La Commission nationale de l'informatique et des libertés,
Saisie par le Secrétaire Général de la Défense et de la Sécurité nationale, pour le compte du Premier ministre, d’une demande d’avis concernant un projet de décret en Conseil d’État relatif aux techniques de recueil de renseignement ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code pénal, notamment ses articles R. 226-1 à R. 226-12 ;
Vu le code des postes et des communications électroniques, notamment ses articles L. 34-1, R. 10-13 et R. 10-14 ;
Vu le code de la sécurité intérieure, notamment son livre VIII ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-4°-a) ;
Vu la loi n° 2004-575 du 21 juin 2004 modifiée pour la confiance dans l’économie numérique, notamment son article 6-II ;
Vu la loi n° 2013-1168 du 18 décembre 2013 relative à la programmation militaire pour les années 2014 à 2019 et portant diverses dispositions concernant la défense et la sécurité nationale ;
Vu la loi n° 2015-912 du 24 juillet 2015 relative au renseignement ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2011-219 du 25 février 2011 modifié relatif à la conservation et à la communication des données permettant d’identifier toute personne ayant contribué à la création d’un contenu mis en ligne ;
Vu le décret n° 2014-1576 du 24 décembre 2014 relatif à l’accès administratif aux données de connexion ;
Vu la décision n° 2015-713 DC du 23 juillet 2015 du Conseil Constitutionnel portant sur la loi relative au renseignement ;
Vu la délibération n° 2006-2019 du 28 septembre 2006 portant avis sur le projet de décret pris pour l’application des I et II de l’article 6 de la loi n° 2006-64 du 23 janvier 2006 relative à la lutte contre le terrorisme et portant dispositions diverses relatives à la sécurité et aux contrôles frontaliers ;
Vu la délibération n° 2014-484 du 4 décembre 2014 portant avis sur un projet de décret relatif à l’accès administratif aux données de connexion et portant application de l’article L. 246-4 du code de la sécurité intérieure ;
Vu la délibération n° 2015-078 du 5 mars 2015 portant avis sur un projet de loi relatif au renseignement ;
Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
Le Secrétaire Général de la Défense et de la Sécurité Nationale (SGDSN) a saisi, pour le compte du Premier ministre, la Commission nationale de l’informatique et des libertés, le 2 décembre 2015, d’un projet de décret en Conseil d’État relatif aux techniques de recueil de renseignement.
La Commission relève que la succession des dispositions législatives issues de la loi de programmation militaire du 18 décembre 2013 (LPM) et de la loi sur le renseignement du 24 juillet 2015, cette dernière s'accompagnant de surcroît d'une refonte du code de la sécurité intérieure, entraîne des modifications répétées et complexes des dispositions réglementaires, qui en affectent la lisibilité.
La loi n° 2015-912 du 24 juillet 2015 relative au renseignement a significativement modifié la procédure de réquisition administrative qui était régie auparavant par l’article L. 246-1 du CSI, laquelle avait déjà été sensiblement élargie par l’article 20 de la LPM. Dans le cadre de sa délibération du 4 décembre 2014, qui portait sur le projet de décret d’application de cet article 20, la Commission avait déjà relevé que cet élargissement était de nature à soulever plusieurs interrogations quant au risque d’inconventionnalité du régime juridique national en matière de conservation et d’accès aux données personnelles des utilisateurs de services de communications électroniques au regard de l’arrêt du 8 avril 2014 de la Cour de justice de l’Union européenne (CJUE) qui a invalidé la Directive 2006/24/CE du 15 mars 2006 sur la conservation de données générées ou traitées dans le cadre de la fourniture de services de communications électroniques accessibles au public ou de réseaux publics de communications. Au regard des risques particulièrement élevés d’atteinte à la vie privée qui peuvent résulter de la transmission d’un nombre toujours plus important de données aux opérateurs, elle considère qu’il y a lieu de porter une attention particulière aux données qui peuvent être recueillies au titre de la mise en œuvre des nouvelles techniques de recueil de renseignement prévues par la loi relative au renseignement.
Aux termes du nouvel article L. 851-1 du CSI, l’autorité administrative est notamment autorisée à recueillir, auprès des opérateurs de communications électroniques et des personnes mentionnées à l'article L. 34-1 du code des postes et des communications électroniques ainsi que des personnes mentionnées aux 1 et 2 du I de l'article 6 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique (" ci-après les opérateurs ") les "
informations ou documents traités ou conservés
L’article L. 851-1 du CSI prévoit qu’un décret en Conseil d’Etat, pris après avis de la Commission nationale de l’informatique et des libertés et de la Commission nationale de contrôle des techniques de renseignement (CNCTR), précise les modalités dans lesquelles les accès administratifs aux données de connexion peuvent être mis en œuvre.
Les dispositions du projet de décret concernent principalement le régime juridique applicable à la procédure de réquisition administrative des données de connexion prévue à l’article L. 851-1 du code de la sécurité intérieure (CSI), tel qu’issu de la loi n° 2015-912 du 24 juillet 2015 ainsi que le recueil de renseignements au titre de l’article L. 851-4 du même code. Il doit également permettre d’adapter les dispositions réglementaires qui figurent au titre IV du livre II du CSI relatif aux interceptions de sécurité et aux accès administratifs aux données de connexion au regard des modifications apportées par la loi relative au renseignement.
L’article 1

De manière générale, le projet d’article R. 821-1 du CSI rappelle que seuls les agents individuellement désignés et habilités par le directeur dont ils relèvent peuvent mettre en œuvre les techniques de recueil de renseignement prévues aux articles L. 851-1 à L. 854-9 du CSI.
Sur les demandes de recueil d’informations ou de documents en application de l’article L. 851-1 du CSI
La Commission rappelle que selon les dispositions du paragraphe VI de l’article
L. 34-1 du code des postes et des communications électroniques (CPCE), les données conservées et traitées par les opérateurs de communications électroniques et les personnes offrant au public une connexion permettant une telle communication portent exclusivement sur l'identification des personnes utilisatrices des services fournis par les opérateurs, sur les caractéristiques techniques des communications assurées par ces derniers et sur la localisation des équipements terminaux et ne peuvent en aucun cas porter sur le contenu des correspondances échangées ou des informations consultées, sous quelque forme que ce soit.
Il ressort par ailleurs du paragraphe II de l’article 6 de la loi du 21 juin 2004 que les données conservées par les personnes offrant un accès à des services de communication en ligne et celles assurant le stockage de diverses informations pour mise à disposition du public par ces services sont celles de nature à permettre l'identification de quiconque a contribué à la création du contenu ou de l'un des contenus des services dont elles sont prestataires.
Ces dispositions ont été précisées par voie réglementaire et les données devant être conservées au titre de ces obligations légales figurent aux articles R. 10-13 et R. 10-14 CPCE et 1

L’article L. 851-1 du CSI reprend
stricto sensu
informations ou documents traités ou conservés
La Commission rappelle que lorsqu’elle s’est prononcée sur le décret d’application de cette disposition de la LPM, elle a pris acte que cette formulation ne permettait en aucun cas de réaliser des interceptions de contenus ou des perquisitions en ligne et visait uniquement les données mentionnées aux articles R. 10-13 et R. 10-14 CPCE et 1

Or, elle relève que les dispositions réglementaires qui lui sont soumises prévoient un élargissement des données pouvant être recueillies à ce titre. En effet, en plus des données prévues par ces articles, le projet d’article R. 851-1 du CSI énumère d’autres catégories de données que celles qui doivent être conservées par ces opérateurs au titre de leurs obligations légales. Il s’agit des données suivantes :

les données permettant de localiser les équipements terminaux ;
les données relatives à l’accès des équipements terminaux aux réseaux ou aux services en ligne ;
les données relatives à l’acheminement des communications électroniques par les réseaux ;
les données relatives à l’identification et à l’authentification d’un utilisateur, d’une connexion, d’un réseau ou d’un service en ligne ;
les caractéristiques techniques des équipements terminaux et les données de configuration de leurs logiciels
En premier lieu, le projet d’article R. 851-1 du CSI rappelle expressément qu’est exclu des informations ou documents mentionnés à l’article L. 851-1 du CSI, le contenu des correspondances échangées ou des informations consultées. La Commission rappelle dès lors que cette interdiction de principe s’applique aussi bien aux opérateurs au titre des articles L. 34-1 du CPCE, 6-II de la LCEN et aux 2° à 6° du projet d’article R. 851-1 du CSI.
En particulier, elle considère que l’URL étant porteuse par nature des informations consultées, elle ne saurait être conservée par les opérateurs au-delà du temps nécessaire à l’acheminement de la communication que si une mesure d’anonymisation est mise en œuvre. En effet, la Commission rappelle qu’il est prévu au VI de l’article L. 34-1 du CPCE que les données conservées par les opérateurs ne peuvent porter "
sur le contenu des correspondances échangées ou des informations consultées, sous quelque forme que ce soit, dans le cadre de ces communications
Or, si elle est nécessaire à l’acheminement d’une communication, l’URL permet également de révéler des informations consultées. Dès lors, la Commission considère que cette donnée ne peut être sollicitée et transmise au titre des informations recueillies dans le cadre des articles L. 851-1 et L. 851-4 du CSI.
En second lieu, la Commission rappelle qu’en fonction des données souhaitées, les agents dûment habilités ne pourront solliciter que la catégorie d’opérateur effectivement chargée de les conserver.
De la même manière, elle rappelle que le recueil de ces "
informations ou documents
stricto sensu
En ce qui concerne l’élargissement opéré par le projet de décret, la Commission prend acte des précisions apportées par le SGDSN selon lesquelles il s’agit principalement de recueillir des données techniques générées automatiquement par les matériels utilisés par les personnes surveillées et les réseaux en dehors de toute communication effective et non des données conservées par les opérateurs au titre de leurs obligations légales.
Dans ces conditions, la Commission relève que si l’énumération prévue aux 2 à 6 du projet d’article R. 851-1 du CSI est de nature à préciser les informations ou documents recueillis, elle ne donne pas de définition précise des données pouvant être recueillies au titre de chaque catégorie alors même que les opérateurs et personnes visées aux 1° et 2° de l’article 6 de la loi du 21 juin 2004 sont pénalement responsables dans les termes des articles L. 39-3 CPCE et 6 VI de la loi du 21 juin 2004. Il importe dès lors que ceux-ci puissent connaître avec précision l’étendue de leurs obligations de conservation et d’effacement.
La Commission prend également acte que l’arrêté tarifaire prévu au projet d’article
R. 873-2 du CSI précisera les différentes prestations de transmission de données de connexion concernées, ce qui devra nécessairement inclure les catégories de données visées.
Enfin, le SGDSN a précisé que la notion de " service en ligne " visait les " services de communication au public en ligne " tels que définis par l’article 1

n° 2004-575 du 21 juin 2004 susvisée. Afin d’écarter toute ambiguïté sur le périmètre des données recueillies, la Commission demande que le projet de décret soit modifié afin de faire référence à la notion de service de communication au public en ligne.
Les conditions de mise en œuvre de la procédure de réquisition administrative des données de connexion
Après avoir énuméré les " informations et documents " qui peuvent être sollicités auprès des opérateurs, l’article 2 du projet de décret détaille les modalités de la procédure de réquisition administrative des données de connexion.
En premier lieu, la Commission relève que ne sont concernés par le projet de décret que les informations et documents énumérés aux articles L. 851-1 et L. 851-4 du CSI, à l’exclusion des données qui peuvent être recueillies par d’autres techniques de renseignement. Sont dès lors exclues les données qui pourraient être recueillies au titre des articles L. 851-2 (recueil en temps réel sur les réseaux des opérateurs des informations ou documents mentionnés à l’article L. 851-1 du CSI), L. 851-3 (mise en œuvre de traitements automatisés sur le réseau des opérateurs), L. 851-5 (localisation en temps réel d’une personne, d’un véhicule ou d’un objet) et L. 851-6 (" IMSI catcher ") du CSI. Elle rappelle à cet égard qu’il reviendra à chaque ministère concerné d’accomplir les formalités préalables nécessaires à la mise œuvre des traitements portant sur les données collectées grâce à ces techniques de recueil du renseignement.
En deuxième lieu, l’alinéa 3 de l’article L. 851-1 du CSI prévoit qu’un service du Premier ministre est chargé de recueillir les informations ou documents auprès des opérateurs concernés. Le projet de décret prévoit que cette mission de centralisation sera assurée par le groupement interministériel de contrôle (GIC), chargé des interceptions de sécurité et de l’accès administratif aux données de connexion en application de l’article R. 241-1 du CSI.
S’agissant de la gestion des demandes tendant au recueil des données de connexion et des réponses des opérateurs
Les projets d’articles R. 851-2 et R. 851-3 du CSI détaillent, d’une part, la procédure de demande de recueil des données de connexion qui peuvent être sollicitées auprès des opérateurs au titre de l’article L. 851-1 du CSI et, d’autre part, la procédure applicable au titre de l’article L. 851-4 du CSI (sollicitation du réseau et transmission en temps réel par les opérateurs) afin de recueillir les données techniques relatives à la localisation des équipements terminaux.
Les demandes de recueil formulées au titre des articles L. 851-1 et L. 851-4 du CSI devront comporter, sauf exception pour préserver l’anonymat de l’agent, des données relatives au demandeur, aux informations et documents dont le recueil est demandé et à la demande. À cet égard, la Commission prend acte qu’un annuaire partagé entre les services concernés, la CNCTR et le Premier ministre et ses délégués permettra, au travers d’un numéro d’identification spécifique, de s’assurer que l’agent à l’origine de la demande dispose bien d’une désignation ainsi que d’une habilitation spécifiques.
Il est prévu aux termes du projet d’article R. 851-2-III du CSI que les opérateurs ne soient destinataires que d’informations strictement limitées lorsqu’une demande de recueil aura été approuvée par le Premier ministre ou ses délégués. Ainsi, l’ordre de procéder au recueil qui leur sera adressé ne pourra faire état que des éléments suivants : la ou les techniques à mettre en œuvre, la durée de validité de l’autorisation ainsi que la ou les personnes concernées.
Elle relève également que les demandes tendant au recueil mentionné à l’article
L. 851-1 du CSI ne comporteront pas systématiquement la période concernée par les demandes de recueil " d’informations ou documents ", en application des dispositions du projet d’article R. 851-2-I.
La Commission rappelle toutefois qu’il est prévu, au titre des dispositions de l’article L. 821-2 du CSI, que la " durée de validité " de l’autorisation soit expressément mentionnée. Au regard du caractère particulièrement intrusif de la surveillance mise en œuvre avec ces techniques de recueil du renseignement et afin d’assurer un contrôle effectif de la CNCTR sur la proportionnalité de la demande, elle estime néanmoins que cette période devra obligatoirement apparaître dans les demandes formulées au titre de l’article L. 851-1 du CSI.
En tout état de cause, elle rappelle que l’autorisation de la mise en œuvre des techniques de recueil de renseignements permettant de collecter les données énumérées au projet d’article R. 851-1 ne doit valoir que pour une période déterminée qui ne peut excéder une durée maximale de quatre mois à compter de l’autorisation délivrée, en application des dispositions de l’article L. 821-4 du CSI.
Sur les traitements mis en œuvre à des fins de gestion des réquisitions administratives des données de connexion
La mise en œuvre des réquisitions administratives des données de connexion repose sur deux traitements distincts s’agissant, des réquisitions formulées, d’une part, au titre de l’article L. 851-1 du CSI et, d’autre part, au titre de l’article L. 851-4 du CSI.
De manière générale, elle considère que ces traitements devront permettre aux opérateurs de s’assurer que la demande qui leur est transmise a bien été approuvée et de garantir l’authenticité des approbations ainsi que leur intégrité.
La Commission rappelle que ces traitements devront être autorisés, préalablement à leur mise en œuvre, par arrêté pris après avis motivé et publié de la Commission, en application des dispositions de l’article 26 de la loi du 6 janvier 1978 modifiée.
Sur le traitement de données relatif aux demandes des agents et décisions du Premier ministre ou de ses délégués
Le projet d’article R. 851-2 du CSI prévoit que les demandes des agents et les décisions du Premier ministre ou de ses délégués sont enregistrées et conservées pendant une durée maximale de quatre ans dans un traitement de données à caractère personnel mis en œuvre par le GIC.
La Commission relève que cette durée est plus longue que la durée de trois ans actuellement prévue à l’article R. 246-5 du CSI et que, si l’article L. 822-2 du CSI prévoit que les données de connexion peuvent être conservées par les services de renseignement pour une durée maximale de quatre ans par les opérateurs, aucune disposition issue de la loi relative au renseignement ne concerne la durée de conservation des demandes adressées au GIC.
Interrogé sur cette durée, le SGDSN a précisé qu’il s’agissait de permettre à la CNCTR d’exercer son contrôle de manière plus approfondie sur une période identique à celle pendant laquelle les renseignements collectés par la mise en œuvre d’une technique de recueil de renseignement sont conservés.
La Commission considère qu’afin de garantir l’effectivité et la pertinence du contrôle ainsi réalisé, les demandes tendant au recueil des " informations ou documents " devraient être conservées jusqu’à l’expiration de la durée de conservation des données mises à la disposition par les opérateurs, dans la limite des quatre années prévues au projet d’article R. 851-2 du CSI. Elle estime en effet qu’un tel dispositif serait de nature à permettre à la CNCTR de s’assurer que les données recueillies ont été collectées et exploitées conformément à l’autorisation délivrée.
L’alinéa 2 du projet d’article R. 851-2-II précise que ces demandes et décisions sont automatiquement effacées à l’issue de cette durée de conservation. La Commission rappelle à cet égard que seul un mécanisme d’effacement automatique (système de purge) est à même de garantir l’effacement des données et le respect des durées de conservation définies.
Sur le traitement de données relatifs aux réponses des opérateurs
Le IV du projet d’article R. 851-2 du CSI est relatif au traitement mis en œuvre par le GIC à des fins de gestion des réponses des opérateurs. Les informations ou documents transmis par les opérateurs seront conservés dans ce traitement pendant une durée maximale de quatre ans, conformément aux dispositions de l’article
L. 822-2 du CSI.
La Commission estime que les données ne devront être transmises que par les employés individuellement désignés appartenant aux services en charge de ces demandes, des opérateurs ou des fournisseurs d’accès prestataires.
Par ailleurs, elle relève qu’aucune disposition ne précise les conditions dans lesquelles ces données seront transmises au GIC. Elle rappelle que le dispositif mis en œuvre devra garantir l’authenticité, la confidentialité ainsi que l’intégrité des données transmises.
Sur les traitements mis en œuvre au titre de l’article L. 851-4 du CSI
Le projet d’article R. 851-4 du CSI tel que prévu par le projet de décret formalise la procédure à suivre afin de recueillir les données relatives à la localisation des équipements terminaux, lesquelles peuvent être recueillies "
sur sollicitation du réseau et transmis en temps réel par les opérateurs à un service du premier ministre
Sur les modalités de transmission des données entre le GIC et les opérateurs
Les projets d’articles R. 851-2-III et R. 851-3-II du CSI précisent les modalités de transmission aux opérateurs des demandes émanant des services de renseignement et approuvées par le Premier ministre. La demande qui leur sera adressée précisera la ou les techniques à mettre en œuvre, la nature précise des informations ou documents demandés, le cas échéant la durée de validité de l’autorisation ainsi que la ou les personnes concernées.
Le projet de décret prévoit uniquement que les modalités de transmission de ces demandes aux opérateurs devront assurer "
leur sécurité, leur intégrité et leur suivi
Sur le contrôle effectué par la CNCTR
S’agissant des conditions dans lesquelles les services de renseignement peuvent accéder aux données de connexion, la Commission rappelle tout d’abord que cet accès s’effectuera sous le contrôle de la CNCTR.
Conformément aux dispositions de l’alinéa 3 de l’article L. 851-1, le projet d’article R. 851-4 du CSI prévoit que la CNCTR disposera d’un accès "
permanent, complet, direct et immédiat
Elle estime par ailleurs qu’à l’occasion de sa saisine pour avis concernant la création de ces différents traitements, toute information concernant les modalités d’accès et d’authentification de la CNCTR devra être portée à la connaissance de la CNIL.
Enfin, si cet accès doit permettre à la CNCTR d’effectuer son contrôle, la Commission rappelle que ce contrôle s’effectue sans préjudice des pouvoirs de contrôle qu’elle détient en application de l’article 44 de la loi du 6 janvier 1978 modifiée.
Sur les autres dispositions du projet de décret
L’article 4 du projet de décret vise à modifier la partie réglementaire du CSI afin d’y intégrer deux chapitres relatifs aux obligations des opérateurs en matière de cryptologie et dans le cadre de la mise en œuvre des techniques de renseignement ainsi qu’un chapitre relatif aux compensations financières.
La Commission relève qu’outre les modifications de nature à assurer la cohérence des dispositions du CSI avec les évolutions résultant de la loi relative au renseignement, il s’agit à titre principal de modifier les dispositions portant sur la réalisation des opérations matérielles nécessaires à la mise en place des interceptions de sécurité, actuellement prévues à l’article R. 242-4 du CSI.
L’article R. 872-1 du CSI est ainsi modifié afin de ne plus faire référence aux seules interceptions de sécurité mais à l’ensemble des techniques de recueil de renseignement mentionnées aux articles L. 851-1 à L. 851-4 ainsi qu’à l’article
L. 852-1 du CSI.
Ce même article R. 872-1 du CSI prévoit également que ne peuvent être tenus pour qualifiés, pour répondre à l’ordre du Premier ministre ou de la personne spécialement déléguée par lui prévue à l’article L. 871-6 du CSI, que les agents techniquement compétents qui ont été habilités à connaître d’éléments couverts par le secret de la défense nationale et non plus les agents qui sont employés depuis au moins deux ans chez le même opérateur de communications électroniques.
Le projet d’article R. 873-2 du CSI prévoit quant à lui que les coûts identifiables et spécifiques supportés par les opérateurs et personnes mentionnées à l’article
L. 851-1 du CSI pour que soient mises en œuvre les techniques de recueil de renseignement sont remboursés par l’État selon des tarifs et des modalités fixés par arrêté du Premier ministre.
L’article 6 du projet de décret modifie la partie réglementaire du code pénal relative à l’atteinte à la vie privée (articles R. 226-1 et suivants) principalement afin d’instituer des autorisations de plein droit, accordées à des services de l’État désignés par arrêté du Premier ministre, pour la fabrication d’appareil et de dispositifs permettant de recueillir des renseignements.
Ces deux dernières dispositions n’appellent pas d’observation particulière de la part de la Commission.
La Présidente
Isabelle FALQUE-PIERROTIN