AgentPublic/cnil huggingface dataset:
A titre liminaire, la Commission relève que le projet de loi vise à encadrer de manière plus stricte que par l’actuel article L. 863-2 du CSI, les modalités selon lesquelles les données collectées via des techniques de renseignement pourront être exploitées et transmises à d’autres services exerçant des missions de renseignement. Elle souligne que des garanties fortes sont par ailleurs prévues par le texte, au titre desquelles figurent une autorisation préalable du Premier ministre après avis de la CNCTR pour certaines de ces transmissions, ainsi que la désignation d’un agent, au sein de chaque service spécialisé de renseignement, chargé de veiller au respect de l’application des dispositions précitées. Ces garanties sont de nature à permettre d’assurer un juste équilibre entre la possibilité d’exploiter ces informations à des fins de renseignement et la protection des données ainsi visées.
La Commission rappelle tout d’abord que l’article L. 811-3 du CSI limite les finalités pouvant justifier le recours à l’usage d’une technique de renseignement, et rappelle en outre que l’article 4-2° de la loi du 6 janvier 1978 prévoit que les données à caractère personnel doivent être  collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d’une manière incompatible avec ces finalités .
La Commission insiste sur le fait que les renseignements ne pourront être transmis à un autre service que pour l’exécution des missions définies par ses textes constitutifs. Ces missions sont, pour les services de renseignement dits du premier cercle , limitativement énumérées à l’article L. 811-3 du CSI. Elle souligne qu’il reviendra à la CNCTR de s’assurer, au cas par cas, que l’utilisation ultérieure d’un renseignement obtenu par des techniques particulièrement intrusives, en principe interdites aux administrations, n’est pas disproportionnée au regard de l’utilité que représente le renseignement pour le service destinataire et des objectifs poursuivis. Ce contrôle est particulièrement nécessaire lorsque le renseignement sera transmis à un des services dits du second cercle , prévus à l’article L. 811-4 du CSI, pour une mission ne relevant pas des finalités listées à l’article L. 811-3 du même code. Elle souhaiterait que le projet de loi mentionne ce contrôle de compatibilité incombant au service transmetteur et à la CNCTR. En outre, si la Commission prend acte de ce que les renseignements transmis aux services de renseignement du second cercle le seront nécessairement au regard de l’une des finalités mentionnées à l’article L. 811-3 du CSI et sous réserve qu’elle corresponde aux missions confiées par voie réglementaire au service destinataire, elle estime que le texte présente une ambiguïté sur ce point et devrait être précisé.
Sur les autres dispositions du projet de loi 
Indépendamment des observations formulées précédemment, la Commission souligne que le projet de loi introduit des évolutions de nature à avoir un impact sur la réglementation relative à la protection des données à caractère personnel ou qui, à tout le moins, pourraient être analysées au regard des principes fixés par la loi du 6 janvier 1978 modifiée.
De manière générale, si la Commission estime que ces différentes modifications n’appellent pas d’observation substantielle, elle relève néanmoins les points suivants.
L’article 4 du projet de loi vise à permettre la saisie d’un support informatique présent sur les lieux d’une visite domiciliaire ordonnée aux fins de prévention de la commission d’actes de terrorisme, lorsque celle-ci a révélé des éléments en lien avec la menace et que la personne fait obstacle à l’accès aux données informatiques qu’il contient. La Commission relève que la saisie ainsi que le traitement de ces données seront réalisées dans les mêmes conditions que celles actuellement prévues par l’article L. 229-5 du CSI, ce qui n’appelle pas d’observation.
L’article 10 du projet de loi modifie l’article 49 de la loi du 6 janvier 1978 afin de prévoir que le droit d’accès des personnes concernées ne s’applique pas s’agissant de l’information suivant laquelle des données à caractère personnel ont été transmises en application du premier alinéa de l’article L. 863-2 du CSI . La Commission rappelle que l’article 23 du RGPD susvisé prévoit que le droit de l’Etat membre peut, par voie législative, limiter la portée des droits des personnes concernées, lorsqu’une telle limitation respecte l’essence des libertés et droits fondamentaux et qu’elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir notamment la sécurité et la défense nationale.
L’article 12 du projet de loi harmonie les durées d’autorisation pour les techniques de recueil et de captation de données informatiques. Ainsi la durée d’autorisation de la technique de recueil des données informatiques est alignée sur celle de la captation. Enfin, l’article 14 modifie l’article L. 213-2 du code du patrimoine pour clarifier le régime de communicabilité des archives classifiées.
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l’intérieur d’une demande d’avis concernant les articles 11 quinquies, 11 sexies et 11 septies d’un projet de loi relatif à la prévention d’actes de terrorisme et au renseignement ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-4°-a) ;
Après avoir entendu le rapport de Mme Sophie LAMBREMON, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l’avis suivant :
La Commission a été saisie en urgence, le 26 avril 2021, sur le fondement de l’article 8-4°-a) de la loi du 6 janvier 1978 modifiée, des articles 11 quinquies, 11 sexies et 11 septies du projet de loi relatif à la prévention d’actes de terrorisme et au renseignement (ci-après le projet de loi ).
Ces articles visent pour l’essentiel à tenir compte de la décision French Data Network et autres rendue par le Conseil d’Etat statuant au contentieux le 21 avril 2021 (n°393099, 394922, 397844, 397851, 424717, 424718). La Commission souligne d’emblée que cette décision, qui fait suite à une saisine par le Conseil d’Etat de la Cour de justice de l’Union européenne (CJUE) d’une question préjudicielle, est porteuse d’enjeux significatifs tant en matière de libertés publiques, et notamment de préservation de la vie privée des personnes, que d’effectivité de l’action publique pour garantir les intérêts fondamentaux de la Nation, la sécurité publique et répression des infractions. Ces décisions et leur mise en œuvre participent à la définition d’un équilibre entre ces impératifs qui constitue un choix de société et un choix politique, qu’il appartient au Parlement de peser, parfaire et préciser.
Dans sa décision, le Conseil d’Etat a enjoint au Premier ministre de procéder à l’abrogation dans un délai de six mois, de l’article R. 10-13 du code des postes et des communications électroniques (CPCE) ainsi que du décret n° 2011-219 du 25 février 2011 relatif à la conservation et à la communication des données permettant d'identifier toute personne ayant contribué à la création d'un contenu mis en ligne. Le Conseil d’Etat a en outre relevé que les dispositions visant à permettre la mise en œuvre de techniques de renseignement, sans contrôle préalable par une autorité administrative indépendante dotée d’un pouvoir d’avis conforme ou une juridiction, en dehors des cas d’urgence dûment justifiés, devaient être annulées.
Dans ce contexte, si la Commission souligne qu’il appartiendra au législateur d’apprécier la conformité des dispositions projetées au regard des exigences tant constitutionnelles qu’européennes, elle souligne que les modalités d’application d’une partie de ces dispositions devront être précisées par voie réglementaire et précise à cet égard qu’elle entend faire un examen circonstancié du présent dispositif sans que cela préjuge de son appréciation du respect des principes relatifs à la protection des données à caractère personnel s’agissant des conditions de mise en œuvre effectives de ces dispositions.
Elle regrette néanmoins d’avoir à se prononcer dans des conditions d’urgence extrême sur de telles évolutions, compte tenu des enjeux associés à la collecte généralisée et indifférenciée des données relatives aux communications électroniques et les impacts substantiels s’agissant de la vie privée des personnes concernées qui en résultent.
Sur la modification des dispositions relatives au régime de conservation des données relatives aux communications électroniques par les opérateurs (article 11 quinquies du projet de loi)
Le projet de loi prévoit de modifier l’article 34-1 du CPCE qui organise le régime de conservation des données relatives aux communications électroniques par les opérateurs, pour prévoir, par dérogation au principe selon lequel ces opérateurs effacent ou rendent anonymes sans délai les données de connexion afférentes aux communications de leurs abonnés, les hypothèses dans lesquelles il peut être dérogé à cette obligation.
En ce qui concerne la conservation des données relatives à l’identité des utilisateurs, ainsi que des données techniques permettant de les identifier, ou relatives aux équipements terminaux de connexion utilisés
Le projet de loi prévoit que les opérateurs de communication électroniques sont tenus de conserver :
les informations relatives à l’identité de l’utilisateur, jusqu’à l’expiration d’un délai de cinq ans après la fin de validité de son contrat ;
les autres informations fournies par l’utilisateur lors de la souscription d’un contrat ou de la création d’un compte, ainsi que les informations relatives au paiement, pour une durée d’un an ;
les données techniques permettant d’identifier l’utilisateur ou relatives aux équipements terminaux de connexion utilisés, pour une durée d’un an .
Si la Commission relève que la Cour de justice et le Conseil d’Etat ont admis la possibilité de conserver de manière généralisée et indifférenciée les données relatives aux communications portant sur l’identité des personnes concernées, notamment en ce que leur conservation est considérée comme susceptible de porter une atteinte moindre à la vie privée de ces personnes, les dispositions projetées appellent les observations suivantes.
En premier lieu, le projet de loi prévoit qu’un décret en Conseil d'État, pris après avis de la Commission nationale de l'informatique et des libertés, détermine, selon l'activité des opérateurs et la nature des communications, les informations et catégories de données conservées en application de cet article. La Commission relève que le renvoi aux données techniques permettant d’identifier l’utilisateur ou relatives aux équipements terminaux de connexion utilisés est particulièrement large. Si elle relève que l’adresse IP pourra notamment être conservée à ce titre, elle rappelle que seules les données nécessaires aux finalités poursuivies par une telle conservation devront être conservées par les opérateurs.
A cet égard, elle rappelle en outre que la CJUE a considéré que la conservation de ces données devait notamment, pour des finalités autres que celles relevant de la sécurité nationale, être temporellement limitée au strict nécessaire.
Elle souligne en outre que la conservation de ce type de données ne saurait être justifiée pour un spectre large de finalités et notamment la poursuite et la recherche de toute infraction pénale. A ce titre, si le Conseil d’Etat a considéré que le législateur n’était pas tenu d’énumérer les infractions relevant du champ de la criminalité grave et pour lesquelles une conservation de ces données serait justifiée (qui sera en tout état de cause contrôlé par le juge pénal), la Commission estime que le projet de loi devrait préciser les finalités premières pour lesquelles ces données devraient être conservées par les opérateurs.
En second lieu, le projet de loi prévoit que les données conservées et traitées dans les conditions définies aux II bis à V portent exclusivement sur l'identification des personnes utilisatrices des services fournis par les opérateurs, sur les caractéristiques techniques des communications assurées par ces derniers et sur la localisation des équipements terminaux .
A cet égard, la Commission relève que compte tenu des finalités pour lesquelles elles sont traitées, les données conservées dans les conditions définies au II bis de l’article 34-1 du CPCE ne pourront porter sur la localisation des équipements terminaux. Elle invite dès lors le ministère à préciser la disposition précitée en ce sens.
Sur la conservation de données relatives aux communications électroniques en cas de menace grave, actuelle ou prévisible pour la sécurité nationale
L’article 11 quinquies prévoit qu’ en cas de menace grave, actuelle ou prévisible, pour la sécurité nationale, le Premier ministre peut enjoindre aux opérateurs de communications électroniques de conserver, pour une durée d’un an, certaines catégories de données relatives aux communications électroniques, en complément de celles mentionnées au II bis .
Le projet de loi précise en outre que l’injonction du Premier ministre, qui prend la forme d’un décret dont la durée d’application ne peut excéder un an, peut être renouvelée si les conditions prévues pour son édiction continuent d’être réunies .
A cet égard, la Commission rappelle que la Commission nationale de contrôle des techniques de renseignement (CNCTR) est compétente s’agissant de la mise en œuvre de techniques de renseignement et constitue à ce titre un des maillons de la chaîne opérationnelle conduisant au recueil de renseignements. Dès lors, elle estime, dans la mesure où le principe même de la conservation de données de trafic et de localisation constitue une atteinte à la vie privée, que l’injonction du Premier ministre imposant aux opérateurs la conservation de ces données devrait être soumise pour avis à la CNCTR. La Commission relève qu’une telle modalité est notamment de nature à garantir un strict équilibre entre l’atteinte à la vie privée portée par cette collecte et la protection de la sécurité nationale.
A cet égard, la Commission rappelle que le juge européen a subordonné la collecte généralisée et indifférenciée des données de trafic et de localisation à la seule hypothèse d’une menace grave pour la sécurité nationale qui s’avère réelle et actuelle ou prévisible , cette collecte devant également être limitée dans le temps. Dans ce contexte, le Conseil d’Etat a estimé que la durée de cette injonction de conservation faite aux opérateurs, ne saurait raisonnablement excéder un an .
La Commission estime que l’article 11 quinquies, en ce qu’il prévoit que la durée d’application de cette injonction ne peut excéder un an, vise à répondre aux exigences posées par le Conseil d’Etat.
Sur la conservation et l’accès aux données relatives aux communications électroniques pour les besoins de la recherche, de la constatation et la poursuite d’infractions pénales
Le projet de loi prévoit de supprimer les dispositions figurant actuellement au III de l’article L. 34-1 du CPCE, qui encadrent la conservation de certaines catégories de données, pour les besoins notamment, de la recherche, de la constatation et de la poursuite d’infractions pénales notamment.
La Commission relève que cette modification vise à tenir compte, tant des exigences européennes rappelées par la CJUE que de la décision du Conseil d’Etat du 21 avril 2021.
Le Conseil d’Etat a enjoint au Premier ministre de procéder à l’abrogation de sa décision refusant d’abroger l’article R. 10-13 du CPCE ainsi que le décret du 25 février 2011, notamment en ce que ces dispositions ne limitent pas les finalités de l’obligation de conservation généralisée et indifférenciée des données de trafic et de localisation à la sauvegarde de la sécurité nationale. Cette censure est justifiée par le fait que la CJUE a jugé que la conservation généralisée de ces données pour les besoins de la poursuite des infractions pénales était contraire au droit de l’Union européenne.
Cependant, la haute juridiction administrative a considéré que les critères posés par la CJUE pour permettre une conservation de ces données à cette fin (conservation ciblée, prédétermination des personnes susceptibles d’être impliquées dans une infraction pénale) n’étaient matériellement pas réalisables. Elle a en revanche estimé qu’une conservation dite rapide des données pour permettre de faire obstacle à la disparition des informations nécessaires aux enquêtes pénales était permise par le droit européen. Concrètement, elle a estimé que cette conservation dite rapide pouvait se traduire par une injonction de l’autorité judiciaire, faite aux opérateurs de communications électroniques, aux fournisseurs d’accès internet et aux hébergeurs de sites internet, de procéder à la conservation (pour une durée de quatre-vingt-dix jours maximum) des données de connexion qu’ils détiennent, y compris parmi celles conservées au titre de la conservation imposée aux fins de sauvegarde de la sécurité nationale. C’est sur cette conservation rapide que se greffe la possibilité pour les autorités judiciaires d’accéder à ces données pour des enquêtes pénales relatives à des cas avérés ou suspectés de criminalité grave.
A cet égard, la Commission comprend du dispositif tel qu’il lui a été soumis par le ministère, que l’accès aux données, notamment de trafic et de localisation, pourra être rendu possible au moyen de réquisitions judicaires.
Elle rappelle que le Conseil d’Etat a subordonné la possibilité pour l’autorité judiciaire d’accéder aux données nécessaires à la poursuite et à la recherche des auteurs d’infractions pénales, à celles dont la gravité le justifie. Si à cet égard, l’article préliminaire du code de procédure pénale (CPP) prévoit que les mesures de contraintes dont la personne suspectée ou poursuivie peut faire l'objet sont prises sur décision ou sous le contrôle effectif de l'autorité judiciaire et qu’elles doivent être strictement limitées aux nécessités de la procédure, proportionnées à la gravité de l'infraction reprochée et ne pas porter atteinte à la dignité de la personne , la Commission rappelle, en tout état de cause, qu’un contrôle strict de l’application de ces dispositions, compte tenu de l’atteinte portée à la vie privée des personnes concernées induite par la conservation de ces données, devra être réalisé, tant par les services d’enquête que par les autorités judiciaires.
La Commission relève en outre que le projet de loi, en ce qu’il modifie l’article L. 34-1 du CPCE et l’article 6 de la loi pour une confiance dans l’économie numérique, conduit à ce qu’aucune disposition spécifique n’encadre désormais l’accès à ces données pour les finalités de recherche, de constatation et de poursuite d’infractions pénales. Dès lors, elle s’interroge, eu égard à la spécificité des données auxquelles il pourra être accédé, et afin d’assurer la stricte proportionnalité de cet usage, sur le caractère suffisant des dispositions actuelles, notamment eu égard au champ d’application de l’article 60-2 du code de procédure pénale, pour encadrer les modalités de conservation dite rapide de ces données ainsi que leur accès (par exemple pour fixer la durée maximale de conservation rapide ). En tout état de cause, la Commission souligne que, dans la mesure où seules les infractions considérées comme graves pourront justifier un tel accès, et comme l’a souligné dans ses conclusions le rapporteur public, les contraventions devraient, par principe, être exclues de ce périmètre.
Sur la modification des dispositions relatives aux obligations faites aux fournisseurs d’accès
Le projet de loi modifie l’article 6 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique afin de prévoir que les fournisseurs d’accès à des services de communication au public en ligne, conservent les données d’identification dans les mêmes conditions que celles prévues à l’article L. 34-1 du CPCE.
Sous les réserves précédemment formulées, la Commission estime que la modification de cet article n’appelle pas d’observation complémentaire.
Sur le contrôle préalable de la mise en œuvre des techniques de renseignement (article 11 sexies du projet de loi)
Le projet de loi modifie les dispositions de l’article L. 821-1 du code de la sécurité intérieure (CSI) afin de prévoir que pour l’ensemble des techniques de renseignement, leur mise en œuvre, en cas d’avis défavorable de la CNCTR, implique obligatoirement une saisine de la formation spécialisée du Conseil d’Etat par la CNCTR. Dans cette hypothèse, le Conseil d’Etat dispose d’un délai de vingt-quatre heures pour statuer, délai pendant lequel la technique de renseignement en cause ne peut être mise en œuvre, sauf en cas d’urgence dûment justifiée et si le Premier ministre a ordonné sa mise en œuvre immédiate.
A cet égard, la Commission relève que ces dispositions visent à tenir compte des observations formulées par le Conseil d’Etat dans sa décision du 21 avril précité, éclairée par les exigences européennes rappelées par la CJUE. La mise en œuvre de l’ensemble de ces techniques est subordonnée à une décision dotée d’effet contraignant, prise par une juridiction ou une entité administrative indépendante. La réforme revient donc à soumettre la mise en œuvre d’une technique de renseignement, hors cas d’urgence, à l’avis conforme de la CNCTR, sauf à ce qu’une décision de justice en décide autrement. La Commission accueille favorablement le principe d’une telle évolution.
Elle considère cependant que le projet de loi appelle les observations suivantes.
En premier lieu, la Commission estime que le dispositif est inutilement complexe en ce qu’au lieu de prévoir un avis conforme de la CNCTR, il prévoit une saisine du Conseil d’Etat, par des membres de la CNCTR et non le Premier ministre, dans l’hypothèse où un avis défavorable serait rendu. Elle relève en outre que les dispositions projetées permettent formellement au Premier ministre d’autoriser la mise en œuvre immédiate d’une technique de renseignement après l’avis défavorable de la CNCTR et avant que le Conseil d’Etat ait statué. La Commission invite le Gouvernement à prévoir un dispositif plus simple et plus protecteur en prévoyant un avis conforme de la CNCTR. Elle recommande donc qu’il soit, sauf dans certains cas d’urgence, interdit au premier ministre d’autoriser la mise en œuvre d’une technique de renseignement après avis défavorable de la CNCTR. Il reviendrait alors au Premier ministre soit de renoncer à la mise en œuvre de la technique, soit de saisir lui-même le Conseil d’Etat.
En deuxième lieu, si la Commission comprend qu’il soit nécessaire, au regard des enjeux, que la formation du Conseil d’Etat statue dans les plus brefs délais, elle estime possible qu’un délai de vingt-quatre heures ne soit pas toujours suffisant pour juger des cas les plus complexes. Dans l’hypothèse où le juge ne parviendrait pas, malgré sa diligence, à trancher le litige dans ce délai, elle estime qu’il résulte du texte que la mesure de renseignement ne pourra pas être mis en œuvre tant qu’elle n’aura pas été autorisée par la décision de justice.
En troisième lieu, le projet de loi abroge l’article L. 821-5 du CSI qui prévoit que dans certaines situations d’urgence et pour des finalités limitées, le Premier ministre peut autoriser la mise en œuvre d’une technique de renseignement sans avis préalable de la CNCTR.
La Commission relève que les dispositions introduites par le projet de loi constituent une évolution positive dans la mesure où l’avis de la CNCTR sera systématiquement sollicité, sans dérogation possible. Elle souligne néanmoins que dans l’hypothèse où la CNCTR rendrait un avis défavorable, le Premier ministre peut, en cas d’urgence dûment justifiée, ordonner la mise en œuvre immédiate de la technique, et ce, avant que le Conseil d’Etat se soit prononcé.