AgentPublic/cnil huggingface dataset:
La loi n° 2015-912 du 24 juillet 2015 relative au renseignement a significativement modifié la procédure de réquisition administrative qui était régie auparavant par l’article L. 246-1 du CSI, laquelle avait déjà été sensiblement élargie par l’article 20 de la LPM. Dans le cadre de sa délibération du 4 décembre 2014, qui portait sur le projet de décret d’application de cet article 20, la Commission avait déjà relevé que cet élargissement était de nature à soulever plusieurs interrogations quant au risque d’inconventionnalité du régime juridique national en matière de conservation et d’accès aux données personnelles des utilisateurs de services de communications électroniques au regard de l’arrêt du 8 avril 2014 de la Cour de justice de l’Union européenne (CJUE) qui a invalidé la Directive 2006/24/CE du 15 mars 2006 sur la conservation de données générées ou traitées dans le cadre de la fourniture de services de communications électroniques accessibles au public ou de réseaux publics de communications. Au regard des risques particulièrement élevés d’atteinte à la vie privée qui peuvent résulter de la transmission d’un nombre toujours plus important de données aux opérateurs, elle considère qu’il y a lieu de porter une attention particulière aux données qui peuvent être recueillies au titre de la mise en œuvre des nouvelles techniques de recueil de renseignement prévues par la loi relative au renseignement.
Aux termes du nouvel article L. 851-1 du CSI, l’autorité administrative est notamment autorisée à recueillir, auprès des opérateurs de communications électroniques et des personnes mentionnées à l'article L. 34-1 du code des postes et des communications électroniques ainsi que des personnes mentionnées aux 1 et 2 du I de l'article 6 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique (" ci-après les opérateurs ") les " informations ou documents traités ou conservés " par leurs réseaux ou services de communications électroniques.
L’article L. 851-1 du CSI prévoit qu’un décret en Conseil d’Etat, pris après avis de la Commission nationale de l’informatique et des libertés et de la Commission nationale de contrôle des techniques de renseignement (CNCTR), précise les modalités dans lesquelles les accès administratifs aux données de connexion peuvent être mis en œuvre.
Les dispositions du projet de décret concernent principalement le régime juridique applicable à la procédure de réquisition administrative des données de connexion prévue à l’article L. 851-1 du code de la sécurité intérieure (CSI), tel qu’issu de la loi n° 2015-912 du 24 juillet 2015 ainsi que le recueil de renseignements au titre de l’article L. 851-4 du même code. Il doit également permettre d’adapter les dispositions réglementaires qui figurent au titre IV du livre II du CSI relatif aux interceptions de sécurité et aux accès administratifs aux données de connexion au regard des modifications apportées par la loi relative au renseignement.
L’article 1er du projet de décret modifie ainsi le titre II du livre VIII de la partie réglementaire du CSI relatif à la procédure applicable aux techniques de recueil de renseignement soumises à autorisation, à savoir la procédure administrative de réquisition des données de connexion, les interceptions de sécurité, la sonorisation de certains lieux et véhicules, la captation d’images et de données informatiques ainsi que les mesures de surveillance des communications électroniques internationales.
De manière générale, le projet d’article R. 821-1 du CSI rappelle que seuls les agents individuellement désignés et habilités par le directeur dont ils relèvent peuvent mettre en œuvre les techniques de recueil de renseignement prévues aux articles L. 851-1 à L. 854-9 du CSI.
Sur les demandes de recueil d’informations ou de documents en application de l’article L. 851-1 du CSI
La Commission rappelle que selon les dispositions du paragraphe VI de l’article
L. 34-1 du code des postes et des communications électroniques (CPCE), les données conservées et traitées par les opérateurs de communications électroniques et les personnes offrant au public une connexion permettant une telle communication portent exclusivement sur l'identification des personnes utilisatrices des services fournis par les opérateurs, sur les caractéristiques techniques des communications assurées par ces derniers et sur la localisation des équipements terminaux et ne peuvent en aucun cas porter sur le contenu des correspondances échangées ou des informations consultées, sous quelque forme que ce soit.
Il ressort par ailleurs du paragraphe II de l’article 6 de la loi du 21 juin 2004 que les données conservées par les personnes offrant un accès à des services de communication en ligne et celles assurant le stockage de diverses informations pour mise à disposition du public par ces services sont celles de nature à permettre l'identification de quiconque a contribué à la création du contenu ou de l'un des contenus des services dont elles sont prestataires. 
Ces dispositions ont été précisées par voie réglementaire et les données devant être conservées au titre de ces obligations légales figurent aux articles R. 10-13 et R. 10-14 CPCE et 1er du décret du 25 février 2011 susvisé.
L’article L. 851-1 du CSI reprend stricto sensu les dispositions de l’article L. 246-1 du CSI tel qu’introduit par la LPM concernant les " informations ou documents traités ou conservés " pouvant être recueillis par les services de renseignement.
La Commission rappelle que lorsqu’elle s’est prononcée sur le décret d’application de cette disposition de la LPM, elle a pris acte que cette formulation ne permettait en aucun cas de réaliser des interceptions de contenus ou des perquisitions en ligne et visait uniquement les données mentionnées aux articles R. 10-13 et R. 10-14 CPCE et 1er du décret du 25 février 2011 susvisé, à l’exclusion de toute autre information.
Or, elle relève que les dispositions réglementaires qui lui sont soumises prévoient un élargissement des données pouvant être recueillies à ce titre. En effet, en plus des données prévues par ces articles, le projet d’article R. 851-1 du CSI énumère d’autres catégories de données que celles qui doivent être conservées par ces opérateurs au titre de leurs obligations légales. Il s’agit des données suivantes :
" les données permettant de localiser les équipements terminaux ; 
les données relatives à l’accès des équipements terminaux aux réseaux ou aux services en ligne ; 
les données relatives à l’acheminement des communications électroniques par les réseaux ; 
les données relatives à l’identification et à l’authentification d’un utilisateur, d’une connexion, d’un réseau ou d’un service en ligne ;
les caractéristiques techniques des équipements terminaux et les données de configuration de leurs logiciels ".
En premier lieu, le projet d’article R. 851-1 du CSI rappelle expressément qu’est exclu des informations ou documents mentionnés à l’article L. 851-1 du CSI, le contenu des correspondances échangées ou des informations consultées. La Commission rappelle dès lors que cette interdiction de principe s’applique aussi bien aux opérateurs au titre des articles L. 34-1 du CPCE, 6-II de la LCEN et aux 2° à 6° du projet d’article R. 851-1 du CSI.
En particulier, elle considère que l’URL étant porteuse par nature des informations consultées, elle ne saurait être conservée par les opérateurs au-delà du temps nécessaire à l’acheminement de la communication que si une mesure d’anonymisation est mise en œuvre. En effet, la Commission rappelle qu’il est prévu au VI de l’article L. 34-1 du CPCE que les données conservées par les opérateurs ne peuvent porter " sur le contenu des correspondances échangées ou des informations consultées, sous quelque forme que ce soit, dans le cadre de ces communications " et que le Conseil Constitutionnel a pris en compte cette garantie substantielle lors de l’examen des dispositions issues de la loi relative au renseignement, en particulier l’article L. 851-1 du CSI.
Or, si elle est nécessaire à l’acheminement d’une communication, l’URL permet également de révéler des informations consultées. Dès lors, la Commission considère que cette donnée ne peut être sollicitée et transmise au titre des informations recueillies dans le cadre des articles L. 851-1 et L. 851-4 du CSI.
En second lieu, la Commission rappelle qu’en fonction des données souhaitées, les agents dûment habilités ne pourront solliciter que la catégorie d’opérateur effectivement chargée de les conserver.
De la même manière, elle rappelle que le recueil de ces " informations ou documents " ne doit pas conduire à créer une obligation de conservation nouvelle à la charge des opérateurs dès lors que le CSI ne porte pas stricto sensu obligation de conservation mais uniquement de mise à disposition de certaines données aux services de renseignement concernés. 
En ce qui concerne l’élargissement opéré par le projet de décret, la Commission prend acte des précisions apportées par le SGDSN selon lesquelles il s’agit principalement de recueillir des données techniques générées automatiquement par les matériels utilisés par les personnes surveillées et les réseaux en dehors de toute communication effective et non des données conservées par les opérateurs au titre de leurs obligations légales.
Dans ces conditions, la Commission relève que si l’énumération prévue aux 2 à 6 du projet d’article R. 851-1 du CSI est de nature à préciser les informations ou documents recueillis, elle ne donne pas de définition précise des données pouvant être recueillies au titre de chaque catégorie alors même que les opérateurs et personnes visées aux 1° et 2° de l’article 6 de la loi du 21 juin 2004 sont pénalement responsables dans les termes des articles L. 39-3 CPCE et 6 VI de la loi du 21 juin 2004. Il importe dès lors que ceux-ci puissent connaître avec précision l’étendue de leurs obligations de conservation et d’effacement.
La Commission prend également acte que l’arrêté tarifaire prévu au projet d’article
R. 873-2 du CSI précisera les différentes prestations de transmission de données de connexion concernées, ce qui devra nécessairement inclure les catégories de données visées.
Enfin, le SGDSN a précisé que la notion de " service en ligne " visait les " services de communication au public en ligne " tels que définis par l’article 1er de la loi
n° 2004-575 du 21 juin 2004 susvisée. Afin d’écarter toute ambiguïté sur le périmètre des données recueillies, la Commission demande que le projet de décret soit modifié afin de faire référence à la notion de service de communication au public en ligne.
Les conditions de mise en œuvre de la procédure de réquisition administrative des données de connexion
Après avoir énuméré les " informations et documents " qui peuvent être sollicités auprès des opérateurs, l’article 2 du projet de décret détaille les modalités de la procédure de réquisition administrative des données de connexion.
En premier lieu, la Commission relève que ne sont concernés par le projet de décret que les informations et documents énumérés aux articles L. 851-1 et L. 851-4 du CSI, à l’exclusion des données qui peuvent être recueillies par d’autres techniques de renseignement. Sont dès lors exclues les données qui pourraient être recueillies au titre des articles L. 851-2 (recueil en temps réel sur les réseaux des opérateurs des informations ou documents mentionnés à l’article L. 851-1 du CSI), L. 851-3 (mise en œuvre de traitements automatisés sur le réseau des opérateurs), L. 851-5 (localisation en temps réel d’une personne, d’un véhicule ou d’un objet) et L. 851-6 (" IMSI catcher ") du CSI. Elle rappelle à cet égard qu’il reviendra à chaque ministère concerné d’accomplir les formalités préalables nécessaires à la mise œuvre des traitements portant sur les données collectées grâce à ces techniques de recueil du renseignement.
En deuxième lieu, l’alinéa 3 de l’article L. 851-1 du CSI prévoit qu’un service du Premier ministre est chargé de recueillir les informations ou documents auprès des opérateurs concernés. Le projet de décret prévoit que cette mission de centralisation sera assurée par le groupement interministériel de contrôle (GIC), chargé des interceptions de sécurité et de l’accès administratif aux données de connexion en application de l’article R. 241-1 du CSI.
S’agissant de la gestion des demandes tendant au recueil des données de connexion et des réponses des opérateurs
Les projets d’articles R. 851-2 et R. 851-3 du CSI détaillent, d’une part, la procédure de demande de recueil des données de connexion qui peuvent être sollicitées auprès des opérateurs au titre de l’article L. 851-1 du CSI et, d’autre part, la procédure applicable au titre de l’article L. 851-4 du CSI (sollicitation du réseau et transmission en temps réel par les opérateurs) afin de recueillir les données techniques relatives à la localisation des équipements terminaux.
Les demandes de recueil formulées au titre des articles L. 851-1 et L. 851-4 du CSI devront comporter, sauf exception pour préserver l’anonymat de l’agent, des données relatives au demandeur, aux informations et documents dont le recueil est demandé et à la demande. À cet égard, la Commission prend acte qu’un annuaire partagé entre les services concernés, la CNCTR et le Premier ministre et ses délégués permettra, au travers d’un numéro d’identification spécifique, de s’assurer que l’agent à l’origine de la demande dispose bien d’une désignation ainsi que d’une habilitation spécifiques.
Il est prévu aux termes du projet d’article R. 851-2-III du CSI que les opérateurs ne soient destinataires que d’informations strictement limitées lorsqu’une demande de recueil aura été approuvée par le Premier ministre ou ses délégués. Ainsi, l’ordre de procéder au recueil qui leur sera adressé ne pourra faire état que des éléments suivants : la ou les techniques à mettre en œuvre, la durée de validité de l’autorisation ainsi que la ou les personnes concernées.
Elle relève également que les demandes tendant au recueil mentionné à l’article
L. 851-1 du CSI ne comporteront pas systématiquement la période concernée par les demandes de recueil " d’informations ou documents ", en application des dispositions du projet d’article R. 851-2-I.
La Commission rappelle toutefois qu’il est prévu, au titre des dispositions de l’article L. 821-2 du CSI, que la " durée de validité " de l’autorisation soit expressément mentionnée. Au regard du caractère particulièrement intrusif de la surveillance mise en œuvre avec ces techniques de recueil du renseignement et afin d’assurer un contrôle effectif de la CNCTR sur la proportionnalité de la demande, elle estime néanmoins que cette période devra obligatoirement apparaître dans les demandes formulées au titre de l’article L. 851-1 du CSI.
En tout état de cause, elle rappelle que l’autorisation de la mise en œuvre des techniques de recueil de renseignements permettant de collecter les données énumérées au projet d’article R. 851-1 ne doit valoir que pour une période déterminée qui ne peut excéder une durée maximale de quatre mois à compter de l’autorisation délivrée, en application des dispositions de l’article L. 821-4 du CSI. 
Sur les traitements mis en œuvre à des fins de gestion des réquisitions administratives des données de connexion
La mise en œuvre des réquisitions administratives des données de connexion repose sur deux traitements distincts s’agissant, des réquisitions formulées, d’une part, au titre de l’article L. 851-1 du CSI et, d’autre part, au titre de l’article L. 851-4 du CSI.
De manière générale, elle considère que ces traitements devront permettre aux opérateurs de s’assurer que la demande qui leur est transmise a bien été approuvée et de garantir l’authenticité des approbations ainsi que leur intégrité.
La Commission rappelle que ces traitements devront être autorisés, préalablement à leur mise en œuvre, par arrêté pris après avis motivé et publié de la Commission, en application des dispositions de l’article 26 de la loi du 6 janvier 1978 modifiée.
Sur le traitement de données relatif aux demandes des agents et décisions du Premier ministre ou de ses délégués
Le projet d’article R. 851-2 du CSI prévoit que les demandes des agents et les décisions du Premier ministre ou de ses délégués sont enregistrées et conservées pendant une durée maximale de quatre ans dans un traitement de données à caractère personnel mis en œuvre par le GIC.
La Commission relève que cette durée est plus longue que la durée de trois ans actuellement prévue à l’article R. 246-5 du CSI et que, si l’article L. 822-2 du CSI prévoit que les données de connexion peuvent être conservées par les services de renseignement pour une durée maximale de quatre ans par les opérateurs, aucune disposition issue de la loi relative au renseignement ne concerne la durée de conservation des demandes adressées au GIC.
Interrogé sur cette durée, le SGDSN a précisé qu’il s’agissait de permettre à la CNCTR d’exercer son contrôle de manière plus approfondie sur une période identique à celle pendant laquelle les renseignements collectés par la mise en œuvre d’une technique de recueil de renseignement sont conservés.
La Commission considère qu’afin de garantir l’effectivité et la pertinence du contrôle ainsi réalisé, les demandes tendant au recueil des " informations ou documents " devraient être conservées jusqu’à l’expiration de la durée de conservation des données mises à la disposition par les opérateurs, dans la limite des quatre années prévues au projet d’article R. 851-2 du CSI. Elle estime en effet qu’un tel dispositif serait de nature à permettre à la CNCTR de s’assurer que les données recueillies ont été collectées et exploitées conformément à l’autorisation délivrée.
L’alinéa 2 du projet d’article R. 851-2-II précise que ces demandes et décisions sont automatiquement effacées à l’issue de cette durée de conservation. La Commission rappelle à cet égard que seul un mécanisme d’effacement automatique (système de purge) est à même de garantir l’effacement des données et le respect des durées de conservation définies.
Sur le traitement de données relatifs aux réponses des opérateurs
Le IV du projet d’article R. 851-2 du CSI est relatif au traitement mis en œuvre par le GIC à des fins de gestion des réponses des opérateurs. Les informations ou documents transmis par les opérateurs seront conservés dans ce traitement pendant une durée maximale de quatre ans, conformément aux dispositions de l’article
L. 822-2 du CSI.
La Commission estime que les données ne devront être transmises que par les employés individuellement désignés appartenant aux services en charge de ces demandes, des opérateurs ou des fournisseurs d’accès prestataires.
Par ailleurs, elle relève qu’aucune disposition ne précise les conditions dans lesquelles ces données seront transmises au GIC. Elle rappelle que le dispositif mis en œuvre devra garantir l’authenticité, la confidentialité ainsi que l’intégrité des données transmises.
 
Sur les traitements mis en œuvre au titre de l’article L. 851-4 du CSI
Le projet d’article R. 851-4 du CSI tel que prévu par le projet de décret formalise la procédure à suivre afin de recueillir les données relatives à la localisation des équipements terminaux, lesquelles peuvent être recueillies " sur sollicitation du réseau et transmis en temps réel par les opérateurs à un service du premier ministre ". De la même manière que la procédure de recueil administratif des données de connexion au titre de l’article L. 851-1 du CSI, les demandes et l’approbation du Premier ministre ainsi que les réponses des opérateurs feront l’objet de deux traitements de données à caractère personnel, qui présenteront les mêmes caractéristiques que celles évoquées précédemment et sur lesquelles la Commission émet donc des observations identiques.
Sur les modalités de transmission des données entre le GIC et les opérateurs 
Les projets d’articles R. 851-2-III et R. 851-3-II du CSI précisent les modalités de transmission aux opérateurs des demandes émanant des services de renseignement et approuvées par le Premier ministre. La demande qui leur sera adressée précisera la ou les techniques à mettre en œuvre, la nature précise des informations ou documents demandés, le cas échéant la durée de validité de l’autorisation ainsi que la ou les personnes concernées.
Le projet de décret prévoit uniquement que les modalités de transmission de ces demandes aux opérateurs devront assurer " leur sécurité, leur intégrité et leur suivi ". La Commission regrette de ne pas avoir été rendue destinataire de davantage d’informations sur ces modalités afin de lui permettre de s’assurer du respect de l’article 34 de la loi du 6 janvier 1978 modifiée, elle et rappelle qu’il demeure indispensable d’encadrer strictement la transmission de ces demandes entre le GIC, les opérateurs et les services à l’origine de la demande par exemple par l’intermédiaire de conventions ou d’un arrêté. Quelle que soit la nature des textes encadrant ces transmissions, la Commission estime que dès lors qu’ils comporteraient des dispositions particulières relatives à la protection des données à caractère personnel, ils devraient lui être soumis.
Sur le contrôle effectué par la CNCTR
S’agissant des conditions dans lesquelles les services de renseignement peuvent accéder aux données de connexion, la Commission rappelle tout d’abord que cet accès s’effectuera sous le contrôle de la CNCTR.
Conformément aux dispositions de l’alinéa 3 de l’article L. 851-1, le projet d’article R. 851-4 du CSI prévoit que la CNCTR disposera d’un accès " permanent, complet, direct et immédiat " et le cas échéant, en temps réel, aux traitements mis en œuvre par le GIC.
Elle estime par ailleurs qu’à l’occasion de sa saisine pour avis concernant la création de ces différents traitements, toute information concernant les modalités d’accès et d’authentification de la CNCTR devra être portée à la connaissance de la CNIL.
Enfin, si cet accès doit permettre à la CNCTR d’effectuer son contrôle, la Commission rappelle que ce contrôle s’effectue sans préjudice des pouvoirs de contrôle qu’elle détient en application de l’article 44 de la loi du 6 janvier 1978 modifiée.
Sur les autres dispositions du projet de décret
L’article 4 du projet de décret vise à modifier la partie réglementaire du CSI afin d’y intégrer deux chapitres relatifs aux obligations des opérateurs en matière de cryptologie et dans le cadre de la mise en œuvre des techniques de renseignement ainsi qu’un chapitre relatif aux compensations financières.
La Commission relève qu’outre les modifications de nature à assurer la cohérence des dispositions du CSI avec les évolutions résultant de la loi relative au renseignement, il s’agit à titre principal de modifier les dispositions portant sur la réalisation des opérations matérielles nécessaires à la mise en place des interceptions de sécurité, actuellement prévues à l’article R. 242-4 du CSI.
L’article R. 872-1 du CSI est ainsi modifié afin de ne plus faire référence aux seules interceptions de sécurité mais à l’ensemble des techniques de recueil de renseignement mentionnées aux articles L. 851-1 à L. 851-4 ainsi qu’à l’article