Le Conseil constitutionnel vient de donner un gros coup de canif dans la loi d’orientation et de programmation du ministère de la Justice. Il « censure des dispositions relatives à l’activation à distance d’appareils électroniques afin de capter des sons et des images ».

« C’est une décision qui tombe au pire des moments pour le garde des sceaux, Eric Dupond-Moretti », écrit Le Monde, alors que le délibéré de son procès devant la Cour de justice de la République pour « prise illégale d’intérêts » doit être rendu public dans moins de deux semaines, le 29 novembre.

Saisi par « plus de soixante députés », le Conseil constitutionnel a en effet censuré en partie la « mesure phare » de son projet de loi d’orientation pour la justice : « l’activation à distance d’appareils électroniques, à l’insu de leur propriétaire ou possesseur » afin de permettre, « selon les cas, la géolocalisation ou la sonorisation et la captation d’images ».

• L'activation à distance des micros, caméras et GPS des terminaux numériques validée par le Sénat

La captation de sons et d’images censurées

Le Conseil estime en effet que « l’activation à distance d’appareils électroniques afin de capter des sons et des images sans même qu’il soit nécessaire pour les enquêteurs d’accéder physiquement à des lieux privés en vue de la mise en place de dispositifs de sonorisation et de captation est de nature à porter une atteinte particulièrement importante au droit au respect de la vie privée ». 

Et ce, d'autant que cette mesure « permet l’enregistrement, dans tout lieu où l’appareil connecté détenu par une personne privée peut se trouver, y compris des lieux d’habitation, de paroles et d’images concernant aussi bien les personnes visées par les investigations que des tiers ».

Conclusion des Sages : « Dès lors, en permettant de recourir à cette activation à distance non seulement pour les infractions les plus graves mais pour l’ensemble de celles relevant de la criminalité organisée, le législateur a permis qu’il soit porté au droit au respect de la vie privée une atteinte qui ne peut être regardée comme proportionnée au but poursuivi ».

Le Conseil constitutionnel censure ainsi « le 46 ° du paragraphe I de l’article 6 de la loi d’orientation et de programmation du ministère de la justice 2023 - 2027, ainsi que le 47 ° du même paragraphe I, qui en est inséparable ».

Pas de censure pour la géolocalisation

Le Conseil constitutionnel précise néanmoins que les autres dispositions contestées, qui autorisent « l’activation à distance d’appareils électroniques à des fins de géolocalisation, ne méconnaissent pas le droit au respect de la vie privée ».

Ce qui pose donc problème aux Sages concerne les actions permettant de capter des sons et des images, mais pas la géolocalisation. Il existe aussi une différence, comme le rappelle le Conseil dans son communiqué : « il ne peut être recouru à l’activation à distance d’un appareil électronique, s’agissant de la géolocalisation, que lorsque les nécessités de l’enquête ou de l’instruction relative à un crime ou à un délit puni d’au moins cinq ans d’emprisonnement l’exigent et, s’agissant de la sonorisation et de la captation d’images, que si la nature et la gravité des faits le justifient ».

Le mémoire en défense du gouvernement

Le gouvernement avançait que ces dispositions n'avaient « pas pour objet ou pour effet de créer de nouvelles techniques d’enquête », mais « seulement pour objet de mettre en œuvre les actes d’enquête existants » que sont la géolocalisation et la sonorisation ou la captation d’images par l’activation à distance d’un appareil électronique :

« Cette possibilité répond à la fois à la volonté d’améliorer l’efficacité du recours à ces techniques d’enquête et de prévenir les risques auxquels s’exposent les fonctionnaires de la police nationale et les militaires de la gendarmerie nationale appelés à poser des dispositifs de géolocalisation ou de sonorisation ou de captation d’images au domicile de suspects dangereux. »

Il n’y a pas que les smartphones dans la vie

L'attention médiatique s'était focalisée sur les seuls « smartphones ». Pourtant, les révélations au sujet du logiciel espion Pegasus montrent qu'il est quasi impossible d'« activer à distance » et donc d'espionner un smartphone, même avec l'aide et l'assistance de Google et Apple. Les fabricants ont considérablement accru la sécurisation de leurs produits depuis les révélations Snowden.

Les chercheurs du Projet Zero de Google, experts en failles de sécurité, avaient en effet identifié en 2019 une attaque particulièrement sophistiquée exploitant pas moins de 14 vulnérabilités « 0 day » distinctes sur iOS.

En 2021, ils qualifiaient le code de Pegasus de « l'un des exploits les plus sophistiqués sur le plan technique que nous ayons jamais vus, ce qui démontre une fois de plus que les capacités offertes par le NSO rivalisent avec celles que l'on pensait jusqu'à présent accessibles à une poignée d'États-nations seulement ».

A contrario, l'activation à distance d'ordinateurs de bord de voitures, d’enceintes et d’autres objets connectés, et de tout autre terminal relevant de l'Internet des objets (boîtiers GPS d'entreprise, webcams en ligne, sans compter toutes les applications autorisant l'accès à la caméra, au micro ou à la géolocalisation) est a priori bien plus intéressante pour les forces de l'ordre.

Le nombre de failles de sécurité exploitables en matière d'IoT, avec ou sans l'assistance des entreprises concernées, est en effet sans commune mesure en comparaison avec celles qu'Android et iOS n'ont pas encore corrigées. De plus, et toujours depuis l’affaire Snowden, Google et Apple ont largement accru le contrôle des demandes émanant des autorités.

Reste encore à savoir quelle sera l'utilité de cette possibilité d'activer à distance des appareils électroniques à des fins de géolocalisation, alors que la police judiciaire peut déjà réclamer aux opérateurs de téléphonie mobile de géolocaliser leurs abonnés.