Amendement n° 397

L’article 16 bis du présent projet de loi, inséré par voie d’amendement lors de l’examen au Sénat, dispose qu’« il ne peut être imposé aux fournisseurs de services de chiffrement, y compris aux prestataires de services de confiance qualifiés, l’intégration de dispositifs techniques visant à affaiblir volontairement la sécurité des systèmes d’information et des communications électroniques tels que des clés de déchiffrement maitresses ou tout autre mécanisme ou processus permettant un accès non consenti aux données protégées ».

Ces dispositions présentent un risque majeur pour la sécurité nationale puisqu’elles entraveraient l’action des services judiciaires et de renseignement en interdisant d’imposer tout mécanisme ou processus permettant d’accéder à des données protégées.

Le conflit normatif avec le cadre actuel des interceptions légales en France, qui découlerait de l’adoption de l’article 16 bis, serait de nature à permettre aux opérateurs de communications électroniques, dont les opérateurs de téléphonie « classiques », de s’exonérer de leurs obligations de coopération avec les autorités judiciaires et administratives.

Cela fragiliserait gravement la capacité des services de police et de justice à agir contre la criminalité. En matière judiciaire, une très large part des investigations dépend de l’accès aux preuves numériques, dans un contexte technologique en constante évolution.

En premier lieu, l’interdiction de l’accès aux données protégées entraverait les moyens aujourd’hui accessibles tant aux services d’enquête judiciaire qu’aux services de renseignement, pour l’ensemble des menaces à la sécurité contre lesquelles nous devons lutter.

Pour rappel, une interception légale peut être autorisée par un juge d’instruction, pour les crimes et délits punis d’une peine égale ou supérieure à trois ans d’emprisonnement, ou par un juge des libertés et de la détention pour les seuls crimes et délits relevant de la criminalité et de la délinquance organisées ou du terrorisme (articles 706-73 et 706-73-1 du code de procédure pénale (CPP)).

Elle peut également être autorisée par le Premier ministre, après avis de la commission nationale de contrôle des techniques de renseignement (CNCTR), pour permettre aux services de l’État de recueillir des renseignements relatifs à la défense et à la promotion des intérêts fondamentaux de la Nation.

Les opérateurs de communications électroniques et les fournisseurs de services numériques doivent répondre aux demandes formulées dans le cadre des techniques de renseignement et d’enquête judiciaire numérique. En effet, les opérateurs de communications électroniques doivent « mett[re] en place et assure[r] la mise en œuvre des moyens nécessaires pour répondre aux demandes effectuées dans le cadre des techniques d'enquêtes numériques judiciaires (…) et des techniques de renseignements formulés en application du livre VIII du code de la sécurité intérieure » (article D. 98-7 du code des postes et des communications électroniques). Il ne peut être dérogé à ces obligations que « lorsque des obstacles techniques le justifient ou lorsque les coûts à exposer pour satisfaire à ces conditions sont disproportionnés (…) ». Pour assurer l’effectivité de la coopération des opérateurs, l’article L. 871-1 du code de la sécurité intérieure (CSI) prévoit que « les personnes physiques ou morales qui fournissent des prestations de cryptologie visant à assurer une fonction de confidentialité sont tenues de remettre [aux autorités] les conventions permettant le déchiffrement des données transformées au moyen des prestations qu'elles ont fournies », sauf si celles-ci démontrent qu’elles ne sont pas en mesure de satisfaire à ces réquisitions.

Par principe, ces techniques judiciaires et administratives reposent sur l’accès non consenti à des données protégées. Or, l’interdiction des « mécanismes ou processus permettant un accès non consenti » sape les fondements mêmes des investigations pénales ou en renseignement, rendant de facto inapplicables des techniques essentielles à la résolution des affaires ou à la prévention des atteintes aux intérêts fondamentaux de la Nation.

Au-delà de son impact en matière de lutte antiterroriste, cette interdiction pourrait notamment mettre en danger la manifestation de la vérité et l’appréhension des auteurs dans des dossiers correspondant aux politiques pénales prioritaires du Gouvernement :

Les violences sexuelles sur mineurs : dans ces procédures, les techniques spéciales d’enquête sont essentielles. En cas d’enlèvement de mineur, l’accès à la géolocalisation de l’auteur est, par exemple, indispensable pour le retrouver le plus rapidement possible et ainsi secourir la victime. De manière plus générale, la démonstration des violences sexuelles sur mineurs s’appuie largement sur l’analyse des données de connexion des mis en cause.
Les atteintes aux personnes : l’élucidation des affaires de violences repose, en large part, sur l’exploitation des données de géolocalisation afin d’identifier l’auteur. S’agissant des violences par conjoint, l’accès aux communications entre l’auteur et la victime est d’une importance cruciale pour caractériser les violences et pour évaluer la dangerosité de l’auteur.
La lutte contre la criminalité organisée : Les délinquants sont rompus aux techniques mises en œuvre par les enquêteurs et utilisent les nouvelles technologies au service de leur recherche de l’impunité, à travers l’utilisation quasi exclusive de moyens de communication cryptés. Cette situation, combinée à leur utilisation d’exécutants pour réaliser les tâches les plus risquées, rend illusoire l’identification des donneurs d’ordre sans utilisation des techniques spéciales d’enquête. En administratif, l’accès à des données chiffrées a permis des avancées décisives dans des dossiers majeurs : l’entrave d'organisations criminelles recrutant des professionnels de la mer pour acheminer des tonnes de cocaïne sur le territoire national ou actives sur les grandes plateformes aéroportuaires nationales et recrutant des personnels ayant accès aux zones sûreté pour sortir les stupéfiants de la plate-forme.
À ce titre, la possibilité de requérir le concours des opérateurs a été récemment confirmée par le législateur, qui a, dans la loi n° 2021-998 du 30 juillet 2021 relative à la prévention d’actes de terrorisme et au renseignement (dite loi PATR), étendu le champ des techniques de renseignement pour lesquelles l’autorité administrative peut solliciter les opérateurs au recueil de données informatiques (article L. 853-2 du CSI) et à la collecte de données de connexion par des IMSI catchers (article L. 851-6 du CSI).

En deuxième lieu, en raison d’un périmètre large, cette interdiction concernerait l’ensemble des données protégées et l’ensemble des services de communications électroniques, y compris en matière de téléphonie ou de fourniture d’accès à internet, qui mobilisent aujourd’hui ou à l’avenir des mécanismes de protection des données, au-delà des seules messageries chiffrées.

Si le rapport de la commission spéciale de l'Assemblée nationale texte précise que l’objectif de l’article est « d’interdire l’introduction de « portes dérobées » […] pour permettre aux services de renseignement d’accéder au contenu des messageries chiffrées », il assume également une ambition plus large, l’interdiction de pratiques diverses et notamment « la création d’un accès non consenti aux données protégées ». Or, les techniques de renseignement ou d’enquêtes numériques judiciaires répondent toutes, par essence, à cette définition, au titre des impératifs liés à la sécurité nationale ou de l’objectif à valeur constitutionnelle de recherche des auteurs d’infractions pénales.

S’agissant des services concernés, en raison d’une formulation très extensive (« fournisseurs de services de chiffrement, y compris aux prestataires de services de confiance qualifiés »), toute entreprise proposant un moyen de chiffrement, même rudimentaire ou sans lien avec les informations requises par les autorités, serait considérée comme étant un fournisseur de service de chiffrement.

S’agissant de la nature des mesures que la disposition vise à interdire, la rédaction porte non seulement sur les « dispositifs techniques visant à affaiblir volontairement la sécurité des systèmes d’information et des communications », mais aussi sur les « mécanismes ou processus permettant un accès non consenti aux données protégées ». L’interdiction englobe ainsi tout mécanisme de sécurité minimal mis en œuvre par l’opérateur ou l’utilisateur visé.

Cela pourrait à l’extrême conduire à la constitution d’une forme d’« Eldorado français » pour les entreprises criminelles européennes.

En dernier lieu, l’ensemble des techniques de renseignement prévues à l’article L. 871-6 du CSI ainsi que les techniques d’enquêtes numériques judiciaires seraient rendues inapplicables, alors que le recours à ces techniques est strictement encadré.

Les techniques concernées seraient les suivantes :

Interception des correspondances (articles L. 852-1 du CSI et 100, 706-95 du CPP) en incluant l’interception des conversations, des messages ou des données de connexion ;
Accès à distance aux correspondances stockées par la voie des communications électroniques accessibles au moyen d'un identifiant informatique (articles 706-95-1 à 706-95-3 du CPP) ;
Recueil de données de connexion (articles L. 851-1 du CSI et 60-1, 60-1-2, 60-2, 77-1-2, 99-3 et 99-4 du CPP) ;
Recueil de données de connexion en temps réel (article L. 851-2 du CSI) ;
Technique de l’algorithme (article L. 851-3 du CSI) ;
Géolocalisation (article L. 851-4 du CSI et 230-32 à 230-42 du CPP) ;
Recueil de données de connexion par IMSI catchers (articles L. 851-6 du CSI et 706-95-20 du CPP) ;
Captation ou recueil de données informatiques (articles L. 853-2 du CSI et 706-102-1 du CPP).
À titre d’exemple, pour le seul volet judiciaire, au mois d’octobre 2026 :

La géolocalisation de téléphones mobiles représente plus de 51 000 mesures ;
Il est dénombré plus de 4 millions de demandes de données de connexion ;
50 000 lignes téléphoniques ont été placées sous interceptions judiciaires.
Ces techniques, qui permettent aux services de l’État, administratifs comme judiciaires, d’accéder à des données protégées, sont strictement encadrées. Elles sont contrôlées, selon les cas, par une autorité indépendante ou un magistrat. En matière judiciaire, l’accès aux données est conditionné à une autorisation préalable, motivée en droit et en fait, d’un juge d’instruction ou d’un juge des libertés et de la détention. En matière de renseignement, l’accès aux données est conditionné à une autorisation préalable du Premier ministre, après avis de la commission nationale de contrôle des techniques de renseignement (CNCTR), autorité administrative indépendante composée de parlementaires, de membres du Conseil d’État, de magistrats de la Cour de cassation et d’une personnalité qualifiée. Le service de renseignement doit formuler une demande écrite et motivée qui précise la technique, la proportionnalité de l’atteinte à la vie privée, les finalités (prévention du terrorisme, de la criminalité organisée, des ingérences étrangères, etc.) et les motifs qui justifient le recours aux techniques. Si le Premier ministre délivre une autorisation contre l’avis de la CNCTR, cette dernière saisit immédiatement le Conseil d’État d’un recours visant à contrôler la légalité de cette autorisation. Un tel cas de figure ne s’est encore jamais présenté.

Pour toutes ces raisons, il est impérieux de supprimer l’article 16 bis qui représente une menace considérable pour la sécurité des Français. Au demeurant, il s’agit d’un cavalier dépourvu de lien direct ou indirect avec le projet de loi, dont l’objectif est de procéder à des adaptations de notre droit interne au droit de l’Union européenne en matière de cybersécurité.