rapport d'information déposé en application de l'article 145 du règlement en conclusion des travaux de la mission d'information commune sur l’évaluation de la loi du 24 juillet 2015 relative au renseignement

Alors que le cadre de la loi du 24 juillet 2015 repose sur un équilibre entre protection de la vie privée et défense des intérêts fondamentaux de la nation, la CJUE s’est placée du seul point de vue des droits individuels. Le cadre légal français est au plus haut niveau, parmi les droits nationaux des États membres de l’Union européenne ([256]) : peu d’autres pays disposent d’une autorité de contrôle indépendante ayant un accès permanent et complet aux locaux des services de renseignement telle que la CNCTR. Ainsi, le directeur de la DGSE, M. Bernard Émié, a rappelé lors de son audition que la CNCTR effectuait au sein de sa direction plus de trente visites de contrôle par an – un contrôle portant sur les données collectées, les transcriptions, les extractions et la traçabilité de l’information. Et comme nous l’expliquons en première partie de ce rapport, les services de renseignement sont soumis non seulement au contrôle de la CNCTR mais également à une multiplicité d’autres contrôles, qu’il s’agisse de la CNIL, de la DPR, du Conseil d’État ou, sur le plan interne, du contrôle hiérarchique du chef de service sur ses subordonnés et de l’inspection générale des services de renseignement.

Enfin, les services de renseignement extérieurs, en particulier la DGSE, prennent des risques importants sur les territoires étrangers et font face à des adversaires désinhibés, clandestins et qui font fi du droit international. Il semble donc impératif de ne pas faire combattre les services de renseignement les mains liées derrière le dos. Les moyens dévolus aux services sont une garantie de l’État de droit. Il est capital de ne pas les en priver.

3. Une décision ayant suscité plusieurs questions préjudicielles des juridictions nationales

La décision Tele2 Sverige AB a suscité de très nombreux renvois préjudiciels de juridictions nationales, ce qui est inédit.

S’agissant de la France, le Conseil d’État a été saisi par plusieurs associations de recours tendant à l’annulation ou à l’abrogation de quatre décrets ([257]) pris pour l’application des articles L. 851-1 à L. 851-4 du code de la sécurité intérieure (CSI), ainsi que de dispositions réglementaires prises pour l’application de l’article L. 34-1 du code des postes et des communications électroniques (CPCE) ([258]) et de l’article 6 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique ([259]).

Les dispositions contestées du CSI prévoient quatre techniques de recueil de renseignement susceptibles d’être utilisées par les services de renseignements du ministère des armées et du ministère de l’intérieur pour la défense et la promotion des intérêts fondamentaux de la nation. Ces techniques ont pour caractéristique commune de permettre l’accès des services de renseignement à des « données de connexion » des utilisateurs des réseaux de communications électroniques. Quant à l’article L. 34-1 du CPCE, il permet à l’État d’imposer aux opérateurs de communications électroniques la conservation, pendant une durée maximale d’un an, des données de connexion nécessaires à la recherche, à la constatation et à la poursuite des infractions pénales, tandis que l’article 6 de la loi du 21 juin 2004, précitée, étend cette obligation aux hébergeurs de contenus, afin de faciliter l’identification, par l’autorité judiciaire, des personnes ayant créé un contenu en ligne.

Les associations requérantes ont excipé de la non-conformité au droit de l’Union, tel qu’interprété par la Cour de justice notamment dans son arrêt du 21 décembre 2016, Tele2 Sverige AB de ces dispositions législatives, qui constituent les bases légales des dispositions réglementaires attaquées.

Par deux décisions du 26 juillet 2018, le Conseil d’État a saisi la Cour de justice de l’Union européenne (CJUE) de cinq questions préjudicielles, qui portent essentiellement sur les questions de savoir :

– d’une part, si des dispositifs de conservation et d’accès aux données de connexion par les autorités de l’État qui ont pour finalité la sauvegarde de la sécurité nationale relèvent du champ d’application du droit de l’Union ;

– d’autre part, si, et si oui, sous quelles conditions, la conservation générale et indifférenciée des données de connexion par les opérateurs de communications électroniques, afin de permettre aux autorités de l’État d’accéder à ces données à des fins de sécurité nationale ou de lutte contre la criminalité, peut être regardée comme conforme au droit de l’Union européenne ;

– enfin, si, compte tenu des garanties entourant l’accès des services de renseignement aux données de connexion à des fins de sécurité nationale, les modalités de recueil de renseignement régies par les articles L. 851-1 à L. 851-4 du CSI sont conformes au droit de l’Union.

Selon leur libellé, ces questions invitaient la CJUE à réviser les principes dégagés par sa jurisprudence, en particulier dans l’arrêt Tele2. Dans le cadre de cette instance, le Gouvernement français a soutenu, à titre principal, que les dispositifs en cause dans ces affaires n’étaient pas régis par le droit de l’Union dès lors qu’ils avaient notamment pour finalité de sauvegarder la sécurité nationale, laquelle relève de la seule compétence des États membres en application de l’article 4, paragraphe 2, du Traité sur l’Union européenne. À titre subsidiaire, le Gouvernement français s’est efforcé de démontrer à la Cour la conformité au droit de l’Union des dispositifs de conservation et d’accès aux données personnelles en cause, moyennant, à tout le moins, une réinterprétation de la jurisprudence Tele2, au regard, entre autres, de la jurisprudence moins restrictive de la Cour européenne des droits de l’homme.

4. Les conclusions rendues par l’avocat général de la CJUE à la suite de ces renvois préjudiciels sont décevantes mais témoignent d’un infléchissement par rapport à l’arrêt Tele2

L’avocat général Campos-Sanchez Bordona a rendu le 15 janvier dernier des conclusions, s’agissant des questions préjudicielles posées par le Conseil d’État.

a. La réaffirmation du raisonnement suivi par la CJUE

Ces conclusions se bornent pour l’essentiel à réaffirmer le raisonnement suivi par la CJUE dans son arrêt Tele2 sans réfuter de manière convaincante l’argumentaire développé par les États membres et la Commission en faveur de sa révision. Si l’avocat général semble avoir entendu les critiques des États membres sur la conservation ciblée et admet l’importance vitale de la conservation des données de connexion pour la protection de la sécurité publique et la lutte contre la criminalité, ses conclusions n’en témoignent pas moins – selon les informations fournies à la mission d’information par la direction des affaires juridiques du ministère de l’Europe et des affaires étrangères – d’un manichéisme simplificateur qui consiste à opposer ces objectifs à « la barrière infranchissable des droits fondamentaux des citoyens ». Cette approche réductrice de la conservation des données de connexion le conduit ainsi à sermonner les États membres sur la nécessité de sacrifier l’efficacité pratique des politiques de préservation de la sécurité nationale et de lutte contre la criminalité au nom de la protection des droits fondamentaux. À cet égard, l’avocat général se contente de développements théoriques qui sont bien loin de répondre à l’expérience pratique et aux nombreux exemples mis en avant par les États membres dans le cadre de la procédure.

Par ailleurs, l’avocat général ne répond pas à l’argumentaire du Gouvernement français et des autres États membres pointant les divergences de jurisprudence entre la Cour européenne des droits de l’homme et la CJUE, alors que les stipulations de la Charte des droits fondamentaux reprennent de manière substantielle celles de la Convention européenne de sauvegarde des droits de l’Homme et des libertés fondamentales.

b. Un certain infléchissement par rapport à la jurisprudence Tele2

Bien qu’elles s’en défendent, ces conclusions témoignent cependant d’un certain infléchissement par rapport à la jurisprudence Tele2.

D’une part, la critique, formulée par l’avocat général, de la conservation ciblée et la recherche d’une solution alternative à la fois conforme au droit de l’Union et praticable par les États membres attestent d’une certaine prise de conscience de la gravité des enjeux auxquels ceux-ci sont confrontés.

D’autre part, l’avocat général invite la CJUE à faire preuve de davantage de retenue et renvoie au législateur de l’Union ou aux États membres, dans le cadre de la marge d’appréciation dont ils disposent, pour la détermination des dispositifs de conservation.

Surtout, l’avocat général estime possible la mise en place d’un dispositif de conservation, certes limitée et différenciée, mais qui concerne les données de connexion de l’ensemble des utilisateurs et des abonnés des réseaux internet et de téléphonie, et admet la conformité au droit de l’Union d’un dispositif de conservation générale plus étendu dans des situations exceptionnelles.

c. Des conclusions qui ne lient pas la CJUE

Ces conclusions ne lient pas la Cour de justice, qui pourrait rendre son arrêt à l’été ou à la rentrée prochaine, de sorte qu’il n’est aucunement certain que la Cour suive son avocat général sur tout ou partie de ses propositions. En outre, la CJUE pourrait, ainsi que l’y invite son avocat général dans l’affaire préjudicielle belge, valider dans son principe la modulation dans le temps, par la juridiction de renvoi, des effets d’une éventuelle invalidation de la législation nationale, ce qui permettrait au Conseil d’État, d’une part, de ménager un délai suffisant pour réformer notre dispositif, et d’autre part, de sanctuariser les procédures notamment pénales fondées sur des données collectées et conservées en méconnaissance des exigences posées par la Cour.

Cette jurisprudence a été évoquée par les gouvernements en conseil JAI ([260]) et beaucoup de travaux ont été faits depuis deux ans sur le sujet. Par ailleurs, les procureurs de plusieurs États se sont exprimés sur le sujet, estimant que la décision de la Cour de justice de Luxembourg était absolument ingérable. Elle pose en effet un problème majeur dans le cadre des enquêtes pénales.

Peut-être la CJUE apportera-t-elle de la souplesse à sa décision initiale ([261]) mais les conclusions de l’avocat général pourraient laisser présager une ligne générale proche de l’arrêt initial. Dès lors, la mission d’information envisage plusieurs voies possibles pour sortir de cette impasse.

5. Plusieurs voies sont possibles pour sortir de cette impasse juridique et garantir la pleine efficacité des services de renseignement

Aux yeux des membres de la mission d’information, la décision Tele2 Sverige AB s’apparente à un hold-up jurisprudentiel de la Cour de justice de l’Union européenne qui a débordé de sa compétence en méconnaissance des stipulations du Traité sur l’Union européenne, réservant la sécurité nationale à la compétence des États membres.

Il n’est pas impossible que, dans une sorte de compétition avec la Cour de Strasbourg, la Cour de Luxembourg ait cherché à maximiser la portée de la Charte des droits fondamentaux, alors même que la CEDH joue déjà le rôle de gardien des droits fondamentaux et a défini depuis une quarantaine d’années, de l’arrêt Klass à l’arrêt Big Brother Watch, une jurisprudence mesurée et équilibrée sur la surveillance. Se saisir d’une directive sur le droit des opérateurs de télécommunication pour toucher au cœur du cœur du domaine régalien est très contestable.

Pour sortir de l’impasse et préserver l’efficacité des services de renseignement, plusieurs voies sont envisageables.

a. Faire évoluer la relation entre l’État et les opérateurs de télécommunications ?

Évoquée lors des auditions menées par la mission d’information, une option indirecte consisterait à faire en sorte que la conservation des données soit assurée par l’État et non plus par les opérateurs de télécommunications – puisque c’est sous cet angle que les législations nationales ont été remises en cause. On pourrait envisager qu’un commissaire du Gouvernement, placé auprès de chacun des opérateurs, soit chargé d’assurer la conservation des données, auquel cas notre législation nationale sortirait du champ de la directive de 2002.

b. Modifier le droit dérivé ?

Une autre option envisageable pour sortir de l’impasse que constitue l’arrêt Tele2 Sverige AB serait de faire évoluer le droit dérivé. C’est une option qu’a proposée la délégation parlementaire au renseignement dans son dernier rapport ([262]), la DPR estimant qu’il importait « de clarifier la portée de [l’] arrêt [Tele2] au regard de l’article 4-2 du TFUE selon lequel " la sécurité nationale reste de la seule responsabilité de chaque État membre ". Dans ces conditions, et pour protéger l’action des services de renseignement, le projet de règlement ePrivacy en cours de négociation devrait exclure le traitement de données visant exclusivement la sécurité publique, la défense et la sûreté de l’État. »

L’article 2, paragraphe 2, du TFUE stipule que lorsque les traités attribuent à l’Union une compétence partagée avec les États membres dans un domaine déterminé, l’Union et les États membres peuvent légiférer et adopter des actes juridiquement contraignants dans ce domaine. Les États membres exercent leur compétence dans la mesure où l’Union n’a pas exercé la sienne. Les États membres exercent à nouveau leur compétence dans la mesure où l’Union a décidé de cesser d’exercer la sienne.

Or, pour juger que le droit de l’Union interdit toute forme de conservation généralisée des données, la Cour s’est fondée sur l’existence d’une compétence de l’Union qui est, selon elle, consacrée par l’article 15, paragraphe 1, de la directive 2002/58.

Par conséquent, la DAJ-MEAE a suggéré à la mission de s’interroger quant à la possibilité de supprimer l’article 15, paragraphe 1, de la directive 2002/58, à l’occasion de la refonte en cours de cette directive, et de préciser que « la présente directive est sans préjudice du droit des États membres de prévoir une obligation faite aux opérateurs de conserver les données nécessaires aux fins de protection de la sécurité publique ou de lutte contre la criminalité grave, qui relève de la compétence des États membres ». Une telle évolution ne ferait sortir du droit de l’Union que l’obligation de conservation généralisée des données et l’accès aux données conservées par les services concernés, et non le traitement de ces données par les fournisseurs et par les services concernés, une fois cet accès réalisé, qui resterait régi par le droit de l’Union. Cependant, comme le soulignent les services de la DAJ-MEAE, à supposer que le Parlement européen soit prêt à envisager une telle solution, ce qui n’apparaît pas probable au vu des positions qu’il soutient sur d’autres questions connexes ([263]), il ne peut être certain que la Cour se contenterait d’une telle évolution, même si elle constituerait un signal fort, pour se déclarer incompétente.

Selon les informations fournies par la direction des affaires juridiques du ministère de l’Europe et des affaires étrangères, d’une part, la directive 2002/58 régit de manière exhaustive les obligations susceptibles d’être imposées aux opérateurs de services de communication électronique. Par conséquent, il conviendrait de préciser, après chaque disposition de la directive 2002/58 portant sur la protection de la confidentialité des données relatives au trafic et à la protection des données contre « tout accès » non autorisé que ces dispositions sont « sans préjudice de la compétence des États membres pour réglementer la conservation et l’accès aux données de connexion à des fins de lutte contre la criminalité et de protection de la sécurité publique » (notamment article 5 de l’actuelle proposition de règlement appelé à remplacer cette directive).

D’autre part, l’article 23, paragraphe 1, sous a) à e), du Règlement général sur la protection des données autorise expressément le droit de l’Union ou le droit national à apporter des limitations aux droits reconnus par ledit règlement en vue de garantir la sécurité nationale, la défense nationale, la sécurité publique et la prévention et la détection d’infractions pénales pourvu que ces limitations respectent l’essence des libertés et droits fondamentaux ainsi que le principe de proportionnalité. Ainsi, cet article, s’il permet des dérogations aux règles générales de protection des données, ne soustrait pas pour autant lesdites dérogations au droit de l’Union.

La CJUE pourrait donc considérer que cette disposition interdit également toute conservation généralisée des données. Pour faire échec à cette argumentation, il pourrait être avancé que la directive 2002/58 refondue, qui exclurait la conservation des données du champ du droit de l’Union, est une lex specialis qui fait obstacle à l’application de cette disposition, mais il n’est pas du tout certain que cette interprétation soit acceptée par la Cour.

c. Modifier le droit primaire ?

La solution la plus radicale pour affranchir les services de renseignement des effets de la jurisprudence Tele 2 Sverige AB consisterait à revenir sur le droit primaire, c’est-à-dire à modifier le Traité, afin d’affirmer que les questions de souveraineté et de sécurité nationale sont exclues du champ jurisprudentiel de la CJUE.

Cette solution serait évidemment la plus efficace mais également la plus complexe à mettre en application puisqu’elle devrait être décidée à l’unanimité et que, à ce stade, tous les États membres de l’Union européenne ne semblent pas prêts à s’engager dans une telle révision.

d. Une rébellion possible des juridictions nationales au nom du principe d’identité constitutionnelle de la France ?

Une rébellion des juridictions nationales au nom du principe d’identité constitutionnelle de la France ne semble pas à exclure. En effet, depuis 2004 et dans plusieurs décisions depuis lors ([264]), le Conseil constitutionnel vérifie que les textes de l’Union européenne ne remettent pas en cause « une règle ou un principe inhérent à l’identité constitutionnelle de la France, sauf à ce que le constituant y ait consenti ». De même, le Conseil d’État, dans un arrêt du 8 février 2007 Société Arcelor Atlantique et Lorraine, a défini les modalités de la conciliation du principe de suprématie de la Constitution avec l’exigence de transposition des directives : le juge administratif a ainsi recherché si les principes constitutionnels dont la méconnaissance était invoquée en l’espèce par le requérant étaient effectivement et efficacement protégés par les traités et principes généraux du droit de l’Union européenne.

Le juge administratif, dans le cadre des recours formés contre les textes réglementaires d’application de la loi de 2015, et le Conseil constitutionnel, en cas de question prioritaire de constitutionnalité relative à cette loi, pourraient ainsi considérer que l’interdiction de la conservation généralisée des données, énoncée dans l’arrêt Tele2, est contraire au principe de souveraineté, défini au titre premier de la Constitution – principe inhérent, s’il en est, à l’identité constitutionnelle de la France.

Comme nous l’avons souligné en première partie de ce rapport, la loi du 24 juillet 2015 a constitué un apport majeur en matière de droit du renseignement, établissant un subtil équilibre entre protection des libertés et garanties de la sécurité. Le Conseil constitutionnel s’est prononcé sur le texte et en a validé l’essentiel. Le Conseil d’État et la Cour européenne des droits de l’homme sont également régulièrement amenés à se prononcer au contentieux. La CJUE n’a, aux yeux des membres de la mission, aucune place dans ce système. Si, lorsqu’elle aura à se prononcer prochainement sur les renvois préjudiciels pendants dans l’affaire Tele2 Sverige AB, la Cour de justice de Luxembourg devait persister dans sa position de blocage, on n’aurait sans doute d’autre solution que de considérer que la primauté du droit européen cesse quand on se trouve au cœur du cœur de la souveraineté nationale et de notre droit constitutionnel.

La mission a conscience du caractère encore très incertain des pistes qu’elle suggère pour sortir d’un contentieux extrêmement préoccupant mais encore évolutif. En tout état de cause, elle tient à alerter la représentation nationale sur cette difficulté majeure que notre pays doit surmonter.

troisième partie : les propositions de la mission d’information : améliorer l’efficacité opérationnelle des services et renforcer la protection des libertés individuelles dans le respect des grands équilibres de la loi du 24 juillet 2015

Il importe de conserver l’économie générale de la loi relative au renseignement, qui est robuste et qui permet de répondre à des évolutions à cadre légal constant.

Pour reprendre une expression entendue lors d’une audition, « certains ajustements techniques pourraient faciliter le travail des agents mais il ne faut pas de big bang ».

I. La mission préconise de ne pas retenir certaines propositions qui lui semblent de nature à porter atteinte à l’équilibre du régime actuel

A. Le contrôle des échanges internationaux : une réforme inopportune

Formulée par la CNCTR, la proposition d’instaurer un contrôle sur les échanges de renseignements – dans le sens entrant comme dans le sens sortant – entre services français et étrangers semble inopportune à la mission d’information. En effet, elle soulève plusieurs difficultés d’application concrète, au premier rang desquelles figure la nécessité d’appliquer la règle du tiers service. D’autre part, les comparaisons européennes font apparaître de telles divergences entre les régimes juridiques nationaux qu’elles ne permettent pas de plaider en faveur d’une telle évolution.

1. Une mesure proposée par la CNCTR

Dans son rapport public annuel de 2018, la CNCTR estime qu’« eu égard aux conséquences potentielles sur la vie privée des Français et, de manière générale, de toute personne résidant en France ainsi qu’aux évolutions du contexte juridique, en particulier international, une réflexion doit être menée sur l’encadrement légal des échanges de données entre les services de renseignement français et leurs partenaires étrangers. »

● Une question n’ayant pas été discutée lors du débat préalable à l’adoption de la loi de 2015

La CNCTR voit dans le non-traitement de cette question une véritable lacune de la loi, rappelant que « lors de la discussion parlementaire sur le projet de loi relatif au renseignement en 2015, le sujet des échanges de données entre les services de renseignement français et leurs partenaires étrangers n’a presque pas été abordé. La rédaction de l’article L. 833-2 du code de la sécurité intérieure résulte d’un amendement adopté en première lecture du projet de loi par l’Assemblée nationale, lors de l’examen du texte en commission des lois. Conçu comme un élargissement des pouvoirs de la CNCTR, à laquelle était désormais attribuée une faculté de demander au Premier ministre communication de tous éléments nécessaires à ses missions, l’amendement n’a fait l’objet d’aucun débat sur l’exclusion des " flux entrants " de son champ d’application. L’éventualité d’un encadrement spécifique des échanges internationaux de renseignements n’a pas non plus été réellement examinée. »

● Des échanges dont la CNCTR ne remet en cause ni la légitimité ni le caractère sensible

La CNCTR ne remet évidemment pas en cause la légitimité de ces échanges puisqu’elle rappelle que « la prévention des menaces communes, notamment terroristes, auxquelles sont confrontés la France et ses alliés justifie l’existence d’une intense coopération entre services de renseignement de ces différents pays ».

La commission nationale de contrôle reconnaît aussi la sensibilité du sujet : « Par nature très sensible et participant de la souveraineté de l’État dans la conduite de sa politique étrangère, la coopération internationale entre services de renseignement a vocation, comme le reste des activités de ces services, à demeurer couverte par le secret. Une gestion imprudente des données échangées pourrait entraîner notamment de graves complications diplomatiques ou une perte de crédibilité des services français nuisant à leur action. Une coutume, dite du " tiers service ", est à cet égard souvent invoquée pour justifier qu’un service de renseignement recevant des données d’un partenaire étranger s’interdise, sauf autorisation de ce partenaire, de communiquer les données à un troisième organe. »

● La CNCTR se demande si les échanges internationaux ne sont pas susceptibles de porter atteinte à la vie privée des Français

S’appuyant sur la définition légale de son champ de compétence, la CNCTR se demande dans son rapport public de 2018 si les flux – aussi bien sortants qu’entrants – de renseignements ne seraient pas « susceptibles de comprendre des données dont le recueil, l’exploitation et la conservation entrent dans le champ d’application (…) du cadre légal institué en 2015 ».

S’agissant des flux sortants de renseignements, la CNCTR souligne dans son rapport qu’ils pourraient contenir des données recueillies à l’aide des techniques visées par la loi de 2015 ou bien des transcriptions et des extractions réalisées à partir de ces données et elles-mêmes soumises à la loi. La CNCTR estime que « la transmission éventuelle de tels éléments à des services de renseignement étrangers a pour conséquence implicite de les soustraire à l’application des dispositions légales françaises ». La CNCTR songe notamment aux règles de conservation des données et de destruction de ces dernières.

Pour la CNCTR, la question est encore plus délicate pour le renseignement entrant, qu’il soit constitué de données brutes ou de données transformées. Il convient, selon elle, d’éviter la tentation que pourrait avoir un service de renseignement français de demander à un service étranger l’obtention d’un renseignement qu’il n’aurait pu se procurer lui-même Il ne peut être non plus exclu, selon la CNCTR, que les renseignements entrants contiennent des données dont le recueil, l’exploitation et la conservation auraient été soumis au livre VIII du code de la sécurité intérieure si les services de renseignement français les avaient collectées par eux-mêmes. « De telles données pourraient ainsi, selon la CNCTR, être privées des garanties légales dont elles auraient bénéficié si elles avaient été recueillies au moyen d’une technique de renseignement prévue par la loi. »

Or, non seulement la loi n’a pas prévu l’intervention de l’autorité de contrôle s’agissant de ces échanges de renseignements mais elle a même explicitement exclu cette intervention s’agissant des flux entrants : l’article L. 833-2 du code de la sécurité intérieure prévoit en effet que la CNCTR peut solliciter du Premier ministre tous les éléments nécessaires à l’accomplissement de ses missions à l’exclusion des éléments communiqués par des services étrangers ou par des organismes internationaux.

La CNCTR concède que les échanges de renseignements entre services français et étrangers sont vraisemblablement formalisés par des conventions liant les services de renseignement français à leurs partenaires étrangers mais déplore qu’« aucune disposition légale n’ait fixé de cadre pour la conclusion et l’application de tels accords ».

● La CNCTR met en avant la jurisprudence de la CEDH et le droit de certains États européens

Estimant qu’il n’existe pas, en l’état actuel du droit, de dispositif permettant de pallier ces difficultés, la CNCTR cite a contrario l’exemple d’États voisins en s’appuyant sur un rapport de l’Agence des droits fondamentaux de l’Union européenne ([265]), tout en reconnaissant qu’une « étude comparative plus approfondie » serait nécessaire. Elle indique notamment qu’en Allemagne, plusieurs dispositions encadrent les échanges internationaux, en particulier les flux sortants, selon le type de données concernées. Elle note en outre que dans certains États – la Belgique, le Danemark, les Pays-Bas, la Norvège et la Suisse –, l’existence de législations encadrant les échanges internationaux a permis à des organes de contrôle indépendants de mener, à ce sujet, une première expérience de coopération.

Toujours au niveau international, la CNCTR rappelle aussi que la Cour européenne des droits de l’homme s’est prononcée, comme nous l’avons vu en deuxième partie du présent rapport, sur le partage international de données entre services de renseignement dans sa jurisprudence Big Brother Watch ([266]).

Enfin, la commission de contrôle indique dans son rapport avoir été saisie de la question par des organisations de défense des libertés publiques, notamment en 2017.

● La CNCTR formule une proposition d’ordre général, renvoyant à l’exécutif le soin de définir les modalités de cette dernière

Lors de son audition par la mission d’information, M. Francis Delon a indiqué que dans son rapport, la commission qu’il présidait ne formulait pas de proposition, se contentant d’appeler l’attention du Gouvernement, afin d’« éviter des voies irréalistes et impraticables ».

2. La mise en application d’une telle proposition soulèverait des difficultés majeures, en particulier au regard de la règle du tiers service

Outre le fait qu’une telle proposition laisse planer des soupçons infondés sur les services de renseignement, sa mise en application concrète soulèverait plusieurs difficultés :

– d’une part, elle remettrait en cause la règle du tiers service, principe fondamental en matière de coopération internationale entre services de renseignement ;

– d’autre part, elle entraînerait un glissement du contrôle des techniques de renseignement vers le contrôle de la production des services de renseignement.

● Une proposition qui laisse planer des soupçons infondés sur les services de renseignement

Tout d’abord, si tel n’est pas le cas de la CNCTR, ce type de proposition émane d’ordinaire de personnes soupçonnant les services de renseignement de détourner la loi française en faisant faire par les services étrangers ce que la loi française leur interdit. Au terme de ses travaux, la mission d’information ne peut que s’inscrire en faux contre pareil soupçon : elle estime que c’est faire un faux procès aux services de renseignement que de penser que lorsqu’ils n’obtiennent pas d’autorisation de recourir à une technique de renseignement applicable à un citoyen français, ils font appel aux services américains. De fait, la mission même des services de renseignement français est de défendre l’autonomie stratégique de la France et donc de prémunir les Français contre les tentatives d’espionnages d’États étrangers. C’est donc aussi une question de fierté pour les services : un service français n’ira pas demander à un service étranger de faire le travail à sa place.

La CNCTR l’a souligné elle-même lors de la cérémonie des vœux organisée par le GIC en janvier dernier : certes, des erreurs ont pu être commises par les services mais il s’agissait soit d’erreurs techniques, soit d’erreurs liées à une mauvaise compréhension. En aucun cas n’ont été relevés des cas de violations délibérées du cadre légal français. Interrogé sur le sujet par le président de la mission d’information, M. Francis Delon a admis qu’il « n’avait pas d’éléments » lui permettant de penser que des services français seraient susceptibles d’utiliser la coopération avec des services étrangers pour contourner la loi française ou pour blanchir des informations recueillies de manière illégale. M. Francis Delon a indiqué qu’il « ne portait aucune accusation à cet égard ».

● Une proposition qui soulèverait des difficultés majeures d’application au regard de la règle du tiers service

Raison centrale pour laquelle la mission s’oppose à cette proposition, la mise en application de cette dernière se heurte à la règle du tiers service.

Principe cardinal de la coopération internationale entre services de renseignement, la règle du tiers service « interdit la transmission à une tierce partie, sans autorisation de l’émetteur, d’un renseignement reçu d’un partenaire » ([267]). Si les services étrangers partenaires, qui font confiance aux services français, apprenaient que l’utilisation des informations qu’ils leur transmettent doit être soumise au contrôle de la CNCTR, ils préféreraient sans nul doute assécher ce canal d’information ([268]).

Lors de leurs auditions, M. Bernard Émié, directeur général de la sécurité extérieure, et le général Éric Bucquet, directeur de la DRSD, ont beaucoup insisté sur la nécessité impérieuse, pour les services de renseignement, d’assurer la protection de leurs sources – et donc le plein respect de la règle du tiers service – qui conditionne l’efficacité des directions du renseignement : la coopération internationale, qui vise essentiellement à lutter contre le terrorisme, est fondée sur une confiance « longue à gagner et rapide à perdre », a indiqué le directeur général de la DGSE. Les deux directeurs l’ont souligné, les services partenaires sont des sources et ces sources ont un degré de confidentialité supérieur à celui même des informations échangées. L’un des rôles des services de renseignement est d’entretenir un maximum de contacts avec ce type de sources, ce qui suppose de garantir la confidentialité totale de ces relations et contacts. Lorsqu’un service partenaire dialogue avec un service français, il va parfois jusqu’à dévoiler une partie de ses capacités, de ses modes opératoires et de ses accès techniques et il le fait parce qu’il a la certitude que le service français protégera cette source étrangère, mieux qu’il ne le fait lui-même. M. Bernard Émié a donc martelé que la règle du tiers service n’était pas un prétexte pour pouvoir contourner la loi mais bien un impératif opérationnel, s’appliquant essentiellement aux relations bilatérales. Il a conclu en rappelant que les renseignements reçus par la France de ses partenaires anglo-saxons avaient permis à plusieurs reprises de sauver des vies et qu’il serait donc suicidaire de tarir une telle source d’informations.

La mission d’information note que la CNCTR se garde bien de formuler des préconisations spécifiques pour étayer sa proposition, tant la difficulté d’application pratique est majeure. Elle tient aussi à rappeler que la règle du tiers service s’applique non seulement à la CNCTR ([269]) mais également à la délégation parlementaire au renseignement ([270]). En effet, la loi n° 2007-1443 du 9 octobre 2007 portant création d’une délégation parlementaire au renseignement a explicitement interdit la transmission à la délégation de tout élément relatif aux échanges avec des services étrangers ou des organismes internationaux compétents dans le domaine du renseignement, afin de garantir la protection de la règle du « tiers de confiance ». C’est le même raisonnement qui a conduit le législateur en 2015 à explicitement exclure ces échanges du champ de compétence de la CNCTR.

● Une préconisation qui entraînerait un glissement du contrôle des techniques de renseignement vers le contrôle de la production des services de renseignement

Enfin, la proposition de la CNCTR pose un problème en raison de la nature même du contrôle qui serait exercé : on passerait du contrôle des techniques de renseignement à un contrôle de la production des services, ce qui est très différent. Les membres de la mission d’information s’opposent formellement à ce type de glissement du rôle de la CNCTR.

3. Les comparaisons internationales sont peu pertinentes

Indépendamment de ce problème majeur d’application pratique, la mission d’information s’interroge quant à la pertinence de comparer – comme le fait la CNCTR pour motiver sa proposition – les différents régimes applicables aux services de renseignement des États membres l’Union européenne, pour deux raisons. La première, c’est que la France est une puissance diplomatique et militaire. La seconde, c’est que les dispositions nationales en matière de renseignement sont extrêmement diverses au plan européen au point qu’il n’y a pas deux systèmes comparables.

● Des régimes juridiques très hétérogènes sur le continent européen

Ainsi que le souligne le magistrat belge Guy Rapaille ([271]), on trouve dans une quinzaine de pays européens ([272]), à des degrés variables trois éléments :

– une loi sur les services de renseignement ;

– un contrôle parlementaire des services ;

– et une autorité administrative ou judiciaire de contrôle.

Mais en dehors de ce triptyque commun, le juriste souligne l’hétérogénéité des situations : « Ce constat étant posé, l’analyse fine s’avère délicate et complexe en raison de l’extrême variabilité dans chacun des éléments du triptyque. Les compétences et l’organisation des services varient d’un pays à l’autre, l’apparition des nouvelles technologies et donc des nouvelles menaces augmentant encore la complexité. Les commissions parlementaires diffèrent dans leur composition et leurs missions légales : contrôle de la politique publique du renseignement ou contrôle des activités des services. Le contrôle non parlementaire mis en place dans chaque pays présente aussi de très grandes variantes. Si la plupart des pays disposent d’une autorité administrative de contrôle indépendante, certains pays confient le contrôle à des autorités judiciaires (Italie, Espagne, Luxembourg) dont la mission est limitée au contrôle des techniques de renseignement. Dans certains pays, le contrôle exercé par cette autorité est large et couvre les activités des services (Belgique, Pays-Bas, Royaume-Uni). Dans d’autres, le contrôle se concentre sur les techniques de renseignement. Certaines autorités cumulent le contrôle des activités et celui des techniques. »

L’Agence des droits fondamentaux de l’Union européenne a également établi une étude comparative du droit applicable aux services de renseignement des vingt-huit États membres ([273]). Dans le résumé en français de son étude ([274]), l’Agence des droits fondamentaux indique : « La surveillance ciblée est réglementée de manière assez précise dans la majeure partie des vingt-huit États membres de l’Union européenne. En revanche, seuls cinq États membres disposent actuellement d’une législation détaillée sur la surveillance générale des communications. Les mesures de sauvegarde limitent les possibilités d’abus et ont été renforcées dans certains États membres (moins en matière de surveillance internationale). » L’Agence note que différentes entités supervisent le travail des services de renseignement dans les vingt-huit États membres de l’Union européenne : le juge, des organes d’experts, des commissions parlementaires et les autorités chargées de la protection des données. Si l’ensemble des États membres de l’Union européenne dispose d’au moins un organe de contrôle indépendant, certains de ces organes n’ont pas de pouvoir de décision.

● Une hétérogénéité des systèmes qui se retrouve en matière de coopération internationale entre services de renseignement

Dans le résumé de son étude en français ([275]), l’Agence reconnaît que « les mesures de sauvegarde sont généralement plus faibles (et moins transparentes) dans le contexte de la coopération internationale en matière de renseignement. »

Dans son étude in extenso ([276]) , elle rappelle tout d’abord qu’à l’exclusion de la Slovénie, les services de renseignement de tous les États membres doivent recueillir l’assentiment de l’exécutif avant de conclure un accord de coopération avec des services étrangers. Elle souligne ([277]) ensuite que si le contrôle des échanges internationaux de renseignement existe dans certains États membres, il demeure limité. L’agence indique ainsi que les lois de la majorité des États membres – dix-sept sur vingt-huit – ne contiennent pas de disposition claire indiquant si, et dans quelle mesure, les organes de contrôle des services de renseignement sont compétents en matière de coopération internationale.

L’Agence des droits fondamentaux de l’Union européenne indique que l’absence de toute mention spécifique du contrôle de la coopération internationale dans une loi peut être interprétée différemment d’un État membre à l’autre. Dans certains cas, cette absence pourrait être interprétée comme une autorisation implicite pour les organes de surveillance d’exercer un contrôle similaire sur la coopération internationale par rapport aux efforts de renseignement nationaux. D’autres peuvent coupler cette absence avec la règle du tiers service et l’interpréter comme une interdiction tacite de contrôler le partage international de renseignements.

Dans le résumé de son étude en français, l’Agence européenne conclut : « L’analyse juridique comparative de la FRA ([278]) montre que presque tous les États membres disposent de lois concernant la coopération internationale en matière de renseignement. Cependant, seul un tiers de ces États exige que les services de renseignement se dotent d’un règlement intérieur concernant les procédures et les modalités de la coopération internationale et les mesures de garantie en matière de partage des données. Lorsqu’elles existent, ces règles sont généralement secrètes. Seuls quelques États membres autorisent l’évaluation externe des accords internationaux de coopération en matière de renseignement. »

Il se dégage de ce bref panorama des systèmes de contrôle des services de renseignement européens la confirmation d’une très grande diversité et d’une très grande hétérogénéité de systèmes dont la logique varie, comme dans bien d’autres domaines du droit, selon les traditions nationales. La mission d’information a finalement l’impression que les exemples de pays cités par la CNCTR ne sont pas pertinents, tant le contrôle appliqué par les États concernés est sans rapport avec le type de contrôle envisagé par notre commission nationale de contrôle. Qui plus est, très peu d’États ont prévu un contrôle.

Encore une fois, comme nous l’avons expliqué en première partie de ce rapport, les services de renseignement français sont parmi les mieux encadrés et les mieux contrôlés au monde. La mission d’information considère donc la proposition de la CNCTR comme tout à fait inopportune.

4. La mission propose d’écarter cette proposition

La mission d’information considère que les relations entre services de renseignement français et étrangers se situent au cœur de la souveraineté des États, domaine réservé dans lequel une autorité indépendante n’a pas à intervenir puisqu’elle contrôle des techniques et non des services – d’autant qu’il existe déjà, au sein de ces services, des voies de contrôle interne. Il est une tendance naturelle des autorités administratives indépendantes que de vouloir étendre leur champ de compétence.

Mais la mission d’information, si elle salue l’excellente qualité du travail accompli par la CNCTR depuis sa création, n’est pas favorable à ce qui serait un glissement des missions de cette autorité indépendante d’un contrôle des techniques de renseignement vers un contrôle des services de renseignement. Préservons le climat de dialogue et de confiance qui s’est établi entre les différents acteurs depuis près de cinq ans.

B. le contrôle a priori par le GIC des demandes d’identification d’abonnés

1. Une proposition de la CNCTR tenant au caractère peu intrusif de la technique d’annuaire inversé

L’article L. 851-1 du code de la sécurité intérieure permet aux services de renseignement, sur autorisation du Premier ministre accordée après avis de la CNCTR, d’accéder, en temps différé, aux données, conservées par des opérateurs de communications électroniques ou des fournisseurs de services au public en ligne, relatives à l’identification des numéros d’abonnement ou de connexion à des services de communications électroniques ainsi que celles relatives au recensement de l’ensemble des numéros d’abonnement ou de connexion d’une personne désignée. Comme le précise la CNCTR dans son rapport public de 2018, les informations recherchées peuvent être soit l’identité d’un abonné ou d’une personne connectée à une ligne téléphonique, un accès à internet ou un service au public en ligne, soit les numéros d’abonnement ou de connexion d’une personne désignée à des services de communications électroniques. Par exemple, un service de renseignement disposant d’un numéro de téléphone peut demander à connaître l’identité du titulaire de la ligne. À l’inverse, s’il connaît l’identité d’une personne, il peut demander à connaître ses numéros de téléphone. Dans ces situations, la technique de renseignement prévue à l’article L. 851-1 du code de la sécurité intérieure remplit principalement une fonction d’annuaire.

Dans son dernier rapport public, la CNCTR fait état, statistiques à l’appui, de ses interrogations quant à la pertinence du niveau de contrôle qu’elle exerce sur ces demandes : « Depuis l’entrée en vigueur de l’article L. 851-1 du code de la sécurité intérieure le 1er février 2016, les demandes fondées sur ces dispositions ont représenté environ deux tiers des quelque 70 000 demandes de techniques de renseignement présentées chaque année. En 2018, sur les plus de 46 000 demandes qui portaient sur des accès à des données de connexion en temps différé, environ les deux tiers concernaient des identifications d’abonnés ou des recensements de numéros d’abonnement, soit autour de 30 000 demandes par an en moyenne ».

La CNCTR considère le recueil d’identifications d’abonnés ou de numéros d’abonnement non tant comme une mesure de surveillance en soi que comme une mesure préparatoire à des mesures de surveillance à proprement parler : « Un service de renseignement peut ainsi obtenir le numéro de téléphone d’une personne suspecte dans le but de solliciter ensuite une autorisation d’accès à une " facture détaillée " afférente à ce numéro ; il peut également chercher à préparer une demande d’interception des communications émises ou reçues par ce numéro. Les identifications d’abonnés ou les recensements de numéros d’abonnement peuvent aussi compléter des mesures de surveillance déjà autorisées, par exemple pour identifier les correspondants d’une personne, dont une " facture détaillée " fait apparaître les numéros. Dans tous les cas, pour la CNCTR, ce sont les techniques que les opérations d’identification préparent ou complètent qui portent atteinte à la vie privée, non ces opérations elles-mêmes ».

La Commission rappelle aussi que les demandes d’identification d’abonnés ou de recensement de numéros d’abonnement sont déjà soumises à un régime dérogatoire, étant directement présentées à la CNCTR puis au Premier ministre par les agents des services de renseignement dont elles émanent. Compte tenu du caractère faiblement intrusif de ces demandes, la CNCTR « exerce un contrôle de légalité réduit » qui s’apparente à un « contrôle de l’erreur manifeste d’appréciation ».

C’est pourquoi, estimant que son contrôle a priori sur ces demandes est « de faible valeur ajoutée », la CNCTR propose de confier ce contrôle a priori au GIC et de ne conserver cette compétence a priori que lorsque la demande porte sur une personne exerçant une profession ou un mandat bénéficiant d’une protection particulière en vertu de la loi – parlementaires, magistrats, avocats et journalistes. Elle conserverait en tout état de cause sa compétence a posteriori.

2. Une mesure inopportune

Il est vrai que les demandes d’annuaire ou d’annuaire inversé sont très peu intrusives, même si elles manifestent l’intérêt des services à l’égard d’une personne ou de ses correspondants. Cependant, confier au GIC un avis sur la légalité de la demande d’une technique de renseignement conduirait à placer entre les mains d’une même instance le contrôle de légalité et la mise en œuvre, ce qui ne serait pas satisfaisant.

C’est pourquoi la mission d’information propose le maintien du droit en vigueur à l’article L. 851-1 du code de la sécurité intérieure.

II. La mission propose deux évolutions permettant de renforcer le contrôle

A. Sécuriser les conditions de contrôle juridictionnel du Conseil d’État par la consécration d’un droit de visite

Comme l’a souligné Edmond Honorat, la formation spécialisée du Conseil d’État est tributaire, dans ses délais de traitement, de ceux de l’administration. Elle ne peut, en effet, statuer sans avoir accès aux informations dont seule l’administration dispose.

La formation spécialisée a déjà pratiqué les visites en matière de contentieux sur les fichiers ([279]). Si cela n’a pas posé de difficulté à ce stade, le prévoir explicitement dans le code de justice administrative permettrait de parer à toute contestation à ce sujet.

Il paraît ainsi opportun de prévoir explicitement un droit de visite sur place, comme en fait la CNIL sur le fondement de l’article 19 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.

B. Acter le renforcement de la centralisation : une garantie supplémentaire en matière de contrôle

La centralisation est un enjeu crucial pour assurer un contrôle efficace de la mise en œuvre des techniques de renseignement par les services spécialisés.

Depuis 2015, le nombre de lieux dans lesquels les données de renseignement peuvent être stockées a été drastiquement réduit. Trois points de centralisation des données ont été retenus : un à la DGSE pour les techniques qu’elle met en œuvre, un à la DGSI pour les techniques qu’elle met en œuvre, et un au GIC pour les autres services des premier et second cercles ainsi que pour les techniques dont la loi exige qu’elles soient centralisées au GIC, comme les interceptions de sécurité.

Pour les balises de géolocalisation, la centralisation a été assez aisée car les balises sont des objets communicants qui envoient des données vers un serveur. Le GIC a donc installé les serveurs des principaux fournisseurs en son sein et a offert aux agents des services de renseignement la possibilité de s’y connecter de manière simple via une application.

Dans une zone peu couverte par des opérateurs ou quand un service de renseignement a besoin de bénéficier d’une grande discrétion, il est nécessaire d’utiliser un capteur qui ne communique pas les données qu’il recueille mais qui les stocke. Dans ce mode de mise en œuvre, le service qui procède au recueil doit relever les données sur site et les envoyer vers les serveurs centralisés du GIC où elles seront exploitées. Le contrôle du « dernier mètre », entre le moment où le service relève les données du capteur et celui où il les envoie au serveur, ne peut pas être d’ordre technique et doit reposer sur des déclarations qui engagent la responsabilité du service. Dans ce mode opératoire, le service peut être amené à n’envoyer sur les serveurs que certains enregistrements et à effacer les autres. Comme cela a été indiqué à la mission, « le fait que les services d’assistance technique, chargés du recueil localement, effacent le plus tôt possible les enregistrements illisibles ou qui à l’évidence ne présenteront aucun intérêt pour l’exploitant, est protecteur de la vie privée ».

Le GIC n’a pas à ce stade mis en place la centralisation des techniques de recueil et de captation des données informatiques car elles sont très peu utilisées par les services en dehors de la DGSI et de la DGSE qui sont habilitées à centraliser elles-mêmes ces techniques.

Après avoir défini, en 2017, les modalités de la centralisation des paroles et des images captées sur le fondement des dispositions de l’article L. 853-1 du code de la sécurité intérieure et expérimenté le dispositif au cours de l’année 2018 en matière de captation de paroles puis d’images, dans trois services « pilotes », le GIC a généralisé celui-ci à tous les services de renseignement concernés ([280]) au cours de l’année 2019.

La majorité des techniques de renseignement sont ainsi couvertes par le dispositif de centralisation des renseignements collectés dans le système d’information du GIC, à l’exception des techniques de recueil de données de connexion par IMSI catcher (article L. 851-6 du code de la sécurité intérieure) et de celles de recueil et de captation de données informatiques (article L. 853-2 du même code), toutes deux caractérisées par une collecte décentralisée et des modalités diverses de stockage des données recueillies.

La mission prend acte de ces évolutions du périmètre de la centralisation, qui sont conformes à l’esprit de la loi de 2015. Il paraîtrait dès lors opportun d’inscrire dans le code de la sécurité intérieure la pratique existante.

III. La mission estime qu’une clarification du régime de partage d’informations entre les diffÉrents services et administrations est dÉsormais nÉcessaire

A. Les incertitudes du droit en vigueur

1. Les dispositions de l’article L. 863-2 du code de la sécurité intérieure

Le premier alinéa de l’article L. 863-2 du code de la sécurité intérieure prévoit que les services de renseignement des premier et second cercles peuvent partager toutes les informations utiles à l’accomplissement de leurs missions.

Le deuxième alinéa de cet article dispose que les autorités administratives que sont les administrations de l’État, les collectivités territoriales, les établissements publics à caractère administratif, les organismes gérant des régimes de protection sociale et les autres organismes chargés de la gestion d’un service public administratif peuvent transmettre aux services de renseignement du premier et du second cercles, de leur propre initiative ou sur requête de ces services, des informations utiles à l’accomplissement de leurs missions.

2. Un décret d’application qui n’a jamais été publié

L’article L. 863-2 du CSI prévoit que ses modalités d’application sont définies par décret en Conseil d’État. Ce décret est le seul acte réglementaire d’application de la loi du 24 juillet 2015 à ne pas avoir été publié.

3. Une disposition ayant donné lieu à un recours pendant devant le Conseil d’État

Une association a saisi le Conseil d’État en juin 2019 d’un recours ([281]) pour excès de pouvoir contre ce qu’elle considère être un acte administratif pris sur le fondement de l’article L. 863-2 du code de la sécurité intérieure. Selon les informations fournies à la mission d’information par le président de la formation spécialisée du Conseil d’État, l’affaire est en cours d’instruction.

B. La nécessité d’un encadrement plus strict mais qui n’interdise pas des coopérations nécessaires à la sécurité nationale

La mission d’information considère qu’il est souhaitable de remédier aux imprécisions juridiques de l’article L. 863-2 du CSI et de mieux préciser les contours du partage de renseignements entre services. En l’état actuel, ainsi que le souligne la CNIL, « l’absence de décret pris pour l’application des dispositions prévues au premier alinéa du même article L. 863-2 du CSI fait peser un risque juridique sur les échanges entre services et la conservation éventuelle de ces informations. En particulier, toute conservation systématique dans un traitement de données de telles informations devrait faire l’objet d’un décret en Conseil d’État pris après avis de la CNIL ».

En outre, comme nous l’avons rappelé en première partie, certains services de renseignement ne sont habilités à recourir aux techniques de renseignement que sur le fondement de certaines finalités. Il convient que cet encadrement de l’action des services en fonction des finalités poursuivies soit pris en compte dans le cadre du partage de renseignements entre services. Il conviendrait donc notamment de préciser qu’un service qui n’est pas compétent pour une finalité n’a pas à recevoir de renseignement brut ni de transcription obtenue à l’aide d’une technique de renseignement, sur le fondement de ladite finalité. Il importe de ne pas altérer le principe de responsabilité du service ayant recueilli une donnée, sans pour autant interdire des coopérations qui sont nécessaires à la sécurité nationale.

IV. la mission propose de retenir quatre ajustements techniques, consensuels et opérationnels

A. Une durée maximale de conservation unique pour les données collectées par les dispositifs de captation de paroles et ceux de captation d’images

Comme les membres de la mission d’information l’ont montré dans la première partie du rapport, le régime actuel de conservation des données s’agissant du son et de l’image est pour le moins paradoxal. Pour rappel, les durées actuelles sont de :

– 30 jours à compter de leur recueil, pour les paroles prononcées à titre privé ;

– 120 jours à compter de leur recueil, pour les images captées dans un lieu privé.

La durée de 30 jours a été retenue pour les paroles car c’est celle qui s’applique pour les interceptions de sécurité. Mais elle est profondément inopérante s’agissant de vidéos qui contiennent à la fois du son et de l’image. Les services en sont rendus, au bout de 30 jours, à supprimer l’audio et à garder des vidéos muettes. Les paroles ne sont ni plus ni moins sensibles que les images au regard des libertés fondamentales.

La CNTR, dans son rapport d’activité 2018, a d’ailleurs considéré que le caractère éventuellement plus intrusif d’une technique par rapport à l’autre ne justifie pas une distinction entre les durées maximales de conservation des données recueillies ([282]).

En outre, la durée de 120 jours a également été choisie pour le recueil et la captation de données informatiques qui sont au moins aussi intrusives pour la vie privée.

La situation actuelle a été déplorée par l’ensemble des services de renseignement que les membres de la mission d’information ont auditionné. Il existe un réel consensus sur la nécessité d’harmoniser ces durées de conservation.

Les membres de la mission d’information estiment donc qu’il faudrait prévoir une durée maximale de conservation unique pour les données collectées par les dispositions de captation de parole et ceux de captation d’images prévus à l’article L. 853–1 du CSI.

S’agissant de la durée à retenir, les membres de la mission d’information estiment que celle de 120 jours est plus logique. Elle présenterait l’avantage d’harmoniser les durées de conservation s’agissant des techniques de recueil de renseignement du chapitre III – sonorisation, fixation d’image, recueil et captation de données informatiques.

B. Une simplification de la procédure permettant de retirer un dispositif technique dans un domicile

Le président de la CNCTR, lors de son audition par les membres de la mission d’information, a formulé une proposition de bon sens s’agissant de la procédure relative à l’introduction dans un lieu privé afin de procéder au retrait d’un dispositif technique.

Aux termes de l’article L. 853–3 du CSI, l’introduction d’agents de services de renseignement dans un lieu privé pour y mettre en place, utiliser ou retirer certains dispositifs de surveillance (balisage, captation de paroles et d’images, recueil et captation de données informatiques) doit être autorisée par le Premier ministre, après avis de la CNCTR. Cet avis doit être rendu en formation collégiale, restreinte ou plénière, lorsque le lieu concerné est à usage d’habitation.

S’il paraît justifié que les demandes d’introduction dans un lieu d’habitation pour y mettre en place et utiliser des dispositifs de surveillance fassent l’objet d’un examen en formation collégiale, la situation est bien différente s’agissant du seul retrait de ces dispositifs.

En effet, l’atteinte à la vie privée de la personne concernée a lieu au moment de l’installation d’un dispositif. En revanche, lorsque le service souhaite reprendre son matériel, la commission, comme l’a souligné M. Francis Delon, ne peut, dans les faits, qu’émettre un avis favorable puisque le retrait du dispositif de surveillance bénéficie à la protection de la vie privée de la personne intéressée.

Il ne paraît pas opportun de supprimer toute autorisation du Premier ministre ou tout avis de la CNCTR, dans la mesure où les services pénètrent bien dans le domicile, fût-ce uniquement pour y retirer un dispositif.

Il s’agirait plutôt de prévoir qu’une introduction dans un lieu d’habitation à la seule fin de retirer un dispositif ayant servi à recueillir des renseignements puisse être autorisée par le Premier ministre au vu d’un avis rendu par un membre seul de la CNCTR et non plus uniquement par une formation collégiale de la Commission ([283]).

Cette proposition possède un réel caractère opérationnel puisqu’elle permet en outre de resserrer les délais d’examen. Si un membre de la CNCTR ayant la qualité de magistrat ou de membre du Conseil d’État pouvait émettre seul l’avis de la commission, selon le droit commun du traitement des demandes, il disposerait de 24 heures pour se prononcer, tandis que le collège de la commission statue dans un délai de 72 heures.

En outre, il aurait un intérêt certain pour la CNCTR, puisque les formations collégiales pourraient concentrer leurs réunions sur les demandes nécessitant une réelle délibération pour apprécier la proportionnalité de l’atteinte portée à la vie privée.

Cette proposition a recueilli l’assentiment des services de renseignement entendus par les membres de la mission d’information.

C. L’allongement de la durée d’autorisation de la surveillance internationale

Dans le cadre de la surveillance des communications électroniques internationales, le III de l’article L. 854–2 du CSI prévoit que le Premier ministre, après avis de la CNCTR peut autoriser les exploitations des données de connexion et des communications de certaines zones géographiques, d’organisations, de groupes de personnes ou de personnes.

Ces autorisations sont délivrées pour une durée maximale de quatre mois et sont renouvelables.

Comme l’ont fait remarquer les services de renseignement concernés, certaines de ces autorisations sont renouvelées maintenant depuis plusieurs années sans discontinuer. Certaines sont géographiques ou thématiques et dès que l’agent a terminé la demande d’autorisation, il doit faire commencer à préparer la demande suivante. Cela ne parait pas le meilleur usage des agents en charge de ces sujets.

Il ne s’agit pas de supprimer cette autorisation mais de rendre son renouvellement moins fréquent.

Plusieurs solutions étaient dès lors envisageables :

– augmenter la durée de l’autorisation à un an ;

– augmenter la durée du renouvellement. La première autorisation serait valable pour quatre mois et ensuite le renouvellement pour 6 mois ou un an. Ce dispositif existe pour l’algorithme. Ce dernier est autorisé pour deux mois, puis renouvelable pour quatre mois.

Les membres de la mission privilégient la solution de l’augmentation de la durée maximale de l’autorisation qui présente l’avantage de la simplicité tout en conservant la procédure normale.

Augmenter la durée de l’autorisation prévue sur le fondement de III de l’article L. 854–2 du code de la sécurité intérieure à un an.

D. Une harmonisation à la marge des durées d’autorisation

L’article L. 853-2 du CSI sur le recueil et la captation de données informatiques prévoit deux durées différentes d’autorisation de mise en œuvre :

– 30 jours pour le recueil (accès au stock) ;

– 2 mois pour la captation (accès au flux).

Dans les faits, cette période de 30 jours peut s’avérer un peu courte car la mise en œuvre de cette technique de recueil de renseignement est complexe.

Il pourrait donc être opportun d’aligner la durée de l’autorisation de recueil de données informatiques sur la durée de deux mois prévue pour les autres techniques de renseignement du chapitre III : sonorisation, fixation d’image, captation de données informatiques.

V. La mission préconise de clarifier les dispositions applicables en matière de droit d’accès aux fichiers et de renforcer l’accessibilité des fichiers aux services de renseignement ainsi que les possibilités d’interconnexion des fichiers

A. Clarifier les dispositions applicables en matière de droit d’accès aux fichiers

Comme souligné au D du I de la deuxième partie du rapport, les règles applicables en matière d’exercice du droit d’accès des administrés aux fichiers de certains services de renseignement sont complexes. Ainsi, on peut s’interroger quant à la pertinence de maintenir sous le régime du droit d’accès direct des fichiers faisant systématiquement l’objet, de la part de leur responsable – et à juste titre –, de restrictions voire d’un refus total d’accès en cas de demande d’un administré. D’autre part, la création de la formation spécialisée du Conseil d’État constitue une véritable avancée de la loi du 24 juillet 2015 mais le contentieux devant cette formation spécialisée soulève plusieurs difficultés.

C’est pourquoi la mission d’information juge opportun de simplifier les règles en vigueur sur deux points. Il conviendrait :

– de prévoir un accès indirect aux fichiers auxquels une restriction au droit d’accès est systématiquement appliquée, de sorte que les administrés saisissent la CNIL en premier, sans s’adresser d’abord au ministère de tutelle d’un responsable de fichier ;

– de réviser les textes réglementaires applicables aux différents fichiers afin que ces textes précisent systématiquement, pour chaque fichier, de quel titre de la loi de 1978 « Informatique et libertés » le fichier relève, comment s’exerce le droit d’accès des administrés et quelle juridiction est compétente en cas de contentieux.

B. Renforcer l’accessibilité des fichiers aux services de renseignement

La mission d’information l’a évoqué au 6 du D du I de la deuxième partie du rapport, le problème du manque d’accès aux fichiers concerne plusieurs services de renseignement. Or, il importe de renforcer l’efficacité opérationnelle de ces derniers. C’est pourquoi, globalement, les membres de la mission d’information sont ouverts à un élargissement de l’accès des services de renseignement aux fichiers existants, compte tenu à la fois du caractère stratégique de ces fichiers pour ces services et de la persistance, à un haut niveau, des menaces qui pèsent sur la sécurité nationale, à commencer par la menace terroriste.

De manière plus spécifique, la mission d’information propose :

– de permettre à la direction du renseignement et de la sécurité de la défense d’accéder au traitement ACCReD, ce qui favorisera l’accélération de ses enquêtes administratives et facilitera la gestion des dossiers de demandes d’habilitation dont cette direction est chargée ;

– que le fichier national des détenus, qui est une extraction du traitement GENESIS de l’administration pénitentiaire et qui permet aux officiers de police judiciaire de la police et de la gendarmerie d’avoir accès à quelques catégories de données collectées dans ce traitement, soit utilisable par les services de renseignement de la direction générale de la police nationale ;

– de prévoir explicitement que la DGSI peut accéder aux fichiers PASP (article R. 236-16 du code de la sécurité intérieure) et GIPASP (article R. 236-26 du même code).

C. Renforcer les possibilités d’interconnexion des fichiers des services de renseignement

L’interconnexion des fichiers est stratégique pour les services de renseignement. Elle favorise leur collaboration étroite et la mutualisation du fruit de leurs investigations. Comme nous l’avons vu en deuxième partie du rapport, l’interconnexion des fichiers poursuit plusieurs objectifs : l’échange d’informations automatiques entre différents services, la mutualisation de l’alimentation de différents fichiers, la mise à jour automatique des données, la consultation simultanée des fichiers et le recoupement des informations.

La question de l’élargissement des possibilités d’interconnexion étant régulièrement abordée dès lors qu’on traite de renseignement, la mission estime qu’il est grand temps de faire évoluer notre droit afin de répondre aux besoins des services.

Il n’est pas indispensable de modifier la loi pour élargir le champ des interconnexions. Il suffit d’encadrer les interconnexions par voie réglementaire en modifiant les textes régissant les fichiers de renseignement concernés, tout en maintenant le cadre législatif actuel – à condition, toutefois, d’exclure une interconnexion généralisée de tous les fichiers visés.

Dans cette hypothèse, plusieurs conditions doivent être remplies :

– les agents des autres services que ceux qui mettent en œuvre un traitement, qui sont habilités à procéder à une interconnexion de fichiers, doivent être mentionnés par les dispositions réglementaires relatives aux destinataires des traitements concernés ;

– l’interconnexion elle-même doit être prévue par le texte réglementaire qui régit ledit traitement ;

– l’interconnexion et ses modalités de mise en œuvre (finalités, données concernées, mesures de sécurité) doivent être portées à la connaissance de la CNIL lors de la modification de l’arrêté ou du décret en Conseil d’État relatif à chaque traitement concerné par l’interconnexion ;

– le texte réglementaire doit préciser que l’interconnexion doit, pour être effectuée, être justifiée par les besoins spécifiques des services – ce, afin d’éviter un détournement des finalités d’un fichier.

Si l’objectif est de faire du criblage, la création d’interfaces dites « hit/no hit », c’est-à-dire d’interfaces permettant la consultation automatique et simultanée de plusieurs fichiers de renseignement aux seules fins de vérifier si l’identité de la personne concernée y est enregistrée, devra être assortie de plusieurs garanties :

– ces interfaces devront être circonscrites dans leur périmètre, dans le respect des principes de finalité, de nécessité et de proportionnalité ;

– aucune décision juridique ne devra être exclusivement fondée sur de telles interfaces ;

– des mesures de sécurité rigoureuses devront être prévues afin de prévenir le risque d’interceptions ou d’attaques : il s’agira de prévoir des mesures de confidentialité des transmissions, de traçabilité des consultations automatiques et d’habilitation des personnels autorisés à accéder à des données.

Par ailleurs, il serait également possible de modifier la partie législative du livre VIII du code de la sécurité intérieure afin de préciser que « pour les besoins de l’accomplissement de leurs missions, les services de renseignement peuvent interconnecter leurs fichiers ».

Enfin, modifier les textes réglementaires – et, le cas échéant, les textes législatifs – pour favoriser les interconnexions de fichiers permettrait d’apporter une assise juridique forte aux interconnexions plus approfondies que les simples interfaces hit/no hit.

VI. la mission plaide pour la création d’un régime permettant la recherche-développement à partir de données réelles

Comme nous l’avons indiqué en deuxième partie du rapport, les services de renseignement souhaiteraient pouvoir faire de la recherche-développement afin d’entraîner leurs outils d’intelligence artificielle et ainsi traiter plus efficacement la masse de données qu’ils captent. Cet entraînement suppose de prévoir dans la loi une exception aux durées de conservation des données prévues par le droit commun. Ce régime, nécessaire à des strictes fins de recherche, d’analyse et de test, nécessaire à la phase d’apprentissage des outils d’intelligence artificielle, sera à distinguer strictement du régime de droit commun des données qui pourra s’appliquer à la phase opérationnelle d’usage des outils d’IA.

La mission d’information souhaite en outre que ce régime dérogatoire de conservation des données soit assorti de garanties très strictes : il s’agira en particulier d’exclure explicitement tout usage opérationnel des données d’entraînement. Les opérations de recherche, d’analyse et de test ne devront être réalisées qu’après autorisation du ministre de tutelle du service demandeur – soit le ministre de l’intérieur, le ministre des armées ou le ministre de l’économie – par des agents habilités et après déclaration à la CNCTR (comme le prévoit déjà la loi pour les tests de la DGA). Les modalités d’application du dispositif pourraient être précisées par le pouvoir réglementaire, s’agissant notamment des modalités de pseudonymisation des données conservées et du fait que les agents habilités à effectuer ces opérations doivent être un tiers de confiance indépendant des services de renseignement.

VII. la mission juge nécessaire de proroger la technique de l’algorithme

Les membres de la mission d’information savent que cette technique de renseignement a suscité beaucoup de débats en 2015. À la suite de leurs travaux, ils estiment qu’il faut démythifier l’algorithme : ce n’est pas un outil de surveillance de masse, mais de détection de signaux faibles, qui pourra ensuite justifier l’usage d’une technique de renseignement, dans le cadre du droit commun.

Les membres de la mission n’ont pas souhaité qu’une éventuelle prorogation de l’algorithme puisse être décidée par le gouvernement au moyen d’une ordonnance ([284]) : un débat parlementaire est nécessaire pour qu’une disposition législative puisse le prévoir. Le présent rapport se propose de l’éclairer.

A. Prolonger la mise en œuvre de l’algorithme : une nécessité opérationnelle

1. Une mise en œuvre encore limitée, mais qui commence à produire des résultats

Comme on l’a vu dans la première partie du rapport, le premier algorithme a été autorisé le 12 octobre 2017 seulement. Il s’agit donc encore, pour reprendre l’expression utilisée par l’un des directeurs d’un service de renseignement, d’un « jeune enfant ». Cette mise en œuvre tardive a justifié que la loi du 30 octobre 2017 précitée prolonge l’expérimentation de ce dispositif, qui devait initialement s’éteindre fin 2018, jusqu’au 31 décembre 2020.

Cet outil a fait l’objet d’une mise en œuvre relativement limitée puisqu’à la fin de l’année 2019, trois algorithmes avaient été mis en œuvre depuis l’entrée en vigueur de la loi du 24 juillet 2015 et étaient en fonctionnement, même si le secret-défense ne permet pas de détailler ici le périmètre de ces algorithmes.

Le soupçon initial d’une surveillance de masse des Français relève donc du fantasme. Les services français, pour reprendre une expression employée lors d’une audition, ne pratiquent pas la surveillance mondiale car « ils n’en ont pas les moyens et qu’ils n’y ont pas intérêt ». L’algorithme, dans l’architecture qui a été retenue, est un outil de détection ciblée – et non de surveillance – en fonction de paramètres déterminés et dans un seul objectif : révéler une menace terroriste.

Est–ce que ces algorithmes ont d’ores et déjà produit des résultats dans la lutte contre le terrorisme ? La mission comprend de ses échanges avec les services de renseignement que la réponse à cette question n’est pas négative, même si nous ne sommes encore qu’au début de l’utilisation de cette technique, et que les services disent opérer « avec des enclumes et des poids aux chevilles ».

2. Une nécessaire prolongation de l’algorithme

Dès lors, faut-il prolonger la technique de renseignement de l’algorithme ? Les membres de la mission d’information en sont convaincus, car la menace qu’il permet de prendre en compte, le terrorisme, n’est évidemment pas derrière nous. Le volume de données que l’algorithme permet d’appréhender ne peut pas l’être par des moyens classiques.

En effet, même si les trois algorithmes en cours n’ont pas encore atteint leur pleine mesure ([285]), ils se révèlent malgré tout très prometteurs. Si elle renonçait à cette faculté, la France se priverait d’une grande chance et prendrait du retard par rapport aux puissances partenaires.

B. Conserver les grands équilibres du dispositif actuel

1. Une procédure dorénavant rodée

Lorsque l’un algorithme déclenche une alerte, le GIC la notifie au service bénéficiaire de l’autorisation. L’alerte en elle-même ne contient ni ne révèle les données qui l’ont déclenchée. À partir de cette information minimale, le service peut demander d’accéder aux données à l’origine de l’alerte. Il a été observé que la demande de levée de doute est systématique car les alertes ont porté sur un nombre relativement faible de données de connexion. Elle est soumise à l’avis de la CNCTR puis à l’autorisation du Premier ministre. Dès que l’autorisation est prononcée, le GIC réunit les données et les communique au service. Ce ne sont que des données de connexion dépourvues de tout contenu.

Selon le directeur du GIC, « le dispositif tourne, sous le contrôle de la CNCTR » ([286]). La CNCTR a confirmé cette appréciation.

Dès lors, il n’est pas apparu opportun aux membres de la mission d’information de proposer des modifications dans la procédure d’autorisation ou dans le fonctionnement de l’algorithme.

2. Étendre les finalités justifiant la mise en œuvre de l’algorithme ?

Aujourd’hui, la mise en œuvre de l’algorithme est limitée à la finalité de prévention du terrorisme.

Ici et là, des voix s’élèvent pour demander une extension de l’utilisation de l’algorithme à d’autres finalités que celle actuellement prévue à l’article L. 851–3 du code de la sécurité intérieure. Il pourrait en effet se révéler particulièrement utile en matière de contre-espionnage et de criminalité organisée.

Par ailleurs, si la jurisprudence Tele2 de la CJUE devait être confirmée, seule cette technique algorithmique permettrait de suppléer aux difficultés que représenterait la disparition de certaines techniques de renseignement actuellement utilisées par les services.

Pour autant, les membres de la mission d’information n’ont pas retenu cette option à ce stade. À moyen terme, il paraît préférable de conserver les grands équilibres du régime actuel, ciblé sur la lutte antiterroriste.

C. Étendre l’algorithme aux URL

1. La question du périmètre des données de connexion

L’article L. 851-3 du CSI permet de détecter des connexions susceptibles de révéler une menace terroriste. Il est précisé que l’algorithme utilise exclusivement les données de connexion, « sans recueillir d’autres données que celles qui répondent à leurs paramètres de conception et sans permettre l’identification des personnes auxquelles les informations ou documents se rapportent. »

La définition des données de connexion figure à l’article L. 34-1 du code des postes et des communications électroniques ([287]) mais elle ne permet pas d’épuiser entièrement le débat entre ce qui relève du contenant et du contenu. Or, cette question s’est posée avec une particulière acuité lors de la mise en œuvre de l’algorithme. Elle est relativement simple s’agissant des données téléphoniques (fadettes) mais plus compliquée s’agissant d’internet. Pour le dire de manière la plus claire possible, familière à tous les usagers d’un moteur de recherche : à partir de quelle barre oblique (« slash ») de l’URL une donnée cesse–t–elle d’être une donnée de connexion pour devenir une donnée de correspondances ?

2. L’extension de l’algorithme aux URL

Un algorithme fonctionnant uniquement avec des données téléphoniques est intéressant mais il n’apporte pas aux enquêteurs un niveau de finesse et de pertinence suffisant. Les services de renseignement estiment qu’il leur serait extrêmement utile de pouvoir intégrer les URL aux algorithmes. L’URL révélant les données consultées, une telle extension demanderait une modification législative.

La mission d’information relève qu’il existe déjà des techniques de renseignement qui permettent d’avoir accès aux correspondances électroniques et aux données informatiques.

La question porte sur l’application de l’algorithme car celui–ci permet un changement de l’ampleur, cette technique de renseignement ne ciblant pas une personne.

Les membres de la mission pensent que le système actuel offre des garanties importantes, avec un triple sas. La CNCTR exerce un contrôle sur les paramètres de l’algorithme ainsi que sur la levée de l’anonymat de la personne détectée par l’algorithme puisque, lorsqu’il y a un « hit », il faut une autorisation nouvelle pour savoir qui a été détecté. Enfin, il faut une autorisation pour recourir à une technique de renseignement concernant cette personne. Il faut donc trois autorisations pour suivre un individu.

Si une telle extension devait être décidée, les membres de la mission estiment que cela justifierait de conserver le caractère expérimental de l’algorithme pour une durée de cinq ans.

Par voie de conséquence, si cette extension aux URL était apportée à l’article L. 851-3 du CSI, il paraîtrait pertinent de l’apporter également à une autre technique de renseignement, celle prévue à l’article L. 851–2 et qui concerne le recueil des données de connexion d’un individu en temps réel. Comme l’algorithme, cette technique de renseignement est limitée à la prévention du terrorisme.

Elle permet aujourd’hui de recueillir des informations intéressantes sur le comportement numérique de personnes radicalisées : est-ce que cet individu sort d’un périmètre défini, entre-t-il en contact avec une personne définie, a–t–il une consommation internet de nuit, sa consommation internet change–t–elle ?

Il serait utile aux services de renseignement, dans le cadre limité de la prévention du terrorisme, de disposer également des URL s’agissant de ces personnes.

En revanche, eu égard à l’atteinte à la vie privée représentée par cette extension, il conviendrait de la restreindre aux seules personnes ayant un lien avec la menace terroriste. Elle ne pourrait pas s’appliquer à leur entourage.

CONCLUSION

Au terme de la présentation de ce bilan législatif, les membres de la mission d’information souhaitent remercier l’ensemble de leurs interlocuteurs, présentés en annexe du rapport, pour leur disponibilité et la clarté de leurs analyses d’un texte d’application somme toute assez récente.

Ils tiennent aussi à insister sur l’esprit de consensus qui a régné entre eux tout au long de leurs travaux, aussi bien dans la phase d’auditions que dans celle de l’élaboration de leur rapport. Cet esprit doit, selon eux, perdurer dans le cadre des débats à venir sur le droit du renseignement.

En effet, l’article L. 851-3 du code de la sécurité intérieure n’est en vigueur que jusqu’au 31 décembre 2020. Le législateur aura donc à se prononcer prochainement sur cette disposition.

Les membres de la mission d’information estiment important que ce véhicule législatif constitue une opportunité d’examiner au fond les différentes possibilités d’évolution du cadre de la loi du 24 juillet 2015 et ne se limite pas à la prorogation pour quelques mois d’une seule des techniques de recueil de renseignement.

Ce débat doit fédérer le plus largement possible les partis de gouvernement, par-delà les clivages partisans, afin de faire œuvre utile et de garantir l’équilibre entre sécurité et libertés des Français.

Travaux des commissions

Lors de leur réunion du mardi 9 juin 2020, la commission des Lois et la commission de la Défense ont examiné ce rapport d’information et en ont autorisé la publication.

Ces débats ne font pas l’objet d’un compte rendu écrit et sont accessibles sur le portail vidéo du site de l’Assemblée à l’adresse suivante :

http://assnat.fr/yrgFVi

Liste des propositions de la mission d’information

Proposition n° 1 : Consacrer la possibilité d’un droit de visite pour les membres de la formation spécialisée du Conseil d’État dans le code de justice administrative.

Proposition n° 2 : Inscrire dans le code de la sécurité intérieure les évolutions en matière de centralisation par le GIC.

Proposition n° 3 : Clarifier la rédaction de l’article L. 863-2 du code de la sécurité intérieure en y précisant les modalités du partage d’informations entre services de renseignement.

Proposition n° 4 : Prévoir une durée maximale de conservation unique de 120 jours pour les données collectées par les dispositions de captation de parole et ceux de captation d’images prévus à l’article L. 853–1 du code de la sécurité intérieure.

Proposition n° 5 : Prévoir un avis par un membre de la CNCTR statuant seul s’agissant des demandes de retrait d’un dispositif technique nécessitant l’introduction dans un lieu d’habitation (article L. 853–3 du code de la sécurité intérieure).

Proposition n° 6 : Augmenter la durée de l’autorisation prévue sur le fondement de III de l’article L. 854–2 du code de la sécurité intérieure à un an.

Proposition n° 7 : Porter à deux mois la durée de l’autorisation permettant de mettre en œuvre le recueil de données informatiques.

Proposition n° 8 : Prévoir un droit d’accès indirect aux fichiers auxquels une restriction au droit d’accès direct est systématiquement appliquée et préciser par voie réglementaire le régime juridique applicable à chaque fichier.

Proposition n° 9 : Renforcer l’accessibilité de certains fichiers nécessaires aux missions des services de renseignement.

Proposition n° 10 : Modifier les textes réglementaires et, le cas échéant, les textes législatifs, afin d’élargir, en les encadrant, les possibilités d’interconnexion de fichiers des services de renseignement.

Proposition n° 11 : Définir un régime dérogatoire de conservation des données à des fins de recherche, d’analyse et de test nécessaire à la phase d’apprentissage des outils d’intelligence artificielle utilisés pour traiter les données captées par les services de renseignement.

Proposition n° 12 : Étendre le champ de l’algorithme aux URL. En conséquence, prolonger l’expérimentation de l’algorithme pendant cinq ans.

Proposition n° 13 : Étendre le champ du recueil de données de connexion en temps réel des personnes susceptibles d’être en lien avec une menace terroriste aux URL.

Annexe n° 1 : Personnes auditionnées, déplacement et contributions écrites

1. Personnes auditionnées ([288])

Commission nationale de contrôle des techniques de renseignement - CNCTR

— M. Francis Delon, président

Coordonnateur ministériel en matière d’intelligence artificielle au ministère de l’Intérieur

— M. Renaud Vedel, préfet

Coordination nationale du renseignement et de la lutte contre le terrorisme

— M. Pierre de Bousquet de Florian, coordonnateur national

Direction des affaires criminelles et des grâces du ministère de la Justice

— Mme Catherine Pignon, directrice

Direction des affaires juridiques du ministère des Armées

— Mme Claire Legras, directrice

Direction générale de la sécurité extérieure

— M. Bernard Émié, directeur général

Direction générale de la sécurité intérieure

— M. Nicolas Lerner, directeur général

Direction des libertés publiques et des affaires juridiques du ministère de l’Intérieur

— M. Thomas Campeaux, directeur

Direction nationale du renseignement et des enquêtes douanières

— Mme Corinne Cléostrate, directrice

Direction du renseignement militaire

— M. le général Jean-François Ferlet, directeur

Direction du renseignement de la préfecture de police

— Mme Françoise Bilancini, directrice

Direction du renseignement et de la sécurité de la défense

— M. le général Éric Bucquet, directeur

Groupement interministériel de contrôle

— M. Pascal Chauve, directeur

Secrétariat général de la défense et de la sécurité nationale

— Mme Claire Landais, secrétaire générale

Service central du renseignement territorial de la direction générale de la police nationale

— Mme Lucile Rolland, chef de service

Service national du renseignement pénitentiaire du ministère de la Justice

— M. Stéphane Bredin, directeur de l’administration pénitentiaire

Sous-direction de l’anticipation opérationnelle de la direction générale de la gendarmerie nationale

— M. le général Jean-Marc Cesari, sous-directeur

Traitement du renseignement et action contre les circuits financiers clandestins

— Mme Maryvonne Le Brignonen, directrice

2. Déplacement

Groupement interministériel de contrôle

— M. Pascal Chauve, directeur

3. Contributions écrites

Commission nationale de l’informatique et des libertés

— M. Louis Dutheillet de Lamothe, secrétaire général

Conseil d’État

— M. Edmond Honorat, président de la formation spécialisée du Conseil d’État chargée du contentieux de la mise en œuvre des techniques de renseignement soumises à autorisation et des fichiers intéressant la sûreté de l’État

Direction des affaires juridiques du ministère de l’Europe et des Affaires étrangères

— M. François Alabrune, directeur

Direction générale de la police nationale

— M. Frédéric Veaux, directeur général

Annexe n° 2 : Échéancier de mise en application de la loi

Source : https://www.legifrance.gouv.fr/affichLoiPubliee.do?idDocument=JORFDOLE000030375694&type=echeancier&typeLoi=&legislature=14

Date de dernière mise à jour des décrets publiés : 08/02/2016

Annexe n° 3 : Les lois ayant modifié la loi du 24 juillet 2015

1. Loi n° 2015–1536 du 30 novembre 2015 relative aux mesures de surveillance des communications internationales : conséquence de la censure du Conseil constitutionnel

2. Article 14 de la loi n° 2016-731 du 3 juin 2016 renforçant la lutte contre le crime organisé, le terrorisme et leur financement et améliorant l’efficacité et les garanties de la procédure pénale : intégration du renseignement pénitentiaire au second cercle

3. Article 15 de la loi n° 2016-987 du 21 juillet 2016 prorogeant l’application de la loi de la loi n° 55-385 du 3 avril 1955 relative à l’état d’urgence et portant mesures de renforcement de la lutte antiterroriste : élargissement de la technique de recueil de données de connexion en temps réel

4. Article 39 de la loi n° 2017-55 du 20 janvier 2017 portant statut général des autorités administratives indépendantes et des autorités publiques indépendantes : modification des dispositions applicables à la CNCTR

5. Article 35 de la loi n° 2017-258 du 28 février 2017 relative à la sécurité publique : finalités propres au renseignement pénitentiaire

6. Articles 5, 15 et 17 de la loi n°2017-1510 du 30 octobre 2017 renforçant la sécurité intérieure et la lutte contre le terrorisme :

– création d’une nouvelle technique de renseignement sur l’hertzien privatif ;

– prolongation de l’expérimentation de l’algorithme ;

– encadrement du recueil des données de connexion de l’entourage ;

– élargissement du périmètre de la captation de données informatiques.

7. Articles 36 et 37 de la loi n° 2018-607 du 13 juillet 2018 relative à la programmation militaire pour les années 2019 à 2025 et portant diverses dispositions intéressant la défense :

– vérifications ponctuelles sur les seules données de connexion légalement interceptées dans le cadre de la surveillance des communications internationales aux seules fins de détecter une menace pour les intérêts fondamentaux de la Nation liée aux relations entre des numéros d’abonnement ou des identifiants techniques rattachable au territoire français et des zones géographiques, des organisations ou des personnes faisant l’objet d’une surveillance internationale ;

– nouvelle mesure de surveillance individuelle ;

– mise en cohérence de l’exploitation de certaines données ;

– régime de test des appareils ;

– extension du contrôle a priori de la CNCTR.

8. Article 89 de la loi n° 2019-222 du 23 mars 2019 de programmation 2018-2022 et de réforme pour la justice : mise en œuvre du renseignement pénitentiaire.

Annexe n° 4 : LES FINALITÉS PERMETTANT L’UTILISATION DE TECHNIQUES DE RENSEIGNEMENT

Annexe n° 5 : Les TECHNIQUES DE recueil de RENSEIGNEMENT

Annexe n° 6 : Les caractéristiques des techniques de renseignement

Annexe n° 7 : les durées d’autorisation et durées de conservation

Annexe n° 8 : Le fichier ACCReD (décret n° 2017-1224 du 3 août 2017 ([289]))

La DGPN et la DGGN du ministère de l’intérieur sont autorisées à mettre en œuvre le traitement « Automatisation de la consultation centralisée de renseignements et de données » (ACCReD) ayant pour finalité de faciliter la réalisation d’enquêtes administratives précédant des décisions administratives de recrutement, d’affectation, de titularisation, d’autorisation, d’agrément ou d’habilitation, prévues par des dispositions législatives ou réglementaires concernant soit les emplois publics participant à l’exercice des missions de souveraineté de l’État, soit les emplois publics ou privés relevant du domaine de la sécurité ou de la défense, soit les emplois privés ou activités privées réglementées relevant des domaines des jeux, paris et courses, soit l’accès à des zones protégées en raison de l’activité qui s’y exerce, soit l’utilisation de matériels ou produits présentant un caractère dangereux, soit les emplois en lien direct avec la sécurité des personnes et des biens au sein d’une entreprise de transport public de personnes ou d’une entreprise de transport de marchandises dangereuses soumise à l’obligation d’adopter un plan de sûreté, soit l’accès de personnes à de grands événements exposés, par leur ampleur ou leurs circonstances particulières, à un risque exceptionnel de menace terroriste. Les données figurant dans le fichier peuvent être conservées pendant cinq ans à compter de leur enregistrement, sauf en cas de contentieux.

Sont autorisés à accéder à tout ou partie des données du fichier :

– les agents du service national des enquêtes administratives de sécurité habilités par le directeur général de la DGPN ;

– les agents du commandement spécialisé pour la sécurité nucléaire habilités par le directeur général de la DGGN.

Peuvent être destinataires de tout ou partie de ces mêmes données, dans la limite du besoin à en connaître :

– tout autre agent du ministère de l’intérieur chargé d’effectuer les enquêtes administratives précitées ;

– les personnes morales ou l’autorité administrative à l’origine de la demande, pour les seules données relatives au sens de l’avis ou de la décision ou, le cas échéant, pour les seules données relatives aux résultats de l’enquête administrative ;

– le préfet de département du lieu d’exercice de l’emploi, de la mission ou de la fonction de la personne à l’origine de la demande d’avis.

Le traitement ACCReD peut procéder à la consultation automatique et, le cas échéant, simultanée des traitements suivants, aux seules fins de vérifier si l’identité de la personne concernée y est enregistrée :

– le traitement des antécédents judiciaires (TAJ) ;

– le fichier des enquêtes administratives liées à la sécurité publique (EASP) ;

– le fichier de prévention des atteintes à la sécurité publique (PASP) ;

– le fichier de gestion de l’information et prévention des atteintes à la sécurité publique (GIPASP) ;

– le fichier des personnes recherchées (FPR) ;

– le fichier de signalement pour la prévention de la radicalisation à caractère terroriste (FSPRT) ;

– le fichier des objets et véhicules volés ou signalés (FOVeS).

Le fichier ACCReD peut être mis en relation, sous la forme d’une interrogation, par les agents du SNEAS habilités par le DGPN et les agents du commandement spécialisé de la sécurité nucléaire habilités par le DGGN, avec les fichiers suivants :

– le fichier CRISTINA (Centralisation du renseignement intérieur pour la sécurité du territoire et des intérêts nationaux) ;

– le fichier GESTEREXT (Gestion du terrorisme et des extrémismes à potentialité violente) ;

– le fichier SIREX ;

– le fichier de la DGSE.

Le droit d’accès à ACCReD s’exerce de manière indirecte auprès de la CNIL.

Annexe n° 9 : Le droit applicable aux fichiers intéressant la sûreté de l’État, la dÉfense ou la sécurité publique

Le droit applicable aux fichiers intéressant la sûreté de l’État, la défense ou la sécurité publique

La notion de « fichiers de souveraineté » n’existe pas en tant que telle en droit positif. Elle peut renvoyer à plusieurs catégories de traitements de données à caractère personnel, et en particulier, aux traitements de données à caractère personnel qui bénéficient d’une ou plusieurs des dérogations au cadre général des fichiers régaliens ou de la sphère répressive mis en œuvre par l’État, prévu par la loi « Informatique et Libertés ».

L’article 31 de la loi du 6 janvier 1978 modifiée concerne les traitements mis en œuvre par l’État qui « intéressent la sûreté de l’État, la défense ou la sécurité publique » ou « qui ont pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l’exécution des condamnations pénales ou des mesures de sûreté ».

Juridiquement, ces traitements peuvent relever – parfois de manière cumulative – du champ d’application du RGPD (soit du titre II de la loi « Informatique et Libertés », comme par exemple certains traitements fiscaux poursuivant notamment une finalité de lutte contre la fraude fiscale), du champ d’application de la directive « Police-Justice » (titre III de la loi, comme par exemple les traitements d’antécédents judiciaires ou d’analyse sérielle mentionnés au code de procédure pénale) ou du « hors-champ » du droit de l’Union européenne (titre IV de la même loi, comme par exemple les traitements mis en œuvre par la DGSI ou la DGSE).

L’article 31 de la loi « Informatique et Libertés » constitue le droit commun de l’ensemble de ces fichiers « répressifs » et conditionne leur création ou leur modification à la prise d’un arrêté ministériel, ou d’un décret en Conseil d’État en cas de traitement de données « sensibles », pris après avis motivé et publié de la CNIL.

Ces traitements peuvent bénéficier d’une ou plusieurs des dérogations suivantes :

– les dossiers de saisine de la CNIL peuvent ne pas comporter tous les éléments habituellement portés à la connaissance de la CNIL dans le cadre des demandes d’avis qui lui sont adressées (dernier alinéa de l’article 33-I de la loi du 6 janvier 1978 modifiée) ; en particulier, la durée de conservation et les mesures de sécurité mises en œuvre peuvent ne pas être mentionnées dans le dossier de saisine (cf. article 67 du décret d’application de la loi).

– ils peuvent être dispensés, par décret en Conseil d’État, de la publication de l’acte réglementaire en portant création ou modification (article 31-III de la loi « Informatique et Libertés »). Dans ce cas, seul le sens de l’avis de la CNIL, et non son intégralité, fait l’objet d’une publication ; ce sens ne peut porter que la mention « favorable », « favorable avec réserve » ou « défavorable » (article 70 du décret d’application de la loi).

Ils peuvent enfin ne pas être soumis au contrôle a posteriori de la CNIL (article 19-IV de la loi précitée) s’ils intéressent la sûreté de l’État et s’ils n’ont pas fait l’objet d’une publication dans les conditions précitées. Les prérogatives de contrôle de la Commission, applicables à tous les autres traitements, publics ou privés, visent à s’assurer du respect pratique des dispositions de la loi « Informatique et Libertés » ou des dispositions législatives ou réglementaires portant création de traitements, en permettant notamment aux agents de la CNIL de se rendre sur place et de se faire communiquer tout document utile à leurs investigations. Ces prérogatives ne sont pas applicables à certains traitements intéressant la sûreté de l’État.

La CNIL reste néanmoins compétente pour exercer certains contrôles, dans le cadre de l’exercice du droit d’accès indirect, qui permet de vérifier la licéité du traitement de données des personnes qui la saisissent (et non de l’ensemble des conditions de mise en œuvre du traitement, au-delà des cas particuliers). Cette mission permet ainsi un contrôle « par carottage » de ces traitements.

Les traitements bénéficiant de l’une ou de plusieurs de ces dérogations sont mentionnés dans le décret n° 2007-914 du 15 mai 2007 modifié. On peut considérer qu’ils constituent les « fichiers de souveraineté », qui seraient alors actuellement au nombre de quinze.

Cependant, trois nuances peuvent être apportées à une telle définition.

Tout d’abord, tous ces traitements ne sont pas nécessairement mis en œuvre, ni par des services spécialisés de renseignement. On retrouve notamment dans cette liste :

– des traitements mis en œuvre par ce qu’il est communément admis d’appeler des services du second cercle, voire par des services extérieurs au renseignement : par exemple, le traitement CAR de l’administration pénitentiaire (service national du renseignement pénitentiaire), le traitement GESTEREXT de la direction du renseignement de la préfecture de police ou le traitement LEGATO du commandement de la Légion étrangère ;

– des traitements mis en œuvre à des fins qui ne relèvent pas, au sens strict, de la seule politique publique de renseignement : par exemple, les traitements PASP, de la DGPN, et GIPASP, de la DGGN, de prévention des atteintes à la sécurité publique, ou encore le traitement ASTREE de la protection judiciaire de la jeunesse.

En outre, tous les traitements mentionnés dans cette liste ne bénéficient pas de l’ensemble des dérogations précitées.

D’une part, certains de ces traitements, tels que le PASP et le GIPSP, ne sont pas exonérés de l’obligation de publication du texte en portant création. D’autre part, certains de ces traitements sont soumis aux pouvoirs de contrôle a posteriori de la CNIL, comme par exemple les fichiers précités PASP et GIPASP mais également des traitements dont les textes régissant la mise en œuvre ne sont pas publiés tels que le fichier STARTRAC de Tracfin), le FSPRT, le fichier CAR et le fichier ASTREE.

Ainsi, si quinze traitements figurent dans le décret précité, treize d’entre eux ne font pas l’objet d’une publication et seuls neuf d’entre eux bénéficient de l’ensemble des dérogations précitées. Les « fichiers de souveraineté » peuvent donc renvoyer à l’une ou l’autre de ces trois « catégories » de traitements.

Enfin, cette liste ne comprend pas certaines parties de traitements qui intéressent la sûreté de l’État et qui relèvent de la compétence de la formation spécialisée du Conseil d’État, s’agissant des requêtes concernant le droit d’accès des personnes aux données qui les concernent (cf. article L. 841-2 du code de la sécurité intérieure). Les requêtes relatives aux données intéressant la sûreté de l’État (et non nécessairement à l’ensemble des données du traitement concerné) enregistrées dans le Fichier des personnes recherchées (fiches « S »), dans le Système informatique national du système d’information Schengen dénommé « N-SIS II » ou dans le traitement « Automatisation de la consultation centralisée de renseignements et de données » (ACCReD), relèvent, conformément aux dispositions de l’article R. 841-2 dudit code, de la compétence de cette formation spécialisée. Le pouvoir réglementaire a ainsi estimé que ces parties de traitements, qui peuvent notamment comporter des données issues de certains traitements mentionnés dans le décret n° 2007-914 précité, justifiaient la mise en œuvre d’une procédure contentieuse particulière en matière de droits des personnes, eu égard à leur sensibilité. Ces parties de traitements pourraient dès lors également relever de la notion de « fichiers de souveraineté »

([1]) La composition de cette mission figure au verso de la présente page.

([2]) Loi n° 2015-912 du 24 juillet 2015 relative au renseignement.

([3]) Lors du scrutin public du 5 mai 2015, en première lecture, sur 566 votants, 438 députés ont voté pour.

([4]) Intervention du député Jean-Jacques Urvoas lors de la séance du 13 avril 2015, http://www.assemblee-nationale.fr/14/cri/2014-2015/20150212.asp#P511111

([5]) Intervention du député Guillaume Larrivé lors de la séance du 16 avril 2015, http://www.assemblee-nationale.fr/14/cri/2014-2015/20150218.asp#P517687

([6]) Éric Denécé, « L’absence du suivi des activités démocratiques des services de renseignement par le Parlement : une lacune de la démocratie française », note du Centre Français de Recherche sur le Renseignement (CF2R), 31 janvier 2006.

([7]) In Introduction, Le droit du renseignement, L’Académie du renseignement, Laurent Nunez, p. 11.

([8]) In Retour historique sur les institutions et les pratiques du renseignement français de 1991 à 2015, Le droit du renseignement, L’Académie du renseignement, Olivier Forcade, pp. 19 à 22.

([9]) Loi n° 91-646 du 10 juillet 1991 relative au secret des correspondances émises par la voie des communications électroniques.

([10]) Loi n° 2006-64 du 23 janvier 2006 relative à la lutte contre le terrorisme et portant dispositions diverses relatives à la sécurité et aux contrôles frontaliers.

([11]) Le Conseil constitutionnel a reconnu à ce principe une valeur constitutionnelle dans sa décision n° 99–416 DC du 23 juillet 1999, estimant que la liberté proclamée par l’article 2 de la déclaration des droits de l’homme et du citoyen impliquait le respect de la vie privée (cons. 45).

([12]) Délégation parlementaire au renseignement, rapport n° 1869 de Mme Yaël Braun–Pivet relatif à l’activité de la délégation parlementaire au renseignement pour l’année 2018, avril 2019, p. 30.

([13]) En fonds normaux.

([14]) Audition de Francis Delon, président de la CNCTR.

([15]) CNCTR, rapport d’activité 2019, p. 53.

([16]) Délégation parlementaire au renseignement, rapport n° 1869 de Mme Yaël Braun–Pivet relatif à l’activité de la délégation parlementaire au renseignement pour l’année 2018, avril 2019, p. 11.

([17]) In Entre légitimation et contrôle : les logiques de l’encadrement juridique du renseignement, Le droit du renseignement, L’Académie du renseignement, Bertrand Warusfel, p. 67.

([18]) Une fois en 2015, deux fois en 2016, trois fois en 2017, une fois en 2018, une fois en 2019. Voir annexe n° 4.

([19]) Ainsi, la loi n° 2015-1536 du 30 novembre 2015 relative aux mesures de surveillance des communications internationales tire-t-elle les conséquences de la censure par le Conseil constitutionnel d’une partie de l’article 6 de la loi du 24 juillet 2015 (décision n° 2015-713 DC du 23 juillet 2015).

([20]) Ainsi, l’article 5 de la loi n° 2017-1510 du 30 octobre 2017 renforçant la sécurité intérieure et la lutte contre le terrorisme a-t-il tiré les conséquences de la censure par le Conseil constitutionnel de l’exception hertzienne (décision n° 2016-590 QPC du 21 octobre 2016).

([21]) Voir en particulier la loi n° 2016-987 du 21 juillet 2016 prorogeant l’application de la loi de la loi n° 55– 385 du 3 avril 1955 relative à l’état d’urgence et portant mesures de renforcement de la lutte antiterroriste s’agissant de la technique de recueil de données de connexion en temps réel et la loi n° 2018-607 du 13 juillet 2018 relative à la programmation militaire pour les années 2019 à 2025 et portant diverses dispositions intéressant la défense s’agissant de la surveillance internationale.

([22]) Voir par exemple la loi n° 2017-55 du 20 janvier 2017 portant statut général des autorités administratives indépendantes et des autorités publiques indépendantes qui a harmonisé les dispositions applicables à la CNCTR avec celles du statut général.

([23]) In Le droit du renseignement : un droit conforme aux traités internationaux, Le droit du renseignement, L’Académie du renseignement, Fabien Lafouasse, p. 189.

([24]) Cour de cassation, crim., n° 14–88329, 8 juillet 2015.

([25]) L’article 3 de cette loi disposait que pouvaient être autorisées, à titre exceptionnel, les interceptions de correspondances émises par la voie des communications électroniques ayant pour objet de rechercher des renseignements intéressant : « la sécurité nationale, la sauvegarde des éléments essentiels du potentiel scientifique et économique de la France, ou la prévention du terrorisme, de la criminalité et de la délinquance organisées et de la reconstitution ou du maintien de groupements dissous en application de la loi du 10 janvier 1936 sur les groupes de combat et les milices privées. »

([26]) Assemblée nationale, XIVe législature, rapport n° 2697 de Jean–Jacques Urvoas sur le projet de loi relatif au renseignement, p. 101.

([27]) La stratégie nationale du renseignement souligne que la promotion de nos intérêts économiques vise trois finalités : « identifier les actions susceptibles de contribuer à cette promotion ; appuyer les services de l’État chargés de la mise en œuvre de ces actions ; contribuer à la diffusion auprès des acteurs économiques des informations stratégiques utiles à leur développement international ». Présidence de la République, stratégie nationale du renseignement, p.5.

([28]) Article 35 de la loi n° 2017-258 du 28 février 2017 relative à la sécurité publique.

([29]) In Entre légitimation et contrôle : les logiques de l’encadrement juridique du renseignement, Le droit du renseignement, L’Académie du renseignement, Bertrand Warusfel, p. 72 : « on se rappelle les décisions anciennes prises à l’encontre des anciens services des renseignements généraux pour leur interdire de poursuivre des activités (ancestrales) de renseignement politique (lesquelles ont sans doute pesé lourd lors de la disparition de la DCRG au profit de la DCRI) » .

([30]) CNCTR, rapport d’activité 2018, p. 67.

([31]) Conseil constitutionnel, décision n° 2015–713 du 23 juillet 2015, Loi relative au renseignement, cons. 8 à 12.

([32]) CNCTR, rapport d’activité 2016, p. 31.

([33]) CNCTR, rapport d’activité 2016, p. 69.

([34]) CNCTR, rapport d’activité 2019, p. 55.

([35]) CNCTR, rapport d’activité 2018, p. 67.

([36]) De même que sur le fondement des finalités liées à l’indépendance nationale et la prévention des atteintes à la forme républicaine des institutions.

([37]) C’est notamment le cas des IMSI–catcher quand ils permettent d’intercepter les correspondances (article L. 852–1), de l’autorisation d’exploitation de communications interceptées de numéros d’abonnement ou d’identifiants techniques rattachable au territoire national dont l’utilisateur communique depuis la France (V de l’article L. 854–2)

([38]) Indépendance et défense nationales, intérêts majeurs de la politique étrangère de la France et prévention de l’ingérence étrangère, lutte contre la prolifération des armes de destruction massive.

([39]) La loi du 24 juillet 2015, contrairement à d’autres lois-cadres comme la loi n° 86-1067 du 30 septembre 1986 relative à la liberté de communication, n’énonce pas de manière liminaire les définitions des différents concepts tels que renseignement ou donnée.

([40]) Conseil constitutionnel, décision n° 2015-713 du 23 juillet 2015, Loi relative au renseignement, cons. 55.

([41]) Outre le cadre juridique donné aux interceptions de communication, la loi du 10 juillet 1991 précitée autorisait également la collecte des données de connexion, car c’était une étape technique préalable aux interceptions de sécurité. Cependant, cette collecte n’était pas envisagée comme pouvant présenter un intérêt en tant que telle.

([42]) Loi n° 2006-64 du 23 janvier 2006 relative à la lutte contre le terrorisme et portant dispositions diverses relatives à la sécurité et aux contrôles frontaliers.

([43]) Loi n° 2013-1168 du 18 décembre 2013 relative à la programmation militaire pour les années 2014 à 2019 et portant diverses dispositions concernant la défense et la sécurité nationale.

([44]) Sur le fondement de l’article 230–32 du code de procédure pénale.

([45]) Loi n° 2016-987 du 21 juillet 2016 prorogeant l’application de la loi n° 55-385 du 3 avril 1955 relative à l’état d’urgence et portant mesures de renforcement de la lutte antiterroriste.

([46]) Loi n° 2017-1510 du 30 octobre 2017 renforçant la sécurité intérieure et la lutte contre le terrorisme.

([47]) Assemblée nationale, XVe législature, rapport n° 164, p. 245.

([48]) Voir annexe n° 7.

([49]) Voir deuxième partie du rapport.

([50]) CNCTR, rapport d’activité 2018, pp. 62 et 63.

([51]) CNCTR, rapport d’activité 2018, p. 39.

([52]) Délibération de la CNCTR du 7 novembre 2019.

([53]) Assemblée nationale, XIVe législature, rapport n° 2697, p. 42.

([54]) Ibid.

([55]) CNCTR, rapport d’activité 2017, p. 16.

([56]) CNCTR, op. cit., p. 17.

([57]) Cette condition plus restrictive était préconisée par la commission au regard des résultats constatés lors de la première période d’autorisation et afin de s’assurer de la pertinence et de la fiabilité des caractéristiques techniques de l’algorithme.

([58]) Exposé sommaire de l’amendement n° CL270 du Gouvernement.

([59]) URL (sigle de l’anglais : Uniform Resource Locator, littéralement « localisateur uniforme de ressource »). Plus couramment appelée adresse web, l’URL est une chaîne de caractères uniforme permettant d’identifier une ressource du Web par son emplacement et de préciser le protocole internet pour la récupérer (par exemple http ou https). Elle peut localiser divers formats de données (document HTML, image, son…).

([60]) Voir troisième partie du rapport.

([61]) Indépendance nationale, intégrité du territoire et défense nationale (1° de l’article L. 811–3), prévention du terrorisme (4°) et prévention des atteintes à la forme républicaine des institutions (a du 5°).

([62]) Article 20 de la loi n° 91-646 du 10 juillet 1991 relative au secret des correspondances.

([63]) Article 11 de la loi n° 2015-912 du 24 juillet 2015 relative au renseignement.

([64]) Considérant 9 de la décision n° 2016-590 QPC du 21 octobre 2016

([65]) Les modalités de sonorisation ou de captation d’images sont définies à l’article 706-96 code de procédure pénale. Les modalités relatives à la captation de données informatiques le sont à l’article 706-102-1 du même code. L’article 57-1 du code de procédure pénale définit quant à lui les modalités d’extraction des données contenues au sein d’un système de traitement automatisée de données.

([66]) Loi n° 2004-204 du 9 mars 2004 portant adaptation de la justice aux évolutions de la criminalité relative à la grande criminalité.

([67]) Loi n° 2011-267 du 14 mars 2011 d’orientation et de programmation pour la performance de la sécurité intérieure.

([68]) Arrêté du 9 mai 2018 portant création du service à compétence nationale dénommé « service technique national de captation judiciaire ».

([69]) Assemblée nationale, XVe législature, rapport n° 164, p. 240.

([70]) Sénat, rapport n° 97 (2015-2016) de M. Philippe Bas sur le projet de loi relatif aux mesures de surveillance des communications électroniques internationales, octobre 2015, p. 15.

([71]) Loi n° 2015-1556 du 30 novembre 2015 relative aux mesures de surveillance des communications électroniques internationales.

([72]) I de l’article L. 854–2.

([73]) II de l’article L. 854–2.

([74]) III de l’article L. 854–2.

([75]) Loi n° 2018-607 du 13 juillet 2018 relative à la programmation militaire pour les années 2019 à 2025 et portant diverses dispositions intéressant la défense.

([76]) IV de l’article L. 854–2.

([77]) V de l’article L. 854–2.

([78]) Indépendance nationale, intégrité du territoire et défense nationale (1°), intérêts majeurs de la politique étrangère, exécution des engagements européens et internationaux de la France et prévention de toute forme d’ingérence étrangère (2°), prévention du terrorisme (4°), prévention de la criminalité et de la délinquance organisées (6°), prévention de la prolifération des armes de destruction massive (7°).

([79]) CNCTR, rapport d’activité 2018, p. 34.

([80]) CNCTR, rapport d’activité 2019, p. 39.

([81]) Ministres de la défense, de l’intérieur, de la justice, de l’économie, du budget et des douanes.

([82]) Technique(s) à mettre en œuvre, service pour lequel la technique est demandée, finalité(s) poursuivie(s), motif(s) des mesures, durée de validité de l’autorisation, personne (s), lieu(x), véhicule(s) concerné(s).

([83]) Indépendance nationale, intégrité du territoire et défense nationale (1° de l’article L. 811–3), prévention du terrorisme (4°) et prévention des atteintes à la forme républicaine des institutions (a du 5°).

([84]) Conseil constitutionnel, décision n° 2015–713 DC du 23 juillet 2015, Loi relative au renseignement, cons. 24.

([85]) In La commission nationale de contrôle des techniques de renseignement, Le droit du renseignement, L’Académie du renseignement, Francis Delon, p. 125.

([86]) Conseil constitutionnel, décision n° 2015–713 DC du 23 juillet 2015, Loi relative au renseignement, cons. 29.

([87]) Voir annexe n° 7.

([88]) Voir annexe n° 7.

([89]) Cette dérogation concerne aussi bien les données issues de renseignements collectés sur le territoire national que celles issues de la surveillance des communications internationales.

([90]) CNCTR, rapport annuel 2018, p. 43.

([91]) Décret n° 2015-1185 du 28 septembre 2015 portant désignation des services spécialisés de renseignement.

([92]) CNCTR, rapport d’activité 2016, p. 32.

([93]) Décret n° 2015-1639 du 11 décembre 2015 relatif à la désignation des services autres que les services spécialisés de renseignement, autorisés à recourir aux techniques mentionnées au titre V du livre VIII du code de la sécurité intérieure, pris en application de l’article L. 811-4 du code de la sécurité intérieure.

([94]) Ce qui ne signifie pas qu’il serait inutile qu’ils puissent recourir à des techniques de renseignement dans le cadre de la loi de 2015. Ainsi, un service de police judiciaire a indiqué à votre mission d’information que « la phase proactive de recueil et d’exploitation du renseignement criminel, menée en amont de la phase judiciaire, s’avère bien souvent déterminante pour les enquêtes ».

([95]) In Retour historique sur les institutions et les pratiques du renseignement français de 1991 à 2015, Le droit du renseignement, L’Académie du renseignement, Olivier Forcade, p. 26.

([96]) Arrêté du 30 juin 2015 fixant l’organisation en bureaux de la direction de l’administration pénitentiaire.

([97]) http://www.assemblee-nationale.fr/14/budget/plf2015/a2267-tVI.asp

([98]) http://www.assemblee-nationale.fr/14/cri/2014-2015/20150214.asp#P513494

([99]) Arrêté du 29 mai 2019 portant création et organisation d'un service à compétence nationale dénommé « Service national du renseignement pénitentiaire ».

([100]) Loi n° 2017-258 du 28 février 2017 relative à la sécurité publique.

([101]) Loi n° 2019-222 du 23 mars 2019 de programmation 2018-2022 et de réforme pour la justice.

([102]) CNCTR, rapport d’activité 2019, p. 37.

([103]) CNCTR, rapport d’activité 2018, p. 32.

([104]) Mais seules les personnes détenues peuvent faire l’objet des techniques de captation d’images ou de paroles dans un lieu privé.

([105]) Amendement n° 1132.

([106]) Décision n° 2019-778 DC du 21 mars 2019, cons.347.

([107]) CEDH, Kruslin contre France, 24 avril 1990, cf. deuxième partie du rapport.

([108]) CEDH, Klass et autres c. Allemagne, 6 septembre 1978.

([109]) CEDH, Malone c. Royaume-Uni, 26 avril 1985.

([110] ) Loi n° 91-646 du 10 juillet 1991 relative au secret des correspondances émises par la voie des communications électroniques ; loi n° 2006-64 du 23 janvier 2006 relative à la lutte contre le terrorisme et portant dispositions diverses relatives à la sécurité et aux contrôles frontaliers ; loi n° 2013-1168 du 18 décembre 2013 relative à la programmation militaire pour les années 2014 à 2019 et portant diverses dispositions concernant la défense et la sécurité nationale ; loi n° 2012-1432 du 21 décembre 2012 relative à la sécurité et à la lutte contre le terrorisme ; loi n° 2014-1353 du 13 novembre 2014 renforçant les dispositions relatives à la lutte contre le terrorisme.

([111]) Assemblée nationale, XIVe législature, rapport n° 2697, p. 16

([112]) In La commission nationale de contrôle des techniques de renseignement, Le droit du renseignement, L’Académie du renseignement, Francis Delon, p. 129.

([113]) CNCTR, rapport d’activité 2019, p. 63.

([114]) CNCTR, op. cit., p. 72.

([115]) CNCTR, rapport d’activité 2018, p. 8.

([116]) CNCTR, rapport d’activité 2019, p. 53.

([117]) In Entre légitimation et contrôle : les logiques de l’encadrement juridique du renseignement, Le droit du renseignement, L’Académie du renseignement, Bertrand Warusfel, p. 67.

([118]) In Allocution d’ouverture, Le droit du renseignement, L’Académie du renseignement, Laurent Nuñez, p. 14.

([119]) Article 4 de la loi n° 91-646 du 10 juillet 1991 relative au secret des correspondances émises par la voie des télécommunications.

([120]) In Entre légitimation et contrôle : les logiques de l’encadrement juridique du renseignement, Le droit du renseignement, L’Académie du renseignement, Bertrand Warusfel, p. 67.

([121]) Conseil constitutionnel, décision n° 2015–713 DC du 23 juillet 2015, Loi relative au renseignement, cons. 29.

([122]) Accès administratif aux données de connexion en temps réel (article L. 851–2 du CSI), IMSI–catcher (article L. 851–6), interceptions de sécurité (article L. 852–1), exploitation des mesures de surveillance internationale (article L. 854–2).

([123]) Arrêté du 19 juin 2017 portant délégation de signature.

([124]) Résolution des conflits.

([125]) In Les contrôles internes, Le droit du renseignement, L’Académie du renseignement, Renaud Vedel, p. 150.

([126]) Ibid.

([127]) Il s’agit des articles L. 851–1 s’agissant des accès administratifs aux données de connexion, L. 851–4 s’agissant de la géolocalisation en temps réel des équipements terminaux, L. 851–6 s’agissant des IMSI-catchers, l’article L. 852–1 s’agissant des interceptions de sécurité.

([128]) In Les contrôles internes, Le droit du renseignement, L’Académie du renseignement, Renaud Vedel, p. 150.

([129]) http://www.assemblee-nationale.fr/14/cri/2014-2015/20150212.asp#P511111

([130]) Voir troisième partie.

([131]) Assemblée nationale, XIVe législature, rapport d’information n° 1022 de MM. Jean–Jacques Urvoas et Patrice Verchère, pp. 54 et 55.

([132]) Article 12 de la loi n° 2013-1168 du 18 décembre 2013 relative à la programmation militaire pour les années 2014 à 2019 et portant diverses dispositions concernant la défense et la sécurité nationale.

([133]) Décret n° 2014-833 du 24 juillet 2014 relatif à l’inspection des services de renseignement.

([134]) In Les contrôles internes, Le droit du renseignement, L’Académie du renseignement, Renaud Vedel, pp. 157–158.

([135]) Décret n° 2018-798 du 19 septembre 2018 ajoutant l'inspection générale de la justice aux corps et services d'inspection et de contrôle concourant au fonctionnement de l'inspection des services de renseignement.

([136]) Article 2 de la loi du 24 juillet 2015 précitée.

([137]) À l’exception des demandes d’identification de numéros ou d’abonnements, qui sont quasiment considérées comme un préalable à la mise en œuvre d’une technique de renseignement.

([138]) In Les contrôles internes, Le droit du renseignement, L’Académie du renseignement, Renaud Vedel, p. 149.

([139]) Ibid.

([140]) Ibid.

([141]) Article 6 de la loi n° 2006-64 du 23 janvier 2006 relative à la lutte contre le terrorisme et portant dispositions diverses relatives à la sécurité et aux contrôles frontaliers.

([142]) Article 20 de la loi n° 2013-1168 du 18 décembre 2013 relative à la programmation militaire pour les années 2014 à 2019 et portant diverses dispositions concernant la défense et la sécurité nationale.

([143]) CNCTR, rapport d’activité 2016, pp. 15 et 16.

([144]) La composition de la CNCTR est actuellement la suivante : Francis Delon, Catherine Di Folco, Michel Boutant, Constance Le Grip, Jean–Michel Clément, Martine Jodeau, Gérard Poirotte, Christine Pénichon, Patrick Puges.

([145]) Assemblée nationale, XIVe législature, rapport n° 2697 de Jean–Jacques Urvoas sur le projet de loi relatif au renseignement, p. 115.

([146]) Rapport public du Conseil d’État, étude annuelle 2014, Le numérique et les droits fondamentaux, http://www.ladocumentationfrancaise.fr/var/storage/rapports-publics/144000541/0000.pdf

([147]) CNCTR, rapport d’activité 2019, p. 13.

([148]) À l’exception des mesures de surveillance sur l’hertzien ouvert, prévues aux articles L. 855–1 A à C.

([149]) In La Commission nationale de contrôle des techniques de renseignement, Le droit du renseignement, L’Académie du renseignement, Francis Delon, p.125 et 129.

([150]) CNCTR, rapport d’activité 2019, p. 67.

([151]) CNCTR, rapport d’activité 2018, p. 75.

([152]) CNCTR, rapport d’activité 2017, p. 6.

([153]) CNCTR, rapport d’activité 2019, p. 68.

([154]) Roger Faligot, Jean Guisnel, Rémi Kauffer, Histoire politique des services secrets français, La Découverte, Paris, 2012, p. 651.

([155]) In « Dix ans de contrôle parlementaire du renseignement : l’exigence démocratique est-elle satisfaite ?», Le droit du renseignement, L’Académie du renseignement, Yaël Braun-Pivet, p. 139.

([156]) http://www.assemblee-nationale.fr/14/cri/2014-2015/20150212.asp#P511111

([157]) Loi n° 2007-1443 du 9 octobre 2007 portant création d’une délégation parlementaire au renseignement.

([158]) La composition actuelle de la DPR est la suivante : M. Christian Cambon (Président), Mme Françoise Dumas, M. François-Noël Buffet, M. Loïc Kervran, M. Patrice Verchère, M. Michel Boutant, M. Philippe Bas, Mme Yaël Braun-Pivet.

([159]) In « Retour historique sur les institutions et les pratiques du renseignement français de 1991 à 2015 », Le droit du renseignement, L’Académie du renseignement, Olivier Forcade, pp. 24 à 26.

([160]) Le rapporteur du projet de loi, Bernard Carayon, avait ainsi expliqué que : « Le terme de " contrôle " n’est volontairement pas utilisé dans le projet de loi, celui-ci ayant une connotation trop intrusive. Cette absence pourra être critiquée, mais elle est probablement nécessaire pour permettre la mise en place progressive de l’indispensable climat de confiance mutuelle », rapport fait au nom de la Commission des Lois constitutionnelles, de la législation et de l’administration générale de la République sur le projet de loi (n° 13), adopté par le Sénat, portant création d’une délégation parlementaire au renseignement, p. 26.

([161]) Loi n° 2013-1168 du 18 décembre 2013 relative à la programmation militaire pour les années 2014 à 2019 et portant diverses dispositions concernant la défense et la sécurité nationale.

([162]) Jacques Buisson et Xavier Cabannes, « Les fonds spéciaux et le droit public financier », Petites affiches, 3 août 2001, n° 154, p. 15.

([163]) In Retour historique sur les institutions et les pratiques du renseignement français de 1991 à 2015, Le droit du renseignement, L’Académie du renseignement, Olivier Forcade, p. 32.

([164]) Elle se fait communiquer, depuis 2017, les observations de la CNCTR sur l’application de l’exception hertzienne en application de l’article 16 de la loi n° 2017-1510 du 30 octobre 2017 renforçant la sécurité intérieure et la lutte contre le terrorisme.

([165]) Délégation parlementaire au renseignement, rapport n° 1869 (XVIème législature) de Mme Yaël Braun–Pivet relatif à l’activité de la délégation parlementaire au renseignement pour l’année 2018, avril 2019, p. 19.

([166]) La loi prévoit notamment la communication d’un certain nombre de documents : la stratégie nationale du renseignement, des éléments d’information issus du plan national d’orientation du renseignement, un rapport annuel de synthèse exhaustif des crédits consacrés au renseignement et le rapport annuel d’activité des services des premier et second cercles, à recourir à certaines techniques de renseignement, des éléments d’appréciation relatifs à l’activité générale et à l’organisation des services des premier et second cercles, les observations que la CNCTR adresse au Premier ministre. En outre, elle peut solliciter du Premier ministre la communication de tout ou partie des rapports de l’inspection des services de renseignement ainsi que des rapports des services d’inspection générale des ministères portant sur les services de renseignement qui relèvent de leur compétence.

([167]) Délégation parlementaire au renseignement, rapport n° 2482 de M. Jean–Jacques Urvoas relatif à l’activité de la délégation parlementaire au renseignement pour l’année 2014, décembre 2014, pp. 13 et 14.

([168]) Délégation parlementaire au renseignement, rapport n° 1869 de Mme Yaël Braun–Pivet relatif à l’activité de la délégation parlementaire au renseignement pour l’année 2018, avril 2019, p. 26.

([169]) Assemblée nationale, XIVe législature, rapport d’information n° 1022 de MM. Jean–Jacques Urvoas et Patrice Verchère, p. 59.

([170]) In Entre légitimation et contrôle : les logiques de l’encadrement juridique du renseignement, Le droit du renseignement, L’Académie du renseignement, Bertrand Warusfel, pp. 80 à 82.

([171]) In Le contrôle juridictionnel : un contrôle précisément défini par le législateur et confié à une formation spécialisée du Conseil d’État, Le droit du renseignement, L’Académie du renseignement, Emmanuelle Prada–Bordenave, p.133.

([172]) Article 10 de la loi du 24 juillet 2015 précitée.

([173]) In « Entre légitimation et contrôle : les logiques de l’encadrement juridique du renseignement », Le droit du renseignement, L’Académie du renseignement, Bertrand Warusfel, pp. 80 à 82.

([174]) CEDH, 19 septembre 2017, requête no 35289/11.

([175]) Voir annexe n° 9.

([176]) Le président est nommé pour une période de 4 ans par arrêté du Premier ministre après avis du garde des sceaux et sur présentation du vice-président du Conseil d’État, après avis du président de la section du contentieux. Son mandat peut être renouvelé une fois, à sa demande, pour une période de 4 ans par arrêté du vice-président du Conseil d’État. Les membres sont, quant à eux, désignés par arrêté du président de la section du contentieux, après avis des présidents adjoints. Les rapporteurs publics sont désignés par arrêté du vice-président, pris sur proposition du président de la section du contentieux après avis du président de la formation spécialisée.

([177]) Services du Premier ministre pour les techniques de renseignement ; ministères gestionnaires des fichiers – intérieur, défense et économie – pour l’accès aux fichiers.

([178]) Fichier des personnes recherchées – FPR ; fichier Schengen – N-SIS II ; fichier CRISTINA de la DGSI.

([179]) Une même requête peut porter sur plusieurs fichiers.

([180]) In L’Hétairie, Une seconde loi renseignement ? Pour une main tremblante mais des idées claires, note du 9 mars 2020, pp. 8 et sq

([181]) In « Entre légitimation et contrôle : les logiques de l’encadrement juridique du renseignement », Le droit du renseignement, L’Académie du renseignement, pp. 75 sq.

([182]) Notamment dans le cadre de la loi de programmation militaire pour 2019-2025, s’agissant des services de renseignement sous tutelle du ministère des armées.

([183]) Entre-temps devenu le coordonnateur de la Stratégie nationale pour l’intelligence artificielle, rattaché à la direction générale des entreprises du ministère de l’économie et des finances.

([184]) On entend par là une série d’instructions d’exécution d’un calcul ou de résolution d’un problème, en particulier à l’aide d’un ordinateur. Ces instructions forment le fondement de toutes les opérations réalisables par un ordinateur et, par conséquent, constituent un aspect fondamental de tous les systèmes d’IA.

([185]) Source : Commission nationale de l’informatique et des libertés, https://www.cnil.fr/fr/lanonymisation-des-donnees-un-traitement-cle-pour-lopen-data

([186]) Source : Réseau 5G et cybersécurité, Observatoire national des sciences et technologies de la sécurité, ressources documentaires du pôle judiciaire de la gendarmerie nationale et https://ec.europa.eu/digital-single-market/en/news/eu-wide-coordinated-risk-assessment-5g-networks-security .

([187]) Le slicing rend possible la séparation de l’utilisation du réseau en fonction des demandes de l’utilisateur, selon ses usages. Cette capacité permettra de déployer les applications de cloud computing (fonctionnalités assurées via le cloud et donc indépendantes de la performance du terminal – téléphone, ordinateur etc.) tout en maintenant une utilisation régulière du réseau pour des fonctions de base.

([188]) Internet of things ou IoT.

([189]) La latence correspond au temps nécessaire à deux appareils pour communiquer entre eux.

([190]) Propos rapportés par Jean-Pierre Stroobants in Le Monde du 12 juin 2019, « La 5G provoque un vent de panique au sein des services de sécurité européens ».

([191]) La criminalistique consiste en l'ensemble des techniques mises en œuvre par la justice, la police et la gendarmerie pour établir la preuve d'un délit ou d'un crime et en identifier son auteur.

([192]) In Les Échos, https://www.lesechos.fr/2016/02/le-chiffrement-des-donnees-comment-ca-marche-197164.

([193]) Voir notamment cet article, relatif au contentieux opposant le FBI à Apple : https://www.lesechos.fr/2016/02/chiffrement-apple-et-google-contre-la-nsa-le-fbi-et-donald-trump-197166 .

([194]) Source : Les Échos, ibid.

([195]) In Reconnaissance faciale : pour un débat à la hauteur des enjeux, 15 novembre 2019, pp. 3 sq.

([196]) Si l’on en croit le Forum économique mondial, qui travaille actuellement sur le sujet et qui a produit en février dernier un Livre blanc intitulé Cadre d’action pour un usage responsable de la reconnaissance faciale (page 4).

([197]) Le traitement d’antécédents judiciaires (TAJ) est pour l'instant le seul fichier comportant une photographie dont l’usage est autorisé à des fins de reconnaissance faciale.

([198]) Reconnaissance faciale : entre exigence de contrôle et respect de la vie privée – Quels outils, quels enjeux, quelles garanties, Institut national des hautes études de la Sécurité et de la justice (INHESJ) 30ème session nationale « Sécurité et Justice » 2018-2019 Groupe de diagnostic stratégique (GDS) n° 8.

([199]) Page 14 du rapport précité

([200]) CNIL, ibid.

([201]) Ce fichier a pour objet de recenser toutes les personnes faisant l’objet d’une mesure de recherche ou de vérification et de faciliter l’action des services de police et de gendarmerie, des autorités judiciaires, militaires ou administratives. L’inscription au FPR intervient notamment pour des motifs d’ordre public, tels que la prévention de menaces contre la sécurité publique ou la sûreté de l’État.

([202]) Article R. 40-26 du code de procédure pénale.

([203]) Le fichier TES regroupe les traitements de données à caractère personnel relatifs aux passeports et aux cartes nationales d’identité. Il vise, d’une part, à faciliter l’établissement, la délivrance, le renouvellement, l’invalidation et le retrait des titres concernés et, d’autre part, à prévenir et détecter leur falsification et contrefaçon. In fine, il centralise notamment, dans une base de données, l’image numérisée du visage de l’ensemble des demandeurs de carte nationale d’identité et de passeport, et réunit ainsi les données biométriques relatives à la quasi-totalité de la population française.

([204]) Le foisonnement des fichiers est d’ailleurs assez problématique et peut parfois nuire à l’efficacité des services.

([205]) Rapport d’information n° 1022 du 14 mai 2013 sur l’évaluation du cadre juridique applicable aux services de renseignement.

([206]) Cf. infra.

([207]) Il s’agit du décret n° 2007-914 du 15 mai 2007 modifié pris pour l’application du I de l’article 30 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés. Le I de l’article 30 de la loi n° 78-17 correspond aujourd’hui au I de l’article 33 de la même loi. Ce décret cite également le fichier LEGATO de la Légion étrangère, le fichier des personnes recherchées (FPR) pour certaines fiches seulement, le fichier national de sécurité Schengen SNIS, avec les mêmes restrictions, et le traitement ACCReD pour les seules données intéressant la sûreté de l’État.

([208]) On peut par exemple citer le service central des courses et jeux (cf. arrêté du 8 novembre 2010) ou encore les traitements mis en œuvre par la direction centrale de la police aux frontières (par exemple, le traitement SETRADER).

([209]) Cf. les articles L. 234-1 et suivants et R. 234-1 et suivants du code de la sécurité intérieure. L’article R. 234-2 prévoit ainsi que les services spécialisés de renseignement dont les agents peuvent accéder aux traitements automatisés de données à caractère personnel mentionnés à l'article 230-6 du code de procédure pénale sont la DGSE, la DRSD, la DRM, la DGSI, la DNRED et Tracfin.

([210]) RGPD (Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE) et Directive « Police-Justice » (Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil).

([211]) La loi relative à l’informatique, aux fichiers et aux libertés du 6 janvier 1978 comporte quatre titres bien distincts : le premier, consacré aux dispositions générales, le deuxième, qui transpose le RGPD, le troisième qui transpose la directive « Police-Justice » et le quatrième, consacré aux « fichiers intéressant la sûreté de l’État et la défense ». Cependant, certains fichiers sont mixtes et peuvent donc être régis par le titre III de la loi de 1978 (cf. annexe n° 9).

([212]) Les personnels de la CNIL disposent déjà, lorsque l’exercice de leurs missions le justifie (en particulier en matière de droit d’accès indirect aux traitements de sécurité publique et de sûreté de l’État et en matière d’avis sur les projets de texte réglementaire relatifs à de tels traitements), des habilitations au secret de la défense nationale qui les autorisent à accéder aux informations nécessaires à cet exercice.

([213]) Cf. supra le a) du 1 du D du présent I.

([214]) Cf. annexe n° 10.

([215]) Tels que le PASP et le GIPASP.

([216]) Codifié à l’article L1631-4 du code des transports et aux articles L. 561-26 et L. 561-29 du code monétaire et financier.

([217]) Qui a créé un article L. 234-4 au sein du code de la sécurité intérieure.

([218]) Dans leur rapport d’information n° 15 n° 1335 enregistré à la présidence de l’Assemblée nationale le 17 octobre 2018, sur les fichiers mis à la disposition des forces de sécurité, p. 40.

([219]) Sur son site, la CNIL indique que 87 millions d’affaires sont répertoriées dans le TAJ et que le TAJ comporte plus de 18,9 millions de fiches de personnes mises en cause.

([220]) Ibid., p. 8.

([221]) Cf. annexe n° 8.

([222]) P. 40

([223]) P. 68 du rapport précité.

([224]) Individus dont les agissements, pris séparément, ne révèlent pas de danger potentiel.

([225]) P. 68.

([226]) Rapport précité, p. 42.

([227]) RGPD (Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE) et directive « Police-Justice » (directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil).

([228]) Par la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles et l’ordonnance n° 2018-1125 du 12 décembre 2018 prise en application de l’article 32 de la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles et portant modification de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés et diverses dispositions concernant la protection des données à caractère personnel.

([229]) Ainsi, par exemple, n’ont pas fait l’objet d’une autorisation de la CNIL, les interconnexions des logiciels de rédaction des procédures de police et de gendarmerie (LRPPN et LRPGN) avec Cassiopée, du traitement iGAV (gestion des gardes à vues) avec le traitement LRPPN, du FOVeS avec le traitement API-PNR France, du FIJAIT et du FAED avec CASSIOPEE, du traitement SETRADER avec le FPR et le système d’information Schengen (SIS).

([230]) Comme le suggèrent Didier Paris et Pierre Morel-À-L’Huissier, une étape supplémentaire pourrait consister à instaurer un système d’alerte de présence au sein d’autres fichiers. À la différence des interfaces hit/no hit qui nécessitent d’introduire une requête, un système d’alerte se déclencherait automatiquement à chaque fois qu’une inscription sur un fichier trouve écho sur un autre fichier.

([231]) Il s’agit d’un fichier de contrôle des déplacements aériens. Utilisé notamment pour la lutte contre le terrorisme ou le trafic de drogues, il contient deux types d'informations : d’une part, les données API (Advanced passenger informations ou renseignements préalables sur les voyageurs), liées à l'enregistrement des passagers provenant du passeport ou d'un autre document de voyage et des informations générales concernant le vol ; d’autre part, les données PNR (Passenger Name Record ou dossier passager), liées à la réservation et contenues dans les dossiers créés par les compagnies aériennes pour chaque vol. Elles permettent d'identifier chaque passager et d'avoir accès à tous les renseignements concernant son voyage : vols d'aller et de retour, correspondances éventuelles, moyens de paiement utilisés, services particuliers souhaités à bord, etc. Le système API-PNR est géré par un service spécifique, l'Unité Information Passagers (UIP), rattachée au ministère chargé des douanes. Il peut être consulté par les services de police, de gendarmerie et des douanes, ainsi que par les services de sécurité et de renseignement spécialisés. Le système API et PNR s'applique aux vols à destination et en provenance de pays étrangers. Il ne concerne pas les vols reliant deux aéroports de France métropolitaine.

([232]) Par exemple, dans le cadre du traitement ACCReD, la CNIL avait souligné que le dispositif était utilisé aux fins d’enquêtes particulièrement nombreuses, très diverses et ne présentant pas toutes le même degré de sensibilité (nombreuses décisions de recrutement, d’affectation, de titularisation, d’autorisation, d’agrément ou d’habilitation) et que les traitements FSPRT, GESTEREXT et CRISTINA, particulièrement sensibles et intéressant la sûreté de l’État, ne devaient dès lors pas pouvoir être systématiquement consultés, cette consultation devant être réservée aux seules enquêtes soulevant des enjeux en matière de sûreté de l’État. De même, s’agissant par exemple du FPR, divisé en sous-fichiers regroupant les personnes inscrites en fonction du fondement juridique de la recherche (motifs judiciaires et administratifs très divers), elle a estimé que la consultation effectuée devait être limitée, dans le cadre du dispositif relatif aux grands événements, aux seuls sous-fichiers susceptibles de contenir des informations pertinentes au regard de l’objectif de prévention des atteintes à la sécurité des personnes, à la sécurité publique ou à la sûreté de l’État.

([233]) La CNIL a également rappelé ces exigences dans le cadre du traitement ACCReD, compte tenu à la fois de la nature des fichiers automatiquement consultés (par exemple, le FSPRT ou le TAJ) et des préjudices importants qui peuvent découler de l’adoption d’un avis ou d’une décision défavorable infondés.

([234]) C’est-à-dire une interface permettant la consultation automatique et simultanée de plusieurs fichiers de renseignement aux seules fins de vérifier si l’identité de la personne concernée y est enregistrée.

([235]) In Le droit du renseignement, ibid., introduction page 19.

([236]) Rapport d’information du 14 mai 2013, en conclusion des travaux d’une mission d’information sur l’évaluation du cadre juridique applicable aux services de renseignement, page 31.

([237]) Le droit du renseignement, ibid., page 22.

([238]) Cf. supra.

([239]) Cf. infra.

([240]) Cf. infra.

([241]) Cf. infra.

([242]) Cf. infra.

([243]) Ibid., pages 31-32

([244]) L’arrêt Uzun c. Allemagne du 2 septembre 2010 rappelant la nécessité, pour cette technique de renseignement, d’une loi particulièrement précise, en particulier compte tenu de ce que la technologie disponible devient de plus en plus sophistiquée.

([245]) L’arrêt Van Mechelen et autres c. Pays-Bas du 23 avril 1997 ayant donné l’occasion à la CEDH d’admettre que l’utilisation de dépositions anonymes pour asseoir une condamnation ne soit pas en toutes circonstances incompatible avec la Convention à condition que l’atteinte portée aux droits de la défense soit compensée par la procédure suivie devant les autorités judiciaires.

([246]) L’affaire Big Brother Watch a été renvoyée en Grande chambre. L’audience a eu lieu le 10 juillet 2019. L’arrêt de Grande Chambre n’a pas encore été rendu. L’arrêt présenté ci-dessous est celui rendu par la première section de la Cour EDH le 13 septembre 2018.

([247]) Paragraphe 78 de la décision.

([248]) « La Cour considère que la décision de mettre en œuvre un régime d’interceptions en masse relève de l’ample marge d’appréciation laissée à l’État contractant. De plus, compte tenu de la supervision indépendante exercée par le Commissaire à l’interception des communications et l’IPT, et des vastes enquêtes indépendantes qui ont suivi les révélations d’Edward Snowden, elle estime que les services de renseignement du Royaume-Uni prennent au sérieux les obligations que leur impose la Convention et n’abusent pas des pouvoirs que leur confère l’article 8 § 4 de la RIPA. Néanmoins, l’examen de ces pouvoirs soulève deux principaux points de préoccupation : premièrement, le fait que le processus de sélection ne fait pas l’objet d’une supervision d’ensemble, portant aussi sur la sélection des canaux de transmission sur lesquels l’interception aura lieu, les sélecteurs et les critères de recherche à appliquer pour le filtrage des communications interceptées et la sélection des éléments pour examen par un analyste ; et deuxièmement, l’absence de garanties réelles applicables à la sélection pour examen de données de communication associées. Au vu de ces lacunes et dans la mesure indiquée ci-dessus, la Cour conclut que le régime découlant de l’article 8 § 4 de la RIPA ne répond pas à l’exigence de " qualité de la loi " et ne permet pas de conserver l’" ingérence " au niveau " nécessaire dans une société démocratique ". Partant, il y a eu violation de l’article 8 de la Convention à cet égard. »

([249]) Police, Her Majesty’s Revenue and Customs (HMRC), National Crime Agency.

([250]) Cf. infra.

([251]) Sur le droit à un procès équitable.

([252]) Directive 2006/24/CE du Parlement européen et du Conseil, du 15 mars 2006, sur la conservation de données générées ou traitées dans le cadre de la fourniture de services de communications électroniques accessibles au public ou de réseaux publics de communications, et modifiant la directive 2002/58/CE.

([253]) Sur le respect de la vie privée.

([254]) Sur la protection des données à caractère personnel.

([255]) Ciblée sur une période temporelle, une zone géographique ou des cercles de personnes.

([256]) Cf., en troisième partie du rapport, l’analyse comparative des droits du renseignement des différents États membres de l’Union européenne.

([257]) Il s’agit du décret n° 2015-1185 du 28 septembre 2015 portant désignation des services spécialisés de renseignement, du décret n° 2015-1211 du 1er octobre 2015 relatif au contentieux de la mise en œuvre des techniques de renseignement soumises à autorisation et des fichiers intéressant la sûreté de l’État, du décret n° 2015-1639 du 11 décembre 2015 relatif à la désignation des services autres que les services spécialisés de renseignement, autorisés à recourir aux techniques mentionnées au titre V du livre VIII du code de la sécurité intérieure, pris en application de l’article L. 811-4 du code de la sécurité intérieure, et enfin, du décret n° 2016-67 du 29 janvier 2016 relatif aux techniques de recueil de renseignement.

([258]) Il s’agit de l’article R. 10-13 du code des postes et des communications électroniques

([259]) Il s’agit du décret n° 2011-219 du 25 février 2011 relatif à la conservation et à la communication des données permettant d’identifier toute personne ayant contribué à la création d’un contenu mis en ligne.

([260]) Conseil des ministres européens de la justice et des affaires intérieures.

([261]) Selon les informations fournies à la mission d’information, les observateurs attendaient cette décision avant l’été mais la crise sanitaire pourrait remettre en cause ce calendrier.

([262]) Rapport n° 1869 relatif à l’activité de la délégation parlementaire au renseignement pour l’année 2018, tome 1, p. 77.

([263]) Le Parlement a notamment demandé à la CJUE de rendre un avis sur l’accord conclu entre l’Union et le Canada concernant le PNR.

([264]) La décision n°2004-496 DC du 10 juin 2004, dite « Loi pour la confiance dans l'économie numérique » a été confirmée et affinée dans les décisions n°2004-497 DC du 1er juillet 2004, n° 2004-498 DC du 29 juillet 2004 et n° 2004-499 DC du 29 juillet 2004.

([265]) Cf. infra.

([266]) Cf. la deuxième partie du rapport.

([267]) Cf. Renseigner les démocraties, renseigner en démocratie, Jean-Claude Cousseran et Philippe Hayez, Odile Jacob, 2015.

([268]) On peut à cet égard citer l’exemple d’un service belge de renseignement qui a été placé en 2003 sous l’autorité du ministère de la justice et le contrôle étroit d’une commission de magistrats. Une telle évolution a entraîné l’arrêt immédiat des communications d’informations, en provenance des partenaires européens et en direction des services belges de renseignement, ce qui a naturellement été très handicapant pour la Belgique. Les échanges ont repris depuis car la Belgique a fait évoluer son dispositif.

([269]) En vertu de l’article L. 833-2 du code de la sécurité intérieure.

([270]) Conformément au dernier alinéa de l’article 6 nonies de l’ordonnance n° 58-1100 du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires.

([271]) In Le droit du renseignement, Ibid., page 58, Approche comparée des droits du renseignement.

([272]) La comparaison porte sur les États suivants : Allemagne, Autriche, Belgique, Danemark, Espagne, France, Grèce, Italie, Luxembourg, Norvège, Pays-Bas, Portugal, Royaume-Uni, Suède et Suisse.

([273]) Surveillance by intelligence services : fundamental safeguards and remedies in the EU. Volume II : field perspectives and legal update. On trouvera un résumé en français de cette étude : Surveillance par les services de renseignement : protection des droits fondamentaux et voies de recours dans l’Union européenne, Office des publications de l’Union européenne, 2016 et 2017.

([274]) Ibid., page 4.

([275]) Page 4. L’Agence des droits fondamentaux tire de ce constat « la nécessité d’un approfondissement de la législation dans ce domaine ».

([276]) Surveillance by intelligence services : fundamental safeguards and remedies in the EU. Volume II : field perspectives and legal update. Chapter 11 : Oversight of international intelligence cooperation (pages 101 et sq.).

([277]) Ibid., page 103.

([278]) Fundamental Rights Agency.

([279]) Cf. première partie du rapport.

([280]) Tous les services de renseignement sont tenus de recourir au dispositif géré par le GIC, hormis la DGSI et la DGSE, qui en ont la faculté mais non l’obligation. Ces deux services disposent, en effet, d’un dispositif propre de centralisation des renseignements recueillis.

([281]) https://www.laquadrature.net/2019/06/28/partage-de-donnees-le-renseignement-francais-encore-et-toujours-dans-lillegalite/

([282]) CNCTR, rapport d’activité 2018, p. 44.

([283]) CNCTR, rapport d’activité 2018, pp. 44 et 45.

([284]) Les membres de la mission ont déposé un amendement à cette fin, en mai 2020, lors de l’examen du projet de loi nº 2907 portant diverses dispositions urgentes pour faire face aux conséquences de l'épidémie de covid-19.

([285]) Aujourd’hui, les algorithmes ne sont mis en œuvre que sur les données téléphoniques même si la loi permet qu’ils soient mis en œuvre à partir de données de connexion.

([286]) Audition de M. Pascal Chauve, directeur du GIC, par les membres de la mission d’information.

([287]) « VI. – Les données conservées et traitées (…) portent exclusivement sur l’identification des personnes utilisatrices des services fournis par les opérateurs, sur les caractéristiques techniques des communications assurées par ces derniers et sur la localisation des équipements terminaux. Elles ne peuvent en aucun cas porter sur le contenu des correspondances échangées ou des informations consultées, sous quelque forme que ce soit, dans le cadre de ces communications. »

([288]) Les auditions sont présentées par ordre alphabétique.

([289]) L’article 7 du décret du 3 août 2017 a été modifié par l’article 6 du décret n° 2019-1074 du 21 octobre 2019.