Les sénateurs ont terminé l’examen du projet de loi sur la réforme pénale. L’occasion de faire un bilan mis à jour des dispositions touchant au numérique.

Saisie des correspondances (article 1 bis)

Dans le cadre des enquêtes sur la criminalité organisée, le juge des libertés et de la détention ou le juge d’instruction pourra autoriser les OPJ à « accéder, en tous lieux, aux correspondances numériques émises, reçues ou stockées sur une adresse électronique ou au moyen d’un identifiant informatique ».

Cet accès aux données pourra donc concerner les emails mails également toutes les données informatiques accessibles après saisie d’un identifiant, que ce soit sur un matériel physique ou sur via un site. Ces données pourront être saisies et enregistrées ou copiées sur tout support.

Recueil des données de connexion, interception de correspondances (article 2)

Toujours dans le cadre de ces enquêtes, les juges pourront autoriser la mise en place de dispositif capable d’ouvrir, supprimer, retarder, détourner, prendre connaissance, intercepter, utiliser ou divulguer une correspondance privée. Cela concerne la mise en place d’IMSI catcher mais aussi, bientôt, d’autres outils intrusifs placés sur les antennes relais ou sur n’importe quel moyen de transmission des communications. Ce recueil pourra viser aussi bien les données de connexion que le contenu des correspondances (mails, téléphone, etc.)

Des chevaux de Troie installés à la demande des juges (article 3 et 3 BIS A)

Toujours en matière de criminalité et délinquance organisées (terrorisme, etc.), le juge pourra autoriser les OPJ à installer des moyens de captation, fixation, transmission et enregistrement des paroles prononcées par des personnes, n’importe où. Cela pourra prendre la forme de keylogger, de chevaux de Troie, caméra, micro espion, etc. Ces moyens intrusifs pourront être installés pour une durée de 2 ans maximum.

Il pourra également autoriser l’accès à des données informatiques afin qu’elles soient enregistrées, conservées, transmisses, « telles qu’elles sont stockées dans un système informatique, telles qu’elles s’affichent sur un écran pour l’utilisateur (…) telles qu’il les y introduit par saisie de caractères ou telles qu’elles sont reçues et émises par des périphériques audiovisuels ».

Les échanges entre le pénitentiaire et les services du renseignement (4 ter)

Les sénateurs ont finalement refusé que le ministère de la justice soit intégré à la communauté du renseignement. L’article en question organise néanmoins les échanges d’information entre le pénitentiaire et les services du renseignement. Plus exactement, c’est un décret en Conseil d’État qui s’occupera des menus détails.

Par ailleurs, cette disposition va autoriser les services pénitentiaires à utiliser les IMSI catcher (et assimilés) dans les abords des prisons afin de recueillir les données de connexion mais également intercepter les communications, sauf celles nouées avec les avocats qui devront être effacées. Ils pourront aussi entrer dans les systèmes informatiques d’une personne détenue, utiliser des keylogger et des cheveaux de Troie, détecter des connexions non autorisées, etc.

Le chiffrement (article 4 quinquies)

Comme expliqué, les sénateurs ont modifié l’article 60 - 1 du Code de procédure pénale qui permet au procureur de la République (ou à l'officier de police judiciaire) de solliciter toute personne susceptible de détenir des informations intéressant l'enquête pour qu’elles lui soient remises. La peine actuelle, 3 750 euros, est portée à 15 000 euros lorsque l’infraction concerne une personne morale, celle qui aura refusé de répondre aux réquisitions « tel un constructeur d'appareils ou un prestataire de services » dixit les sénateurs.

L’article 343-15-2 du Code pénal est également modifié. Aujourd’hui, il punit de trois ans d'emprisonnement et de 45 000 euros d'amende « le fait, pour quiconque ayant connaissance de la convention secrète de déchiffrement d'un moyen de cryptologie susceptible d'avoir été utilisé pour préparer, faciliter ou commettre un crime ou un délit, de refuser de remettre ladite convention aux autorités judiciaires ou de la mettre en oeuvre, sur les réquisitions de ces autorités ». Quand ce refus est opposé alors que la remise ou la mise en oeuvre de la convention « aurait permis d'éviter la commission d'un crime ou d'un délit ou d'en limiter les effets », la peine est étendue à cinq ans d'emprisonnement et 75 000 euros d'amende. Suite à un amendement de Michel Mercier, le quantum est désormais de 150 000 euros si le refus vient d’une personne morale.

Le travail du CTA facilité face à un terminal verrouillé (article 4 sexies A)

Dans le cadre des enquêtes judiciaires, « aux fins de réaliser les opérations de mise au clair », le Centre Technique d’Assistance pourra briser les scellés judiciaires « et à les reconstituer à l’issue de ces opérations ». Le CTA est un service du ministère de l’Intérieur ayant « pour mission d’assister les autorités judiciaires, confrontées lors des investigations à des supports contenant des données ayant fait l’objet d’opérations de transformation empêchant d’accéder aux informations en clair ». (notre actualité)

Ce mécanisme a été prévu également pour les experts appelés à intervenir sur des supports de données informatiques (article 28 Bis A)

L’entrave au blocage des sites (article 4 sexies)

Pour inciter à ne pas contourner les mesures de blocage administratif ou judiciaire des sites faisant l’apologie du terrorisme, les sénateurs ont adopté un article qui punit de 5 ans de prison et 75 000 euros d’amende celui qui viendrait extraire, reproduire et transmettre intentionnellement des données concernées par ces mesures, « en connaissance de cause ».

Ce délit d’entrave a été jugé inutile par le gouvernement dans la mesure où « le droit pénal en vigueur permet, en effet, d'appréhender de tels comportements au travers des délits d'apologie du terrorisme et de provocation au terrorisme ». Vainement. Le texte a été voté. S’il est maintenu au fil des débats, il permettra de sanctionner ceux qui multiplient par exemple des contre-mesures aux blocages par IP ou DNS.

Extension de la compétence des tribunaux français (article 11)

Tout crime ou délit réalisé sur Internet sera réputé commis en France, entrainant du coup la compétence de nos juridictions, dès lors qu’il a été tenté ou commis à l’encontre d’une personne physique résidant en France ou une personne morale qui y a son siège. (voir notre actualité)

Les cartes de paiement, la monnaie électronique (article 12 ter, article 13)

Le premier article interdit les ordres de paiement passés sur le territoire national au moyen d’une carte de paiement prépayée rechargeable « dès lors que cette carte n’est pas rattachable à un compte effectif dont le propriétaire est identifiable. »

Le second va limiter la capacité d’emport des cartes prépayées. Un décret fixera ce plafond, mais également « le montant maximal de chargement, de remboursement et de retrait à partir de ce même support ». Il a été décidé également d’assurer une traçabilité durant 5 ans des informations et données techniques « relatives à l’activation, au chargement et à l’utilisation de la monnaie électronique au moyen d’un support physique ». Un arrêté du ministre chargé de l’économie en détaillera les modalités pratiques.

Les pouvoirs de Tracfin (Article 14 - 15 bis.)

Tracfin, un des services de renseignement, pourra signaler aux acteurs du paiement (banques, etc.) des situations (zones géographiques, opérations) ou des personnes présentant des risques « importants » de blanchiment de capitaux ou de financement du terrorisme.

L’article 15 étend du coup son droit de communication aux entités chargées de gérer les systèmes de paiement (le groupement d’intérêt économique CB ou des sociétés Visa et Mastercard). En outre, ses demandes pourront visées non plus seulement les « pièces conservées » mais également tous « documents, informations ou données conservés ».

L’article 15 bis lui ouvre enfin un accès au fichier des antécédents judicaires (le TAJ) pour l’exercice de l’ensemble de ses missions, dont la lutte contre le blanchiment de capitaux. À ce jour, cet accès est possible mais limité à certains points particuliers comme le recrutement des agents ou encore la prévention du terrorisme.

Pourvoir des douaniers (article 16 ter)

Comme les députés, les sénateurs veulent que les douaniers puissent participer sous un pseudonyme aux échanges électroniques. Seul nuance, ces derniers ont limité le champ d'application de ce pouvoir. Il ne vaudra non pour toutes les infractions envisagées par le Code de douanes, mais seulement certains délits (contrebande,certaines opérations financières dont celles couplées aux infractions sur les stupéfiants). Les douaniers pourront alors entrer en contact avec quiconque, extraire des élements de preuves, en utilisant une iddentité d’emprunt.

La retenue sur place (article 18)

Le projet de loi permettra aux forces de l’ordre de retenir pour une durée maximale de quatre heures, « toute personne faisant l’objet d’un contrôle ou d’une vérification d’identité » dès lors qu’« il existe des raisons sérieuses de penser que son comportement est lié à des activités à caractère terroriste ». Durant ce laps de temps, un OPJ effectuera une vérification approfondie de sa situation en consultant notamment l’ensemble des fichiers relevant de la sécurité de l’État (article 26 de la loi CNIL).

Pourquoi une telle disposition ? Selon le rapport de la Commission des lois à l’Assemblée nationale, « l’étude d’impact indique qu’il est recommandé aux services de police et de gendarmerie lorsqu’ils contrôlent certaines personnes faisant l’objet d’une fiche dite « S » (Sûreté de l’État) – et notamment d’une fiche S14 (djihadistes revenant d’Irak ou de Syrie) ou S15 (personne suspectée de radicalisation islamiste) – au fichier des personnes recherchées (FPR) de les retenir et d’aviser sans délai le service ayant procédé à leur inscription pour recueillir ses instructions ». Cependant, « cette retenue ne repose stricto sensu sur aucun fondement juridique. En effet, elle n’est pas une retenue ayant pour fin une vérification d’identité », seule à permettre aujourd’hui cette atteinte à la liberté d’aller et venir.

La plate-forme nationale des interceptions judiciaires (article 31 octies)

La PNIJ, super plateforme destinée à centraliser les réquisitions et écoutes, est reportée au 1er janvier 2018. Pire, suite à des bugs révélés par la presse, avec le grand appui des services de police, il a été décidé de rendre optionnel ce mécanisme. Le gouvernement a tenté de revenir sur ce recul, imposé par les sénateurs, en rendant obligatoire le recours à la PNIJ sauf en cas de problème technique, tout en avançant la date de son lancement au 1er janvier 2017. « Si la centralisation auprès de la plateforme nationale des interceptions judiciaires (PNIJ) est gage d'efficacité, une dérogation est nécessaire en cas de problème technique » a ainsi indiqué Jean-Jacques Urvoas. Sa prudence n’a pas pesée dans cette assemblée où le PS n’est pas en majorité.

Les caméras mobiles (article 32)

Cet article va contraindre gendarmes et policiers à utiliser des caméras mobiles afin d’enregistrer leurs intervention, du moins « lorsque se produit ou est susceptible de se produire un incident », compte tenu des circonstances et du comportement des personnes concernées (notre actualité). Ces enregistrements auront une triple mission : prévenir les incidents, constater les infractions et assurer la formation et la pédagogie des agents. Ces caméras seront portées de façon apparentes et « un signal visuel » indiquera leur mise en route qui ne se fera qu’à l’initiative des policiers et des gendarmes et non à la demande des citoyens. Les personnes filmées seront néanmoins alertées de ce déclenchement, sauf si les circonstances l’interdisent. Les enregistrements seront effacés au bout d’un mois.

Un article 32 bis prévoit leur usage à titre expérimental par les agents de police municipale. C’est le gouvernement qui décidera in fine des communes éligibles à ce test, sachant que l’expérimentation sera éligible au fonds interministériel pour la prévention de la délinquance.