AgentPublic/cnil huggingface dataset:
Le recours à cette technique de renseignement très particulière, selon les modalités décrites ci-dessus, ne saurait être admise que s’il est nécessaire et proportionné à l’objectif de lutte contre le terrorisme.
D’une part, la Commission relève que la mise en œuvre de ce type de dispositifs doit permettre de doter les services de renseignement de moyens d’action adéquats face aux menaces persistantes qui pèsent sur les intérêts fondamentaux de la Nation et, plus particulièrement, permettre la détection de manière précoce de menaces terroristes. Le Gouvernement estime que cette nouvelle technique de renseignement est rendue nécessaire par l’évolution de la menace terroriste, qui proviendrait d’individus n’appartenant pas à des groupes ou organisations structurées et identifiables, dont la radicalisation et le passage à l’acte sont mal appréhendés par les techniques de renseignement ciblées.
Le Gouvernement a par ailleurs souligné que ces traitements algorithmiques sont utilisés pour repérer des personnes dont les services de renseignement déterminent ensuite, sous le contrôle de la CNCTR, s’il est nécessaire de les soumettre à une mesure de surveillance ciblée en cas de suspicion de menace terroriste. Cet équilibre répond à une exigence de la CJUE qui demande que l’utilisation de l’algorithme ne conduise pas à une décision automatisée de surveillance ciblée. Le traitement de l’ensemble des données de connexion auprès des acteurs concernés permet de détecter les individus dont la radicalisation serait repérable par leur activité numérique, au moyen notamment d’un mécanisme de hit/no hit, afin dans un second temps de de déclencher une surveillance ciblée.
Enfin, la mise en œuvre de cette technique est entourée d’une série de garanties et de contrôle, consistant notamment à subordonner la mise en œuvre d’une telle technique à une autorisation du Premier ministre après avis de la CNCTR, celle-ci disposant d’un pouvoir de recommandation et de saisine d’une juridiction spécialisée dont les décisions sont contraignantes. En outre, le Gouvernement prévoit dans le projet de loi que cette technique ne pourra plus être exercée directement par les services de renseignement mais par un service distinct du Premier ministre (le GIC), sous le contrôle de la CNCTR. Le projet de loi propose également de supprimer la possibilité de proroger la durée de conservation des données issues de cette technique.
D’autre part, la Commission ne peut que rappeler que l’utilisation d’une telle technique porte une atteinte particulièrement forte à la vie privée des individus et au droit à la protection des données à caractère personnel, garantis notamment par la Constitution et la charte des droits fondamentaux de l’Union européenne, puisqu’elle ne présente pas de caractère ciblé mais procède de l’analyse de l’ensemble des données de connexion de la population. La mise en œuvre d’une surveillance poussée de l’intégralité des données de connexion pourrait, à elle seule, entraîner des effets dissuasifs sur l’exercice de leur liberté d’information et d’expression par les utilisateurs d’Internet et des réseaux de communications électroniques. En outre les modalités particulières de mise en œuvre de ces algorithmes accentuent l’atteinte portée au respect de la vie privée des personnes et à la protection de leurs données personnelles.
S’agissant des informations pouvant être exploitées en application de cet article, la Commission rappelle que les traitements mis en œuvre au moyen de traitements algorithmiques consistant à analyser les données de connexion et de localisation constituent des traitements de données à caractère personnel. Dans la décision précitée de la CJUE, il a été rappelé que les informations visées (données relatives au trafic et de localisation) fournissent les moyens d’établir le profil des personnes concernées en ce qu’elles concernent un nombre important d’aspects de la vie privée des personnes concernées, y compris des informations sensibles (…) . A cet égard, la Commission estime que la formulation de l’article L. 851-3 du CSI, qui mentionne que les données concernées sont recueillies sans permettre l’identification des personnes auxquelles les informations se rapportent , devrait être modifié dans la mesure où ces données sont susceptibles de permettre l’identification des personnes.
La Commission observe en particulier que cette technique de repérage automatique est susceptible d’entraîner le recueil et l’analyse de données de connexion de toute personne, y compris celles dont les communications sont soumises, selon les règles nationales, au secret professionnel.
Enfin, la Commission rappelle le risque lié à l’inclusion de biais dans les algorithmes déployés, lors de la conception ou de l’entraînement des modèles, qui peut conduire à des faux positifs ou à des faux négatifs nuisant notamment à l’efficacité opérationnelle du dispositif et entraîner des conséquences dommageables pour les personnes concernées. La Commission estime que le ministère devrait initier des travaux sur le sujet et rappelle la nécessité de se montrer particulièrement vigilant dans le cadre de ces différentes phases d’élaboration des modèles algorithmiques.
La Commission prend d’ailleurs acte des précisions du ministère qui a indiqué que les algorithmes reposent en principe sur des modèles générant les signaux de hit / no hit à partir de sélecteurs stricts, provenant souvent des méthodes traditionnelles de renseignement. Cette solution contribue non seulement à l’efficacité opérationnelle de la mesure de renseignement mais constitue aussi une solution plus protectrice de la vie privée et contribuant à assurer la proportionnalité du dispositif. Elle encourage donc le ministère à se construire une doctrine d’usage qui favorise ce type d’algorithme.
En conséquence de ce qui précède, la Commission estime que l’introduction de telles techniques de surveillance dans le droit français ne peut être justifiée qu’à des conditions très strictes. Elle relève que le projet de loi maintient la limitation de cette technique au seul objectif de détection des menaces terroristes. Il était nécessaire de procéder par expérimentation, comme l’a fait la loi de 2015, et la pérennisation de cette technique n’est envisageable que si, d’une part, la protection de la population contre les menaces terroristes ne peut être assurée de façon satisfaisante par les moyens traditionnels de surveillance ciblée, ce qu’il appartient au Gouvernement d’établir, et si d’autre part, cette technique est assortie des garanties suffisantes pour en limiter l’usage au strict nécessaire et assurer que les abus soient repérés et sanctionnés.
En ce qui concerne le principe de la pérennisation
L’article 1er du projet de loi prévoit de pérenniser la mise en œuvre de la technique de renseignement dite de l’algorithme , jusqu’alors expérimentale et arrivant à échéance au 31 décembre 2021. Les garanties apportées sont principalement celles précédemment présentées.
Afin de pouvoir se prononcer sur la pérennisation, il est nécessaire d’évaluer précisément les bénéfices retirés de ce dispositif durant les années d’expérimentation, pour les comparer à l’atteinte à la vie privée que représente cette forme de surveillance très particulière. A cet égard, la loi prévoit que le Gouvernement remet au Parlement un rapport sur l’application de cette disposition au plus tard le 30 juin 2021. La Commission a pris connaissance d’un bilan général de l’expérimentation mais estime que le ministère ne lui a pas transmis d’éléments suffisamment précis lui permettant d’apprécier l’efficacité opérationnelle et l’efficience de cette technique (tel qu’un bilan comprenant des éléments quantitatifs sur le nombre de cas identifiés, de faux positifs, de levée de pseudonymat, de durée d’utilisation des ces algorithmes, etc.). Il a été indiqué que des éléments protégés par le secret de la défense nationale seraient fournis à d’autres autorités, notamment la délégation parlementaire au renseignement. Dans ces conditions elle estime ne pas être en mesure d’évaluer les bénéfices de cette technique de renseignement et, par voie de conséquence, d’apprécier la proportionnalité de l’atteinte qu’elle porte au respect de la vie privée.
Sur la collecte de données relatives aux adresses complètes de ressources sur Internet (articles 8 et 9 du projet de loi)
Les articles 8 et 9 du projet de loi prévoient d’ajouter aux informations pouvant faire l’objet d’un recueil et d’une surveillance automatisés les adresses complètes de ressources sur Internet . Cette modification intervient pour les deux techniques de recueil administratif de données que sont le recueil de données en temps réel et le recueil au moyen d’un traitement algorithmique (prévus respectivement aux articles L. 851-2 et L. 851-3 du CSI).
A titre liminaire, la Commission estime que la notion d’ adresses complètes de ressources sur Internet , ajoutée aux articles L. 851-2 et L. 851-3 du CSI n’est pas strictement identique à la notion d’URL , souvent utilisée dans les documents transmis par le ministère dans le cadre de l’instruction de la demande d’avis. En effet, si le mécanisme des URL peut servir à désigner des ressources stockées sur un serveur, de nombreux services l’utilisent également pour transmettre des informations à un serveur ou pour conserver des éléments relatifs à la session en cours. C’est par exemple le cas des paramètres des requêtes query strings et des informations des formulaires HTML remplis par les usagers, ces données étant agrégées à la fin des URL et transmises avec elles. Elle invite donc le gouvernement à s’interroger sur le périmètre précis qu’il entend définir et à affiner la formule. Si l’expérimentation devait concerner toutes les URL, une formule du type adresse de ressource sur internet et paramètres associés à cette adresse pourrait être envisagée.
Par ailleurs, elle rappelle que s’il est techniquement possible d’identifier le nom de domaine d’une URL consultée par un internaute en obtenant le détail des résolutions DNS qu’il aurait effectuées auprès de son fournisseur d’accès à Internet, il en va autrement du chemin complet de la ressource. En effet, l’URL n’est pas lisible en clair par l’opérateur dès lors que la transmission de données concernée est chiffrée entre le terminal de l’utilisateur et les serveurs concernés (via le protocole HTTPS par exemple, qui est utilisé aujourd’hui pour la quasi-totalité des connexions sur le web). La Commission prend acte que la collecte auprès des opérateurs vise uniquement les URL non chiffrées, le déchiffrement n’étant à ce stade pas envisagé par les services de renseignement.
S’agissant de l’admissibilité de l’extension de ces deux techniques de renseignements aux URL, la Commission rappelle que ces données ont une nature particulière. Comme souligné par le Comité européen de la protection des données (CEPD), les URL sont susceptibles de faire apparaître des informations relatives au contenu des éléments consultés ou aux correspondances échangées. La Commission rappelle que la protection particulière dont bénéficient les données de contenu ainsi que les correspondances représente une garantie essentielle pour assurer le respect de la vie privée et des autres libertés afférentes.
Le Conseil constitutionnel a, dans sa décision n°2015-713 DC du 23 juillet 2015 concernant la loi relative au renseignement, relevé (pt 55), au titre des garanties appliquées aux méthodes de recueil ou de traitement en cause, l’impossibilité de recueil de données portant sur le contenu des correspondances échangées ou des informations consultées, sous quelque forme que ce soit, dans le cadre de ces communications . C’est notamment au regard de cette garantie et, conformément à l’analyse du Gouvernement, qui avait alors précisé que le dispositif des algorithmes ne porterait que sur des données de connexion (ou méta données) et non sur le contenu des communications, qu’il a déclaré conformes les techniques de renseignement précitées.
De manière générale, la Commission, qui ne remet pas en cause l’utilité, notamment opérationnelle, que représenterait la possibilité d’étendre la nature des données actuellement collectées, dans un contexte au sein duquel les techniques de communication comme la menace terroriste évoluent fortement, estime qu’il ne lui est pas possible de se prononcer sur la proportionnalité d’une telle atteinte ex ante. Elle estime donc que, comme pour le principe de la technique de surveillance par traitement algorithmique, le législateur devrait dans un premier temps, et y compris s’il choisissait de pérenniser la technique de renseignement algorithmique, passer à nouveau, sur ce point, par une expérimentation avant de l’étendre définitivement à ces nouvelles catégories de de données. Cette expérimentation pourrait permettre, plus généralement, d’évaluer finement l’utilité de cette technique de renseignement pour toutes les données de connexion liées à l’usage d’internet puisque, selon la compréhension de la Commission, les seuls algorithmes utilisés jusqu’ici l’ont été pour des données de connexion téléphoniques.
Sur la conservation de données à des fins de recherche et de développements des techniques de renseignement (article 11 du projet de loi)
L’article 11 du projet de loi envisage de compléter l’article L. 822-2 du CSI afin de prévoir une conservation ainsi qu’une réutilisation des données collectés par le biais des techniques de renseignement aux seules fins de recherche et développement en matière de renseignement. La conservation à cette fin ne peut excéder cinq années après le recueil des données.
La Commission, qui se prononce pour la première fois sur une telle disposition, prend acte de ce que la mise en œuvre d’un tel dispositif n’a pas vocation à permettre d’assurer le suivi et/ou l’identification de personnes, au même titre que les techniques de renseignement, mais à exploiter ces données à des fins de recherche, pour permettre le développement et l’amélioration des capacités de techniques de recueil et d’exploitation.
Elle souligne que si les finalités de conservation et d’exploitation de ces informations, légitimes, sont bien distinctes de celles ayant justifié leur collecte, il n’en demeure pas moins que le traitement de ces données, et en l’absence de toute mesure permettant l’anonymisation totale de ces informations, constitue un traitement de données à caractère personnel au sens de la réglementation applicable. A cet égard, et compte tenu des finalités pour lesquelles un tel traitement serait mis en œuvre, la Commission considère, que la loi du 6 janvier 1978 modifiée, et plus particulièrement son titre IV, a vocation à s’appliquer au traitement projeté, sous réserve de dispositions spéciales du CSI y dérogeant. Sur ce dernier point, elle relève en particulier que les programmes de recherches n’auraient pas à être autorisés par des actes réglementaires en application des articles 31 et suivants de la loi du 6 janvier 1978 dès lors que le projet de loi prévoit déjà un mécanisme d’autorisation spécifique.
Elle rappelle que, s’agissant de la loi précitée, son article 4-2° prévoit que le traitement ultérieur de données à des fins de recherche est considéré comme compatible avec les finalités initiales de la collecte des données, s'il est réalisé dans le respect des dispositions applicables en matière de protection de données.
La Commission relève que le ministère, afin d’assurer comme le prévoit le projet de loi, que cette conservation est opérée dans la mesure strictement nécessaire à l’acquisition des connaissances suffisantes pour développer, améliorer et valider les capacités techniques de recueil et d’exploitation a assorti de garanties la mise en œuvre de ce dispositif. A cet égard, seuls les agents spécialement habilités à cet effet et exclusivement affectés à cette mission pourront accéder aux données, les motifs et finalités pour lesquels les informations ont été collectées ne seront pas conservées, et enfin, il ne sera pas possible de rechercher l’identité d’une personne par l’intermédiaire de ce dispositif. Les paramètres techniques de chaque programme de recherche seront autorisés par le Premier ministre, après avis de la CNCTR, laquelle sera en mesure d’user de ses pouvoirs de contrôle, de recommandation et de saisine du juge.
La Commission accueille favorablement la mise en œuvre de ces garanties. Elle estime néanmoins que le régime de réutilisation des données, dans son ensemble, devrait être encadré par un décret d’application et que des garanties complémentaires soient prévues dans l’hypothèse où ce traitement serait mis en œuvre au moyen d’un traitement algorithmique.
En effet, les modalités ainsi que les critères pris en compte par le traitement algorithmique devront être clairement définis avant toute mise en œuvre du traitement projeté et une attention particulière devra être portée aux principes cardinaux de vigilance et de loyauté tout au long du développement de ce traitement. D’une part, compte tenu de la particulière sensibilité des informations susceptibles d’être traitées ainsi que du volume de données ayant vocation à être exploité, une attention particulière devra être portée aux évolutions envisagées des traitements algorithmiques et plus particulièrement à la présence d’éventuels biais. Elle appelle également à être vigilant sur le traitement d’éventuelles données sensibles lors de l’entraînement des algorithmes.
Sur la communication d’informations relatives à l’admission d’une personne faisant l’objet d’une mesure d’hospitalisation sans consentement (article 6 du projet de loi)
L’article 6 du projet de loi prévoit d’introduire un article L. 3211-12-7 au code de la santé publique afin de permettre la communication d’informations relatives à l’admission d’une personne en soins psychiatriques sans consentement, au représentant de l’Etat dans le département, et à Paris, au préfet de police, ainsi qu’aux services de renseignement mentionnés aux articles L. 811-2 et L. 811-4 du CSI afin d’assurer le suivi de cette personne qui représente une menace grave pour la sécurité et l’ordre publics à raison de sa radicalisation à caractère terroriste. De telles informations sont aujourd’hui uniquement communiquées au préfet du département d’hospitalisation de la personne concernée.
Le ministère entend notamment, par une telle évolution, permettre de pallier l’absence d’information du préfet qui se situe hors du département d’hospitalisation de la personne concernée. Si le principe de la dérogation au secret médical relève de la loi, la Commission rappelle que les conditions de mise en œuvre de cette possibilité devront être strictement encadrées par voie réglementaire, (et notamment les dispositions relatives aux fichiers concernés).
A cet égard, le ministère envisage de mettre en œuvre cette possibilité au moyen d’une mise en relation entre le Fichier de traitement des signalements pour la prévention de la radicalisation à caractère terroriste (FSPRT) et les traitements de données à caractère personnel relatifs au suivi des personnes en soins psychiatriques sans consentement dénommés HOPSYWEB .
Dans l’hypothèse où les dispositions introduites par le projet de loi auraient uniquement vocation à permettre une telle possibilité, et ainsi se limiter à la seule mise en relation entre ces deux fichiers, la Commission rappelle les observations formulées dans sa délibération n° 2018-354 du 13 décembre 2018 dans laquelle, sans remettre en cause la légitimité d’une telle transmission, elle s’était fortement interrogée sur les conditions de sa mise en œuvre.
Plus particulièrement, et au regard de la sensibilité particulière des informations relatives à une admission en soins psychiatriques couverte par le secret médical et aux risques pour les personnes concernées, elle appelle à un encadrement strict des conditions de mise en œuvre de cette transmission, notamment un renforcement de la sécurisation des procédures de vérification d’identité et de recueil d’informations complémentaires. La Commission rappelle en outre que les informations communiquées devront être strictement nécessaires à l’accomplissement des missions du représentant de l’Etat et des services de renseignement et se limiter à ce qui est prévu aux articles L. 3212-5, L. 3212-8 et L. 3213-9 du code de la santé publique et à l’article 706-135 du code de procédure pénale.
Sur la transmission d’informations couvertes par un secret protégé par la loi aux services de renseignement (article 10 du projet de loi)
Les modifications de l’article L. 863-2 du CSI par l’article 10 du projet de loi visent à autoriser les autorités administratives mentionnées à l’article 1er de l’ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives, à transmettre aux services de renseignement mentionnés aux articles L. 811-2 et L. 811- 4 du CSI, de leur propre initiative ou sur requête de ces derniers, toute information même couverte par un secret protégé par la loi, strictement nécessaire à l’accomplissement des missions de ces services et susceptible de concourir à la défense et la promotion des intérêts fondamentaux de la Nation mentionnés à l’article L. 811-3 du même code. Ces dispositions modifient l’actuel article L. 863-2 du CSI qui autorise ces transmissions lorsqu’elles sont seulement utiles aux missions de ces services.
La Commission prend acte des éléments apportés par le ministère selon lesquels de telles transmissions d’informations peuvent s’avérer indispensables aux services de renseignement pour leur permettre de mener à bien leurs missions et accueille favorablement le resserrement des conditions posées par la loi.
Elle s’interroge sur la portée des atteintes aux secrets protégés par la loi, au regard de la nature de certains d’entre eux. Elle estime que le texte ne couvre pas l’hypothèse d’un professionnel médical exerçant dans une structure publique. La Commission rappelle que les conditions de mise en œuvre de telles transmissions devront être précisées et encadrées par voie réglementaire, ainsi que le prévoit déjà l’article L. 863-2 du CSI. Elle insiste tout particulièrement sur la vigilance devant être portée aux transmissions d’informations réalisées à l’initiative des autorités administratives, ainsi qu’aux garanties entourant les dérogations au secret médical. En tout état de cause, la Commission estime que l’article L. 863-2 du CSI devrait être modifié afin de garantir que de telles atteintes ne peuvent être que nécessaires et proportionnées aux intérêts poursuivis.
Sur l’exploitation à d’autres fins, de renseignements collectés via des techniques de renseignement, et leur transmission à d’autres services de renseignement (article 10 du projet de loi)
L’article 10 du projet de loi prévoit que lorsqu’un service spécialisé de renseignement mentionné à l’article L. 811-2 ou un service désigné par le décret en Conseil d’Etat prévu à l’article L. 811-4 obtient, à la suite de la mise en œuvre d’une technique mentionnée au titre V du présent livre, des renseignements utiles à la poursuite d’une finalité différente de celle qui a en a justifié le recueil, il peut les transcrire ou les extraire pour le seul exercice de ses missions .
Cet article prévoit en outre que, sous réserve des dispositions des deuxième à quatrième alinéas du présent II, un service spécialisé de renseignement mentionné à l’article L. 811-2 ou un service désigné par le décret en Conseil d’Etat prévu à l’article L. 811-4 peut transmettre à un autre de ces services les renseignements collectés, extraits ou transcrits dont il dispose, si cette transmission est strictement nécessaire à l’exercice des missions du service destinataire .