Le volet numérique du projet de loi de programmation militaire (LPM) a connu des débuts tranquilles, avant d'attirer plus largement l'attention courant novembre. Il a depuis suscité bon nombre de protestations, motivées principalement par son article 13, enrichi d'un chapitre dédié à l'« accès administratif aux données de connexion » détenues par les opérateurs, les fournisseurs d'accès à Internet et les hébergeurs.
Dans cet article 13, le projet de loi prévoit que la police, la gendarmerie et de façon générale les personnels relevant des ministères de l'économie et du budget (Bercy), de la sécurité intérieure (Matignon) et de la défense puissent accéder à ces données de connexion sans recours préalable au juge, sur simple requête administrative, dans le cadre d'affaires relatives à la lutte contre le terrorisme, la délinquance organisée ou la préservation du potentiel scientifique et économique de la France.
Les données concernées couvrent un spectre large, qui va des informations liées aux échanges (numéros de téléphone, destinataires, durées d'appels, date, adresses IP) aux contenu même des documents échangés.
Dans le détail, il englobe « des informations ou documents traités ou conservés par leurs réseaux ou services de communications électroniques, y compris les données techniques relatives à l'identification des numéros d'abonnement ou de connexion à des services de communications électroniques, au recensement de l'ensemble des numéros d'abonnement ou de connexion d'une personne désignée, à la localisation des équipements terminaux utilisés ainsi qu'aux communications d'un abonné portant sur la liste des numéros appelés et appelant, la durée et la date des communications ».
Comme le précise le Sénat lui-même, il s'ouvre également aux données de géolocalisation, et couvre sans surprise les relevés téléphoniques détaillées des opérateurs (les fameuses fadettes).
Un pan de contrôle est bien prévu : ces requêtes devront en effet être motivées, et validées par une « personnalité qualifiée placée auprès du Premier ministre ». Le contrôle de cet outil appartient donc au pouvoir exécutif, alors que selon ses nombreux détracteurs, il devrait impérativement revenir au juge.
Qu'est-ce qui change par rapport à l'actuelle loi sur la sécurité intérieure ?
Jusqu'ici, ces données de connexion n'étaient accessibles sans recours au juge que dans le cadre des affaires de terrorisme. Le périmètre couvert était en outre moins important, puisqu'il ignorait les informations liées à la géolocalisation et ne proposait pas d'accès direct aux données de contenu stockées par les hébergeurs. Enfin, la liste des personnels autorisés à formuler ces requêtes était plus réduite : seules les forces de police ou de gendarmerie dûment habilitées pouvaient y accéder.
Définition plus large des données de connexion, extension du champ des agents administratifs susceptibles de déposer une requête, validation des démarches en dehors de toute procédure judiciaire : voilà les trois points sur lesquels se concentrent l'essentiel des protestations.
Pour l'Afdel et le Syntec (éditeurs de logiciels), l'Asic (association qui réunit les principaux hébergeurs), l'IAB (univers de la publicité), ce texte parfois assimilé à un « Patriot Act à la française » fait courir de nombreux risques au secteur numérique : ils évoquent, pêle-mêle, une perte de confiance de la part des internautes, un climat susceptible d'entraver le développement économique et des atteintes criantes aux libertés individuelles. Pour ne rien arranger, la Cnil a fait savoir publiquement le 26 novembre dernier qu'elle déplorait ne pas avoir été saisie sur ce dossier.
Lundi, le sénateur Jean-Pierre Sueur, président de la commission des lois, a tenu à rassurer : pour lui, le fameux article 13 « encadre la pratique actuelle dans laquelle les services de renseignements pouvaient faire plusieurs dizaines de milliers de demandes de données de connections par an sans que l'encadrement juridique de cette faculté soit aussi précis qu'il est nécessaire en matière de libertés publiques ».
Autrement dit, le texte aurait donc le mérite d'encadrer de façon plus intelligible des procédures déjà autorisées par le cadre législatif. Il promet par ailleurs que le décret visant à encadrer ces pratiques sera soumis à la Cnil. À ce stade, aurait-elle encore la possibilité d'en faire changer la teneur ?
Pendant que le Sénat prépare sa deuxième lecture, le Conseil national du numérique a réagi tardivement vendredi 6 décembre, annonçant s'auto-saisir du dossier et appelant à ce qu'un tel projet ne voie pas le jour sans une concertation publique préalable, en vue de nourrir une future loi sur le numérique... dont les contours sont encore aujourd'hui inexistants.
Quelques amendements à l'étude mardi
Dans l'immédiat, il appartiendra donc aux sénateurs présents mardi en séance de discuter une dernière fois le projet dans son ensemble, et l'article 13 en particulier. Pour ce dernier, trois amendements sont déposés : l'un demande la suppression pure et simple, le deuxième appelle à clarifier les modalités d'accès au réseau des opérateurs et le troisième demande à ce que les coûts liés aux nouvelles obligations qui incombent aux opérateurs soient pris en charge par l'Etat.
