« Une surveillance limitée à quelques individus qui présentent une menace avérée au regard de motivations sérieuses ». Voilà comment Jean-Jacques Urvoas décrit le projet de loi sur le renseignement dans son rapport en Commission des lois. Le député PS en profite aussi pour dézinguer les opposants au texte.

Aux exégètes amateurs et à ceux de mauvaise foi

« Aux exégètes amateurs qui comblent leurs lacunes par des préjugés et à ceux de mauvaise foi pour qui le soupçon tient lieu de raisonnement, il faut opposer une analyse dépassionnée du droit ». Dans son rapport parlementaire en commission des lois, Urvoas s'attaque avec une douceur de bulldozer aux grincheux qui n’ont su apprécier la beauté du dispositif de surveillance à venir.

Le projet de loi a certes été dézingué par la Quadrature du net, Gandi, le Syndicat de la Magistrature, Amnesty International, la CGT Police, La commission nationale consultative des droits de l’homme, l’Ordre des avocats de Paris, l’Union Syndicat des magistrats, Renaissance numérique, l’AFDEL, le Syntec Numérique, Human Rights Watch, la Commission du numérique, l’actuelle gendarme des écoutes, Jean-Marie Delarue, Alain Marsaud, député, ancien juge anti terroriste, Marc Trévidic, juge antiterroriste, ou encore... Charlie Hebdo, dont l'attentat figure parmi les faire-valoir au texte. Mais Urvoas n'en a visiblement cure et préfère « dépassionner ».

Pas de surveillance massive, pas de Patriot act

« Contrairement à ce que cherchent à accréditer certaines critiques formulées depuis la présentation du présent projet de loi par le Gouvernement, il n’est pas question d’instaurer – voire de légaliser – une surveillance indifférenciée de masse par les services de renseignement français » tambourine le parlementaire. Celui-ci conteste une nouvelle fois l’étiquette d’un Patriot Act à la française sur ce texte qu’il a lui-même ébauché voilà plusieurs mois.

Pour prendre ses distances avec la loi américaine,  le député socialiste rappelle que le projet n’organise ni démantèlement du droit, ni n’institue de commissions militaires pour juger des présumés terroristes, contrairement au Patriot Act. « Si aux États-Unis règne une « idéologie de la capture » qui justifie l’existence d’un dispositif de renseignement tourné vers la détection de la menace qui conduit à une surveillance massive, sans autre réelle restriction que celle induite par les limites technologiques, dans notre pays, la mise en œuvre des techniques de recueil du renseignement doit être réalisée en tenant compte d’un principe de proportionnalité : la fin ne justifie pas tous les moyens. »

Pour insister sur ce point, il compare ces services américains qui « interceptent et stockent massivement des données personnelles puis sollicitent des autorisations pour exploiter les informations conservées », aux services français qui « vont solliciter préalablement des autorisations de collecte extrêmement précises et ciblées sur des individus représentant une menace avérée ». Ce cheminement procédural partira de la demande du service, jusqu’à l’autorisation du Premier ministre en passant par l’avis du président de la Commission nationale du contrôle des techniques de renseignement.

Trois dispositions sont calibrées en ce sens.

La captation des données de connexion chez les intermédiaires

Il y a d’abord celle qui permet aux services d’installer un pipeline sur les infrastructures des opérateurs, FAI, hébergeurs, etc. afin d’aspirer en temps réel les données de connexions « relatives à des personnes préalablement identifiées comme présentant une menace (…) Il s’agit donc de permettre un accès instantané aux seules données de connexions (ce qui exclut l’accès au contenu même des échanges, à laquelle seule une interception de sécurité permettra d’accéder) pour une liste limitative de personnes présentant un risque en matière de terrorisme (ce qui suppose de détenir au préalable un faisceau d’indices concordants sur la dangerosité des personnes concernées). »

Seul détail, que ne précise pas Urvoas, les autorisations de collecte préalables au recueil pourront certes être délivrées contre des personnes « concernées » (sous-entendu identifiées) mais aussi contre des personnes simplement « identifiables ». En ce sens, les services pourront se contenter d’une « qualité », d’une « caractéristique » ou d’un identifiant, avant d'aspirer, ce qui est nettement moins précis.

La boîte noire et l’algorithme prédictif

Urvoas cite en second lieu la possibilité pour les services d’installer un dispositif technique sur les infrastructures des intermédiaires (opérateurs, FAI, etc.) armé d’un algorithme « qui détecterait une menace terroriste, mais ce, sans procéder à l’identification des personnes concernées par l’analyse des données autres que celles suspectées de terrorisme ». Cette « boîte noire » visera à détecter « les signaux de faible intensité sur les données brutes qui témoigneraient d’une menace pesant sur la sécurité nationale ».

Il le garantit encore : « cette disposition n’impose donc pas aux prestataires de services sur Internet une « obligation générale de surveiller les informations qu'ils transmettent ou stockent, ou une obligation générale de rechercher activement des faits ou des circonstances révélant des activités illicites », ce que prohibe l’article 15 de la directive sur le commerce électronique ». Le député a raison. Et pour cause, ce ne sont pas les prestataires qui vont être astreints à cette obligation de surveillance. Ce sont les services du renseignement qui tiendront les manettes ! D’ailleurs, l’expression « boîte noire » avait justement été utilisée par un représentant de Matignon, lors d’une réunion presse informelle à laquelle nous participions, afin de souligner l’idée que les opérateurs n’auront pas accès aux petits secrets qui y sont cachés.

Enfin, « ce n’est que dans l’hypothèse où une menace terroriste serait détectée grâce à cet algorithme, qu’il appartiendrait au Premier ministre ou l’une des personnes déléguées par lui de décider de la levée de l’anonymat sur les données de connexion ». La CNIL a néanmoins souligné dans son avis que les données de connexion permettaient déjà en l’état de savoir facilement qui se cache derrière un identifiant, et pour cause, par ce biais on peut connaître tout le tissu social d’un individu.

Les dispositifs techniques de proximité

Ces fausses antennes relai permettent d’aspirer un grand nombre de données techniques de connexion, tout en géolocalisant en temps réel les téléphones utilisés par les personnes surveillées. Urvoas se félicite de l’adoption de plusieurs de ses amendements visant à encadrer au plus près ces opérations. « Ainsi aucune centralisation des données collectées ou des interceptions réalisées n’était prévue, rendant dès lors le contrôle quasi impossible ». De même, le texte initial ne prévoyait « pas de destruction des données non pertinentes dans un délai fixé par la loi ». 

Bref, dormez sagement, ce texte « n’organise pas une surveillance indifférenciée de masse » d’autant que chacune de ces techniques sera calibrée dans un objectif défini. Mais là encore, l’affirmation est fragile puisque les finalités programmées sont très vastes, en raison de contours extrêmement flous. Pas sûr donc que les « exégètes amateurs » ou ceux « de mauvaise foi » soient convaincus de l’explication de texte.