La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l’Intérieur d’une demande d’avis concernant un projet de loi relatif à la prévention d’actes de terrorisme et au renseignement ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8 ;
Après avoir entendu le rapport de Mme Sophie LAMBREMON, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l’avis suivant
La Commission a été saisie en urgence, le 2 avril 2021, sur le fondement de l’article 8-4°-a) de la loi du 6 janvier 1978 modifiée, des articles 13 bis et 13 ter du projet de loi relatif à la prévention d’actes de terrorisme et au renseignement (ci-après le projet de loi ).
La Commission souligne que les enjeux associés aux modifications envisagées sont de nature très distincte, et ne revêtent pas la même sensibilité du point de vue du droit au respect de la vie privée et à la protection des données à caractère personnel. En particulier, elle estime que l’ensemble de ces dispositions participe de la mise en œuvre de mesures de surveillance susceptibles de porter atteinte de manière significative aux droits fondamentaux des personnes concernées. La Commission rappelle à cet égard que de telles atteintes peuvent être justifiées si elles sont limitées au strict nécessaire, au regard de la légitimité des objectifs poursuivis, que constituent la sécurité nationale et la sauvegarde des intérêts fondamentaux de la Nation.
Les évolutions envisagées par le ministère visent, d’une part, à encadrer la mise en œuvre d’une nouvelle technique de renseignement permettant, par le biais de dispositifs de captation de proximité, l’interception de correspondances transitant par voie satellitaire. D’autre part, les modifications projetées encadrent les échanges d’informations entre les services judiciaires et les services de renseignement, ainsi qu’avec l’Agence nationale de sécurité des systèmes d’information (ANSSI).
Sur la mise en œuvre d’une nouvelle technique de renseignement d’interception de correspondances (article 13 bis)
Sur le principe de l’expérimentation de cette nouvelle technique
L’article 13 bis du projet de loi encadre la mise en œuvre d’une nouvelle technique de renseignement, qui vise à permettre aux services de renseignement d’intercepter, par le biais d’un dispositif de captation de proximité, les correspondances émises ou reçues transitant par voie satellitaire. Il prévoit une période expérimentale de quatre ans.
A titre liminaire, la Commission relève que la mise en œuvre d’un tel dispositif s’apparente à la technique dite de l’
IMSI-catcher
Elle rappelle que ce type de technique de renseignement est susceptible de permettre la collecte systématique et automatique des données relatives à des personnes pouvant n’avoir aucun lien ou une simple proximité géographique avec l’individu effectivement surveillé. En l’absence de mesures techniques permettant de filtrer les correspondances visées et d’accéder uniquement aux données utiles concernant une personne identifiée comme faisant l’objet d’une surveillance ciblée, il s’agira de permettre de collecter, de manière indifférenciée, un volume potentiellement important de données, qui peuvent être relatives à des personnes tout à fait étrangères à la mission de renseignement, y compris des personnes dont les correspondances sont protégées par la loi. La Commission invite le Gouvernement, lors de l’expérimentation, et si cela est techniquement réalisable, à mettre en œuvre de telles mesures de filtrage le plus en amont possible.
L’atteinte potentielle à la vie privée des individus est donc particulièrement forte. Ainsi, comme la Commission l’avait souligné dans sa délibération précitée, elle considère que de telles mesures, ne sont justifiables que si elles s’avèrent strictement nécessaires à des objectifs impérieux d’intérêt général, de façon subsidiaire à d’autres techniques plus ciblées, et si elles sont assorties de garanties et de modalités de contrôle effectives permettant de limiter les atteintes aux droits fondamentaux des personnes concernées.
La Commission relève que le lancement de l’expérimentation envisagée par le Gouvernement sera décidé par le Parlement à un moment où de nombreux éléments restent incertains. Elle comprend des documents qui lui ont été transmis que, le développement de transmissions satellitaires échappant aux modes traditionnels de surveillance, la mise en œuvre de cette nouvelle technique doit permettre d’adapter les techniques de captation à l’évolution significative des modes de communication. Si le ministère a précisé qu’il considère que le cadre légal actuel est inadéquat pour intercepter ces nouvelles formes de communication, la Commission souligne qu’il semble que les modalités techniques qui seront utilisées pour capter ces transmissions ne sont pas encore entièrement définies.
Dans ces conditions, elle accueille favorablement le principe de conditionner la mise en œuvre de cette technique à une expérimentation, dans la mesure où celle-ci pourrait permettre d’apprécier la proportionnalité et l’efficacité de ces mesures avant d’en envisager la pérennisation. La Commission estime cependant qu’au regard de l’atteinte à la vie privée portée par ce type d’interceptions de correspondances, le législateur doit soumettre l’expérimentation à des conditions explicites garantissant la stricte proportionnalité de l’atteinte portée à la vie privée.
A cet égard, la Commission souligne que des incertitudes demeurent tant sur le volume de transmissions qui pourraient échapper aux services de renseignement,

La Commission considère donc que, s’il devait s’avérer, après de premiers essais expérimentaux, que la nécessité opérationnelle a été surévaluée ou que les modalités techniques rendent impossible ou disproportionné le recours à de telles interceptions de correspondances, il conviendrait d’interrompre l’expérimentation avant l’expiration du délai de quatre années. La loi pourrait préciser que l’utilisation effective de cette nouvelle technique ne sera possible que tant que l’utilité opérationnelle n’en sera pas démentie, soit si ce type de transmissions satellitaires ne connaissait pas le développement escompté, soit si les modalités techniques d’interception s’avéraient insatisfaisantes.
Dans ce contexte, la Commission demande à ce que le projet de loi prévoit qu’un bilan intermédiaire soit réalisé et adressé au Parlement, dans les mêmes conditions que celui qui devra être effectué, conformément au projet d’article 13 bis, avant la fin de l’expérimentation. La Commission rappelle en outre que la Commission nationale de contrôle des techniques de renseignement (CNCTR) pourra, conformément aux articles L. 833-6 et L. 833-6 du CSI, effectuer ce contrôle durant l’expérimentation et notamment recommander à ce titre au Premier ministre d’interrompre ou de suspendre l’expérimentation, le cas échéant en saisissant la formation spécialisée du Conseil d’Etat, si les conditions posées par la loi à son déroulement n’étaient plus remplies.
Enfin, elle souligne qu’afin d’évaluer précisément les bénéfices qui seraient retirés du dispositif, le bilan visé à l’article précité devra

Sur les conditions de mise en œuvre de la technique et les garanties prévue par l’article 13 bis du projet de loi
De manière générale, la Commission estime que l’expérimentation ne saurait être admise que si des garanties suffisantes pour limiter les atteintes à la vie privée au strict nécessaire sont prévues. A cet égard, elle relève que le projet de loi apporte des garanties pour partie similaires à celles prévues aux dispositions de l’article L. 852-1 du CSI encadrant les
IMSI-catchers
IMSI- catcher
En premier lieu
En deuxième lieu
Tout d’abord, la Commission prend acte de ce que les données seront chiffrées dès la captation par un chiffrement asymétrique dans l’hypothèse où la centralisation immédiate ne serait pas possible. A ce titre, elle rappelle que les méthodes employées devront être conformes à l'annexe B1 du référentiel général de sécurité (RGS) et que les clés privées doivent faire l'objet de mesures de sécurité visant à garantir que leur usage est strictement limité aux personnes habilitées.
Par ailleurs, l’article 13 bis du projet de loi prévoit que le recours à cette nouvelle technique peut être autorisé
lorsque cette interception ne peut être mise en œuvre dans les conditions prévues au I de l’article L. 852-1 du présent code
A cet égard, le ministère a précisé que cette hypothèse correspond aux cas dans lesquels il sera impossible de mettre en œuvre une interception de sécurité sur le fondement de l’article précité, en raison notamment des difficultés à réquisitionner certains types d’opérateurs. La Commission estime que ces modalités constituent une garantie permettant d’écarter le caractère systématique de la mise en œuvre de cette technique, et permet ainsi de circonscrire son usage au strict nécessaire. A cet égard, elle appelle à un contrôle strict de la subsidiarité de cette technique et estime que l’article 13 bis pourrait être complété afin de préciser les critères justifiant le recours à cette technique nettement plus intrusive qu’une interception ciblée.
Enfin, la Commission prend acte des précisions apportées par le ministère sur le périmètre géographique de la mise en œuvre de ces captations. Si les dispositifs actuels ont une portée réduite, l’objectif attaché à la mise en œuvre de cette technique sera de réduire au maximum la zone concernée autour de la cible visée par l’autorisation délivrée par le Premier ministre et par cela d’accroître la spécificité des données collectées. La Commission considère que ces éléments participent de l’appréciation globale de la proportionnalité du dispositif en cause.
En troisième lieu
D’une part
Compte tenu des enjeux précédemment rappelés s’agissant de la collecte de données au moyen de ce type de technique, et plus particulièrement son caractère expérimental, la Commission s’interroge sur un tel périmètre.
Si la Commission ne remet pas en cause l’intérêt qui résulterait à terme de la mise en œuvre de cette technique pour l’ensemble des finalités poursuivies par les services de renseignement, comme c’est le cas pour les interceptions de sécurité de droit commun existant aujourd’hui, elle considère que les incertitudes, tant techniques qu’opérationnelles, relatives à la mise en œuvre de cette technique, et l’atteinte très particulière qu’elle porte à la vie privée, devraient conduire le ministère à envisager son développement dans un cadre expérimental pour les seuls objectifs d’intérêt général les plus impérieux, et considérés comme les plus graves.
Elle rappelle enfin que concernant les
IMSI-catchers
relatives à la prévention d’atteintes particulièrement graves à l’ordre public
D’autre part
délivrée pour une durée maximale de trente jours, renouvelable dans les mêmes conditions
La Commission relève que cette durée est inférieure à celle applicable aux interceptions de correspondance de droit commun et encadrées par l’article L. 852- 1-I du CSI, réalisées sur réquisition des opérateurs, qui est de quatre mois. En revanche, elle est nettement supérieure à la durée d’autorisation des
IMSI-catchers
IMSI-catcher
Sur l’échange d’informations entre les autorités judiciaires et les services de renseignement (article 13 ter)
L’article 13 ter du projet de loi encadre, pour certaines procédures d’enquêtes ou d’instruction et par dérogation au secret de l’instruction, la possibilité pour le procureur de la République de Paris (ou le cas échéant le juge d’instruction), de communiquer aux services de renseignement des éléments de toute nature figurant dans ces procédures et nécessaire à l’exercice des missions de ces services.
A titre liminaire, la Commission relève que l’article 706-25-2 du code de procédure pénale (CPP) prévoit d’ores et déjà que le procureur de la République antiterroriste, pour les procédures d’enquête ou d’instruction ouvertes sur le fondement d’une ou de plusieurs infractions terroristes, puisse communiquer aux services spécialisés de renseignement, de sa propre initiative ou à la demande de ces services, des éléments de toute nature figurant dans ces procédures et nécessaires à l'exercice des missions de ces services en matière de prévention du terrorisme.
De manière générale, si la Commission souligne que les enjeux associés à cette modification dépassent les seules considérations Informatique et Libertés , elle rappelle néanmoins que les dispositions visées, en ce qu’elles permettent la transmission de données à caractère personnel, doivent s’effectuer dans le respect des principes relatifs à la protection de ces données, et plus spécifiquement ceux relatifs à la proportionnalité et la licéité des traitements.
En premier lieu
En second lieu,

La Présidente
Marie-Laure DENIS