Le gouvernement a déposé à l’Assemblée nationale la rustine du projet de loi Renseignement, lui-même tout juste enregistré. Cette « lettre rectificative » vient notamment pérenniser les algorithmes dans le paysage de la surveillance par les services du renseignement. Le Conseil d’État, la CNIL et la CNCTR ont rendu leur avis sur le sujet.

Déposé le 12 mai à l’Assemblée nationale, ce patch complète le projet de loi relatif à la prévention d’actes de terrorisme et au renseignement. Il a été rendu nécessaire par un arrêt du Conseil d’État intervenu le 21 avril dernier, bougeant les lignes de la régulation du renseignement en France. L’exécutif en a profité pour dépoussiérer plusieurs outils de la loi Renseignement de 2015.

Des algorithmes pérennisés

Déjà dévoilée par Next INpact dans l'une de ses premières versions, cette « lettre rectificative », dans le jargon, met fin à l’expérimentation des algorithmes censés détecter les graines de menaces terroristes, dans l’océan des données de connexion.

Ces données, qu’on oppose aux données de contenus, sont toutes celles qui encapsulent les échanges téléphoniques et électroniques. Un contenu suffisamment riche pour mettre la puce à l’oreille des services, lorsque des germes terroristes y sont décelés, suivant des modèles algorithmiques.

La fin de l’expérimentation ne signifie pas la fin des algorithmes. Au contraire, le gouvernement juge assez mûr le dispositif pour le pérenniser dans le paysage juridique, et en particulier dans le Code de la sécurité intérieure en son article L.851 - 3.

Pour justifier cette inscription dans la durée, le gouvernement avance plusieurs raisons : l’exécutif vante sa « pertinence opérationnelle », considérant que « cette capacité de détection ne pouvant être remplie par aucun des moyens traditionnels des services de renseignement ». 

Dans son avis rendu pour l’occasion, le Conseil d’État relève que « si l’étude d’impact contient des informations à caractère général sur le déroulement de l’expérimentation, elle comporte très peu d’indications sur la mesure de l’efficacité opérationnelle de la technique, couverte par le secret de la défense nationale ».

En somme, l’exécutif n’est pas très bavard sur l’opportunité et surtout l’efficacité de cette arme de détection. Tout ce que l’on sait est que le gouvernement a remis un rapport d’application à la Délégation parlementaire au Renseignement (DPR) le 30 juin 2020. Classé secret défense, il n'a pas été rendu public.

Et que dans son avis du 7 avril 2021, la Commission nationale de contrôle des techniques du renseignement indique avoir été elle aussi destinataire de ce document, pour confirmer que trois algorithmes sont mis en œuvre (chiffre qui n’a pas bougé notre actualité de 2019). La CNCTR se contente de relever que selon le gouvernement, les résultats sont pour l’instant « satisfaisants ».

Des outils pérennisés, URL comprises

L’exécutif profite de la pérennisation de ces outils pour surtout étendre leur portée au-delà des données de connexion. L’objectif ? Y intégrer les « adresses complètes de ressources utilisées sur internet ». 

Sans la moindre donnée chiffrée, le gouvernement juge « déterminant » que ces traitements automatisés « puissent également s’appliquer à ce type d’URL pour que soient détectées les consultations d’informations présentant un lien avéré avec les activités terroristes et, in fine, après autorisation, pour que soient identifiés les individus à l’origine de ces connexions ».

Cette extension aux URL a fait l’objet de développements spécifiques dans les avis produits par la CNCTR, le Conseil d’État et la CNIL. « L’extension des données traitées par les algorithmes – qui jusqu’ici ne concernaient que les données de trafic et de connexion de téléphonie – aux adresses complètes Internet ouvre donc un champ nouveau d’investigation potentiellement attentatoire à la protection de la vie privée et des données personnelles » relève l’opinion de la juridiction administrative.

Puisqu’il est toujours important de bien nommer les choses, la CNIL considère pour sa part que l’expression n’est pas tout à fait identique à celle d’URL. « En effet, si le mécanisme des URL peut servir à désigner des ressources stockées sur un serveur, de nombreux services l’utilisent également pour transmettre des informations à un serveur ou pour conserver des éléments relatifs à la session en cours. C’est par exemple le cas des paramètres des requêtes "query strings" et des informations des formulaires HTML remplis par les usagers, ces données étant agrégées à la fin des URL et transmises avec elles ».

La CNCTR indique toutefois que la notion d’URL n’a pas aujourd’hui de définition juridique. « La locution utilisée par le gouvernement dans le projet de loi pour la désigner ne semble donc pas avoir de précédent ».

La CNIL ajoute encore et surtout qu’une « URL n’est pas lisible en clair par l’opérateur dès lors que la transmission de données concernée est chiffrée entre le terminal de l’utilisateur et les serveurs concernés ». Suite à ses échanges avec le gouvernement, elle « prend acte que la collecte auprès des opérateurs vise uniquement les URL non chiffrées, le déchiffrement n’étant à ce stade pas envisagé par les services de renseignement ».

Une épine dans le pied

CNIL comme Conseil d’État rappellent l’existence d’une épine dans le pied de cette surveillance en marche : la décision du Conseil constitutionnel du 23 juillet 2015, où les neuf Sages avaient avalisé les algorithmes en tenant compte de l’impossibilité de traiter dans leur estomac « le contenu des correspondances échangées ou des informations consultées, sous quelque forme que ce soit, dans le cadre de ces communications ».

Alpaguer les adresses, n’est-ce pas prendre connaissance des « informations consultées » ? Que dira le Conseil constitutionnel de cette extension, s’il est saisi a priori ou lors d’une question prioritaire de constitutionnalité ?

• Loi Renseignement : imbroglio sur le statut de l'URL

Très prudente, la Commission nationale de l'informatique et des libertés ne veut pas se prononcer sur la proportionnalité de l’atteinte à la vie privée, consécutive à cette extension. Elle préfère recommander d’expérimenter cette extension, et ce, « avant de l’étendre définitivement à ces nouvelles catégories de données ».

« Cette expérimentation pourrait permettre, plus généralement, d’évaluer finement l’utilité de cette technique de renseignement pour toutes les données de connexion liées à l’usage d’internet puisque, selon la compréhension de la Commission, les seuls algorithmes utilisés jusqu’ici l’ont été pour des données de connexion téléphoniques ». 

Le Conseil d’État estime pourtant de son côté que « l’ajout d’éléments relatifs au contenu des informations consultées dans le champ des données faisant l’objet de traitements automatisés à grande échelle, même sans possibilité d’identifier les personnes concernées, appelle un contrôle de proportionnalité exigeant entre les atteintes portées aux libertés d’une part et la protection des intérêts fondamentaux de la Nation de l’autre ».

Il demande, non le lancement d’une nouvelle expérimentation, mais « qu’un bilan de l’application de cette technique incluant l’analyse automatisée des URL soit remis par le Gouvernement au Parlement dans un délai de trois ans ».

Aucune de ces pistes n’a été retenue dans le projet de loi déposé à l’Assemblée nationale. Un appel du pied pour les députés à l’origine des futurs amendements ?

Remarquons pour finir que l’intérêt pour les URL ne concerne pas seulement l’appétit des algorithmes de surveillance. Comme révélé par Next INpact, l’extension concerne également l’outil de surveillance en temps réel des personnes préalablement identifiées « comme étant susceptibles d’être en lien avec une menace terroriste », mais également leur entourage. Un outil prévu à l’article 851 - 2 du Code de la sécurité intérieure, introduit lui aussi par la loi de 2015 sur le Renseignement.