Après sa présentation en septembre 2018 par la Commission européenne et son adoption trois mois plus tard par les gouvernements européens, le projet de règlement sur la censure antiterroriste est en ce moment en discussion devant le Parlement européen.

Pour rappel, ce texte obligera de fait tous les acteurs du Web à se soumettre aux outils de surveillance et de censure automatisée fournis par Facebook et Google, tout en permettant à la police d’exiger le retrait en une heure des contenus qu’elle juge « terroriste », sans l’autorisation d’un juge.

Au sein du Parlement, c’est aujourd’hui la Commission LIBE (pour Libertés civiles, justice et affaires intérieures) qui a été désignée comme « compétente au fond », avec comme rapporteur Daniel Dalton (Royaume-Uni, ECR – Extrême-droite). Ce dernier sera donc chargé de rendre un rapport proposant des amendements au texte de la Commission européenne, rapport qui servira ensuite de base au Parlement européen pour examiner le texte de la Commission en séance plénière. Selon nos informations, Dalton pourrait essayer de publier un projet de rapport d’ici la fin janvier avec pour objectif de le faire adopter par la Commission LIBE dès le 21 mars 2019.

Deux autres commissions ont été désignées pour rendre à la Commission LIBE des avis sur la proposition législative : la Commission IMCO (pour Marché intérieur et protection des consommateurs – avec Julia Reda comme rapporteure – Allemagne, Groupe des Verts) et la Commission CULT (pour Culture et Éducation – avec Julie Ward comme rapporteure – Royaume-Uni, du groupe Socialistes et Démocrates).

Ces commissions ont toutes les deux récemment publié leur projet d’avis sur le texte.

Le projet d’avis de Julia Reda, publié le 13 décembre 2018, suggère la modification et même la suppression de nombreux éléments qui posaient problème dans le texte original présenté par la Commission européenne. Il y est ainsi proposé d’exclure du champ d’application les petites et moyennes entreprises ainsi que les services d’informatique en nuage, les blogs ou les services de communication interpersonnelles (c’est à dire les messageries instantanées). Elle recommande par ailleurs que seules des autorités judiciaires (et non plus la police) puissent demander à un fournisseur le retrait d’un contenu et cela, non plus dans l’heure mais seulement « rapidement, compte étant tenu de la taille et des ressources des fournisseurs des services d’hébergement ». Le fournisseur de service pourrait également contester le fondement de la demande de retrait qui lui est adressé. Enfin, parmi d’autres mesures, il est demandé la suppression de l’article 6 qui concernait la possibilité pour les autorités d’imposer des mesures de filtrage automatique aux fournisseurs de services.

Concernant la Commission CULT, Julie Ward a publié la semaine dernière un projet d’avis dans lequel elle critique à son tour les dangers de la proposition de la Commission. Elle y propose notamment, elle-aussi, de ne donner le pouvoir d’ordonner des retraits de contenus qu’aux autorités judiciaires, de ne plus parler d’un retrait en une heure mais « dans les meilleurs délais », de supprimer l’article 6 sur les mesures proactives de filtrage et de retirer la sanction minimum de 4% du chiffre d’affaires…¹Notons que parmi les différences entre les deux projets d’avis, Julia Reda ne propose pas seulement de supprimer l’article 6 sur les mesures proactives mais également l’article 5 qui laissait au fournisseur de services l’opportunité de supprimer ou non un contenu signalé par les autorités – ce qui n’est pas proposé dans le projet d’avis de Julie Ward.<script type="text/javascript"> jQuery("#footnote_plugin_tooltip_2897_1").tooltip({ tip: "#footnote_plugin_tooltip_text_2897_1", tipClass: "footnote_tooltip", effect: "fade", fadeOutSpeed: 100, predelay: 400, position: "top right", relative: true, offset: [10, 10] });

Si ces deux projets d’avis contiennent des propositions de modification qui sont les bienvenues par rapport au texte original, il reste que la stratégie que paraissent poursuivre les députées, c’est-à-dire de vider le texte de sa substance (réduction du nombre d’acteurs visés, passage obligatoire par des autorités judiciaires, suppression du délai de retrait d’une heure et des filtres automatiques…) sans appeler à son rejet en entier, nous semble être un jeu bien trop dangereux, qu’il ne faut surtout pas jouer.

En effet, premièrement, rien ne dit que ce seront les avis définitifs qui seront adoptés par IMCO et CULT et, deuxièmement, il sera toujours plus facile, une fois le texte adopté, de faire sauter les exceptions pour revenir au projet d’origine de la Commission. Comme nous le soulignons depuis septembre, seul le rejet du texte en son entier permettra de sauvegarder nos libertés et de conserver un Internet libre et décentralisé.

Il reste maintenant à savoir quelle sera la teneur du rapport de Daniel Dalton pour la Commission LIBE. Ses positions habituelles n’ont rien pour nous rassurer. L’autre question tient à savoir si le Parlement européen parviendra à se prononcer en séance plénière sur ce texte avant les élections européennes à venir en mai 2019.

S’il semble que, plus le temps avance, moins cela semble certain, le commissaire européen responsable de ce texte, Julian King, paraît, de son côté, toujours y croire,  :

« Après un certain retard, le Parlement européen vient de confirmer la semaine dernière les commissions compétentes sur le texte. Nous devons donc désormais concentrer tous les efforts pour obtenir un accord avant les élections européennes.

C’est la première de nos trois priorités pour cette année, et la plus urgente à court terme»

En conclusion, si nous avions pu espérer en fin d’année dernière un ralentissement des débats sur ce sujet, ni la Commission ni les gouvernements ne semblent prêts à lâcher l’affaire et continuent d’imposer aux institutions européennes un rythme étranger à tout débat démocratique.

L’expérimentation des lycées de Nice et de Marseille s’inscrit donc en réalité parfaitement dans les divers projets que La Quadrature du Net dénonce depuis près d’un an, et qui sont d’ailleurs particulièrement avancés dans ces deux villes : « Observatoire Big Data de la tranquillité publique » à Marseille, « Safe City » à Nice… Cette actualité apparaît alors comme une nouvelle briqueau développement, toujours plus rapide et incontrôlable, de ces nouvelles technologies de surveillance (« Big Data », caméras « intelligentes », reconnaissance faciale…) au profit des municipalités et de leurs polices.

Un tel projet profitera par ailleurs pleinement à son maître d’œuvre, la société CISCO, qui finance entièrement cette expérimentation [lien doc] et qui s’occupera « dans un premier temps » de former les professeurs des lycées à ces nouvelles technologies. Cisco, acteur américain central de la « Safe City », et avec qui le gouvernement français avait déjà signé un partenariat important pour mener un projet de « Smart City » dans une ville française, se positionne dans un marché en plein essor. Il pourra pleinement tirer parti de cette occasion que lui donne la région de tester ses nouvelles technologies de surveillance dans nos établissements scolaires pour mieux la revendre plus tard, dans le cadre de marchés publics à vocation sécuritaire.

Alors qu’il y a plus d’un mois, nous appelions déjà la CNIL à imposer un moratoire sur le développement de ces technologies, cette dernière semble s’en tenir à une posture attentiste. Nous appelons les syndicats de lycéens et d’enseignants ainsi que les parents d’élèves et toutes celles et ceux révulsés par ces évolutions à s’organiser pour les tenir en échec.

La semaine dernière, nous avons déposé devant la Cour de justice de l’Union européenne nos dossiers contre le régime de surveillance français. Cet événement marque l’aboutissement de trois années d’analyses, de débats et de rédaction menés par La Quadrature du Net, FFDN et FDN, principalement au travers des Exégètes amateurs (un groupe de bénévoles qui, depuis quelques mois, ont intégré ces différentes associations pour y poursuivre leurs activités).

Depuis quatre ans que nous menons ce genre d’action, ce dossier contentieux est clairement celui qui aura mobilisé le plus d’énergie de notre part. Dans l’attente de la plaidoirie qui se tiendra dans plusieurs mois, et d’une décision qui pourrait bouleverser le droit français l’année prochaine ou la suivante, faisons le bilan de nos arguments.

En juillet dernier, nous vous faisions le récit de nos trois années de procédure devant les juges français. Depuis, tel que nous l’espérions, le Conseil d’État a accepté de poser à la Cour de justice de l’Union européenne cinq questions portant sur la conformité du régime français de surveillance au regard du droit de l’Union européenne (ces cinq questions ont été transmises par deux décisions rendues le 26 juillet 2018, une première portant sur la loi renseignement et une seconde sur la conservation généralisée des données de connexion).

Pour aider la CJUE à répondre à ces cinq questions, nous avons préparé deux dossiers avec FFDN et igwan.net. Il y a 15 jours, nous vous invitions à venir les relire pour les améliorer. Vous avez été des dizaines à le faire, rendant nos écritures plus claires et plus précises. Nous vous en remercions infiniment. Sincèrement !

Vous pouvez lire ces deux dossiers, ici (PDF, 20 pages) et ici (PDF, 17 pages). Ils ne sont pas très longs, mais leur prose reste assez technique. Nous en faisons donc ici un résumé que nous espérons plus accessible.

Contre la loi renseignement

Notre premier dossier, déposé par La Quadrature du Net, souhaite démontrer que la loi renseignement, adoptée en 2015, est largement contraire au droit de l’Union européenne et devrait donc être drastiquement modifiée pour ne plus permettre les abus qu’elle permet aujourd’hui.

Avant de rentrer dans le détail de nos arguments, rappelons brièvement ce à quoi nous nous attaquons.

Concrètement, la loi renseignement (codifiée au livre VIII du code de la sécurité intérieure) permet aux services de renseignement de réaliser les mesures suivantes :

• intercepter des communications électroniques (téléphones, mails, etc.) ;
• collecter des données de connexion (adresse IP, date et heure de communication, etc.) et de localisation auprès des opérateurs de télécommunication et des hébergeurs Web ;
• exiger des opérateurs de leur transmettre en temps réel des données de localisation ;
• dévoyer un réseau pour intercepter des données de connexion, typiquement à l’aide de dispositifs de type « IMSI-catcher » ;
• pirater un terminal informatique (à distance ou en s’immisçant dans un lieu privé) pour accéder aux données qui y sont entrées, affichées ou enregistrées ;
• capter des images et des conversations privées, à distance ou en posant micros et caméras dans des lieux privés ;
• poser des dispositifs (type « sondes ») permettant de suivre la localisation de personnes et d’objets, notamment en entrant dans des lieux privés ;
• intercepter sur un réseau l’ensemble des « communications internationales » – dont l’émetteur et/ou le récepteur est situé en dehors du territoire français.

Toutes ces mesures peuvent être réalisées sur simple autorisation du Premier ministre, sans autorisation préalable d’un juge ou d’une autorité indépendante. Pour être autorisées, il suffit qu’elles soient utiles à la défense de l’un des très nombreux « intérêts fondamentaux de la Nation » dont la loi dresse la liste (et qui ne se résument pas du tout à la seule lutte contre le terrorisme) – nous y reviendrons plus tard. De plus, ces mesures peuvent être prises contre n’importe quelle personne (suspectée ou non) du moment que sa surveillance est susceptible de révéler des informations utiles pour défendre ces « intérêts fondamentaux ».

Enfin, et cette fois-ci pour la seule finalité de lutte contre le terrorisme, l’administration peut aussi recueillir en temps réel des données de connexion et placer sur les réseaux des dispositifs (les fameuses « boites noires », détaillées ci-dessous) interceptant et traitant automatiquement les données acheminées afin de « détecter des connexions susceptibles de révéler une menace terroriste ».

Voilà pour ce que nous attaquons.

Quant à nos arguments, pour aller au plus simple, nous les résumerons à 5 idées : les « intérêts fondamentaux » pouvant justifier une mesure sont trop larges (1) ; les données collectées sont excessives comparées aux objectifs poursuivis (2) ; la loi n’encadre que la collecte des données, mais pas leur utilisation (3) ; les mesures de renseignement ne sont pas soumises à un contrôle indépendant efficace (4) ; nous ne pouvons pas vraiment agir en justice pour contester une mesure illicite (5).

1. Des « intérêt fondamentaux » trop larges

Les services de renseignement peuvent réaliser les mesures listées ci-dessus pour de nombreux « intérêts fondamentaux », que la loi définit comme comprenant la lutte contre le terrorisme mais aussi :
– la défense des « intérêts majeurs de la politique étrangère », ces intérêts étant discrétionnairement définis par le Gouvernement ;
– « l’exécution des engagement européens et internationaux de la France », notamment l’application des normes de l’Union européenne sur l’agriculture, la pêche, les transports, l’emploi, la culture ou le tourisme ainsi que les accords internationaux tels que l’accord de Paris de 2015 sur le climat ou la Convention de Genève de 1931 sur le droit de timbre en matière de chèque (pourquoi pas, après tout !) ;
– la défense des « intérêts économiques, industriels et scientifiques de la France », qui permet l’espionnage industriel et scientifique ;
– la prévention des « violences collectives de nature à porter gravement atteinte à la paix publique », couvrant notamment la lutte contre les manifestations, même non violentes, n’ayant pas été déclarées ou ayant fait l’objet d’une déclaration incomplète ;
– « la prévention de la criminalité et de la délinquance organisée », notamment la lutte contre l’acquisition illicite de stupéfiants, même par un individu seul qui n’agit pas en groupe.

Surveiller la population pour ces finalités est contraire au droit de l’Union européenne. D’abord, le contour de certaines de ces finalités peut être arbitrairement défini par le gouvernement (politique étrangère, engagements internationaux, intérêts économiques…), sans limite prévue dans la loi. De plus, le gouvernement se permet de surveiller la population pour des infractions mineures (par exemple des manifestations non déclarées ou achat à titre individuel de stupéfiants) alors que le droit de l’Union prévoit que, en matière de lutte contre les infractions, la surveillance n’est autorisée que pour lutter contre des crimes graves.

2. Des données excessives

Le droit de l’Union pose comme principe que seules les personnes présentant un lien avec une menace peuvent être surveillées. De plus, il interdit radicalement toute forme de surveillance de masse.

En droit français, comme vu plus haut, la règle est de surveiller n’importe qui pouvant fournir des informations utiles, peu importe que les personnes soient ou non en lien avec une menace. Surtout, la loi renseignement a autorisé deux mesures de surveillance de masse.

Premièrement, les services peuvent intercepter l’ensemble des « communications internationales » – il s’agit de communications dont l’émetteur et/ou le récepteur est situé en dehors du territoire français. Une fois les communications interceptées, toutes les données de connexion y afférentes (qui parle à qui, quand, etc.) peuvent être analysées au moyen de « traitements automatisés », et cela de façon « non individualisée » (donc en masse). De plus, le Premier ministre peut aussi autoriser l’analyse du contenu des communications internationales pour les « zones géographiques » ou les « groupes de personnes » qu’il désigne. Rien ne l’empêche de désigner un ou plusieurs pays comme « zones géographiques » ciblées.

Secondement, les « boites noires » peuvent intercepter et analyser des données (dont certaines sont particulièrement intimes – telle que l’adresse des sites visités) sur l’ensemble des populations utilisant les réseaux de télécommunication où elles sont déployées. Par exemple, rien n’empêche techniquement que le gouvernement pose des boites noires en divers points du réseau d’une grande ville pour analyser automatiquement qui parle avec qui, quand, qui consulte quoi, etc. Le but de ces dispositifs est de « détecter des connexions susceptibles de révéler une menace terroriste » : il s’agit donc d’une surveillance « exploratoire » qui, par nature, vise des personnes sur qui ne pèse aucun soupçon (le but étant de révéler des soupçons). Ces dispositifs sont couramment appelés « boites noires » car ce sont des machines fonctionnant de façon autonome, selon des critères et des méthodes informatiques gardées secrètes.

3. Des renseignements en libre-service

Le droit de l’Union européenne n’encadre pas que la collecte des données. Il exige aussi que l’utilisation ultérieure des données ne puisse être réalisée que pour des finalités légitimes, de façon proportionnée et selon une procédure adaptée.

En France, la loi renseignement ne s’est pas encombrée de telles règles, qui sont donc entièrement absentes, tout simplement ! Une fois que les renseignements ont été mis en fiches et en dossiers, plus aucune règle n’encadre leur utilisation. Ces informations peuvent même être transmises librement à des puissances étrangères qui, elles même, peuvent fournir à la France d’autres renseignements, sans aucune limite ou procédure prévues par la loi.

4. Un contrôle indépendant sans effet

La loi renseignement a prétendu confier à la Commission nationale de contrôle des techniques de renseignement (CNCTR) le soin de veiller à ce que les services de renseignement respectent la loi – ce que le droit de l’Union exige.

Pourtant, dès qu’on regarde un peu en détail, la CNCTR manque de tout pouvoir pour nous protéger effectivement contre des abus politiques. Elle n’est jamais que « avertie » pour pouvoir émettre des « avis non contraignants » sur les mesures prises contre la population. Si ses avis ne sont pas suivis – le gouvernement étant parfaitement libre de passer outre -, la CNCTR peut seulement saisir le Conseil d’État qui, plusieurs semaines ou plusieurs mois après qu’une personne ait été surveillée illégalement, pourra ordonner que la surveillance prenne fin – trop tard, donc.

De plus, symbole parfait de son manque de pouvoir, la CNCTR n’est pas autorisée à accéder aux renseignements fournis à la France par des puissances étrangères. Le gouvernement peut ainsi organiser tous les échanges imaginables avec ses alliés (du type « je surveille ton pays et tu surveilles le mien ») pour échapper à tout semblant de contrôle indépendant.

5. Une défense impossible

Le droit de l’Union prévoit que, pour pouvoir se défendre en justice contre une surveillance illégale, les personnes soient au moins prévenues des mesures qu’elles ont subies lorsque cela ne peut plus nuire aux enquêtes. Encore une fois, le droit français nous refuse parfaitement ce droit, pourtant indispensable au droit fondamental de contester en justice les actes du gouvernement pris contre nous.

Ce droit fondamental exige aussi, toujours d’après le droit de l’Union, que nous disposions des informations nécessaires pour contester la légalité d’une surveillance (pour quel motif avons-nous été surveillé, quand, pendant combien de temps, comment ?). Là, le gouvernement français a les pleins pouvoir pour classer les informations de son choix comme étant « secret-défense », nous empêcher d’y accéder pour nous défendre, et ce sans que le juge ne puisse les déclassifier – ce qui viole encore le droit de l’Union.

Enfin, et c’est sans doute la pire des atteintes à nos droits, nous ne disposons tout simplement d’aucune possibilité de contester en justice la légalité des mesures de surveillance internationale (la surveillance de masse des communications émises vers ou reçues depuis l’étranger).

Bref, sans pouvoir prédire lesquels de nos arguments seront retenus par la Cour de justice de l’Union européenne, il nous semblerait aberrant que des parties importantes de la loi renseignement ne soient pas déclarées comme violant le droit européen.

Contre la conservation généralisée des données de connexion

Notre second dossier (moins dense juridiquement), a été déposé par FFDN et igwan.net, représentant chacun des fournisseurs d’accès à Internet soumis à l’obligation de conserver pendant un an les données de connexion de l’ensemble de la population. Cette obligation s’impose aussi aux opérateurs téléphoniques et aux hébergeurs Web (pour savoir qui a publié quel contenu en ligne, à quelle heure, etc.).

L’argumentation juridique est ici plus simple : le régime français de conservation est frontalement contraire aux exigences européennes qui, tel que précisé par la Cour de justice depuis 2014, interdisent clairement aux États membre d’imposer aux acteurs du numérique de conserver des données de connexion sur l’ensemble de leurs utilisateurs, quelque soit la durée de cette conservation. D’autres États (Suède et Royaume-Uni) ont déjà été explicitement dénoncés par la Cour de justice comme ne respectant par le droit de l’Union sur ce point, en 2016. Mais la France et le Conseil d’État ont cru utile de reposer la question…

Leur argument principal est que la menace terroriste (qui justifierait la conservation généralisée des données de connexion) aurait augmenté depuis 2016. Sauf que, entre la période de 2015-2016 et celle de 2017-2018, le nombre de victimes du terrorisme en Europe a presque été divisé par quatre. De plus, les usages du numérique, ainsi que la loi, ont largement évolués, rendant encore moins utile l’obligation de conserver des données pendant un an.

Si la France veux amadouer la Cour de justice de l’UE afin que ses pouvoirs de surveillance soient épargnés, elle aurait mieux fait de commencer par réformer son droit qui, depuis quatre ans, viole frontalement celui de l’Union européenne.

Ce combat est celui qu’a initié la formation des Exégètes amateurs. Il a aussi marqué le début des actions de La Quadrature du Net devant les juges. Nous espérons connaître le même succès que celui obtenu par nos amis Digital Rights Ireland et Maximilian Schrems qui ont respectivement obtenu en 2014 et 2015 des décisions fondamentales de la Cour de justice de l’Union européenne en faveur de nos libertés et contre la surveillance de masse.