L'abonnement à l'Informé est à usage individuel
Un autre appareil utilise actuellement votre compte
Continuer la lecture« Boîtes noires » : le gouvernement veut à nouveau étendre sa surveillance en masse des internautes
Le Conseil constitutionnel a récemment retoqué une extension de la loi renseignement qui autorisait les autorités à traquer encore plus de données pour détecter des menaces aux intérêts de l’État.
Cette tentative sera-t-elle la bonne ? Dans son futur projet de loi « actualisant la programmation militaire pour les années 2024 à 2030 et portant diverses dispositions intéressant la défense », le gouvernement compte une nouvelle fois étendre ses capacités de renseignement fondées sur les algorithmes. Cette surveillance 2.0 avait été ajoutée dans le Code de la sécurité intérieure (CSI) par la loi sur le renseignement du 24 juillet 2015, un texte adopté quelques mois après les attentats de Charlie Hebdo. À l’origine, le mécanisme, surnommé « boîte noire », était calibré pour aspirer et analyser une masse de métadonnées trouvées sur les réseaux, dans l’espoir de détecter les germes d’une menace terroriste : numéros de téléphone, adresses IP, données de géolocalisation, etc. Le cas échéant, le premier ministre pouvait dans un second temps autoriser l’identification par les services d’espionnage des personnes concernées. Pour répondre aux critiques contre ce filet dérivant, ce traitement ne devait être expérimenté que deux années. Réforme après réforme, cependant, l’algorithme est devenu pérenne, a été étendu à de nouvelles finalités et s’est même vu autorisé, en plus de leurs métadonnées, à scanner les adresses des pages web consultées par les individus* (voir encadré). Le 12 juin 2025, lors de la dernière tentative d’extension par la loi contre le narcotrafic, le Conseil constitutionnel a dit stop : il a estimé qu’autoriser cette surveillance automatisée pour prévenir la délinquance et la criminalité organisée portait en l’état une atteinte bien trop profonde à la vie privée des internautes. Il a profité de l’occasion pour déclarer contraire à la Constitution les traitements portant sur les URL visitées par les internautes. Dans un nouveau texte en préparation, consulté par l’Informé, le premier ministre Sébastien Lecornu entend répondre à ces critiques pour réintégrer ces deux volets.
D’après ce document, l’exécutif compte refondre des pans entiers de l’article 851-3 du CSI, celui qui encadre cet outil de surveillance. Comme dans l’actuelle version, le nouvel opus consacre l’usage de ce traitement pour détecter des connexions susceptibles de révéler des menaces terroristes, des ingérences étrangères, des menaces pour la défense nationale mais aussi à nouveau des risques relatifs à la délinquance et la criminalité organisée. Le spectre de cette dernière finalité serait, comme dans la proposition de loi contre le narcotrafic avant censure, limité à la détection de faits punis d’au moins dix ans d’emprisonnement relatifs au seul trafic de stupéfiants, d’armes et de produits explosifs et au blanchiment d’argent. Autre retour : les « boîtes noires » pourront à nouveau traiter les URL web consultées par les internautes.
Dans leur décision, les neuf Sages avaient déploré le manque de garanties dans la loi, alors que « l’analyse systématique et automatisée de données se rapportant à un nombre très important de personnes est de nature à augmenter considérablement le nombre et la précision des informations qui peuvent en être extraites ». De tels traitements, en particulier ceux portant sur les URL, « permettent ainsi de procéder à grande échelle à l’analyse systématique et automatisée de données qui sont susceptibles de porter sur le contenu des correspondances échangées ou des informations consultées dans le cadre de ces communications ».
Le gouvernement entend répondre à ces critiques en limitant d’abord la collecte des URL à celles qui « sont nécessaires pour détecter les connexions susceptibles de révéler l’une des ingérences ou menaces ». Surtout, le futur projet de loi veut détailler plus précisément les paramètres de conception des algorithmes lorsqu’ils portent sur les adresses Internet, comme le lui avait invité le juge de la loi (voir ces commentaires, page 17). Le premier ministre devra définir plus finement les URL à collecter, en se limitant aux seules adresses qui dirigent vers des « ressources » en rapport avec les ingérences ou menaces précitées, celles dont il existe des « raisons sérieuses de penser » qu’elles sont utilisées pour mener à bien de telles atteintes aux intérêts français, et enfin celles « dont les caractéristiques sont de nature à [les] révéler ».
La Commission nationale de contrôle des techniques de renseignement (CNCTR), une autorité indépendante née avec la loi de 2015, sera toujours chargée d’émettre un avis sur la demande d’autorisation adressée par les services du renseignement à Matignon Sébastien Lecornu. Plusieurs changements dans le texte prochainement déposé : si leur première demande intègre dès l’origine des URL, alors la CNTR devra rendre son opinion « en formation plénière ». De même, son avis devra être rendu dans un délai de 7 jours. À défaut de respecter ce délai, le premier ministre pourra autoriser ce déploiement et saisira au besoin le Conseil d’État pour obtenir son analyse juridique. L’autorisation de mise en œuvre de l’algorithme par le premier ministre sera délivrée pour une durée de deux mois et pourra être renouvelée, comme actuellement. Cette demande de renouvellement comportera toujours « un relevé du nombre d’identifiants signalés par le traitement automatisé », « une analyse de la pertinence de ces signalements » mais aussi, et c’est là une autre nouveauté, « une actualisation de la nécessité et de la proportionnalité du recours aux adresses complètes de ressources utilisées sur internet ». En clair, Matignon devra plus lourdement motiver ses demandes portant sur la collecte des URL. Une série de garanties suffisante pour rassurer le Conseil constitutionnel et les adversaires des boîtes noires ? Contactés, la CNCTR, les services du premier ministre, les ministères de la défense et de l’intérieur n’ont pas répondu à nos questions au moment de la publication de notre actualité. La CNIL, qui a déjà été saisie pour avis par le gouvernement, nous indique qu’« à ce stade, l’avis de la CNIL n’est pas public. Il ne sera publié qu’au moment du dépôt du texte à l’une des assemblées du parlement ».
* L’intégralité de l’URL n’est pas toujours lisible en clair du fait de l’usage du protocole HTTPS
Extension du domaine de la surveillance algorithmique
Juillet 2015 : l’article L851-3 du Code de la sécurité intérieure est adopté à l’occasion de la loi renseignement. Après avis de la Commission nationale du contrôle des techniques de renseignements (CNCTR), les services du renseignement peuvent sur autorisation du premier ministre déployer ces « boîtes noires » pour détecter d’éventuelles menaces terroristes, en traitant une masse de métadonnées aspirées sur Internet. En réponse aux reproches émis par les défenseurs de la vie privée (Quadrature du Net, Ligue des droits de l’Homme, Amnesty International France, Syndicat de la Magistrature, etc.), ce déploiement n’est autorisé qu’à titre expérimental jusqu’à la fin 2018, avec un rapport d’évaluation remis par le gouvernement au 30 juin 2018.
Septembre 2017 : à l’occasion de la loi sur la sécurité intérieure et contre le terrorisme, le gouvernement fait adopter un amendement pour étendre l’expérimentation jusqu’à fin 2020.
Décembre 2020 : dans un projet loi dédiée à cet article du code de la sécurité intérieur, le gouvernement repousse encore ce terme, cette fois à décembre 2021.
Juillet 2021 : avec la loi relative à la prévention d’actes de terrorisme et au renseignement, le 851-3 subit trois nouvelles extensions. D’un, les services du renseignement vont pouvoir utiliser ces « boîtes noires » aussi sur les « données transitant » chez les opérateurs télécoms, les FAI et les hébergeurs. De deux, à l’avenir, en plus des métadonnées, pourront être traitées par ces algorithmes « les adresses complètes de ressources sur internet » (à savoir les adresses URL). Enfin, l’expérimentation est abrogée, le dispositif est donc pérennisé (le 851-3 étendu, l’expérimentation abrogée).
Juillet 2024 : la loi visant à prévenir les ingérences étrangères en France consacre un nouvel élargissement. À l’origine, ces traitements algorithmiques ne pouvaient être autorisés par le premier ministre que pour prévenir la menace terroriste. La loi ajoute deux nouvelles finalités, testées à titre temporaire jusqu’au 1er juillet 2028 : la prévention des ingérences étrangères et la prévention des menaces pour la défense nationale.
Janvier 2025 : proposition de loi pour sortir la France du piège du narcotrafic. Au Sénat, le gouvernement fait adopter une quatrième finalité : la prévention de la criminalité et de la délinquance organisées.
Juin 2025 : le Conseil constitutionnel censure cette nouvelle extension, considérant qu’avec le recours à ces traitements portant « de manière générale et indifférenciés » sur toutes les données transitant sur les réseaux des opérateurs, le législateur a porté une atteinte disproportionnée à la vie privée. Il censure également l’extension des boîtes noires aux traitements algorithmiques.
