AgentPublic/cnil huggingface dataset:
Le projet de loi prévoit toutefois des limitations à cette hypothèse, qui ne pourra être mobilisée que pour certaines finalités (l'indépendance nationale, l'intégrité du territoire et la défense nationale, la prévention du terrorisme, et les atteintes à la forme républicaine des institutions, conformément à l’article L. 811-3 du CSI) concernant la sonorisation de certains lieux et véhicules ainsi que la captation d’images et de données informatiques. En outre, le caractère d’urgence ne pourra être invoqué s’agissant de la technique dite de l’algorithme encadrée à l’article L. 851-3 du CSI.
La Commission considère que cet encadrement constitue une garantie importante pour s’assurer que les situations dans lesquelles l’urgence peut être mobilisée soient limitées à des cas précisément définis. Elle relève néanmoins que pour la majorité des techniques de renseignement encadrées par le CSI, le projet de loi ne prévoit pas de limitation particulière quant aux conditions dans lesquelles l’urgence pourrait être mobilisée. A cet égard, la Commission estime qu’une réflexion pourrait être engagée sur l’opportunité de limiter à certaines finalités considérées comme les plus graves, et ce pour l’ensemble des techniques de renseignement, le recours à cette procédure d’urgence.
Sur la transmission d’informations par l’autorité judiciaire aux services de renseignement et à l’Agence nationale de la sécurité des systèmes d’information (article 11 septies)
L’article 11 septies du projet de loi encadre, pour certaines procédures d’enquêtes ou d’instruction et par dérogation au secret de l’instruction, la possibilité pour le procureur de la République de Paris (ou le cas échéant le juge d’instruction), de communiquer aux services de renseignement, ainsi qu’à l’Agence nationale de la sécurité des systèmes d’information (ANSSI) des éléments de toute nature figurant dans ces procédures et nécessaires à l’exercice de leurs missions.
A titre liminaire, la Commission souligne qu’elle s’est prononcée dans sa délibération n° 2021-045 du 15 avril 2021 relative à certains articles du projet de loi relatif à la prévention d’actes de terrorisme et au renseignement, sur des dispositions de nature similaire. Dans ce contexte, les observations développées ci-après portent principalement sur les évolutions envisagées par le ministère, et ce, sans préjudice des remarques formulées dans la délibération précitée.
De manière générale, la Commission rappelle que si que les enjeux associés à cette modification dépassent les seules considérations Informatique et Libertés , elle souligne néanmoins que les dispositions visées, en ce qu’elles permettent la transmission de données à caractère personnel, doivent s’effectuer dans le respect des principes relatifs à la protection de ces données, et plus spécifiquement ceux relatifs à la proportionnalité et la licéité des traitements.
En premier lieu, la Commission relève que le périmètre infractionnel visé par le projet de loi, s’il est limité aux affaires qui sont ou apparaîtraient d'une très grande complexité, semble néanmoins large du fait de certaines des infractions pénales auxquelles il est renvoyé (par exemple s’agissant des délits de trafic de stupéfiants), sans pour autant que les cas d’usage correspondant à une telle possibilité soient particulièrement identifiés et aient été portés à sa connaissance à ce stade. Dès lors, comme formulé dans sa délibération précitée, la Commission s’interroge sur le périmètre précisément visé par l’article 11 septies du projet de loi.
En deuxième lieu, le projet de loi prévoit que ces informations peuvent, dans cette nouvelle version du projet, être transmises aux services de renseignement dits du premier et du second cercle , pour les seules missions relevant de la prévention de la criminalité et de la délinquance organisée. A cet égard, la Commission s’interroge sur les raisons ayant conduit le ministère à étendre cette possibilité aux services dits du second cercle .
En troisième lieu, le projet de loi précise que cette communication peut intervenir à l’initiative du procureur de la République ou du juge d’instruction, ou à la demande des services de renseignement. A cet égard, si le projet de texte précise que dans le cadre d’une information judiciaire, cette communication ne pourra intervenir qu’avec l’avis favorable du juge d’instruction, la Commission estime que le projet de loi devrait être précisé afin de mentionner expressément le caractère facultatif, pour les autorités judiciaires, de la transmission de telles données, en indiquant qu’il revient à l’autorité judiciaire d’apprécier si celle-ci est de nature à nuire à la bonne administration de la justice.
 
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l’Intérieur d’une demande d’avis concernant un projet de loi relatif à la prévention d’actes de terrorisme et au renseignement ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8 ;
Après avoir entendu le rapport de Mme Sophie LAMBREMON, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l’avis suivant 
La Commission a été saisie en urgence, le 2 avril 2021, sur le fondement de l’article 8-4°-a) de la loi du 6 janvier 1978 modifiée, des articles 13 bis et 13 ter du projet de loi relatif à la prévention d’actes de terrorisme et au renseignement (ci-après le projet de loi ).
La Commission souligne que les enjeux associés aux modifications envisagées sont de nature très distincte, et ne revêtent pas la même sensibilité du point de vue du droit au respect de la vie privée et à la protection des données à caractère personnel. En particulier, elle estime que l’ensemble de ces dispositions participe de la mise en œuvre de mesures de surveillance susceptibles de porter atteinte de manière significative aux droits fondamentaux des personnes concernées. La Commission rappelle à cet égard que de telles atteintes peuvent être justifiées si elles sont limitées au strict nécessaire, au regard de la légitimité des objectifs poursuivis, que constituent la sécurité nationale et la sauvegarde des intérêts fondamentaux de la Nation.
Les évolutions envisagées par le ministère visent, d’une part, à encadrer la mise en œuvre d’une nouvelle technique de renseignement permettant, par le biais de dispositifs de captation de proximité, l’interception de correspondances transitant par voie satellitaire. D’autre part, les modifications projetées encadrent les échanges d’informations entre les services judiciaires et les services de renseignement, ainsi qu’avec l’Agence nationale de sécurité des systèmes d’information (ANSSI).
Sur la mise en œuvre d’une nouvelle technique de renseignement d’interception de correspondances (article 13 bis)
Sur le principe de l’expérimentation de cette nouvelle technique
L’article 13 bis du projet de loi encadre la mise en œuvre d’une nouvelle technique de renseignement, qui vise à permettre aux services de renseignement d’intercepter, par le biais d’un dispositif de captation de proximité, les correspondances émises ou reçues transitant par voie satellitaire. Il prévoit une période expérimentale de quatre ans.
A titre liminaire, la Commission relève que la mise en œuvre d’un tel dispositif s’apparente à la technique dite de l’ IMSI-catcher , actuellement encadrée par l’article L. 852-1-II du code de la sécurité intérieure (CSI), et sur laquelle elle s’est déjà prononcée dans sa délibération n° 2015-078 du 5 mars 2015.
Elle rappelle que ce type de technique de renseignement est susceptible de permettre la collecte systématique et automatique des données relatives à des personnes pouvant n’avoir aucun lien ou une simple proximité géographique avec l’individu effectivement surveillé. En l’absence de mesures techniques permettant de filtrer les correspondances visées et d’accéder uniquement aux données utiles concernant une personne identifiée comme faisant l’objet d’une surveillance ciblée, il s’agira de permettre de collecter, de manière indifférenciée, un volume potentiellement important de données, qui peuvent être relatives à des personnes tout à fait étrangères à la mission de renseignement, y compris des personnes dont les correspondances sont protégées par la loi. La Commission invite le Gouvernement, lors de l’expérimentation, et si cela est techniquement réalisable, à mettre en œuvre de telles mesures de filtrage le plus en amont possible.
L’atteinte potentielle à la vie privée des individus est donc particulièrement forte. Ainsi, comme la Commission l’avait souligné dans sa délibération précitée, elle considère que de telles mesures, ne sont justifiables que si elles s’avèrent strictement nécessaires à des objectifs impérieux d’intérêt général, de façon subsidiaire à d’autres techniques plus ciblées, et si elles sont assorties de garanties et de modalités de contrôle effectives permettant de limiter les atteintes aux droits fondamentaux des personnes concernées.
La Commission relève que le lancement de l’expérimentation envisagée par le Gouvernement sera décidé par le Parlement à un moment où de nombreux éléments restent incertains. Elle comprend des documents qui lui ont été transmis que, le développement de transmissions satellitaires échappant aux modes traditionnels de surveillance, la mise en œuvre de cette nouvelle technique doit permettre d’adapter les techniques de captation à l’évolution significative des modes de communication. Si le ministère a précisé qu’il considère que le cadre légal actuel est inadéquat pour intercepter ces nouvelles formes de communication, la Commission souligne qu’il semble que les modalités techniques qui seront utilisées pour capter ces transmissions ne sont pas encore entièrement définies.
Dans ces conditions, elle accueille favorablement le principe de conditionner la mise en œuvre de cette technique à une expérimentation, dans la mesure où celle-ci pourrait permettre d’apprécier la proportionnalité et l’efficacité de ces mesures avant d’en envisager la pérennisation. La Commission estime cependant qu’au regard de l’atteinte à la vie privée portée par ce type d’interceptions de correspondances, le législateur doit soumettre l’expérimentation à des conditions explicites garantissant la stricte proportionnalité de l’atteinte portée à la vie privée.
A cet égard, la Commission souligne que des incertitudes demeurent tant sur le volume de transmissions qui pourraient échapper aux services de renseignement, via les techniques actuelles, du fait du développement de ces nouvelles formes de communications satellitaires, que sur les modalités et l’efficacité des techniques permettant les interceptions. L’appréciation de la proportionnalité de l’atteinte est donc incertaine et évolutive. Certaines des données interceptées pourront faire l’objet d’un chiffrement et ce point devra également être pris en compte dans l’appréciation de la mise en œuvre de cette technique.
La Commission considère donc que, s’il devait s’avérer, après de premiers essais expérimentaux, que la nécessité opérationnelle a été surévaluée ou que les modalités techniques rendent impossible ou disproportionné le recours à de telles interceptions de correspondances, il conviendrait d’interrompre l’expérimentation avant l’expiration du délai de quatre années. La loi pourrait préciser que l’utilisation effective de cette nouvelle technique ne sera possible que tant que l’utilité opérationnelle n’en sera pas démentie, soit si ce type de transmissions satellitaires ne connaissait pas le développement escompté, soit si les modalités techniques d’interception s’avéraient insatisfaisantes.
Dans ce contexte, la Commission demande à ce que le projet de loi prévoit qu’un bilan intermédiaire soit réalisé et adressé au Parlement, dans les mêmes conditions que celui qui devra être effectué, conformément au projet d’article 13 bis, avant la fin de l’expérimentation. La Commission rappelle en outre que la Commission nationale de contrôle des techniques de renseignement (CNCTR) pourra, conformément aux articles L. 833-6 et L. 833-6 du CSI, effectuer ce contrôle durant l’expérimentation et notamment recommander à ce titre au Premier ministre d’interrompre ou de suspendre l’expérimentation, le cas échéant en saisissant la formation spécialisée du Conseil d’Etat, si les conditions posées par la loi à son déroulement n’étaient plus remplies.
Enfin, elle souligne qu’afin d’évaluer précisément les bénéfices qui seraient retirés du dispositif, le bilan visé à l’article précité devra a minima porter sur un certain nombre de caractéristiques, notamment opérationnelles, relatives à cette technique. La Commission incite plus particulièrement le ministère à quantifier le volume de données collectées, et notamment celles concernant des personnes ne faisant pas l’objet de l’autorisation. Elle estime par ailleurs que des éléments quantitatifs sur l’efficience de cette technique, ainsi que la durée de l’utilisation de ces dispositifs de captation, devront également figurer dans le bilan remis au Parlement.
Sur les conditions de mise en œuvre de la technique et les garanties prévue par l’article 13 bis du projet de loi
De manière générale, la Commission estime que l’expérimentation ne saurait être admise que si des garanties suffisantes pour limiter les atteintes à la vie privée au strict nécessaire sont prévues. A cet égard, elle relève que le projet de loi apporte des garanties pour partie similaires à celles prévues aux dispositions de l’article L. 852-1 du CSI encadrant les IMSI-catchers . La Commission souligne néanmoins que certaines des modalités de mise en œuvre de cette technique diffèrent, compte tenu d’une part, des spécificités qui lui sont propres, et d’autre part, du choix opéré par le ministère de ne pas reprendre l’ensemble des garanties associées au dispositif de l’ IMSI- catcher.
En premier lieu, la Commission relève que la mise en œuvre de cette technique est soumise à une autorisation du Premier ministre, après avis de la CNCTR, et que par ailleurs les données collectées dans ce cadre sont centralisées par le groupement interministériel de contrôle (GIC). Elle souligne que l’article 13 bis du projet de loi prévoit que les données sans lien avec l’autorisation initiale devront être immédiatement détruites et ne pourront donner lieu à aucune exploitation, élément qu’elle considère comme indispensable à l’équilibre du dispositif. Enfin, elle relève que le nombre maximal des autorisations d'interception en vigueur simultanément est arrêté par le Premier ministre, après avis de la CNCTR, et que les opérations de transcription et d'extraction des communications interceptées, auxquelles la commission précitée dispose d'un accès permanent, complet, direct et immédiat, sont effectuées au sein du GIC.
En deuxième lieu, la Commission relève que, compte tenu des spécificités associées au développement de cette nouvelle technique de renseignement, le ministère a entouré la mise en œuvre de ce dispositif de garanties spécifiques.
Tout d’abord, la Commission prend acte de ce que les données seront chiffrées dès la captation par un chiffrement asymétrique dans l’hypothèse où la centralisation immédiate ne serait pas possible. A ce titre, elle rappelle que les méthodes employées devront être conformes à l'annexe B1 du référentiel général de sécurité (RGS) et que les clés privées doivent faire l'objet de mesures de sécurité visant à garantir que leur usage est strictement limité aux personnes habilitées.
Par ailleurs, l’article 13 bis du projet de loi prévoit que le recours à cette nouvelle technique peut être autorisé lorsque cette interception ne peut être mise en œuvre dans les conditions prévues au I de l’article L. 852-1 du présent code .
A cet égard, le ministère a précisé que cette hypothèse correspond aux cas dans lesquels il sera impossible de mettre en œuvre une interception de sécurité sur le fondement de l’article précité, en raison notamment des difficultés à réquisitionner certains types d’opérateurs. La Commission estime que ces modalités constituent une garantie permettant d’écarter le caractère systématique de la mise en œuvre de cette technique, et permet ainsi de circonscrire son usage au strict nécessaire. A cet égard, elle appelle à un contrôle strict de la subsidiarité de cette technique et estime que l’article 13 bis pourrait être complété afin de préciser les critères justifiant le recours à cette technique nettement plus intrusive qu’une interception ciblée.
Enfin, la Commission prend acte des précisions apportées par le ministère sur le périmètre géographique de la mise en œuvre de ces captations. Si les dispositifs actuels ont une portée réduite, l’objectif attaché à la mise en œuvre de cette technique sera de réduire au maximum la zone concernée autour de la cible visée par l’autorisation délivrée par le Premier ministre et par cela d’accroître la spécificité des données collectées. La Commission considère que ces éléments participent de l’appréciation globale de la proportionnalité du dispositif en cause. 
En troisième lieu, la Commission estime que certaines des modalités de mise en œuvre de cette technique appellent des observations spécifiques.
D’une part, la Commission relève que cette technique pourra être mise en œuvre pour l’ensemble des finalités prévues à l’article L. 811-3 du CSI. 
 Compte tenu des enjeux précédemment rappelés s’agissant de la collecte de données au moyen de ce type de technique, et plus particulièrement son caractère expérimental, la Commission s’interroge sur un tel périmètre.
Si la Commission ne remet pas en cause l’intérêt qui résulterait à terme de la mise en œuvre de cette technique pour l’ensemble des finalités poursuivies par les services de renseignement, comme c’est le cas pour les interceptions de sécurité de droit commun existant aujourd’hui, elle considère que les incertitudes, tant techniques qu’opérationnelles, relatives à la mise en œuvre de cette technique, et l’atteinte très particulière qu’elle porte à la vie privée, devraient conduire le ministère à envisager son développement dans un cadre expérimental pour les seuls objectifs d’intérêt général les plus impérieux, et considérés comme les plus graves.
Elle rappelle enfin que concernant les IMSI-catchers , dont les conditions de mise en œuvre sont à certains égards proches de celles de la technique envisagée, le recours limité à certaines finalités relatives à la prévention d’atteintes particulièrement graves à l’ordre public avait été pris en compte par le Conseil constitutionnel (décision n° 2015-713 DC du 23 juillet 2015) pour déclarer ces dispositions conformes à la Constitution.
D’autre part, le projet de loi prévoit que l’autorisation de mise en œuvre de cette technique est  délivrée pour une durée maximale de trente jours, renouvelable dans les mêmes conditions .
La Commission relève que cette durée est inférieure à celle applicable aux interceptions de correspondance de droit commun et encadrées par l’article L. 852- 1-I du CSI, réalisées sur réquisition des opérateurs, qui est de quatre mois. En revanche, elle est nettement supérieure à la durée d’autorisation des IMSI-catchers , qui est de quarante-huit heures. Pour justifier cette durée, le Gouvernement a fait valoir que l’ IMSI-catcher est une technique tout à fait dérogatoire, correspondant à certains cas d’usage, dans un environnement technique où les interceptions de sécurité sont possibles. L’expérimentation envisagée consiste à permettre, à titre subsidiaire, que des interceptions de sécurité soient réalisées pour des communications pour lesquelles les réquisitions actuellement pratiquées ne sont pas possibles. Dans ce contexte, le ministère estime que la durée nécessaire à la réalisation d’une telle interception de sécurité est largement supérieure à quarante-huit heures. La Commission prend acte de ces explications, qui ont conduit le Gouvernement à fixer la durée des autorisations à un quart de celle pratiquée pour les interceptions de sécurité actuelles mais rappelle qu’elle demande, d’une part, que la technique employée permette, autant que possible, de pratiquer un filtrage en amont (au sein de l’équipement de captation si possible), des correspondances étrangères à la mesure de surveillance, d’autre part, que la proportionnalité de l’atteinte à la vie privée
entraînée par l’expérience soit régulièrement réévaluée.
Sur l’échange d’informations entre les autorités judiciaires et les services de renseignement (article 13 ter) 
L’article 13 ter du projet de loi encadre, pour certaines procédures d’enquêtes ou d’instruction et par dérogation au secret de l’instruction, la possibilité pour le procureur de la République de Paris (ou le cas échéant le juge d’instruction), de communiquer aux services de renseignement des éléments de toute nature figurant dans ces procédures et nécessaire à l’exercice des missions de ces services.
A titre liminaire, la Commission relève que l’article 706-25-2 du code de procédure pénale (CPP) prévoit d’ores et déjà que le procureur de la République antiterroriste, pour les procédures d’enquête ou d’instruction ouvertes sur le fondement d’une ou de plusieurs infractions terroristes, puisse communiquer aux services spécialisés de renseignement, de sa propre initiative ou à la demande de ces services, des éléments de toute nature figurant dans ces procédures et nécessaires à l'exercice des missions de ces services en matière de prévention du terrorisme.
De manière générale, si la Commission souligne que les enjeux associés à cette modification dépassent les seules considérations Informatique et Libertés , elle rappelle néanmoins que les dispositions visées, en ce qu’elles permettent la transmission de données à caractère personnel, doivent s’effectuer dans le respect des principes relatifs à la protection de ces données, et plus spécifiquement ceux relatifs à la proportionnalité et la licéité des traitements.
En premier lieu, la Commission prend acte des justifications apportées par le ministère selon lesquelles il apparaît nécessaire de favoriser les échanges entre l’autorité judiciaire et les services de renseignement en matière de criminalité organisée et de lutte contre la cybercriminalité. A cet égard, elle relève que le périmètre infractionnel visé par le projet de loi apparaît très large du fait de certaines des infractions pénales auxquelles il est renvoyé (par exemple s’agissant des délits de trafic de stupéfiants), sans pour autant que les cas d’usage correspondant à une telle possibilité ne soient particulièrement identifiés et aient été portés à sa connaissance à ce stade. Dès lors, elle s’interroge sur le périmètre précisément visé par l’article 13 ter du projet de loi.
En second lieu, le projet de loi précise que cette communication peut intervenir à l’initiative du procureur de la République ou du juge d’instruction, ou à la demande des services de renseignement. A cet égard, le ministère a indiqué qu’il ne s’agit aucunement d’une obligation de transmission. Si elle prend acte de cet élément, la Commission estime que le projet de loi devrait être précisé afin de mentionner expressément le caractère facultatif, pour les autorités judiciaires, de transmettre de telles données.
Enfin, s’agissant de la possibilité, pour les autorités judiciaires, de transmettre des informations à l’ANSSI, si la Commission formule les mêmes observations que précédemment développées, elle estime que, compte tenu des missions de cette agence, la nature des informations susceptibles de lui être communiquées aura nécessairement vocation à être plus restreinte. Elle appelle néanmoins à un contrôle strict des modalités de mise en œuvre de cette possibilité.
La Présidente 
Marie-Laure DENIS