A - La démesure des données pouvant être recueillies

13Plusieurs dispositions de la loi du 24 juillet 2015 autorisent la collecte massive de données de connexion et permettent ainsi des agrégations d'informations (« métadonnées ») allant bien au-delà de ce que l'on obtient en accédant au seul contenu d'une communication privée [28]. Dans son avis du 16 avril 2015, la CNCDH a exprimé ses plus vives inquiétudes à l'égard des modalités de recueil des données en temps réel sur les réseaux des opérateurs (CSI, art. L. 851-2, I). Celles-ci sont extrêmement intrusives dès lors qu'en pratique, elles donneront lieu à une aspiration massive des données par le biais de procédés technologiques tels que des sondes [29]. En outre, la collecte des données concerne un ensemble de personnes « préalablement identifiées comme présentant une menace ». À cet égard, la CNCDH relève le caractère extrêmement vague de ce critère, dont la mise en œuvre reposera vraisemblablement sur un diagnostic de dangerosité et un pronostic de passage à l'acte terroriste par définition aléatoires [30]. Dans ces conditions, le périmètre exact des personnes concernées par le recueil des données de connexion n'est pas clairement défini.

14Par ailleurs une surveillance massive peut découler de la mise en œuvre d'un dispositif algorithmique ou d'un dispositif de proximité dénommé « IMSI-Catcher ».

15Un nouvel article L. 851-3 du CSI prévoit, pour les seuls besoins de la prévention du terrorisme, la possibilité de recourir à un dispositif destiné à détecter une menace terroriste, sur la seule base de traitements automatisés et sans procéder à l'identification de personnes déterminées. En d'autres termes, il s'agit de repérer par le biais d'un algorithme (formule mathématique... ), une succession suspecte de données de connexion anonymes et plus précisément de détecter des signaux dits faibles de préparation d'un acte de terrorisme. Comme l'indique utilement la CNIL, ceux-ci « s'entendent de tendances, de modus operandi, ou encore de traces qui risquent d'être illisibles ou non détectables isolément, mais qui, rapportées à un ensemble de personnes, mettent en évidence des occurrences révélatrices de certains comportements » [31]. Quant à la technologie employée, le recours à un dispositif algorithmique suppose la définition préalable de critères de recherche et de sélection dont la fiabilité et la pertinence ne peuvent être totalement assurées. Il n'est pas contesté que rien ne permet de garantir avec certitude que les données brutes relatives à des personnes totalement étrangères à la préparation d'actes de terrorisme ne seront pas détectées et, le cas échéant, collectées. Un tel dispositif a amplement démontré son inefficacité dans les pays qui l'ont utilisé [32], notamment parce que tout algorithme prédictif des comportements humains peut produire des faux positifs [33].

16L'article L. 851-6 I. du CSI prévoit la possibilité, pour les services de renseignement, de collecter des données de connexion à partir d'un « appareil » ou d'un « dispositif technique mentionné au 1° de l'article 226-3 du code pénal » [34]. Ces nouvelles dispositions du CSI sont destinées à légaliser le recours à la technologie dite de « l'IMSI-catching », qui permet de capter, par le biais d'une fausse antenne relais, les données de connexion de toutes les personnes détenant un périphérique électronique (téléphone cellulaire, ordinateur, tablette, etc.) dans une zone géographique déterminée. Ainsi, les données relatives à des personnes étrangères à la mission de renseignement se trouvant dans le périmètre d'action de « l'IMSI-catcher » sont inévitablement interceptées à leur insu [35]. Jean-Marie Delarue parle à ce propos de pêche au chalut d'informations.

17La loi légalise ainsi la possibilité d'une collecte systématique, généralisée et indifférenciée de données de connexion. De ce fait, la caractérisation d'un intérêt légitime justifiant une ingérence dans l'exercice du droit à la vie privée est totalement illusoire. La CNCDH y a vu une violation flagrante de l'article 8 de la Conv. EDH.

18Enfin, l'article L. 852-1 du CSI étend la possibilité d'intercepter les correspondances à l'entourage de la personne initialement surveillée, c'est-à-dire à son univers relationnel [36]. Il ne faudrait pas que l'application de ces nouvelles dispositions permette, par un effet de réaction en chaîne, l'interception de correspondances émises entre des personnes qui ne sont pas en relation directe et immédiate avec les activités supposées délictueuses de la personne surveillée. Les services de renseignement devront-ils toujours se contenter d'une conception limitée au niveau N+1 (membres de la famille, personnes à proximité directe) ou exploiteront-ils cette brèche laissée par la loi pour surveiller des niveaux supérieurs (N+2 : personnes du carnet d'adresse, N+3 : personnes en lien avec les personnes N+2) ? [37]

19Au regard de ce qui précède, les nouvelles dispositions bouleversent considérablement la politique du renseignement, ainsi que la conception du travail, des missions et des mesures de surveillance. Il ne s'agit plus seulement d'accéder aux données utiles concernant une personne identifiée comme devant faire l'objet d'une surveillance particulière, mais de permettre de collecter de manière systématique, généralisée et indifférenciée un volume important de données, qui peuvent, le cas échéant, être relatives à des personnes totalement étrangères à la mission de renseignement.

B - L'imprécision du périmètre du champ du recueil du renseignement

20Rappelons que sur le fondement de l'article 8 de la Conv. EDH, la Cour de Strasbourg estime que « les mesures de surveillance doivent [... ] se fonder sur une loi d'une précision particulière ; l'existence de règles claires et détaillées apparaît indispensable, d'autant que les procédés techniques utilisables ne cessent de se perfectionner » [38]. Plusieurs dispositions de la nouvelle loi ne satisfont pas à ces exigences.

21 Le nouvel article L. 811-3 du CSI énumère apparemment limitativement les motifs d'intérêt public pour lesquels peut être autorisé le recueil du renseignement dans les termes suivants :

22 « Pour le seul exercice de leurs missions respectives, les services spécialisés de renseignement peuvent recourir aux techniques mentionnées au titre V du présent livre pour le recueil des renseignements relatifs à la défense et à la promotion des intérêts fondamentaux de la Nation suivants :

23

• 1° L'indépendance nationale, l'intégrité du territoire et la défense nationale ;
• 2° Les intérêts majeurs de la politique étrangère, l'exécution des engagements européens et internationaux de la France et la prévention de toute forme d'ingérence étrangère ;
• 3° Les intérêts économiques, industriels et scientifiques majeurs de la France ;
• 4° La prévention du terrorisme ;
• 5° La prévention :
  • a) Des atteintes à la forme républicaine des institutions ;
  • b) Des actions tendant au maintien ou à la reconstitution de groupements dissous en application de l'article L. 212-1 ;
  • c) Des violences collectives de nature à porter gravement atteinte à la paix publique ;
• 6° La prévention de la criminalité et de la délinquance organisées ;
• 7° La prévention de la prolifération des armes de destruction massive ».

24En l'absence de définition précise et restrictive des finalités pour lesquelles les services spécialisés de renseignement peuvent recourir aux techniques énoncées plus haut, le champ du recours à ces techniques de renseignement s'avère potentiellement illimité, alors qu'il devrait impérativement demeurer exceptionnel [39]. Il convient de relever le caractère particulièrement flou de la notion « d'intérêts majeurs de la politique étrangère » [40]. Il en est de même de la référence aux « intérêts économiques, industriels et scientifiques majeurs de la France ». Parmi ces motifs figurent également « la prévention des atteintes à la forme républicaine des institutions » ou encore « la prévention de la criminalité et de la délinquance organisée » [41]. Celles-ci reposent sur la notion extrêmement floue de « bande organisée » - critiquée à juste titre par la doctrine [42] - tant sur le plan juridique que sur le plan criminologique. De plus, le régime de la criminalité et de la délinquance organisée est tentaculaire car la liste des infractions qui en relève est vaste, fluctuante et peu cohérente ; pour s'en convaincre il suffit de lire les articles 706-73 et 706-74 du code de procédure pénale) [43]. En définitive, ces articles ne définissent pas un comportement incriminé, mais désignent un inventaire d'infractions dont le seul point commun est d'être commises en bande organisée sans que l'on sache exactement ce qu'est une bande organisée [44]. Dans ces conditions, l'exigence de clarté et de précision de la loi n'est pas remplie.

25Pour autant, le Conseil constitutionnel, saisi par le Président de la République, par le président du Sénat et par soixante députés n'en a pas jugé ainsi :

26« Considérant que les dispositions de l'article 811-3 doivent être combinées avec celles de l'article L. 801-1, dans sa rédaction résultant de l'article 1^er de la loi déférée, aux termes desquelles la décision de recourir aux techniques de renseignement et les techniques choisies devront être proportionnées à la finalité poursuivie et aux motifs invoqués ; qu'il en résulte que les atteintes au droit au respect de la vie privée doivent être proportionnées à l'objectif poursuivi ; que la Commission nationale de contrôle des techniques de renseignement et le Conseil d'État sont chargés de s'assurer du respect de cette exigence de proportionnalité ; Considérant qu'il résulte de ce qui précède que les dispositions de l'article L. 811-3 du code de la sécurité intérieure doivent être déclarées conformes à la Constitution. »

27C'est donc à la CNCTR qu'il revient de combler, par un contrôle de proportionnalité, l'imprécision du périmètre du champ du recueil du renseignement voire sa démesure.

28 Il s'avère que dans le cadre d'une surveillance très élargie, voire massive, la recherche technique a du mal à distinguer les cibles domestiques des cibles étrangères [45]. Le risque d'un « état panoptique » est donc à prendre au sérieux et un contrôle efficace des opérations de recueil du renseignement est essentiel. Comme nombre de commentateurs l'ont observé, tout l'équilibre de la loi relative au renseignement repose donc sur la qualité du contrôle exercé dorénavant par la Commission nationale de contrôle des techniques de renseignement (CNCTR) qui remplace, depuis le 3 octobre 2015, l'ancienne Commission nationale de contrôle des interceptions de sécurité (CNCIS). La CNCIS avait su rapporter la preuve de sa parfaite indépendance. En sera-t-il de même de la CNCTR, en a-t-elle les moyens ?

A - L'efficacité entravée par l'organisation de la CNCTR

B - L'effectivité du contrôle entravée par les prérogatives trop limitées de la CNCTR

40Il est indéniable que le renforcement des prérogatives de la CNCTR constituerait l'une des garanties essentielles entourant le recours aux techniques de renseignement et le contrôle de celles-ci [62]. L'Étude d'impact souligne dans ce sens que les pouvoirs de la CNCTR « doivent être élargis pour permettre à cette AAI de constituer un contrepoids efficace au Gouvernement dans l'utilisation des techniques de renseignement » [63]. Pourtant certaines dispositions de la loi nouvelle limitent explicitement les prérogatives de la nouvelle institution, alors que d'autres le font implicitement

41À l'instar de la plupart des AAI [64], la CNCTR est dotée d'attributions relevant de l'administration consultative. Elle est habilitée par la loi à formuler des avis (CSI, art. L. 821-3) ou des recommandations (CSI, art. L. 833-6), mais ceux-ci ne lient pas le Premier ministre, qui doit simplement informer sans délai la Commission des suites données à ses recommandations (CSI, art. L. 833-7). Autrement dit, la nouvelle CNCTR ne dispose d'aucun pouvoir de contrainte directe sur les opérations de recueil du renseignement qu'elle juge illégales [65]. Par voie de conséquence, certains ont pu avec pertinence écrire que « l'autorité administrative indépendante s'apparente à un géant du contrôle passablement désarmé et condamné à la magistrature d'influence, là où le juge (administratif ou judiciaire) disposerait de l'autorité nécessaire et des moyens de contrainte immédiats sur les autorités publiques » [66]. Aussi, seul un avis préalable et conforme constituerait-il une véritable garantie [67], d'autant que si le Premier ministre ne donne pas suite aux recommandations de la Commission ou si les suites données sont insuffisantes, le Président de la CNCTR ou trois de ses membres ne disposent que de la faculté de saisir le Conseil d'État (CSI, art. L. 833-8, L. 841-1 et, plus spécifiquement, L. 853-3, III) [68]. En définitive, cela montre clairement que le pouvoir de décision du Premier ministre est exercé sous le seul contrôle du Conseil d'État [69].

42La question de la procédure d'avis conforme nous conduit à aborder celle, très délicate, du rapport qu'entretiennent les AAI avec la Constitution [70]. Certes, la jurisprudence constitutionnelle prohibe, en application de l'article 21 de la Constitution de 1958, tout partage du pouvoir réglementaire du Premier ministre par le biais d'une codécision avec une autorité publique habilitée à rendre un avis conforme [71]. Mais elle ne s'oppose pas à ce que la procédure d'avis conforme porte sur des « mesures de portée limitée tant par leur champ d'application que par leur contenu » [72], et donc, à plus forte raison, sur les décisions administratives individuelles, y compris en matière de police administrative, aucun principe ou règle de valeur constitutionnelle ne faisant au demeurant obstacle à ce qu'une AAI agisse dans le cadre de prérogatives de puissance publique [73]. Dans ces conditions, la consécration d'une procédure d'avis conforme aurait pu être envisagée par le législateur. Il aurait été utile que l'Étude d'impact aborde très précisément cette question.

43Par ailleurs, le projet de loi comprenait un article L. 821-6 du CSI disposant qu'en cas « d'urgence liée à une menace imminente ou à un risque très élevé de ne pouvoir effectuer l'opération ultérieurement », les services de renseignement pouvaient directement installer, utiliser et exploiter des dispositifs de géolocalisation et des dispositifs de proximité (« IMSI-catcher »), à charge d'en informer sans délai et par tout moyen la CNCTR et le Premier ministre. Le Conseil constitutionnel a censuré cette procédure d'urgence opérationnelle, dès lors qu'elle porte une atteinte disproportionnée au droit au respect de la vie privée et au secret des correspondances (articles 2 et 4 de la Déclaration de 1789), en ce qu'elle « permet de déroger à la délivrance préalable d'une autorisation par le Premier ministre ou par l'un de ses collaborateurs directs habilités au secret de la défense nationale auxquels il a délégué cette attribution, ainsi qu'à la délivrance d'un avis préalable de la CNCTR ; qu'elle ne prévoit pas non plus que le Premier ministre et le ministre concerné doivent être informés au préalable de de la mise en œuvre d'une technique dans ce cadre » [74].

44En revanche, la procédure d'urgence absolue a été déclarée conforme à la Constitution. En effet, les nouvelles dispositions ne prévoient pas le recueil préalable de l'avis de la CNCTR en cas « d'urgence absolue » et pour les seuls motifs de prévention du terrorisme, de prévention des atteintes à la forme républicaine des institutions ou de préservation de l'indépendance nationale, de l'intégrité du territoire et de la défense nationale (article L. 821-5 du CSI). Dans ce cas, l'autorisation de recourir à une technique de renseignement est donnée par le Premier ministre ou les personnes spécialement déléguées par lui à charge pour eux d'en informer « sans délai et par tout moyen » la CNCTR et de faire parvenir à cette autorité, dans un délai maximal de 24 heures, des éléments de motivation relatifs au recours à la technique de renseignement et à la caractérisation de l'urgence. Aucune régularisation a posteriori n'est cependant organisée, si bien que le Premier ministre peut se passer de l'avis préalable de la CNCTR, pourvu que cela s'opère dans le strict respect des conditions posées à l'article L. 821-5 du CSI exposées ci-dessus [75]. Pourtant, la mise en œuvre de cette procédure dérogatoire repose sur un critère extrêmement vague celui de l'urgence absolue. On peut légitimement craindre qu'il y soit, en pratique, recouru de manière large [76]. Rappelons que la CNCIS, était en mesure de se prononcer extrêmement rapidement en cas d'urgence (en moins d'une heure) [77]. Opter pour une composition plus resserrée, comme c'était le cas de la CNCIS, aurait permis un contrôle rapide et efficace de la CNCTR. La question de l'utilité pratique d'une procédure dérogatoire doit être posée.

45Si le contrôle de la CNCTR a toute sa pertinence pour le recours à des techniques ciblées sur des personnes préalablement identifiées, on peut raisonnablement craindre que sa portée ne soit très fortement atténuée dans le cadre des techniques de renseignement permettant une collecte très étendue, voire massive, de données (dispositif de proximité, recueil en temps réel sur les réseaux des opérateurs, dispositif algorithmique) [78]. À cet égard, nous formulerons plusieurs observations [79].

461. Nous ne pouvons à ce jour qu'espérer que la CNCTR sera en mesure de faire face au flux des demandes individuelles qui lui seront adressées par le Premier ministre, dès lors qu'aux termes de l'article L. 832-4 du CSI elle doit pouvoir disposer « des moyens humains et techniques nécessaires à l'accomplissement de sa mission ainsi que des crédits correspondants, dans des conditions fixées par la loi de finances ».

472. Les moyens de recueil du renseignement devront être confiés à un service technique neutre qui n'est pas en charge de l'exploitation du renseignement [80]. L'efficacité du contrôle de la CNCTR en dépend.

483. Les articles L. 851-6, III et L. 852-1 IV du CSI donnent compétence au Premier ministre pour procéder à la centralisation des données de connexion et à celle des correspondances interceptées. À ce sujet, il est regrettable que l'Exposé des motifs et l'Étude d'impact passent sous silence la question cruciale des modalités concrètes de la centralisation des données brutes, notamment le lieu de leur stockage qui doit impérativement être un lieu neutre. Pourtant, de l'organisation de cette centralisation dépendra l'organisation d'un contrôle effectif du respect du cadre légal [81]. Dans sa réponse à la CNCDH mise en ligne, à la suite de l'avis de la CNCDH du 16 avril 2015, le ministre de l'Intérieur précise utilement que les techniques de renseignement qui sont mises en œuvre de manière opérationnelle, le sont de manière décentralisée sur le terrain, par les services spécialisés compétents (cas de l'installation d'un dispositif de proximité par exemple). Il est donc prévu de conserver ces données dans un nombre limité de lieux, mais non dans un seul lieu [82]. Or, il ne faudrait donc pas que les modalités de stockage rendent difficile, voire entravent, l'accès de la CNCTR aux données.

494. Si la CNCTR se voit reconnaître un droit d'accès permanent aux renseignements collectés (CSI, art. L. 833-2, 2° nouveau), les nouvelles dispositions doivent être interprétées dans le sens d'un accès permanent aux données brutes collectées. Au vu de leur masse, seul un accès non seulement permanent, mais encore généralisé et immédiat, lui permettrait de mener à bien sa mission de contrôle. Cet accès serait d'autant plus facile que les données seraient conservées en un seul et même endroit.

505. Toujours en raison de l'importance quantitative des données susceptibles d'être collectées, il apparaît indispensable de fixer des critères de pertinence (et de non pertinence) de celles-ci. À défaut, on peut légitimement douter que la CNCTR soit en mesure de déterminer rapidement si les données qui lui sont remises sont pertinentes ou pas. La Commission ne pourra davantage contrôler si les données sans lien avec la mission de renseignement ont été détruites conformément aux nouvelles dispositions. Dans ces conditions, on peut craindre que l'AAI ne puisse remplir efficacement et promptement sa mission de contrôle.

51À cela s'ajoute, l'augmentation des durées maximales de conservation des données collectées par l'article L. 822-2 du CSI. S'agissant des interceptions de sécurité, il fait passer de 10 à 30 jours (à compter de leur recueil) le délai de conservation des correspondances enregistrées. Sous le droit antérieur, la brièveté du délai imposait la transcription rapide de celles-ci, afin que la Commission nationale de contrôle des interceptions de sécurité (CNCIS) puisse immédiatement remplir sa mission de contrôle, en confrontant le contenu des enregistrements à celui de leur transcription. Du fait de l'augmentation du délai prévue par la loi nouvelle, des enregistrements pourront demeurer un mois sans transcription, ce qui entraîne un risque non négligeable de déperdition ou de divulgation du renseignement. Cet allongement du délai aura surtout pour conséquence fâcheuse de retarder le contrôle de la CNCTR et de le rendre ainsi quasiment inefficace. En pratique, des personnes pourraient être surveillées pendant de nombreuses heures, sans que cela soit justifié au regard des dispositions du code de la sécurité intérieure et sans que la nouvelle Commission puisse recommander promptement qu'il soit mis fin, tout aussi promptement, à l'interception. Par voie de conséquence, dans son avis la CNCDH a justement estimé que les nouvelles dispositions sont de nature à porter une atteinte disproportionnée au droit à la vie privée garanti à l'article 8 de la Conv. EDH. C'est pourquoi, elle a recommandé instamment et sans succès le maintien à 10 jours de la durée de conservation des correspondances enregistrées [83].

52Le même article L. 822-2 du CSI fait passer de 3 à 4 ans la durée maximale de conservation des données de connexion. L'Étude d'impact est totalement silencieuse sur les raisons de cette modification, alors pourtant que la Cour de justice de l'Union européenne exige que des critères objectifs soient établis afin de garantir que la durée de conservation soit limitée au strict nécessaire [84]. À cela s'ajoute qu'au-delà du risque de déperdition et de divulgation inhérent à cette longue durée de conservation, il est indéniable que celle-ci pose problème au vu de la sensibilité des données concernées, notamment du fait de la possibilité d'une collecte très étendue [85]. Nous y voyons un risque non négligeable de violation du droit au respect de la vie privée et pour cette raison la CNCDH avait recommandé une réduction de la durée de conservation des données de connexion.

536. Le nouvel article L. 822-1 du CSI dispose dans un alinéa second que les services de renseignement établissent - sous l'autorité du Premier ministre et dans les conditions définies par lui - un relevé qui mentionne la date de mise en œuvre de la technique de renseignement, celle de son achèvement, celle de sa première exploitation, ainsi que la nature des renseignements collectés. Ce relevé est tenu à la disposition de la CNCTR qui peut y accéder à tout moment. Si les services de renseignement agissent en principe avec sincérité, les nouvelles dispositions ne garantissent pas que les relevés tenus à la disposition de la CNCTR épuisent l'activité réelle de ces services. De plus, rien n'est prévu s'agissant de la mention du contenu précis des données collectées, la référence à la « nature des renseignements collectés » étant extrêmement vague. Dans ces conditions, on peut légitimement craindre que le contrôle que la CNCTR doit effectuer sur les relevés ne soit pas effectif.

54Le fonctionnement et l'histoire de la CNCTR permettront de dire si nos craintes sur l'efficacité et l'effectivité du contrôle étaient ou non fondées.

55C'est maintenant de la Cour européenne des droits de l'homme qu'est attendu un contrôle de conventionalité d'une loi qui, si elle permet au renseignement français de ne plus être « hors la loi » [86], n'en est pas moins un texte dangereux pour les droits et libertés fondamentaux avec en outre un impact sur la cohésion sociale par le soupçon qu'elle génère [87]. La CEDH est déjà saisie, elle l'a été d'un premier recours le 3 octobre 2015 par 180 journalistes de l'association confraternelle de la presse judiciaire (APJ) s'alarmant des nouvelles menaces portées à la liberté d'informer et protestant contre la surveillance de masse qu'autorise le texte pour les simples citoyens.