Le projet de loi sur le renseignement a débuté son examen de fond hier au Sénat. À l’occasion, les parlementaires ont adopté deux des principaux dispositifs du texte, parmi les plus contestés : les boites noires (ou algorithmes) et les sondes. Mais d’autres échanges sont à souligner. Compte rendu.

Comme souvent, les échanges parlementaires peuvent se révéler fructueux pour tenter de lever le voile sur des dispositions très techniques, soit parce que les choses sont dites sans détour, soit parce que les creux ouvrent les interprétations les plus fructueuses.

Ainsi dans un amendement 128, le groupe socialiste avait tenté d’encadrer la volumétrie annuelle des dispositifs d’aspirations de données, histoire d’éviter l’emballement de la machine. Bien entendu, ce plafond aurait pu être révisable, comme aujourd’hui avec les interceptions administratives (les écoutes). Ce plafonnement aurait alors été communiqué à la Commission nationale de contrôle des techniques de renseignement (CNCTR) qui aurait pu « adresser au premier ministre une recommandation relative au contingent et à sa répartition ».

Cependant le rapporteur n’a pas voulu d’une telle sécurité volumétrique. « Il est difficile de déterminer a priori les besoins en matière de renseignement. Le quota des interceptions de sécurité est d'ailleurs régulièrement augmenté (…) La surveillance d'un seul individu peut nécessiter une quinzaine de demandes. Pour ces raisons - essentiellement techniques ». Même avis défavorable de Bernard Cazeneuve, ministre de l’Intérieur : « Cette limite briderait l'efficacité des techniques sans gain pour la protection des libertés. Certaines techniques sont moins intrusives que les interceptions de sécurité »

« Des machines à signer »

Sur cette question de volume, l’UMP Claude Malhuret s’est lui demandé si finalement le projet de loi sur le renseignement n’allait pas empiler des strates de « machines à signer ». À ce titre, il a rappelé qu’en 2013, 321 243 demandes d’autorisation d’interception avaient été traitées. Avec la loi sur le renseignement, comment les personnes habilitées auprès du premier ministre pourront-elles absorber une telle volumétrie ? « Cinq personnes pourront-elles sérieusement délivrer 1 000 autorisations par jour ? Et sur quels critères ? Quant à la CNCTR, elle devra traiter 500 dossiers par jour... Cela fait penser à une machine à signer, d'autant que le traitement de masse va multiplier les demandes d'intervention ». Un peu plus tard, le sénateur Alain Duran a rappelé qu’en 2014, plus de 320 000 demandes d'autorisation avaient été émises.

Devant l’insistance, le ministre a répliqué que « le contrôle de la CNCTR ne sera pas moindre que celui de la Commission nationale de contrôle des interceptions de sécurité (CNCIS). Ses moyens sont renforcés. Les procédures seront différenciées selon la complexité des cas ». Et celui-ci d’expliquer en séance (les propos n’ont pas été reproduits dans le compte rendu analytique) que les cas plus simples seront traités par une seule personne. À qui nous souhaitons bien du courage… Malheureusement le gouvernement a été très pingre sur l’ampleur des moyens financiers, obligeant les parlementaires à voter donc en confiance.

Refus de remplacer « informations et documents » par « données de connexion »

Les sénateurs socialistes, comme rapporté dans nos colonnes, avaient aussi tenté de restreindre le champ d'application des procédures de surveillance en les focalisant sur « le recueil des données de connexion » et non celui des « informations et documents ». Mais la substitution proposée a été rejetée à coup « d’avis défavorables » par le rapporteur et le gouvernement.

« Cette expression ne renvoie pas seulement à des données de connexion. L'identification du numéro d'abonnement, les factures fournies aux opérateurs lors de l'ouverture de la ligne ou les fadettes sont aussi concernées. Ce serait une erreur que de restreindre le champ de ce dispositif » a soutenu ainsi Philippe Bas, suivi par le gouvernement qui a rappelé que ces termes ont été implantés dans notre droit par la loi de 91, confirmés notamment par la loi de programmation militaire de 2013.

Fait notable cette question est justement sur le grill du Conseil d’État, grâce à une question prioritaire de constitutionnalité déposée par la Quadrature du Net, French Data Network et FDN (notre compte rendu d’audience à Paris). Ceux-là jugent l’expression « informations et documents », qui avait fait grand bruit lors de la loi de programmation militaire, comme trop floue. Ils considèrent en outre que les mesures d’aspiration de ces données personnelles ne permettent pas dans le droit actuel de protéger efficacement les journalistes et les parlementaires. L’affaire a été rappelée notamment par Catherine Morin-Desailly, mais n’a suscité aucun émoi chez Bernard Cazeneuve, ministre de l’Intérieur.

Mieux, les sénateurs ont adopté l’article des « sondes » qui permettra aux services du renseignement d’aspirer des « informations et documents » sur les infrastructures des acteurs du numérique directement, et non plus sur simple « sollicitation du réseau » comme le prévoyait la loi de programmation militaire. Ce point est aussi objet de la QPC examinée actuellement au Conseil d’État.

La CNIL hors du périmètre de l’aspiration des données personnelles

De la même façon, l’exécutif et le rapporteur se sont opposés à ce que la CNIL soit dans la boucle du renseignement, comme le suggéraient plusieurs sénateurs. Un amendement de Gaetan Gorce voulait par exemple qu’ « afin de limiter les risques de captation de données émanant de personnes n'ayant aucun lien avec l'objet des opérations conduites dans ce cadre, les outils ou dispositifs techniques utilisés [fassent] l'objet d'une habilitation préalable délivrée par la Commission nationale de l'informatique et des libertés ».

Cependant, pour le rapporteur, le contrôle doit relever de la seul CNCTR. « La CNIL, de par ses missions et sa composition, ne peut pas remplir ce rôle ». Avis partagé par le ministre de l’Intérieur, alors que la CNIL s’est émue encore récemment de la surveillance d’ampleur que prépare ce projet de loi, torpillant au passage l’absence de contrôle des fichiers qui seront secrétés par ces dispositifs d’espionnage 2.0.

Rare concession, il a été décidé que la CNIL puisse mettre son nez dans le décret qui décrira les modalités d’application des dispositifs de surveillance.

Adoption des boites noires

Outre une augmentation massive des finalités justifiant les mesures de surveillance (notamment afin de promouvoir les industries françaises contre la contrefaçon) les sénateurs ont aussi voté les boites noires.

Plusieurs amendements ont tenté hier de supprimer ou mieux encadrer encore cette possibilité pour un système algorithmique de détecter une menace terroriste, à l’aide des « informations et documents » pêchés sur les réseaux. Trop vague, trop flou, trop massif.

« Les boîtes noires ont vocation à analyser le trafic de données de manière indifférenciée, par définition » a exposé Catherine Morin Desailly. Claude Malhuret, agacé des caricatures de Bernard Cazeneuve, lui a rétorqué que « refuser le traitement de masse n'implique pas que l'on défende le terrorisme. Nous sommes tous contre le terrorisme ! ». Jacques Mézard: « Imposer aux opérateurs de révéler les responsables de menaces terroristes nous semble une disposition d'efficacité douteuse. Les Américains en reviennent : ne nous lançons pas là où ils reconnaissent avoir échoué ! ». Et celui-ci de rappeler les chiffres fournis par l’INRIA : « L'Institut national de recherche en informatique et en automatique (INRIA) a analysé le taux d'échec des algorithmes : 600 000 personnes sur 60 millions pourraient être détectées à tort. 0,02 % de réussite ; tout ça pour ça ! Le système comporte plus d'inconvénients que d'avantages. Il n'est donc pas opportun ». En vain.

Par contre, Jean-Yves Le Drian, ministre de la Défense, a fait adopter un amendement visant à ce que les données aspirées via le filtre de l’algorithme soient supprimées dans les 60 jours « sauf en cas d'éléments sérieux confirmant l'existence d'une menace terroriste attachée à une ou plusieurs des personnes concernées ». Selon lui, ce verrou permettra de purger et d’écarter « les faux positifs ». Il a donc reconnu par ce biais que les algorithmes seront bien plus gourmands dans ce dispositif que le gouvernement n’a cessé de présenter comme ciblé et encadré.

Pour l’occasion, le ministre de la Défense a cité une nouvelle fois ses exemples d’actes visés par les algorithmes : la mise en ligne de vidéo de décapitation et la surveillance des personnes gravitant autour du flux. Gaetan Gorce s’est justement engouffré dans la brèche : « les critères seront déduits d'informations précises recueillies par les services (…), n'est-ce pas ? ». Plutôt que d’utiliser le verbe « révéler » dans le corps du texte, qui laisse entendre une recherche à l’aveugle dans la masse des réseaux, il a recommandé qu’on resserre le périmètre. En effet, si on part d'un événement, d'une personne ou d'une situation, on change la voilure. Mais le ministre a tenté de le rassurer : puisque les algorithmes obéiront à des critères précis, les vœux du sénateur seront exaucés. Bref : ne touchons à rien.

L’échange a toutefois inspiré Claude Malhuret : « Depuis des mois, des internautes vont sur des sites de décapitation. Le jour où une vidéo est postée, mettons qu'il y aura 10 000 connexions. Sur cette masse, il y aura en une heure 400 curieux, 400 faux positifs qui n'ont rien à voir avec les terroristes dont on fera 400 suspects. L'exemple du ministre Le Drian va dans mon sens. Le Freedom Act met fin à la collecte massive et indiscriminée des données, aux boîtes noires et aux algorithmes - je fais référence à l'article du Monde. Il n'y a pas de traitement de masse (…) ? Comment appelez-vous la pose de boîtes noires chez les opérateurs pour filtrer toutes les connexions de tous les internautes pour chercher une aiguille dans une botte de foin ? La France, patrie des droits de l'homme, sera le seul pays démocratique à avoir adopté la surveillance de masse. Et c'est un gouvernement de gauche qui restera dans l'histoire pour l'avoir fait. Mme Taubira, au micro d'Europe 1 a déclaré ne pas soutenir totalement ce texte. Si la droite l'avait déposé, nous aurions 3 millions de personnes dans la rue. »

Pareillement, les sénateurs ont adopté les dispositifs de proximité (ou IMSI catcher) sans que les amendements visant par exemple à prévoir l’intervention de la CNIL n’aient été adoptés. Et les coups de butoir de Claude Malheuret n’ont pas été suffisants : « Pêche au harpon ou au chalut, se demandait-on tout à l'heure. Avec les IMSI-catchers, on pêche plutôt à la grenade. Seules les correspondances des personnes surveillées devraient pouvoir être interceptées. Imaginez la gare du Nord : on intercepte les communications de 50 000 personnes pour intercepter deux terroristes ». Jean-Pierre Raffarin, rapporteur pour avis, rebondira : « Deux terroristes identifiés et 50 000 personnes dont on ne gardera pas les données : c'est la preuve de l'utilité des IMSI-catchers ! »

Même sort pour les amendements qui s'attaquaient à l'extension des mesures de surveillance à l’entourage d’une personne simplement suspecte. Philippe Bas, rapporteur, a jaugé au contraire que le surplus d’encadrement adopté en commission des lois est désormais satisfaisant. « Les écoutes judiciaires sont autorisées sur l'entourage, la même logique doit valoir pour la police administrative » a ajouté le ministre de l’Intérieur.

La surveillance internationale

Les sénateurs socialistes voulaient aussi mieux encadrer les mesures de surveillance internationales. Et pour cause, ces mesures se feront sans avis préalable de la CNCTR, dès lors qu’une communication est émise ou reçue de l’étranger. Or, ont-ils expliqué en séance, « la très grande majorité des communications des Français peuvent être considérées comme étant « émises ou reçues à l'étranger ». Il suffit par exemple qu'une boîte mail soit hébergée sur un serveur situé à l'étranger pour que les communications qui en émanent relèvent de cette catégorie ». Bref, ils auraient souhaité remplacer la conjonction disjonctive « ou » par la conjonction copulative « et » (notre actualité).

Conforté par le gouvernement, l’UMP Philippe Bas n’a pas été d’accord avec cette grille de lecture : « Il n'y a pas de doute possible lorsque l'émetteur et le récepteur sont sur le territoire national : même si le serveur est étranger, le droit national s'applique ». L’amendement a été rejeté, alors qu’un doute subsiste pourtant puisque la géolocalisation physique de l’appelant ou l’appelé n’est pas bien paramétrée dans le périmètre du texte, lequel s'attache à la localisation un numéro d’abonnement ou d'un identifiant technique rattachable au territoire national ou à l'international.

Dans un amendement 26, Claude Malhuret et plusieurs de ses collègues UMP souhaitaient qu’« aucun transfert de données collectées au titre du présent article ne [puisse] conduire à ce que des volumes de données incluant une proportion significative de ressortissants français ne soient transmis à des services étrangers ou reçus de ceux-ci. »

Pourquoi ? Car « par le passé, des échanges de données ont pu être réalisés entre services de renseignement français et étrangers, conduisant à ce que des masses de données explicitement relatives à des ressortissants français soient communiquées à des services étrangers. Le présent amendement vise à empêcher les transferts massifs des données de nos concitoyens à des acteurs étrangers ». Selon lui, ainsi, le terme « proportion significative » vise à « ne pas entraver le fonctionnement des services, dans le cas où le mode de collecte ne peut empêcher que des ressortissants français fassent partie des personnes concernées par la collecte. Les transferts de données ciblés, par exemple relatifs à certains de nos ressortissants impliqués dans des actions terroristes, ne sont également pas empêchés. »

Ce verrou a agacé le ministre de la Défense : « Je le dis avec force : il n'a pas existé et il n'existe aucun transfert massif de données relatives à nos ressortissants à des services étrangers » alors que selon lui, la rédaction de cet amendement le laisse entendre. « Il n'y a pas de transfert massif de données. Les échanges ne concernent que des demandes ponctuelles, ciblées, et sur des personnes vivant essentiellement à l'étranger ». Cette promesse a suffi à convaincre le Sénat qui, plutôt que fermer une telle porte, a préféré la laisser grande ouverte.

Les débats reprennent à 10h40 aujourd'hui.