CONSULTATIONS MENEES
Cette disposition a été présentée à la Commission nationale de contrôle des techniques de renseignement en application de l’article L. 833-11 du code de la sécurité intérieure qui a rendu son avis le 7 avril 2021.
Cette disposition a été présentée à la Commission nationale informatique et liberté qui a rendu son avis le 8 avril 2021.
5.2. MODALITES D’APPLICATION
5.2.1. Application dans le temps
Ces dispositions entrent en vigueur immédiatement, à l’exception de celles tenant aux transmissions d’informations des autorités administratives aux services de renseignements, dont un décret définit les modalités et de celles abrogeant l’article L. 135 S du livre des procédures fiscales, dont l’entrée en vigueur est subordonnée à l’intervention dudit décret.
5.2.2. Application dans l’espace
Les dispositions s’appliqueront à l’échelle nationale, y compris dans les collectivités régies par les articles 73 et 74 de la Constitution.
5.2.3. Texte d’application Un décret en Conseil d’État est nécessaire.
Article 8 : Conservation de données pour les travaux de recherche et développement
1. ÉTAT DES LIEUX
1.1. CADRE GENERAL
Les durées de conservation des renseignements recueillis sur le territoire national par l’une des techniques de recueil de renseignement prévue au livre VIII varient selon la nature de ces données. Ces durées sont précisées à l’article L. 822- 2 du code de la sécurité intérieure :
- 30 jours à compter de leur recueil pour les correspondances interceptées en application des articles L. 852-1 et L. 852-2 et pour les paroles captées en application de l'article L.
853-1 ;
- 120 jours à compter de leur recueil pour les renseignements collectés par la mise en œuvre des techniques mentionnées au chapitre III du titre V du présent livre, à l'exception des informations ou documents mentionnés à l'article L. 851-1. Sont concernées par cette durée les images dans un lieu privé en application de l’article L.
853-1 ainsi que les données informatiques recueillies en application de l’article L. 853-2 ;
- quatre ans à compter de leur recueil pour les informations ou documents mentionnés à l'article L. 851-1, c’est-à-dire les données de connexion.
Ces renseignements peuvent être conservés au-delà de ces durées pour trois motifs :
- aux fins de déchiffrement de renseignements chiffrés, le délai courant alors à compter de ce déchiffrement et la durée de conservation ne pouvant, en tout état de cause, excéder six ans ;
- aux fins d’analyse technique d’éléments de cyber-attaque ou d’éléments de chiffrement et à l'exclusion de toute utilisation pour la surveillance des personnes concernées ;
- pour les besoins de la procédure devant le Conseil d'État prévue à l’article L. 841-1 du code de la sécurité intérieure.
1.2. CADRE CONSTITUTIONNEL
Dans le cadre de son examen de la loi relative au renseignement de 2015 (23 juill. 2015, n° 2015-713), le Conseil constitutionnel a relevé « qu’en prévoyant de telles durées de conservation en fonction des caractéristiques des renseignements collectés ainsi qu’une durée maximale de conservation de six ans à compter du recueil des données chiffrées, au-delà de laquelle les renseignements collectés doivent être détruits, le législateur n’a méconnu aucune exigence constitutionnelle », avant de déclarer l’article L. 822-2 du code de la sécurité intérieure conforme à la Constitution.
Là encore, un régime de conservation de données relatives à des personnes doit être apprécié par le prisme du droit au respect de la vie privée, principe à valeur constitutionnelle que le Conseil constitutionnel tire de l’article 2 de la Déclaration de 1789. Il convient donc d’être particulièrement attentif d’une part, à la finalité poursuivie par l’atteinte portée à ce droit et, d’autre part, à la précision avec laquelle cette atteinte est encadrée et aux autres garanties qui l’entourent.
Ainsi un régime de conservation de données, institué dans un but légitime de développement des outils susceptibles de concourir à la protection des intérêts fondamentaux de la Nation, sera d’autant moins de nature à heurter le principe du respect du droit à la vie privée que les données en cause seront expurgées des éléments susceptibles d’apporter des précisions essentielles sur la vie privée des personnes.
1.3. CADRE CONVENTIONNEL
Le droit au respect de la vie privée et des correspondances est garanti par l’article 8 de la Convention européenne de sauvegarde des droits de l’Homme et des libertés fondamentales.
La Cour européenne des droits de l’Homme considère que « le simple fait de mémoriser des données relatives à la vie privée d’un individu constitue une ingérence au sens de l’article 8 (...). Peu importe que les informations mémorisées soient ou non utilisées par la suite (...).
Toutefois, pour déterminer si les informations à caractère personnel conservées par les autorités font entrer en jeu [un aspect] de la vie privée (...), la Cour tiendra dûment compte du contexte particulier dans lequel ces informations ont été recueillies et conservées, de la nature des données consignées, de la manière dont elles sont utilisées et traitées et des résultats qui peuvent en être tirés (...). » (CEDH, Gde Chambre, 4 déc. 2008, n° 30562/04). De même, la Cour a jugé que « la protection des données à caractère personnel joue un rôle fondamental pour l’exercice du droit au respect de la vie privée et familiale consacré par l’article 8 de la Convention. La législation interne doit donc ménager des garanties appropriées pour empêcher toute utilisation de données à caractère personnel qui ne serait pas conforme aux garanties prévues dans cet article (...).Le droit interne doit notamment assurer que ces données soient pertinentes et non excessives par rapport aux finalités pour lesquelles elles sont enregistrées, et qu’elles soient conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire aux finalités pour lesquelles elles sont enregistrées (...). [Il] doit aussi contenir des garanties de nature à protéger efficacement les données à caractère personnel enregistrées contre les usages impropres et abusifs (...) ».
Il en résulte que le respect, par un régime de conservation de données (en l’occurrence de données de renseignement), des dispositions de l’article 8 de la l’article 8 de la Convention européenne de sauvegarde des droits de l’Homme et des libertés fondamentales, devra s’apprécier au regard de la circonstance que ces données ne sont conservées sous une forme permettant l’identification des personnes que tant qu’elles s’avèrent nécessaires aux finalités pour lesquelles elles ont été enregistrées (c’est, actuellement, le régime fixé par les dispositions
de l’article L. 822-2 du code de la sécurité intérieure). Mais, a contrario, la jurisprudence précitée autorise une conservation plus longue de ces données dès lors que celles-ci ont été modifiées pour en extraire les éléments susceptibles de porter atteinte à la vie privée des personnes (identification des personnes concernées) et que cette conservation est justifiée par les « résultats qui peuvent en être tirés » en terme, par exemple, de développement des outils concourant à préserver la sécurité des États.
2. NECESSITE DE LEGIFERER ET OBJECTIFS POURSUIVIS
2.1. NECESSITE DE LEGIFERER
La mise en œuvre des techniques de renseignement et le travail de transcription et d’extraction des renseignements pertinents nécessitent le recours à des dispositifs techniques ou informatiques particuliers. L’amélioration de ces dispositifs de collecte, d’extraction ou de transcription requiert souvent un travail de recherche et de développement conduit sur des données étroitement comparables à celles qui sont collectées via les techniques de renseignement : traitement d’enregistrement vocaux opérationnels, couverts volontairement ou non par des bruits de fond, d’images captées par un dispositif vidéo camouflé par exemple.
Or, les modèles d’apprentissage ont besoin de données pour s’entraîner avant d’être confrontés à des données inconnues. Plus les réseaux de neurones qui constituent ces modèles d’apprentissage disposent de données pertinentes, c’est-à-dire aussi proches que possible de celles obtenues dans un contexte opérationnel, pour apprendre, plus ils sont performants et précis, la quantité de données nécessaires à leur entraînement étant directement proportionnelle à la complexité du problème à résoudre. Ceci s’applique au traitement de l’image, de la parole, du texte, ou bien d’autres types de données plus ou moins structurées et hétérogènes, extraction des informations d’intérêt telles qu’un son, une conversation dans un environnement bruyant, l’accélération du traitement de la vidéo par l’élimination ou sélection de scènes sur requête sémantique.
Véritable freins technologiques, la collecte et la catégorisation des données nécessaires à la mise au point de ces techniques de recueil s’avèrent extrêmement chronophages et ralentissent le travail des équipes de recherche et développement.
Celles-ci se trouvent confrontées à une double difficulté du fait :
- de l’absence de possibilité de conservation, à des fins de recherche et de développement, des données issues des techniques de renseignement mises en œuvre dans les conditions prévues par le livre VIII du code de la sécurité intérieure ;
- des durées de conservation imposées par les dispositions des articles L. 822-2 du code de la sécurité intérieure et strictement encadrées.
Dès lors, il n’est pas possible de conserver des renseignements, même dépourvus de tout élément d’identification permettant de les rattacher aux objectifs au titre desquels ils ont été recueillis, à des fins de développement ou de formation.
2.2. OBJECTIFS POURSUIVIS
Le but des actions de recherche qui seraient mises en œuvre par les services de renseignement est l’optimisation d’une fonction mathématique à partir d’un jeu souvent très volumineux de données, qualifié de jeu d’apprentissage. Ces modèles d’apprentissage visent à améliorer les capacités d’analyse des services et à apporter une aide à l’enquêteur dans l’exploitation de volumes souvent conséquents de données collectées.
Lors de la phase d’entraînement, des données réalistes, tirées d’exemples opérationnels concrets, sont utiles voire indispensables pour construire des modèles d’apprentissage puis entraîner les capacités de recueil et d’exploitation.
A titre d’illustration, l’élaboration d’un traducteur automatique dans une paire de langues peu fréquente, comme l’albanais et le français, par exemple, nécessite le plus d’échantillons possibles.
Il en va de même pour un modèle qui permettrait d’éliminer les bruits parasites d’une bande son (bruits d’eau, de télévision, musique, etc.) : c’est à partir d’une masse importante de données les plus opérationnelles donc pertinentes que l’on pourra modéliser le bruit et ensuite l’éliminer sur les bandes sons afin de faciliter l’exploitation.
Les données d’entraînement étant coûteuses à produire, à annoter, à stocker, et demeurant, dans certains cas, peu nombreuses, il est indispensable de les conserver sur une longue durée : cela permet de pouvoir tester ou ré-entraîner les algorithmes régulièrement, de comparer la performance relative de plusieurs algorithmes, et de ne pas dupliquer les coûts lorsqu’un nouvel algorithme étalonné comme plus performant est disponible pour remplacer le précédent.
Cette activité de recherche doit demeurer entièrement distincte de l’activité de surveillance mise en œuvre par les services et à cette fin, les données qu’elle utilise ne doivent en aucune manière pouvoir être exploitées à des fins de renseignement. En tout état de cause, l’intérêt de ces données réside dans leur variété et leur nombre, permettant de constituer de manière rigoureuse des jeux d’apprentissage, puis de validation de ces modèles. Ne sont en revanche en rien pertinents pour la conduite d’actions de perfectionnement des techniques de recueil de renseignement, l’identité des personnes ou la possibilité de la retrouver, ni les finalités au titre desquelles les données utilisées pour ces actions ont été recueillies.
3. DISPOSITIF RETENU
La dérogation introduite par le nouveau III de l’article L. 822-2 du code de la sécurité intérieure est soumise à des restrictions de nature à garantir la parfaite étanchéité entre l’activité de recherche et toute action représentant, de manière directe ou indirecte, une surveillance individuelle. Elle autorise les seuls services de renseignements spécialisés mentionnés à l’article L. 811-2 du CSI à conserver pour une durée dérogatoire les données recueillies par des techniques de renseignement dans les conditions suivantes :
- ces données ne peuvent être conservées qu’aux seules fins de recherche et de développement en matière de capacités techniques de recueil et d’exploitation des renseignements et à l’exclusion de toute utilisation pour la surveillance des personnes concernées. Les données ainsi conservées ne pourront servir qu’à la constitution de modèles de connaissance, à leur apprentissage par les capacités techniques de recueil et d’exploitation et à leur validation ;
- eu égard à la finalité de leur conservation, ces données doivent être expurgées de tous les éléments qui ne concourent pas à cette finalité. Ainsi, les motifs et finalités ayant présidé à leur recueil, ainsi que les éléments permettant d’identifier les personnes concernées seront supprimés dès l’expiration de la durée normale de conservation des données, telle que prévue à l’article L. 822-2 ;
- ces données seront conservées de manière à ce qu’elles ne soient accessibles qu’à des agents spécialement habilités et exclusivement affectés aux missions de recherche et développement, sur un système d’information dédié et donc étanche par rapport à ceux qui contiennent des renseignements soumis aux agents individuellement désignés et habilités, en application de l’article L. 822-4, pour les exploiter. Les renseignements conservés aux fins de recherche et développement sont préalablement traités pour faire disparaître les finalités poursuivies lors de leur recueil et les éléments ou les conditions susceptibles d’identifier les personnes. Un registre devra nécessairement faire apparaître leur date de recueil, pour en assurer une destruction en tout état de cause cinq ans après cette date.
- ces données seront détruites dès qu’elles ne seront plus utiles à la finalité de recherche et développement qui a justifié leur conservation dans les conditions qui viennent d’être décrites, et en tout état de cause, au plus tard cinq ans après leur recueil.
- le respect des différentes conditions mises à cette conservation dérogatoire sera contrôlé par la Commission nationale de contrôle des techniques de renseignements, comme le prévoit le III de l’article 8 qui lui donne un accès permanent aux données ainsi conservées.
En outre, chaque programme de recherche sera subordonné à une autorisation du Premier ministre, après avis de la Commission nationale de contrôle des techniques de renseignement, tout comme l’évolution substantielle d’un programme de recherche précédemment autorisé La CNCTR exercera un contrôle permanent sur le respect de ces garanties en veillant à ce que la mise en œuvre des programmes de recherche soit conforme aux prescriptions qui leurs sont applicables. Si ce contrôle révèle qu’un programme ne respecte plus ces prescriptions, la
CNCTR pourra adresser au Premier ministre une recommandation tendant à la suspension dudit programme.
La possibilité offerte aux services de renseignement de solliciter l’autorisation de conduire un programme de recherche est également offerte au groupement interministériel de contrôle pour les données dont il organise la centralisation, soit parce qu’il est chargé de les recueillir (notamment les données de connexion recueillies auprès des opérateurs et fournisseurs de services de communications électroniques, en application du deuxième alinéa de l’article L. 851-2), soit parce qu’il est le lieu de leur exploitation (notamment en application du V de l’article L. 852-1).
4. ANALYSE DES IMPACTS DES DISPOSITIONS ENVISAGEES
4.1. IMPACTS JURIDIQUES
L’article L. 822-2 est modifié et l’article L. 822-2-1 du code de la sécurité intérieure est créé.
La constitution de cette base de données répond à des seules fins de recherche et de développement, afin d’améliorer les capacités de recueil et d’exploitation des renseignements, grâce à la constitution de jeux d’apprentissage.
La suppression de tout élément permettant de relier les données ainsi traitées à l’objectif au titre desquelles elles ont été collectées, la durée de conservation limitée à cinq ans et la traçabilité des opérations, contrôlée à tout moment par la CNCTR constituent des garanties de nature à justifier d’une conciliation équilibrée entre l’objectif recherché et la protection des libertés.
4.2. IMPACTS SUR LES SERVICES ADMINISTRATIFS
L’autorisation de conserver les données collectées dans le cadre des techniques de renseignement à des fins de recherche et développement améliorera la capacité des services de renseignement ainsi que du GIC à exploiter les données collectées et renforcera, à terme, leur efficacité.
4.3. IMPACTS SUR LES PARTICULIERS
Les données conservées et exploitées à des fins de recherche et développement ayant vocation à être anonymisées, cette mesure n’aura aucun impact sur les particuliers.
5. CONSULTATIONS ET MODALITES D’APPLICATION
5.1. CONSULTATIONS MENEES
Cette disposition a été présentée à la Commission nationale de contrôle des techniques de renseignement en application de l’article L. 833-11 du code de la sécurité intérieure qui a rendu son avis le 7 avril 2021.
Cette disposition a été présentée à la Commission nationale informatique et liberté qui a rendu son avis le 8 avril 2021.
5.2. MODALITES D’APPLICATION
5.2.1. Application dans le temps
Les dispositions s’appliqueront dès l’entrée en vigueur de la loi.
5.2.2. Application dans l’espace
Les dispositions s’appliqueront, à l’instar de la loi renseignement, à l’échelle nationale, y compris dans les collectivités régies par les articles 73 et 74 de la Constitution.
Article 9 : Harmonisation des durées d’autorisation pour les techniques de recueil et de captation de données informatiques 1. ÉTAT DES LIEUX
1.1. CADRE GENERAL
L’article L. 853-2 du code de la sécurité intérieure opère une distinction entre la technique de recueil de données informatiques et celle de la captation de données informatiques.
La captation des données informatiques consiste en un dispositif technique permettant de capter en temps réel des flux de données émis ou reçus par des périphériques (écran, clavier, périphérique audiovisuel) ou des systèmes informatiques détenus par l’objectif.
Le recueil des données informatiques permet de collecter des données stockées dans un ou plusieurs systèmes informatiques utilisés par un objectif, le recueil étant opéré soit directement en accédant au support des données informatiques, soit à distances, au travers des réseaux informatiques. Dans tous les cas, cette technique nécessite une étude de faisabilité préalable et, le cas échéant, un processus d’accès au système informatique sur lequel les données vont être recueillies.
1.2. CADRE CONSTITUTIONNEL
Dans sa décision rendue sur la loi relative au renseignement de 2015 (décision n° 2015-713 DC du 23 juillet 2015), le Conseil constitutionnel, se prononçant sur la conformité à la Constitution des dispositions de l’article L. 853-2 du code de la sécurité intérieure, s’est borné à relever que « que l’autorisation est délivrée pour une durée de deux mois ou de trente jours selon la technique utilisée » sans que l’on puisse déduire de cette incise qu’une uniformisation de ces durées d’autorisation serait de nature à heurter un principe constitutionnel, notamment le droit au respect de la vie privée et l’inviolabilité du domicile.
2. NECESSITE DE LEGIFERER ET OBJECTIFS POURSUIVIS
2.1. NECESSITE DE LEGIFERER
Les durées d’autorisation de mise en œuvre de ces techniques de recueil de renseignements ne sont pas harmonisées : l’autorisation de mise en œuvre de la technique de captation des données informatiques est de 60 jours alors que celle de recueil des données informatiques n’est valable actuellement que 30 jours.
Cette différence est d’autant plus regrettable qu’une fois l’autorisation obtenue, la mise en œuvre effective de la technique de recueil de données informatiques nécessite une étude de faisabilité assez longue et sa réalisation effective, demeure aléatoire.
De manière générale, ces opérations nécessitent souvent plusieurs demandes à titre de renouvellement avant que la technique de renseignement puisse être effectivement mise en œuvre.
2.2. OBJECTIFS POURSUIVIS
En alignant la durée d’autorisation de la technique de recueil de données informatiques sur celle de la captation de données informatiques, soit deux mois, les services de renseignement disposeront ainsi d’une plus grande latitude pour effectuer les études de faisabilité et les ajustements techniques nécessaires à la mise en œuvre de la technique puis pour mettre en œuvre la technique d’un point de vue opérationnel. Cette évolution se révèle d’autant plus importante que cette technique est mise en œuvre pour atteindre des cibles particulièrement sensibles et qu’elle répond à un besoin qui ne peut, légalement, pouvoir être couvert par une autre technique autorisée par la loi.
Dans ces conditions, l’allongement proposé de la durée d’autorisation de mise en œuvre du recueil des données informatiques ne remet pas en cause, dans ces conditions, le caractère proportionné de l’atteinte portée au droit au respect de la vie privée. La mise en œuvre de ces techniques demeure en effet strictement encadrée, comme l’a relevé le Conseil constitutionnel :
- ces techniques ne peuvent être utilisées que pour les finalités énumérées à l'article L.
811-3 du code de la sécurité intérieure et uniquement si les renseignements recherchés ne peuvent être recueillis par un autre moyen légalement autorisé ;
- l'autorisation est délivrée pour une durée inférieure à la durée de droit commun de quatre mois prévue à l’article L. 821-4 du CSI ;
- le service autorisé à recourir à la technique de recueil de renseignement rend compte à la Commission nationale de contrôle des techniques de renseignement de sa mise en œuvre ;
- l'utilisation des dispositifs techniques et, le cas échéant, l'introduction dans un lieu privé ou un véhicule, ne peuvent être le fait que d'agents individuellement désignés et habilités appartenant à l'un des services mentionnés aux articles L. 811-2 et L. 811-4 et dont la liste est fixée par décret en Conseil d'État ;
- lorsque l'introduction dans un lieu privé ou dans un véhicule est nécessaire pour utiliser un dispositif technique permettant d'accéder à des données stockées dans un système informatique, l'autorisation ne peut être donnée qu'après avis exprès de la Commission nationale de contrôle des techniques de renseignement, statuant en formation restreinte ou plénière, excluant ainsi l'application de la procédure d'urgence prévue à l'article L.
821-5 ;
- lorsque cette introduction est autorisée après avis défavorable de la commission nationale de contrôle des techniques de renseignement et concerne un lieu privé à usage
d’habitation, le Conseil d'État est immédiatement saisi par le président de la commission ou par l'un des membres de celle-ci mentionnés aux 2° et 3° de l'article L. 831-1 ;
- dans ce dernier cas, sauf si l'autorisation d’introduction dans un lieu privé à usage d’habitation a été délivrée pour la prévention du terrorisme et que le Premier ministre a ordonné sa mise en œuvre immédiate, la décision d'autorisation ne peut être exécutée avant que le Conseil d'État ait statué.
3. OPTIONS POSSIBLES ET DISPOSITIF RETENU
3.1. OPTIONS ENVISAGEES
Une fusion des deux techniques aurait pu être envisagée, les services pouvant alors, par une même autorisation, bénéficier de la possibilité de recueillir à la fois des données de stock et des données de flux, ce d’autant que la durée de conservation et d’exploitation des données applicable à ces deux techniques est identique et fixée à cent vingt-jours.
3.2. DISPOSITIF RETENU
Toutefois, dans un souci de proportionnalité, il a été fait le choix d’harmoniser les durées d’autorisation de mise en œuvre mais de maintenir la dualité des techniques, afin que les services restent dans l’obligation de motiver leur demande de recourir à l’une ou l’autre et puissent ne solliciter ou n’obtenir que la mise en œuvre de l’une d’elles.
Ainsi, la disposition prévoit que la durée d’autorisation de recueil des données informatiques est portée de 30 à 60 jours.
4. ANALYSE DES IMPACTS DES DISPOSITIONS ENVISAGEES
4.1. IMPACTS JURIDIQUES
L‘article L. 853-2 du code de la sécurité intérieure est modifié.
Cette harmonisation des durées d’autorisation des techniques de recueil et de captation des données informatiques permettra aux services de renseignement de disposer d’un temps de préparation et de mise en œuvre identique pour les deux techniques qui, si elles diffèrent dans leur concrétisation technique, permettent, en tout état de cause, le recueil de données de même nature.
4.2. IMPACTS SUR LES SERVICES ADMINISTRATIFS
L’allongement de la durée d’autorisation de la RDI assouplira les conditions de mise en œuvre de cette technique et réduira, en conséquence, la charge administrative afférente pour les services de renseignement concernés.
4.3. IMPACTS SUR LES PARTICULIERS
Le recueil, par les services de renseignement, de données sur les terminaux informatiques d’objectifs pourra être effectué sur une durée plus longue. L’atteinte au droit au respect de la vie privée ainsi qu’au secret des correspondances est donc susceptible d’être plus importante.
5. CONSULTATIONS ET MODALITES D’APPLICATION
5.1. CONSULTATIONS MENEES
Cette disposition a été présentée à la Commission nationale de contrôle des techniques de renseignement en application de l’article L. 833-11 du code de la sécurité intérieure qui a rendu son avis le 7 avril 2021.
Cette disposition a été présentée à la Commission nationale informatique et liberté qui a rendu son avis le 8 avril 2021.
5.2. MODALITES D’APPLICATION
5.2.1. Application dans le temps
Les dispositions s’appliqueront dès l’entrée en vigueur de la loi.
5.2.2. Application dans l’espace
Les dispositions s’appliqueront, à l’instar de la loi renseignement, à l’échelle nationale, y compris dans les collectivités régies par les articles 73 et 74 de la Constitution.
Article 10 : Extension des possibilités de réquisition des opérateurs télécom pour la mise en œuvre des techniques de renseignement et des techniques spéciales d’enquête
1. ÉTAT DES LIEUX
1.1. CADRE GENERAL
Les articles L. 871-3 et L. 871-6 du code de la sécurité intérieure prévoient les conditions dans lesquelles l’autorité administrative peut requérir le concours des opérateurs de communications électroniques et des fournisseurs d’accès à Internet afin qu’ils réalisent, sur leurs réseaux, des opérations matérielles nécessaires à la mise en œuvre des techniques de renseignement autorisées par la loi et des interceptions de correspondances ordonnées par l’autorité judiciaires dans le cadre de procédures pénales.
En 2015, le législateur a limité les possibilités de réquisitions, pour les besoins des services de renseignement, à quatre techniques de renseignement :
- les demandes d’accès différé aux données de connexion, prévues à l’article L. 851-1 du CSI ;
- la technique de l’accès en temps réel aux données de connexion prévue par l’article L.
851-2 du CSI ;
- la technique de détection d’une menace terroriste sur la base de traitements automatisés, dite technique de l’algorithme, prévue par l’article L. 851-3 du CSI ;
- les interceptions de sécurité prévues à l’article L. 852-1 du CSI.
Par ailleurs, en se bornant à codifier une disposition de la loi du 10 juillet 1991 relative au secret des correspondances, l’article L. 871-3 n’a pas opéré de coordination avec les techniques d’enquêtes apparues entretemps dans le code de procédure pénale, ni a fortiori depuis la loi de 2015.
L’article L. 33-1 du code des postes et communications électroniques prévoit que « l'établissement et l'exploitation des réseaux ouverts au public et la fourniture au public de services de communications électroniques sont soumis au respect de règles portant sur : (…) e) Les prescriptions exigées par l'ordre public, la défense nationale et la sécurité publique, notamment celles qui sont nécessaires à la mise en œuvre des interceptions justifiées par les nécessités de la sécurité publique, ainsi que les garanties d'une juste rémunération des prestations assurées à ce titre et celles qui sont nécessaires pour répondre, conformément aux orientations fixées par l'autorité nationale de défense des systèmes d'informations, aux menaces et aux atteintes à la sécurité des systèmes d'information des autorités publiques et des opérateurs mentionnés aux articles L. 1332-1 et L. 1332-2 du code de la défense ; »
La coopération des opérateurs pour la réalisation de ces opérations matérielles est requise par le Premier ministre, ou par toute personne désignée par lui. S’agissant des interceptions judiciaires, elle est requise par le ministre en charge des communications électroniques. En raison de la confidentialité inhérente à la réalisation de ces opérations, il est prévu que ces opérations ne peuvent être réalisées que par des agents qualifiés de ces opérateurs ou fournisseurs.
L’article L. 871-7 du code de la sécurité intérieure prévoit que les coûts engendrés par ces réquisitions pour les opérateurs de communications électroniques font l’objet d’une compensation financière par l’État
1.2. CADRE CONSTITUTIONNEL
S’il ne s’est pas prononcé à ce jour sur les dispositions des articles L. 871-3 et L. 871-6 du code de la sécurité intérieure, le Conseil constitutionnel a déjà eu plusieurs fois à connaître de dispositions imposant, pour des motifs d’intérêt général, des obligations à des acteurs économiques.
À cet égard, il considère, de manière constante, que s’il « est loisible au législateur d’apporter à [la] liberté [d’entreprendre] des limitations liées à des exigences constitutionnelles ou justifiées par l’intérêt général, à la condition qu’il n’en résulte pas d’atteintes disproportionnées au regard de l’objectif poursuivi ».
S’agissant plus spécifiquement des opérateurs de communications électroniques et des fournisseurs d’accès à internet, le Conseil constitutionnel a eu l’occasion de considérer que les intérêts de la défense et de la sécurité nationale pouvaient justifier des atteintes à la liberté d’entreprendre. Ainsi, très récemment, dans sa décision n° 2020-882 QPC du 5 février 2021, il a estimé qu’en imposant un régime d’autorisation pour l’exploitation, par les opérateurs d’importance vitale, des équipements de réseaux 5G, le législateur s’était attaché à mettre « en œuvre les exigences constitutionnelles inhérentes à la sauvegarde des intérêts fondamentaux de la Nation » et n’avait, au regard des conditions strictes entourant ce régime d’autorisation, pas porté d’atteinte disproportionnée à la liberté d’entreprendre au regard de l’objectif poursuivi. Il a, à cet égard, notamment relevé un champ d’application de l’obligation strictement circonscrit et des conditions de mise en œuvre précisément définies par le législateur.
Lorsqu’elles engendrent des coûts, le Conseil constitutionnel examine également les obligations légales imposées à des acteurs privés à la lumière du principe d’égalité devant les charges publiques, qui résulte de l’article 13 de la Déclaration de 1789 selon lequel « pour l’entretien de la force publique, et pour les dépenses d’administration, une contribution commune est indispensable : elle doit être également répartie entre tous les citoyens, en raison de leurs facultés ».
En dehors du domaine fiscal, le Conseil constitutionnel juge de façon constante que « si cet article n’interdit pas de faire supporter, pour un motif d’intérêt général, à certaines catégories
de personnes des charges particulières, il ne doit pas en résulter de rupture caractérisée de l’égalité devant les charges publiques »28
.
Appelé à se prononcer sur des dispositions imposant aux opérateurs de réseaux de télécommunication de supporter le coût de fonctionnement de dispositifs d’interceptions de sécurité, qui auparavant étaient remboursés par l’État, il a, dans sa décision n° 2001-441 DC du 28 décembre 2000, jugé que « s’il est loisible au législateur, dans le respect des libertés constitutionnellement garanties, d’imposer aux opérateurs de réseaux de télécommunications de mettre en place et de faire fonctionner les dispositifs techniques permettant les interceptions justifiées par les nécessités de la sécurité publique, le concours ainsi apporté à la sauvegarde de l’ordre public, dans l’intérêt général de la population, est étranger à l’exploitation des réseaux de télécommunications ; que les dépenses en résultant ne sauraient dès lors, en raison de leur nature, incomber directement aux opérateurs ».
2. NECESSITE DE LEGIFERER ET OBJECTIFS POURSUIVIS
L’assistance des opérateurs de communications électroniques ou des fournisseurs d’accès à internet ne se limite pas aux cas actuellement couverts par les articles L. 871-3 et L. 871-6 du code de la sécurité intérieure, dont le champ d’application défini par le législateur en 2015 se révèle, en pratique, insuffisant pour couvrir l’ensemble des situations opérationnelles.
Une modification de la loi apparaît dès lors nécessaire pour permettre à l’autorité administrative de requérir l’assistance des opérateurs pour la mise en œuvre des techniques de renseignement visées aux articles L. 851-6 et L. 853-2 du même code, d’une part, et aux techniques spéciales d’enquête prévues par le code de procédure pénale, d’autre part. En effet, les contraintes techniques exposées relatives au recueil de données techniques de connexion et des interceptions de correspondances émises par la voie des communications électroniques sont les mêmes en matière judiciaire qu’en matière renseignement.
3. DISPOSITIF RETENU
Le dispositif retenu vise à étendre le champ d’application des articles L. 871-3 et L. 871-6 du code de la sécurité intérieure, afin d’ajouter au champ des techniques pour lesquelles l’assistance des opérateurs de communications électroniques et des fournisseurs d’accès à internet peut être requise par l’autorité administrative :
- en matière de renseignement, les techniques de recueil ou de captation des données informatiques visées à l’article L. 853-2 du code de la sécurité intérieure ainsi que la technique de recueil des données techniques de connexion par le biais d’un dispositif de
28 Voir décision n° 2019-821 QPC du 24 janvier 2020, Société nationale d’exploitation industrielle des tabacs et allumettes.
captation de proximité de type Imsi-catching29, prévue par l’article L. 851-6 du même code. Il s’agit notamment d’anticiper le déploiement de la 5G (communications mobiles de 5e génération), qui aura pour conséquence que les identifiants des terminaux mobiles deviendront temporaires, évolueront à une fréquence élevée, et seront donnés par le réseau. Seul l’opérateur pourra établir le lien entre ces identifiants temporaires et les identifiants pérennes des abonnements ou des équipements terminaux utilisés. Il sera donc nécessaire, pour que la technique de l’IMSI-catcher visée à l’article L. 851-6 du code de la sécurité intérieure conserve un intérêt opérationnel, de pouvoir obtenir des opérateurs de communications électroniques le lien entre ces deux types d’identifiants ;
- en matière judiciaire, les techniques de recueil de données informatiques visées aux articles 706-95 à 706-102-5 du code de procédure pénale. Outre les interceptions de communication, ces techniques correspondent à l’accès à distance aux correspondances stockées par la voie des communications électroniques, et au recueil de données techniques de connexion et des interceptions de correspondances émises par la voie des communications électroniques de type IMSI-catching.
Par voie de conséquence, le dispositif retenu prévoit de compléter l’article L. 871-7 du code de la sécurité intérieure afin de prévoir une compensation financière pour les opérateurs de communications électroniques et les fournisseurs d’accès à internet dont l’assistance serait requise dans le cadre de la mise en œuvre de ces techniques de renseignement.
4. ANALYSE DES IMPACTS DES DISPOSITIONS ENVISAGEES
4.1. IMPACTS JURIDIQUES
Les articles L. 871-3, L. 871-6 et L. 871-7 sont modifiés.
L’article 4 paragraphe 2 du Traité sur l’Union européenne prévoit que l’Union respecte les fonctions essentielles de l’Etat et que la sécurité nationale reste de la seule responsabilité de chaque Etat membre. A ce titre, le droit de l’Union européenne n’a pas vocation à régir les conditions dans lesquelles le Premier ministre requiert une assistance des opérateurs de communications électroniques ou des fournisseurs d’accès à internet pour la mise en œuvre des techniques de recueil de renseignement, a fortiori lorsque cette assistance ne nécessite ni conservation de données ni transmission de données par ces opérateurs.
29 Les dispositifs d’Imsi-catching fonctionnent comme une antenne relais mobile factice, imposant aux terminaux mobiles situés dans son périmètre de se connecter à elle. La différence entre les deux techniques, qui empruntent le même dispositif technique, porte sur la nature des données collectées : l’article L. 852-1 porte sur une interception de correspondances c’est-à-dire le contenu des communications et l’article L. 851-6 porte sur les seules données de connexion, autrement dit les métadonnées.
4.2. IMPACTS ECONOMIQUES ET FINANCIERS
Les coûts engendrés par ces dispositions pour les opérateurs de communications électroniques et les fournisseurs d’accès à internet feront l’objet d’une compensation par l’Etat, dans des conditions définies par arrêté, à l’instar de la pratique déjà mise en œuvre pour les opérateurs.
5. CONSULTATIONS ET MODALITES D’APPLICATION
5.1. CONSULTATIONS MENEES
Cette disposition a été présentée à la Commission nationale de contrôle des techniques de renseignement en application de l’article L. 833-11 du code de la sécurité intérieure qui a rendu son avis le 7 avril 2021.
Cette disposition a été présentée à la Commission nationale informatique et liberté qui a rendu son avis le 8 avril 2021.
Cette disposition a été présentée, conformément à L. 36-5 du code des postes et communications électroniques, à l’autorité de régulation des communications électroniques, des postes et de la distribution de la pressequi a rendu son avis le 16 avril 2021.
5.2. MODALITES D’APPLICATION
5.2.1. Application dans le temps
Ces dispositions entrent en vigueur immédiatement.
5.2.2. Application dans l’espace
Les dispositions s’appliqueront à l’échelle nationale, y compris dans les collectivités régies par les articles 73 et 74 de la Constitution.
5.2.3. Textes d’application
Les conditions de compensation financière par l’État des obligations complémentaires imposées aux opérateurs en application de l’article L. 871-7 modifié seront définies par arrêté.
Article 11 : Expérimentation d’une technique d’interception des communications empruntant la voie satellitaire
1. ÉTAT DES LIEUX
1.1. CADRE GENERAL
L’article L. 852-1 du code de la sécurité intérieure autorise, pour l’ensemble des finalités mentionnées à l’article L. 811-3, les interceptions de correspondance émises par la voie des communications électroniques, plus communément appelées interceptions de sécurité.
Ouvertes à l’ensemble des services spécialisés de renseignement mentionnés à l’article L. 811-2 ainsi qu’à certains des services mentionnés à l’article L. 811-4, ces interceptions font l’objet, conformément aux articles L. 821-1 et suivants du code, d’une autorisation du Premier ministre, prise après avis de la Commission nationale de contrôle des techniques de renseignement, qui est délivrée pour une durée de quatre mois, renouvelable dans les mêmes conditions.
Les opérations d’interceptions ne sont pas mises en œuvre directement par les services demandeurs, mais sont assurées par un service du Premier ministre, le Groupement interministériel de contrôle (GIC), qui bénéficie de l’exclusivité de la relation avec les opérateurs de communications électroniques et les fournisseurs de services sur Internet. Les opérations de transcription et d’extractions des communications interceptées sont également réalisées en son sein.
Les opérateurs de communications électroniques sont astreints, pour la mise en œuvre des interceptions de sécurité, à un certain nombre d’obligations.
L’article L. 33-1 du code des postes et des communications électroniques prévoit ainsi que « l'établissement et l'exploitation des réseaux ouverts au public et la fourniture au public de services de communications électroniques sont soumis au respect de règles portant sur […] les prescriptions exigées par l'ordre public, la défense nationale et la sécurité publique, notamment celles qui sont nécessaires à la mise en œuvre des interceptions justifiées par les nécessités de la sécurité publique ». L’article D. 98-7, III, du même code précise que les opérateurs de communications électroniques sont chargés d’assurer la mise en œuvre des moyens nécessaires à l’application des dispositions relatives aux interceptions de sécurité. Ces moyens doivent respecter un certain nombre de conditions : ils doivent ainsi être mis en place sur le territoire national et ne peuvent être mis en œuvre à partir d’un pays étranger ; lorsque les données produites transitent en dehors du territoire national, elles doivent être chiffrées, par un moyen validé par l’Etat français ; enfin, les interceptions de sécurité ne peuvent être mises en œuvre que par des agents qualifiés, au sens des dispositions de l’article R. 872-1 du code de la sécurité intérieure, c’est-à-dire habilités à connaître d’éléments couverts par le secret de la défense nationale et n’ayant fait l’objet d’aucune condamnation pénale inscrite au bulletin n° 2 de leur casier judiciaire. Il peut être dérogé à ces obligations, sur décision du ministre chargé des
communications électroniques, « lorsque des obstacles techniques le justifient ou lorsque les coûts à exposer pour satisfaire à ces conditions sont disproportionnés au regard du nombre d’interceptions susceptibles d’être demandées à cet opérateur ».
Sur le fondement de ces dispositions, l’article L. 42-1 du même code prévoit que « L'Autorité de régulation des communications électroniques, des postes et de la distribution de la presse attribue l’autorisation d'utilisation des fréquences radioélectriques dans des conditions objectives, transparentes et non discriminatoires tenant compte des besoins d'aménagement du territoire. Cette autorisation ne peut être refusée par l'Autorité de régulation des communications électroniques, des postes et de la distribution de la presse que pour l'un des motifs suivants :
1° La sauvegarde de l'ordre public ou de la sécurité publique ;
2° La bonne utilisation des fréquences ;
3° L'incapacité technique ou financière du demandeur à faire face durablement aux obligations résultant des conditions d'exercice de son activité ;
4° La condamnation du demandeur à l'une des sanctions mentionnées aux articles L. 36-11, L. 39, L. 39-1, L. 39-1-1 et L. 39-4.
L’ensemble de ces dispositions devrait permettre de s’assurer de la coopération des opérateurs de communication électroniques, dans la plupart des cas.
Il est toutefois possible que dans certains cas, les opérateurs proposent des services commerciaux sur le territoire français sans y disposer d’installation sur le territoire national, sous couvert d’une autorisation délivrée par un autre État. En pareil cas, l’ARCEP ne disposera d’aucun moyen de coercition à leur encontre s’ils ne donnent pas suite à une réquisition. Par ailleurs, à supposer même que ces opérateurs soient situés sur le territoire national, les exigences de protection du secret de la défense nationale pourront, dans certaines hypothèses tenant par exemple à leur nationalité, être incompatibles avec leur intervention.
Les services de renseignement se trouveraient alors dans l’impossibilité d’obtenir la mise en œuvre d’interceptions de sécurité sur des cibles recourant aux communications électroniques par voie satellitaire. Or, ainsi qu’il est expliqué au point 2., il convient d’anticiper une bascule d’une partie peut-être significative des communications électroniques de la voie terrestre à la voie satellitaire.
Parallèlement aux interceptions de sécurité prévues au I de l’article L. 852-1 du code de la sécurité intérieure, la loi du 24 juillet 2015 relative au renseignement a également autorisé les services de renseignement à procéder à des interceptions de correspondances par le biais d’un appareil ou d’un dispositif technique de proximité (« Imsi-catcher »). Prévue par le II du même article L. 852-1 du code de la sécurité intérieure, cette technique consiste à collecter les communications dans une zone relativement circonscrite par le biais d’un appareil se comportant comme une antenne relais mobile factice se substituant, dans un périmètre donné, aux antennes relais des opérateurs, et permettant, ce faisant, aux services de capter les données transitant sur les terminaux qui s’y sont connectés.
Pensée pour répondre à des situations d’urgence opérationnelle, cette technique est strictement encadrée par la loi. Elle ne peut ainsi être autorisée, par le Premier ministre après avis de la CNCTR, pour une durée supérieure à quarante-huit heures. Elle ne peut, par ailleurs, être mise en œuvre que pour trois finalités : la protection de l'indépendance nationale, de l'intégrité du territoire et de la défense nationale (1° de l’article L. 811-3 du CSI) ; la prévention du terrorisme (4° du même article) ; la prévention des atteintes à la forme républicaine des institutions (5° a du même article). Si la technique du II de l’article L. 852-1 offre la possibilité de réaliser une interception sans adresser de réquisition à l’opérateur concerné, elle ne peut donc constituer une alternative aux difficultés décrites ci-dessus. Elle n’a pratiquement jamais été mise en œuvre depuis l’entrée en vigueur de la loi du 24 juillet 2015.
1.2. CADRE CONSTITUTIONNEL
Dans sa décision n° 2015-713 DC du 23 juillet 2015, le Conseil constitutionnel a déclaré conformes à la Constitution l’ensemble des dispositions prévues à l’article L. 852-1 du code de la sécurité intérieure.
Il a estimé que ces dispositions opéraient une conciliation qui n’était manifestement pas déséquilibrée entre, d’une part, la prévention des atteintes à l’ordre public, et, d’autre part, le droit au respect de la vie privée et le secret des correspondances, au regard d’un faisceau de garanties.
S’agissant des interceptions de sécurité mentionnées au I de cet article, le Conseil constitutionnel a notamment relevé :
- la mise en place d’un contingentement du nombre d’interception, fixé par le Premier ministre après avis de la CNCTR ;
- la centralisation de l’exécution des interceptions par un service du Premier ministre (GIC) ;
- une durée de conservation des correspondances interceptées limitée à 30 jours.
En ce qui concerne le II du même article L. 852-1, le Conseil constitutionnel a en outre fait état de conditions strictes de mises en œuvre, relevant dans sa décision :
- un recours limité à certaines finalités seulement, « relatives à la prévention d’atteintes particulièrement graves à l’ordre public » ;
- une obligation de destruction des correspondances interceptées sans lien avec l’autorisation délivrée, et au plus tard 30 jours à compter du recueil.
1.3. CADRE EUROPEEN
La Convention Européenne de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales admet, de façon constante depuis son arrêt Klass et autres c. Allemagne (n° 5029/71, 6 septembre 1978), que les services de renseignement étatiques puissent se munir de moyens de surveiller les individus pour faire face à des menaces pouvant mettre en péril une société démocratique. Les mesures prises à cet égard, qui peuvent concerner un grand nombre de données ne portent ainsi pas, par nature, une atteinte disproportionnée au droit à la vie privée protégée par l’article 8 de la Convention.
Dans son arrêt Weber et Saravia c. Allemagne (n° 54934/00, 29 juin 2006, § 95), la Cour a exposé les principes généraux à l’aune desquels une mesure de surveillance secrète doit être appréciée pour déterminer si elle est ou pas conforme aux exigences de l’article 8 § 2 de la Convention, à savoir : la nature des infractions susceptibles de donner lieu à un mandat d’interception, la définition des catégories de personnes susceptibles d’être mises sur écoute, la fixation d’une limite à la durée d’exécution de la mesure, la procédure à suivre pour l’examen, l’utilisation et la conservation des données recueillies, les précautions à prendre pour la communication des données à d’autres parties et les circonstances dans lesquelles peut ou doit s’opérer l’effacement ou la destruction des enregistrements.
2. NECESSITE DE LEGIFERER ET OBJECTIFS POURSUIVIS
Encore résiduels il y a encore quelques années, les moyens de communication par voie satellitaire tendent à se développer à l’échelle internationale, sous l’impact de la mise en orbite de plusieurs constellations satellitaires dits de basse altitude offrant des possibilités de communications mobiles identiques à celles des réseaux de communications terrestres.
D’ores et déjà, il est constaté des usages de ces nouveaux moyens de communication sur le territoire national, dont une fraction est liée à des activités criminelles ou de nature à porter atteinte aux intérêts fondamentaux de la Nation. À ce jour, les services sont ainsi en mesure de détecter l’utilisation, sur le territoire national, de plusieurs centaines de boîtiers satellitaires, pour lesquels il existe des raisons sérieuses de penser qu’ils sont, au moins pour partie, utilisés par des individus dont les activités sont de nature à porter atteinte aux intérêts fondamentaux de la Nation. Ces détections sont évidemment loin d’être exhaustives et ne correspondent qu’aux utilisations détectées par les moyens actuels des services de renseignement.
Le déploiement annoncé, d’ici à 2025, de nouvelles constellations satellitaires d’ampleur portées par des entreprises étrangères laisse à penser que ces usages devraient aller croissants et se banaliser au cours des prochaines années. Parmi les projets visant le grand public actuellement en cours de déploiement peuvent notamment être cités :
- le projet Starlink a été initié par la société SpaceX, avec pour ambition d’offrir au grand public une offre d’accès Internet, sur une couverture mondiale. La mise en
service initiale est prévue pour la fin de l’année 2021 au Canada et le nord des Etats-Unis, avec une montée en puissance progressive sur l’ensemble du globe jusqu’à 2025 ;
- le projet Oneweb, dont la mise en service est annoncée pour 2022 et devrait comporter 648 satellites ;
- enfin, la société Amazon a également initié un projet de déploiement satellitaire qui devrait être mis en service à horizon 2026 et comporter, à terme, 3 236 satellites.
A relativement court terme, il existera une offre complète de télécommunications transitant par la voie satellitaire, qui plus est à des tarifs avantageux, qui pourrait être de nature à concurrencer les offres des opérateurs de communications électroniques traditionnels empruntant le réseau terrestre.
Cette évolution significative des modes de communication pose, pour les services de renseignement, un enjeu majeur de préservation de leurs capacités techniques de surveillance.
Dans un premier temps, des individus ou des groupes se livrant à des activités criminelles pourraient se tourner vers ces nouveaux moyens de communication afin d’échapper à la surveillance. À terme, avec la démocratisation des terminaux satellitaires, les services de renseignement risquent de se trouver dans l’incapacité d’intercepter une partie importante des communications émises ou reçues depuis le territoire national.
Plusieurs caractéristiques des réseaux de communications par satellite rendent l’interception sur le territoire national difficilement appréhendable par le droit en vigueur.
Bien que les opérateurs de communications par satellite soient, en droit, assimilables à tout opérateur de communications électroniques au sens du code des postes et des communications électroniques et soient donc soumis aux obligations fixées par ce code et rappelées au point 1, se pose, en pratique, l’effectivité de ce cadre légal, fait aujourd’hui, les concernant, l’objet d’interrogations pour trois séries de raisons.
En premier lieu, les constellations satellitaires actuelles, de même que les constellations en cours de déploiement, sont à ce jour toutes exploitées par des opérateurs étrangers30, qui ne disposent le plus souvent pas de représentant légal sur le territoire national et se révèlent, dès lors, plus difficiles à réquisitionner au titre de la loi renseignement. La mise en œuvre des réquisitions légales à leur endroit serait ainsi incertaine ou difficile En deuxième lieu, à supposer même qu’un opérateur étranger défère à une réquisition délivrée par l’autorité administrative tendant à la mise en œuvre d’interceptions de sécurité, cela ne serait pas sans soulever une problématique de confidentialité dans la mesure où elle conduirait, à droit
constant, à révéler à une entreprise étrangère l’identité de certains des objectifs suivis par les services de renseignement français.
En troisième lieu, les protocoles de communication entre le satellite et les terminaux ne garantissent pas, à l’heure actuelle, qu’il sera toujours possible de disposer d’un identifiant précis dont l’interception des communications pourra être demandé A cet égard, il convient en outre d’observer que l’exploitation d’un réseau satellitaire en France n’imposant pas toujours techniquement l’installation d’équipements sur le territoire national, la plupart des opérateurs satellitaires actuels sont en mesure d’offrir un service sur le territoire français sans pour autant respecter strictement les exigences fixées aux articles L. 33-1 et D.
98-7 du code des postes et des communications électroniques. Or, ces conditions sont celles qui assurent non seulement la disponibilité des opérateurs pour répondre aux réquisitions de l’autorité administrative pour la mise en œuvre d’une interception légale, mais aussi le respect d’un niveau satisfaisant de confidentialité.
A ce stade, il faut donc envisager que les conditions permettant la mise en œuvre du I de l’article L. 852-1 ne seront pas réunies dans nombre de cas. Or, la loi actuelle n’offre aucun cadre alternatif qui permettrait de pallier cette grave lacune si une partie importante des communications devaient, demain, transiter par la voie satellitaire, puisque la technique d’interceptions via un dispositif de proximité (II de l’article L. 851-2 du code de la sécurité intérieure) ne permet pas de répondre au besoin identifié, dès lors que les conditions entourant sa mise en œuvre, en particulier la limitation de la durée d’autorisation à 48 heures, se révèlent en pratique trop restrictives pour permettre son déploiement par les services de renseignement.
En outre, la limitation à seulement trois finalités ne permettrait pas de couvrir l’ensemble des besoins identifiés, en particulier en matière de lutte contre la criminalité organisée.
Dans ces conditions, la modification du cadre légal apparaît nécessaire pour permettre aux services de renseignement de préserver, à moyen terme, leurs capacités de surveillance technique sur le territoire national, en les autorisant à intercepter les correspondances transitant par la voie satellitaire, au même titre que par les autres voies de communications électroniques aujourd’hui couvertes par le droit.
3. OPTIONS POSSIBLES ET DISPOSITIF RETENU
3.1. OPTIONS ENVISAGEES
1) Il aurait pu être envisagé de modifier ou d’élargir les conditions d’application des techniques de recueil de renseignement autorisées par le I de l’article L. 852-1 du code de la sécurité intérieure, afin d’y inclure les besoins spécifiques liés à la captation des communications satellitaires.
Cependant, en raison d’une part, des difficultés susmentionnées liées à la réquisition d’opérateurs étrangers et, d’autre part, des difficultés techniques propres aux communications
satellitaires limitant les possibilités de procéder à des interceptions ciblées sur un élément technique, l’extension de la technique prévue au I de cet article est apparue inadaptée au besoin identifié.
2) De la même manière, a été écartée l’option consistant à assouplir les critères de mise en œuvre de la technique autorisée par le II du même article L. 852-1, bien qu’elle se rapproche le plus, sur le plan technique, du besoin identifié. Pour l’interception de communications satellitaires, le recours à un dispositif de captation de proximité ne constitue pas, contrairement à l’interception des communications empruntant les réseaux terrestres, une alternative à la réquisition, mais bien l’unique option technique à ce jour envisageable eu égard aux caractéristiques propres de ces nouveaux moyens de communication. Aussi est-il apparu préférable de privilégier la création d’un cadre légal adapté répondant à des critères de mise en œuvre propres.
3) S’agissant enfin des critères de mise en œuvre de l’expérimentation proposée, plusieurs solutions ont été écartées.
Il aurait tout d’abord pu être décidé de n’ouvrir cette nouvelle technique qu’aux seuls services spécialisés de renseignement. Une telle limitation est toutefois apparue contradictoire avec l’objectif même de la modification législative envisagée, qui consiste non pas à ajouter un nouvel outil à l’arsenal des services de renseignement, mais uniquement à combler le déficit opérationnel qui pourrait résulter du changement technologique induit par l’émergence des terminaux de communications satellitaires. Dans ces conditions, les services appartenant au second cercle du renseignement étant également susceptibles de pâtir du déport de certaines communications vers les moyens satellitaires, il est indispensable que leur soit également ouverte la possibilité de recourir à cette technique, étant observé que, à la fois pour des questions de coût et des questions de technicité, la mise en œuvre effective des interceptions sera opérée par les services du premier cercle. Par ailleurs, elle sera contingentée.
En effet, la seule circonstance que le service demandeur de la mise en œuvre d’une telle technique soit un service du second cercle ne paraît pas de nature à majorer l’atteinte à la vie privée, dès lors que l’ensemble des opérations postérieures à la demande sont prises en charge par les services du premier cercle (pour la captation) et par le GIC (pour la centralisation, le tri et la suppression des informations sans lien avec la cible, le service demandeur ne pouvant exploiter en retour que des informations concernant sa cible.
Par ailleurs, a été écartée l’option qui aurait consisté à proposer une expérimentation de courte durée, inférieure à quatre ans. En l’espèce, une durée technique suffisamment longue apparaît en effet nécessaire :
- d’une part, en raison du délai nécessaire à la définition des conditions techniques de mise en œuvre de la technique, qui pourra nécessiter plusieurs mois après la promulgation de la loi ;
- d’autre part, du déploiement de nouvelles constellations satellitaires d’ici à 2025, dont le fonctionnement est à ce stade inconnu. Il importe que la période d’expérimentation laisse le temps aux services de conduire de premiers tests sur ces nouvelles constellations, ce que ne permettrait pas une durée inférieure à 4 ans.
3.2. DISPOSITIF RETENU
Le dispositif retenu consiste à créer une nouvelle modalité d’interception de correspondances qui serait mise en œuvre directement à l’aide d’un dispositif ou d’un appareil de captation, sans que l’opérateur ne réponde à une réquisition d’interception. Une telle modalité est en effet celle qui répond le mieux, techniquement, au besoin identifié pour les communications satellitaires, dès lors qu’elle autorise une captation tactique de l’ensemble des communications transitant sur une zone, aux fins d’identifier les communications de la cible surveillée.
Le dispositif n’ajoute pas un nouvel outil à l’arsenal existant, mais a pour seul objectif de compenser la perte opérationnelle qui pourrait résulter de l’évolution des moyens de communications électroniques, avec deux objectifs :
- d’une part, donner un cadre légal à des besoins opérationnels identifiés par les services de renseignement qui, s’ils ne sont pas encore majoritaires, n’en présentent pas moins un intérêt opérationnel fort. Dans la plupart des cas identifiés, il s’agit de pouvoir poursuivre, sur le territoire national, une surveillance initiée dans le cadre de la surveillance internationale sur les constellations satellitaires existantes, ce qui n’est pas possible dans le cadre légal actuel ;
- d’autre part, se préparer, sur le plan technique, à l’émergence de nouvelles constellations satellitaires qui pourraient, à terme, supplanter, pour partie, le recours aux moyens de communications électroniques classiques. Face à un monde des communications électroniques en pleine évolution, il est indispensable que les services de renseignement se mettent en situation de pouvoir répondre aux besoins opérationnels liés au déploiement engagé de nouvelles constellations satellitaires.
Cette nouvelle technique d’interception serait ouverte à quatre finalités prévues à l’article L.
811-3 du même code : l'indépendance nationale, l'intégrité du territoire et la défense nationale (1°), la prévention du terrorisme (4°), la promotion et la défense des intérêts majeurs de la politique étrangère, de l'exécution des engagements européens et internationaux de la France et la prévention de toute forme d'ingérence étrangère (2°), la lutte contre la criminalité et la délinquance organisées (6°)
Par ailleurs, la technique serait ouverte à l’ensemble des services de renseignement, y compris aux services du second cercle, dont la liste sera définie par décret en Conseil d’État. Le fait que le service demandeur soit un service du premier ou du second cercle est neutre en termes d’atteinte à la vie privée et au secret des correspondances. A cet égard, il peut être observé que l’ouverture à l’ensemble des services ne préjuge en rien d’éventuelles coopérations techniques
qui pourront par la suite être mises en œuvre, par exemple afin qu’une assistance technique soit apportée, par les services relevant du premier cercle, aux services du second cercle. De telles mutualisations, qui sont d’ores et déjà pratiquées pour d’autres techniques de renseignement, permettent de faire bénéficier tous les services de l’expertise de ceux qui sont les plus avancés sur certaines techniques et de mutualiser des investissements coûteux.
De plus, cette technique pourrait être autorisée pour une durée de 30 jours renouvelable, contre 4 mois pour les interceptions de sécurité de droit commun. L’autorisation délivrée vaudrait également autorisation de recueil des données de connexion.
En contrepartie, sa mise en œuvre répondrait à des garanties strictes :
- contrairement à la technique prévue par le II de l’article L. 852-1 du code de la sécurité intérieure, qui vise des cas qui pourraient être couverts par une interception de sécurité réalisée par l’intermédiaire d’un opérateur, le nouveau cas d’usage répondrait à un principe de subsidiarité et ne pourrait être mis en œuvre que lorsque l’interception de correspondances ne peut être réalisée par le biais de la réquisition d’un opérateur. Dans la pratique, l’impossibilité de réquisitionner un opérateur pourra recouvrir deux situations : soit des situations d’impossibilité technique, lorsque l’opérateur ne dispose d’aucun représentant légal ni d’aucun équipement sur le territoire national permettant de procéder à une interception, ou ne répond pas à la réquisition qui lui est adressée par l’autorité administrative ; soit des situations dans lesquelles l’interception ne peut être mise en œuvre dans des conditions de confidentialité satisfaisantes.
- Si, pour des raisons opérationnelles et tactiques, les opérations de captation seront réalisées par les services de renseignement, il est prévu une centralisation au GIC des communications interceptées. Cette centralisation devra être mise en place dès le stade de l’interception. Il est toutefois maintenu la possibilité de procéder à cette centralisation de manière différée, afin de couvrir les situations d’impossibilité technique faisant obstacle à un transfert des flux d’interceptions vers les locaux du GIC. Dans cette dernière hypothèse, les flux de données feront l’objet d’un chiffrement asymétrique, dont seul le GIC aura la clé, le temps qu’il soit procédé à la centralisation desdites données ;
- à l’instar des interceptions de sécurité, les opérations d’extraction et de transcription des correspondances interceptées ne pourront être mises en œuvre qu’au sein et sous le contrôle du GIC et les données seront conservées pour un maximum de 30 jours ;
- à l’instar des interceptions de sécurité, un contingentement serait imposé à ces techniques, fixé par arrêté du Premier ministre pris après avis de la CNCTR ;
- enfin, les correspondances interceptées sans lien avec la personne faisant l’objet de l’autorisation de mise en œuvre de cette technique seraient détruites, au plus tard
30 jours à compter de leur recueil. En effet, lors de l’interception des communications entre des terminaux et les satellites par un dispositif tactique, il ne sera pas techniquement possible dans certains cas de discriminer les seules communications du terminal utilisé par la personne désignée dans l’autorisation du Premier ministre. Le GIC procèdera donc à la destruction, le plus tôt possible et en tout état de cause, dans un délai de 30 jours, des communications interceptées n’appartenant pas à la personne désignée, étant précisé que dans tous les cas, le service demandeur ne disposera, in fine, que des renseignements concernant la personne faisant l’objet de l’autorisation.
La liste des services de renseignement autorisés à mettre en œuvre cette technique est renvoyée à un décret en Conseil d’État, pris après avis de la CNCTR.
Compte tenu des incertitudes qui pèsent encore sur l’évolution de l’environnement technologique, il est proposé de n’ouvrir cette nouvelle technique qu’à titre temporaire, pour une durée de quatre ans à compter de l’entrée en vigueur du projet de loi. Cette phase permettra d’une part, aux services de renseignement de tester et d’expérimenter de nouvelles capacités techniques et, d’autre part, de s’adapter aux nouvelles constellations satellitaires qui seront déployées.
Une durée suffisamment longue est nécessaire pour permettre d’évaluer techniquement l’efficacité du dispositif légal adopté, en particulier compte tenu des évolutions importantes à venir du secteur des communications satellitaires.
C’est également la raison pour laquelle toute limitation de la technique à certains services, constituerait une perte opérationnelle pour les services, pendant toute la durée de l’expérimentation, avec de réels risques de contournement immédiat de la part des individus ayant le projet de porter atteinte aux intérêts fondamentaux de la Nation.
Six mois avant l’échéance de la disposition, un rapport d’évaluation sera remis au Parlement.
Le cas échéant, selon la confidentialité des données de l’évaluation, une partie du rapport sera remis à la délégation parlementaire au renseignement, habilitée à connaître d’éléments relevant du secret de la défense nationale.
L’évaluation s’attachera à apprécier l’utilité, sur le plan opérationnel, de la technique créée ainsi que la pertinence des conditions de sa mise en œuvre, telles que prévues par le nouvel article L. 852-3 du code de la sécurité intérieure, notamment au regard de l’évolution observée des moyens de communications satellitaires. Ces éléments pourront être appréciés au vu de plusieurs critères, parmi lesquels :
- le nombre d’interceptions effectivement autorisées et mises en œuvre sur le fondement du nouvel article L. 852-3 du code de la sécurité intérieure, par service et par finalité ;
l’évaluation des obstacles juridiques, techniques ou opérationnels, ayant empêché le recours au régime des interceptions de sécurité de droit commun du I de l’article L. 852-1 du même code ;
- le nombre de communications interceptées sans rapport avec la cible visée par le biais des capteurs déployés ;
- l’évaluation des conditions techniques de centralisation au GIC, en particulier le nombre de techniques pour lesquelles cette centralisation, pour des raisons techniques, a dû être opérée de manière différée, avec mise en place d’un chiffrement.
4. ANALYSE DES IMPACTS DES DISPOSITIONS ENVISAGEES
4.1. IMPACTS JURIDIQUES
Un nouvel article L. 852-3 est créé au code de la sécurité intérieure et l’article L. 822-2 est modifié.
4.2. IMPACTS SUR LES ADMINISTRATIONS
Le lancement de l’expérimentation n’aura pas d’incident directe sur les effectifs des services de renseignement qui seront autorisés à mettre en œuvre la technique créée.
4.3. IMPACTS SUR LES FINANCES PUBLIQUES
Le lancement de l’expérimentation rend nécessaire l’acquisition, par les services de renseignement, de nouveaux équipements adaptés à la captation de communications satellitaires, dont le coût dépendra de l’évolution de l’environnement technique et du déploiement de nouvelles constellations au cours des années à venir.
5. CONSULTATIONS ET MODALITES D’APPLICATION
5.1. CONSULTATIONS
Le projet de loi a été présenté à la Commission nationale de contrôle des techniques de renseignement en application de l’article L. 833-11 du code de la sécurité intérieure. La Commission a rendu son avis le 15 avril 2021.
Cette disposition a été présentée, conformément à L. 36-5 du code des postes et communications électroniques, à l’autorité de régulation des communications électroniques, des postes et de la distribution de la pressequi a rendu son avis le 16 avril 2021.
Cette disposition a été présentée, à titre facultatif, à la Commission nationale informatique et liberté qui a rendu son avis le 15 avril 2021.
5.2. MODALITES D’APPLICATION
5.2.1. Application dans le temps
Ces dispositions s’appliqueront dès le lendemain de la publication de la loi au Journal officiel de la République française.
5.2.2. Application dans l’espace
Elles sont d’application immédiate sur l’ensemble du territoire français.
5.2.3. Textes d’application
L’établissement de la liste des services de renseignement autorisés à mettre en œuvre cette expérimentation sera précisé par un décret en Conseil d’Etat, pris après avis de la CNCTR.
Article 12 : Pérennisation des dispositions relatives à l’algorithme 1. ÉTAT DES LIEUX
1.1. CADRE GENERAL
L’article L. 851-3 du code de la sécurité intérieure, créé par la loi n° 2015-912 du 24 juillet 2015 relative au renseignement, ouvre la possibilité d’imposer la mise en place, sur les réseaux des opérateurs de communications électroniques et des fournisseurs de services sur internet, de traitements automatisés destinés à détecter des connexions susceptibles de révéler une menace terroriste, plus communément appelés algorithmes, sans qu’il soit possible de procéder, dans un premier temps, à l’identification des personnes concernées. Ce n’est que lorsque la menace est avérée que le Premier ministre peut, après avis de la Commission nationale de contrôle des techniques de renseignement (CNCTR), autoriser l’identification de la personne en cause et le recueil des données de connexion afférentes.
Cet article est applicable jusqu’au 31 décembre 2021, conformément aux dispositions modifiées de l’article 25 de la loi n° 2015-912 du 24 juillet 2015 relative au renseignement, le Gouvernement devant adresser au Parlement un nouveau rapport sur l'application de cette disposition, au plus tard le 30 juin 2021.
Contrairement aux autres techniques de renseignement (balisage, captations de paroles et d’images…) qui lui préexistaient à la loi de 2015 et dont le législateur a encadré les conditions de mise en œuvre, la technique de l’algorithme n’avait pas encore été mise au point ; c’est d’ailleurs pourquoi une période d’expérimentation a été exigée par le législateur.
A la suite de la promulgation de la loi du 24 juillet 2015, le groupement interministériel de contrôle (GIC), en liaison avec la direction générale de la sécurité intérieure (DGSI) et la direction générale de la sécurité extérieure (DGSE), a ainsi examiné plusieurs options possibles d’exécution des algorithmes, sous le contrôle permanent de la Commission nationale de contrôle des techniques de renseignement (CNCTR).
Ces travaux visaient à garantir le bon fonctionnement du dispositif et à élaborer une architecture technique préservant l’intérêt opérationnel de l’outil de détection prévu à l’article L. 851-3 du CSI. Deux facteurs conditionnent l’efficacité du dispositif :
- les paramètres d’alerte doivent être définis de manière suffisamment précise pour répondre au besoin opérationnel de détection de données susceptibles de caractériser l’existence d’une menace terroriste. Des paramètres trop restrictifs aboutiraient en effet à un nombre quasi nul d’alertes produites par les traitements automatisés ; des critères trop larges contribueraient au contraire à de nombreux « hits » sans intérêt opérationnel pour les services, avec le risque de ne pas être en capacité de traiter l’ensemble des alertes et de passer à côté d’une menace réelle. L’objectif des services est bien de minimiser le nombre d’alertes ;
- la qualité des données traitées par les algorithmes est essentielle. Pour construire leurs algorithmes, les services de renseignement se sont appuyés sur des éléments recueillis lors de leurs investigations relatives à des faits de terrorisme ou à des opérations militaires à l’étranger qui leur ont permis de comprendre quels étaient les événements télécom caractéristiques d’une activité terroriste ou de la préparation d’une telle activité.
La modalité initialement envisagée pour mettre en œuvre la technique des algorithmes consistait à placer physiquement les dispositifs techniques de détection en plusieurs points des réseaux des opérateurs. Au sein de chaque dispositif, des algorithmes se seraient exécutés sur les flux de données de connexion en transit sur chacun de ces points. Les investigations conduites au cours de la phase d’expérimentation ont cependant montré que cette modalité aurait conduit à une impasse pour plusieurs raisons pratiques.
La principale d’entre elles tient au fait que positionner des traitements algorithmiques au sein des réseaux des opérateurs présente le risque de perturber la sécurité de ces réseaux.
Par ailleurs, les cibles terroristes utilisent des moyens de communication discrets et se dissimulent sur les réseaux en utilisant plusieurs abonnements, des adresses fictives ou des « téléphones de guerre », potentiellement chez de multiples opérateurs. Certains algorithmes ayant vocation à être configurés pour détecter une séquence d’événements de communication, chaque dispositif de détection aurait dû être relié avec tous les autres pour pouvoir communiquer avec eux afin de détecter efficacement des successions d’événements de connexion susceptibles de révéler une menace terroriste.
Enfin, les algorithmes peuvent avoir, parmi leurs paramètres de détection, des identifiants particuliers issus de techniques ou d’activités de renseignement, y compris de services partenaires. Ces données et paramètres de détection, qui revêtent une sensibilité particulière, doivent être utilisés par les algorithmes mais dans des conditions garantissant une stricte confidentialité.
Au terme d’une réflexion conduite en concertation avec les opérateurs de communications électroniques, le Gouvernement a donc opté pour une modalité d’exécution centralisée des algorithmes, qui permet :
- de garantir aux opérateurs que l’exécution de ces derniers ne perturbe pas les services de communications électroniques qu’ils offrent à leurs abonnés ;
- de simplifier considérablement l’architecture technique en évitant de recourir à une exécution répartie entre plusieurs points relevant d’opérateurs différents ;
- de limiter considérablement les délais de réalisation ;
- de limiter le risque de compromission des paramètres de détection utilisés par les algorithmes.
Le Gouvernement a communiqué à la CNCTR une description détaillée de l’architecture envisagée. La Commission a rendu un avis favorable en 2016, estimant que la proposition selon laquelle les flux de données de connexion étaient dupliqués chez les opérateurs puis acheminés pour être soumis à des dispositifs de détection centralisés était une interprétation permise par la lettre de la loi, les opérations de sélection, duplication, acheminement des données puis d’exécution des algorithmes constituant des traitements dont la mise en œuvre est imposée aux opérateurs sur leurs réseaux.
La CNCTR a cependant rappelé que l’objet de la technique de l’algorithme était d’agir à la manière d’un tamis sur les flux de données de connexion, de sorte qu’il ne permettait aucune conservation des données autre que strictement nécessaire à la détection de successions d’événements de télécommunication traduisant la séquence révélatrice d’une menace terroriste que l’algorithme a été configuré pour détecter. Elle a par ailleurs subordonné son avis favorable à deux conditions :
- d’une part, le dispositif centralisé de détection algorithmique devait être placé sous la seule responsabilité du GIC, chargé de garantir l’étanchéité de ce dispositif vis-à-vis des services de renseignement ;
- d’autre part, le Gouvernement devait clarifier devant le Parlement l’option finalement retenue pour la mise en œuvre de l’article L. 851-3 du code de la sécurité intérieure.
Les deux conditions ont été remplies préalablement à la mise en œuvre du premier algorithme fin 2017 :
- le GIC est seul habilité à exécuter les algorithmes, dans les conditions définies par la loi, sous le contrôle de la CNCTR qui « dispose d’un accès permanent, complet et direct à ces traitements ainsi qu’aux informations et données recueillies » (II de l’article L. 851-3). Il est le seul destinataire des alertes automatiques et c’est lui seul qui, après nouvelle autorisation, remet au service de renseignement les données qui ont déclenché l’alerte. Aucun service de renseignement ne peut accéder aux données soumises aux traitements automatisés ; les seules données susceptibles de leur être transmises sont celles qui ont donné lieu à une alerte de la part d’un algorithme autorisé par une première décision du Premier ministre, prononcée en application du I de l’article L. 851-3 et dont l’anonymat est levé par une seconde décision du Premier ministre, prononcée en application du IV du même article ;
- une description du dispositif retenu et les raisons qui ont présidé à son choix ont été communiquées à la Délégation parlementaire au renseignement.
Le dispositif a finalement été mis en œuvre fin 2017, après avis favorable de la CNCTR. Trois algorithmes ont été autorisés depuis lors par le Premier ministre ; ils avaient préalablement fait l’objet d’un avis favorable de la CNCTR. Le paramétrage des algorithmes, placé sous le contrôle de la CNCTR, a permis de contenir la fréquence des alertes tout en maintenant un seuil de détection utile : le nombre d’alertes issues des trois algorithmes autorisés s’est ainsi élevé à
1739 pour l’année 2020. Ces alertes ont donné lieu à autant de levées d’anonymat sur le fondement du IV de l’article L. 851-3, systématiquement effectuées après avis favorable de la CNCTR.
L’expérimentation de cette technique innovante expirait le 31 décembre 2018. Elle a néanmoins été prorogée au 31 décembre 2020 par la loi n° 2017-1510 du 30 octobre 2017 renforçant la sécurité intérieure et la lutte contre le terrorisme, afin de donner le temps aux services de mesurer les apports opérationnels des algorithmes, dont le premier n’était en service que depuis la fin de l’année 2017. Elle a été à nouveau prorogée au 31 décembre 2021 par la loi n° 2020-1671 du 24 décembre 2020 relative à la prorogation des chapitres VI à X du titre II du livre II et de l’article L. 851-3 du code de la sécurité intérieure, cette fois en raison des circonstances sanitaires exceptionnelles résultant de l’épidémie de COVID-19.
Le Gouvernement doit adresser au Parlement un nouveau rapport sur l'application de cette disposition, au plus tard le 30 juin 2021. Celui-ci contribuera à démontrer que ce dispositif s’avère indispensable pour permettre de détecter des individus inconnus des services de renseignement ou que leurs comportements antérieurs n’avaient jusqu’ici pas permis d’identifier comme menaçants, dans un contexte de persistance de la menace terroriste.
Comme l’illustrent les attaques ou projets d’attaques terroristes récents, la menace terroriste endogène demeure élevée et présente un caractère particulièrement diffus et évolutif. Elle se nourrit et s’inspire d’une propagande terroriste toujours très présente et relayée sur les réseaux numériques. L’accès à cette propagande est particulièrement aisé et le recours aux moyens de communications numériques favorise en outre des contacts à distance d’individus radicalisés avec des réseaux ou groupes terroristes, ainsi qu’un passage à l’acte rapide difficilement détectable par les autres moyens à la disposition des services spécialisés.
S’il n’est pas possible de détailler les résultats obtenus au moyen de ces algorithmes, qui sont protégés au titre de la protection du secret de la défense nationale, conformément à l’article 413-9 du code pénal, il peut néanmoins être mentionné que ces algorithmes ont notamment permis :
- d’identifier des individus porteurs d’une menace à caractère terroriste et de détecter des contacts entre les individus porteurs de menace ;
- d’obtenir des informations sur la localisation d’individus en lien avec cette menace ;
- de mettre à jour des comportements d’individus connus des services de renseignement et nécessitant des investigations plus approfondies ;
- d’améliorer la connaissance des services sur la manière de procéder des individus de la mouvance terroriste.
L’apport de ce dispositif est donc majeur dans la lutte contre le terrorisme.
1.2. CADRE CONSTITUTIONNEL
Dans sa décision n° 2015-713 DC du 23 juillet 2015, le Conseil constitutionnel a déclaré conformes à la Constitution les dispositions de l’article L. 851-3 du code de la sécurité intérieure.
Il a estimé que ces dispositions ne portaient pas une atteinte disproportionnée au droit au respect de la vie privée au regard de l’existence de nombreuses garanties :
- l’existence d’une autorisation du Premier ministre délivrée sur demande écrite et motivée d’un ministre ;
- l’obligation de solliciter un avis préalable d’une autorité administrative indépendante, dotée en outre de prérogatives de contrôle ;
- l’existence d’une voie de recours spéciale devant le Conseil d’Etat, ouverte à la CNCTR comme à toute personne souhaitant vérifier que la technique n’a pas été irrégulièrement mise en œuvre à son encontre.
Le Conseil constitutionnel a également relevé que :
- cette technique ne peut être mise en œuvre qu’aux fins de prévention du terrorisme ;
- la première autorisation est délivrée pour une durée limitée à deux mois renouvelable dans le cadre d’une demande comportant un relevé du nombre d’identifiants techniques signalés par le traitement automatisé et une analyse de la pertinence de ces signalements ;
- cette technique utilise exclusivement les informations ou documents mentionnés à l’article L. 851-1 du code de la sécurité intérieure sans recueillir d’autres données que celles qui répondent à leurs paramètres de conception et sans permettre l’identification des personnes auxquelles les informations ou documents se rapportent ;
- l’identification de la ou des personnes dont les données ont été détectées par l’algorithme ne peut intervenir qu’après qu’une nouvelle autorisation a été délivrée par le Premier ministre après avis de la Commission, permettant d’exploiter les données recueillies dans un délai maximal de soixante jours avant destruction des données sauf en cas d’éléments sérieux confirmant l’existence d’une menace terroriste.
Le caractère expérimental de la mesure n’est donc pas au nombre des caractéristiques qui garantissent sa conformité à la Constitution.
1.3. CADRE EUROPEEN
ÿ Droit de l’Union européenne
Dans un arrêt La Quadrature du Net E.A. du 6 octobre 2020, la Cour de justice de l’Union européenne (CJUE) a jugé que la Charte des droits fondamentaux de l’Union européenne ne s’oppose pas à la mise en œuvre de la technique de recueil de renseignement mentionnée à l’article L. 851-3 du code de la sécurité intérieure dès lors qu’elle est « limitée à des situations dans lesquelles un État membre se trouve confronté à une menace grave pour la sécurité nationale qui s’avère réelle et actuelle ou prévisible » et sous réserve qu’elle « [fasse] l’objet
d’un contrôle effectif soit par une juridiction, soit par une entité administrative indépendante, dont la décision est dotée d’un effet contraignant, visant à vérifier l’existence d’une situation justifiant ladite mesure ainsi que le respect des conditions et des garanties devant être prévues ».
Dans sa décision en date du 21 avril 2021, qui tire les conséquences de cet arrêt (Ass., French Data Network et autres, n° 393099), l’assemblée du Conseil d’État a confirmé que l’article L. 851-3 du code de la sécurité intérieure et les décrets pris pour son application ne méconnaissaient le droit de l’Union européenne qu’en tant seulement qu’ils permettent la mise en œuvre de traitements automatisés sans prévoir, avant l’identification des personnes dont les données sont susceptibles de révéler une menace à caractère terroriste, un contrôle préalable par une juridiction ou par une autorité administrative dotée d’un pouvoir contraignant. Si, comme pour toutes les techniques de renseignement, l’identification des personnes détectées par le biais d’un algorithme ne peut être mis en œuvre qu’après l’avis d’un organisme de contrôle indépendant, la CNCTR, celui-ci n’est en effet pas contraignant pour le Premier ministre. L’article 16 du présent projet en tire les conséquences, en apportant à la loi les modifications qui s’imposent sur ce point.
La décision du Conseil d’État reconnaît en revanche que les autres exigences posées par la Cour sont satisfaites par le droit en vigueur ainsi que par les modifications que le présent projet de loi entend y apporter, observant à cet égard que l’algorithme ne peut être mis en œuvre que pour les seuls besoins de la prévention du terrorisme et que la Commission nationale de contrôle des techniques de renseignement, chargée d’émettre un avis préalable à la mise en œuvre de la technique, « vérifie l’existence et l’actualité de la menace grave pour la sécurité nationale susceptible de justifier une telle mesure ».
ÿ Convention européenne de sauvegarde des droits de l’Homme et des libertés fondamentales
La Cour de Strasbourg admet, de façon constante depuis son arrêt Klass et autres c. Allemagne (n° 5029/71, 6 septembre 1978), que les services de renseignement des États puissent se munir de moyens de surveiller les individus pour faire face à des menaces pouvant mettre en péril une société démocratique. Les mesures prises à cet égard, qui peuvent concerner un grand nombre de données ne portent ainsi pas, par nature, une atteinte disproportionnée au droit à la vie privée protégée par l’article 8 de la Convention.
Dans son arrêt Weber et Saravia c. Allemagne (n° 54934/00, 29 juin 2006, § 95), la Cour a exposé les principes généraux à l’aune desquels une mesure de surveillance secrète doit être appréciée pour déterminer si elle est ou pas conforme aux exigences de l’article 8 § 2 de la Convention : la nature des infractions susceptibles de donner lieu à un mandat d’interception, la définition des catégories de personnes susceptibles d’être mises sur écoute, la fixation d’une limite à la durée d’exécution de la mesure, la procédure à suivre pour l’examen, l’utilisation et la conservation des données recueillies, les précautions à prendre pour la communication des données à d’autres parties et les circonstances dans lesquelles peut ou doit s’opérer l’effacement ou la destruction des enregistrements.
La Cour a fait application de ces critères à un système d’interception généralisée des communications dans son arrêt de grande chambre, req. n° 47143/06, 4 décembre 2015, Zakharov c. Russie, § 227 s.) : elle y déduit de l’article 8 de la Convention qu’une ingérence dans ce droit ne peut se justifier que si :
- elle est prévue par la loi, c’est-à-dire qu’elle doit avoir une base en droit interne et être compatible avec la prééminence du droit ; elle doit être accessible à la personne concernée, prévisible quant à ses effets et assurer une protection adéquate contre l’arbitraire ;
- elle doit viser un ou plusieurs des buts légitimes énumérés à l’article 8§2 et être nécessaire, dans une société démocratique, pour atteindre ce ou ces buts.
2. NECESSITE DE LEGIFERER ET OBJECTIFS POURSUIVIS
En matière de renseignement, la technique de recueil de renseignement prévue à l’article L. 851-3 du code de sécurité intérieure, dite « algorithme », a été instaurée à titre d’expérimentation pour une durée limitée par l’article 25 modifié de la loi n° 2015-912 du 24 juillet 2015, qui arrive à son terme le 31 décembre 2021.
La technique mentionnée à l’article L. 851-3 répond à un besoin essentiel de détection précoce de la menace terroriste. L’un des enjeux les plus cruciaux de l’activité de renseignement consiste en effet à être en mesure de détecter une nouvelle menace, dont les auteurs et les modes opératoires ne sont pas connus et ne peuvent par définition faire l’objet d’une surveillance ciblée a priori, afin de la caractériser et de l’évaluer. Ce besoin est particulièrement prégnant en matière de lutte contre le terrorisme pour deux raisons.
En premier lieu, du fait du caractère diffus et très évolutif de la menace terroriste. Les dispositifs de nature algorithmique visent ainsi à repérer et discriminer sur les réseaux de communications électroniques des données caractéristiques de comportements typiques d’organisations et de cellules terroristes, afin de repérer des menaces et d’engager, le cas échéant, des mesures de surveillance individuelle aussi précisément ciblées qu’il est possible. Les algorithmes sont conçus à partir d'éléments recueillis au cours d'enquêtes menées en France ou à l’étranger sur des faits de terrorisme ou d'opérations militaires conduites à l'étranger qui permettent, notamment à l'occasion de saisies d'ordinateurs, de découvrir des modes particuliers de communication qui constituent une « signature » caractéristique de ces groupes terroristes (ex :
comportement caractéristique d’une diffusion de propagande djihadiste). Par exemple, lorsqu'un terroriste se livre à des exactions dans un pays étranger, des connexions se mettent en place sur notre territoire, pour identifier les réseaux sociaux qui montrent la scène. Un algorithme peut permettre de vérifier immédiatement les connexions qui assurent la diffusion de l'acte terroriste commis à l’étranger.
En second lieu, la nécessité de disposer d’un outil de détection est directement liée à l’apparition de nouveaux comportements, à la faveur notamment de la diffusion informatique d’une vaste propagande terroriste et de l’émergence de nouveaux moyens de communication électroniques.
Les actions terroristes sont ainsi, de plus en plus, le fait d’individus qui s’inspirent des messages de propagande qui émanent des organisations terroristes, incitant au passage à l’acte en fournissant les tutoriels pour leur réalisation, mais qui ne sont pas entrés en contact visible ou direct avec des organisations, réseaux ou groupes terroristes, échappant ainsi à toute capacité de détection par le biais d’une surveillance ciblée. En effet, si le maillage territorial des services de renseignement et de police ainsi que la sensibilisation des différents acteurs administratifs et sociaux permettent de détecter une évolution du comportement social d’un individu susceptible de révéler l’existence d’une menace terroriste, cette capacité disparaît lorsque ces indices n’apparaissent que par l’activité numérique de la personne.
La mise en œuvre des mesures autorisées par ces dispositions est donc essentielle, tant en matière d’entrave pour prévenir les actes de terrorisme, ainsi que le démontrent les rapports détaillés adressés chaque année au Parlement, qu’en matière de renseignement. C’est pour l’ensemble de ces motifs qu’une pérennisation du dispositif apparaît nécessaire.
3. DISPOSITIF RETENU
Le dispositif prévu à l’article L. 851-3 du code de la sécurité intérieure ayant déjà vu sa date d’échéance repoussée, et son utilité opérationnelle étant indéniable, l’option consistant à proroger une nouvelle fois ce dispositif pour une durée déterminée a été écartée au profit d’une pérennisation du dispositif, afin de conforter durablement l’action des services de renseignement.
Cette pérennisation est proportionnée, au regard des conditions entourant la mise en œuvre de cette technique et des garanties nouvelles qui sont apportées.
En premier lieu, les algorithmes ne permettent en aucun cas aux services de renseignement d’accéder à l’ensemble des données des réseaux des opérateurs.
Ce dispositif de détection vise, au contraire, à discriminer sur les données des opérateurs celles de nature à révéler un risque de nature terroriste afin d’orienter de la manière la plus ciblée possible l’activité de surveillance, par la mise en œuvre subséquente d’une technique permettant aux services d’accéder aux données d’un individu détecté par l’algorithme. Le service demandeur conçoit ainsi l’algorithme en fonction du comportement qu’il sait ou suppose être celui des individus porteurs de la menace qu’il cherche à détecter. Ce comportement est modélisé informatiquement : cela signifie que le service définit des paramètres techniques caractérisant le comportement recherché et reposant sur la seule analyse des données de connexion. L’objectif du service est que l’algorithme soit le plus discriminant possible afin d’éviter au maximum qu’il produise des faux positifs. En effet, un trop grand nombre de faux positifs remettrait en cause l’utilité de l’algorithme, qui vise à orienter au mieux l’action des services et à éviter la mobilisation de leurs moyens en vain.
En deuxième lieu, les garanties procédurales qui entourent la mise en œuvre de l’algorithme sont particulièrement fortes.
Les paramètres de détection sont contrôlés par la CNCTR, autorité administrative indépendante.
La Commission s’assure notamment que les paramètres retenus correspondent précisément à la finalité annoncée par le service et que la demande de mise en œuvre de l’algorithme est motivée de manière détaillée et circonstanciée. Concrètement, les ingénieurs de la CNCTR analysent le code de l’algorithme dans le détail. L’autorisation le cas échéant délivrée l’est pour une période limitée à deux mois. Par ailleurs, toute modification de l’algorithme nécessite un nouvel examen de la part de la Commission préalablement à sa mise en œuvre.
Si l’algorithme fait l’objet d’une demande de renouvellement, les services sont légalement obligés d’indiquer dans leur demande le nombre d’alertes produites par l’algorithme. Ils doivent également transmettre à la CNCTR une analyse de la pertinence de ces alertes.
Pendant la durée de validité de l’autorisation (deux mois pour la demande initiale, quatre mois en cas de renouvellement de l’autorisation), les services de renseignement ne peuvent à aucun moment accéder aux données des opérateurs.
En cas d’alerte, le service de renseignement concerné est simplement averti, sans qu’aucune autre information ne lui soit transmise. Il doit alors former une nouvelle demande motivée pour que le Premier ministre permette, après avis de la CNCTR, que lui soit transmis l’identifiant technique lié à l’alerte.
Le service de renseignement effectue alors généralement une demande d’identification de l’utilisateur de l’identifiant signalé en sollicitant la mise en œuvre de la technique prévue à l’article L. 851-1 du CSI. Si cette première démarche confirme le caractère crédible de la détection, le service pourra poursuivre ses investigations en se soumettant à toutes les obligations matérielles et procédurales prévues par la loi pour la mise en œuvre d’une technique de recueil de renseignement.
Seules les données relatives aux personnes dont la mise sous surveillance est précisément justifiée seront donc conservées. Toutes les autres données seront immédiatement détruites.
La mise en œuvre de ces traitements automatisés permet donc aux services de renseignement de procéder par levée de doute, de la manière la moins intrusive possible, et de ne solliciter ensuite la mise en œuvre de mesures de surveillance individuelle que si le besoin en est avéré.
Enfin, la pérennisation de la technique de l’algorithme s’accompagnera de plusieurs garanties nouvelles (cf. article 13 du projet de loi), résultant des enseignements tirés de l’expérimentation et qui viennent renforcer la proportionnalité du dispositif :
- la mise en œuvre des traitements ne pourra plus être sollicitée que par les seuls services spécialisés de renseignement,
- la possibilité de proroger la durée de conservation des données correspondant aux paramètres de détection et dont le Premier ministre autorise le recueil est supprimée. En l’état de la loi, cette durée est fixée à soixante jours mais peut être prolongée, en cas d’éléments sérieux confirmant l’existence d’une menace terroriste, jusqu’à quatre ans.
L’expérimentation a fait apparaître qu’une telle prolongation n’est pas nécessaire, dès
lors que le délai normal de soixante jours permet, en tout état de cause, de solliciter la mise en œuvre d’une technique de renseignement ciblée sur la personne à laquelle se rapporte les données détectées par les traitements ;
- un service du Premier ministre, distinct des services de renseignement, sera seul habilité à exécuter, à la demande des services, les traitements autorisés. Cette mission incombera au groupement interministériel de contrôle, service à compétence nationale doté de compétences juridiques et d’effectifs déjà chargés de veiller de manière centralisée à la mise en œuvre des traitements dans les conditions définies par la loi, sous le contrôle de la CNCTR.
4. ANALYSE DES IMPACTS DES DISPOSITIONS ENVISAGÉES
4.1. IMPACTS JURIDIQUES
L’article 25 de la loi n° 2015-912 du 24 juillet 2015 relative au renseignement est abrogé.
Une telle pérennisation ne remet pas en cause la constitutionnalité de l’article L. 851-3 du code de la sécurité intérieure, telle qu’elle a été reconnue par le Conseil constitutionnel dans sa décision n° 2015-713 DC précitée. Celle-ci, en effet, n’a tenu aucun compte du fait que ces dispositions avaient été adoptées pour une durée limitée pour les déclarer conformes à la Constitution (considérant 60).
4.2. IMPACTS SUR LES SERVICES ADMINISTRATIFS
Les services de renseignement continueront, avec le GIC et sous le contrôle de la Commission nationale de contrôle des techniques de renseignement, à mettre en œuvre ce dispositif, dans les mêmes conditions que celles actuellement en vigueur.
4.3. IMPACTS SUR LES PARTICULIERS
Le dispositif prévu à l’article L. 851-3 du CSI a pour finalité de détecter un comportement susceptible de constituer une menace de nature terroriste. L’identification de la ou des personnes dont les données ont été détectées par l’algorithme ne peut intervenir que dans un second temps, à l’issue d’une nouvelle autorisation délivrée par le Premier Ministre après avis de la CNCTR. Compte-tenu, entre autres, de cette garantie, le Conseil constitutionnel a considéré que cette disposition ne portait pas une atteinte disproportionnée au droit au respect de la vie privée.
5. CONSULATION ET MODALITES D’APPLICATION
5.1. CONSULTATIONS
Cette disposition a été présentée à la Commission nationale de contrôle des techniques de renseignement en application de l’article L. 833-11 du code de la sécurité intérieure qui a rendu son avis le 7 avril 2021.
Cette disposition a été présentée à la Commission nationale informatique et liberté qui a rendu son avis le 8 avril 2021.
Cette disposition a été présentée, conformément à L. 36-5 du code des postes et communications électroniques, à l’autorité de régulation des communications électroniques, des postes et de la distribution de la presse qui a rendu son avis le 16 avril 2021.
5.2. MODALITES D’APPLICATION
5.2.1. Application dans le temps
Le présent article qui a pour conséquence de pérenniser la possibilité de mise en œuvre de la technique de renseignement prévue par l’article L. 851-3 du code de la sécurité intérieure entrera en vigueur au lendemain de la publication de la présente loi au Journal officiel de la République française.
5.2.2. Application dans l’espace
Les dispositions envisagées s’appliqueront à l’échelle nationale, y compris dans les collectivités régies par les articles 73 et 74 de la Constitution.
Article 13 : Modalités d尋exécution des traitements automatisés et extension aux adresses complètes de ressources sur internet (URL) 1. ÉTAT DES LIEUX
1.1. CADRE GENERAL
Comme évoqué dans les développements relatifs à l’article 12 du projet de loi, la technique de l’algorithme, prévue par l’article L. 851-3 du code de la sécurité intérieure, permet la mise en place, sur les réseaux des opérateurs de communications électroniques et des fournisseurs de services sur internet, de traitements automatisés destinés à détecter des connexions susceptibles de révéler une menace terroriste. Il s’agit particulièrement de contribuer à la détection d’individus inconnus des services de renseignement ou que leurs comportements antérieurs n’avaient jusqu’ici pas permis d’identifier comme menaçants.
Ces traitements ne peuvent utiliser que les informations ou documents mentionnés à l'article L. 851-1 du code de la sécurité intérieure, c’est-à-dire les données de connexion, à l’exclusion de toute donnée révélant le contenu des communications. L’article L. 34-1 du code des postes et des communications électroniques (CPCE) relatif au traitement des données à caractère personnel dans le cadre de la fourniture au public de services de communications électroniques donne une définition en creux des données de connexion en excluant la conservation des données portant sur le contenu des correspondances échangées ou des informations consultées.
Cette définition en creux est reprise à l’article R. 851-5 du CSI qui prévoit que « les informations ou documents mentionnés à l’article L. 851-1 sont, à l’exclusion du contenu des correspondances échangées ou des informations consultées : (...) ».
1.2. CADRE CONSTITUTIONNEL
Dans sa décision n° 2015-713 DC du 23 juillet 2015, le Conseil constitutionnel a déclaré conformes à la Constitution les dispositions de l’article L. 851-3 du code de la sécurité intérieure (voir développements à l’article 12).
Il précisait explicitement (cons. 55) « que selon les dispositions du paragraphe VI de l’article L. 34-1 du code des postes et des communications électroniques, les données conservées et traitées par les opérateurs de communications électroniques et les personnes offrant au public une connexion permettant une telle communication portent exclusivement sur l’identification des personnes utilisatrices des services fournis par les opérateurs, sur les caractéristiques techniques des communications assurées par ces derniers et sur la localisation des équipements terminaux et ne peuvent en aucun cas porter sur le contenu des correspondances échangées ou des informations consultées, sous quelque forme que ce soit, dans le cadre de ces communications ». Selon le Conseil constitutionnel, c’est donc le renvoi à l’article L. 34-1 du CPCE (qui pourtant n’est opéré par le L. 851-1 du CSI que pour identifier « les personnes »
mentionnées par cet article) qui exclut de la catégorie des « données de connexion » le contenu des correspondances échangées ou des informations consultées. Cela amène donc à distinguer deux sous catégories au sein des correspondances, les correspondances échangées et les « informations consultées » distinctes des « données de connexion ».
1.3. CADRE EUROPEEN
ÿ Convention européenne de sauvegarde des droits de l’Homme et des libertés fondamentales
La Cour de Strasbourg admet, de façon constante depuis son arrêt Klass et autres c. Allemagne (n° 5029/71, 6 septembre 1978), que les services de renseignement des Etats puissent se munir de moyens de surveiller les individus pour faire face à des menaces pouvant mettre en péril une société démocratique. Les mesures prises à cet égard, qui peuvent concerner un grand nombre de données ne portent ainsi pas, par nature, une atteinte disproportionnée au droit à la vie privée protégée par l’article 8 de la Convention.
S’agissant d’un système d’interception généralisée des communications31, la Cour déduit de l’article 8 de la Convention qu’une ingérence dans ce droit ne peut se justifier que si :
- elle est prévue par la loi, c’est-à-dire qu’elle doit avoir une base en droit interne et être compatible avec la prééminence du droit ; elle doit être accessible à la personne concernée, prévisible quant à ses effets et assurer une protection adéquate contre l’arbitraire ;
- elle doit viser un ou plusieurs des buts légitimes énumérés à l’article 8§2 et être nécessaire, dans une société démocratique, pour atteindre ce ou ces buts.
ÿ Droit de l’Union européenne
Dans un arrêt La Quadrature du Net E.A. du 6 octobre 2020, la Cour de justice de l’Union européenne (CJUE) a jugé que la Charte des droits fondamentaux de l’Union européenne ne s’oppose pas à la mise en œuvre de la technique de recueil de renseignement mentionnée à l’article L. 851-3 du code de la sécurité intérieure dès lors qu’elle est « limitée à des situations dans lesquelles un Etat membre se trouve confronté à une menace grave pour la sécurité nationale qui s’avère réelle et actuelle ou prévisible » et sous réserve qu’elle « [fasse] l’objet d’un contrôle effectif soit par une juridiction, soit par une entité administrative indépendante, dont la décision est dotée d’un effet contraignant, visant à vérifier l’existence d’une situation justifiant ladite mesure ainsi que le respect des conditions et des garanties devant être prévues ».
Dans sa décision en date du 21 avril 2021, qui tire les conséquences de cet arrêt (Ass., French Data Network et autres, n° 393099), l’assemblée du Conseil d’État a confirmé que l’article
31 Arrêt Zakharov c. Russie, req. n° 47143/06, 4 décembre 2015, § 227 s.
L. 851-3 du code de la sécurité intérieure et les décrets pris pour son application ne méconnaissaient le droit de l’Union européenne qu’en tant seulement qu’ils permettent la mise en œuvre de traitements automatisés sans prévoir, avant l’identification des personnes dont les données sont susceptibles de révéler une menace à caractère terroriste, un contrôle préalable par une juridiction ou par une autorité administrative dotée d’un pouvoir contraignant. Si, comme pour toutes les techniques de renseignement, l’identification des personnes détectées par le biais d’un algorithme ne peut être mis en œuvre qu’après l’avis d’un organisme de contrôle indépendant, la CNCTR, celui-ci n’est en effet pas contraignant pour le Premier ministre. Comme indiqué précédemment, l’article 16 en tire les conséquences en apportant à la loi les modifications qui s’imposent.
La décision du Conseil d’État reconnaît en revanche que les autres exigences posées par la Cour sont satisfaites par le droit en vigueur ainsi que par les modifications que le présent projet de loi entend y apporter, observant à cet égard que l’algorithme ne peut être mis en œuvre que pour les seuls besoins de la prévention du terrorisme et que la Commission nationale de contrôle des techniques de renseignement, chargée d’émettre un avis préalable à la mise en œuvre de la technique, « vérifie l’existence et l’actualité de la menace grave pour la sécurité nationale susceptible de justifier une telle mesure ».
2. NECESSITE DE LEGIFERER ET OBJECTIFS POURSUIVIS
La technique mentionnée à l’article L. 851-3 du code de la sécurité intérieure répond à un besoin essentiel de détection précoce de la menace terroriste.
L’un des enjeux les plus cruciaux de l’activité de renseignement consiste en effet à être en mesure de détecter une nouvelle menace, dont les auteurs et les modes opératoires ne sont pas connus et ne peuvent par définition faire l’objet d’une surveillance ciblée a priori, afin de la caractériser et de l’évaluer. Ce besoin est particulièrement prégnant en matière de lutte contre le terrorisme du fait du caractère diffus et très évolutif de la menace.
Les dispositifs de nature algorithmique visent ainsi à repérer et discriminer sur les réseaux de communications électroniques des données caractéristiques de comportements typiques d’organisations et de cellules terroristes, afin de repérer des menaces et d’engager, le cas échéant, des mesures de surveillance individuelle aussi précisément ciblées qu’il est possible.
De nouveaux comportements sont également apparus, à la faveur notamment de la diffusion informatique d’une vaste propagande terroriste et de l’émergence de nouveaux moyens de communication électroniques. Les actions terroristes sont ainsi, de plus en plus, le fait d’individus qui s’inspirent des messages de propagande qui émanent des organisations terroristes, incitant au passage à l’acte en fournissant les tutoriels pour leur réalisation, mais qui ne sont pas entrés en contact visible ou direct avec des organisations, réseaux ou groupes terroristes, échappant ainsi à toute capacité de détection par le biais d’une surveillance ciblée.
En effet, si le maillage territorial des services de renseignement et de police ainsi que la sensibilisation des différents acteurs administratifs et sociaux permettent de détecter une
évolution du comportement social d’un individu susceptible de révéler l’existence d’une menace terroriste, cette capacité disparaît lorsque ces indices n’apparaissent que par l’activité numérique de la personne.
Dans ces conditions, il est utile, en même temps que l’on pérennise cette technique, de lui permettre de s’adapter au caractère évolutif de la menace. À ce titre, ces dispositifs, qui ne traitent aujourd’hui que les seules données téléphoniques, doivent pouvoir être déployés sur les adresses de ressources sur internet (URL), y compris lorsqu’elles sont susceptibles de révéler indirectement, au regard de la nature de l’adresse complète permettant l’acheminement de la communication électronique, des informations sur le contenu des sites consultés.
Les usages contemporains en matière de télécommunications recourent en effet de plus en plus à des applications Internet et non aux voies téléphoniques classiques. C’est particulièrement le cas pour la population visée. Les données de connexion produites par l’utilisation d’internet prennent notamment la forme d’adresses de ressources sur internet (URL). Ces données sont, au regard des usages actuels en matière de communication, les plus pertinentes pour détecter les comportements caractérisés par les paramètres d’un algorithme définis sous le contrôle de la CNCTR. Un algorithme spécifique, fondé en partie sur les URL, pourrait ainsi permettre la détection de consultations ou de téléchargements de fichiers caractérisant une menace (manuels de création d’explosifs ou de poisons, vidéo de revendications ou d’appel au djihad, etc…). Il est rappelé que la CNCTR accède aux codes sources de ces algorithmes pour vérifier leur complète conformité aux traitements attendus.
L’élargissement du champ des données traitées aux URL, données particulièrement pertinentes pour la détection des comportements terroristes, est également de nature à favoriser un meilleur ciblage des alertes, à réduire le nombre de faux positifs et, en conséquence, à améliorer l’efficacité de la technique, dans le strict respect de la vie privée et du secret des correspondances.
3. OPTIONS POSSIBLES ET DISPOSITIF RETENU
3.1. OPTIONS ENVISAGEES
Il appartient au législateur d’assurer la conciliation entre, d’une part, la prévention des atteintes à l’ordre public et des infractions, nécessaire à la sauvegarde de droits et de principes de valeur constitutionnelle, et, d’autre part, l’exercice des droits et des libertés constitutionnellement garantis, au nombre desquels figure le droit au respect de la vie privée.
Deux options ont été envisagées :
Une première option possible consiste à compléter la liste, fixée par voie réglementaire, des données de connexion que les services de renseignement sont habilités à recueillir pour y inclure l’ensemble des URL. Ceci suppose de considérer que les informations dont sont porteuses les adresses complètes des ressources sur internet (URL) sont limitées et ne donnent pas
nécessairement par elles-mêmes d’indication directe et précise sur la nature des informations consultées, et encore moins sur les activités de la personne qui procède à la consultation.
De fait, s’il prend en compte le fait que l’algorithme ne peut traiter que des données de connexion, à l’exclusion du contenu des correspondances échangées ou des informations consultées (cf. décision précitée n° 2015-713 DC du 23 juillet 2015), le Conseil constitutionnel ne s’est pas prononcé sur la nature juridique des adresses de ressources sur internet qui ne permettent qu’indirectement d’obtenir des indications sur le contenu des informations consultées sur un site internet.
Pour autant, la Commission nationale de contrôle des techniques de renseignement a considéré dans sa délibération n° 1/2016 du 14 janvier 2016 précitée que les adresses de ressources sur internet constituaient une catégorie de données mixte, ces adresses pouvant constituer de simples données de connexion comme des données de contenu lorsqu’elles « sont porteuses par nature des informations consultées ».
Par ailleurs, ajouter les URL aux données visées par l’article L. 851-1, impliquerait que cette catégorie de donnée puisse être consultée pour toutes les techniques de renseignement permettant le recueil des « données visées à l’article L. 851-1 », à savoir :
- Le recueil des données de connexion (L. 851-1 CSI) ;
- Le recueil en temps réel (L. 851-2) ;
- Les traitements automatisés (L. 851-3) ;
- l’autorisation d’interception de sécurité vaudra autorisation de recueil des URL (III de l’article L. 852-1 et 2d alinéa de l’article L. 852-2) ;
Enfin, la durée de conservation de cette catégorie de données serait alignée sur celle des données de connexion, ce qui n’est pas souhaitable, au regard de leur nature mixte.
La seconde option consiste à restreindre la possibilité de recueillir les adresses complètes de ressources utilisées sur internet, sans que cela ne puisse concerner le contenu des informations consultées, aux seules techniques de renseignement des articles L. 851-2 et L. 851-3 du CSI, solution qui correspond au principe de nécessité et de proportionnalité, les URL étant particulièrement utiles dans ce cadre.
3.2. DISPOSITIF RETENU
ÿ Étendre le champ de la technique prévue à l’article L. 851-3 du CSI aux adresses complètes de ressources utilisées sur Internet
En droit, ces adresses, lorsqu’elles ont la nature de données de connexion peuvent d’ores et déjà être prises en compte par les algorithmes. Ces « URL-données de connexion » sont très majoritairement celles qui présentent un intérêt opérationnel. Toutefois, dès lors qu’il est techniquement impossible a priori de les isoler des adresses qui « sont porteuses par nature
des informations consultées », et que ces dernières peuvent également contribuer à la pertinence de l’algorithme, les algorithmes pourront concerner les unes et les autres.
Il est entendu que les adresses complètes de ressources utilisées sur internet qui feront l’objet d’un traitement automatisé en application de l’article L. 851-3 seront celles des seules ressources auxquelles un utilisateur accède, à l’exclusion de celles pouvant figurer au sein de contenus de correspondances électroniques, par exemple des liens dans des SMS ou des courriers électroniques, ou au sein de contenus consultés, par exemple des liens dans des pages web. Dès lors, il n’est pas apparu nécessaire de les exclure expressément du dispositif.
Enfin, il convient de noter que les données URL ne sont pas traitées par les opérateurs de communications électroniques et doivent donc être recueillies par d’autres moyens techniques, ce que permet le dispositif retenu.
ÿ Renforcer les garanties applicables à la mise en œuvre de l’algorithme Le dispositif retenu vise par ailleurs à assortir l’élargissement des données susceptibles d’être traitées par l’algorithme aux adresses complètes d’une ressource sur internet d’un renforcement des garanties fortes qui entourent, depuis l’entrée en vigueur de la loi relative au renseignement du 24 juillet 2015, la mise en œuvre de ces traitements automatisés dont les paramètres de détection sont contrôlés par la CNCTR.
En pratique, les ingénieurs de la Commission nationale de contrôle des techniques de renseignement accompagnent les services de l’État dans la définition des paramètres et de leur évolution, ainsi que dans la mise en œuvre des algorithmes qu’ils contrôlent périodiquement tout au long de la durée de l’autorisation.
Toute modification de l’algorithme nécessite un nouvel examen de la part de la Commission préalablement à sa mise en œuvre. En cas de demande de renouvellement, les services de renseignement sont légalement tenus d’indiquer dans leur demande le nombre d’alertes produites par l’algorithme. Ils doivent également transmettre à la CNCTR une analyse de la pertinence de ces alertes.
Une seconde autorisation est requise pour obtenir l’identifiant technique à l’origine d’une alerte et les données techniques afférentes, ainsi le cas échéant que l’identité de l’utilisateur du numéro de téléphone ou de l’adresse IP concerné.
Les données recueillies en cas d’alerte ne peuvent être exploitées que pour une durée maximale de soixante jours. Toutefois, en l’état actuel de la législation, ces données peuvent être conservées au-delà de cette durée, lorsqu’il existe des éléments sérieux confirmant une menace à caractère terroriste. Dans ce cas, elles peuvent être conservées jusqu’à quatre ans à compter de leur recueil, par application du 3° du I l’article L. 822-2 du code de la sécurité intérieure. En tout état de cause, les données non détectées par les traitements comme susceptibles de révéler une menace à caractère terroriste sont détruites immédiatement.
Le projet de loi supprime cette possibilité de conservation prolongée des données afférentes à la détection d’une menace terroriste par l’algorithme. Ainsi, compte tenu de l’extension des catégories de données exploitées par les traitements automatisés concernés, les services de renseignement seront tenus de confirmer l’existence d’une menace dans ce délai de soixante jours afin de décider le cas échéant de demander la possibilité d’engager une mesure de surveillance ciblée au moyen d’une des techniques de recueil de renseignement prévues au livre VIII du code de la sécurité intérieure (analyse des facturations détaillées liées à un numéro de téléphone, placement sur écoutes administratives, etc.).
Il convient de rappeler que l’engagement d’une telle mesure est soumis à une nouvelle autorisation du Premier ministre après avis de la CNCTR, qui intervient après deux autorisations données dans les mêmes conditions pour mettre en œuvre l’algorithme puis pour obtenir la communication de l’identifiant technique que les paramètres de détection auraient signalé.
Enfin, le projet de loi entend limiter le nombre des services de renseignement autorisés à solliciter la mise en œuvre d’un algorithme sur le fondement de l’article L. 851-3 en précisant que seuls les services spécialisés de renseignement mentionnés à l’article L. 811-2 peuvent présenter une telle demande.
ÿ Clarification de l’architecture de l’algorithme
Le projet de loi clarifie enfin les modalités de fonctionnement des algorithmes, telles qu’elles résultent du travail progressif de construction de cet outil, en concertation avec les opérateurs et en accord avec la CNCTR, entre l’adoption de la loi et la mise en service du premier algorithme fin 2017.
Il précise ainsi que l’exécution des algorithmes est assurée de manière centralisée, sous le contrôle de la CNCTR, par un service du Premier ministre, en l’occurrence le GIC, qui fait écran entre les données passées au tamis des algorithmes et les services de renseignement ayant demandé leur mise en œuvre. Ce faisant, le projet de loi formalise la garantie dont la CNCTR avait exigé le respect lorsqu’elle a rendu son avis favorable en 2016.
4. ANALYSE DES IMPACTS DES DISPOSITIONS ENVISAGEES
4.1. IMPACTS JURIDIQUES
L’article L. 851-3 du code de la sécurité intérieure est modifié.
La responsabilité de la mise en œuvre des traitements automatisés de l’article L. 851-3 du code de la sécurité intérieure est transférée des opérateurs de communications électroniques vers un service du Premier ministre, le GIC. Les services spécialisés de renseignement ne pourront recevoir communication que des données de connexion, résiduelles, afférentes aux seules communications repérées par l’algorithme au titre de la prévention du terrorisme, et à condition
d’y avoir été spécialement autorisés au préalable par une nouvelle décision du Premier ministre prise après avis de la CNCTR.
4.2. IMPACTS SUR LES ADMINISTRATIONS
Les modifications prévues (centralisation par le GIC, prise en compte des adresses complètes des ressources sur internet) rendent nécessaires une adaptation de l’architecture technique actuellement mise en œuvre. Ces évolutions nécessitent un renfort de 25 ETP. La cellule commune pilotée par la DGSI chargée de concevoir et paramétrer les algorithmes ainsi que de gérer les alertes devra élargir sa compétence pour définir des traitements automatisés tirant bénéfice des nouvelles possibilités offertes par les URL.
4.3. IMPACTS SUR LES FINANCES PUBLIQUES
Le coût d’adaptation de l’architecture technique est évalué à 20 M€ pour l’achat et la mise en œuvre des dispositifs techniques et de 4 M€ annuels pour leur maintien en condition opérationnelle.
5. CONSULATIONS ET MODALITES D’APPLICATION
5.1. CONSULTATIONS
Cette disposition a été présentée à la Commission nationale de contrôle des techniques de renseignement en application de l’article L. 833-11 du code de la sécurité intérieure qui a rendu son avis le 7 avril 2021.
Cette disposition a été présentée à la Commission nationale informatique et liberté qui a rendu son avis le 8 avril 2021.
Cette disposition a été présentée, conformément à L. 36-5 du code des postes et communications électroniques, à l’autorité de régulation des communications électroniques, des postes et de la distribution de la presse qui a rendu son avis le 16 avril 2021.
5.2. MODALITES D’APPLICATION
5.2.1. Application dans le temps
Ces dispositions s’appliqueront dès le lendemain de la publication de la loi au Journal officiel de la République française.
5.2.2. Application dans l’espace
Elles sont d’application immédiate sur l’ensemble du territoire français.
Article 14 : Ajout des adresses complètes de ressource sur internet (URL) aux données susceptibles d’être recueillies en temps réel (1°) et définition de leur durée de conservation (2°)
1. ÉTAT DES LIEUX
1.1. CADRE GENERAL
Prévue à l’article L. 851-2 du CSI, la technique de recueil en temps réel, sur les réseaux des opérateurs et des personnes mentionnés à l'article L. 851-1, des informations ou documents relatifs à une personne préalablement identifiée susceptible d'être en lien avec une menace, cette technique concerne, les seules données visées à l’articles L. 851-1 du même code, c’est-à-dire les données techniques relatives à l'identification des numéros d'abonnement ou de connexion à des services de communications électroniques, au recensement de l'ensemble des numéros d'abonnement ou de connexion d'une personne désignée, à la localisation des équipements terminaux utilisés ainsi qu'aux communications d'un abonné portant sur la liste des numéros appelés et appelants, la durée et la date des communications.
Conformément à l’article L. 821-4 du même code, cette technique peut être mise en œuvre pour une durée de quatre mois, sur autorisation du Premier ministre délivrée après avis de la CNCTR.
Elle est renouvelable dans les mêmes conditions.
La procédure prévue à l’article L. 821-5 du CSI, qui permet au Premier ministre, en cas d’urgence absolue, d’autoriser cette technique sans attendre l’avis de la CNCTR, n’est pas applicable.
1.2. CADRE CONSTITUTIONNEL
Dans sa décision n° 2015-713 DC du 23 juillet 2015, le Conseil constitutionnel a déclaré conformes à la Constitution les dispositions de l’article L. 851-2 du code de la sécurité intérieure. Il a estimé que ces dispositions ne portaient pas une atteinte disproportionnée au droit au respect de la vie privée au regard d’un faisceau de garanties. Au nombre de ces garanties figurent :
- l’existence d’une autorisation du Premier ministre délivrée sur demande écrite et motivée d’un ministre ;
- l’obligation de solliciter un avis préalable d’une autorité administrative indépendante, dotée en outre de prérogatives de contrôle ;
- l’existence d’une voie de recours spéciale devant le Conseil d’Etat, ouverte à la CNCTR comme à toute personne souhaitant vérifier que la technique n’a pas été irrégulièrement mise en œuvre à son encontre.
Le Conseil constitutionnel a également relevé que :
- une telle autorisation de recueil des données en temps réel ne pourra être délivrée que pour les besoins de la prévention du terrorisme ;
- l’autorisation de recueil de renseignement en cause porte uniquement sur l'identification des personnes utilisatrices des services fournis par les opérateurs, sur les caractéristiques techniques des communications assurées par ces derniers et sur la localisation des équipements terminaux et ne peuvent en aucun cas porter sur le contenu des correspondances échangées ou des informations consultées, sous quelque forme que ce soit ;
- elle est autorisée pour une durée de quatre mois renouvelable conformément à l'article L. 821-4 du CSI ;
- elle ne peut être mise en œuvre qu’à l’égard de personnes dont il existe une raison valable de soupçonner qu’elles sont impliquées d’une manière ou d’une autre dans des activités de terrorisme, ce ciblage étant soumis à un contrôle préalable d’une AAI, la CNCTR et, le cas échéant, du Conseil d’État dont la décision sera dotée d’un effet contraignant
- l’article L. 821-5 du code de la sécurité intérieure, qui permet, en cas d’urgence absolue, au Premier ministre de délivrer une autorisation sans avis préalable de la CNCTR, n’est pas applicable à cette technique de renseignement.
1.3. CADRE CONVENTIONNEL
La Cour de Strasbourg admet, de façon constante depuis son arrêt Klass et autres c. Allemagne (n° 5029/71, 6 septembre 1978), que les services de renseignement des Etats puissent se munir de moyens de surveiller les individus pour faire face à des menaces pouvant mettre en péril une société démocratique. Les mesures prises à cet égard, qui peuvent concerner un grand nombre de données ne portent ainsi pas, par nature, une atteinte disproportionnée au droit à la vie privée protégée par l’article 8 de la Convention.
Dans son arrêt Weber et Saravia c. Allemagne (n° 54934/00, 29 juin 2006, § 95), la Cour a exposé les principes généraux à l’aune desquels une mesure de surveillance secrète doit être appréciée pour déterminer si elle est ou pas conforme aux exigences de l’article 8 § 2 de la Convention : la nature des infractions susceptibles de donner lieu à un mandat d’interception, la définition des catégories de personnes susceptibles d’être mises sur écoute, la fixation d’une limite à la durée d’exécution de la mesure, la procédure à suivre pour l’examen, l’utilisation et la conservation des données recueillies, les précautions à prendre pour la communication des données à d’autres parties et les circonstances dans lesquelles peut ou doit s’opérer l’effacement ou la destruction des enregistrements.
La Cour a fait application de ces critères à un système d’interception généralisée des communications dans son arrêt de grande chambre, req. n° 47143/06, 4 décembre 2015, Zakharov c. Russie, § 227 s.) : elle y déduit de l’article 8 de la Convention qu’une ingérence dans ce droit ne peut se justifier que si :
- elle est prévue par la loi, c’est-à-dire qu’elle doit avoir une base en droit interne et être compatible avec la prééminence du droit ; elle doit être accessible à la personne concernée, prévisible quant à ses effets et assurer une protection adéquate contre l’arbitraire ;
- elle doit viser un ou plusieurs des buts légitimes énumérés à l’article 8§2 et être nécessaire, dans une société démocratique, pour atteindre ce ou ces buts.
2. NECESSITE DE LEGIFERER ET OBJECTIFS POURSUIVIS
La technique mentionnée à l’article L. 851-2 répond à un besoin essentiel de détection de la menace terroriste. Comme pour la technique de l’algorithme, l’efficacité des alertes produites reste très dépendante de la nature des données intégrées dans les paramètres initiaux. En effet, le dispositif actuel n’intègre pas les données internet mais uniquement les données de téléphonie.
Or, les usages contemporains en matière de télécommunications recourent en effet de plus en plus à des applications Internet et non aux voies téléphoniques classiques. C’est particulièrement le cas pour la population visée. Les données de connexion produites par l’utilisation d’internet prennent notamment la forme d’adresses de ressources sur internet (URL).
A ce titre, et sans permettre d’accéder au contenu des sites internet consultés, cette technique doit, néanmoins pouvoir être déployée sur les adresses de ressources sur internet (URL) utilisées par la personne concernée, y compris lorsqu’elles sont susceptibles de révéler indirectement, au regard de la nature de l’adresse complète permettant l’acheminement de la communication électronique, des informations sur le contenu des sites consultés.
3. OPTIONS POSSIBLES ET DISPOSITIF RETENU
3.1. OPTIONS ENVISAGEES
Le livre VIII du code de la sécurité intérieure est organisé autour de deux catégories de données : les données de connexion (L. 851-1) et les correspondances (L. 852-1 ; L. 852-2).
Ces deux catégories de données répondent à des régimes différents de recueil et de durée de conservation.
Or, il appartient au législateur d’assurer la conciliation entre, d’une part, la prévention des atteintes à l’ordre public et des infractions, nécessaire à la sauvegarde de droits et de principes de valeur constitutionnelle, et, d’autre part, l’exercice des droits et des libertés constitutionnellement garantis, au nombre desquels figure le droit au respect de la vie privée.
Une option possible consiste à compléter la liste, fixée par voie réglementaire, des données de connexion que les services de renseignement sont habilités à recueillir pour y inclure l’ensemble des URL. Ceci suppose de considérer que les informations dont sont porteuses les adresses complètes des ressources sur internet sont limitées et ne donnent pas nécessairement par elles-mêmes d’indication directe et précise sur la nature des informations consultées, et encore moins sur les activités de la personne qui procède à la consultation.
De fait, s’il prend en compte le fait que la technique de renseignement visée à l’article L. 851-2 du CSI ne peut traiter que des données de connexion, à l’exclusion du contenu des correspondances échangées ou des informations consultées (cf. décision n° 2015-713 DC du 23 juillet 2015, cons. 55), le Conseil constitutionnel ne s’est pas prononcé sur la nature juridique des adresses de ressources sur internet qui ne permettent qu’indirectement d’obtenir des indications sur le contenu des informations consultées sur un site internet.
Pour autant, la Commission nationale de contrôle des techniques de renseignement a considéré dans sa délibération n° 1/2016 du 14 janvier 2016 que les adresses de ressources sur internet constituaient une catégorie de données mixte, ces adresses pouvant constituer de simples données de connexion comme des données de contenu lorsqu’elles « sont porteuses par nature des informations consultées ».
Au regard de cette analyse, l’extension des données susceptibles d’être recueillies en temps réel en application de l’article L. 851-2 au-delà des seules données de connexion, pour inclure les URL porteuses des informations consultées, appelle nécessairement l’intervention du législateur.
Cette extension porte uniquement sur les URL ayant donné lieu à une consultation effective par les utilisateurs. En effet, la technique de recueil en temps réel des données de connexion n’ayant en aucun cas vocation à recueillir et analyser le contenu des communications, qui demeure exclu du champ d’application de l’article L. 851-2 du CSI, défini par référence à l’article L. 851-1 du même code, les URL qui, sans avoir été consultées, se trouveraient dans le contenu de correspondances échangées ne pourront pas être collectées dans ce cadre. Dès lors, il n’est pas apparu nécessaire de préciser le dispositif afin d’exclure ces dernières URL.
Par ailleurs, ces données constituant une catégorie particulière de données de connexion, le 2° du présent article prévoit leur durée de conservation en l’alignant, non pas sur celle des données de connexion, que le 3° de l’article L. 822-2 porte à quatre ans mais sur celle des données mixtes, prévues à au 2° du même article, soit cent vingt jours : en effet, ces données ne sont pas des données de contenu (dont la conservation est limitée à trente jours) mais sont susceptibles de révéler certaines informations et portent donc une atteinte à la vie privée supérieure à celle des données de connexion classiques.
3.2. DISPOSITIF RETENU
Le dispositif retenu vise à assortir l’élargissement des données susceptibles d’être traitées recueillies en temps réel via la technique de renseignement visée à l’article L. 852-1 du CSI aux adresses complètes d’une ressource sur internet utilisées par une personne d’une distinction de la durée de conservation des deux types de données susceptibles d’être recueillies par ce biais.
Cette détection est effectuée pour les seuls besoins de la prévention du terrorisme, à l’encontre de personnes préalablement identifiées comme étant susceptibles d’être en lien avec une menace terroriste, ou de personnes de leur entourage.
Ainsi, il conviendra de distinguer, lorsque la technique visée à l’article L. 852-1 sera mise en œuvre, entre les données de connexion « classiques », qui pourront être conservées quatre ans, conformément au droit applicable actuellement, et les données relatives aux URL qui, elles, devront être détruites au terme d’un délai beaucoup plus réduit de 120 jours, conformément aux dispositions de l’article L. 822-2 modifié.
4. ANALYSE DES IMPACTS DES DISPOSITIONS ENVISAGEES
4.1. IMPACTS JURIDIQUES
Les articles L. 822-2 et L. 851-2 du code de la sécurité intérieure sont modifiés.
4.2. IMPACTS SUR LES PARTICULIERS
Les adresses des sites consultés sur internet par des personnes présentant une menace de nature terroriste et à l’égard desquelles la technique prévue à l’article L. 851-2 du code de la sécurité intérieure aura été autorisée par le Premier ministre après avis de la CNCTR, pourront être transmises et exploitées par les services de renseignement.
5. CONSULTATIONS ET MODALITES D’APPLICATION
5.1. CONSULTATIONS MENEES
Cette disposition a été présentée à la Commission nationale de contrôle des techniques de renseignement en application de l’article L. 833-11 du code de la sécurité intérieure qui a rendu son avis le 7 avril 2021.
Cette disposition a été présentée à la Commission nationale informatique et liberté qui a rendu son avis le 8 avril 2021.
Cette disposition a été présentée, conformément à L. 36-5 du code des postes et communications électroniques, à l’autorité de régulation des communications électroniques, des postes et de la distribution de la pressequi a rendu son avis le 16 avril 2021.
5.2. MODALITES D’APPLICATION
5.2.1. Application dans le temps
Ces dispositions entrent en vigueur immédiatement.
5.2.2. Application dans l’espace
Les dispositions s’appliqueront à l’échelle nationale, y compris dans les collectivités régies par les articles 73 et 74 de la Constitution.
Article 15 : Modalités de conservation des données de connexion en cas de menace grave, actuelle ou prévisible sur la sécurité nationale 1. ÉTAT DES LIEUX
1.1. CADRE GENERAL
Les données de connexion, parfois appelées métadonnées pour les distinguer de celles qui portent sur le contenu des communications échangées, jouent aujourd’hui un rôle central dans la recherche, la constatation et la poursuite des infractions pénales et dans, le domaine du renseignement, pour la défense et la promotion des intérêts fondamentaux de la Nation.
Ainsi, dans le domaine judiciaire, près de deux millions environ de réquisitions portant sur ces données sont effectuées annuellement par l’intermédiaire de la plateforme nationale des interceptions judiciaires (PNIJ), procédure mise en œuvre dans plus de quatre enquêtes judiciaires sur cinq. Une telle procédure revêt notamment un intérêt fondamental dans la répression de la criminalité organisée où elle est utilisée systématiquement.
Dans le domaine du renseignement, plusieurs techniques visées au livre VIII du code de la sécurité intérieure consiste en un accès aux données de connexion en possession des opérateurs, accès opéré via un service du Premier ministre, le groupement interministériel de contrôle (GIC). Chaque année, environ 50 000 accès à ces données sont autorisés pour les besoins du renseignement.
Ces techniques d’accès aux données de connexion par les services de renseignement font l’objet du titre V du livre II du code de la sécurité intérieure. Il s’agit de :
- la technique de recueil en temps différé des données de connexion (article L. 851-1) ;
- la technique du recueil en temps réel de ces mêmes données (article L. 851-2) ;
- la technique dite de l’ « algorithme », qui, appliqué à un flux de données de connexion, permet le cas échéant un accès à ces données, en cas de détection d’une menace terroriste (article L. 851-3) ;
- la technique de géolocalisation en temps réel (article L. 851-4).
Les règles en matière de conservation de certaines des données de connexion sont définies à l’article L. 34-1 du code des postes et des communications électroniques. Cet article, applicable aux « opérateurs de communications électroniques, (…) notamment les personnes dont l'activité est d'offrir un accès à des services de communication au public en ligne » pose tout d’abord le principe selon lequel ces personnes effacent ou rendent anonyme toute donnée relative au trafic.
Ce principe est toutefois assorti d’exceptions.
La première, visée au III de l’article L. 34-1, concerne les besoins de la recherche, de la constatation et de la poursuite des infractions pénales ou d'un manquement à l'obligation de respect du droit d’auteur sur internet ou pour les besoins de la prévention des atteintes aux systèmes de traitement automatisé de données prévues et réprimées par les articles 323-1 à 323-3-1 du code pénal. Pour ces besoins, et dans le seul but de permettre la mise à disposition de ces données à l’autorité judiciaire, à la Haute autorité pour la diffusion des œuvres et de la protection des droits sur internet (HADOPI) ou à l'autorité nationale de sécurité des systèmes d'information (ANSSI), les opérateurs sont tenus de différer, pour une durée d’un an, les opérations tendant à effacer ou à rendre anonymes certaines catégories de données techniques, définies aux articles R. 10-13 (besoins judiciaires) et R. 10-13-1 (ANSSI) du code des postes et des communications électronique.
La seconde, visée au IV de l’article L. 34-1, concerne les besoins de la facturation et du paiement des prestations de communications électroniques, pour la satisfaction desquels les opérateurs peuvent, jusqu'à la fin de la période au cours de laquelle la facture peut être légalement contestée ou des poursuites engagées pour en obtenir le paiement, utiliser, conserver et, le cas échéant, transmettre à des tiers concernés directement par la facturation ou le recouvrement les catégories de données techniques visées à l’article R. 10-14 du code des postes et des communications électronique.
Ces modalités trouvent leur pendant, s’agissant des fournisseurs d’accès à internet et des hébergeurs, à l’article 6 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique (LCEN) qui fait obligation aux personnes précitées de conserver les données nécessaires à l’identification des personnes créant, modifiant ou supprimant des contenus en ligne (la liste des données concernées étant fixée à l’article 1er du décret n° 2011-218 du 25 février 2011). Le même article 6 prévoit un droit d’accès aux données ainsi conservées ouvert à l’autorité judiciaire pour la recherche ou la poursuite des infractions.
Bien que l’article L. 34-1 du CPCE ne traite pas spécifiquement de la conservation des données de connexion pour les besoins des services de renseignement, le Conseil d’État a jugé qu’il résultait des dispositions des articles L. 851-1 et L. 811-3 du code de la sécurité intérieure (qui organisent l’accès aux données de connexion conservées en application des articles L. 34-1 CPCE et 6 de la LCEN) que le législateur a également entendu imposer aux opérateurs de communications électroniques, aux fournisseurs d’accès à internet et aux hébergeurs l’obligation de conserver de manière générale et indifférenciée les données de connexion pour les besoins des missions de défense et de promotion des intérêts fondamentaux de la Nation confiées aux services de renseignement (CE ass. 21 avr. 2021, French data Network et a., n° 393099, 394922, 397844, 397851, 424717, 424718)
1.2. CADRE EUROPEEN
1.2.1. Le droit de l’Union européenne
La directive 97/66/CE du Parlement européen et du Conseil du 15 décembre 1997 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des télécommunications est venue prévoir, à son article 6 § 1 que « les données relatives au trafic concernant les abonnés et les utilisateurs traitées en vue d'établir des communications et stockées par le fournisseur d'un réseau public de télécommunications et/ou d'un service de télécommunications accessible au public doivent être effacées ou rendues anonymes dès que la communication est terminée », ce principe étant assorti d’une exception, prévue au § 2 du même article, liée aux besoins de la facturation.
Les obligations découlant de cette directive ont été reprises par la directive 2002/58/CE du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (dite « e-privacy »), notamment l’obligation d’effacement ou d’anonymisation des données « relatives au trafic », reprise à l’article 6 de cette directive.
Cette directive prévoit néanmoins, à son article 1er § 3 (« champs d’application ») qu’elle « ne s'applique pas aux activités qui ne relèvent pas du traité instituant la Communauté européenne, telles que celles visées dans les titres V et VI du traité sur l'Union européenne, et, en tout état de cause, aux activités concernant la sécurité publique, la défense, la sûreté de l'État (y compris la prospérité économique de l'État lorsqu'il s'agit d'activités liées à la sûreté de l'État) ou aux activités de l'État dans des domaines relevant du droit pénal ».
En outre, son article 15 § 1 permet aux Etats membres d’adopter des mesures législatives visant à limiter, notamment, l’obligation d’effacement ou d’anonymisation, « lorsqu'une telle limitation constitue une mesure nécessaire, appropriée et proportionnée, au sein d'une société démocratique, pour sauvegarder la sécurité nationale - c'est-à-dire la sûreté de l'État - la défense et la sécurité publique, ou assurer la prévention, la recherche, la détection et la poursuite d'infractions pénales ou d'utilisations non autorisées du système de communications électroniques ».
Si, dans les premières années d’application de cette directive, la jurisprudence de la Cour de justice de l’Union européenne semblait admettre la possibilité d’une conservation généralisée et indifférenciée pour les besoins des services d’enquête, elle a néanmoins, par trois principaux arrêts (CJUE, 21 déc. 2016, Télé2 Sverige AB, n° C-203/15 et C-698/15 ; CJUE 2 oct. 2018, Ministerio fiscal, n° C-207/16 et CJUE 6 oct. 2020, La Quadrature du Net et a., n° C-511/18, C-512/18 et C-520/18), adopté une lecture différente des textes européens applicables à la conservation des données de connexion et aux modalités d’accès des autorités publiques à ces données.
A rebours de nombreux Etats membres, la Cour a tout d’abord, dans son arrêt Télé2, considéré que la directive e-privacy trouvait à s’appliquer aux mesures nationales qui prévoient tant l'obligation des fournisseurs de conserver les données de connexion que l'accès des autorités nationales à ces données, à des fins de lutte contre la criminalité. Sur l’autorisation, prévue à l’article 15 § 1 de la directive, donnée aux Etats de limiter, notamment, l’obligation d’effacement ou d’anonymisation, pour des finalités de protection de la sécurité et de répression
de la criminalité, la Cour considère qu’une telle autorisation, sauf à la priver de tout effet utile, « présuppose nécessairement que les mesures nationales qui y sont visées, telles que celles relatives à la conservation de données à des fins de lutte contre la criminalité, relèvent du champ d'application de cette même directive, puisque cette dernière n'autorise expressément les États membres à les adopter que dans le respect des conditions qu'elle prévoit ».
Cette applicabilité de la directive e-privacy a conduit la Cour à une condamnation du principe de conservation généralisée et indifférenciée des données, au regard des articles 7 et 8 de la Charte des droits fondamentaux de l’Union européenne, qui garantissent respectivement le droit à la vie privée et le droit à la protection des données personnelles, comme de l'article 11 de la Charte qui garantit la liberté d'expression.
Aussi, selon la Cour, la conservation généralisée des données de connexion constitue-t-elle une ingérence « particulièrement grave » excédant « les limites du strict nécessaire et ne [pouvant] être considérée comme étant justifiée, dans une société démocratique, ainsi que l'exige l'article 15, paragraphe 1, de la directive 2002/58, lu à la lumière des articles 7, 8 et 11 ainsi que de l'article 52, paragraphe 1, de la Charte » CJUE, 21 déc. 2016, Télé2 Sverige AB, n° C-203/15 et C-698/15).
Dans son dernier arrêt, La Quadrature du Net (CJUE 6 oct. 2020, n° C-511/18, C-512/18 et C-520/18), la Cour, se prononçant sur la possibilité d’une conservation généralisée des données de connexion lorsqu’est en cause la sécurité nationale, a rappelé que des limitations à l’exercice du droit à la vie privée étaient possibles, pour autant que ces limitations soient prévues par la loi, qu’elles respectent le contenu essentiel desdits droits et que, dans le respect du principe de proportionnalité, elles soient nécessaires et répondent effectivement à des objectifs d’intérêt général reconnus par l’Union ou au besoin de protection des droits et des libertés d’autrui. La Cour énonce que l’objectif de sauvegarde de la sécurité nationale est susceptible de justifier des mesures comportant des ingérences dans les droits fondamentaux plus graves que celles que pourraient justifier les autres objectifs visés à l’article 15 de la directive e-privacy.
Elle a ainsi jugé que, si une conservation systématiquement générale et indifférenciée des données n’est pas possible, le législateur peut adopter une mesure de conservation pour une période limitée au strict nécessaire, dès lors qu’il existe des circonstances suffisamment concrètes permettant de considérer que l’État membre concerné fait face à une menace grave pour la sécurité nationale qui s’avère réelle et actuelle ou prévisible. Cette injonction de conservation doit pouvoir faire l’objet d’un contrôle effectif soit par une juridiction, soit par une entité administrative indépendante, dont la décision est dotée d’un effet contraignant.
De l’ensemble de ces arrêts, il ressort que la Cour identifie trois objectifs dont la « gravité »
justifie une conservation plus importante de données dont la « sensibilité » augmente parallèlement : la « lutte contre la criminalité et la prévention des menaces contre la sécurité publique », la « lutte contre la criminalité grave et prévention des menaces graves pour la sécurité publique » et la « sauvegarde de la sécurité nationale ». Le premier peut justifier la conservation des données les moins révélatrices de la vie privée des personnes, le deuxième la conservation ciblée de données plus vastes et, enfin, le troisième la conservation généralisée
et indifférenciée des données, y compris celles qui apportent les informations les plus précises sur la personne à laquelle elles se rapportent, mais dans la limite et le délai circonscrit par la réalité de la menace qui pèse sur la sécurité nationale.
Par ailleurs, la Cour établit une gradation entre les catégories de données de connexion susceptibles d’être conservées et distingue entre :
- les données relatives à l’identité civile de l’utilisateur qui, eu égard à leur faible sensibilité, peuvent être conservées de manière généralisée et indifférenciée, quel que soit l’objectif poursuivi ;
- les adresses IP, qui présentent davantage de sensibilité, et qui ne peuvent donc être conservées de manière généralisée et indifférenciée que pour lutter contre la criminalité grave et pour sauvegarder la sécurité nationale ;
- et enfin les autres données de connexion, dont la conservation est réservée aux objectifs les plus graves, et selon deux modalités différentes en fonction de l’objectif poursuivi.
S’agissant de la lutte contre la criminalité grave et de la prévention des atteintes à la sécurité publique, la CJUE admet seulement la possibilité d’adopter une réglementation permettant, à titre préventif, une conservation ciblée des données relatives au trafic et des données de localisation afin de lutter contre la criminalité grave à condition qu’une telle conservation soit, en ce qui concerne les catégories de données à conserver, les moyens de communication visés, les personnes concernées ainsi que la durée de conservation retenue, limitée au strict nécessaire. La Cour propose deux exemples : ciblage de personnes (notamment celles ayant été préalablement identifiées, dans le cadre des procédures nationales applicables et celles présentant sur la base d’éléments objectifs une menace pour la sécurité publique ou la sécurité nationale) et/ou de lieux (lieux particulièrement exposés à la commission d’actes de criminalité grave, tels que des lieux ou infrastructures fréquentés régulièrement par un nombre très élevé de personnes, ou encore des lieux stratégiques, tels que des aéroports, des gares ou des zones de péages).
En outre, pour cet objectif, la Cour juge possible une « conservation rapide » des données, conformément à l’article 16 de la convention du Budapest sur la cybercriminalité du 23 novembre 2001. Une telle conservation rapide, à des fins de la lutte contre la criminalité grave et de la prévention des atteintes à la sécurité publique, ne pourra concerner que les données susceptibles de contribuer à la prévention ou à la répression d’une infraction déterminée, étant précisé qu’elle pourra concerner les personnes de l’entourage de la personne soupçonnée (victime ou complice potentiel par exemple).
S’agissant de la sécurité nationale, le législateur peut adopter une mesure de conservation généralisée et indifférenciée pour une période limitée au strict nécessaire, dès lors qu’il existe des circonstances suffisamment concrètes permettant de considérer que l’État membre concerné fait face à une menace grave pour la sécurité nationale qui s’avère réelle et actuelle ou prévisible. Cette injonction de conservation doit être soumise à un examen régulier de sa nécessité (et donc à une réévaluation périodique de l’état de la menace) et soumise au contrôle
d’un juge ou d’une autorité indépendante dotée d’un pouvoir contraignant qui appréciera son caractère proportionné.
1.2.2. Cadre conventionnel
La Cour européenne des droits de l’Homme (CEDH) considère que le simple fait de conserver des données relatives à la vie privée des individus constitue une ingérence au sens de l’article 8 de la Convention qui garantit le droit au respect de la vie privée et familiale et surtout de la correspondance, peu importe que ces informations soient ou non utilisées par la suite. Pour déterminer si les informations à caractère personnel conservées par les autorités font entrer en jeu un aspect de la vie privée, la Cour tient toutefois compte du contexte particulier dans lequel ces informations ont été recueillies et conservées, de la nature des données consignées, de la manière dont elles sont utilisées et des résultats qui peuvent en être tirés (CEDH gr.ch., 4 déc.
2008, S. & Marper c. Royaume-Uni, aff. n° 30562/04).
Sur l’accès aux données à caractère personnel conservées par ailleurs, la Cour a eu l’occasion de se prononcer à de nombreuses reprises. Ainsi, dans le domaine judiciaire, la Cour juge-t-elle par exemple que ne méconnaît pas l’article 8 de la Convention une réquisition judiciaire adressée à un opérateur de téléphonie mobile pour obtenir la liste des bornes déclenchées par une ligne téléphonique dans le cadre d’une procédure pénale relative à des faits d’importation de stupéfiants en bande organisée, d’association de malfaiteurs et de blanchiment. La Cour relève qu’une telle réquisition poursuivait un but légitime et avaient été utilisées dans le cadre d’une enquête et d’un procès pénal au cours duquel le requérant avait bénéficié d’un contrôle effectif (CEDH 8 févr. 2018, Ben Faiza c. France, n° 31446/12).
Dans le domaine du renseignement, la Cour admet, de façon constante depuis son arrêt Klass et autres c. Allemagne (n° 5029/71, 6 septembre 1978), que les services de renseignement étatiques puissent se munir de moyens de surveiller les individus pour faire face à des menaces pouvant mettre en péril une société démocratique. Les mesures prises à cet égard, qui peuvent concerner un grand nombre de données ne portent ainsi pas, par nature, une atteinte disproportionnée au droit à la vie privée protégée par l’article 8 de la Convention.
En 2018, la Cour s’est penchée spécifiquement sur le degré d’atteinte à la vie privée d’une personne susceptible de résulter de l’accès et de l’examen de données de connexion dans son arrêt Big Brother Watch. Et a. c. Royaume-Uni (n° 58170/13). Elle a jugé en l’espèce que tout système permettant l’accès à des données détenues par des fournisseurs de services de communication doit se limiter au but que constitue la lutte contre le crime, et l’accès doit être soumis au contrôle préalable d’un tribunal ou d’un organe administratif indépendant. Dans cet arrêt, elle reconnaît expressément la gravité des menaces qui pèsent actuellement sur de nombreux État contractants, notamment le terrorisme international et d’autres crimes tels que le trafic de stupéfiants, la traite d’êtres humains, l’exploitation sexuelle d’enfants et la cybercriminalité. Elle considère en conséquence que les États doivent jouir d’une ample marge d’appréciation pour choisir le meilleur moyen de protéger la sécurité nationale.
1.2.3. Cadre constitutionnel
Les dispositions législatives de l’article L. 851-1 du code de la sécurité intérieure, qui permettent aux services de renseignement d’accéder, à certaines conditions, aux données de connexion conservées de manière généralisée par les opérateurs – et donc, implicitement mais nécessairement, le principe même d’une telle conservation, également prévu aux articles L.34-1 du CPCE et 6 de la LCEN (v. CE ass. 21 avr. French data Network et a., n° 393099, 394922, 397844, 397851, 424717, 424718, préc.) – ont été jugées conformes à la Constitution par le Conseil constitutionnel, à la lumière de l’ensemble des droits, libertés, principes et objectifs à valeur constitutionnelle, conformément à son office (décision n° 2015-713 DC du 23 juillet 2015). Ce faisant, validant les techniques de recueil de renseignement permettant l’accès aux données de connexion conservées, il a validé implicitement leur conservation.
En outre, le Conseil constitutionnel avait déjà eu l'occasion de valider l'accès aux données de connexion par diverses administrations. Il avait, notamment, jugé conforme à la Constitution, dans son principe, le dispositif de réquisition d'accès aux données de connexion prévu par l'article 6 de la loi n° 2006-64 du 23 janvier 2006, dont est issu l'article L. 851-1 (décision n° 2005-532 DC du 19 janvier 2006).
Par ailleurs, le Conseil constitutionnel a été amené à reconnaître plusieurs principes et objectifs constitutionnels de nature à justifier que des données à caractère personnel soient conservées ou réquisitionnées par une autorité publique. Il en est ainsi de l’exigence constitutionnelle de sauvegarde des intérêts fondamentaux de la Nation, au nombre desquels figurent l’indépendance de la Nation et l’intégrité du territoire (décision n° 2011-192 QPC du 10 novembre 2011), l’objectif à valeur constitutionnelle de prévention des infractions et de recherche des auteurs d’infraction pénale (décision n° 2004-492 DC du 2 mars 2004) et, enfin, l’objectif de lutte contre le terrorisme, composante de l’objectif à valeur constitutionnelle de protection de l’ordre public (décisions no
2017-691 QPC du 16 février 2018 et n° 2017-695 du
29 mars 2018).
1.2.4. La décision du Conseil d’État, après question préjudicielle Le Conseil d’État a, par une décision de l’Assemblée du contentieux du 21 avril 2021 (French data Network et a., n° 393099, 394922, 397844, 397851, 424717, 424718) tracé les modalités de transposition, en droit interne, des décisions précitées de la CJUE et plus particulièrement de l’arrêt rendu sur sa question préjudicielle, La Quadrature du Net, du 6 octobre 2020.
Il a d’abord considéré qu’il ressort de l'article 12 de la Déclaration des droits de l'Homme et du citoyen de 1789 que la garantie des droits de l'homme et du citoyen nécessite une force publique. La sauvegarde des intérêts fondamentaux de la Nation, la prévention des atteintes à l'ordre public, notamment celle des atteintes à la sécurité des personnes et des biens, la lutte contre le terrorisme, ainsi que la recherche des auteurs d'infractions pénales constituent des objectifs de valeur constitutionnel, nécessaires à la sauvegarde de droits et de principes de même valeur et qui doivent être conciliés avec l'exercice des libertés constitutionnellement
garanties, au nombre desquelles figurent la liberté individuelle, la liberté d'aller et venir et le respect de la vie privée.
Or, considère le Conseil d’État, ces exigences constitutionnelles, qui s'appliquent à des domaines relevant exclusivement ou essentiellement de la compétence des Etats membres en vertu des traités constitutifs de l'Union, ne sauraient être regardées comme bénéficiant, en droit de l'Union, d'une protection équivalente à celle que garantit la Constitution. Faisant application de sa jurisprudence Arcelor (8 février 2007, Société Arcelor Atlantique Lorraine, n°287110), il considère dès lors qu’il lui revient d'examiner si, en écartant la règle de droit national contestée au motif de sa contrariété avec le droit de l'Union européenne, il priverait de garanties effectives ces exigences constitutionnelles dont le défendeur se prévaut et, le cas échéant, d'écarter le moyen dont le requérant l'a saisi.
Le Conseil d’État a donc appliqué cette grille de lecture aux différentes modalités de conservation des données de connexion applicables en France.
S’agissant des données relatives à l’identité civile, aux paiements et aux comptes de l’abonné, le Conseil d’État relève, comme la CJUE, qu’elles peuvent faire l’objet, sans limitation de durée, d’une conservation généralisée et indifférenciée pour les besoins de toute procédure pénale, de la prévention de toute menace contre la sécurité publique et de la sauvegarde de la sécurité nationale.
S’agissant des adresses IP, si leur conservation généralisée et indifférenciée ne saurait être justifiée par les besoins de la lutte contre l’ensemble des infractions pénales, mais uniquement pour les besoins de la lutte contre la criminalité grave, il a considéré en revanche, que le législateur n’est pas tenu d’énumérer les infractions relevant du champ de la criminalité grave en se référant à des catégories strictement prédéfinies en droit interne. Le rattachement d’une infraction pénale à la criminalité grave a donc vocation à s’apprécier de façon concrète, sous le contrôle du juge pénal qui fait application du principe de proportionnalité consacré par l’article préliminaire du code de procédure pénale, au regard de la nature de l’infraction commise et de l’ensemble des faits de l’espèce. Une obligation de conservation généralisée et indifférenciée des adresses IP peut ainsi être imposée aux opérateurs, dès lors que les conditions d’accès à ces données par les services d’enquête sont fixées en fonction de la gravité des infractions susceptibles de le justifier, dans le respect du principe de proportionnalité.
S’agissant des autres données de connexion, le Conseil d’État distingue selon que cette conservation est opérée aux fins de sauvegarde de la sécurité nationale ou aux fins de lutte contre la criminalité et de prévention des menaces à l’ordre public.
S’agissant de sauvegarde de la sécurité nationale, la CJUE a défini cette notion comme « l’intérêt primordial de protéger les fonctions essentielles de l’État et les intérêts fondamentaux de la société et inclut la prévention et la répression d’activités de nature à déstabiliser gravement les structures constitutionnelles, politiques, économiques ou sociales fondamentales d’un pays, et en particulier à menacer directement la société, la population ou l’État en tant que tel, telles que notamment des activités de terrorisme ». En écho, le Conseil d’État estime que cette notion
doit être « appréciée au regard de l’ensemble des intérêts fondamentaux de la Nation listés à l’article L. 811-3 du code de la sécurité intérieure ».
Le Conseil relève ensuite, avec la CJUE, que l’objectif de sauvegarde de la sécurité nationale peut justifier une conservation généralisée et indifférenciée des données de connexion lorsque pèse sur elle une menace grave, actuelle ou prévisible.
Par suite, en l’état actuel de la menace grave qui pèse sur la France, analysée par le Conseil d’État dans son arrêt au regard de la persistance d’un risque terroriste élevé ainsi qu'en témoigne les attentats perpétrés ou empêchés récemment, exposition au risque d’espionnage et d’ingérence étrangère en raison notamment des capacités de la France et de ses engagements militaires et de son potentiel technologique et économique ainsi que menaces graves pour la paix publique, liées à une augmentation de l’activité de groupes radicaux et extrémistes, cette conservation généralisée et indifférenciée, prévue à l’article L. 34-1 du CPCE et à l’article 6 de la LCNE et, au niveau réglementaire, par l’article R. 10-13 du CPCE, est bien justifiée.
Néanmoins, dès lors que l’état de cette menace et, par suite, la nécessité de l’injonction de conservation (qui ne peut excéder un an) doivent être régulièrement réévalués, il considère que les dispositions législatives précitées ainsi que les dispositions réglementaires prises pour leur application méconnaissent le droit de l’Union européenne en tant que leurs dispositions ne prévoient pas un réexamen périodique de l’existence d’une menace grave, actuelle ou prévisible pour la sécurité nationale.
S’agissant de la lutte contre la criminalité et la prévention des menaces à l’ordre public, le Conseil d’État rappelle que si la CJUE estime que ces objectifs ne sauraient justifier une conservation généralisée et indifférenciée des données de connexion, et ce, quel que soit le degré de gravité de cette criminalité ou de ces menaces et n’admet qu’une conservation ciblée de ces données pour la seule lutte et répression de la criminalité grave, une telle conservation ciblée, à supposer qu’elle soit techniquement réalisable, ferait obstacle à l’action des services d’enquête et serait contraire au principe constitutionnel d’égalité devant la loi.
En outre, si la CJUE admet que la lutte contre la criminalité et la prévention des menaces à l’ordre public peut justifier une « conservation rapide » des données de connexion, encore faut-il que ces données aient été conservées. Dès lors que, en l’absence de conservation de ces données pour un autre motif, cette conservation rapide ne peut concerner que les données émises à compter de la date et de l’heure à laquelle il est enjoint à un opérateur d’y procéder, un tel dispositif ne présentera un intérêt que si les données ont été effectivement conservées par ailleurs.
Le Conseil d’État en déduit donc que ni l’accès aux données de connexion conservées volontairement par les opérateurs, ni la possibilité de leur imposer une obligation de conservation ciblée, ni le recours à la technique de la conservation rapide ne permettent, par eux-mêmes, de garantir le respect des objectifs de valeur constitutionnelle de prévention des atteintes à l’ordre public, notamment celle des atteintes à la sécurité des personnes et des biens, ainsi que de recherche des auteurs d’infractions, notamment pénales.
Il ajoute toutefois que, tant que la France sera soumise à une menace grave actuelle ou prévisible sur sa sécurité nationale, le mécanisme de conservation rapide pourra s’appliquer aux données conservées à ce titre. Aussi, tant que cette menace perdure, l’autorité judiciaire et les autorités administratives indépendantes disposant d’un droit d’accès aux données de connexion en vertu de la loi en vue de lutter contre les manquements graves aux règles dont elles ont la charge d’assurer le respect sont donc en mesure d’accéder aux données nécessaires à la poursuite et à la recherche des auteurs d’infractions pénales dont la gravité le justifie. Par conséquent, en l’état actuel de la menace, il n’y a pas lieu de considérer que la mise à l’écart des dispositions législatives qui imposent une conservation généralisée et indifférenciée des données de connexion à des fins judiciaires, au motif qu’elles seraient contraires au droit de l’Union européenne, priverait de garanties effectives les objectifs de valeur constitutionnelle invoqués.
2. NECESSITE DE LEGIFERER ET OBJECTIFS POURSUIVIS
Dans sa décision précitée, le Conseil d’État désigne plusieurs dispositions législatives qui sont contraires au droit de l’Union européenne et qu’il appartient, par conséquent, au législateur de modifier.
Il s’agit tout d’abord des dispositions des articles L. 34-1 du CPCE et de l’article 6 de la LCEN qui fixent les motifs pour lesquels les opérateurs et les fournisseurs d’accès à internet peuvent différer l’effacement des données de connexion, et donc de les conserver de manière généralisée et indifférenciée hors cas de menace grave, actuelle ou prévisible sur la sécurité nationale. Cela concerne en particulier le III de l’article L. 34-1 qui impose cette conservation notamment pour les besoins de la recherche, de la constatation et de la poursuite des infractions pénales, ou d'un manquement à l'obligation de respect du droit d’auteur sur internet ou pour les besoins de la prévention des atteintes aux systèmes de traitement automatisé de données prévues et réprimées par les articles 323-1 à 323-3-1 du code pénal.
Par ailleurs, la CJUE et le Conseil d’État ayant précisé le cadre juridique permettant de procéder à la conservation généralisée et indifférenciée des données de connexion, en cas de menace grave, il convient que le législateur en tire les conséquences, au moyen d’une disposition précise et encadrée.
En outre, il importe de prévoir que les autorités qui disposent actuellement, en vertu de la loi, d’un droit d’accès aux données de connexion conservées par les opérateurs, peuvent enjoindre une « conservation rapide » de ces données, dans une finalités de répression de la criminalités graves ou des manquements graves aux règles dont elles ont la charge d’assurer le respect.
Enfin, il convient également de préciser les catégories de données de connexion pouvant être conservées de manière plus large au regard de leur nature, à savoir les informations relatives à l’identité des utilisateurs, les informations fournies lors de la souscription du contrat et les adresses IP.
3. OPTIONS POSSIBLES ET DISPOSITIF RETENU
3.1. OPTIONS ENVISAGEES
3.1.1. Les modalités de conservation
Il aurait pu être envisagé, comme le suggère la CJUE, de prévoir un cadre de conservation ciblé des données à des fins judiciaires ou de renseignement, applicable en l’absence de menace grave, actuelle ou prévisible sur la sécurité nationale, en ciblant par exemple les personnes au regard de leurs condamnations passées ou de leur inscription dans un fichier à finalité de prévention de la récidive ou de souveraineté ou en ciblant certaines données de connexion en fonction de leur zone géographique d’émission, ces zones étant définies au regard de la prévalence des infractions graves.
Toutefois, au-delà des obstacles techniques dirimants relevés par ailleurs par le Conseil d’État dans sa décision et de la méconnaissance du principe d’égalité devant la loi qu’elle induirait, les moyens des services de renseignement ou de l’autorité judiciaire et leur efficacité variant en fonction de ce ciblage, cette solution se heurte également à des considérations de confidentialité dès lors qu’un tel ciblage nécessiterait de communiquer aux opérateurs de communications électroniques la liste des personnes dont l’État estime qu’elles sont susceptibles de constituer une menace pour la sécurité publique ou de commettre des infractions ou la liste de zones plus exposées à la criminalité grave.
Par ailleurs, de telles listes sont nécessairement amenées à évoluer, en fonction de l’évolution du ciblage, ne serait-ce que pour faire échec aux tentatives de contournement des personnes surveillées. Outre la difficulté technique, pour les opérateurs, de mettre à jour, en permanence, les listes inhérentes à ce ciblage, s’ajoute le coût de tels traitements, à la charge de l’État.
Cette solution n’est donc pas apparue de nature à garantir l’effectivité des exigences constitutionnelles de prévention des atteintes à l’ordre public et de recherche des auteurs d’infraction.
Par ailleurs, le Conseil d’État ayant admis l’existence d’une menace grave actuelle ou prévisible pesant sur la sécurité nationale depuis de nombreuses années, au regard de la persistance d’un risque terroriste élevé ainsi qu'en témoigne les attentats perpétrés ou empêchés récemment, exposition au risque d’espionnage et d’ingérence étrangère en raison notamment des capacités de la France et de ses engagements militaires et de son potentiel technologique et économique ainsi que menaces graves pour la paix publique, liées à une augmentation de l’activité de groupes radicaux et extrémistes, il a été considéré que seule cette hypothèse de conservation des données de connexion pouvait être envisagée.
Enfin, si le Conseil d’État a traduit, dans sa décision, la notion de menace pesant sur la sécurité nationale retenue par la CJUE comme devant être « appréciée au regard de l’ensemble des intérêts fondamentaux de la Nation listés à l’article L. 811-3 du code de la sécurité intérieure », il a été préféré la notion de « menace pesant sur la sécurité nationale » à celle de « menace
pesant sur les intérêts fondamentaux de la Nation » afin de permettre d’englober, au titre de cette injonction de conservation, les besoins des services du renseignement pénitentiaire créé par l’article L. 855-1 du code de la sécurité intérieure, qui ont pour mission la collecte et l'exploitation du renseignement dans les domaines de la lutte antiterroriste, de la lutte contre la criminalité organisée et du renforcement de la sécurité pénitentiaire (notamment prévention des émeutes et des évasions) et participent, de ce fait, à la prévention des atteintes à la sécurité nationale.
3.1.2. Le niveau de norme imposant la conservation en cas de menace grave, actuelle et prévisible, sur la sécurité nationale
S’il appartient au législateur de définir avec précision les conditions dans lesquelles pèse sur les opérateurs de communications électroniques une obligation de conservation des données de connexion et d’assortir ce dispositif de garanties suffisantes pour assurer le respect des droits et libertés constitutionnellement garantis (en particulier le droit au respect de la vie privée), la Constitution confère au pouvoir exécutif des responsabilités particulières en matière de protection des intérêts fondamentaux de la Nation, ce qui justifie que la loi lui confie le pouvoir de décision en matière de renseignement.
En vertu de l'article 5 de la Constitution, le Président de la République est le garant de l'indépendance nationale et de l'intégrité du territoire. L’article 20 de la Constitution prévoit en outre que « le Gouvernement détermine et conduit la politique de la Nation » et « dispose de l'administration et de la force armée », tandis que l’article 21 prévoit que le Premier ministre « dirige l'action du Gouvernement » et « est responsable de la Défense nationale ». Ceci justifie que le pouvoir de décision soit confié au Premier ministre, s’agissant d’une matière relevant en outre de la police administrative et, partant, de la seule responsabilité du pouvoir exécutif (décision n°2005-532 DC, cons. 5).
Dès lors, le pouvoir d’injonction aux opérateurs en matière de sécurité nationale paraît naturellement relever des prérogatives de l’exécutif, l’option consistant en une injonction directement fixée par la loi se heurtant à l’exigence d’une réitération au moins une fois par an qui n’est pas nécessairement compatible avec les contraintes du calendrier parlementaire.
Tout en respectant le principe de séparation des pouvoirs, la solution de niveau réglementaire, qui permet de contester directement l’injonction devant le juge administratif, y compris en urgence, et d’en demander l’abrogation à tout moment (le refus d’abroger pouvant lui-même être contesté), ouvre de larges possibilités de contrôle sur la mesure. Le Gouvernement sera en outre amené à rendre compte de son action en la matière suivant les mécanismes de contrôle parlementaire prévus par la Constitution.
3.1.3. Le contrôle juridictionnel sur l’injonction de conservation L’article L. 841-1 du code de la sécurité intérieure a prévu une procédure spécifique pour connaître des requêtes concernant la mise en œuvre des techniques de renseignement
mentionnées au titre V du livre VIII du même code. La juridiction compétente est une formation spécialisée du Conseil d’État, dont les juges sont habilités ès qualité au secret de la défense nationale.
Le recours à cette juridiction et à la procédure, prévue à l’article L. 773-2 du code de justice administrative, fondée sur le principe d’un contradictoire asymétrique, a été envisagé comme permettant au juge d’exercer un contrôle de proportionnalité sur l’existence d’une menace grave, actuelle ou prévisible telle qu’exigée par la loi, en lui permettant de disposer d’éléments d’information éventuellement couverts par le secret de la défense nationale.
Toutefois, une telle option n’a pas été retenue, le contrôle juridictionnel relevant du droit commun, dès lors qu’en tout état de cause, l’article L. 5 du code de la justice administrative permet, le cas échéant, d’adapter les exigences du débat contradictoire à celles de la défense nationale.
3.2. DISPOSITIF RETENU
Est en premier lieu supprimée toute possibilité d’effacement différé des données de connexion par les opérateurs de communication électroniques, non justifiée par leur besoin de facturation d’une part ou par l’existence d’une menace grave actuelle ou prévisible sur la sécurité nationale d’autre part. Sont ainsi supprimées les dispositions du III de l’article L. 34-1 du CPCE, qui permettaient de différer d’un an cet effacement pour les besoins de l’autorité judiciaire, de l’HADOPI et de l’ANNSI ainsi que les dispositions du II de l’article 6 de la LCEN qui l’imposaient pour l’autorité judiciaire.
Sont ensuite regroupées dans un nouveau II bis de l’article L. 34-1 du CPCE les règles de conservation des données les moins sensibles et qui peuvent, à ce titre, faire l’objet d’une conservation généralisée pour diverses finalités. Il s’agit, pour les besoins de toute procédure pénale, de la prévention de toute menace contre la sécurité publique et de la sauvegarde de la sécurité nationale, des informations relatives à l’identité civile de l’utilisateur, conservées jusqu’à l’expiration d’un délai de cinq ans après la fin de validité de son contrat, pour les mêmes finalités, des autres informations fournies par l’utilisateur lors de la souscription d’un contrat ou de la création d’un compte, ainsi que des informations relatives au paiement, conservées jusqu’à l’expiration d’un délai d’un an après la fin de validité de son contrat ou la clôture de son compte, et enfin, pour les besoins de la lutte contre la criminalité grave, de la prévention des menaces graves contre la sécurité publique et de la sauvegarde de la sécurité nationale, des données techniques permettant d’identifier la source de la connexion ou relatives aux équipements terminaux de connexion utilisés, jusqu’à l’expiration d’un délai d’un an à compter de la connexion ou de l’utilisation des équipements terminaux.
De plus, le nouveau III de l’article L. 34-1 du CPCE, prévoit l’hypothèse dans laquelle il peut être fait obligation d’une conservation généralisée et indifférenciée des données de connexion pour des motifs tenant à la sauvegarde de la sécurité nationale, lorsqu’est constatée menace grave, actuelle ou prévisible contre cette dernière. Cette conservation est strictement encadrée :
- elle doit être décidée par décret du Premier ministre au regard de l’existence d’une menace grave, actuelle ou prévisible, pour la sécurité nationale ;
- la durée de cette injonction de conservation ne peut excéder un an ;
- elle peut être renouvelée si les conditions prévues pour son édiction continuent d’être réunies ;
- elle doit, en tout état de cause, faire l’objet d’une réévaluation annuelle ;
- cette injonction et ses renouvellements font l’objet d’un contrôle du Conseil d’État qui peut être saisi de conclusions en annulation du décret la prononçant, mais également et à tout moment, de conclusions dirigées contre un refus d’abrogation de ce décret ;
- l’éventuelle expiration ou abrogation de l’injonction de conservation générale et indifférenciée est sans incidence sur la durée de conservation de chacune des données qui est fixée à un an.
En outre, les données conservées par les opérateurs peuvent faire l’objet d’une injonction de conservation rapide par les autorités disposant en vertu de la loi d’un accès aux données relatives aux communications électroniques à des fins de prévention et de répression de la criminalité grave et des autres manquements graves aux règles dont elles ont la charge d’assurer le respect afin d’y accéder.
Enfin, un décret en Conseil d’État précisera, comme le fait actuellement l’article R. 10-13 CPCE, celles des données qui font l’objet d’une conservation, notamment au titre de la menace grave ainsi que les modalités de compensation des surcoûts induits par cette conservation pour les opérateurs.
4. ANALYSE DES IMPACTS DES DISPOSITIONS ENVISAGEES
4.1. IMPACTS JURIDIQUES
L’article L. 34-1 du code des postes et communications électronique et l’article 6 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique sont modifiés.
4.2. IMPACTS SUR LES ENTREPRISES
Les coûts induits pour les opérateurs par ces règles de conservation des données de connexion seront compensés financièrement par l’État, dans des conditions similaires à celles actuellement prévues par le cadre réglementaire.
5. CONSULTATIONS ET MODALITES D’APPLICATION
5.1. CONSULTATIONS MENEES
Cette disposition a été présentée, à la Commission nationale informatique et liberté, à la Commission nationale de contrôle des techniques de renseignement et à l’Autorité de régulation des communications électroniques et de la distribution de la presse qui ont émis leur avis le 30 avril 2021.
5.2. MODALITES D’APPLICATION
5.2.1. Application de la loi dans le temps
Ces mesures s’appliqueront dès la publication de la loi.
5.2.2. Application de la loi dans l’espace
Cette mesure s’applique sur l’ensemble du territoire
5.2.3. Textes d’application
Les nouvelles dispositions appellent l’adoption d’un décret en Conseil d’Etat qui déterminera, selon l'activité des opérateurs et la nature des communications, les informations et catégories de données conservées en application des II bis et III de l’article L. 34-1 du CPCE, ainsi que les modalités de compensation des surcoûts identifiables et spécifiques des prestations assurées à ce titre, à la demande de l'État, par les opérateurs.
Article 16 : Procédure de contrôle préalable à la mise en œuvre des techniques de renseignement sur le territoire national
1. ÉTAT DES LIEUX
1.1. CADRE GENERAL
L’article L. 821-1 du code de la sécurité intérieure prévoit que la mise en œuvre sur le territoire national d’une technique de recueil de renseignement est soumise à autorisation préalable du Premier ministre, délivrée après avis d’une autorité administrative indépendante, la Commission nationale de contrôle des techniques de renseignement (CNCTR).
La demande écrite et motivée de mise en œuvre d’une technique de renseignement est présentée par le ministre dont relève le service de renseignement qui la sollicite, cette attribution ne pouvant être déléguée qu’à des collaborateurs directs habilités au secret de la défense nationale.
Elle est transmise au président de la commission (ou, à défaut, à l’un de ses membres désigné parmi ceux qui sont issus du Conseil d’Etat ou de la Cour de cassation), qui rend son avis au Premier ministre dans un délai de vingt-quatre heures.
Dans trois cas particuliers, la demande est examinée en formation restreinte (composée du président et des membres issus du Conseil d’Etat et de la Cour de cassation) ou plénière de la commission :
- lorsqu’elle soulève une question nouvelle ou sérieuse, ou si la validité de la demande n’est pas certaine (article L. 832-3) ;
- lorsqu’elle porte sur l’introduction dans un lieu privé (article L. 853-3) à usage d’habitation ou en vue de la mise en œuvre de la technique prévue au 1° du I de l’article L. 853-2 (recueil de données stockées dans un système informatique) ;
- lorsqu’elle concerne une personne exerçant une profession ou un mandat bénéficiant d’une protection particulière (parlementaire, magistrat, avocat, journaliste), ses véhicules, ses bureaux ou ses domiciles (article L. 821-7) ; dans ce cas, seule la formation plénière est compétente.
Dans ces cas de figure, l’avis de la commission est rendu dans un délai de 72 heures. La formation restreinte et la formation plénière ne peuvent valablement délibérer que si, respectivement, au moins trois et quatre membres sont présents.
Dans l’hypothèse où l’avis ne serait pas transmis au Premier ministre dans les délais prévus par la loi, l’avis est alors réputé rendu.
Une fois l’autorisation délivrée par le Premier ministre, la technique de renseignement concernée peut être immédiatement mise en œuvre par le service à l’origine de la demande.
Dans le cas où l’autorisation aurait été délivrée en dépit d’un avis défavorable de la CNCTR, elle indique les motifs pour lesquels cet avis n’a pas été suivi. La commission peut alors, en application de l’article L. 833-8 du code de la sécurité intérieure, saisir la formation spécialisée
du Conseil d’Etat32 mentionnée à l’article L. 773-2 du code de justice administrative afin que celle-ci en contrôle la légalité et, le cas échéant, en suspende l’exécution ou l’annule dans les conditions prévues par le code de justice administrative.
Il convient de souligner que si, en droit, l’avis de la CNCTR n’est pas contraignant, il est, en pratique, systématiquement suivi par le Premier ministre.
Ce cadre général est ainsi marqué par deux caractéristiques :
- le Premier ministre ne peut décider sans avoir recueilli l’avis d’une autorité administrative indépendante ;
- cet avis est non contraignant, de sorte que les décisions du Premier ministre bénéficient du privilège du préalable et sont immédiatement exécutoires.
Deux tempéraments sont néanmoins prévus par la loi :
Absence d’effet exécutoire de l’autorisation du Premier ministre en cas d’avis défavorable de la CNCTR à une demande d’introduction dans un lieu privé à usage d’habitation L’article L. 853-3 du code de la sécurité intérieure prévoit une règle spéciale pour le cas où l’avis rendu par la formation restreinte de la CNCTR serait défavorable à l’introduction dans un lieu privé à usage d’habitation. Dans une telle hypothèse (qui ne s’est jamais produite depuis l’entrée en vigueur de la loi), le Conseil d’État est immédiatement saisi par le président de la commission ou l’un des membres mentionnés aux 2° et 3° de l’article L. 831-1 et statue, dans un délai de vingt-quatre heures, sur ce recours.
Cette saisine est obligatoire, la commission étant tenue d’y procéder ; elle est également suspensive, l’autorisation du Premier ministre ne pouvant alors être exécutée avant que le Conseil d’État n’ait statué. Il ne peut en aller autrement que si l’autorisation a été délivrée au titre de la prévention du terrorisme et que le Premier ministre en a ordonné la mise en œuvre immédiate.
Dispense d’avis préalable de la CNCTR en cas d’urgence absolue Par dérogation à l’article L. 821-1 du code de la sécurité intérieure, l’article L. 821-5 prévoit que le Premier ministre peut, en cas d’urgence absolue, délivrer l’autorisation de mise en œuvre de la technique de renseignement sans avis préalable de la CNCTR. Cette procédure dérogatoire est, néanmoins, strictement encadrée et ne peut trouver à s’appliquer, aux termes de la loi, que « de manière exceptionnelle » :
32 Dont les membres sont habilités ès qualité au secret de la défense nationale et qui disposent des pouvoirs d’instruction les plus larges pour contrôler la régularité de la mise en œuvre des techniques de renseignement, sur saisine de la CNCTR ou de toute personne souhaitant vérifier qu’elle ne fait pas irrégulièrement l’objet d’une telle mise en œuvre.
- elle n’est ouverte que pour trois finalités (indépendance nationale, intégrité du territoire et défense nationale ; prévention du terrorisme ; prévention des atteintes à la forme républicaine des institutions) ;
- elle est exclue pour certaines techniques de renseignement (détection en temps réel, prévue à l’article L. 851-2 ; algorithme, prévu à l’article L. 851-3 ; introduction dans un lieu privé, prévue à l’article L. 853-3, lorsque ce lieu est à usage d’habitation ou qu’il s’agit de procéder au recueil de données informatiques33) ;
- elle est également exclue, quelle que soit la technique ou la finalité, lorsque la demande concerne une profession ou un mandat protégés par l’article L. 821-7.
S’il met en œuvre cette procédure, le Premier ministre doit faire parvenir à la commission, dans un délai maximal de vingt-quatre heures à compter de la demande d’autorisation, tous les éléments de motivation fournis à l’appui de celle-ci ainsi que ceux justifiant l’urgence absolue.
En pratique, le Premier ministre n'a eu recours qu'une seule fois à la procédure de l'article L.821-5. En dehors de ce cas, aucune autorisation n'a été délivrée sans avis préalable de la CNCTR.
Le dispositif interne d’astreinte suivant lequel la commission s'est organisée lui permet de rendre un avis à tout moment et dans des délais très restreints, sur sollicitation du groupement interministériel de contrôle, service du Premier ministre auquel parviennent les demandes.
L’arrêt de grande chambre de la Cour de justice de l’Union européenne en date du 6 octobre 2020 (La Quadrature du Net, C-511/18) comme la décision d’assemblée du Conseil d’Etat en date du 21 avril 2021, qui en tire les conséquences (Ass., French Data Network et autres, n° 393099) nécessitent de revoir ce cadre général ainsi que les tempéraments dont il est assorti.
Ces deux juridictions ont en effet jugé contraire au droit de l’Union européenne la possibilité de mettre en œuvre certaines techniques de renseignement sans contrôle préalable par une autorité administrative indépendante dotée d’un pouvoir d’avis conforme ou une juridiction, en dehors des cas d’urgence dûment justifiée.
1.2. CADRE CONSTITUTIONNEL
D’une part, la mise en œuvre des techniques de renseignement doit être entourée de garanties suffisantes définies par la loi.
Il appartient en effet au législateur de fixer les règles concernant les garanties fondamentales accordées aux citoyens pour l'exercice des libertés publiques. Il lui incombe en particulier d'assurer la conciliation entre, d'une part, la prévention des atteintes à l'ordre public et des infractions, nécessaire à la sauvegarde de droits et de principes de valeur constitutionnelle, et, d'autre part, l'exercice des droits et des libertés constitutionnellement garantis. Au nombre de ces derniers figurent le droit au respect de la vie privée, l'inviolabilité du domicile et le secret des correspondances, protégés par les articles 2 et 4 de la Déclaration des droits de l'homme et du citoyen de 1789. Ceci justifie en particulier l’organisation d’un contrôle par une autorité
33 Cf. considérants 72 et 73 de la décision n°2005-532 DC du Conseil constitutionnel.
indépendante sur la mise en œuvre des techniques de renseignement et nécessite l’aménagement de règles permettant de garantir le droit au recours effectif.
D’autre part, la Constitution confère au pouvoir exécutif des responsabilités particulières en matière de protection des intérêts fondamentaux de la Nation, ce qui justifie que la loi lui confie le pouvoir de décision en matière de renseignement.
En vertu de l'article 5 de la Constitution, le Président de la République est le garant de l'indépendance nationale et de l'intégrité du territoire. L’article 20 de la Constitution prévoit en outre que « le Gouvernement détermine et conduit la politique de la Nation » et « dispose de l'administration et de la force armée », tandis que l’article 21 prévoit que le Premier ministre « dirige l'action du Gouvernement » et « est responsable de la Défense nationale ». Ceci justifie que le pouvoir de décision soit confié au Premier ministre, s’agissant d’une matière relevant en outre de la police administrative et, partant, de la seule responsabilité du pouvoir exécutif (décision n°2005-532 DC, cons. 5), et qu’aucune technique de renseignement ne puisse être mise en œuvre sans son autorisation préalable34
.
Ainsi, dans le cadre du contrôle a priori de la loi relative au renseignement du 23 juillet 2015, le Conseil constitutionnel a rejeté le grief tiré de ce que les dispositions de l’article L. 821-1 du code de la sécurité intérieure, en permettant que l'autorisation puisse être délivrée en dépit d'un avis défavorable de la CNCTR, présenteraient des garanties insuffisantes au regard des droits et libertés constitutionnellement garantis. Il a motivé sa décision en rappelant les garanties applicables (demande motivée, avis préalable d’une autorité indépendante, mise en œuvre pour une durée maximale de quatre mois par des agents individuellement désignés et habilités) et relevé que « le législateur s'est fondé sur l'article 21 de la Constitution pour confier au Premier ministre le pouvoir d'autoriser la mise en œuvre des techniques de recueil de renseignement dans le cadre de la police administrative » (décision n° 2015-713 DC, cons. 16 à 22). Il a également déclaré conformes à la Constitution, compte tenu des garanties qu’elles prévoient, les dispositions de l’article L. 821-5 relatives à la procédure d’urgence absolue (même décision, cons. 23 à 26).
La jurisprudence constitutionnelle donne encore d’autres indications sur les conditions dans lesquelles doivent être articulés les prérogatives constitutionnelles de l’exécutif et les pouvoirs de contrôle dont sont dotées les autorités administratives indépendantes. Ainsi, s’agissant de l’exercice du pouvoir réglementaire, confié au Premier ministre par l’article 21 de la Constitution, le Conseil constitutionnel pose en principe qu’il ne peut être subordonné à l’avis
34 A cet égard, il convient de rappeler que le Conseil constitutionnel a censuré l’article L. 821-6 du code de la sécurité intérieure, qui permettait la mise en œuvre sans avis préalable de la CNCTR ni autorisation du Premier ministre de certaines techniques de renseignement « en cas d'urgence liée à une menace imminente ou à un risque très élevé de ne pouvoir effectuer l'opération ultérieurement ». Relevant notamment que cette procédure ne prévoyait pas non plus l’information du Premier ministre et du ministre concerné préalablement à la mise en œuvre d'une technique dans ce cadre, il a jugé que ces dispositions portaient une atteinte manifestement disproportionnée au droit au respect de la vie privée et au secret des correspondances (décision n° 2015-713 DC, cons. 27 à 29).
conforme d’une autorité de l’Etat autre que le Premier ministre (voir décisions n° 2006-544 DC, cons. 35 à 38 ; n° 2015-715 DC, cons. 45 ; n° 2020-800 DC).
Le Conseil constitutionnel a toutefois déclaré conformes à la Constitution les dispositions du III de l’article L. 853-3 du code de la sécurité intérieure faisant obstacle, jusqu’à l’intervention de la décision du Conseil d’Etat, à l’exécution immédiate d’une décision du Premier ministre autorisant l’intrusion dans un lieu privé à usage d’habitation en cas d’avis défavorable de la CNCTR sur la demande de mise en œuvre de cette technique (décision n° 2015-713, cons. 73), en considérant que le législateur avait ainsi « entouré la mise en œuvre des techniques prévues aux articles L. 853-1 à L. 853-3, lorsqu'elles imposent l'introduction dans un lieu privé à usage d'habitation, de dispositions de nature à garantir que les restrictions apportées au droit au respect de la vie privée et à l'inviolabilité du domicile ne revêtent pas un caractère manifestement disproportionné ».
1.3. CADRE EUROPEEN
Par son arrêt du 21 décembre 2016 Tele2 Sverige AB c/ Post-och telestyrelsen et Secretary of State for the Home Department c/ Tom Watson et autres (C-203/15 et C 698/15), la Cour de justice de l'Union européenne a dit pour droit que l'article 15 de la directive du 12 juillet 2002 devait « être interprété en ce sens qu'il s'oppose à une réglementation nationale régissant la protection et la sécurité des données relatives au trafic et des données de localisation, en particulier l'accès des autorités nationales compétentes aux données conservées (…) sans soumettre ledit accès à un contrôle préalable par une juridiction ou une autorité administrative indépendante ». Le point 120 de cet arrêt précise qu’ « aux fins de garantir, en pratique, le plein respect de ces conditions, il est essentiel que l'accès des autorités nationales compétentes aux données conservées soit, en principe, sauf cas d'urgence dûment justifiés, subordonné à un contrôle préalable effectué soit par une juridiction soit par une entité administrative indépendante, et que la décision de cette juridiction ou de cette entité intervienne à la suite d'une demande motivée de ces autorités présentée, notamment, dans le cadre de procédures de prévention, de détection ou de poursuites pénales ».
Saisi par le Conseil d’Etat d’une question préjudicielle relative à la conformité au droit de l’Union européenne des dispositions des articles L. 851-2 à L. 851-4 du code de la sécurité intérieure, la Cour de justice a rappelé cette règle dans son arrêt du 6 octobre 2020 susmentionné à propos du recueil en temps réel des données de connexion par les services de renseignement, tout en réservant le cas de l’urgence dûment justifiée. Elle a ainsi considéré qu’ « une décision autorisant le recueil en temps réel des données relatives au trafic et des données de localisation doit être fondée sur des critères objectifs et non discriminatoires prévus dans la législation nationale. Aux fins de garantir, en pratique, le respect de ces conditions, il est essentiel que la mise en œuvre de la mesure autorisant le recueil en temps réel soit soumise à un contrôle préalable effectué soit par une juridiction, soit par une entité administrative indépendante, dont la décision est dotée d’un effet contraignant, cette juridiction ou cette entité devant notamment s’assurer qu’un tel recueil en temps réel n’est autorisé que dans la limite de ce qui est strictement nécessaire (voir, en ce sens, arrêt du 21 décembre 2016, Tele2, C-203/15 et
C-698/15, EU:C:2016:970, point 120). En cas d’urgence dûment justifiée, le contrôle doit intervenir dans de brefs délais. »
Tirant les conséquences de cette jurisprudence européenne, le Conseil d’Etat a jugé, par sa décision susmentionnée en date du 21 avril 2021, que « l'accès des services de renseignement aux données de trafic et de localisation conservées par les opérateurs de communications électroniques sur le fondement des articles L. 34-1 du code des postes et des communications électroniques et 6 de la loi du 21 juin 2004, pour les finalités mentionnées à l'article L. 811-3 du code de la sécurité intérieure, qui toutes relèvent de la sauvegarde de la sécurité nationale, est possible sans méconnaître les dispositions de l'article 15, paragraphe 1, de la directive du 12 juillet 2002 et de l'article 23 du RGPD, à condition que cet accès soit soumis, sauf en cas d'urgence dûment justifiée, à un contrôle préalable par une juridiction ou une autorité administrative indépendante dotée d'un pouvoir contraignant et s'opère sur le fondement de critères objectifs et non discriminatoires » (§ 69).
Il a jugé de même s’agissant des techniques mises en œuvre en application du IV de l’article L. 851-3 (identification au moyen d’un algorithme des personnes dont les données de connexion sont susceptibles de révéler une menace terroriste et recueil des données de connexion correspondantes), de l’article L. 851-2 (détection en temps réel) et de l’article L. 851-4 (géolocalisation en temps réel).
Par conséquent, le Conseil d’Etat a annulé les décrets pris pour l’application des articles L. 851-1, L. 851-2, L. 851-4 et du IV de l’article L. 851-3 en tant seulement qu’ils permettent la mise en œuvre de ces dispositions « sans contrôle préalable par une autorité administrative indépendante dotée d’un pouvoir d’avis conforme ou une juridiction, en dehors des cas d’urgence dûment justifiée ».
2. NECESSITE DE LEGIFERER ET OBJECTIFS POURSUIVIS
Il est nécessaire, pour tirer les conséquences de la jurisprudence de la Cour de justice de l’Union européenne et du Conseil d’Etat, de modifier les dispositions législatives relatives au renseignement afin de les mettre en conformité avec le droit de l’Union européenne pour :
- d’une part, renforcer le contrôle préalable à la mise en œuvre des techniques de renseignement concernées, en prévoyant qu’il est assuré par une autorité administrative indépendante dont les décisions sont dotées d’un effet contraignant ou par une juridiction ;
- d’autre part, adapter les conditions dans lesquelles il peut être dérogé à ce contrôle préalable en cas d’urgence dûment justifiée.
3. OPTIONS POSSIBLES ET DISPOSITIF RETENU
3.1. OPTIONS ENVISAGEES
Plusieurs options sont envisageables s’agissant :
- du champ d’application de la procédure de contrôle préalable renforcé ;
- des modalités du contrôle préalable ;
- des modalités de la procédure d’urgence dûment justifiée.
En ce qui concerne le champ d’application de la procédure de contrôle préalable renforcé La décision du Conseil d’Etat ne concerne directement que les techniques de renseignement prévues aux articles L. 851-1, L. 851-2, L. 851-4 et par le IV de l’article L. 851-3.
La compatibilité des dispositions relatives aux autres techniques de renseignement mises en œuvre sur le territoire national avec le droit de l’Union européenne (à supposer qu’il s’applique à elles) n’a été examinée ni par la Cour de justice de l’Union européenne ni par le Conseil d’Etat, de sorte qu’il pourrait théoriquement être envisagé de ne pas leur appliquer la procédure renforcée.
A l’inverse, leur caractère au moins aussi intrusif et attentatoire au droit au respect de la vie privée que celles qui ont été examinées par les deux juridictions, ainsi que la cohérence et la lisibilité du dispositif, peuvent inciter à leur appliquer les mêmes garanties.
En revanche, la décision du Conseil d’Etat a clairement jugé que le droit de l’Union européenne ne s’applique pas aux techniques mises en œuvre en application du chapitre IV du titre V du livre VIII du code de la sécurité intérieure, relatif à la surveillance des communications électroniques internationales (§ 95), de sorte que les dispositions législatives en la matière n’ont pas à être modifiées.
En ce qui concerne les modalités du contrôle préalable
S’agissant de l’autorité compétente pour exercer ce contrôle préalable contraignant, la jurisprudence de la CJUE et du Conseil d’Etat ouvre une alternative.
Il peut s’agir :
- soit d’une autorité administrative indépendante (en l’espèce, la CNCTR) dotée d’un avis conforme,
- soit d’une juridiction (en l’espèce, la formation spécialisée du Conseil d’Etat).
Il est possible, en conséquence, de choisir de généraliser le dispositif prévu au III de l’article L. 853-3 du code de la sécurité intérieure en ce qui concerne l’introduction dans un lieu privé à usage d’habitation. Il prévoit que le juge est obligatoirement et immédiatement saisi par la CNCTR d’un recours suspensif en cas d’autorisation délivrée par le Premier ministre en dépit d’un avis défavorable de la commission. Ainsi, c’est le juge qui trancherait, sous vingt-quatre heures, le désaccord entre le Premier ministre et la CNCTR.
En toute hypothèse, l’avis conforme de l’autorité indépendante ou l’autorisation du juge doivent intervenir aussi rapidement que possible, afin de garantir la préservation des intérêts fondamentaux de la Nation auxquels concourt la mise en œuvre des techniques de renseignement.
En ce qui concerne le champ d’application et les modalités de la procédure d’urgence dûment justifiée.
Deux options paraissent envisageables.
Une première option peut consister à maintenir ou, en contrepartie de l’introduction d’une procédure d’avis conforme par la CNCTR ou d’autorisation préalable par le juge, à élargir les cas dans lesquels la procédure d’urgence absolue prévue à l’article L. 821-5 du code de la sécurité intérieure, permet de se dispenser à titre exceptionnel de l’avis préalable de la CNCTR.
Un tel élargissement ne serait pas contraire au droit de l’Union européenne : la Cour de justice de l’Union européenne, au § 189 de l’arrêt du 6 octobre 2020, a précisément autorisé que, dans les cas d’urgence dûment justifiée, le contrôle de l’autorité indépendante ou de la juridiction intervienne, non pas à titre préalable, mais dans de brefs délais et a fait ce constat à l’issue de son examen des dispositions de l’article L. 851-2 du code de la sécurité intérieure, pour lesquelles la procédure prévue par l’article L. 821-5 n’est pourtant pas applicable. Toutefois, cet élargissement ne serait pas sans risque constitutionnel, dès lors que la limitation de cette procédure à certaines finalités et son exclusion pour certaines techniques ont été relevées par le Conseil constitutionnel comme des garanties permettant de déclarer cet article conforme à la Constitution.
Une seconde option consiste :
- d’une part, à prévoir la suppression de la procédure d’urgence absolue de l’article L. 821-5,
- d’autre part, à assortir la procédure d’avis conforme de la CNCTR (ou de saisine automatique du juge en cas d’autorisation délivrée en dépit d’un avis défavorable de la CNCTR) d’une clause permettant au Premier ministre d’ordonner néanmoins la mise en œuvre immédiate de l’autorisation sans attendre la décision du juge, en cas d’urgence dûment justifiée auprès de lui par le service de renseignement à l’origine de la demande.
Une telle clause, de nature à préserver les prérogatives constitutionnelles du Premier ministre, serait disponible pour les différentes finalités de l’article L. 811-3 et pour tout ou partie des techniques de renseignement. Elle serait la transposition de celle qui est prévue au III de l’article L. 853-3, pour l’introduction dans un lieu privé à usage d’habitation, pour les seules autorisations délivrées au titre de la finalité de prévention du terrorisme.
3.2. DISPOSITIF RETENU
Le projet de loi prévoit :
- que la procédure de contrôle préalable renforcé s’applique à l’ensemble des techniques de renseignement mises en œuvre sur le territoire national, et non pas seulement à celles d’entre elles qui sont directement visées par la décision du Conseil d’Etat en date du 21 avril 2021 ;
- la suppression de la procédure d’urgence absolue prévue à l’article L. 821-5 du code de la sécurité intérieure, excluant ainsi toute possibilité de mettre en œuvre une technique de renseignement sans que l’avis de la CNCTR ait été préalablement sollicité ;
- que l’autorisation délivrée par le Premier ministre en dépit d’un avis défavorable de la CNCTR ne puisse être exécutée avant que le Conseil d’Etat, obligatoirement saisi par la commission, n’ait statué, dans un délai de vingt-quatre heures ;
- la faculté, pour le Premier ministre, d’ordonner néanmoins, en cas d’urgence dûment justifiée, la mise en œuvre immédiate de la technique qu’il a autorisée en dépit d’un tel avis défavorable, sans attendre que le Conseil d’État se soit prononcé, cette faculté étant :
o limitée à trois finalités (indépendance nationale, intégrité du territoire, défense nationale ; prévention du terrorisme ; prévention des atteintes à la forme républicaine des institutions) pour les techniques, plus intrusives, prévues aux articles L. 853-1 à L. 853-3 (captation de paroles ou d’images, recueil ou captation de données informatiques ; introduction dans les lieux privés) voire à une seule (prévention du terrorisme) pour l’introduction dans un lieu privé à usage d’habitation ;
o exclue pour l’application des I et II de l’article L. 851-3 (mise en œuvre de la technique de l’algorithme), qui ne s’inscrit pas dans un contexte de menace imminente mais suppose une élaboration fine des paramètres de l’algorithme en lien étroit avec la CNCTR ;
o exclue concernant l'une des personnes mentionnées au premier alinéa de l’article L. 821-7, autrement dit un parlementaire, un magistrat, un avocat ou un journaliste, ou ses véhicules, ses bureaux ou ses domiciles.
En tout état de cause et comme le permet d’ores et déjà la loi en vigueur, dans l’hypothèse où le Conseil d’État, saisi par la CNCTR, jugerait que la technique de renseignement a été mise en œuvre illégalement, il pourra, en application de l’article L.773-7 du code de justice administrative, annuler l’autorisation délivrée par le Premier ministre et ordonner la destruction des renseignements irrégulièrement collectés.
4. ANALYSE DES IMPACTS DES DISPOSITIONS ENVISAGEES
4.1. IMPACTS JURIDIQUES
Les modifications proposées assurent la conformité des dispositions relatives au renseignement aux exigences résultant du droit de l’Union européenne telles qu’elles ont été précisées par la Cour de justice de l’Union européenne puis le Conseil d’Etat.
Elles préservent en outre une capacité d’action immédiate au bénéfice du Premier ministre et des services de renseignement en cas d’avis défavorable de la CNCTR à la mise en œuvre d’une technique de renseignement, lorsque l’urgence le justifie.
4.2. IMPACTS SUR LES ADMINISTRATIONS
La suppression de la procédure d’urgence absolue, d’application particulièrement rare, ne devrait pas avoir d’impact majeur sur le fonctionnement des administrations concernées.
Le cabinet du Premier ministre, le GIC et la CNCTR sont en effet organisés suivant un dispositif de permanence et d’astreinte leur permettant un traitement en temps réel des demandes qui leur sont adressées par les services de renseignement.
Dans l’hypothèse où une telle procédure ne pourrait être mise en œuvre au regard de son extrême urgence, le Premier ministre conserverait en tout état de cause la possibilité de faire application de la théorie des circonstances exceptionnelles pour faire face à une situation de crise telle que les délais de ces procédures ne puissent être respectés (CE, 28 juin 1918, Heyriès, req. n° 63412).
5. CONSULTATIONS ET MODALITES D’APPLICATION
5.1. CONSULTATIONS
Le projet de loi a été présenté à la Commission nationale de contrôle des techniques de renseignement en application de l’article L. 833-11 du code de la sécurité intérieure. La Commission a rendu son avis le 30 avril 2021.
5.2. MODALITES D’APPLICATION
5.2.1. Application dans le temps
Ainsi que l’indique le Conseil d’Etat dans sa décision du 21 avril dernier (§ 98), « l’annulation des décrets attaqués, compte tenu de sa portée, implique seulement, dans l’attente de l’intervention des textes nécessaires à la mise en conformité des dispositions du droit national avec le droit de l’Union européenne, qu’en cas d’avis défavorable de la Commission nationale de contrôle des techniques de renseignement, le Premier ministre ne pourra légalement
autoriser la mise en œuvre des techniques de renseignement mentionnées aux articles L. 851-1, L. 851-2, L. 851-4 et au IV de l’article L. 851-3 avant l’intervention de la décision du Conseil d’Etat, qu’il appartiendra alors à la commission de saisir en application de l’article L. 833-8 du même code ». L’application des nouvelles dispositions proposées à compter de l’entrée en vigueur de la loi prendra le relai du dispositif transitoire ainsi défini par le Conseil d’Etat.
5.2.2. Application dans l’espace
Le présent article s’applique sur l’ensemble du territoire national.
Article 17 : Echanges d’informations entre les services judiciaires et les services de renseignement dans le cadre de la lutte contre la cybercriminalité et la criminalité organisée et entre les services judiciaires et l’ANSSI dans le cadre de la lutte contre la cybercriminalité
1. ÉTAT DES LIEUX
1.1. CADRE GENERAL
L’article 11 du code de procédure pénale prévoit que, sauf dans le cas où la loi en dispose autrement et sans préjudice des droits de la défense, la procédure au cours de l’enquête et de l’instruction est secrète. Cet article ajoute que toute personne qui concourt à la procédure est tenue au secret professionnel dans les conditions et sous les peines prévues aux articles 226-13 et 226-14 du code pénal.
Plusieurs dispositions législatives dérogent à la règle du secret de l’enquête pour permettre au procureur de la République ou au juge d’instruction de communiquer des informations issues de procédures judiciaires, dans des cas précis encadrés par la loi.
Ainsi, le dernier alinéa de l’article 11 susmentionné prévoit que le procureur de la République peut, d’office et à la demande de la juridiction d'instruction ou des parties, rendre publics des éléments objectifs tirés de la procédure ne comportant aucune appréciation sur le bien-fondé des charges retenues contre les personnes mises en cause, afin d'éviter la propagation d'informations parcellaires ou inexactes ou pour mettre fin à un trouble à l'ordre public.
Par ailleurs, sur autorisation du procureur de la République ou du juge d'instruction selon les cas, peuvent être communiqués à des autorités ou organismes habilités à cette fin par arrêté du ministre de la justice, des éléments des procédures judiciaires en cours afin de permettre la réalisation de recherches ou d’enquêtes scientifiques ou techniques, destinées notamment à prévenir la commission d'accidents, ou de faciliter l'indemnisation des victimes ou la prise en charge de la réparation de leur préjudice35
.
En outre, le ministère public peut informer par écrit l'administration, les personnes publiques, les personnes morales de droit privé chargées d’une mission de service public ou les ordres professionnels des décisions de condamnation, de poursuites devant un tribunal ou de mise en examen rendues contre une personne qu’elles emploient lorsqu’elles concernent un crime ou un délit puni d'une peine d'emprisonnement. Le ministère public ne peut procéder à cette information que lorsqu’il estime cette transmission nécessaire, en raison de la nature des faits
35 Article 11-1 du code de procédure pénale
ou des circonstances de leur commission, pour mettre fin ou prévenir un trouble à l'ordre public ou pour assurer la sécurité des personnes ou des biens36
.
Enfin, et sans prétendre à l’exhaustivité, l’article 706-25-2 du code de procédure pénale, récemment modifié par la loi n° 2020-1672 du 24 décembre 2020 relative au Parquet européen, à la justice environnementale et à la justice pénale spécialisée, prévoit que le procureur de la République antiterroriste, pour les procédures d’enquête ou d’instruction ouvertes sur le fondement d’une ou de plusieurs infractions terroristes, peut communiquer aux services spécialisés de renseignement des éléments de toute nature figurant dans ces procédures et nécessaires à l'exercice des missions de ces services en matière de prévention du terrorisme.
Le deuxième alinéa de l’article 706-25-2 dispose que cette communication peut également être réalisée, selon les mêmes modalités et pour les mêmes finalités, à destination des autorités et services compétents pour la prévention du terrorisme par tout procureur de la République pour des procédures ouvertes pour un crime ou un délit puni d'une peine d'emprisonnement, lorsque ces procédures font apparaître des éléments concernant une personne dont le comportement constitue une menace d'une particulière gravité pour la sécurité et l'ordre publics et qui soit entre en relation de manière habituelle avec des personnes ou des organisations incitant, facilitant ou participant à des actes de terrorisme, soit soutient, diffuse, lorsque cette diffusion s'accompagne d'une manifestation d'adhésion à l'idéologie exprimée, ou adhère à des thèses incitant à la commission d'actes de terrorisme ou faisant l'apologie de tels actes.
1.2. CADRE CONSTITUTIONNEL
À l’occasion d’une question prioritaire de constitutionnalité, le Conseil constitutionnel a admis que le secret de l’enquête et de l’instruction avait deux finalités : « d’une part, garantir le bon déroulement de l’enquête et de l’instruction, poursuivant ainsi les objectifs de valeur constitutionnelle de prévention des atteintes à l’ordre public et de recherche des auteurs d’infractions, tous deux nécessaires à la sauvegarde de droits et de principes de valeur constitutionnelle […], d’autre part, protéger les personnes concernées par une enquête ou une instruction, afin de garantir le droit au respect de la vie privée et de la présomption d’innocence, qui résulte des articles 2 et 9 de la Déclaration de 1789 » 37 .
La transmission d’informations, lorsque celles-ci ont la nature de données à caractère personnel, doit donc notamment être appréciée au regard du droit au respect de la vie privée et de la présomption d’innocence.
Par ailleurs, le Conseil constitutionnel estime que, si « aucune norme constitutionnelle ne s'oppose par principe à l'utilisation à des fins administratives de données nominatives recueillies dans le cadre d'activités de police judiciaire ; que, toutefois, cette utilisation
36 Article 11-2 du code de procédure pénale
37 Décision n° 2017-693 QPC du 2 mars 2018, Association de la presse judiciaire [Présence des journalistes au cours d'une perquisition], paragr. 8.
méconnaîtrait les exigences résultant des articles 2, 4, 9 et 16 de la Déclaration de 1789 si, par son caractère excessif, elle portait atteinte aux droits ou aux intérêts légitimes des personnes concernées »38
La transmission d’informations nominatives à caractère pénal par l’autorité judiciaire doit être justifiée par des impératifs protégeant d’autres droits ou intérêts de même valeur avec lesquels les droits ou intérêts légitimes des personnes concernées doivent se concilier.
2. NECESSITE DE LEGIFERER ET OBJECTIFS POURSUIVIS
Les procédures judiciaires peuvent comporter des informations qui, au-delà de leur valeur probatoire au regard d’une infraction commise et poursuivie, révèlent l’existence d’une menace distincte sans que celle-ci se matérialise par la commission d’infractions et peuvent, dès lors, se révéler intéressantes pour les services de renseignement.
Ainsi, une personne condamnée pour infraction à caractère terroriste dans le cadre d’une procédure judiciaire peut également être suivi par un service de renseignement afin de s’assurer de la nature de la menace qu’il représente, à raison de ses contacts, de ses activités, de son endoctrinement ou tout autre critère de nature à entraîner la nécessité d’un suivi administratif.
Au-delà du terrorisme, il apparaît tout aussi nécessaire de favoriser des transmissions d’informations ciblées par l’autorité judiciaire vers les services de renseignement en matière de criminalité organisée ainsi que vers les différents services compétents en matière de lutte contre la cybercriminalité.
Ces deux champs du droit pénal sont définis de manière précise et limitée par le code pénal et le code de procédure pénale, à la fois par un critère matériel (champ des infractions concernées) et par un critère organique, celui de la juridiction compétente.
Ainsi, les articles 706-73 à 706-74 figurant au sein du titre XXV au sein du livre IV du code de procédure pénale intitulé : « De la procédure applicable à la criminalité et à la délinquance organisées », recensent les infractions pour lesquelles s’applique cette procédure. S’agissant de la cybercriminalité, il s’agit des infractions pénales commises sur un système de traitement automatisé d'informations mentionnées à l’article 706-72 du code de procédure pénale.
Le tribunal judiciaire de Paris dispose d’une compétence nationale concurrente, en application du dernier alinéa de l’article 706-75 du code de procédure pénale, pour lutter contre la criminalité organisée de très grande complexité et, en application de l’article 706-72-1 du même code pour lutter contre la cybercriminalité.
Les spécificités de ces deux contentieux, qui les distinguent fondamentalement de la criminalité de droit commun, sont multiples et justifient la mise en place d’un dispositif permettant des transmissions plus nourries par l’autorité judiciaire vers les services de renseignement. En
38 Décision n° 2003-467 DC du 13 mars 2003, Loi pour la sécurité intérieure, cons. 32.
l’absence de cadre légal, une telle démarche est en effet très contrainte, et ce dans un contexte où la prévention et la lutte contre la cybercriminalité et la très grande criminalité organisée ont changé de dimension.
En premier lieu, la prévention et la lutte contre ces deux phénomènes est caractérisée par sa complexité et son caractère international.
Il apparaît en pratique que le parquet de Paris se saisit, au titre de sa compétence nationale, de faits mettant en cause des individus et des organisations criminelles agissant le plus souvent au-delà du territoire national, implantés ou bénéficiant de relais à l’étranger et, pour certains faits, pouvant être commis par certains États (notamment en matière de cybercriminalité) ou avec leur complicité ou une facilitation de leur part (trafic d’êtres humains ou trafics de stupéfiants).
Malgré des mécanismes de coopération judiciaire dont l’efficacité a progressé au cours des années, l’autorité judiciaire nationale est néanmoins parfois limitée dans sa capacité à mener des enquêtes dans les pays d’origine des criminels, surtout lorsque ces derniers choisissent de mener leurs activités depuis des territoires peu coopératifs. Ces particularités sont autant d’obstacles à la conduite de procédures judiciaires efficaces contre une forme de très grande délinquance organisée dont la gravité peut apparaître sans rapport avec sa répression pénale.
Face à de tels phénomènes criminels, la mobilisation collective des services compétents et la complémentarité de leur action sont cruciales. Elles exigent de donner sa pleine effectivité au continuum justice-renseignement-cyber
En second lieu, l’ampleur et la sophistication des phénomènes criminels concernés par la présente disposition ont conduit les enquêteurs à adopter des méthodes et techniques d’enquête innovantes. Les données, notamment numériques ou techniques, issues des procédures judiciaires constituent une source de renseignement majeure pour les services qui, contrairement à leurs principaux partenaires étrangers, ne se les voient pas transmettre et ne sont ainsi pas en situation de compléter la connaissance qu’ils ont de réseaux et des acteurs s’agissant de la criminalité organisée la plus complexe comme de la menace des cyber-attaquants et de leurs modes opératoires. Ce décalage entre les cadres juridiques de différents pays entraîne un décrochage des capacités françaises à lutter contre la cybercriminalité et la très grande criminalité organisée.
Le Gouvernement, conscient de ces évolutions et de l’impact de ces formes de criminalité sur le territoire national, a d’ailleurs confié aux services de renseignement la mission d’analyser et de prévenir ces menaces. Il est, par conséquent, important qu’ils puissent disposer de l’ensemble des moyens et des informations leur permettant d’accomplir leurs missions aux fins de sauvegarde des intérêts fondamentaux de la Nation.
Pour ces raisons, les informations collectées dans le cadre des procédures judiciaires doivent pouvoir être communiquées aux services de renseignement qui ont notamment pour mission, aux termes de l’article L. 811-3 du code de la sécurité intérieure, la prévention de toute forme d’ingérence étrangère et la défense des intérêts économiques, industriels et scientifiques
majeurs de la France et la prévention de la criminalité et de la délinquance organisées ainsi qu’aux services de l’Etat compétents en matière de cyberdéfense pour le strict champ de la lutte contre les menaces cyber.
Par conséquent, le mécanisme existant à l’article 706-25-2 du code de procédure pénale en matière terroriste doit être transposé et adapté au domaine de la criminalité organisée et de la cybercriminalité, afin de permettre une coordination efficace entre le parquet de Paris et les services spécialisés de renseignement afin de lutter de concert contre la cybercriminalité et les formes les plus graves de criminalité organisée.
De même, il apparaît nécessaire de développer les échanges entre les services judiciaires et les services qui interviennent en matière de sécurité et de défense des systèmes d’information dans le cadre de la lutte contre la cybercriminalité, afin notamment de permettre une transmission plus rapide des éléments pour prévenir et caractériser les attaques informatiques et neutraliser leurs effets : il s’agit, chacun agissant dans le cadre de ses missions, des services de renseignement, de l’Agence nationale de sécurité des systèmes d’information (ANSSI), service à compétence nationale rattaché au secrétaire général de la défense et de la sécurité nationale, et du chef d’état-major des armées via l’état-major de la cyberdéfense, pour les système d’information du ministère de la défense.
En effet, l’explosion du volume de cyberattaques auquel la France fait face, ainsi que leur sophistication croissante, rendent indispensable une coopération accrue entre l’autorité judiciaire et les services de l’Etat compétents en la matière. Appelée de ses vœux par la revue stratégique de cyberdéfense, cette coopération accrue nécessite un partage d’informations plus dense et plus rapide pour garantir l’efficacité opérationnelle des services d’enquête ainsi que des services de l’Etat compétents en matière de cyberdéfense.
Des obstacles à l’exploitation judiciaire des nombreuses données de nature technique sont observés, malgré leur extrême richesse pour les services de renseignement et pour l’ANSSI.
L’exploitation de ces données peut être extrêmement éclairante sur les modes opératoires utilisés par les attaquants. Grâce à leur exploitation, les services compétents de l’Etat sont en mesure de protéger plus efficacement les systèmes d’informations des entités critiques de la Nation en détectant au plus tôt les tentatives d’attaques et en identifiant des victimes potentielles. L’échange d’informations entre les services judiciaires et les services de l’Etat concourant directement à la mission de cyberdéfense se révèle d’autant plus crucial pour lutter contre les menaces cyber que la matière est marquée par la fragmentation et l’obsolescence rapide des éléments d’intérêt. Trop souvent, les acteurs étatiques engagés dans cette lutte disposent d’une vision parcellaire des menaces traitées et des modes opératoires adverses, ce qui nuit à leur efficacité respective et commune. Renforcer le partage d’informations entre ces entités permettra d’obtenir des gains opérationnels significatifs dans le traitement des cyberattaques sur l’ensemble du spectre d’activités de ces services. Plus encore que sur d’autres terrains infractionnels, l’espace cyber exige une très forte réactivité aux menaces identifiées et rend dès lors indispensable la transmission rapide des informations disponibles. C’est en acquérant très rapidement la meilleure compréhension technique d’un phénomène cyber menaçant que les services compétents de l’Etat peuvent prévenir, détecter et traiter ses
conséquences et limiter les dommages notamment en condamnant les accès aux systèmes d’information compromis.
3. OPTIONS POSSIBLES ET DISPOSITIF RETENU
3.1. OPTIONS ENVISAGEES
Il aurait pu être envisagé de ne prévoir aucune disposition législative particulière, ou de prévoir ces dispositions de façon très large, pour l’ensemble des infractions graves.
La première option, celle d’un statu quo, n’apparaît pas satisfaisante dès lors que des dispositions législatives encadrant ces échanges ont été introduites en matière de lutte contre le terrorisme. Une telle disposition apparaît donc désormais nécessaire pour permettre à l’autorité judiciaire de communiquer des informations aux services de renseignement dans d’autres domaines.
La seconde option, qui consiste à prévoir des dispositions particulièrement larges pour permettre à l’autorité judiciaire de communiquer des informations issues de procédures judiciaires aux services de renseignement, quelle que soit l’infraction poursuivie, et quel que soit le motif guidant une telle transmission, ne répond pas à l’exigence de proportionnalité de l’atteinte ainsi portée à la vie privée des personnes concernées.
3.2. DISPOSITIF RETENU
Il est proposé d’introduire un nouvel article 706-105-1 au sein du chapitre II du titre XXV du livre IV du code de procédure pénale. Cet article étend les modalités de communication existantes, prévues à l’article 706-25-2 du code de procédure pénale et limitées à la prévention du terrorisme, d’une part, à la cybercriminalité et, d’autre part, à la criminalité organisée.
Au sein des autorités judiciaires, il est prévu que ces échanges soient centralisés par le parquet et le juge d’instruction de Paris, dont les services sont spécialisés dans ces deux matières.
Afin d’assurer la nécessité et la proportionnalité de l’atteinte portée au secret de l’enquête et de l’instruction, le dispositif retenu traite, de manière distincte, le cas de la cybercriminalité et de la criminalité organisée, non seulement en termes de finalités mais également s’agissant de l’étendue des services pouvant être rendus destinataires des données judiciaires concernées.
Concernant la cybercriminalité (I du nouvel article 706-105-1), le procureur de la République de Paris peut, pour les procédures d'enquête ou d’instruction en matière de lutte contre la cybercriminalité, communiquer des données issues de ces procédures à quatre services de l’État exerçant des missions en matière de sécurité et de défense des systèmes d’informations, visés par l’article L. 2321-2 du code de la défense : deux services spécialisés de renseignement (la DGSE et la DGSI), l’ANSSI et le commandant de la cyberdéfense ou comcyber, qui relève du
chef d’état-major des armées. Ne peuvent être transmis, dans ce cadre, que les éléments nécessaires à l’exercice, par ces services, de leur mission en matière de sécurité et de défense des systèmes d’information : il s’agit de leur permettre de capitaliser de la connaissance et de mieux prévenir les cyberattaques, d’en identifier les auteurs ou les modes opératoires et de neutraliser autant que possible leurs effets qui peuvent être systémiques et porter atteinte à l’intégrité de biens civils et militaires essentiels comme à la sécurité des personnes.
Concernant la criminalité organisée (II du nouvel article 706-25-1), le procureur de la République de Paris peut transmettre des éléments issus de procédures d’enquête ou d’instruction en matière de lutte contre la criminalité organisée d’une part, aux services spécialisés de renseignement mentionnés à l’article L. 811-2 du code de la sécurité intérieure, d’autre part, aux services de renseignement mentionnés à l’article L. 811-4 qui exercent des missions en matière de prévention de la criminalité et de la délinquance organisées, dont la liste sera définie par décret en Conseil d’État. De même qu’en matière cyber, ne peuvent être transmis que les éléments nécessaires à l’exercice des missions de ces services au titre de la prévention de la criminalité et de la délinquance organisées : il s’agit de leur permettre de capitaliser de la connaissance sur des réseaux et des modes opératoires particulièrement complexes, aux fins de prévenir les atteintes aux intérêts fondamentaux de la Nation.
Dans les deux cas, si la procédure fait l’objet d’une information, cette communication ne peut intervenir qu’avec l’avis favorable du juge d’instruction. Le juge d’instruction peut également procéder à cette communication, et pour les mêmes finalités que celles précitées, pour les procédures d’information dont il est saisi après avoir recueilli l’avis du procureur de la République de Paris.
Contrairement au dispositif prévu par l’article 706-25-2 du code de procédure pénale concernant les procédures terroristes, les informations brutes communiquées ne peuvent être transmises par les services qui en ont été destinataires à d’autres services. Elles ne peuvent non plus faire l’objet d’un échange avec des services étrangers ou avec des organismes internationaux compétents dans le domaine du renseignement. Toute personne qui en est destinataire est tenue au secret professionnel (III du nouvel article 706-105-1), 4. ANALYSE DES IMPACTS DES DISPOSITIONS ENVISAGEES
4.1. IMPACTS JURIDIQUES
La section VIII du chapitre II du titre XXV du livre IV du code de procédure pénale sera complété par un nouvel article 706-105-1.
4.2. IMPACTS SUR LES SERVICES JUDICIAIRES
La mise en œuvre de cette disposition engendrera davantage de transmissions de l’autorité judiciaire vers les services de renseignement, l’ANSSI et le comcyber. Néanmoins, il ne s’agit
aucunement d’une obligation de transmission de la part de l’autorité judiciaire, mais seulement d’une possibilité. La charge pesant ainsi sur elle apparaît mesurée.
4.3. IMPACTS SUR LES PARTICULIERS
Les transmissions d’information par l’autorité judiciaire aux services de renseignement en matière de lutte contre la criminalité organisée et la cybercriminalité et à l’ANSSI et au commandement cyber pour cette dernière finalité, répondront à un cadre strict fixé par le législateur, garantissant une atteinte adaptée et proportionnée au droit au respect de la vie privée.
5. MODALITES D’APPLICATION
5.1. CONSULTATIONS MENEES
Cette disposition a été présentée à la Commission nationale informatique et liberté qui a rendu son avis le 15 avril 2021.
5.2. APPLICATION DANS LE TEMPS
Ces dispositions entreront en vigueur le lendemain de la publication de la loi.
5.3. APPLICATION DANS L’ESPACE
Les dispositions s’appliqueront à l’échelle nationale. Une modification de l’article 804 du code de procédure pénale est nécessaire pour étendre l’application de ces dispositions en Nouvelle-Calédonie, en Polynésie française et dans les îles Wallis et Futuna.
CHAPITRE III – DISPOSITIONS RELATIVES A LA LUTTE
CONTRE LES AERONEFS CIRCULANT SANS PERSONNE A
BORD PRESENTANT UNE MENACE
Article 18 : Lutte contre les aéronefs circulant sans personne à bord présentant une menace
1. ETAT DES LIEUX
1.1. CADRE GENERAL
Les aéronefs circulant sans personne à bord, couramment appelés « drones », sont de plus en plus nombreux (le nombre de drones de plus de 800 grammes, soumis à obligation de déclaration, est de 40 000) à circuler au-dessus du territoire. Ces « drones aériens » constituent des aéronefs dont le télépilote est la personne qui contrôle manuellement les évolutions ou, dans le cas d’un vol automatique, celle qui est en mesure à tout moment d’intervenir sur sa trajectoire ou, dans le cas d’un vol autonome, celle qui détermine directement la trajectoire ou les points de passage de cet aéronef.
Le faible coût des aéronefs circulant sans personne à bord, l’évolution de leurs technologies (autonomie, qualité des vidéos) et l’intérêt qu’ils suscitent dans la population entraînent un accroissement important de leur nombre39. Cette augmentation entraîne une utilisation de l’espace aérien susceptible de présenter des risques pour la sécurité des personnes, des biens ou de certains sites alors que cette utilisation est soumise au respect de certaines règles. Ainsi, le nombre des survols illicites constatés de zones interdites (dont des centrales nucléaires) est élevé et constant sur les 3 dernières années selon les données du ministère de l’intérieur (2017 :
384 ; 2018 : 370, 2019 : 335). Les données du ministère de la justice font également apparaître le phénomène des survols de prisons par drone (2018 : 48 ; 2019 : 54, 2020 : 53).
En outre, il s’agit de prendre en compte la menace terroriste. En effet, bien qu’à ce jour, l’usage de drones à des fins terroristes n’ait pas été identifié sur le territoire national, les utilisations des drones par Daesh ont démontré l’étendue des menaces qui peuvent un jour se déporter sur le territoire national. Conformément aux dispositions de l’article L. 6211-1 du code des transports, « Tout aéronef peut circuler librement au-dessus du territoire français (…). » Cette disposition est complétée par l’article L. 6211-4 du même code qui prévoit que « Le survol de certaines zones du territoire français peut être interdit pour des raisons d’ordre militaire ou de sécurité publique dans des conditions fixées par décret en Conseil d’Etat. L’emplacement et l’étendue
39 Sur le territoire national, le marché du drone (loisir et pro) était de 200 millions d’euros en 2017, estimé à 304 millions d’euros en 2020 et la projection pour 2025 est de 652 millions d’euros.
des zones interdites sont définis par l’autorité administrative. »40 Enfin, l’article L. 6211-5 précise que « L’aéronef qui s’engage au-dessus d’une zone interdite est tenu, dès qu’il s’en aperçoit, d’atterrir sur l’aérodrome le plus rapproché en dehors de la zone interdite. »
Lorsqu’un aéronef circulant sans personne à bord s’engage dans une zone interdite de survol, de manière temporaire ou permanente, pour des raisons d’ordre militaire ou de sécurité publique, il appartient à l’Etat de mettre en œuvre les moyens nécessaires pour faire cesser cette situation. A cette fin, les capacités techniques disponibles peuvent lui permettre de recourir à un dispositif de brouillage des ondes émises et reçues par l’aéronef, lequel intègre des équipements radioélectriques.
Le recours à de tels dispositifs par l’autorité administrative apparait également nécessaire aux fins de prévenir les menaces susceptibles d’affecter la sécurité de grands événements (sommets internationaux, manifestations sportives, cérémonies nationales), de certains convois (convois officiels, convois de matières dangereuses…) ou de certaines installations sensibles (centrales nucléaires, centres pénitentiaires, emprises militaires). En effet, la menace constituée par les drones « malveillants » se caractérise par sa mobilité, sa célérité et la difficulté de repérage visuel en phase d’approche vers des lieux, zones, personnes ou véhicules à protéger. En outre, les drones ont une grande capacité de repérage et de prise de vidéos. Enfin, ils sont susceptibles d’entraîner des risques de collision et potentiellement, grâce à leur capacité d’emport de charge (explosifs, stupéfiants), des menaces terroristes et de trafics au profit de réseaux de criminalité organisée.
1.2. CADRE CONVENTIONNEL
La Convention relative à l’aviation civile internationale, conclue à Chicago le 7 décembre 1944, précise, en son article 1er, que « chaque Etat a la souveraineté complète et exclusive sur l’espace aérien au-dessus de son territoire ».
Cette disposition est complétée par le b) de l’article 9 prévoyant que « Chaque Etat contractant se réserve également le droit, dans des circonstances exceptionnelles, en période de crise ou dans l’intérêt de la sécurité publique, de restreindre ou d’interdire temporairement et avec effet immédiat les vols au-dessus de tout ou partie de son territoire, à condition que cette restriction ou interdiction s’applique, sans distinction de nationalité, aux aéronefs de tous les autres Etats. »
40 Par ailleurs et pour une autre finalité, les dispositions du code des transports qui confient au ministre des Transports la faculté d’interdire le survol de certaines zones pour des raisons de sécurité n’ont pas pour objet et ne sauraient avoir pour effet de priver le maire de la possibilité d’utiliser ses pouvoirs de police pour réglementer, en vue d’assurer la tranquillité et la sécurité des habitants de sa commune, l’utilisation des appareils d’aéromodélisme sur le territoire de sa commune (CE, 8 mars 1993, Commune des Molières, n° 102027).
Enfin, l’article 36 de la Convention relative à l’aviation civile internationale prévoit que « Tout Etat contractant peut interdire ou réglementer l’usage d’appareils photographiques à bord des aéronefs survolant son territoire. »
Ces dispositions ont été déclinées en droit interne par les articles L. 6211-1 et suivants du code des transports.
1.3. CADRE CONSTITUTIONNEL
Le législateur doit assurer la conciliation entre le respect des droits et libertés de chacun et la protection de l’ordre public ainsi que des exigences inhérentes à la sauvegarde des intérêts fondamentaux de la Nation. Dans un objectif de protection de la sécurité intérieure, de la défense nationale et du service public de la justice, la neutralisation de l’équipement radioélectrique d’un aéronef circulant sans personne à bord malveillant est susceptible d’impacter plusieurs libertés.
ÿ La liberté de communication
L’usage de brouilleurs est susceptible d’altérer la liberté de communication (découlant de l’article 11 de la Déclaration des droits de l'homme et du citoyen de 1789) d’un tiers dont la fréquence du moyen de communication, tel un téléphone portable ou une radio, serait temporairement affectée.
Dans sa récente décision n° 2020-801 DC du 18 juin 2020, le Conseil constitutionnel a rappelé :
« Aux termes de l'article 11 de la Déclaration des droits de l'homme et du citoyen de 1789 :
« La libre communication des pensées et des opinions est un des droits les plus précieux de l'homme : tout citoyen peut donc parler, écrire, imprimer librement, sauf à répondre de l'abus de cette liberté dans les cas déterminés par la loi ». […] L'article 34 de la Constitution dispose :
« La loi fixe les règles concernant ... les droits civiques et les garanties fondamentales accordées aux citoyens pour l'exercice des libertés publiques ». Sur ce fondement, il est loisible au législateur d'édicter des règles concernant l'exercice du droit de libre communication et de la liberté de parler, d'écrire et d'imprimer. Il lui est aussi loisible, à ce titre, d'instituer des dispositions destinées à faire cesser des abus de l'exercice de la liberté d'expression et de communication qui portent atteinte à l'ordre public et aux droits des tiers. […]. Il s'ensuit que les atteintes portées à l'exercice de cette liberté doivent être nécessaires, adaptées et proportionnées à l'objectif poursuivi. »
En l’absence d’autres moyens permettant de lutter contre un aéronef circulant sans personne à bord et présentant une menace pour la sécurité des personnes, des biens ou des sites sensibles, la neutralisation de l’équipement radioélectrique de cet aéronef, par l’autorité administrative dans des circonstances précises pendant une période adaptée au temps de la menace, répond aux critères de nécessité, d’adaptation et de proportionnalité, tels qu’exigés par le Conseil constitutionnel.
ÿ Le droit de propriété
Ce droit, garanti par les articles 2 et 17 de la Déclaration des droits de l’Homme et du Citoyen, est susceptible de faire l’objet d’une atteinte si l’utilisation de brouilleurs a pour conséquence de faire chuter le drone et d’entrainer sa détérioration ou sa destruction.
Néanmoins selon le type d’aéronef en cause et sa programmation et selon l’usage qui est fait du brouilleur, l’aéronef est également susceptible de dévier de sa trajectoire, de retourner à son point de départ ou d’atterrir. L’atteinte au droit de propriété n’est alors que potentielle.
En tout état de cause, le droit de propriété doit être concilié avec les autres exigences constitutionnelles, en particulier la sauvegarde de l’ordre public ainsi que les exigences inhérentes à la sauvegarde des intérêts fondamentaux de la Nation.
2. NECESSITE DE LEGIFERER ET OBJECTIFS POURSUIVIS
2.1. NECESSITE DE LEGIFERER
Les droits et libertés susceptibles d’être affectés par l’usage des brouilleurs contre les drones malveillants étant constitutionnellement garantis, le recours à la loi est nécessaire.
De fait, à ce jour, le livre II relatif aux communications électroniques du code des postes et des communications électroniques ne comporte pas de disposition particulière permettant de lutter spécifiquement contre les drones aériens malveillants. Les dispositions du code des postes et des communications électroniques méritent ainsi d’être précisées pour fonder et permettre explicitement la mise en œuvre d’un dispositif de neutralisation des ondes émises ou reçues par un aéronef circulant sans personne à bord dont la trajectoire ou le positionnement sont de nature à créer une menace pour l’ordre public.
2.2. OBJECTIFS POURSUIVIS
Il apparait utile de prévoir un nouveau dispositif permettant d’étayer l’action des services de l’Etat pour lutter contre les aéronefs circulant sans personne à bord susceptibles de présenter des risques pour les personnes, les biens ou à l’encontre de certains sites.
L’objectif est de prévenir les menaces susceptibles d’affecter la sécurité de grands événements (sommets internationaux, manifestations sportives, cérémonies nationales), de certains convois (convois officiels, convois de matières dangereuses…) ou de certains sites sensibles (centrales nucléaires, centres pénitentiaires, emprises militaires).
Par ailleurs, un autre des objectifs est d’empêcher que l’aéronef transmette pendant son vol des données sensibles ou protégées, telles que des vidéos prises à l’intérieure de sites sensibles.
3. OPTIONS POSSIBLES ET DISPOSITIF RETENU
Les dispositions pouvaient être introduites dans le code des transports ou dans le code des postes et des communications électroniques, néanmoins, il a paru plus cohérent d’insérer ces nouvelles dispositions législatives dans le code des postes et des communications électroniques pour compléter et expliciter le régime de brouillage des appareils de communication électronique existant.
La mesure envisagée prévoit de rendre inopérant l’équipement radioélectrique d’un aéronef circulant sans personne à bord considéré comme malveillant par les services de l’Etat concourant à la sécurité intérieure, à la défense nationale et au service public de la justice. La neutralisation est autorisée aux seules fins de prévenir les menaces pour la sécurité des personnes et des biens ou le survol d’une zone en violation d’une interdiction.
La neutralisation de l’équipement radioélectrique de ce type d’aéronef a pour effet de l’empêcher de recevoir et d’émettre des ondes lui permettant de se localiser dans l’espace et de perturber ainsi son itinéraire et, le cas échéant, la transmission immédiate de données captées pendant le vol au télépilote ou à un tiers. Cette neutralisation de l’équipement radioélectrique, par brouillage ne permet pas à l’aéronef de continuer son vol tel que programmé initialement ou tel que prévu par le télépilote.
Un décret en Conseil d’État détermine les modalités de mise en œuvre de ces dispositifs. Ce décret aura vocation à préciser les modalités procédurales du brouillage (les autorités compétentes, les procédures de validation technique des brouilleurs…).
4. ANALYSE DES IMPACTS DES DISPOSITIONS ENVISAGEES
4.1. IMPACTS JURIDIQUES
La mesure envisagée prévoit la création de nouvelles dispositions qui seront codifiées dans le livre II « les communications électroniques » de la partie législative du code des postes et des communications électroniques à l’article L. 33-3-1.
La modification de l’article L. 33-3-2 du code des postes et des communications électroniques permet de rendre applicable la modification effectuée à l’article L. 33-3-1 en Polynésie française, dans les îles Wallis et Futuna, dans les Terres australes et antarctiques françaises et en Nouvelle-Calédonie.
4.2. IMPACTS SUR LES SERVICES ADMINISTRATIFS
Les services de l’Etat concernés sont ceux chargés de la sécurité intérieure, de la défense nationale et du service public de la justice.
Les services de L’Etat relevant des autorités compétentes chargées de la prévention des menaces pour la sécurité des personnes et des biens et du respect de l’interdiction de survol d’une zone du territoire qui seront mentionnées dans le décret en Conseil d’Etat mettront en œuvre les dispositifs permettant de rendre inopérants l’équipement électrique des aéronefs circulant sans personne à bord malveillants.
Les services de police sont déjà équipés de matériels de détection et de neutralisation.
Concernant la préfecture de police et le RAID, un déploiement au profit d'autres directions de police est envisagé pour couvrir une gamme plus de large de missions et d'évènements (environ 60 000 euros, très variable). Pour la police nationale, les opérations de neutralisation sont encadrées par une doctrine d’emploi des moyens de lutte anti drone, des consignes particulières opérationnelles qui prévoient ainsi les finalités, le matériel utilisé, les ressources humaines affectées pour les opérations (2/3 personnels pour constitution d’une équipe : superviseur/chef de mission, détecteur/guetteur, opérateur brouilleur), les mesures de sécurisations de sites, les coordination 3D et les autorisations administratives à recevoir, les procédures d’autorisation à respecter (un compte rendu écrit doit être réalisé après chaque opération de brouillage auprès de l’agence nationale des fréquence (ANFR)), les moyens de compte rendu et de traçabilité des opérations (une application de reporting et de planification des missions Drones pourra utilement être utilisée à cette fin), les consignes de reconnaissances de sites et d’études d’impact, le protocole d’intervention avec la définition de l’autorité d’emploi (chef de service), et le processus décisionnel prévu pour l’autorisation du bouillage (autorisation hiérarchique impérative) (les instructions d’engagement peuvent être, sur instruction de l’autorité d’emploi, en cas de légitime défense ou d’initiative).
4.3. IMPACTS SUR LES PARTICULIERS
La mise en œuvre de dispositifs rendant inopérant l’équipement radioélectrique d’un aéronef circulant sans personne à bord est susceptible de restreindre la liberté du télépilote de faire circuler son aéronef, de porter atteinte à la liberté de communication des tiers, et de porter atteinte au droit de propriété du propriétaire de l’aéronef circulant sans personne à bord.
La mise en œuvre de ces dispositifs répondra au cadre fixé par la loi et devra être nécessaire et proportionnée aux finalités poursuivies.
5. CONSULTATIONS ET MODALITES D’APPLICATION
5.1. CONSULTATIONS MENEES
Cette disposition a été présentée, conformément à L. 36-5 du code des postes et communications électroniques, à l’autorité de régulation des communications électroniques, des postes et de la distribution de la pressequi a rendu son avis le 16 avril 2021.
5.2. MODALITES D’APPLICATION
5.2.1. Application dans le temps
Les dispositions de la loi entrent en vigueur au lendemain de la publication de la loi au Journal officiel de la République française.
5.2.2. Applications dans l’espace
La mesure envisagée s’appliquera sur l’ensemble du territoire.
5.2.3. Textes d’application
Un décret en Conseil d’Etat fixera les modalités de mise en œuvre des dispositifs de lutte contre les aéronefs circulant sans personne à bord présentant une menace, ainsi que les autorités compétentes pour procéder à cette mise en œuvre.
CHAPITRE IV – DISPOSITIONS RELATIVES AUX
ARCHIVES INTERESSANT LA DEFENSE NATIONALE
Article 19 : Accès aux archives publiques
1. ÉTAT DES LIEUX
1.1. CADRE GENERAL
Le champ des archives intéressant la défense nationale présente un intérêt croissant, pour la recherche, qu’elles concernent les forces armées, les services de renseignement ou les différentes administrations qui y concourent. Simultanément, certaines de ces archives peuvent susciter l’intérêt de services de renseignement étrangers ou d’organisations non-étatiques hostiles.
Le secret de la défense nationale, qui contribue à l’exigence constitutionnelle de protection des intérêts fondamentaux de la Nation, doit donc, dans le cas des archives, être concilié avec l’impératif constitutionnel de droit d’accès aux archives publiques.
L’article L. 213-1 du code du patrimoine, dans sa rédaction issue de l’article 17 de la loi n° 2008-696 du 15 juillet 2008 relative aux archives, pose ainsi le principe de la communicabilité de plein droit des archives publiques sous réserve des délais prévus à l’article L. 213-2. Ce dernier article prévoit notamment que les archives dont la communication porte atteinte au secret de la défense nationale ne deviennent communicables qu’à l’expiration d’un délai de cinquante ans. Ce délai est porté à cent ans pour celles, classifiées ou non, dont la communication est de nature à porter atteinte à la sécurité de personnes nommément désignées ou facilement identifiables.
Par ailleurs, le II de l’article L. 213-2 du code du patrimoine définit, par dérogation au principe de communicabilité de plein droit des archives publiques, une catégorie de documents perpétuellement incommunicables, à savoir ceux dont la communication est susceptible d'entraîner la diffusion d'informations permettant de concevoir, fabriquer, utiliser ou localiser des armes nucléaires, biologiques, chimiques ou toutes autres armes ayant des effets directs ou indirects de destruction d'un niveau analogue.
S’agissant des archives dont la communication porte atteinte au secret de la défense nationale (c’est-à-dire les archives ayant fait l’objet d’une mesure de classification mentionnée à l’article 413-9 du code pénal), les dispositions de l’article L. 213-2 du code du patrimoine sont à lire de manière combinée avec celles des articles 413-9 et suivants du code pénal. Ce code réprime, en effet, l’accès ou le fait de donner accès à des informations ou supports présentant le caractère de secret de la défense nationale à toute personne non qualifiée, délits usuellement qualifiés de
« compromission ». Aux termes de l’article 413-9, « présentent un caractère de secret de la défense nationale (…) les procédés, objets, documents, informations, réseaux informatiques, données informatisées ou fichiers intéressant la défense nationale qui ont fait l'objet de mesures de classification destinées à restreindre leur diffusion ou leur accès ».
Prenant acte de l’impossibilité de définir de manière stable et homogène le contenu du secret de la défense nationale, respectueuse du principe constitutionnel de séparation des pouvoirs et conforme à l’office particulier du juge pénal en cette matière, la définition du secret de la défense nationale introduite par le code pénal entré en vigueur en 1994 est ainsi purement formelle.
Les différents niveaux de classification, de même que les conditions à remplir pour qu’une personne puisse être regardée comme qualifiée pour accéder à des informations et supports classifiés, sont, pour leur part, définis aux articles R. 2311-1 et suivants du code de la défense.
Les critères et modalités de la classification sont, enfin, précisés par l’instruction générale interministérielle n° 1300 sur la protection du secret de la défense nationale.
Cette instruction, approuvée par arrêté du Premier ministre du 23 juillet 2010, et des deux instructions qui l’ont suivie (arrêtés des 30 novembre 2011 et 13 novembre 2020), organisent l’articulation entre les dispositions du code du patrimoine et celles du code pénal. A ce titre, elle rappelle qu’avant toute communication d’un document classifié, y compris d’un document classifié devenu communicable de plein droit au titre du code du patrimoine, ce document doit faire l’objet, pour que sa divulgation et sa consultation ne soient pas constitutives d’une infraction pénale, d’une décision formelle de déclassification, matérialisée sur le document par l’apposition d’un timbre de déclassification.
Dans les faits, cette obligation, qui résulte de la nécessaire conciliation du code du patrimoine et du code pénal – conciliation qui découle, elle-même, de la nécessaire combinaison d’impératifs constitutionnels (cf. infra) – se traduit par un allongement significatif des délais de consultation. La décision des services détenteurs d’archives reste, en effet, suspendue à celle de l’autorité émettrice quant à la déclassification des documents concernés.
1.2. CADRE CONSTITUTIONNEL
Par une décision n° 2017-655 QPC du 15 septembre 2017, le Conseil constitutionnel a jugé que les dispositions de l'article 15 de la Déclaration des droits de l’homme et du citoyen de 1789, aux termes desquelles « la société a le droit de demander compte à tout agent public de son administration », garantissent le droit d'accès aux documents d'archives publiques.
Il a cependant, par la même occasion, précisé qu’il est loisible au législateur d'apporter à ce droit des limitations liées à des exigences constitutionnelles ou justifiées par l'intérêt général, à la condition qu'il n'en résulte pas d'atteintes disproportionnées au regard de l'objectif poursuivi.
Le Conseil constitutionnel, par une décision n° 2011-192 QPC du 10 novembre 2011, a également jugé que le secret de la défense nationale participe au respect des exigences constitutionnelles inhérentes à la sauvegarde des intérêts fondamentaux de la Nation.
L’accès aux documents d’archives classifiés doit ainsi permettre la conciliation de ces deux impératifs constitutionnels.
1.3. ÉLEMENTS DE DROIT COMPARE
À la différence de la France, où la loi fixe les délais de communicabilité applicables aux archives publiques, le cadre juridique des États-Unis d’Amérique confie au service producteur le soin de fixer librement les délais qu'il estime souhaitables pour la mise à disposition des documents au public ; sous la limite, cependant, de trente ans. Au-delà, tous les documents deviennent en principe communicables. Toutefois, pour des raisons touchant principalement à la protection des intérêts supérieurs du pays (sûreté de l'État, défense nationale), le délai de restriction peut être prolongé. Il appartient alors aux instances gouvernementales de désigner les documents concernés. Cette procédure a pour nom la « classification ». Elle n'est limitée par aucun plafond : seule l'autorité qui a procédé à la classification peut en lever l'effet lorsque la durée écoulée lui semble suffisante (« déclassification »). C'est aussi cette même autorité qui peut accorder une autorisation de consultation anticipée aux documents, après instruction du dossier par le service d'archives concerné.
Le principe est assez similaire en Israël, où les archives qui portent atteinte à la sûreté de l’État sont communicables à l’issue d’un délai de cinquante ans, sauf si elles ont été classifiées comme « secrètes ».
D’autres pays, en revanche, prévoient un système de classification soumis à un ou plusieurs plafonds de durée : au Royaume-Uni, le délai qui protège les archives relatives à la sûreté de l’État est de cinquante, soixante-quinze ou cent ans ; en Tunisie, il est de soixante ou de cent ans.
2. NECESSITE DE LEGIFERER ET OBJECTIFS POURSUIVIS
2.1. NECESSITE DE LEGIFERER
L’instruction générale interministérielle 1300, qui a explicité l’articulation entre le code pénal et le code du patrimoine, prévoit qu’un document classifié devenu communicable de plein droit au titre du code du patrimoine ne peut être communiqué à une personne non habilitée et ne disposant pas du besoin d’en connaître qu’après avoir fait l’objet d’une décision formelle de déclassification, matérialisée par l’apposition d’un timbre de déclassification sur le document.
Cette diligence est nécessaire pour exonérer tant le service détenteur d’un document classifié que celui qui en demande la consultation du risque pénal associé à la compromission du secret de la défense nationale.
Ces modalités d’articulation sont aujourd’hui contestées par nombre d’historiens et archivistes qui considèrent qu’elles sont source d’un allongement inacceptable des délais de consultation, voire constituent une entrave au travail historique et au devoir de mémoire.
L’allongement des délais de traitement des demandes d’accès aux archives classifiées se révèle particulièrement conséquent lorsque la déclassification préalable exige une intervention de l’autorité émettrice ou de son service héritier. En moyenne, cette phase peut s’étendre sur des durées allant de six mois à plus d’un an. Au ministère des armées, le chantier de déclassification des archives de la seconde guerre mondiale a marqué les chercheurs autant que le service historique de la défense, dont le fonds relatif à cette période comptait 100 000 cartons. Aux archives nationales, la mise en œuvre de la dérogation générale du 24 décembre 2015 sur les archives de la seconde guerre mondiale a mobilisé l’équivalent de 100 mois d’agents équivalents temps plein, essentiellement affectés à des tâches de déclassification.
Les fonds des archives nationales comportant des documents classifiés auxquels l’accès est le plus souvent demandé sont ceux des ministères des armées, de l’intérieur et de la justice ainsi que ceux des cabinets du Président de la République et services du Premier ministre. Ces demandes d’accès sont formulées le plus souvent pour des recherches portant sur les périodes de la seconde guerre mondiale, de la guerre d’Algérie et de la guerre froide, étudiées selon des prismes très variés, allant de l’histoire institutionnelle, politique et diplomatique à l’histoire sociale (prosopographie, microhistoire, etc.), voire culturelle (histoire des représentations politiques, histoire des mentalités etc.). De manière fréquente, également, des demandes de déclassification sont formulées dans le cadre de recherches personnelles (descendants de personnes assassinées, disparues ou condamnées par exemple durant la guerre d’Algérie).
La demande des historiens, des étudiants et du monde de la recherche retient toute l’attention du Gouvernement et le conduit à proposer une modification de la loi. D’ores et déjà, des aménagements ponctuels ont été mis en œuvre, qu’il s’agisse du recours temporaire à un renfort en personnel ou de la fluidification de l’instruction des demandes de communication en procédant à la déclassification de cartons d’archives entiers et non document par document. La situation actuelle ne peut cependant être résolue de façon pérenne, sur le plan du droit, sans modification législative, dès lors que les normes en tension sont chacune de niveau législatif et viennent, chacune, préciser la mise en œuvre de principes constitutionnels.
2.2. OBJECTIFS POURSUIVIS
Il apparaît nécessaire de modifier le point d’équilibre entre les impératifs constitutionnels susmentionnés, dans le sens d’une large ouverture de l’accès aux archives publiques classifiées.
Ainsi, afin de donner sa pleine effectivité au principe de libre communicabilité des archives, il est proposé d’inscrire expressément dans la loi, en créant un nouveau III à l’article L. 213-2 du code du patrimoine modifié, la règle selon laquelle, sauf exception, « toute mesure de classification mentionnées à l’article 413-9 du code pénal prend automatiquement fin à la date à laquelle le document qui en a fait l’objet devient communicable de plein droit […] ». Dès lors, à l’échéance des délais applicables au titre de l’article L. 213-2 du code du patrimoine,
tout document classifié pourra être communiqué, sans qu’aucune formalité complémentaire ne soit nécessaire, à l’exception des documents, peu nombreux, classifiés ou non, perpétuellement incommunicables en application du II du même article (cf. 1.1) Parallèlement, la modification de l’article L. 213-2 du code du patrimoine offre l’occasion d’améliorer la protection de certaines catégories de documents d’une sensibilité particulière, qu’ils soient classifiés ou non, dont la communication prématurée serait de nature à nuire aux intérêts fondamentaux de la Nation. Cette mesure concerne notamment les documents relatifs aux caractéristiques techniques d’emprises militaires, de missions diplomatiques et consulaires, de centrales nucléaires, de barrages hydrauliques de grande hauteur, les informations techniques permettant la neutralisation de systèmes d’armes défensifs ou la reproduction de matériel de guerre, ou encore les procédures opérationnelles et les capacités techniques des services de renseignement.
Ce projet permet également d’adapter le champ des armes de destructions massives à la réalité de la menace contemporaine, en y ajoutant la menace radiologique (cf. modification du II de l’article L. 213-2 du code du patrimoine).
Il permet, enfin, d’ajuster au plus près des besoins le champ de la protection des documents dont la communication serait de nature à porter atteinte à la sécurité de personnes nommément désignées ou facilement identifiables.
3. OPTIONS POSSIBLES ET DISPOSITIF RETENU
3.1. OPTIONS ENVISAGEES
Dans le cadre de ses travaux préparatoires, le Gouvernement s’est interrogé sur la possibilité de moduler la conciliation des deux régimes juridiques par voie réglementaire, à travers une lecture volontariste du code du patrimoine, en reconnaissant, via l’instruction générale n° 1300, une pleine effectivité à la notion de communicabilité de plein droit, et en supprimant par conséquent l’obligation d’une déclassification préalable des archives classifiées devenues librement communicables.
Cette option n’est pas apparue satisfaisante car elle reviendrait à ignorer la portée des dispositions du code pénal et ne permettrait pas de clarifier l’existence ou non d’un risque pénal auquel seraient exposés les archivistes donnant accès à des documents non démarqués, de même que les personnes en obtenant la communication. Elle priverait par ailleurs de toute protection certains des documents classifiés de plus de cinquante ans, dont la communication pourrait porter atteinte aux intérêts fondamentaux de la nation et en particulier ceux des services de renseignement.
C’est pourquoi l’option d’une simple modification réglementaire a été écartée.
S’est alors posée la question des modifications législatives à opérer.
Parmi les options envisagées, la possibilité de modifier à la fois le code pénal et le code du patrimoine a été explorée. Elle aurait consisté à limiter la modification du code du patrimoine à l’amélioration de la protection de certaines catégories de documents (cf. point 3.2 b) et à « neutraliser », par modification du code pénal, les effets répressifs attachés à la manipulation d’un document classifié dès lors qu’il serait devenu pleinement communicable au sens du code du patrimoine.
Dans un souci de lisibilité pour les services d’archives et leurs usagers, le Gouvernement a préféré insérer l’ensemble des modifications législatives souhaitées à l’article L. 213-2 du code du patrimoine. Il est à noter que cette option est cohérente avec l’économie générale du titre modifié qui, aux articles L. 214-1 et suivants, intègre déjà un ensemble de dispositions pénales.
S’agissant du fond, il aurait pu être envisagé de s’en tenir à une disposition mettant automatiquement fin à toute mesure de classification à l’issue du délai de cinquante ans prévu par le 3° du I. Cette option, cependant, présentait l’inconvénient de priver de la protection pénale relative au secret de la défense nationale tous les documents de plus de cinquante ans, y compris les plus sensibles, par exemple en matière de dissuasion nucléaire ou ceux appartenant à la catégorie définie au II, pour lesquelles l’incommunicabilité est perpétuelle aux fins de prévenir toute prolifération d’armes de destruction massive.
La définition au a), b) et c) du 3° du I de l’article L. 213-2 du code du patrimoine de catégories de documents pouvant donner lieu à une prolongation du délai de communicabilité de 50 ans et les modalités de cette prolongation ont également donné lieu à réflexion.
S’agissant des nouvelles catégories de documents justifiant un délai d’incommunicabilité plus long, le Gouvernement s’est encore une fois placé dans la perspective d‘une ouverture maximale des archives publiques. Ainsi, il a volontairement restreint son projet aux seuls documents dont l’exploitation par des acteurs malveillants aurait la portée la plus grave. Ainsi, par exemple, alors qu’il aurait pu, dans une logique de sécurité, choisir d’intégrer dans ces nouvelles catégories l’ensemble des documents relatifs à la conception, à l’élaboration et aux fonctionnements des infrastructures d’importance vitale définies aux articles L. 1332-1 et L. 1332-2 du code de la défense (soit environ 1500 emprises), il s’est limité aux informations les plus névralgiques, en ne prenant en compte que les documents relatifs aux caractéristiques techniques des infrastructures de défense, des centrales nucléaires civiles, des barrages hydrauliques de grande hauteur et des missions diplomatiques et consulaires.
S’agissant des modalités de prolongation, le Gouvernement a considéré qu’un report du point de départ du délai de 50 ans à compter de la fin d’usage des infrastructures et matériels de guerre concernés ou de la fin de valeur opérationnelle des informations techniques relatives à la dissuasion nucléaire, sur le modèle retenu par la loi n° 2018-670 du 30 juillet 2018 pour les prisons41, aurait été excessif. C’est pourquoi le Gouvernement propose que le délai de 50 ans
41 L’article L213-2 du code du patrimoine actuellement en vigueur dispose en effet que pour les documents relatifs à la construction, à l'équipement et au fonctionnement des ouvrages, bâtiments ou parties de bâtiment utilisés pour la détention des personnes ou recevant habituellement des personnes, le délai de 50 ans « est décompté depuis la fin de l'affectation à ces usages des ouvrages, bâtiments ou parties de bâtiment en cause ».
soit, le cas échéant, prolongé jusqu’à la fin de l’usage ou de la valeur opérationnelle ; lorsque la perte de cette valeur opérationnelle se sera produite avant l’arrivée à échéance du délai de 50 ans, ce qui sera le plus souvent le cas, la prolongation de l’incommunicabilité n’a en effet pas lieu d’être. Pour que cette approche libérale ne préjudicie pas aux impératifs de sécurité, le projet de loi précise toutefois que la fin d’affectation doit être entendue comme la fin d’affectation de l’infrastructure considérée ou des autres infrastructures présentant des caractéristiques similaires. Ainsi, demeurent protégées les constructions toujours en service et bâties sur le même modèle que d’autres infrastructures nouvellement désaffectées (cas par exemple des prisons ou de certaines centrales nucléaires ou des parties de ces bâtiments).
3.2. DISPOSITIF RETENU
ÿ S’agissant de l’articulation des dispositions du code du patrimoine et du code pénal
Le premier alinéa du 3° de l’article L. 213-2 est modifié afin que la désignation d’un document classifié corresponde à la définition du code pénal.
Par ailleurs, les nouvelles dispositions introduites au III nouveau du même article prévoient expressément que la protection accordée à un document au titre du secret de la défense nationale prend automatiquement fin dès lors que le document qui en fait l’objet est devenu communicable de plein droit. Cette rédaction permet de s’assurer que les documents qui ne sont pas communicables de plein droit peuvent, le cas échéant, bénéficier, y compris au-delà de cinquante ans, de la protection résultant de leur classification. La classification expire ainsi automatiquement, selon les cas, à l’issue d’un délai de cinquante ou cent ans, ou d’un délai de cinquante ans prolongé. Aucune expiration automatique de classification ne peut intervenir s’agissant des documents perpétuellement incommunicables mentionnés au II de l’article L.
213-2 (cf. 1.1).
Une exception à cette règle est prévue pour les seuls documents mentionnés au 4° du I de l’article L. 213-2. Ces archives – notamment les documents relatifs aux affaires portées devant les juridictions – font, en effet, l’objet de fréquentes demandes de consultation anticipée sur le fondement du I de l’article L. 213-3. Or il arrive que ces documents soient classifiés et doivent, par suite, être déclassifiés avant toute communication. L’expérience ayant montré que la classification de ces documents devient sans objet avant l’expiration du délai de soixante-quinze ans, le Gouvernement propose, afin de fluidifier l’accès anticipé à ces archives, de distinguer, dans ce cas seulement, la communicabilité de plein droit, dont les conditions demeurent inchangées, de l’expiration automatique des mesures de classification, qui, pour sa part, interviendra à l’issue du délai prévu au 3°, c’est-à-dire 50 ans à compter de la date du document ou du document le plus récent inclus dans le dossier.
ÿ S’agissant de l’amélioration de la protection de certaines catégories de documents
L’option retenue consiste à identifier, au sein des catégories visées au 3° du I de l’article L. 213-2, des sous-ensembles de documents pour lesquels le délai d’incommunicabilité de 50 ans à compter de la date du document ou du document le plus récent du dossier peut s’avérer insuffisant. Il s’agit des documents relatifs :
- aux caractéristiques techniques des installations militaires, des installations et ouvrages nucléaires civils, des barrages hydrauliques de grande hauteur, des locaux des missions diplomatiques et consulaires françaises et des installations utilisés pour la détention des personnes, à compter de la date, constatée par un acte publié, de fin de l’affectation à ces usages de ces infrastructures ou d’infrastructures présentant des caractéristiques similaires ;
- à la conception technique et aux procédures d’emploi de certains types de matériels de guerre et matériels assimilés mentionnés au second alinéa de l’article L. 2335-2 du code de la défense, identifiés ex ante par un arrêté du ministre de la défense, révisé chaque année, comme étant particulièrement sensibles, tant que ceux-ci demeurent utilisés par les forces armées et les formations rattachées mentionnées à l’article L. 3211-1-1 du même code. Il s’agit d’abord de protéger les militaires qui les utilisent et de préserver les avantages opérationnels que ces équipements leur confèrent sur les théâtres d’opérations. Il est en outre indispensable de ne pas divulguer les informations qui permettraient de développer des stratégies ou des techniques de contre-mesures. Ce besoin se conçoit aisément lorsqu’il s’agit par exemple de ne pas révéler d’éventuels points de fragilité du châssis ou de la tourelle d’un véhicule terrestre de combat, ainsi que les capacités techniques des matériels d’imagerie ou de détection. Cette nécessité correspond à un besoin de plus en plus prégnant pour les forces armées au regard de l’allongement de la période de conception de certains de ces matériels, qui diffère par voie de conséquence la date de leur entrée en service opérationnel, justifiant ainsi une protection de la documentation correspondante supérieure au délai de droit commun de cinquante ans. A titre d’illustration, ce phénomène peut être constaté à travers des fleurons du secteur aéronautique militaire, à savoir les aéronefs de combat de type Rafale ou de transport de type A400M, dont les travaux de conception ont été engagés dans les années 1980 et dont la date prévisionnelle de retrait de service est postérieure à 2040 ;
- aux capacités techniques et procédures opérationnelles des services de renseignement mentionnés à l’article L. 811-2 du code de la sécurité intérieure ainsi qu’à ceux des services mentionnés à l’article L. 811-4 du même code désignés, au regard de leurs missions, par décret en Conseil d’État, à compter de la perte de leur valeur opérationnelle. Les procédures opérationnelles – notion qui figure à l’article L. 833-9 du code de la sécurité intérieure et les capacités techniques des services de renseignement désignent quant à elles, · d’une part, les moyens et accès techniques utilisés par ces services pour recueillir des renseignements et protéger leurs opérations ainsi que leurs personnels · et, d’autre part les procédures et méthodes mises en œuvre par leurs agents pour la collecte de renseignement et la mise en œuvre de certaines mesures d’entrave,
ainsi que celles qui permettent la sécurité des opérations et des agents qui les conduisent sur le terrain. Ces procédures, en effet, constituent des savoir-faire caractéristiques, acquis en grande partie depuis la seconde guerre mondiale, capitalisés et améliorés progressivement et sur lesquelles repose encore aujourd’hui la sécurité des agents (contre-filature, systèmes de liaison, techniques de contre-espionnage et de clandestinité). Une protection particulière de ces capacités et de ces procédures se justifie donc par l’incidence de leur diffusion éventuelle sur l’activité actuelle des agents des services de renseignement et leur sécurité, y compris physique, comme sur la capacité de ces services à assumer certaines de leurs missions ;
- à l’organisation, la mise en œuvre et la protection des moyens de la dissuasion nucléaire, à compter de la perte de leur valeur opérationnelle des documents. Le champ couvert correspond au cadre défini aux articles L. 1411-1 et suivants et R*1411-1 à R*1411-18 du code de la défense. Si l’élaboration et la conception de la politique de dissuasion nucléaire doivent être ouvertes aux travaux de recherche, l’organisation détaillée des composantes de la dissuasion comme celle de la chaîne de responsabilité la caractérisant ou les systèmes destinés à garantir l’intégrité de ses moyens doivent être très rigoureusement protégés. La liste des moyens de la dissuasion nucléaire est fixée par un arrêté non publié du Premier ministre. Ils comprennent notamment des matières nucléaires, des installations, ou encore des systèmes d’information, et peuvent dépendre tant du ministère de la défense que du Commissariat à l'énergie atomique et aux énergies alternatives ou d’opérateurs publics ou privés. Dans le cadre du contrôle gouvernemental de la dissuasion nucléaire, ils font l’objet de mesures visant en particulier à les protéger contre la malveillance et les atteintes au secret de la défense nationale : mesures organisationnelles avec mise en place de chaînes de responsabilité indépendantes, protection physique des installations, organisation et surveillance des transports, cybersécurité…
ÿ S’agissant de la sécurité des personnes nommément désignées ou facilement identifiables
L’option retenue consiste :
- d’une part, à élargir la portée de la protection figurant au 5° du I en l’appliquant à l’ensemble des documents d’archives, qu’ils aient fait ou fassent ou non l’objet d’une mesure de classification eu égard aux enjeux de protection de la sécurité de personnes nommément désignées ou facilement identifiables qui justifient cette disposition ;
- d’autre part, à en préciser la portée en indiquant que cette disposition ne vise à protéger que les personnes impliquées dans une activité de renseignement.
ÿ Prise en compte des armes radiologiques dans le champ des armes de destruction massive
Afin de s’adapter à l’évolution de la menace et à la définition aujourd’hui retenue pour les armes de destruction massive, par analogie avec la terminologie retenue à l’article 421-2-6 du code pénal, il est proposé d’introduire au II de l’article L. 213-2 du code du patrimoine, portant sur
les documents perpétuellement incommunicables, les documents dont la communication est susceptible d'entraîner la diffusion d'informations permettant de concevoir, fabriquer, utiliser ou localiser des armes radiologiques.
4. ANALYSE DES IMPACTS DES DISPOSITIONS ENVISAGEES
4.1. IMPACTS JURIDIQUES
4.1.1. Impacts sur l’ordre juridique interne
La modification de l’article L. 213-2 du code du patrimoine portée par le présent article propose une articulation rénovée des régimes juridiques relatifs à la protection du secret de la défense nationale, d’une part, et à la communicabilité des archives publiques, d’autre part. Dans un esprit d’ouverture massive des archives publiques, la nouvelle conciliation proposée donnera une pleine effectivité au principe de communicabilité de plein droit des archives publiques.
Elle implique également la modification de l’instruction générale interministérielle n° 1300 sur la protection du secret de la défense nationale et des instructions ministérielles, ainsi que, le cas échéant, des directives techniques particulières qui en découlent.
4.1.2. Articulation avec le droit international et le droit de l’Union européenne Le droit de l’Union européenne ne régit pas le droit d’accès aux archives publiques.
La modification de l’article L. 213-2 du code du patrimoine portée par le présent article est sans incidence sur les engagements conventionnels de la France. En effet, cet article ne saurait s’appliquer aux informations et supports classifiés étrangers reçus par la France et dont la protection pénale, garantie par les articles 414-8 et 414-9 du code pénal, est organisée par des accords intergouvernementaux ad-hoc dits « accords de sécurité ».
4.2. IMPACTS ECONOMIQUES ET FINANCIERS
4.2.1. Impacts macroéconomiques
A la différence de la France et en dépit des accords intergouvernementaux en vigueur, certains Etats étrangers ne respectent pas l’obligation d’obtenir l’accord de l’Etat émetteur de documents classifiés avant de les rendre librement communicables. Ainsi, un certain nombre de documents d’archives français classifiés sont librement accessibles dans plusieurs services publics d’archives américains. D’autres, encore, ont pu être publiées dans des ouvrages étrangers.
En mettant fin à ces distorsions et en simplifiant l’accès des chercheurs aux archives classifiées devenues librement communicables, les mesures envisagées auront une incidence positive sur la compétitivité de la recherche française à l’international.
4.2.2. Impacts budgétaires
En supprimant l’obligation de déclassification formelle et physique des documents classifiés devenus communicables de plein droit, les mesures envisagées permettront à court terme au ministère des armées de libérer les ressources actuellement affectées au démarquage préalable des documents.
4.3. IMPACTS SUR LES COLLECTIVITES TERRITORIALES
Aujourd’hui, la majorité des archives classifiées sont conservées par les archives nationales, les archives diplomatiques et le service historique de la défense. Les archives départementales détiennent cependant parfois quelques documents classifiés anciens et ne disposent pas toujours des équipements nécessaires pour les traiter conformément aux exigences de la réglementation relative à la protection du secret.
La modification envisagée prévoyant que toute mesure de classification prend automatiquement fin à la date à laquelle le document qui en a fait l’objet devient communicable de plein droit, les documents détenus par les archives départementales pourront être manipulés sans mesure de protection spécifique, en toute régularité au regard des règles relatives au secret de la défense nationale et donc sans risque de compromission.
Cette modification est ainsi source de sécurisation juridique pour les agents des archives départementales et leurs publics.
4.4. IMPACTS SUR LES SERVICES ADMINISTRATIFS
ÿ Une avancée pour les services d’archives
En rendant communicable l’écrasante majorité des documents classifiés datant de plus de cinquante ans, la mesure projetée allégera significativement la charge qui pèse actuellement sur les services publics d’archives pour la préparation matérielle des demandes de déclassification, leur suivi et le démarquage des documents concernés. Ces opérations sont aujourd’hui rendues particulièrement chronophages par l’absence d’identification des documents classifiés dans les dossiers versés, parfois de très longue date, dans les services publics d’archives. La mesure projetée permettra de recentrer leurs missions de service public sur la collecte, la conservation, la description, la communication, la mise en valeur et la diffusion des archives (art. R. 212-4-1 du code du patrimoine), et de relancer ainsi les chantiers dont le lancement a pu être différé par la charge de travail que faisait peser sur eux l’obligation de déclassification formelle préalable de documents d’archives classifiés qu’ils conservent.
La modification envisagée est également un gage de sérénité pour les agents des services publics d’archives et leurs publics, le risque pénal associé à la communication de documents portant un timbre de classification devenus librement communicables étant désormais écarté.
ÿ Une meilleure protection pour les membres des services de renseignement La mesure envisagée permettra également, au travers du nouveau point c) du 3° de l’article L. 213-2 du code du patrimoine modifié, de renforcer la protection des documents relatifs aux capacités opérationnelles des services de renseignement et contribuera ainsi à sécuriser leur action.
4.5. IMPACTS SUR LES PARTICULIERS
La mesure aura à la fois un impact significatif sur l’accès de toute personne aux archives publiques et permettra, dans le même temps, de renforcer la sécurité des citoyens contre des actes malveillants.
ÿ Un accès aux archives publiques significativement renforcé La mesure envisagée permettra l’ouverture de plusieurs millions de documents classifiés, dont la communication n’était aujourd’hui possible qu’après déclassification formelle et démarquage préalable. Ainsi, notamment, au seul service historique de la défense, cette mesure permettra d’ouvrir l’accès de plus de 650 000 dossiers d’archives représentant jusqu’à 20 km linéaires.
Aux Archives nationales, la mesure permettra l’accès à près de 600 000 documents.
En rendant ainsi désormais immédiatement accessibles des documents dont la déclassification préalable supposait jusqu’à présent des délais de traitement de plusieurs mois, cette mesure aura pour conséquence directe une fluidification du traitement des demandes d’accès aux archives publiques, que la loi impose de satisfaire à l’issue d’un délai d’un mois (deux mois lorsqu’elles ne sont pas librement communicables), et une très nette amélioration des conditions de travail des chercheurs, notamment pour l’accès aux sources de l’histoire contemporaine. Elle permettra ainsi de mettre fin aux retards affectant actuellement les travaux de nombre d’entre eux. Cette mesure permettra également d’éliminer le risque pénal qui, sous l’empire de la législation actuelle, pèse sur les personnes ayant accédé à un document qui, bien que communicable de plein droit en application du code du patrimoine, serait toujours porteur d’une marque de classification.
ÿ Une meilleure protection du citoyen
La mesure portant création de nouvelles catégories de document soumis au délai de cinquante ans (nouveau a), b) et c) de l’article L. 213-2 du code du patrimoine modifié) permettra, par ailleurs, de renforcer la sécurité des citoyens, en améliorant la protection offerte par le code du patrimoine aux documents, classifiés ou non, dont l’exploitation malveillante pourraient avoir de lourdes conséquences : plans de centrales nucléaires, de barrages hydrauliques, d’infrastructures militaires ; système de contrôle gouvernemental de la dissuasion nucléaire, etc.
Il convient de noter que cette extension à de nouvelles catégories est articulée de façon proportionnée avec l’objectif de renforcement de l’accès aux archives publiques. En effet, l’accès aux documents ainsi visés, tout comme l’accès à l’ensemble des documents dont il est question au I. de l’article L. 213-2 du code du patrimoine, demeurera possible dans le cadre de demandes de consultation anticipée (cf. point I de l’article L. 213-3 du code du patrimoine), tel qu’encadré par la jurisprudence du Conseil d’Etat (décision n° 422327 du 16 juin 2020) voire dans le cadre d’arrêtés d’ouverture anticipée (cf. point II du même article).
5. MODALITES D’APPLICATION
5.1. APPLICATION DANS L’ESPACE
Les modifications de l’article L. 213-2 du code du patrimoine portées par le présent article s’appliqueront de plein droit aux collectivités régies par le principe d’identité législative, et sont applicables au territoire des Terres australes et antarctiques françaises sous la seule réserve, s’agissant de Wallis et Futuna, des dispositions de l’article L. 760-2 du code du patrimoine.
Elles n’ont pas vocation à être étendues en Nouvelle-Calédonie et en Polynésie française.
5.2. TEXTES D’APPLICATION
L’instruction générale n° 1300 sur la protection du secret de la défense nationale, ainsi que les instructions ministérielles et, le cas échéant, les directives techniques particulières qui en découlent, devront être adaptées pour être mise en cohérence avec les nouvelles dispositions de l’article L. 213-2 du code du patrimoine.
Un décret en Conseil d’Etat sera pris pour désigner ceux des services de renseignement mentionnés à l’article L. 811-4 du code de la sécurité intérieure (dits « du second cercle ») auxquelles pourra s’appliquer la disposition de prolongation de l’incommunicabilité des documents relatifs à leurs procédures opérationnelles et à leurs capacités techniques au-delà du délai de cinquante ans et jusqu’à la perte de leur valeur opérationnelle.
5.3. APPLICATION DANS LE TEMPS
Les dispositions résultant de la modification proposée sont d’application immédiate.
Toutefois, les documents non classifiés de plus de cinquante ans qui étaient devenus communicables par application de la législation antérieure ne sont pas soumis aux règles de communicabilité plus strictes prévues par le présent article. Ainsi, l’adaptation de certains délais pour mieux prendre en compte les enjeux actuels de certaines catégories de documents désormais expressément visées à l’article L. 213-2 du code du patrimoine ne rendra pas de nouveau incommunicables des documents qui peuvent déjà être communiqués sous l'empire de la législation actuelle.
S’agissant des documents classifiés de plus de cinquante ans, leur communicabilité étant jusqu’à présent subordonnée à leur déclassification préalable, ils ne sont pas communicables, en l’état de la législation actuelle. Ils le deviennent, par l’effet de l’entrée en vigueur de la loi nouvelle, à moins de relever de l’un des cas spécifiques définis par la loi dans lesquels le délai de communicabilité est plus tardif et n’est pas encore atteint.