QUESTION ÉCRITE P-1427/98

posée par Astrid Thors (ELDR) à la Commission

(29 avril 1998)

Objet: Législation française en matière de techniques de cryptage

La législation française limite sensiblement le recours aux techniques de cryptage, comme cela est au demeurant indiqué dans la communication de la Commission relative aux signatures numériques et au chiffrement. Deux textes législatifs récemment entrés en vigueur en France fixent les conditions d'utilisation des techniques en question et soumettent le secteur à une procédure d'enregistrement et de licence. Au nombre des restrictions, mentionnons que le "Third Trusted Party" (TTP, Tiers de confiance), dont la nomination est une condition requise pour que le cryptage soit autorisé, doit comporter une majorité de citoyens français dans son organe d'administration. Par ailleurs, les "clés" du cryptage doivent être déposées auprès de ce TTP, si bien que le message disponible sur ordinateur sous forme chiffrée ne peut pas être utilisé légalement en France.

La Commission estime-t-elle que les dispositions et la situation susmentionnées sont compatibles avec les règles du marché intérieur et, en cas de réponse négative, quelles sont les mesures qu'elle envisage de prendre pour garantir que la possibilité d'offrir des services et de garantir la confidentialité des messages puisse également être assurée sur le territoire français?

Réponse donnée par M.Monti au nom de la Commission

(11 juin 1998)

Les autorités françaises ont notifié, conformément à la directive 83/189/CEE du Conseil, du 28 mars 1983, prévoyant une procédure d'information dans le domaine des normes et réglementations techniques(1), les quatre projets de décrets relatifs à l'application des dispositions en matière de cryptologie prévues par la loi sur les télécommunications. La Commission a communiqué ses observations sur les quatre projets. Récemment, les autorités françaises ont officiellement adopté les décrets.

La législation française opère une distinction entre les moyens ou prestations qui permettent d'assurer des fonctions de confidentialité, d'une part, et l'authentification, c'est-à-dire les signatures numériques, les produits et les services, d'autre part.

En ce qui concerne entre les moyens ou prestations qui permettent d'assurer des fonctions de confidentialité, la législation française prévoit des règles concernant leur utilisation, la fourniture de produits présentant un faible niveau de sécurité, les fournisseurs de services établis en France et concernant d'autres fournitures de produits ou de services. Selon l'interprétation de la Commission, il n'y a aucune restriction d'utilisation en cas d'intervention d'un fournisseur de services agréé; dans le cas contraire, une autorisation préalable est requise. La fourniture de produits présentant un faible niveau de sécurité est subordonnée à une procédure de déclaration préalable. Les fournisseurs de services établis en France sont tenus de se soumettre à une procédure spéciale d'autorisation préalable et, pour les autres fournitures de produits ou services, une autre procédure d'autorisation préalable est prévue.

Dans la version qui a été adoptée, la procédure spéciale d'autorisation préalable concernant les fournisseurs de moyens ou prestations permettant d'assurer des fonctions de confidentialité qui sont établis en France ne comporte pas d'exigence selon laquelle la majorité des membres de l'organe d'administration doivent être de nationalité française. Le décret stipule uniquement que les fournisseurs de services doivent employer une proportion suffisante de personnel répondant aux critères fixés par le décret 81-514 concernant la protection des secrets de la défense et de la sécurité nationale.

La Commission confirme la position qu'elle a adoptée dans le cadre de la communication sur les signatures numériques et le chiffrement(2), dans laquelle elle a clairement indiqué qu'elle suivrait de près le comportement des États membres en matière de cryptage et qu'elle évaluerait les dispositions nationales adoptées au regard de leur compatibilité avec le traité CE, avec la jurisprudence de la Cour de justice des Communautés européennes et avec les conditions imposées par la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données(3), et par la directive 97/66/CE du Parlement européen et du Conseil, du 15 décembre 1997, concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des télécommunications(4).

(1) JO L 109 du 26.4.1983.

(2) COM(97) 503 final.

(3) JO L 281 du 23.11.1995.

(4) JO L 24 du 30.1.1998.