Le 28 avril 2021, le gouvernement a proposé un nouveau projet de loi renseignement, complété le 12 mai par de nouveaux articles tirant les conséquences de notre défaite devant le Conseil d’État (relire notre réaction).

L’objectif premier du texte sera de faire définitivement entrer dans le droit commun les mesures de l’état d’urgence débuté en 2015 (assignation à résidence, perquisitions administratives…) ainsi que les mesures expérimentales de la loi renseignement de 2015 (surveillance automatisée du réseau par des « algorithmes »). L’objectif secondaire sera d’inscrire dans la loi française les violations du droit européen actées par le Conseil d’État le mois dernier afin de défendre à tout prix la surveillance de masse française. Toutefois, la menace la plus grave pourrait se situer entre les lignes : une multitude d’ajustements d’apparence sommaire qui semblent cacher un bouleversement dramatique du rapport de force entre le gouvernement et la population.

Dans cette première analyse, nous prenons le temps d’examiner l’ensemble des modifications apportées par ce projet de loi en matière de renseignement. Le texte qui vient d’être validé par la commission des lois de l’Assemblée nationale sera étudié en hémicycle à partir du 1er juin prochain.

Perquisitions administratives de matériel informatique (article 4)

Les perquisitions administratives appelées « visites domiciliaires » en novlangue sécuritaire, se voient dotées d’une nouvelle possibilité. Toujours sans contrôle d’un juge, l’article 4 offre à la police la possibilité d’exiger l’accès sur place à du matériel informatique. Si la personne perquisitionnée refuse, son matériel pourra être saisi et analysé par un laboratoire de la police.

Services sociaux comme auxiliaires de renseignement (article 7)

Aujourd’hui, les services de renseignement peuvent exiger des services sociaux (comme la CAF) la transmission de données confidentielles, mais ces derniers peuvent y opposer le secret professionnel. Tout cela disparaît dans la réforme en cours de discussion. Le secret professionnel ne pourra plus être invoqué. Les services sociaux devront, de leur propre initiative ou sur requête, transmettre aux services de renseignement toute information qui pourrait permettre l’accomplissement d’une mission de renseignement. Les finalités sont larges, puisqu’elles concernent n’importe quelle finalité de renseignement (dont l’espionnage économique ou la surveillance des mouvements sociaux).

Cela continue donc de renforcer le rôle des services sociaux en tant qu’auxiliaire de contrôle et de surveillance de la population. Cette modification continuerait de rendre légitime une réelle défiance à leur égard alors qu’ils sont censés concourir au service (du) public.

Larges partages de renseignements entre services (article 7)

Depuis 2015, les services de renseignement peuvent échanger entre eux les renseignements obtenus. Cet échange, prévu par l’article L863-2 du code de la sécurité intérieure, échoue à prévoir le moindre cadre procédural sérieux pour éviter un total dévoiement du dispositif. La Quadrature du Net avait donc attaqué ce dispositif devant le Conseil d’État, qui vient tout juste de saisir le Conseil Constitutionnel – et celui-ci ne devrait pas trop hésiter à censurer l’article.

[...]

Conservation portée à 5 ans pour la R&D (article 8)

Prenant l’exemple de la NSA et des sociétés privées comme Palantir, l’article 8 autorise la conservation jusqu’à 5 ans de toutes les informations obtenues dans le cadre d’opération de renseignement. En théorie, les informations ainsi conservées ne pourront plus être exploitées que pour faire de la recherche et du développement d’outils de renseignement divers (notamment les algorithmes d’analyses en masse des données collectées). Mais cette évolution permettra surtout de faire sauter toutes les limitations de durée pour des dizaines de milliers de fadettes (factures téléphoniques détaillées), d’écoutes téléphoniques, d’images de surveillance, d’analyses réseau, etc. Une fois stockées au prétexte de la R&D, il faut redouter que, par l’autorisation d’une loi future, ces informations puissent bientôt être exploitées pour les nombreux et larges objectifs du renseignement (surveillance économique, répression des opposants politiques…). Les lois sécuritaires reposent presque systématiquement sur ces tours de passe-passe à deux étapes.

[...]

Conservation doublée pour le piratage (article 9)

Une des techniques les plus invasives autorisées par la loi renseignement de 2015 a sans doute été le piratage informatique, tel que permis par l’article L. 853-2 du code de la sécurité intérieure. Les attaques informatiques déployées par les services de renseignement donnent potentiellement accès à l’intégralité des éléments de la vie d’une personne, largement au-delà des informations concernées par l’autorisation initiale. Les données visées sont si nombreuses et totales que la durée de leur conservation avait été limitée à un mois en 2015. Le projet de loi de 2021 propose de doubler cette durée, sans prendre la peine de donner la moindre justification opérationnelle, si ce n’est celle d’aligner cette durée sur d’autres pratiques proches dont la conservation avait été fixée à deux mois en 2015. Le gouvernement ne prend pas la peine d’expliquer pourquoi le nivellement de nos libertés se fait par le bas plutôt que par le haut…

[...]

Des drones contre la population (article 18)

L’article 18 donne à la police le pouvoir de brouiller les drones non-policiers, tout en renforçant l’interdiction imposée à la population de se défendre elle-même contre les drones policiers (qui ont toujours été illégaux) ou non-policiers (ce qui rend la population entièrement dépendante de la police pour protéger sa liberté). La position du gouvernement est claire : il souhaite violer la loi pour nous surveiller puis punir celles et ceux qui tenteraient d’échapper à cette surveillance illégale.

Conservation généralisée des données de connexion (article 15)

L’article 15 du projet de loi reprend docilement le schéma proposé par le Conseil d’État dans sa récente décision sur le renseignement. Comme nous le dénoncions amèrement, ce schéma repose sur l’idée que la notion de « sécurité nationale » doit être comprise le plus largement possible, tel que recouvrant par exemple les objectifs de surveillance économique ou la lutte contre les manifestations non-déclarées. Cette notion est si large qu’elle permet de considérer que la sécurité nationale est exposée à une menace grave et constante depuis 2015 (et sûrement pour toujours).

Ce constat permet d’écarter les garanties qui devraient habituellement protéger les libertés fondamentales. Ainsi, la surveillance de masse est-elle autorisée à titre « exceptionnel » mais systématique : l’ensemble des opérateurs Internet et téléphoniques ont l’obligation de conserver pendant un an les données de connexion de toute la population.

Ce schéma est une violation frontale du droit européen. Un des buts de ce projet de loi est de rendre le Parlement français complice de la violation commise par le gouvernement et le Conseil d’État, afin de la verrouiller durablement et d’acter encore plus officiellement la fin de l’État de droit européen en France.

Toujours aucun contre-pouvoir (article 16)

Une autre exigence du droit de l’Union était que la CNCTR, l’autorité qui contrôle de façon indépendante les services de renseignement, soit dotée de pouvoirs contraignants. Ici encore, le Conseil d’État avait refusé cette logique et le projet de loi adopte sa position. Les décisions de la CNCTR n’ont toujours aucun effet contraignant : le gouvernement est libre de ne pas les respecter. Le seul pouvoir de la CNCTR est de demander au Conseil d´État de vérifier qu’une mesure de surveillance n’est pas illicite. L’unique nouveauté concédée par le projet de loi est que, dans ce cas, le Conseil d’État doit se prononcer en 24 heures durant lesquelles la mesure contestée ne pourra pas être déployée – sauf urgence justifiée.

Cet ajustement ne change presque rien à l’équilibre général des pouvoirs : le Conseil d’État, si proche du gouvernement, reste seul à décider qui le gouvernement peut surveiller et comment. La CNCTR, seule instance officielle osant encore vaguement contester l’orientation des renseignements, reste considérée avec défiance et maintenue loin du pouvoir.

Si la CNCTR considère une demande comme problématique et qu’elle conteste son usage, le Conseil d’État – s’il est saisi – pourra la sauver, mais toutes les techniques jugées positivement par la CNCTR ne pourront de fait être questionnées – le Conseil d’état ne peut qu’être moins disant.

Surveillance algorithmique de masse (articles 12 et 13)

La mesure phare mise en avant par Gérald Darmanin est l’autorisation définitive de la surveillance algorithmique permise à titre expérimental en 2015. Ici encore, ce changement acte la violation du droit de l’Union européenne souhaitée par le Conseil d’État. Alors que la Cour de justice de l’Union européenne avait exigé en 2020 que ces algorithmes ne puissent être déployés qu’en période exceptionnelle de menace grave et imminente pour la sécurité nationale, le Conseil d’État considère, comme dit plus haut, que cet état d’exception est constant : le déploiement des algorithmes est donc permis de façon constante.

Le projet de loi ne se limite pas à acter cette violation : il propose aussi de l’étendre. Alors que les deux ou trois algorithmes déployés depuis 2017 auraient, d’après la CNIL, été restreints à l’analyse du réseau téléphonique, il s’agira pour l’avenir d’analyser aussi le réseau Internet, notamment en observant désormais les URL (les noms des pages Web consultées par potentiellement l’ensemble de la population).

En vérité, ce changement de paradigme était déjà envisagé dès 2015 et il ne doit pas en cacher un autre, bien plus dramatique. Jusqu’à présent, les algorithmes ne pouvaient être déployés que sur l’infrastructure propre des opérateurs de communications : concrètement, on imagine que la DGSI avait installé des serveurs dans une armoire fournie par Orange à côtés de câbles exploités par l’opérateur, analysant plus ou moins à la volée les informations qui y étaient acheminées.

[...]

Les implications de cette nouvelle menace sont aussi complexes que graves (la protection offerte par les messageries chiffrées telles que Signal est largement remise en cause) et méritent une analyse ultérieure plus poussée. Nous y reviendrons en détail prochainement.

Lire l’article entier sur laquadrature.net