Depuis de nombreuses années, parlementaires et Gouvernements ont étendu les pouvoirs des services spécialisés en matière d’accès aux données.

Même si ce souhait est voulu dans un but de permettre une lutte efficace contre toutes les formes de criminalités, l’ASIC (Association des Services Internet Communautaires) s’alarme de ces propositions qui, si elles sont adoptées, pourraient mettre en péril l’écosystème innovant mais fragile de l’économie numérique en France. En adoptant de telles mesures, la France provoquerait un déficit de confiance vis à vis des solutions nationales d’hébergement et pourraient handicaper le développement d’un secteur porteur de croissance.

Créée en décembre 2007, l’ASIC est la première organisation française qui regroupe des intermédiaires du web 2.0 – moteurs de recherche, plateformes de transactions, sites de partage de contenus, réseaux sociaux, etc.

Cette note est destinée à revenir sur les changements opérés par l’article 13 de la Loi de programmation militaire en termes d’accès aux données et documents détenues par les intermédiaires de l’internet et, plus spécifiquement, les hébergeurs tels que définis à l’article 6.I.2 de la loi du 21 juin 2004 pour la confiance dans l’économie numérique.

La note n’aborde pas la question des modifications instaurées par le Projet de Loi de programmation militaire sur les opérateurs de télécommunication et les fournisseurs d’accès à l’internet.

Elle souhaite se focaliser sur l’impact de ces mesures sur les seuls hébergeurs, tels que définis par la  loi pour la confiance dans l’économie numérique, incluant les diverses plateformes de blog, de petites annonces, de vidéo, etc.

En droit français, trois régimes coexistent afin de permettre aux autorités de répondre aux enjeux de lutte contre la criminalité :

• l’accès aux données d’identification détenues par les intermédiaires de l’internet, permettant par exemple d’identifier qui est l’auteur de tel ou tel contenu (blog, commentaire, vidéo, petite annonce, etc.) ;

• l’interception des communications électroniques (téléphone, SMS, emails) échangées entre deux individus. Il s’agit d’une interception de ces communications pour le futur et une durée déterminée ;

• la perquisition des documents possédés par une personne soit sur un disque dur interne (ordinateur, etc.) soit dans le cloud (hébergement à distance).

Nous le verrons, le régime tel que proposé dans le Projet de Loi de programmation militaire tend à créer une confusion entre le premier et dernier de ces régimes et à offrir aux autorités, pour certaines finalités déterminées, un pouvoir de “perquisition” auprès d’hébergeurs sans qu’aucune des garanties prévues en la matière ne soient respectées.

*

*           *

I. – Synthèse relative au régime d’accès aux données techniques avant et après le Projet de Loi de programmation militaire

 

1. – Cadre actuel de l’accès aux données techniques

 

(*) ce tableau n’inclut pas le pouvoir détenu par certaines administrations d’accéder également à des documents en particulier à des pièces comptables (tel est le cas de la DGFIP et de la DNEF en application de l’article L96G ou de l’article 102B du livre des procédures fiscales) ou par l’intermédiaire de saisies.

2. – L’impact de la loi de programmation militaire sur le régime d’exception existant

Si le Projet de Loi de programmation militaire ne modifie pas le régime de droit commun, il procède à de nombreux ajustements prévus en matière de terrorisme. Ces modifications, détaillées ci-après, recouvrent notamment les données qui pourront être obtenues auprès des hébergeurs, la méthode de collecte et les personnes qui pourront y avoir accès.

 

3. – Les principales modifications opérées par le Projet de Loi de programmation militaire

 

A l’issue de la discussion à l’Assemblée nationale, les principales modifications opérées par le Projet de Loi de programmation militaire concernent :

• la liste des personnes pouvant obtenir l’accès aux données sur la base du régime dit d’exception ;

• les finalités de l’accès à ces informations qui s’étendent au delà du périmètre des seuls cas de terrorisme ;

• les modalités d’accès à ces données (par sollicitation du réseau) alors qu’auparavant les intermédiaires étaient en mesure de réaliser un contrôle de chaque demande adressée par un examen de la réquisition et/ou du droit de communication reçu ;

• la nature des données accessibles : contrairement au régime actuel, le texte étend très largement les modalités d’accès puisque cet accès concerne non seulement les données techniques (auparavant seules accessibles sur ce régime de l’accès) à toute “information ou document” conservés par les hébergeurs ;

• la généralisation d’un régime d’exception qui était, à l’origine, destiné à ne pas se poursuivre au delà du 1er janvier 2008.

L’ensemble de ces mesures appelle de la part de l’ASIC plusieurs commentaires.

 

II. – Les questions soulevées par le Projet de Loi de programmation militaire

Le Projet de loi de programmation militaire soulève de nombreuses questions. Outre la généralisation d’un régime d’exception d’une première durée de moins de 2 ans, le texte vient faire tomber les protections existantes en matière de perquisition de données informatiques et de créer un régime – pourtant calqué sur celui des interceptions – qui ne reprend pas les garanties adoptées pourtant par le Parlement.

1. – La généralisation d’un régime d’exception

En application de l’article 32 de la loi du 23 janvier 2006, le régime d’exception existant en matière de prévention de terrorisme avait été initialement instauré jusqu’au 31 décembre 2007.

La loi du 1er décembre 2008 visant à prolonger l’application des articles 3,6 et 9 de la loi n° 2006-64 du 23 janvier 2006 relative à la lutte contre le terrorisme et portant dispositions diverses relatives à la sécurité et aux contrôles frontaliers a prorogé une première fois ce régime jusqu’au 31 décembre 2012. La loi du 21 décembre 2012 relative à la sécurité et à la lutte contre le terrorisme a, de nouveau, prolongé ce régime d’exception jusqu’au 31 décembre 2015.

Par le Projet de Loi de programmation militaire, ce régime d’exception est dorénavant inscrit durablement dans le temps. Aucune mesure d’impact ou clause de rendez-vous n’ont été prévues.

Lors de chaque examen successif, les parlementaires avaient pourtant estimé que la mesure devait faire l’objet d’un examen et d’une évaluation avant d’être pérennisée. Il apparaît qu’à ce jour, cela n’a pas été le cas. Pourtant, la mesure est, elle, pérennisée.

Avant toute pérennisation, il est donc urgent qu’une évaluation soit menée de la mesure et des raisons justifiant son extension.

2. – Une confusion de deux régimes permettant un contournement des règles fondamentales protectrices en matière de perquisition

 

Initialement, la loi relative à la confiance dans l’économie numérique – et sa modification instaurée par la loi anti-terrorisme de 2006 – encadrait strictement le cadre des données qui pouvaient être obtenues par les autorités auprès des hébergeurs. Cela ne recouvrent que les données “de nature à permettre l’identification quiconque a contribué à la création du contenu ou de l’un des contenus des services dont elles sont prestataires”.

La liste de ces données a été précisée par un décret n° 2011-219 du 25 février 2011 relatif à la conservation et à la communication des données permettant d’identifier toute personne ayant contribué à la création d’un contenu mis en ligne.

Comme le précise ce texte réglementaire, il s’agit de données purement techniques qui ne portent en aucun cas sur le contenu stocké par l’hébergeur.

En matière de contenu stocké par l’hébergeur, le décret limite l’accès aux seules données relatives aux opérations portant sur un contenu, c’est à dire par exemple, l’adresse IP de connexion, le nom d’utilisateur, la date et heure de l’opération sur le contenu.

La nouvelle formulation retenue par le Projet de Loi de programmation militaire étend très largement le cadre actuel puisqu’elle vise non seulement les données techniques (“y compris les données techniques”) mais aussi plus largement toute “information ou document” stockés par l’hébergeur.

Ce mécanisme revient à offrir aux autorités, sans aucun contrôle préalable, un accès à tout document et/ou contenu stocké par un hébergeur sur ces serveurs. En outre, cet accès est prévu en “temps réel”, par “sollicitation du réseau”, ce qui revient à avoir un accès direct et permanent aux serveurs de l’hébergeur.

Cet accès à des données stockées sur des serveurs constitue en fait un autre régime juridique : la perquisition qui fait l’objet d’un encadrement supplémentaire.

Ainsi, et sans les garanties offertes par le régime juridique des perquisitions, il sera dorénavant possible à ces autorités et pour les finalités visées, d’avoir accès – par exemple – à tous les documents stockés dans un service de “cloud” souscrit par un internaute déterminé.

Il nous semble inquiétant que l’on fasse abstraction du régime juridique de la perquisition, que l’on confonde ce régime – qui fait l’objet d’un plus grand nombre de garantie – avec celui de l’accès aux données.

Cette fusion des deux régimes soulèvent de graves questions en termes de protection des droits et des libertés.

Enfin, le dispositif oublie que le statut de l’hébergeur peut recouvrir certains acteurs qui bénéficient d’un régime plus protecteur, comme par exemple, les sites de presse (voir, à ce sujet, tous les espaces contributifs des sites de presse en ligne ou les plateformes de blog du Monde ou de Mediapart qui seront donc soumis à ces nouvelles obligations d’interconnexion).

3. – Une transposition d’un régime en oubliant de transposer l’ensemble des garanties offertes

 

Le Projet de Loi de programmation militaire propose d’aligner le régime d’exception d’accès aux données sur celui des interceptions de communications électroniques. Or, les garanties offertes ne sont que partiellement transposées voire inopérantes dans certains cas.

Comparatif des garanties offertes entre le régime des interceptions et le régime de l’accès aux informations tel que prévu par le Projet de Loi de programmation militaire (en gras les points saillants).

 

Conclusion

 

L’ASIC considère que :

• il revient au Parlement et/ou au Gouvernement de réaliser une évaluation du régime d’exception existant permettant ainsi de justifier son extension et pérennisation ;

• le texte crée une confusion entre les régimes d’accès aux données et le régime des perquisitions sans offrir les garanties suffisantes ;

• le texte semble oublier un grand nombre de garanties essentielles pourtant d’ores et déjà prévues pour le régime des interceptions.

Dans ces conditions, l’ASIC s’alarme de ce texte et demande que le Sénat réécrive profondément la mesure en :

• la limitant aux seuls cas de terrorisme ;

• la limitant, en ce qui concerne les hébergeurs, au seul accès aux données techniques conservées par eux et non à toute information et document ;

• supprimant, en ce qui concerne les hébergeurs, l’accès en “temps réels” et sur “sollicitation du réseau” ;

• réinstaurant, pour l’accès aux données techniques, l’ensemble des protections prévues et les pouvoirs offerts à la CNCIS, existants en matière d’interceptions

Au delà, il convient également de rappeler qu’à plusieurs reprises, tant le Président de la République que le Premier Ministre ont pris des engagements forts sur la question de la surveillance des données internet.

Le 23 octobre dernier, le Premier Ministre, M. Jean-Marc Ayrault, avait déclaré devant l’Assemblée nationale à propos de la question de la surveillance des données Internet : “La sécurité est une exigence, mais elle ne doit pas être garantie à n’importe quel prix ; elle ne doit porter atteinte ni aux libertés ni à la vie privée. Telle est la position de la France !”

De même, le Président de la République, M. François Hollande avait indiqué, à l’issue du Conseil européen dédié au numérique le 25 octobre dernier, à propos de cette question de la surveillance de l’Internet : “Je suis également convaincu avec les Européens de la nécessité de protéger les libertés individuelles et les droits fondamentaux. (…) Nous devons nous-mêmes être au clair et ne pas pratiquer ce que nous reprochons à d’autres”. Il ajoutait à propos des révélations sur un système de surveillance mis en oeuvre en France : “Je ne voudrais pas qu’on laisse penser que, finalement, cette pratique de (surveillance) serait générale. Donc, il y a un cadre légal, il doit être respecté. Avec la CNIL, nous veillerons à utiliser toutes les informations dans le respect de la loi.”

Dans ces conditions, l’ASIC demande un moratoire et une évaluation complète des dispositifs de surveillance mis en oeuvre par l’Etat.