# BRÈVES RÉFLEXIONS SUR LES ENJEUX JURIDIQUES DE LA CAPTATION DES DONNÉES INFORMATIQUES

Noémie Véron

► To cite this version:

Noémie Véron. BRÈVES RÉFLEXIONS SUR LES ENJEUX JURIDIQUES DE LA CAPTATION DES DONNÉES INFORMATIQUES. Surveiller en démocratie. Quels bilans ? Quelles perspectives ?, Observatoire de la surveillance en démocratie, Feb 2025, Bordeaux, France. hal-05308495

HAL Id: hal-05308495

https://hal.science/hal-05308495v1

Submitted on 10 Oct 2025

HAL is a multi-disciplinary open access
archive for the deposit and dissemination of sci-
entific research documents, whether they are pub-
lished or not. The documents may come from
teaching and research institutions in France or
abroad, or from public or private research centers.

L'archive ouverte pluridisciplinaire HAL, est
destinée au dépôt et à la diffusion de documents
scientifiques de niveau recherche, publiés ou non,
émanant des établissements d'enseignement et de
recherche français ou étrangers, des laboratoires
publics ou privés.

<figure><img src="image_1.png" /></figure>

Distributed under a Creative Commons Attribution 4.0 International License
BRÈVES RÉFLEXIONS SUR LES ENJEUX JURIDIQUES DE LA CAPTATION DES DONNÉES INFORMATIQUES<fnref n="1" />

Noémie VERON

Maître de conférences en droit public, Université Lille – Centre d'Études et de Recherches Administratives, Politiques et Sociales, UMR 8026

Moins connue que la conservation et la communication des données de connexion pour les juristes, la captation des données informatiques (CDI) constitue une technique de surveillance aussi discrète qu'intrusive. Elle permet l'accès au contenu de téléphones, ordinateurs et autres systèmes informatiques à l'insu de leur propriétaire/utilisateur, ce qui en fait une technique plébiscitée par les forces de l'ordre en France et à l'étranger. Songeons à l'affaire *Pegasus* du nom de ce logiciel espion capable de pénétrer un téléphone à distance et sans intervention de la cible. Il aurait permis à des régimes totalitaires (mais pas que) d'espionner des opposants, des journalistes, des activistes des droits de l'homme, voire des personnalités politiques dont des chefs d'État et des ministres<fnref n="2" />. La France n'est pas en reste comme le démontre le « hacking étatique » réalisé sur le réseau chiffré EncroChat utilisé par les narcotrafiquants qui a donné lieu à des milliers de procédures pénales partout en Europe<fnref n="3" />.

On l'aura compris, la CDI correspond à une technique d'enquête qui peut être utilisée par les services de police judiciaire et les services de renseignement. Elle recouvre deux procédés qu'il est nécessaire de distinguer. Elle désigne la captation *stricto sensu*, c'est-à-dire l'enregistrement en temps réel des flux de données émis ou reçus par des systèmes informatiques et leurs périphériques détenus par la cible<fnref n="4" /> par le biais *keyloggers*<fnref n="5" />. En aucun cas, il n'est possible d'accéder en temps réel aux documents contenus dans le système informatique visé. C'est pourquoi un deuxième procédé existe : le recueil des données, c'est-à-dire la collecte « des données stockées dans un ou plusieurs systèmes informatiques utilisés par un objectif, le recueil étant opéré soit directement en accédant au support des données informatiques, soit à distances (sic), au travers des réseaux informatiques<fnref n="6" /> ». Ici les outils utilisés s'apparentent à des *chevaux de Troie*, des logiciels malveillants qui se présentent bien souvent sous une apparence légitime, mais dont l'objectif – entre autres – est de livrer un accès au système informatique cible et bien entendu l'ensemble des données qu'il contient. La plupart du temps ces logiciels supposent une action de la cible (cliquer sur un lien, ouvrir un fichier, installer un logiciel, etc.), mais les plus sophistiqués d'entre eux, dont *Pegasus*, reposent sur des failles – des vulnérabilités – existantes dans les systèmes informatiques et opèrent sans intervention de la cible<fnref n="7" />.

Très controversés, ces dispositifs trouvent leur première consécration dans la loi du 14 mars 2011 dite « LOPSI II »<fnref n="8" /> qui a autorisé les services de police judiciaire à y recourir. À l'époque, cette technique restait limitée à la seule utilisation de *keyloggers*. La loi renseignement du 24 juillet 2015⁹ a apporté des changements substantiels en accordant aux services de renseignement l'usage de ces techniques, y compris – et surtout – du recueil des données informatiques. D'abord, octroyée aux seuls services de renseignement, les services judiciaires y ont accès depuis la loi du 23 mars 2019 de programmation 2018-2022 et de réforme pour la

<footnote n="1">¹ Ce travail a bénéficié d'une aide de l'État gérée par l'Agence Nationale de la Recherche au titre de France 2030 portant la référence « ANR-22-PECY-0009 ».</footnote>

<footnote n="2">² RICHARD (L.), RIGAUD (S.), *Pegasus. Démocratie sous surveillance*, Paris, Robert Laffont, 2023, 364 p</footnote>

<footnote n="3">³ V. par ex., Lassalle Maxime, « L'affaire EncroChat », *Recueil Dalloz*, 2023, p. 1833.</footnote>

<footnote n="4">⁴ Étude d'impact, *Projet de loi relatif à la prévention d'actes de terrorisme et au renseignement et lettre rectificative*, 11 mai 2021, p.154.</footnote>

<footnote n="5">⁵ Hennequin Shirley, « *Quid* de la captation des données informatiques ? », *Recueil Dalloz*, 2011, p. 1358</footnote>

<footnote n="6">⁶ Étude d'impact, *Projet de loi relatif à la prévention d'actes de terrorisme et au renseignement et lettre rectificative*, préc., p.154.</footnote>

<footnote n="7">⁷ Un temps le logiciel Pegasus exploitait une faille sur l'application Apple Musique présente sur les Iphones pour pénétrer à l'intérieur du système dans être repéré.</footnote>

<footnote n="8">⁸ Loi n° 2011-267 du 14 mars 2011 d'orientation et de programmation pour la performance de la sécurité intérieure.</footnote>

<footnote n="9">⁹ Loi n° 015-912 du 24 juillet 2015 relative au renseignement.</footnote>
justice<fnref n="10" />.

La CDI a d'abord été marginalisée vis-à-vis d'autres techniques d'enquête et de renseignement en raison de son coût ou encore des difficultés techniques de mise en œuvre, avant de ne s'observe une croissance presque exponentielle de son utilisation. Les chiffres rendus publics par la Commission nationale de contrôle des techniques de renseignement (CNCTR) dans ces rapports annuels sont éloquents<fnref n="11" /> : en 2024, ce n'est pas moins de 5 715 autorisations qui ont été délivrées pour les services de renseignement (soit une augmentation de 27,7 % entre 2023 et 2024 et 136,4 % entre 2020 et 2024¹²). La Commission s'inquiète d'ailleurs de la hausse significative du recours à ces techniques particulièrement intrusives de la part des services de renseignement<fnref n="13" />. Le contexte sécuritaire de l'année 2024 a certes joué une part importante (songeons évidemment aux Jeux olympiques de Paris 2024), mais cela ne constitue pas la seule explication. Deux raisons supplémentaires pourraient être avancées pour expliquer cette transformation de la surveillance. D'une part, force est de constater une forme de banalisation du recours aux technologies de chiffrement des communications. Plébiscités par tout un chacun, ces outils sont aussi un argument de vente non négligeable pour les grandes entreprises du secteur (Méta, Signal, Apple, Telegram, pour ne citer qu'elles). La conséquence est assez évidente : les outils traditionnels de surveillance comme l'interception des communications ne sont plus aussi efficaces (voire inutiles dans certains cas). D'autre part, la collaboration avec les opérateurs de communication et plateformes de communication interpersonnelles n'est pas toujours aisée. Aujourd'hui, les procédures de collaboration sont fixées par des traités internationaux, mais elles se révèlent longues, coûteuses et pas toujours efficaces. L'exemple de la messagerie Telegram reste topique : l'entreprise est connue pour ne pas répondre aux sollicitations de la puissance publique ou seulement dans de rares cas, c'est d'ailleurs l'une des raisons qui a conduit à l'arrestation de Pavel Durov, fondateur de la messagerie, en septembre 2024 à Paris<fnref n="14" />.

Malgré ses attraits, la CDI doit être regardée pour ce qu'elle est : un procédé « d'intrusion massive<fnref n="15" /> ». Les données collectées sont sans commune mesure avec d'autres techniques tant d'un point de vue qualitatif que quantitatif. Il s'agit tout bonnement d'aspirer le contenu d'un téléphone, d'un ordinateur ou d'observer à distance son utilisation à l'insu totale de la personne.

Or, face aux dangers de cette technique, le cadre juridique est encore balbutiant. L'affaire EncroChat dont les premières décisions judiciaires ont été rendues en 2022 en illustre d'ailleurs les insuffisances. Prenons-en pour preuve, le déséquilibre marqué entre l'ampleur des atteintes aux droits et libertés résultant de la CDI et les contrôles dont elle peut faire l'objet. La fragilité du cadre légal s'explique tant par le caractère inévitable de l'expansion de ces technologies (I) que par les insuffisances persistances des contrôles pesant sur officiers de police judiciaire et les services de renseignement en la matière (II).

# I. L'expansion irrésistible de la captation des données informatiques

Dans le premier temps de cette réflexion, il s'agira d'explorer les manifestations matérielles (A) et techniques (B) de l'expansion des procédés de CDI.

<footnote n="10">¹⁰ Loi n° 2019-222 du 23 mars 2019 de programmation 2018-2022 et de réforme pour la justice, art. 46.</footnote>

<footnote n="11">¹¹ À notre connaissance, il n'existe pas de données chiffrées publiques sur la question de la CDI en matière judiciaire.</footnote>

<footnote n="12">¹² CNCTR, *Rapport d'activité pour l'année 2024*, La documentation française, Paris, 2025, p. 40.</footnote>

<footnote n="13">¹³ *Ibid.*, p. 41.</footnote>

<footnote n="14">¹⁴ Véron Noémie, « L'affaire Telegram : entre refus de collaboration et absence de modération », *Le club des juristes*, 6 septembre 2024, URL : https://www.leclubdesjuristes.com/observatoire-de-la-reforme-constitutionnelle/justice-observatoire-de-la-reforme-constitutionnelle/laffaire-telegram-entre-refus-de-collaboration-et-absence-de-moderation-6812/.</footnote>

<footnote n="15">¹⁵ Audibert Matthieu, « La pénétration du droit pénal dans l'espace privé : la captation de données informatiques », *Archives de politique criminelle*, n° 43, 2021, pp. 91-103 ; v. également du même auteur *Le recueil de la preuve numérique : enjeu et perspective en procédure pénale*, th., Nanterre, 2024.</footnote>
A. Les expansions matérielles de la captation des données informatiques

Depuis quelques années, deux mouvements parallèles d'extension s'observent sans pour autant qu'ils répondent aux mêmes objectifs.

Le premier mouvement consiste ainsi à amplifier les hypothèses dans lesquelles il est possible de recourir à la CDI. Cela se traduit en partie par des modifications successives du cadre légal, comme nous avons pu le voir précédemment en droit français. Au-delà des modifications législatives, les juges nationaux comme européens par leur décision posent les jalons afin d'étendre davantage le recours à cette technique. C'est le cas par exemple de la Cour de justice de l'Union européenne (CJUE) qui dans une décision du 4 octobre 2024 énonce que la CDI peut être utilisée pour les infractions de droit pénal général si le droit national définit avec suffisamment de précision les éléments et la nature de celles-ci<fnref n="16" />.

Ce faisant, la Cour semble affaiblir la protection européenne vis-à-vis de ces dispositifs en adoptant une position en rupture évidente avec sa jurisprudence en matière de données de connexion. En effet, elle ne réserve pas la CDI à la seule lutte contre la criminalité grave ou aux menaces pensant sur la sécurité nationale comme elle peut le faire pour la conservation et la communication des données de connexion<fnref n="17" />. Elle justifie cette position par le fait qu'une limitation à la seule criminalité grave de ces techniques d'enquête signifierait un « accroissement du risque d'impunité pour de telles infractions » [i. e. les infractions pénales générales], compte tenu de l'importance que peuvent avoir de telles données pour les enquêtes pénales<fnref n="18" />. De sorte que la jurisprudence européenne pourrait servir de support à une transposition de la technique à d'autres formes « plus communes » de criminalité pour l'instant limitée en France aux infractions liées aux crimes et délits commis en bande organisée ou celles liées à la menace terroriste (706-73 et 706-73-1 du CPP) à la double condition d'être suffisamment grave et d'une particulière complexité.

Le second consiste à retenir une définition maximaliste de la notion de CDI afin d'appliquer à tout une partie des procédés des garanties pour que l'atteinte au droit au respect de la vie privée reste proportionnée à l'objectif poursuivi. Du côté français, dans l'affaire EncroChat, la Cour de cassation a brossé les contours légaux de la CDI. Le 11 octobre 2022, sa chambre criminelle a jugé que la CDI s'entend de l'ensemble des opérations liées à la collecte et à l'extraction des données, y compris les opérations préalables à celles-ci, comme des opérations de blocages de communication ou de redirection des flux<fnref n="19" />. Autrement dit, les garanties procédurales prévues par le code de procédure pénale trouvent à s'appliquer à l'ensemble des opérations liées à la collecte et l'extraction dès l'origine.

Dans sa décision du 4 octobre 2024, la CJUE retient elle aussi une définition maximaliste de la CDI en l'assimilant à un traitement de données personnelles soumis à la directive « Police Justice »<fnref n="20" />. Plus encore, elle estime que cette directive s'applique à l'ensemble des procédés mis en œuvre pour accéder aux données, y compris lorsque les tentatives n'ont pas été concluantes<fnref n="21" />. Ainsi, toutes les opérations doivent être soumises « à un contrôle préalable d'un juge ou d'une entité administrative indépendante<fnref n="22" /> ». Une telle qualification permet surtout à la CJUE d'appliquer les droits et obligations issus du droit à la protection des données personnelles à l'ensemble des opérations nécessaires à l'accès aux données, dont le droit à l'information ou encore le droit

<footnote n="16">¹⁶ CJUE, 4 octobre 2024, CG c. Bezirkshauptmannschaft Landeck, C-548/21.</footnote>

<footnote n="17">¹⁷ CJUE, 21 décembre 2016, Tele2 Sverige AB, C-203/15, C-698/15 ; CJUE6 octobre 2020, La Quadrature du Net, C-623/17, C-511/18, C-512/18 et C-520/18.</footnote>

<footnote n="18">¹⁸ CJUE, 4 octobre 2024, *préc.*, pt. 97.</footnote>

<footnote n="19">¹⁹ Crim. 11 oct. 2022, F-D, n° 21-85.148 ; v. également Crim. 25 oct. 2022, FS-B, n° 21-85.763.</footnote>

<footnote n="20">²⁰ Directive 2016/680/CE du Parlement et du Conseil du 27 avril 2016 relatives à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil.</footnote>

<footnote n="21">²¹ CJUE, 4 octobre 2024, *préc.*, pt. 69 et s.</footnote>

<footnote n="22">²² *Ibid.*</footnote>
à la minimisation.

## B. L'essor avéré des moyens techniques de captation des données informatiques

Le cadre légal s'est longtemps borné à énoncer la nature des données susceptibles de faire l'objet d'une technique d'enquête (communication, données de connexion, son, image, données informatiques) sans préciser les techniques autorisées pour les collecter et les traiter. L'objectif est simple : préserver la loi d'une forme d'obsolescence programmée face à l'apparition de nouvelles techniques et méthode.

Pourtant des réglementations nationales comme européennes sont votées pour légaliser le recours à de nouvelles techniques d'enquête bien plus intrusives et spécifiques : les logiciels espions. C'est le cas de la loi du 3 juin 2016²³ qui a modifié le CPP afin d'autoriser le recours à ces logiciels par deux biais : soit les autorités judiciaires font appel à des experts – des entreprises privées – qui réaliseront l'intrusion (art. 157 du CPP), soit elles demandent l'utilisation des moyens protégés par le secret de la défense nationale. Un service a même été institué spécialement pour le développement de ces nouveaux outils de captation des données : le service technique national de captation judiciaire. La loi visant à sortir la France du piège du Narcotrafic du 13 juin 2025 autorise désormais l'activation à distance des appareils électroniques à des fins de sonorisation ou de captation d'image<fnref n="24" />. Si le Conseil constitutionnel avait déjà censuré une précédente tentative d'instaurer de tels dispositifs<fnref n="25" />, la nouvelle mouture de la loi passe les Fourches caudines du contrôle de constitutionnalité, notamment parce qu'elle est réservée à certaines infractions commises en bande organisée listées aux articles 706-73 du code de procédure pénale ou encore que le juge des libertés et de la détention sur demande du procureur de la République doive l'autoriser.

L'Union européenne n'est pas non plus en reste. Même si l'usage du logiciel Pegasus a été décrié et condamné au niveau européen<fnref n="26" />, cela n'a pas empêché les institutions d'autoriser, dans le règlement sur les médias<fnref n="27" />, l'usage de « logiciels de surveillance intrusifs » contre des services de médias (équipe rédactionnelle, personne pouvant disposer d'élément sur des sources) lors d'enquête pour des crimes/délits supérieurs à 5 ans d'emprisonnement à certaines conditions (cf. art. 4 du règlement).

Il reste que le coût financier de ces techniques ne doit pas être ignoré, de sorte que le législateur, notamment français, penche vers des solutions encore plus intrusives et attentatoires au droit au respect de la vie privée. C'est la question de l'instauration de « portes dérobées » sur des systèmes informatiques en tout genre, principalement les outils de communications chiffrées (messagerie instantanée, mails et autres). En quelques mots, il s'agit de créer un accès — tenu secret vis-à-vis de l'utilisateur légitime — aux données contenues dans un logiciel ou sur un matériel. L'accès ne serait possible que par la détention d'une clef spécifique qui serait divulguée aux autorités de police lors d'enquête judiciaire ou de renseignement. Cette question fait régulièrement surface dans le discours politique et a été débattue lors des discussions autour de la proposition de loi visant à sortir la France du piège du narcotrafic. Les sénateurs ont introduit en séance publique un amendement imposant aux prestataires de service de chiffrement devront permettre aux services de renseignement « d'accéder au contenu intelligible des seules (sic.) informations, documents, données ou renseignements » (amendement n°254, 255). Ainsi, cette formulation impose des obligations aux prestataires des obligations bien plus importantes que la seule remise des clefs de déchiffrement. Fort heureusement, ces amendements ont été rejetés par l'Assemblée nationale. La France échappe ainsi à l'inconventionnalité du dispositif au regard de la jurisprudence de la Cour européenne des droits de l'homme. Celle-ci, dans une décision du 13 février

<footnote n="23">²³ Loi n° 2016-731 du 3 juin 2016 renforçant la lutte contre le crime organisé, le terrorisme et leur financement, et améliorant l'efficacité et les garanties de la procédure pénale.</footnote>

<footnote n="24">²⁴ Loi n° 2025-532 du 13 juin 2025 visant à sortir la France du piège du narcotrafic, spéc. art. 38.</footnote>

<footnote n="25">²⁵ Cons. const., 16 novembre 2023, n°2023-855 DC, Loi d'orientation et de programmation du ministère de la justice 2023-2027.</footnote>

<footnote n="26">²⁶ Parlement européen, Rapport relatif à l'enquête sur les allégations d'infraction et de mauvaise administration dans l'application du droit de l'Union lors de l'utilisation de Pegasus et de logiciels espions de surveillance équivalents, 22 mai 2023, A9-0189/2023.</footnote>

<footnote n="27">²⁷ Règlement (UE) 2024/1083 du Parlement européen et du Conseil du 11 avril 2024 établissant un cadre commun pour les services de médias dans le marché intérieur et modifiant la directive 2010/13/UE (règlement européen sur la liberté des médias), art. 4.</footnote>
2024, Podchasov c/Russie, se montre très réticente – opposée ? – à l'instauration de tels dispositifs parce que cela conduirait à un affaiblissement généralisé de la sécurité des communications<fnref n="28" />.

Force est de reconnaître que les hypothèses de CDI sont de plus en plus importantes et supposent la mise en œuvre de techniques de plus de plus en plus intrusives. On pourrait penser que cela conduirait mécaniquement à un renforcement du contrôle, mais ce n'est pas (encore) le cas.

## II. Un renforcement limité des contrôles de la captation des données informatiques

Dans le second temps de cette réflexion, il sera essentiellement question des limites aux mécanismes de contrôle existants. Ils sont souvent présentés comme l'alfa et l'oméga des garanties compensant les atteintes aux droits et libertés en dépit d'un certain nombre de carences. Sans revenir sur l'ensemble des contrôles et des carences, deux d'entre elles semblent topiques des enjeux entourant la captation des données : l'impossibilité de contester la régularité des techniques de captation des données (A) et le risque de décrochage technique des contrôleurs (B).

### A. L'impossible contestation de la régularité des techniques de captation des données informatiques

Le droit français offre différentes possibilités de contester ou a minima de discuter des résultats des captations des données informatiques. Dans le cadre des enquêtes pénales, tous les éléments collectés utiles à la manifestation de la vérité doivent être inscrits dans des procès-verbaux qui seront discutés par les parties au cours du procès. En renseignement, il n'existe pas de procédure directe au nom de la protection du secret de la défense nationale. Néanmoins, le CSI a créé différentes procédures devant la CNCTR et la formation spécialisée du Conseil d'État afin de vérifier que les techniques de renseignement ont été mises en œuvre régulièrement (CSI, art. L. 833-4 et L. 841-1)

Il reste un angle mort évident puisqu'en aucune façon les personnes ne peuvent contester les modalités de collecte/extraction des données. On pourrait nous objecter que les dispositions du CPP prévoient que les décisions d'autorisations de CDI, sous peine de nullité, prévoient « la description détaillée des systèmes de traitement automatisé de données » (CPP, art. 706-102-3). Or, la Cour de cassation a réduit la portée de ce principe en jugeant que pour être légales, les autorisations n'avaient pas besoin de décrire précisément les matériaux et logiciels utilisés<fnref n="29" />. Le Conseil constitutionnel est allé dans le même sens en déclarant conforme à la Constitution l'utilisation des moyens protégés par le secret de la défense nationale pour de la CDI<fnref n="30" />. Pour cela, il s'appuie sur l'existence de plusieurs garanties législatives, dont le fait que la personne peut avoir accès à un certain nombre de documents ; l'ordonnance d'autorisation, le procès-verbal de transcription, les procédés de mise au clair des données lorsqu'ils ont été utilisés. Or, aucun de ces documents ne permet de contester la méthode employée pour collecter l'information.

À ces premiers éléments s'ajoutent les débats autour du « certificat de sincérité » des données collectées et traitées via une CDI. Ce certificat est exigé tant par le code de procédure pénale (CPP, art. 230-3) que par la jurisprudence constitutionnelle. La Cour de cassation a précisé récemment que les dispositions de l'article 230-3 ne trouvent à s'appliquer que lorsque les données collectées ont été mises au clair<fnref n="31" />. Or, justement, tout l'intérêt des CDI est de collecter les informations avant leur chiffrement. Il n'y a donc en principe pas besoin de mise au clair des données, l'intérêt de ce certificat se révèle superfétatoire d'autant plus qu'il ne permet pas de discuter des spécifications techniques des outils utilisés pour capter les données.

<footnote n="28">²⁸ CEDH, 13 févr. 2024, Podchasov c/ Russie, n° 33696/19.</footnote>

<footnote n="29">²⁹ Cass. crim. 10 octobre 2022, n°21-85.148.</footnote>

<footnote n="30">³⁰ Cons. const., 8 avril 2022, n°2022-987 QPC, M. Saïd Z.</footnote>

<footnote n="31">³¹ Cass., crim., 3 avril 2024, n° 23-85.64.</footnote>
## B. Le risque de décrochage technique des contrôleurs

L'une des garanties essentielles de la constitutionnalité et de la conventionnalité<fnref n="32" /> des dispositifs de captation des données est l'existence d'un contrôle continu : de leur première autorisation à leur postérité en passant par leur mise en œuvre. Dans le droit français, ces contrôles existent en théorie. Le CPP dispose que la captation des données doit être autorisée par un magistrat du siège (le juge des libertés et de la détention pour les enquêtes préliminaires et de flagrance, le juge d'instruction pour les informations judiciaires. Le CSI quant à lui prévoit que toutes les techniques de renseignement doivent être autorisées par le Premier ministre après avis de la CNCTR (CSI, art. L. 821-1).

Pour que ces contrôles soient un tant soit peu sérieux et efficaces, il est indispensable que les contrôleurs disposent des connaissances techniques nécessaires. La compréhension des techniques d'accès aux données, de la nature des données, de leur véracité est absolument indispensable à l'efficience du contrôle. Or, pour simplifier les choses, les contrôleurs ne sont pas des informaticiens, mais avant tout des juristes. Si leur maîtrise du cadre légal est certaine, celle des outils techniques mobilisés doit être discutée. Si l'on s'en tient à la sphère du renseignement, d'aucuns avouent qu'il semble illusoire de contrôler de manière exhaustive l'ensemble des données collectées via des CDI<fnref n="33" />, voire qu'en l'absence de centralisation des données le contrôle de la CNCTR est moins fluide<fnref n="34" /> ou encore que la diversité des données collectées constitue un motif de complexité du contrôle<fnref n="35" />.

Pour pallier ce risque de décrochage, la CNCTR opte pour une attitude pro active. Plusieurs chargés de mission spécialistes des questions cyber sont présents à la Commission. Elle a également institué des dialogues techniques avec les services depuis 2023 et prend part à certains de projet de recherche en matière de cybersécurité<fnref n="36" />.

Malgré ces avancées, on peut regretter que le cadre légal et la jurisprudence protègent encore les « secrets de fabrique » des services de renseignement<fnref n="37" />. Surtout, cela laisse le sentiment qu'il faut avoir une confiance absolue dans les autorités compétentes<fnref n="38" />, sans jamais pouvoir discuter leur méthode. Or, justement les données issues de CDI alimentent des notes blanches servant de fondement à un certain nombre de décisions administratives liberticides (OQTF, fermeture d'association ou de lieux de culte, assignation à résidence, perquisition administrative, etc.).

<footnote n="32">³² La CJUE a jugé que les tentatives d'accès à des données informatiques doivent être « subordonné[es] à un contrôle préalable effectué soit par une juridiction, soit par une entité administrative indépendante » (CJUE, 4 octobre 2024, préc., pt 102).</footnote>

<footnote n="33">³³ Brosse Guillaume, « Comment l'autorité indépendante contrôle les données », *Études françaises de renseignement et de cyber, 2025/1*, n° 4, 2025. p.43-46.</footnote>

<footnote n="34">³⁴ Sur ce point, elle a obtenu des avancées notables puisqu'à échéance 2027, elle accèdera aux données lui permettant de contrôler l'ensemble des CDI réalisées par les services (DGSI et DGSE principalement.</footnote>

<footnote n="35">³⁵ Chauve Pascal, « Les défis techniques et juridiques du contrôle du renseignement », *Études françaises de renseignement et de cyber, 2025/1*, n° 4, 2025. p.36-40.</footnote>

<footnote n="36">³⁶ La CNCTR est membre du comité de suivi du projet REV (Recherche et exploitation des vulnérabilités) l'un des dix sous projets du PEPR Cybersécurité.</footnote>

<footnote n="37">³⁷ Audibert Matthieu, th., préc., p. 148.</footnote>

<footnote n="38">³⁸ Lassalle Maxime, préc.</footnote>