Le renseignement français et la loi du 24 juillet 2015

• KRACK : attaques contre les communications Wi-Fi
• Le point sur les exoplanètes

Le renseignement est aujourd’hui un enjeu stratégique majeur pour la plupart des grandes puissances mondiales ; qu’il s’agisse de renseignement militaire ou de sécurité (nous reviendrons sur ces deux termes plus tard), il semble indispensable d’avoir accès à certaines informations de façon secrète. Dans cet article, nous verrons la finalité et la portée de la loi dite « Renseignement », ses mesures phares et les arguments des opposants à cette loi.

• Présentation du renseignement français, d’après la loi nouvelle
• La loi du 24 juillet 2015 et ses dispositions phares
• Les nouvelles voies de recours
• Les oppositions au projet

Présentation du renseignement français, d’après la loi nouvelle

Avant toute chose, voyons d’où proviennent les renseignements, il existe en effet différentes sources pour ceux-ci ; nous avons tout d’abord le renseignement humain, ce type de renseignement est transmis aux services par une source humaine qui a effectué des opérations de collecte et d’analyse telles que des entretiens, des interrogatoires, des enquêtes, etc. Viens ensuite ce qui va nous intéresser le plus pour cet article, le renseignement technique, celui-ci peut être effectué par des humains, mais tends de plus en plus à employer des machines à cette tâche ; il consiste à capter des informations dans certains flux de données publics ou non, par exemple, sur des câbles Internet, entre des antennes de téléphonie mobile, etc. La loi Renseignement vise en majeure partie ce domaine de renseignements techniques, puisque, comme nous le verrons ensuite, elle consacre différentes mesures d’interception des communications. Enfin, existent les renseignements de sources ouvertes ; contrairement à la croyance populaire, il s’agit des renseignements les plus communément utilisés, notamment depuis l’avènement d’Internet, qui met à la disposition de tous de très nombreuses informations privées. Il est à noter qu’aucune source n’est utilisée seule, un recoupage des informations est très fréquent afin d’affiner les renseignements obtenus.

Depuis la loi du 24 juillet 2015 – aussi appelée loi « Renseignement » - l’organisation des services de renseignement en France a changé, leur permettant l’utilisation de techniques nouvelles et ouvrant au public de nouvelles voies de recours contre ces méthodes. Différentes organisations sont chargées de faire du renseignement en France, nous en mentionnerons particulièrement une pour l’intérêt de cet article, la DGSI – direction générale de la sécurité intérieure –, chargée du contre-espionnage et de la lutte antiterroriste, puisque ces motifs sont les deux indiqués par le Gouvernement afin d’étendre les pouvoirs des différents services de renseignement. La DGSI s’occupe des renseignements d’ordre de sécurité intérieure, c’est-à-dire les renseignements relatifs à la sûreté du pays et de ses citoyens ; d’autres types de renseignements existent, tels que les renseignements militaires, de contre-espionnage ou financier, mais nous n’en traiterons pas ici puisqu’ils ne sont pas du ressort premier de notre loi.

Afin de pouvoir commencer à collecter des renseignements, la DGSI doit préalablement demander une autorisation, celle-ci est donnée par le Premier ministre après avis de la CNCTR – la commission nationale de contrôle des techniques de renseignement – qui n’a qu’un avis consultatif et ne peut en aucun cas contraindre le Gouvernement à faire quoi que ce soit. Tout citoyen qui se pense surveillé peut donc adresser un recours à cette même CNCTR, qui doit, dans un délai de 72 heures, se prononcer sur la légalité des mesures prises à l’encontre du requérant ; toutefois, elle ne peut aucunement confirmer ou infirmer la présence éventuelle de mesures de surveillance, celles-ci devant rester secrètes.

La loi nous intéressant aujourd’hui a été votée dans un contexte qui ne peut être négligé, le contexte terroriste ; les motifs qu’invoque le législateur touchent effectivement principalement à la lutte contre le terrorisme, qui a bouleversé les services de renseignements, ne pouvant plus procéder à des écoutes sur une base légale concernant ces actes barbares. En particulier, la procédure précédente était extrêmement contraignante au niveau des autorisations, ne permettant pas de mettre en place suffisamment rapidement des écoutes. Avant le vote de notre loi, de nombreux services de renseignements avouent alors devoir recourir à des mesures non prévues par la loi et donc a priori illégales, la loi du 24 juillet 2015 vise alors à légaliser ces pratiques afin d’assurer la conformité des services de renseignement avec la loi, aussi, certaines garanties sont ajoutées, notamment au niveau du recours effectif des citoyens face à ces mesures d’interception.

La loi du 24 juillet 2015 et ses dispositions phares

Maintenant que le contexte a été présenté, voyons quelles sont les mesures les plus importantes de notre loi, nous allons en voir trois, car il s’agit des mesures les plus mises en avant par le gouvernement, notamment lors des débats à l’Assemblée Nationale.

Les dispositifs visant à détecter des connexions susceptibles de révéler une menace terroriste

Aussi appelés « boîtes noires » par les opposants au projet, ces dispositifs peuvent être mis en place par tout service spécialisé du renseignement, et comme vous vous en doutez peut-être, la DGSI est en première place ici, puisque la seule finalité de ses dispositifs est la prévention du terrorisme, comme le mentionne l’article L851-3 du code de la sécurité intérieure nouvellement créé.

Ces dispositifs consistent en des machines, développées par les services de l’État et mises en place sur le réseau d’un opérateur de communications électroniques, qui, en fonction de paramètres précis, détectent des connexions révélant un comportement terroriste grâce à un algorithme.

Certaines conditions sont mises en place par le législateur afin de restreindre l’utilisation de ses dispositifs par les divers services : en premier lieu, comme mentionné ci-dessus, ils doivent être mis en place « pour les seuls besoins de la prévention du terrorisme », ensuite, ils ne peuvent recueillir d’autre données que ce pourquoi ils ont été installés (la prévention du terrorisme, donc) ; enfin, ils ne peuvent en aucun cas permettre l’identification des personnes auxquelles les informations ou documents entrant dans l’appareil se rapportent.

La mise en place de ces dispositifs est soumise à une autorisation, qui est délivrée par le Premier Ministre, après avis de la CNCTR ; cette autorisation vaut pour un délai de deux mois mais peut être renouvelée autant de fois que nécessaire, tant que les conditions mentionnées au paragraphe précédent restent respectées, et après un nouvel avis de la CNCTR. La demande de renouvellement faite par les services de renseignements doit toutefois comporter le nombre d’identifiants signalés par la machine et une analyse de la pertinence de ces signalements.

Enfin, dans certains cas, les informations recueillies par ces machines peuvent être « dés-anonymisées », après un examen humain des informations. Une demande est – encore une fois – faite auprès du Premier Ministre, qui l’examinera après avis – encore une fois – de la CNCTR ; si la requête est acceptée, elle autorise les services compétents à identifier la ou les personnes concernées par l’information recueillie et « le recueil des données y afférentes ».

L’urgence absolue

Un des points de la loi les plus critiqués, et probablement l’un des plus flous au niveau juridique est l’article nouvellement créé L821-5 du code de la sécurité intérieure, icelui dispose que le Premier Ministre peut se passer d’avis de la CNCTR et ainsi délivrer une autorisation de mise en œuvre à un service concerné de son propre chef.

Pour cela, deux conditions sont nécessaires : il faut une situation « d’urgence absolue » et seules les fins d’indépendance nationale, d’intégrité du territoire, de défense nationale et de prévention du terrorisme ainsi que de quelques autres actions violentes et atteintes à l’intégrité de l’État peuvent être invoquées. On ne peut par exemple pas se passer d’avis de la CNCTR pour la prévention de la criminalité ou la défense des intérêts économiques de la France.

Si telle autorisation est délivrée par le Premier Ministre sans avis de la CNCTR, icelle doit toutefois en être informée au plus vite et par tout moyen, afin de permettre à l’intéressé de réaliser un éventuel recours. Aussi, tous les éléments ayant motivé la décision du ministre et ceux justifiant le caractère d’urgence absolue doivent être transmis à la commission dans un délai de 24 heures.

L’article mentionné ci-dessus, permettant au Premier Ministre de se passer d’avis de la CNCTR, n’est pas applicable à certaines procédures, par exemple, les boîtes noires que nous mentionnons ci-avant ne peuvent être installées sans avis de la CNCTR. D’autres procédures particulières sont aussi concernées, ainsi, un parlementaire, un magistrat, un avocat ou un journaliste ne peut être l’objet de surveillance constituée par l’urgence absolue.

Les procédures dérogatoires : la surveillance hertzienne et la surveillance internationale

Nous allons ici parler de deux articles qui ont été censurés par le Conseil Constitutionnel, l’un dans sa décision DC, suite à une saisine directe du Conseil par le Gouvernement, l’autre suite à une QPC initiée par un groupement d’association, dont nous reparlerons dans la dernière partie, et que vous connaissez peut-être, du nom des Exégètes Amateurs.

Deux articles de la loi portent sur des procédures dérogatoires, c’est-à-dire ne rentrant pas dans le régime général de la surveillance, encadré par la loi Renseignement ; la première de ces procédures dérogatoires est la surveillance internationale : l’article L854-1 du CSI (code de la sécurité intérieure) disposait en effet que les « communications émises ou reçues à l’étranger » n’étaient pas soumises au régime général des interceptions si elles étaient réalisées aux seules fins de « protection des intérêts fondamentaux de la Nation », l’objectif de cette disposition est clair : le cadre de la surveillance n’étant pas harmonisé au niveau international, on voit mal comment un citoyen étranger pourrait contacter la CNCTR pour effectuer son recours. Pour information, le Conseil Constitutionnel censurera cette disposition, car il la considérera trop vague, c’est-à-dire que certains citoyens français auraient très bien pu être concernés par cette disposition.

La seconde procédure dérogatoire, elle aussi censurée par le Conseil Constitutionnel, est la surveillance hertzienne, réglementée par l’article L811-5 du CSI, qui, toujours aux seules fins de « défense des intérêts nationaux », permets l’interception des communications « hertziennes », c’est-à-dire toute communication empruntant les ondes pour sa transmission ; la CNCTR était extrêmement stricte avec cette disposition, et ne l’appliquait que très rarement, et certainement pas pour une surveillance individualisée (source).

Les nouvelles voies de recours

La loi Renseignement, en parallèle des nouvelles dispositions qu’elle créée, mets à la disposition des citoyens de nouvelles voies de recours contre les mesures de surveillance dans ils pourraient être l’objet.

Le premier organe de contrôle, nous en avons parlé auparavant dans cet article, est la CNCTR, cette commission est composée de sénateurs, députés, magistrats de la Cour de Cassation et magistrats du Conseil d’État, à part égales, ainsi que d’une personne nommée par l’Arcep pour sa connaissance en matière de communications électroniques.

La CNCTR exerce deux contrôles sur les mesures de surveillances : un contrôle a priori, tout d’abord, que nous avons déjà mentionné dans cet article, la commission est effectivement informée de toute mesure de surveillance et doit rendre un avis sur celle-ci ; un contrôle a posteriori, ensuite, la commission va alors, sur demande d’une personne, vérifier que cette personne n’est l’objet d’aucune surveillance illégale ou irrégulière – c’est-à-dire légale, mais non déclarée à la commission.

Afin d’effectuer sa mission, la commission dispose d’un accès à différents documents, tout d’abord, elle a en sa possession toutes les autorisations de mise en œuvre d’une technique de renseignement, ainsi que toutes les demandes d’autorisations qui y sont liés – soit, ici, la demande du service de renseignement au Premier Ministre, non du Premier Ministre à la CNCTR ; aussi, la commission dispose d’un accès aux registres des services de renseignement, dans lesquels sont consignés tous les renseignements collectés ; enfin, la CNCTR peut solliciter le Premier Ministre afin d’obtenir communication d’éventuelles informations qui lui manquerait.

Le fait d’entraver l’action de la commission – par un ministre, un particulier, ou quiconque, soit en lui refusant l’accès à un document, soit en falsifiant les registres des services de renseignement est puni d’un an d’emprisonnement et de 15 000 € d’amende ; la commission ne peut pas elle-même prononcer une quelconque sanction, en cas d’irrégularité constatée, elle doit présenter au Premier Ministre ses recommandations, et si le Premier Ministre n’en tient pas compte, elle pourra alors saisir le Conseil d’État.

Puisque nous en parlons, le Conseil d’État est la seconde des instances de contrôle a posteriori, il peut être saisi par toute personne non-satisfaite des conclusions de la CNCTR concernant les éventuelles mesures mises en œuvre à son égard ; icelui ne peut être saisi avant avis de la CNCTR, et si tel est le cas, la demande sera rejetée (cf. jurisprudence Conseil d’État n° 396503 du 19 octobre 2016).

Dans tous les cas, ni la CNCTR, ni le Conseil d’État ne peuvent affirmer ou infirmer qu’une surveillance concerne ou a effectivement concerné une personne, cela relevant du secret défense, ils sont donc tenus à une simple mention : « il a été procédé aux vérifications demandées par M./Mme. X ».

Les oppositions au projet

Nous mentionnerons dans cette partie quelques procédures importantes réalisées par les opposants au projet afin d’en faire invalider une partie ; au vu du nombre de recours effectués, cette liste ne pourra pas être exhaustive, et pas absolument pas vocation à l’être, nous ne traiterons ainsi que de quelques recours importants.

L’avis préliminaire du Conseil d’État

Nous ne parlons pas ici d’une opposition à proprement parler, mais il est toujours important de s’intéresser à l’avis émis par le Conseil d’État avant présentation officielle du texte, celui-ci étant un recueil des premiers motifs d’opposition à la loi, nombreux de ces arguments ont été repris lors des divers recours que nous mentionnerons dans cette partie.

Sur les finalités permettant de recourir aux techniques de recueil des renseignements, le Conseil d’État a été saisi afin d’établir une liste des objectifs pouvant être poursuivis par la loi ; le Conseil rappelle ainsi tout d’abord que parmi les mesures de la loi, certaines « portent une atteinte forte à la vie privée » ; par conséquent, ces mesures doivent être fortement encadrées en évitant les finalités dont la rédaction est trop vague ou incertaine ; la liste des finalités établie reprends ainsi la liste de la loi ancienne sur le renseignement, telle qu’interprétée par la CNCIS – c’est-à-dire, l’ancêtre de la CNCTR.

Sur les mesures de surveillance internationale, le Conseil d’État note qu’il est nécessaire d’avoir un régime juridique spécifique pour les interceptions internationales ; mais, sur le fait que les finalités sont définies par la loi, et les conditions de conservation, d’exploitation et de destruction sont définies par décret, le Conseil d’État émet des réserves, ainsi, si la personne qui fait l’objet de surveillance internationale est sur le territoire français, les interceptions doivent se rattacher au régime commun ; surtout, le Conseil d’État note que la CNCTR doit en tous cas servir de garde-fou pour ces mesures de surveillance internationales.

Le recours gracieux a priori

Dès l’enregistrement du projet de loi au secrétariat de l’Assemblée Nationale, celui-ci rencontre son lot de critiques, particulièrement, trois associations font entendre leurs voix, La Quadrature du Net, tout d’abord, une association de défense des droits et libertés des citoyens sur Internet, French Data Network, ensuite, un fournisseur d’accès à Internet associatif, et enfin FFDN, la fédération des fournisseurs d’accès à Internet associatifs de France.

Un site est alors créé, nommé Sous Surveillance, celui-ci invite les citoyens français à se battre eux-mêmes contre cette loi, en appelant leurs députés, en les contactant par courriel ou courrier, ou même en les rencontrant ; à ce titre est mis en place un dispositif sur la page d’accueil du site permettant d’avoir accès aux coordonnées des députés. Le processus rencontre un franc succès et est réitéré lorsque la loi arrive au Sénat, cette fois avec les coordonnées des sénateurs.

Très vite, l’initiative prend de l’ampleur et est soutenue par de nombreuses autres associations, telles que la Ligue des Droits de l’Homme, Amnesty International, l’April, etc, plus de vingt associations s’opposeront finalement au projet de loi.

Face à l’ampleur de l’opposition, le Président de la République doit prendre des mesures, il décide alors, après avis du Premier Ministre et du Ministre de l’Intérieur, de saisir le Conseil Constitutionnel sur la loi afin de prouver aux opposants que celle-ci est bien conforme aux droits et libertés que la Constitution garantit.

Les opposants soutiennent divers arguments, premièrement, les finalités de renseignement sont manifestement disproportionnées et pas parfaitement intelligibles ; ensuite, concernant les boites noires, celles-ci permettent, d’après eux, « de porter une atteinte indiscriminée aux droits et libertés de l’ensemble de la population » ; enfin, les mesures de surveillance internationale posent un problème de régime spécial, dérogatoire au droit commun, et dont les recours sont inexistants. De nombreux autres arguments sont avancés, mais il est impossible de les citer tous ici, l’amicus curiae transmis étant long de plus de cent pages.

Le Conseil Constitutionnel, après avoir enregistré observations des parties requérantes et du Gouvernement, a déclaré conforme la liste des finalités de recours aux procédures de renseignement ainsi que le recours aux « boites noires », qui, selon lui, est assorti de garanties suffisantes puisque ces boites ne peuvent enregistrer ou transmettre « d’autres données que celles qui répondent à leurs paramètres de conception ». Sur les mesures de surveillance internationale, par contre, le Conseil a censuré l’article correspondant, considérant que les voies de recours étaient absentes et que cela portait alors une atteinte manifestement disproportionnée au recours effectif.

La surveillance hertzienne et les Exégètes

Fin 2015, après promulgation de la loi, le groupe de travail « les Exégètes Amateurs » trouve une nouvelle faille dans la loi, un article qui n’a pas été soumise au Conseil Constitutionnel pour sa décision constitutionnelle, il décide alors de saisir le Conseil d’État de cette question, avec pour objectif final transmission au Conseil Constitutionnel pour censure.

Cet article, nous l’avons mentionné plus tôt, il s’agit du fameux L811-5 concernant la surveillance hertzienne ; pour rappel, icelui exclut du cadre de la loi les interceptions des communications empruntant la voie hertzienne, aux seules fins de « défense des intérêts nationaux » ; l’article n’est pas nouveau et date en réalité de la loi de 1991, mais personne ne l’avait avant remarqué, il a donc été transféré sans problème par le Gouvernement dans la loi nouvelle, et n’a fait l’objet d’aucun débat au Parlement.

Le Conseil d’État saisi du problème relève alors que la QPC soulevée présente un intérêt sérieux, et est directement applicable au litige opposant les Exégètes et l’État français, il la transmet donc au Conseil Constitutionnel, le rapporteur public mentionnera que « la QPC n’a pas vocation à devenir un moyen de recours populaire », mais qu’en absence d’autre recours effectif, il n’est pas possible de faire autrement.

Le Conseil Constitutionnel se penche sur la question le 21 octobre 2016, celui-ci considère, suivant les arguments des requérants, que « dès lors qu[e les dispositions] permettent aux pouvoirs publics de prendre des mesures de surveillance et de contrôle de toute transmission empruntant la voie hertzienne, sans exclure que puissent être interceptées des communications ou recueillies des données individualisables, les dispositions contestées portent atteinte au droit au respect de la vie privée et au secret des correspondances ».

Toutefois, le Conseil assortit sa décision d’un délai de 15 mois, repoussant la déclaration d’inconstitutionnalité au 31 décembre 2017 ; pendant cette période, le Gouvernement demandait que la loi soit interprétée comme ne pouvant servir qu’à intercepter des communications « essentiellement hertziennes », mais le Conseil Constitutionnel a seulement donné comme réserve que ces dispositions ne devaient pas être utilisées pour remplacer des interceptions pouvant être menées par la voie du droit commun ; aussi, le Conseil indique que la CNCTR devra à tout prix être avertie si de telles mesures de surveillance hertzienne sont utilisées.

Nous voici à la fin de cet article ; j’espère qu’il vous a plu et que vous avez bien assimilé les subtilités et le champ d’application de cette loi qui muscle nos services de renseignement. Vous pouvez aussi vous renseigner directement à la source, en consultant le code de la sécurité intérieure.

Mes remerciements aux associations mentionnés dans cet article, qui ont réalisé un travail de vulgarisation conséquent, aux lecteurs de la bêta, pour leurs retours, aux organisateurs du CdS #3, sans lesquels ce travail n’aurait pas vu le jour et aux organisateurs du premier Défi de Clem’, sans qui l’article aurait fini aux oubliettes ; enfin, merci aux validateurs pour leur relecture avisée.

L’icône de cet article a été réalisée par Hea Poh Lin, et placée sous licence CC-BY ; les couleurs lui ayant été appliquées sont celles de Zeste de Savoir.

• KRACK : attaques contre les communications Wi-Fi
• Le point sur les exoplanètes