La surveillance algorithmique des données de connexion dans le cadre de la lutte contre le terrorisme
Résumés
Depuis 2015, les services de renseignement ont la possibilité de procéder à l’analyse automatisée de données de connexion dans le but de détecter des comportements révélant un risque d’actes terroristes. Permettant une surveillance globale de la population, l’utilisation de cette technique comporte des enjeux particuliers qui nécessitent une réponse prenant en compte tant les impératifs de prévention des actes terroristes que le haut niveau d’ingérence dans la vie privée qui en résulte. Cette contribution propose d’analyser les contours du régime de la surveillance algorithmique qui aura nécessité de multiples modifications avant d’atteindre un certain point d’équilibre.
Plan
Haut de pageTexte intégral
- 1 Loi nº 2015-912 du 24 juillet 2015 relative au renseignement, Journal officiel de la République fra (...)
- 2 G. Roussel, « Le régime des techniques de renseignement », Actualité juridique. Pénal, 2015, p. 520 (...)
- 3 Art. L. 851-3, I, al. 1 CSI.
- 4 Art. L. 851-1 CSI.
1La loi nº 2015-912 relative au renseignement a créé un livre VIII au sein du Code de la sécurité intérieure (CSI)1. Ce texte, qui avait pour but de donner un cadre légal aux différentes techniques utilisées par les services de renseignement, notamment les plus récentes fondées sur les nouvelles technologies2, permet l’utilisation de la « technique de l’algorithme ». L’article L. 851-3 du CSI prévoit en effet que des traitements automatisés peuvent être installés sur les réseaux des opérateurs dans le but de « […] détecter des connexions susceptibles de révéler une menace terroriste »3. Le champ des données concernées est délimité par l’article L. 851-1 du CSI qui prévoit que sont considérées comme des données de connexion les « […] informations ou documents traités ou conservés […] »4 par les opérateurs,
- 5 Ibid. Cette définition est précisée par l’article R. 851-5 CSI.
[…] y compris les données techniques relatives à l’identification des numéros d’abonnement ou de connexion à des services de communications électroniques, au recensement de l’ensemble des numéros d’abonnement ou de connexion d’une personne désignée, à la localisation des équipements terminaux utilisés ainsi qu’aux communications d’un abonné portant sur la liste des numéros appelés et appelants, la durée et la date des communications5.
- 6 CNIL, délibération nº 2021-040 du 8 avril 2021 portant avis sur un projet de loi relatif à la préve (...)
2Les données dont il est question concernent ainsi tant les données de téléphonie que celles de navigation sur Internet6.
3L’analyse automatisée des données de connexion vise à détecter des signaux faibles d’activité terroriste, autrement dit des comportements peu significatifs en eux-mêmes mais considérés comme des signes avant-coureurs et potentiellement annonciateurs d’un passage à l’acte. La recherche de signaux aussi précoces est fondée sur la nécessité d’une intervention rapide face à des actes prenant dorénavant la forme d’actes isolés.
- 7 Art. L. 851-3, IV CSI.
- 8 CNCTR, 2e rapport d’activité 2017, p. 18. Les rapports de la CNCTR sont disponibles en ligne : http (...)
- 9 CNCTR, 3e rapport d’activité 2018, p. 64.
- 10 CNCTR, 6e rapport d’activité 2021, p. 66.
4Cette technique de renseignement fonctionne en deux temps. Le traitement algorithmique analyse des flux de données en fonction de critères préétablis au moment de la mise en œuvre du traitement, mais sans qu’il soit possible pour les agents d’accéder à ces données dans un premier temps. Ce n’est que si le traitement algorithmique détecte une activité suspecte que l’accès aux données peut se faire dans un second temps, dans le cadre d’une nouvelle demande adressée au Premier ministre qui se prononce après avis de la Commission nationale de contrôle des techniques de renseignement (CNCTR)7. Pour l’heure, quatre algorithmes ont été autorisés depuis la mise en place du régime en 2015 : un en 20178, deux en 20189, et le dernier en 202110.
5Le temps écoulé depuis l’entrée en vigueur du mécanisme permet de revenir sur le déploiement progressif de la technique. L’étude permettra ainsi de mettre en évidence l’apparition d’un cadre juridique de l’utilisation de traitements algorithmiques à des fins de prévention des actes terroristes, dont les déséquilibres initiaux ont été progressivement corrigés. En effet, si le déploiement initial du régime détonnait par son caractère particulièrement intrusif et aura nécessité l’intervention du juge (I), le législateur a su en tirer les conséquences afin d’apporter les modifications nécessaires pour stabiliser le régime (II).
I. Le déploiement de la surveillance algorithmique
6La surveillance algorithmique dans le cadre de la lutte contre le terrorisme s’est progressivement déployée jusqu’à intégrer définitivement la panoplie des outils de surveillance des services de renseignement (A). Le cadre initial, considéré comme trop intrusif, aura nécessité l’intervention combinée de la Cour de justice de l’Union européenne et du Conseil d’État (B).
A. La pérennisation progressive de la technique
7La surveillance algorithmique est un dispositif qui, en temps normal, n’aurait très certainement pas pu voir le jour au regard de son caractère particulièrement intrusif. Seul un danger tel que le risque d’actes terroristes pouvait justifier son déploiement (1). Afin d’éviter une atteinte trop importante aux droits et libertés, son utilisation devait être, en contrepartie, limitée dans le temps. Toutefois, il s’avère que la technique a fait l’objet de multiples prorogations jusqu’à intégrer définitivement le droit commun (2).
1. La lutte contre le terrorisme comme justification du déploiement d’une technique spécifique
- 11 CNIL, délibération nº 2015-078 du 5 mars 2015 portant avis sur un projet de loi relatif au renseign (...)
- 12 Art. L. 801-1, al. 1 CSI.
- 13 Art. L. 821-2, al. 1 et 2 CSI. L’alinéa 2 de cet article prévoit notamment que la demande adressée (...)
- 14 Art. L. 821-1, al. 1 CSI.
- 15 Art. L. 821-4 CSI.
8Si les techniques de renseignement instaurées par la loi de 2015 ne portent pas toutes atteinte au droit au respect de la vie privée avec une intensité similaire, il s’avère qu’elles sont toutes plus intrusives que toutes les autres techniques dont les services de renseignement disposaient jusqu’alors11. Aussi, l’intégralité du livre VIII, qui recense ces nouvelles techniques, est irriguée par une logique de proportionnalité qui se manifeste dès l’article L. 801-1 du CSI qui ouvre ce nouveau livre. En effet, le premier alinéa de l’article L. 801-1 du CSI rappelle que « [l]e respect de la vie privée, dans toutes ses composantes […], est garanti par la loi […] » et prévoit en conséquence que « [l]’autorité publique ne peut y porter atteinte que dans les seuls cas de nécessité d’intérêt public prévus par la loi, dans les limites fixées par celle-ci et dans le respect du principe de proportionnalité »12. Ainsi, pour pouvoir être mises en œuvre, les techniques de renseignement nouvellement créées doivent faire l’objet d’une demande strictement motivée13 adressée au Premier ministre qui délivre l’autorisation après avis de la CNCTR14. L’autorisation ainsi délivrée ne peut excéder une durée de quatre mois15. En outre, ces techniques de renseignement ne peuvent être mises en œuvre que pour poursuivre certaines finalités limitativement énumérées par le CSI. L’article L. 811-3 CSI prévoit en effet que les techniques de renseignement ne peuvent être mises en œuvre que pour la préservation ou la promotion de finalités spécifiques, à savoir :
- l’indépendance nationale, l’intégrité du territoire et la défense nationale ;
- les intérêts majeurs de la politique étrangère, l’exécution des engagements européens et internationaux de la France et la prévention de toute forme d’ingérence étrangère ;
- les intérêts économiques, industriels et scientifiques majeurs de la France ;
- la prévention du terrorisme ;
- la prévention :
- des atteintes à la forme républicaine des institutions ;
- des actions tendant au maintien ou à la reconstitution de groupements dissous ;
- des violences collectives de nature à porter gravement atteinte à la paix publique ;
- de la criminalité et de la délinquance organisées ;
- de la prolifération des armes de destruction massive.
- 16 Art. L. 851-3, I, al. 1 CSI.
- 17 Ibid.
- 18 CNCTR, 6e rapport d’activité 2021, p. 131.
9Ainsi, si toutes les techniques de renseignement peuvent être employées afin de lutter contre le terrorisme, la technique de l’algorithme ne peut être utilisée qu’à cette seule fin16. Au regard de son caractère particulièrement intrusif, son fonctionnement automatisé et la surveillance de masse qu’elle implique, l’usage de cette technique ne pouvait être justifié que « […] pour les seuls besoins de la prévention du terrorisme […] »17. L’acceptation d’une technologie aussi invasive et attentatoire aux libertés ne pouvait être fondée que sur la persistance de la menace terroriste qui, en outre, « […] se traduit notamment par l’émergence de nouveaux profils d’individus isolés, sensibles aux messages de propagande incitant au passage à l’acte, dont le potentiel dangereux ne peut parfois être révélé qu’à travers leur activité numérique »18. La technique de l’algorithme est alors envisagée comme « un mal nécessaire », seule option à même de lutter efficacement contre les éventuelles menaces terroristes.
- 19 Art. L. 851-3, II, al. 2 CSI.
- 20 Art. L. 851-3, II, al. 1 CSI.
- 21 Art. L. 833-8 CSI.
10Au regard des craintes suscitées par un tel outil, il a fait l’objet d’un encadrement précis et plus strict que le régime auquel sont soumises les autres techniques de renseignement. En ce sens, la durée de l’autorisation, en principe de quatre mois, ne peut excéder deux mois lorsqu’elle concerne la mise en œuvre d’un traitement automatisé sur les données de connexion19. La CNCTR doit avoir un accès complet et permanent aux traitements et données traitées, est informée de toute modification apportée aux traitements et peut émettre des recommandations sur la mise en œuvre de l’article L. 851-3 CSI20. Si ses recommandations ne sont pas suivies d’effet, elle peut saisir le Conseil d’État21. Enfin, la limitation dans le temps de l’utilisation de cette technique, initialement à l’essai jusqu’au 31 décembre 2018, était considérée comme constituant une garantie suffisante au regard de l’atteinte aux droits et libertés provoquée par le dispositif. La durée expérimentale de cette technique a été prolongée à maintes reprises avant que le dispositif intègre définitivement le droit commun.
2. D’une législation exceptionnelle à un dispositif de droit commun
- 22 Art. 25 de la loi nº 2015-912.
- 23 Art. 17 de la loi nº 2017-1510 du 30 octobre 2017 renforçant la sécurité intérieure et la lutte con (...)
- 24 CNCTR, 2e rapport d’activité 2017, p. 18.
- 25 CNCTR, 5e rapport d’activité 2020, p. 16.
11Au regard du caractère particulièrement intrusif de la technique, il était prévu que ces mesures seraient mises à l’essai jusqu’au 31 décembre 201822. Toutefois, suite à l’entrée en vigueur de la loi nº 2017-1510 renforçant la sécurité intérieure et la lutte contre le terrorisme, ce délai a été repoussé au 31 décembre 202023. L’une des raisons principales avancée pour justifier ce report reposait sur l’insuffisance de recul pour évaluer l’efficacité de l’expérimentation. En effet, la première autorisation de mise en œuvre d’un tel traitement n’avait été délivrée que le 12 octobre 201724. Or, le dispositif expérimental devait initialement être suivi d’un rapport sur son application devant être remis au Parlement avant le 30 juin 2018. Le délai entre la première mise en œuvre et la date limite pour rendre le rapport était considéré comme trop court pour pouvoir évaluer le dispositif et, suite à la demande du gouvernement, la durée de l’expérimentation a été prolongée de deux ans25.
- 26 Art. 2 de la loi nº 2020-1671 du 24 décembre 2020 relative à la prorogation des chapitres VI à X du (...)
12Ensuite, durant l’année 2020, la crise sanitaire a amené le gouvernement à déposer un projet de loi dans lequel figure une nouvelle prolongation d’un an de la durée d’expérimentation du dispositif, considérant que le contexte sanitaire n’était pas propice à un débat parlementaire sur le devenir des dispositions de l’article L. 851-3, l’expérimentation devant arriver à son terme à la fin de la même année. La loi nº 2020-1671 du 24 décembre 2020 entérine cette proposition et fixe la nouvelle échéance au 31 décembre 202126.
- 27 Art. 14 de la loi nº 2021-998 relative à la prévention d’actes de terrorisme et au renseignement, J (...)
13Enfin, la loi du 30 juillet 2021 relative à la prévention d’actes de terrorisme et au renseignement27 met fin à l’expérimentation et les dispositions de l’article L. 851-3 CSI intègrent de manière pérenne le droit commun. En effet, si la loi prévoit un réexamen du dispositif par le Parlement auquel le gouvernement devra adresser un rapport sur l’application de l’article L. 851-3 au plus tard le 31 juillet 2024, la loi ne fixe plus de nouvelle échéance pour l’utilisation de la technique de l’algorithme.
- 28 En ce sens, voir par exemple les instruments accordés durant l’état d’urgence proclamé en 2015 dans (...)
14Ce n’est pas la première fois que le droit français autorise de manière exceptionnelle des outils visant à faire face à une menace urgente avant de les intégrer de manière pérenne dans le droit commun. La technique de l’algorithme est une illustration supplémentaire de la prolifération des outils de gestion de crise dont la légitimité est fondée sur l’urgence absolue et leur nécessité pour y faire face28.
15En outre, l’effectivité des autres garanties posées initialement par le législateur, et notamment l’efficacité du contrôle opéré par la CNCTR, n’était pas totalement assurée et l’intervention de la Cour de justice de l’Union européenne (CJUE) aura été nécessaire pour baliser l’utilisation de la technique de l’algorithme.
B. Un recalibrage du dispositif par la Cour de justice de l’Union européenne et le Conseil d’État
- 29 CE, 26 juillet 2018, Quadrature du Net et autres et Igwan.net, nº 394922, 394925, 397844, 397851.
- 30 Directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitemen (...)
- 31 Directive 2009/136/CE du Parlement européen et du Conseil du 25 novembre 2009 modifiant la directiv (...)
- 32 CJUE, 6 octobre 2020, Privacy International, C-623/17 ; La quadrature du Net et autres, French Data (...)
- 33 CE, Ass., 21 avril 2021, Association French Data Network, nº 393099.
16L’économie générale du régime de l’accès aux données de connexion par les services de renseignement a été contestée devant le Conseil d’État dans le cadre d’un recours contre plusieurs décrets d’application des différentes dispositions du CSI permettant la mise en œuvre de techniques de renseignement29. Dans ce cadre, le Conseil d’État a été amené à poser plusieurs questions préjudicielles à la CJUE relatives à la conformité du régime des renseignements à l’article 15 de la directive 2002/58/CE sur la protection de la vie privée dans le secteur des communications électroniques30, modifiée par la directive 2009/136/CE31. Par trois arrêts rendus le 6 octobre 202032, la CJUE apporte une réponse aux questions préjudicielles posées par le Conseil d’État qui, dans son arrêt French Data Network, en a tiré les conséquences dans le cadre du litige porté devant lui33. Les juges ont ainsi apporté des éclaircissements sur le recours aux traitements algorithmiques dans le cadre des activités de surveillance des services de renseignement (1) et sur le recueil des données traitées par l’algorithme (2).
1. Un encadrement strict de la technique de l’algorithme
17L’une des questions posées à la CJUE portait sur la conformité au droit de l’Union européenne du recours par les services de renseignement à des outils d’analyse automatisée de données de connexion tel que prévu par l’article L. 851-3 CSI.
- 34 CJUE, 6 octobre 2020, La quadrature du Net et autres…, § 172.
- 35 CJUE, 21 décembre 2016, Tele2 Sverige et Watson, C-203/15.
- 36 W. Maxwell, « Données de connexion et usages d’algorithmes : les lois françaises en violation des d (...)
18En premier lieu, la CJUE constate que la mise en place d’un tel dispositif permet en réalité d’opérer une analyse de l’intégralité des données dont disposent les fournisseurs de services de communications électroniques34. Autrement dit, la surveillance occasionnée concerne la totalité de la population. Or, la CJUE a déjà eu l’occasion de préciser, dans sa décision Tele2 Sverige, que la conservation généralisée et indifférenciée des données qui résulte d’une telle surveillance était incompatible avec la Charte des droits fondamentaux35. Toutefois, la Cour a reconnu la nécessité d’assouplir cette règle au regard des menaces pour la sécurité nationale auxquelles les États membres devaient faire face36.
- 37 CJUE, 6 octobre 2020, La quadrature du Net et autres…, § 174.
- 38 Ibid.
- 39 Ibid., § 177.
- 40 Ibid., § 178.
19En ce sens, la Cour maintient que l’utilisation de traitements automatisés constitue une ingérence particulièrement grave37 dès lors que l’analyse concerne également des personnes pour lesquelles « […] il n’existe aucun indice de nature à laisser croire que leur comportement pourrait avoir un lien, même indirect ou lointain, avec des activités de terrorisme »38. Le juge européen ouvre toutefois une exception en permettant aux États membres d’utiliser une telle technique de manière exceptionnelle dans le cas où ces derniers font face « […] à une menace grave pour la sécurité nationale qui s’avère réelle et actuelle ou prévisible, et à la condition que la durée de cette conservation soit limitée au strict nécessaire »39. Si un État membre se trouve dans une telle situation, la Cour considère que le recours à l’analyse automatisée est conforme au droit de l’Union européenne40. Elle pose toutefois plusieurs conditions.
20Tout d’abord, la décision autorisant le recours à l’analyse automatisée doit pouvoir faire l’objet
- 41 Ibid., § 179.
[…] d’un contrôle effectif soit par une juridiction, soit par une entité administrative indépendante, dont la décision est dotée d’un effet contraignant, visant à vérifier l’existence d’une situation justifiant ladite mesure ainsi que le respect des conditions et des garanties devant être prévues41.
- 42 Ibid., § 180.
21Ensuite, les modèles et critères préétablis des traitements algorithmiques employés doivent être, d’une part, spécifiques et fiables, et, d’autre part, non discriminatoires42.
22C’est à ces conditions que la CJUE déclare le dispositif de l’analyse automatisée conforme à l’article 15 de la directive 2002/58/CE, ouvrant ainsi une exception à l’interdiction de principe de conservation généralisée et indifférenciée posée dans l’arrêt Tele2 Sverige.
2. L’inconventionnalité du recueil des données de connexion signalées par le traitement algorithmique comme révélant une activité terroriste
- 43 Ibid., § 189.
23La CJUE a également eu l’occasion de se prononcer sur la conformité aux mêmes dispositions de la directive des techniques permettant aux services de renseignement de procéder au recueil et à l’accès aux données de connexion détenues par les fournisseurs de services de communications électroniques. Sur ce point, la CJUE a admis la conformité de ces différentes techniques en des termes similaires à ceux employés au sujet de l’analyse automatisée, à la différence notable que l’autorisation de mise en œuvre de ces techniques doit faire l’objet d’un « […] contrôle préalable effectué soit par une juridiction, soit par une entité administrative indépendante, dont la décision est dotée d’un effet contraignant […] »43. Autrement dit, la Cour instaure ici un contrôle a priori de l’autorisation, là où elle n’exigeait que la seule existence d’un contrôle pour la mise en œuvre de l’analyse automatisée, indépendamment du moment où ce contrôle s’exerce.
24Parmi ces techniques figure celle de l’algorithme, dans la mesure où la demande d’autorisation de l’identification des personnes dont les données sont susceptibles de révéler une menace à caractère terroriste, telle que prévue à l’article L. 851-3, IV CSI, constitue une modalité d’accès aux données.
- 44 CE, Ass., 21 avril 2021, Association French Data Network, cons. 73, 77, 80 et 83 s’agissant respect (...)
- 45 Ibid., cons. 74, 77, 80 et 83 s’agissant respectivement des techniques prévues aux articles L. 851- (...)
25Le Conseil d’État a par la suite tiré les conséquences de la solution dégagée par la CJUE. Les juges ont ainsi considéré que toutes les techniques de recueil des données de connexion étaient contraires au droit de l’Union européenne. En effet, si le régime juridique en vigueur prévoyait que l’autorisation de mise en œuvre de ces techniques devait être soumise au contrôle de la CNCTR, ce contrôle était insuffisant pour deux raisons. En premier lieu, les décisions de la CNCTR n’ont pas d’effets contraignants, et, en second lieu, le dispositif ne prévoit pas de saisine systématique du Conseil d’État lorsque le Premier ministre ne donne pas suite aux avis ou aux recommandations de la commission44. Dès lors, le Conseil d’État estime que le droit français méconnaît les dispositions de la directive dans la mesure où il ne prévoit pas de contrôle préalable par une autorité administrative indépendante dotée d’un pouvoir contraignant ou une juridiction45, la saisine du Conseil d’État n’ayant pas d’effet suspensif sur la délivrance de l’autorisation. Le régime de la technique de l’algorithme nécessitait donc une révision.
II. Un régime juridique en voie de stabilisation : la réécriture de la loi renseignement suite aux arrêts La quadrature du Net et French Data Network
26Les arrêts de la CJUE et du Conseil d’État ont été immédiatement suivis par une intervention du législateur qui, même s’il a apporté quelques corrections significatives au régime de la technique de l’algorithme (A), a, dans le même temps, inséré des éléments qui interrogent sur l’équilibre nouveau du dispositif (B).
A. Le renforcement du contrôle a priori des demandes d’autorisation de mise en œuvre des techniques de renseignement
27Si le législateur a procédé aux ajustements requis par la jurisprudence du juge de l’Union européenne et du juge français en matière de mise en œuvre des techniques de recueil des données de connexion (1), il a également pris l’initiative d’étendre les nouvelles modalités du contrôle préalable à la mise en œuvre des techniques de renseignement à la technique de l’algorithme (2).
1. La prise en compte de la jurisprudence de la Cour de justice de l’Union européenne et du Conseil d’État concernant le recueil des données de connexion
- 46 CNCTR, 6e rapport d’activité 2021, p. 42. La CNCTR s’était déjà prononcée deux fois au sujet du pro (...)
- 47 Article auquel renvoient les dispositions du chapitre premier du titre V du livre VIII du CSI.
- 48 Art. L. 821-1, al. 2 CSI dans sa rédaction issue de l’article 18 de la loi nº 2021-998 relative à l (...)
- 49 Ibid.
- 50 Ibid.
- 51 Qui statue dans la formation spécialisée prévue à l’article L. 773-2 CSI.
28Le gouvernement a immédiatement réagi aux arrêts de la CJUE et du Conseil d’État en adressant à la CNCTR, le 26 avril 2021, une lettre rectificative au projet de loi relatif à la prévention d’actes de terrorisme et au renseignement déjà en cours de discussion au sein de la commission46. La lettre rectificative comportait deux articles additionnels dont un article 11 sexies qui vise à modifier le régime des demandes d’autorisation de mise en œuvre des techniques de renseignement, afin d’opérer une mise en conformité de ces demandes d’autorisation au droit de l’Union européenne. Dans le projet de loi final, le législateur a ainsi procédé à une réécriture de l’article L. 821-1 CSI qui prévoit les modalités de délivrance des autorisations de mise en œuvre des techniques de renseignement47. Afin de satisfaire aux exigences du droit de l’Union européenne, l’article intègre désormais le contrôle préalable prescrit par la CJUE. L’article L. 821-1, alinéa 2 CSI prévoit ainsi que « [l]orsque l’autorisation est délivrée après un avis défavorable de la Commission nationale de contrôle des techniques de renseignement, le Conseil d’État est immédiatement saisi »48 et ce dernier « […] statue dans un délai de vingt-quatre heures […] »49. En outre, « [l]a décision d’autorisation du Premier ministre ne peut être exécutée avant que le Conseil d’État ait statué […] »50. La loi met ainsi en place un système de coopération originale entre la CNCTR et le Conseil d’État51 qui permet de satisfaire à la nécessité d’un contrôle préalable par une autorité administrative indépendante dotée d’un pouvoir contraignant ou une juridiction des demandes de mise en œuvre des techniques de renseignement prévues au chapitre premier du titre V du livre VIII du CSI. La réécriture de l’article L. 821-1 CSI a donc permis d’assurer la conformité avec le droit de l’Union européenne des articles L. 851-1, L. 851-2, L. 851-3, IV, et L. 851-4 CSI.
2. L’extension bienvenue du contrôle préalable à la mise en œuvre de la technique de l’algorithme
- 52 Art. L. 821-1, al. 1 CSI.
29L’inconventionnalité ne concernait au départ que le seul paragraphe IV de l’article L. 851-3 CSI relatif aux demandes d’identification. Pourtant, la nouvelle version de l’article L. 821-1 CSI impacte également par ricochet les modalités de délivrance des autorisations initiales de mise en œuvre de la technique de l’algorithme en étendant les nouvelles modalités du contrôle préalable à ces demandes. En effet, l’article L. 821-1 s’applique pour toutes les « […] techniques de recueil de renseignement mentionnées aux chapitres Ier à IV du titre V […] »52, incluant donc la technique de l’algorithme. Autrement dit, les nouvelles modalités du contrôle préalable s’appliquent tant aux demandes d’autorisation de mise en œuvre d’outils d’analyse automatisée qu’aux demandes d’identification suite au repérage de données révélant un risque de menace à caractère terroriste. Ainsi, le législateur a été plus loin que ce qui était requis par le Conseil d’État dans l’arrêt French Data Network, en proposant un régime plus uniforme, donc plus lisible, et plus stable, s’agissant de la mise en œuvre de la technique de l’algorithme.
B. Des lacunes persistantes
30Malgré les corrections apportées par le législateur, ce dernier a, paradoxalement, modifié certaines conditions d’utilisation de la technique avec la loi nº 2021-998. Ce faisant, il a introduit de nouveaux déséquilibres. Ces aspects concernent l’extension du champ des données de connexion pouvant faire l’objet d’une analyse automatisée aux adresses URL (1) et la forte restriction de l’accès aux documents administratifs relatifs aux traitements algorithmiques mis en œuvre par les services de renseignement qui tend à priver les administrés d’une opportunité de contrôle de ces outils (2).
1. Une extension contestable du champ des données de connexion concernées par la technique de l’algorithme aux adresses URL
- 53 CNCTR, délibération nº 1/2016 du 14 janvier 2016, p. 3. L’étude d’impact précisait alors que « [e]n (...)
- 54 CC, déc. nº 2015-713 du 23 juillet 2015 DC, Loi relative au renseignement, cons. 55.
- 55 Art. R. 851-5 CSI.
31Le dispositif initial prévoyait que les traitements automatisés pouvaient être mis en œuvre sur les données de connexion mentionnées à l’article L. 851-1 CSI. Il a été déduit de la lecture de cet article que les données concernées visaient le « contenant » et non le contenu des correspondances faisant l’objet d’une surveillance. Ce point avait déjà été clarifié dès l’étude d’impact de la loi relative au renseignement53 et confirmé ensuite par le Conseil constitutionnel54. Enfin, la partie réglementaire du CSI rappelle cette distinction55.
- 56 Art. L. 851-2 CSI.
32En effet, l’accès au contenu des communications ainsi surveillées et pour lesquelles les services de renseignement ont des soupçons constitue une autre technique de renseignement, l’interception de sécurité56, et suppose donc de se voir délivrer une autre autorisation.
- 57 CNCTR, délibération nº 1/2016, p. 4.
- 58 Ibid.
33Toutefois la réécriture effectuée par la loi nº 2021-998 des dispositions de l’article L. 851-3 CSI a étendu le champ des données pouvant faire l’objet d’une surveillance automatisée aux adresses URL. Dès l’origine, la CNCTR considérait que les adresses URL faisaient partie intégrante de la catégorie des données de connexion envisagées dans le cadre de l’article L. 851-3 CSI. La commission considérait en effet que les adresses URL étaient des « données mixtes » pouvant à la fois donner des indications de connexion mais également renseigner sur le contenu des informations consultées57. À ce moment, la CNCTR avait donc soumis l’utilisation de la technique de l’algorithme à la condition que ne soient traitées que les seules données permettant de suivre les connexions des personnes surveillées et non celles révélant les informations consultées58.
- 59 CNCTR, 6e rapport d’activité 2021, p. 20.
34En conséquence, dans le cadre de la réécriture opérée par la loi nº 2021-998, les adresses URL peuvent être traitées pour révéler des connexions mais elles peuvent également être exploitées pour vérifier les informations consultées par la personne surveillée. Dans un avis du 7 avril 2021, la CNCTR a changé sa position et considéré qu’au regard de l’importance de la menace terroriste, cette extension était nécessaire59. Ainsi, ces modifications permettent désormais aux services de renseignement d’accéder au contenu des informations consultées sur Internet par les personnes surveillées.
2. L’exclusion de fait des acteurs de la société civile
- 60 Instruction générale interministérielle nº 1300/SGDSN/PSE/PSD du 9 août 2021 sur la protection du s (...)
- 61 Ibid., p. 26.
- 62 « Présentent un caractère de secret de la défense nationale au sens de la présente section les proc (...)
35La plupart des documents et supports maniés par les services de renseignement relèvent du secret de la défense nationale60. Les informations ainsi utilisées font donc l’objet d’une classification, seul moyen de conférer à ces informations la protection liée au secret de la défense nationale61 prévue à l’article L. 413-9, al. 1 du Code pénal62.
- 63 Il en est ainsi par exemple de la délibération classifiée de la CNCTR du 26 juillet 2017 portant su (...)
- 64 Art. L. 311-5, 2°, b du Code des relations entre le public et l’administration.
- 65 Art. L. 312-1-3 du Code des relations entre le public et l’administration.
- 66 Art. L. 311-3-1, R. 311-3-1-1 et R. 311-3-1-2 du Code des relations entre le public et l’administra (...)
36En conséquence, les documents concernant la mise en œuvre des traitements algorithmiques de l’article L. 851-3 CSI font partie des documents classifiés63. Ce faisant, ils tombent dans le régime de l’exception à la communication des traitements algorithmiques en tant que la consultation ou la communication de ces documents porterait atteinte au secret de la défense nationale64. Dès lors, le régime visant à porter à la connaissance des administrés les principaux traitements algorithmiques utilisés par l’administration65 et à communiquer aux destinataires d’une décision administrative les principales caractéristiques des traitements algorithmiques ayant été utilisés pour fonder la décision dont ils font l’objet66 n’est pas applicable aux traitements algorithmiques mis en œuvre dans le cadre de l’article L. 851-3 CSI.
37En conséquence, toute personne susceptible de faire l’objet d’une décision sur le fondement d’une analyse automatisée des données de connexion ne pourrait prendre connaissance des caractéristiques des traitements algorithmiques mis en œuvre, rendant impossible toute éventuelle contestation de la légalité des critères implémentés dans l’algorithme. De manière générale, toute personne non habilitée désirant connaître les informations liées à la mise en œuvre de ces traitements se verrait opposer un refus.
- 67 Art. L. 213-1 du Code du patrimoine.
- 68 Art. L. 213-2 du Code du patrimoine.
- 69 Art. L. 213-2, I, 3° du Code du patrimoine.
- 70 Art. 25 de la loi nº 2021-998.
- 71 Art. L. 213-2, I, 3°, al. 2, c et d.
- 72 S. Monnier, « L’accès aux archives couvertes par le secret défense dans la tourmente », L’actualité (...)
- 73 Art. L. 213-2, I, 3°, al. 2, c et d.
38La seule possibilité de prendre connaissance du contenu de ces différents documents réside dans le droit d’accès aux archives publiques. Toutefois, si les archives publiques sont communicables de plein droit à tout intéressé qui en fait la demande67, certaines archives ne sont communicables qu’après l’expiration d’un certain délai68. En l’occurrence, les documents dont la communication porte atteinte au secret de la défense nationale ne peuvent être communiqués qu’à l’expiration d’un délai de cinquante ans69. Si ce délai remarquablement long ne permet aucune contestation des outils d’analyse automatisée contemporaine à leur mise en œuvre, la loi nº 2021-998 a modifié le régime de communication des archives couvertes par le secret-défense en allongeant davantage le délai de communication de certains documents70. Parmi ces documents figurent les procédures opérationnelles et les capacités techniques des services de renseignement71. S’il ne fait aucun doute que les algorithmes comptent parmi ces informations, le délai de leur communication n’est pas précisé et les critères retenus par le législateur pour déterminer le moment où un document devient communicable sont particulièrement flous72. En ce sens, pour les exceptions relatives aux techniques de renseignement, le législateur pose ainsi le principe de leur rétention « […] jusqu’à la date de la perte de leur valeur opérationnelle »73, ce qui ne donne aucune information précise quant au moment où ces documents peuvent être communiqués. Ainsi, si la protection de la défense nationale exige des mesures particulières, l’équilibre trouvé s’avère délicat en ce sens que des outils de surveillance de masse ne peuvent faire l’objet d’aucune vérification par les acteurs de la société civile.
Notes
1 Loi nº 2015-912 du 24 juillet 2015 relative au renseignement, Journal officiel de la République française, nº 171, 26 juillet 2015.
2 G. Roussel, « Le régime des techniques de renseignement », Actualité juridique. Pénal, 2015, p. 520, introduction de l’article.
3 Art. L. 851-3, I, al. 1 CSI.
4 Art. L. 851-1 CSI.
5 Ibid. Cette définition est précisée par l’article R. 851-5 CSI.
6 CNIL, délibération nº 2021-040 du 8 avril 2021 portant avis sur un projet de loi relatif à la prévention d’actes de terrorisme et au renseignement, § 13.
7 Art. L. 851-3, IV CSI.
8 CNCTR, 2e rapport d’activité 2017, p. 18. Les rapports de la CNCTR sont disponibles en ligne : https://www.cnctr.fr/ressources-documentaires.
9 CNCTR, 3e rapport d’activité 2018, p. 64.
10 CNCTR, 6e rapport d’activité 2021, p. 66.
11 CNIL, délibération nº 2015-078 du 5 mars 2015 portant avis sur un projet de loi relatif au renseignement, p. 2-3.
12 Art. L. 801-1, al. 1 CSI.
13 Art. L. 821-2, al. 1 et 2 CSI. L’alinéa 2 de cet article prévoit notamment que la demande adressée au Premier ministre précise « […] 1° La ou les techniques à mettre en œuvre ; 2° Le service pour lequel elle est présentée ; 3° La ou les finalités poursuivies ; 4° Le ou les motifs des mesures ; 5° La durée de validité de l’autorisation ; 6° La ou les personnes, le ou les lieux ou véhicules concernés ».
14 Art. L. 821-1, al. 1 CSI.
15 Art. L. 821-4 CSI.
16 Art. L. 851-3, I, al. 1 CSI.
17 Ibid.
18 CNCTR, 6e rapport d’activité 2021, p. 131.
19 Art. L. 851-3, II, al. 2 CSI.
20 Art. L. 851-3, II, al. 1 CSI.
21 Art. L. 833-8 CSI.
22 Art. 25 de la loi nº 2015-912.
23 Art. 17 de la loi nº 2017-1510 du 30 octobre 2017 renforçant la sécurité intérieure et la lutte contre le terrorisme, Journal officiel de la République française, nº 255, 31 octobre 2017, texte nº 1.
24 CNCTR, 2e rapport d’activité 2017, p. 18.
25 CNCTR, 5e rapport d’activité 2020, p. 16.
26 Art. 2 de la loi nº 2020-1671 du 24 décembre 2020 relative à la prorogation des chapitres VI à X du titre II du livre II et de l’article L. 851-3 CSI, Journal officiel de la République française, nº 312, 26 décembre 2020, texte nº 3.
27 Art. 14 de la loi nº 2021-998 relative à la prévention d’actes de terrorisme et au renseignement, Journal officiel de la République française, nº 176, 31 juillet 2021, texte nº 1.
28 En ce sens, voir par exemple les instruments accordés durant l’état d’urgence proclamé en 2015 dans le cadre de la lutte contre les actes de terrorisme. Considérés comme des outils temporaires nécessaires au regard des circonstances exceptionnelles, ils ont finalement intégré le droit commun. Voir la loi nº 2017-1510 renforçant la sécurité intérieure et la lutte contre le terrorisme.
29 CE, 26 juillet 2018, Quadrature du Net et autres et Igwan.net, nº 394922, 394925, 397844, 397851.
30 Directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques), Journal officiel des Communautés européennes, L 201, 31 juillet 2002, p. 37-47.
31 Directive 2009/136/CE du Parlement européen et du Conseil du 25 novembre 2009 modifiant la directive 2002/22/CE concernant le service universel et les droits des utilisateurs au regard des réseaux et services de communications électroniques, la directive 2002/58/CE concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques et le règlement (CE) 2006/2004 relatif à la coopération entre les autorités nationales chargées de veiller à l’application de la législation en matière de protection des consommateurs, Journal officiel de l’Union européenne, L 337, 18 décembre 2009, p. 11-36.
32 CJUE, 6 octobre 2020, Privacy International, C-623/17 ; La quadrature du Net et autres, French Data Network et autres, C-511/18 et C-512/18 ; Ordre des barreaux francophone et germanophone et autres, C-520/18.
33 CE, Ass., 21 avril 2021, Association French Data Network, nº 393099.
34 CJUE, 6 octobre 2020, La quadrature du Net et autres…, § 172.
35 CJUE, 21 décembre 2016, Tele2 Sverige et Watson, C-203/15.
36 W. Maxwell, « Données de connexion et usages d’algorithmes : les lois françaises en violation des droits fondamentaux », Édition Multimédi@, nº 244, 16 novembre 2020, p. 8-9.
37 CJUE, 6 octobre 2020, La quadrature du Net et autres…, § 174.
38 Ibid.
39 Ibid., § 177.
40 Ibid., § 178.
41 Ibid., § 179.
42 Ibid., § 180.
43 Ibid., § 189.
44 CE, Ass., 21 avril 2021, Association French Data Network, cons. 73, 77, 80 et 83 s’agissant respectivement des techniques prévues aux articles L. 851-1, L. 851-3, IV, L. 851-2 et L. 851-4 CSI.
45 Ibid., cons. 74, 77, 80 et 83 s’agissant respectivement des techniques prévues aux articles L. 851-1, L. 851-3, IV, L. 851-2 et L. 851-4 CSI.
46 CNCTR, 6e rapport d’activité 2021, p. 42. La CNCTR s’était déjà prononcée deux fois au sujet du projet de loi. En ce sens, voir les délibérations nº 2/2021 du 7 avril 2021 et nº 3/2021 du 14 avril 2021.
47 Article auquel renvoient les dispositions du chapitre premier du titre V du livre VIII du CSI.
48 Art. L. 821-1, al. 2 CSI dans sa rédaction issue de l’article 18 de la loi nº 2021-998 relative à la prévention d’actes de terrorisme et au renseignement.
49 Ibid.
50 Ibid.
51 Qui statue dans la formation spécialisée prévue à l’article L. 773-2 CSI.
52 Art. L. 821-1, al. 1 CSI.
53 CNCTR, délibération nº 1/2016 du 14 janvier 2016, p. 3. L’étude d’impact précisait alors que « [e]n application du nouveau régime juridique et comme cela était déjà le cas sous l’empire du régime précédent, l’accès aux données de connexion ne permet pas de connaître le contenu des échanges effectués par les personnes surveillées […]. Il ne s’agit donc que de la collecte de toutes les “traces” d’une connexion ou d’un appel, des factures détaillées dont dispose chaque abonné. Jamais l’accès au contenu d’une connexion ou d’un appel n’est permis » (ibid.).
54 CC, déc. nº 2015-713 du 23 juillet 2015 DC, Loi relative au renseignement, cons. 55.
55 Art. R. 851-5 CSI.
56 Art. L. 851-2 CSI.
57 CNCTR, délibération nº 1/2016, p. 4.
58 Ibid.
59 CNCTR, 6e rapport d’activité 2021, p. 20.
60 Instruction générale interministérielle nº 1300/SGDSN/PSE/PSD du 9 août 2021 sur la protection du secret de la défense nationale, p. 24, en ligne : https://www.sgdsn.gouv.fr/files/files/Nos_missions/igi-1300-20210809.pdf.
61 Ibid., p. 26.
62 « Présentent un caractère de secret de la défense nationale au sens de la présente section les procédés, objets, documents, informations, réseaux informatiques, données informatisées ou fichiers intéressant la défense nationale qui ont fait l’objet de mesures de classification destinées à restreindre leur diffusion ou leur accès. »
63 Il en est ainsi par exemple de la délibération classifiée de la CNCTR du 26 juillet 2017 portant sur la première mise en œuvre d’un traitement automatisé sur le fondement de l’article L. 851-3 CSI (CNCTR, 2e rapport d’activité 2017, p. 17) ; de la décision du 27 avril 2017 du Premier ministre fixant l’architecture générale de mise en œuvre des algorithmes (ibid.) ; ou encore de la délibération nº 6/2016/SD du 28 juillet 2016 de la CNCTR portant avis sur la décision du Premier ministre sur l’architecture (CNCTR, 6e rapport d’activité 2021, p. 18).
64 Art. L. 311-5, 2°, b du Code des relations entre le public et l’administration.
65 Art. L. 312-1-3 du Code des relations entre le public et l’administration.
66 Art. L. 311-3-1, R. 311-3-1-1 et R. 311-3-1-2 du Code des relations entre le public et l’administration.
67 Art. L. 213-1 du Code du patrimoine.
68 Art. L. 213-2 du Code du patrimoine.
69 Art. L. 213-2, I, 3° du Code du patrimoine.
70 Art. 25 de la loi nº 2021-998.
71 Art. L. 213-2, I, 3°, al. 2, c et d.
72 S. Monnier, « L’accès aux archives couvertes par le secret défense dans la tourmente », L’actualité juridique. Droit administratif, 2021, p. 1992, « II – Une question sensible en suspens ».
73 Art. L. 213-2, I, 3°, al. 2, c et d.
Haut de pagePour citer cet article
Référence papier
Alexandre Labbay, « La surveillance algorithmique des données de connexion dans le cadre de la lutte contre le terrorisme », Cahiers de la recherche sur les droits fondamentaux, 21 | 2023, 117-124.
Référence électronique
Alexandre Labbay, « La surveillance algorithmique des données de connexion dans le cadre de la lutte contre le terrorisme », Cahiers de la recherche sur les droits fondamentaux [En ligne], 21 | 2023, mis en ligne le 17 octobre 2023, consulté le 01 janvier 2024. URL : http://journals.openedition.org/crdf/8874 ; DOI : https://doi.org/10.4000/crdf.8874
Haut de pageDroits d’auteur
Le texte seul est utilisable sous licence CC BY 4.0. Les autres éléments (illustrations, fichiers annexes importés) sont « Tous droits réservés », sauf mention contraire.
Haut de page



