Amendement n° 300

Le présent amendement supprime l'article 16 bis, conformément à la recommandation n° 14 du rapport remis au Premier ministre par notre ancien collègue, M. Florent Boudié, « Les politiques publiques de sécurité à l'ère numérique » (septembre 2026).

Introduit au Sénat contre l'avis du Gouvernement et de la commission, cet article a été modifié par la commission spéciale de l'Assemblée nationale.

Supprimer cet article ne revient pas à défendre les « portes dérobées ». Le même rapport recommande d'écarter toute disposition comparable à l'ancien article 8 ter[i] tant qu'aucune solution technique ne permet un accès ciblé aux contenus sans affaiblir le chiffrement (recommandation n° 17). L'objectif de protéger l'intégrité du chiffrement est légitime, singulièrement en matière de cyber sécurité.

Toutefois, la rédaction adoptée en commission dépasse cet objectif.

La commission a en effet ajouté le terme de « processus » à celui de « mécanisme ». Elle entendait ainsi interdire aussi des dispositifs qui ne sont pas intégrés techniquement aux systèmes de chiffrement, comme la conservation ou la transmission de copies de clés privées. Cet ajout étend l'interdiction au-delà de l'architecture technique des services, jusqu'aux obligations de coopération elles-mêmes. Il entre ainsi en contradiction avec le droit existant, en particulier avec l'article L. 871-1 du code de la sécurité intérieure, qui impose aux prestataires de cryptologie de remettre leurs conventions de déchiffrement. Le Conseil constitutionnel pourrait d’ailleurs être amené à censurer ces dispositions normatives contradictoires, rappelant que la loi doit être claire, précise et exécutoire.

Ce champ élargi s'ajoute à trois imprécisions du texte.
1.     Aucune technique de renseignement ou d'enquête ne repose sur le consentement de la personne visée : interception, réquisition, captation de données informatiques. Interdire tout « processus » permettant un « accès non consenti » menace donc le principe même de ces techniques.
2.     Les « données protégées » ne sont pas définies. Elles pourraient désigner non seulement les données chiffrées, mais aussi toute donnée accessible par un identifiant, un code PIN ou un dispositif biométrique.
3.     La notion de « fournisseur de services de chiffrement » ne correspond à aucune catégorie juridique. Elle pourrait englober des réseaux sociaux, des plateformes collaboratives ou des services de visioconférence.

Ces ambiguïtés produiraient des effets que les auteurs du texte ne maîtrisent pas. Les opérateurs ne manqueraient pas d'invoquer la portée générale de l'article pour tenter de se soustraire à leurs obligations en matière d'interceptions légales. Il en résulterait un contentieux abondant et une insécurité juridique pour nos services d'enquête administratifs et judiciaires. La Délégation parlementaire au renseignement a elle-même alerté sur ce risque.

En outre, en adoptant seule ce principe, la France s'isolerait au moment où les États membres de l'Union recherchent une réponse commune au chiffrement « de bout en bout ». Aucun autre État membre ne s'est doté d'une telle disposition.

Enfin, l'article 16 bis est le principal point de blocage de ce projet de loi, qui doit transposer la directive NIS 2. Cette transposition aurait dû intervenir au plus tard le 17 octobre 2024. La Commission européenne a engagé une procédure en manquement contre la France, avec une mise en demeure le 28 novembre 2024 puis un avis motivé le 7 mai 2025.

Comme l'écrit le rapport de Florent Boudié, dans sa conclusion : "Il faut donc ici renverser le raisonnement : ce n’est pas de l’obligation juridique que peut naître la solution technique ; c’est de l’identification préalable d’une solution technique, permettant un accès ciblé aux contenus protégés, sans compromettre l’intégrité du chiffrement, et donc en protégeant notre sécurité numérique comme nos libertés publiques, que pourrait procéder, le cas échéant, une nouvelle obligation légale."

Cette condition n’est pas aujourd’hui réunie, c’est la conclusion du rapport Boudié. Elle n’en conclut pas qu’il faille renoncer à la rechercher. Au contraire, elle préconise d’intensifier les travaux déjà engagés par les services de l’État pour identifier les différentes hypothèses de travail, dont certaines ont été décrites dans son rapport. Plus encore, la mission préconise de porter ces travaux à une échelle plus structurée et offensive, d’en modéliser et éprouver la faisabilité, ainsi que les garanties, puis d’en organiser le développement et la confrontation, y compris avec les plateformes.

Il nous revient donc d'écarter toute disposition comparable à l’ancien article 8 ter ou en miroir à cet article 16 bis, tant que n’a pas été établie la faisabilité d’une solution technique permettant un accès strictement ciblé aux contenus protégés, sans compromettre le chiffrement, la confidentialité des échanges ni la sécurité des systèmes numériques.

Cet article 16 bis n'a rien à voir avec le projet de loi, sans que cet article n'ait de portée normative réelle (c'est-à-dire sans créer de véritables obligations, droits ou sanctions), mais en laissant planer des menaces qui seraient assurément exploitées pour parvenir au classement de nombre de procédures judiciaires en cours et venir. En droit français, le Conseil constitutionnel censure d'ailleurs régulièrement ces dispositions dépourvues de portée normative, rappelant que la loi doit être claire, précise et exécutoire.

Pour ces raisons, il est proposé de supprimer cet article.

[i] Inscrit par le Sénat et rejeté par l’Assemblée, dans la Ioi n° 2025-532 du 13 juin 2025 visant à sortir la France du piège du narcotrafic.