Loi renseignement : "Filtrer le moustique et laisser passer le chameau"

La décision rendue le 23 juillet 2015 par le Conseil constitutionnel sur la loi relative au renseignement sera sans doute présentée, dans quelques mois ou quelques années, comme une occasion manquée. Ce texte offrait au Conseil l'opportunité de rendre une "grande décision" en consacrant la valeur constitutionnelle du principe d'Habeas Data, considéré comme un élément du droit à la sûreté. Mais la révolution n'a pas eu lieu,  Le Conseil se borne à censurer trois dispositions, et non pas trois articles, du texte. Et, il faut bien reconnaître que ce ne sont pas les plus importantes. 

On songe à la belle formule de Jean Rivero accusant le Conseil de "filtrer le moustique et laisser passer le chameau", formule employée à propos de la décision du Conseil du 20 juin 1981. A l'époque, il s'agissait de la décision sur la loi Sécurité et Liberté, premier texte résolument sécuritaire.  A l'époque déjà, le Conseil avait censuré quelques points de détail et laisser passer quelques atteintes graves aux libertés publiques. La situation est exactement identique.

Le budget de la CNCTR

Le premier de ces points de détail est la disposition relative aux crédits de la Commission nationale de contrôle des techniques de renseignement (CNCTR), nouvelle autorité administrative indépendante chargée de donner un avis sur les demandes d'accès aux données personnelles formulées par les services de renseignement. La commission est donc plus administrative qu'indépendante, dès lors que l'autorisation est finalement donnée par le Premier ministre.

Que l'on ne s'y trompe pas. Le Conseil ne s'interroge pas sur l'indépendance de l'institution, mais sur son budget. Le programme auquel il est rattaché doit figurer dans la loi de finances et non pas dans la loi ordinaire. Empiétant sur des compétences réservées à la loi de finances, la disposition est donc déclarée non conforme à l'article 34 de la Constitution. On apprend à cette occasion que le budget de cette institution est rattaché au programme "Protection des droits et libertés" de la mission "Direction de l'action du gouvernement". S'agirait-il d'une forme particulière d'humour administratif ? En tout cas, il suffira au gouvernement d'intégrer ce budget dans la future loi de finances pour résoudre la question.

La surveillance internationale

Le deuxième élément censuré concerne la surveillance des communications émises ou reçues à l'étranger, surveillance que la loi autorise au nom des "intérêts fondamentaux de la Nation". Ces interceptions font l'objet d'un régime dérogatoire qui devait figurer dans l'article L 854-1 du Code de la sécurité intérieure (CSI). Contrairement à ce qu'il a fait pour le régime général de surveillance, le législateur n'a pas défini les conditions d'exploitation, de conservation et de destruction des données mais s'est borné à renvoyer ces questions à un décret en Conseil d'Etat.

En déclarant ces dispositions non conformes à la Constitution, le Conseil constitutionnel se borne à appliquer sa jurisprudence sur l'incompétence négative. Dans sa décision du 13 mars 2003, il affirme ainsi qu'il appartient au législateur, et à lui seul, d'assurer la conciliation entre les nécessités de l'ordre public et le respect de la vie privée. Là encore, il suffira au législateur de réparer cet oubli dans une des nombreuses lois "fourre-tout", portant diverses dispositions sur tout et rien qui sont votées en fin d'année.

La procédure d'urgence opérationnelle

La troisième et dernière disposition déclarée non conforme à la Constitution est présentée comme plus importante par les premiers commentateurs de la décision. Elle porte sur la procédure qualifiée d'"urgence opérationnelle". Elle autorise les services de renseignement à déroger à la procédure d'autorisation du Premier ministre après avis de la CNCTR. Ils peuvent donc utiliser directement les instruments de captation de données, par exemple pose de balises ou interceptions des conversations téléphoniques, "en cas d'urgence liée à une menace imminente ou à un risque très élevé de ne pouvoir effectuer l'opération ultérieurement". Dans ce cas, la CNCTR et le Premier ministre sont simplement informés de l'opération et la demande d'autorisation sera déposée dans les 48 heures qui suivent.

En l'espèce, le Conseil exerce son contrôle de proportionnalité et considère que cette procédure d'urgence opérationnelle porte une atteinte "manifestement disproportionnée au droit au respect de la vie privée et au secret des correspondances".  Ce contrôle de proportionnalité n'a rien de nouveau et le Conseil l'a, par exemple, exercé dans sa décision rendue sur QPC le 16 septembre 2010 à propos du fichier des empreintes génétiques.

On ne peut cependant s'empêcher de se demander pourquoi le contrôle de proportionnalité ne fonde qu'une seule déclaration d'inconstitutionnalité dans la loi alors qu'il est utilisé à plusieurs reprises. Le recours à la géolocalisation, la réquisition de données techniques auprès des opérateurs, l'interception des données circulant sur les réseaux téléphoniques par utilisation de l'IMSI Catcher, toutes ces prérogatives sont considérées comme ne portant pas une atteinte "manifestement disproportionnée" au droit au respect de la vie privée. Seule est sanctionnée la procédure d'urgence opérationnelle, qui pourtant n'était pas mentionnée dans la lettre de saisine des parlementaires.

Certes, cette lacune n'empêche pas le Conseil de se saisir de ce moyen, d'autant que la saisine du Président de la République l'invitait à se pencher sur l'ensemble du texte. Il est néanmoins possible que les parlementaires ne l'aient pas mentionné, tout simplement parce que cette disposition législative était inutile. D'une manière générale, les théories de l'urgence et des circonstances exceptionnelles ont toujours permis à l'autorité administrative d'agir de son propre chef, même sans titre formel de compétence. En l'espèce, rien n'interdit d'ailleurs au Premier ministre de déléguer aux différents responsables des services de renseignement une compétence pour agir en son nom dans l'hypothèse d'une situation d'urgence opérationnelle. Autrement dit, la disposition peut être d'autant plus facilement déclarée inconstitutionnelle que son absence dans la loi n'empêche pas la mise en oeuvre du dispositif d'urgence qu'elle prévoit.

Guy Béart. Allo tu m'entends ? 9 février 1967

Le mépris du juge judiciaire

Evoquant le chameau que le Conseil constitutionnel laisse passer, on ne reviendra pas sur tous les points validés par le Conseil constitutionnel, mais seulement sur le plus grave d'entre eux : le mépris affiché à l'égard du juge judiciaire.

L'article 66 de la Constitution énonce que l'autorité judiciaire est "gardienne de la liberté individuelle". Or, le juge judiciaire est totalement absent de la loi renseignement. Pour encadrer les pratiques des services, elle prévoit la double intervention de la CNCTR et du Conseil d'Etat.  La première n'intervient que pour faire des "recommandations" sur les demandes de captation de données personnelles et le pouvoir de décision appartient au ministre compétent. Le second peut certes être saisi par une personne qui craint que ses données personnelles fassent l'objet d'une captation, mais il se borne à faire des "vérifications" dont l'intéressé ignore le contenu.

Depuis la décision rendue par le Conseil constitutionnel le 23 janvier 1987, il n'est pas impossible d'établir un bloc de compétence au profit du juge administratif, à la condition toutefois qu'il soit justifié par une préoccupation de "bonne administration de la justice". En écartant l'intervention du juge judiciaire, le Conseil fait donc une lecture extensive de cette jurisprudence, mais aussi, et c'est plus grave, une interprétation étroite du principe de sûreté.

Le refus de l'Habeas Data

L'article 66 énonce que "nul ne peut être arrêté ni détenu", et la lecture qui en est faite conduite à limiter l'intervention du juge judiciaire aux cas d'arrestation et d'internement abusifs. Le Conseil constitutionnel, dans sa décision QPC du 17 décembre 2010 impose ainsi l'intervention du juge judiciaire dans le cas d'une détention arbitraire. Il en fait de même dans sa décision sur la géolocalisation du 25 mars 2014,  affirmant ainsi que le recours à ce procédé de repérage doit être décidé par le juge judiciaire. Il s'agit cependant d'une géolocalisation utilisée lors d'une enquête judiciaire visant à arrêter les auteurs d'une infraction, et non pas d'une géolocalisation utilisée par les services de renseignements pour surveiller des personnes considérées comme dangereuses pour la sécurité publique.

Reste que, dans un cas le recours à la géolocalisation bénéficie de la garantie du juge judiciaire, alors que dans l'autre cas il est soumis à un contrôle, d'ailleurs modeste, du Conseil d'Etat. On avait espéré que le Conseil profiterait de l'occasion qui lui était donnée par cette saisine pour consacrer le principe d'Habeas Data et affirmer ainsi que la protection des données personnelles est, en soi, un élément de la sûreté, justifiant l'intervention du juge judiciaire. Le Conseil a refusé de saisir cette opportunité et la grande décision attendue n'est pas intervenue. Au contraire, la décision se caractérise par sa sécheresse, sa tendance à privilégier l'affirmation sur l'explication, son absence totale de réserve d'interprétation qui aurait pu guider l'application de la loi.

A dire vrai, on pouvait s'y attendre. Cette décision doit aussi être lue à travers l'influence qu'exerce le Conseil d'Etat sur le Conseil constitutionnel. Il ne s'agit pas seulement d'une influence liée à des relations de proximité que personne n'ignore. Il s'agit aussi d'une influence dans ce que l'on pourrait qualifier d'ingénierie contentieuse. Les méthodes du revirement sont à peu près identiques, ce qui signifie que les changements de jurisprudence se produisent généralement en deux temps. Le juge commence par faire référence à un principe nouveau pour l'écarter dans une première décision. C'est seulement dans une seconde décision qu'il l'applique de manière positive. En l'espèce, il était peu probable que le Conseil constitutionnel déclare inconstitutionnelles des dispositions donnant lieu à un débat fortement médiatisé, sur le fondement d'une nouvelle interprétation du contenu du principe de sûreté. 

Cette frilosité est d'autant plus fâcheuse que, deux jours avant la décision, le Comité des droits de l'homme des Nations Unies avait publié ses "Observations finales" concernant le 5è rapport périodique remis par la France pour dresser le bilan de sa mise en oeuvre du Pacte de 1966 sur les droits civils et politiques. Il faut reconnaître que le Comité use d'un discours un peu rugueux. Il se montre "préoccupé" des pouvoirs conférés aux services de renseignement par la loi qui vient d'être votée. A ses yeux, elle octroie "des pouvoirs excessivement larges de surveillance très intrusive aux services de renseignement sur la base d'objectifs vastes et peu définis, sans autorisation d'un juge et sans mécanisme de contrôle adéquat et indépendant". Ne rêvons pas, ces propos n'ont pas été tenus par le Conseil constitutionnel...mais il pourraient, dans un avenir plus ou moins proche, être mentionnés devant la Cour européenne des droits de l'homme.

Big Brother devant la CEDH

La Cour européenne des droits de l'homme (CEDH), dans un arrêt du 13 septembre 2018 Big Brother Watch et autres c. Royaume-Uni, déclare qu'un système de renseignement reposant sur une interception massive des communications n'est pas, en tant que tel, attentatoire au droit au respect de la vie privée.

L'affaire offre à la Cour l'occasion de définir des critères de respect du droit au respect de la vie privée en matière d'interceptions de sécurité, sans réellement sanctionner le Royaume-Uni. En effet, les faits concernent le Regulation Investigatory Powers Act (RIPA) de l'an 2000, législation modifiée en novembre 2016. Il s'agit donc d'apprécier un système juridique qui n'est plus en vigueur, ce qui laisse à la Cour une grande liberté, puisqu'elle se prononce in abstracto.

Le recours a été introduit après les révélations d'Edward Snowden sur les programmes de surveillance et de partage de renseignements entre les États-Unis et le Royaume-Uni, en particulier le système PRISM. L'impact sur l'opinion publique a suscité  les réactions des ONG, parmi lesquelles Big Brother Watch qui conteste devant la CEDH à la fois l'interception massive des communications et le partage de renseignements.

L'interception massive des communications

La Cour affirme que l'interception massive des communications n'emporte pas, en tant que telle, une atteinte à la vie privée. Il aurait été bien surprenant qu'elle revienne en septembre 2018 sur une jurisprudence consacrée trois mois auparavant, dans un arrêt Centrum för rättvisa c. Suède du 19 juin 2018. La CEDH fait alors une distinction entre les interceptions de masse et la surveillance de masse, distinction déjà réalisée par la Cour de justice de l'Union européenne (CJUE) dans sa décision 'arrêt Digital Rights du  8 avril 2014. Elle avait alors estimé que le stockage de données à des fins de sécurité publique devait être sanctionné lorsqu'il conduisait à une surveillance de masse. La loi française du 24 juillet 2015 prévoit, quant à elle, la suppression des informations collectées à l'issue d'une période qui s'échelonne de trente jours à quatre mois. Si l'interception massive est possible, la conservation des données demeure, quant à elle, limitée dans le temps. La surveillance de masse est donc écartée par la loi.

Cela ne signifie pas cependant qu'aux yeux de la CEDH l'interception massive des communications soit toujours licite. Au contraire, la Cour sanctionne pour atteinte à la vie privée le régime juridique établi par la loi anglaise de l'an 2000, au motif qu'il ne prévoit pas de garanties suffisantes en matière de respect de la vie privée. Ces garanties ont été précisées par la Cour au fil de sa jurisprudence, et elles sont rappelées dans l'arrêt Roman Zakharov c. Russie du 4 décembre 2015. Le système juridique relatif aux interceptions massives doit ainsi préciser la nature des infractions de nature à donner lieu à un mandat d’interception, la définition des catégories de personnes susceptibles de voir intercepter leurs communications, la limite à la durée de l’interception, la procédure à suivre pour l’examen, l’utilisation et la conservation des données recueillies, les précautions à prendre pour la communication des données à d’autres parties, et les circonstances dans lesquelles peut ou doit s’opérer l’effacement ou la destruction des données interceptées.

En l'espèce,  la Cour estime que les garanties offertes par le système juridique britannique ne sont pas suffisantes. La procédure de sélection des communications interceptées ne fait pas intervenir d'autorité indépendante, mais repose sur les agents des services de renseignement.  On notera sur ce point que la loi de 2016 a profondément modifié le système en élargissant les compétences de l'Investigatory Powers Tribunal, précisément chargé de contrôler la régularité des procédures et de recevoir les plaintes des personnes qui s'estiment victimes d'interceptions illégales.

Quant à l'accès aux données de connexion, il est également sanctionné, car il ne s'accompagne d'aucune procédure formelle de nature à offrir quelques garanties aux personnes. Ces lacunes de la loi britannique de l'an 2000 sont donc constitutives d'une violation de l'article 8. A cela s'ajouter une atteinte à l'article 10 garantissant la liberté d'expression, et plus particulièrement celle des journalistes. Les informations confidentielles de la presse ne font en effet l'objet d'aucune garantie particulière, notamment en matière de secret des sources.

 

1984. Michael Anderson. 1956. E. O'Brien et J. Sterling.

Le partage de renseignement

La CEDH avait déjà été saisie de la question du partage de renseignement dans l'affaire Liberty et autres c. Royaume-Uni, jugée en 2008. Mais à l'époque, les requérants contestaient la transmission en Grande-Bretagne d'informations collectées et conservées par la NSA américaine. Aujourd'hui, la requête est beaucoup plus large, car Big Brother Watch considère comme une violation de l'article 8 l'ensemble du système d'échange de renseignements dans lequel s'inscrit le Royaume-Uni. 

La Cour européenne refuse de sanctionner le partage de renseignement entre États. Elle fait observer que les échanges entre les États-Unis et le Royaume-Uni ne sont pas dépourvus de base légale. Le traité UKUSA conclu entre les États-Unis et leurs alliés dès 1946 s'est ainsi traduit par le British-US Communication Intelligence Agreement du 5 March 1946, fondement législatif des échanges alors effectués grâce au système Êchelon. Depuis cette date, les échanges de renseignement par la voie électronique (Elint) se sont considérablement développés et les textes se sont multipliés. Dans l'état actuel du droit britanniques, les informations provenant de la NSA ont exactement le même régime juridique que celles produites par les services de renseignement britanniques. Il n'y a donc pas de raison de dissocier leur contrôle.

Rappelant son arrêt Othman (Abu Qatada) c. Royaume-Uni du 17 janvier 2012, la CEDH affirme qu'il est légitime que les États échangent des informations, compte tenu du caractère global de la menace terroriste. Dès lors que ces échanges s'inscrivent dans un contexte législatif de nature à limiter les abus et les interférences inutiles dans la vie privée, elle ne voit par de raison de les sanctionner. Ce refus n'est guère surprenant car ce domaine relève, dans son essence même, de la souveraineté de l'État et du choix des relations qu'il entretient avec ses alliés. On n'ose à peine imaginer, en effet, la réaction des autorités britanniques si la CEDH avait entrepris d'apprécier l'échange de renseignement entre le Royaume-Uni et les Etats-Unis.


La décision Big Brother Watch sera étroitement scrutée en France. Plusieurs groupements, parmi lesquels l'Association confraternelle de la presse judiciaire, ont introduit des recours contestant la loi française du 24 juillet 2015 relative au renseignement. L'arrêt du 13 septembre 2018 donne certes des pistes utiles à la réflexion, mais ne permet en aucun cas de prévoir le sens du futur arrêt de la Cour. C'est ainsi que la loi française semble prévoir une garantie plus efficace que la loi britannique de l'an 2000, en subordonnant les interceptions de sécurité à l'avis préalable de la Commission nationale de contrôle des techniques de renseignement (CNCTR). Mais s'agit-il d'une autorité "indépendante" au sens où l'entend la CEDH ? Son intervention est-elle déterminante dès lors que le ministre peut passer outre à son avis ? La CEDH sanctionnera-telle des garanties que l'on pourrait considérer comme purement cosmétiques ? Ou validera-t-il un système juridique qui a le mérite d'exister dans un domaine traditionnellement peu contrôlé car il relève par essence des pouvoirs régaliens de l'État ? La réponse à ces questions se trouvera dans le futur arrêt de la Cour européenne.

Sur les fichiers de renseignement : Chapitre 8 section 5 § 3 B du manuel de Libertés publiques sur internet , version e-book, ou version papier.

Le rapport 2016 de la Délégation parlementaire au renseignement

La Délégation parlementaire au renseignement (DPR) a remis le 4 avril 2017 son rapport annuel au Président de la République. La moment n'était pas des plus propices. Le Président, en fin de mandat, n'a pas donné une publicité excessive à l'opération. Quant au Parlement, il n'a pas pu en débattre, puisqu'il n'était plus réuni, ses travaux étant interrompus jusqu'aux élections législatives. Le résultat est que ce rapport n'a pas vraiment suscité d'intérêt. On peut le regretter car le document rendu public donne de précieuses informations, même s'il est expurgé de tous éléments couverts par le secret de la défense nationale.

La DPR

La DPR a été créée par la loi du 9 octobre 2007 et ses compétences ont été renforcées par la loi de programmation militaire du 18 décembre 2013. Composée de quatre députés et quatre sénateurs, elle est actuellement présidée par Patricia Adam (PS Finistère), Présidente de la Commission de la défense nationale à l'Assemblée. La mission de la DPR est d'assurer le contrôle parlementaire de l'action du gouvernement en matière de renseignement. Elle peut faire des recommandations à l'Exécutif et son rapport lui permet précisément de dresser la liste de ses préconisations. 

Les différents fichiers liés au terrorisme

Celui portant sur l'année 2016 s'inscrit, à l'évidence, dans le contexte particulier de l'état d'urgence et de la lutte contre le terrorisme. On y apprend que, durant cette année 2016, 12 000 personnes étaient "fichées S". En réalité, cette formulation signifie qu'elles figurent dans un Fichier des personnes recherchées (FPR) créé en 1969 et qui comporte 400 000 noms. Au sein de cet ensemble, la fiche S signifie atteinte à la sûreté de l'Etat. Elle concerne non seulement les personnes qui "peuvent, en raison de leur activité (...), porter atteinte à la sûreté de l'Etat et à la sécurité publique, par le recours ou le soutien actif à la violence" mais encore celles qui entretiennent avec elles des "relations directes et non fortuites". Sur ces 12000 personnes fichées, environ 4200 le sont en raison de leurs liens avec l'islam radical, les autres sont aussi bien des mineurs en fugue que des évadés de prison ou des membres du grand banditisme. Cette dilution des données au sein du FPR a conduit le ministre de l'intérieur, après l'attentat contre Charlie, a créer un fichier des signalés pour la prévention de la radicalisation à caractère terroriste, fichier plus ciblé qui comporte environ 15 000 noms. La DPR souhaite, très logiquement, qu'une étude soit menée sur ces différents fichiers et notamment sur leur articulation.

Le Bureau des Légendes. Eric Rochant 2015. Mathieu Kassovitz

La fluidité de l'information

L'un des points essentiels traités par le rapport de la DPR porte sur la circulation de l'information  entre les magistrats chargés de la lutte contre le terrorisme d'une part et les services de renseignement d'autre part. On insiste en général beaucoup, et à juste titre, sur les difficultés rencontrées par les juges pour accéder aux éléments détenus par les services couverts par le secret défense. Le rapport, quant à lui, envisage la nécessaire circulation de l'information en sens inverse. Autrement dit, il s'interroge sur la manière dont les services de renseignement peuvent être informés des procédures en cours portant sur des faits de terrorisme. 

A dire vrai, le secret de l'enquête n'est plus absolu. En témoigne l'article 11-2 du code de procédure pénale, issu de la loi du 14 avril 2016, qui autorise l'information de l'administration sur certains éléments d'une procédure en cours concernant une personne qu'elle emploie. Dans la droite ligne de ces dispositions, la loi du 28 février 2017 prévoit désormais la possibilité pour les services de renseignement d'accéder aux éléments de procédures judiciaires portant sur des actes de terrorisme. La procédure autorise cependant le procureur de la République à s'opposer à cette communication s'il estime qu'elle est de nature à nuire à l'efficacité de la procédure pénale. Les pièces ainsi obtenues peuvent circuler à l'intérieur des services, dans le strict respect du secret, mais ne peuvent, en aucun cas, faire l'objet d'un échange avec des services étrangers ou des organismes internationaux. La DPR est évidemment favorable à cette réforme, mais on peut regretter qu'elle ne prenne pas aussi une position aussi claire sur l'accès des juges aux pièces détenues par les services de renseignement.

Bilan des lois récentes

Dans son rapport, la DPR dresse le bilan de la loi du 24 juillet 2015 relative au renseignement et de celle du 30 novembre 2015 sur les mesures de surveillance des communications électroniques internationales. Aux yeux de la Délégation parlementaire, ces textes ont eu des "effets largement positifs", appréciation qui n'est guère surprenante si l'on considère que les auditions auxquelles procède la DPR sont essentiellement celles des professionnels du renseignement, les chercheurs n'y étant conviés qu'à travers la très officielle Académie du renseignement. 

Les chiffres fournis permettent cependant d'avoir une idée de l'importance de l'activité de la Commission nationale de contrôle des techniques de renseignement (CNCTR), dont on sait qu'elle donne une autorisation préalable à l'utilisation de certaines techniques d'interception des communication. Les statistiques de la CNCTR, mentionnées dans le rapport, montrent que cette autorité a reçu environ 66 000 demandes d'autorisation en 2015-2016, sur lesquelles elle a rendu 1332 avis défavorables, soit 2 % de l'ensemble. Par ailleurs, sur ces 66 000 demandes, 48 000 s'analysent comme des demandes d'accès en temps différé, c'est à dire visant à obtenir les coordonnées précises d'une personne suspectée. Seulement 8500 demandes portent sur les interceptions de sécurité, au sens étroit du terme, écoutes téléphoniques ou accès aux données circulant sur internet. Il est vrai que la CNCTR est peu encline à refuser son autorisation, mais l'existence même d'une procédure d'autorisation suffit sans doute à limiter les demandes au domaine de la prévention du terrorisme. 

La DPR et les services de renseignement, même combat

Reste que la rapport de la DPR est nécessairement à prendre avec prudence, tant il est vrai que sa proximité avec les services de renseignement peut la conduire à s'en faire le porte-parole. C'est ainsi qu'elle propose une modification de l'article L 851-2 du code de la sécurité intérieure, dont la rédaction a été modifiée par la loi du 21 juillet 2016 prorogeant l'état d'urgence.  Ces dispositions permettent aux services de renseignement d'obtenir en temps réel les données de connexion d'une personne représentant une menace terroriste ou simplement "susceptible d'être en lien" avec cette menace. Le recueil de données ne concerne donc pas seulement la personne considérée comme dangereuse mais aussi toute autre personne qui peut être en contact avec elle et qui est susceptible de fournir des informations utiles. A dire vrai, cette procédure n'a, en soi, rien de très choquant. 

Mais la DPR met ces dispositions en relation avec celles de l'article L851-3 du même code. Il prévoit les fameuses "boîtes noires"qui permettent de recueillir des données sur les réseaux des fournisseurs d'accès et opérateurs téléphoniques, grâce à des algorithmes susceptibles de révéler des comportements suspects. La DPR considère que ces algorithmes sont susceptibles de sortir des "listes importantes" de ces suspects potentiels. Dès lors, elle en déduit que l'autorisation d'obtenir les données de connexion prévue par l'article L 851-2 ne doit plus porter sur un seul individu mais sur l'ensemble de ceux figurant sur la liste définie par l'algorithme. Et pour faire bonne mesure, elle propose d'accroître la durée de l'autorisation pour laisser aux services le temps d'exploiter l'ensemble de la liste. Une telle modification induit, à l'évidence, une importante ingérence dans la vie privée des personnes, d'autant que ne sont pas seulement concernées celles qui constituent une menace mais aussi l'ensemble d'un entourage plus ou moins large simplement susceptible de fournir des informations. Peut-être serait-elle utile, mais il conviendrait, au moins, d'organiser une expertise sur ce point et d'en débattre en dehors d'un cénacle de huit personnes. On peut penser que l'idée vient des services eux-mêmes qui ont su convaincre la DPR de son bien-fondé. Le seul problème est que la DPR n'est pas le porte parole des services de renseignement mais qu'elle constitue le seul élément, bien modeste, de contrôle parlementaire dans ce domaine.

Sur la lutte contre le terrorisme : Chap 5, section 1 du manuel de libertés publiques.

L'accès aux données de connexion par l'AMF

 Le 21 juillet 2017, le Conseil constitutionnel a rendu sur question prioritaire de constitutionnalité (QPC) une décision déclarant inconstitutionnelle la disposition législative qui autorise les enquêteurs de l'Autorité des marchés financiers (AMF) à se faire communiquer les données de connexion liées aux opérations sur lesquelles ils font des investigations. Cette disposition figure dans la seconde phrase de l'article L 621-10 du code des marchés financiers, issu de la loi du 26 juillet 2013 de séparation et de régulation des activités bancaires. Elle s'inscrit dans un dispositif visant à organiser le contrôle des opérations des opérations effectuées sur les instruments financiers. 

Le droit au respect de la vie privée

Le Conseil constitutionnel abroge donc la seconde phrase de l'article L 621-10 et fonde sa décision sur la violation du droit au respect de la vie privée.  Depuis sa décision du 23 juillet 1999, jamais remise en cause, le Conseil constitutionnel le rattache à l'article 2 de la Déclaration des droits de l'homme et du citoyen : "Le but de toute association politique est la conservation des droits naturels et imprescriptibles de l'Homme. Ces droits sont la liberté, la propriété, la sûreté, et la résistance à l'oppression". Certes, la notion même de vie privée n'était pas encore clairement identifiée à la fin du XVIIIe siècle, mais la référence aux "droits naturels et imprescriptibles" a permis au Conseil d'en faire un droit de la personnalité. A ce titre, il n'a cependant rien d'absolu et doit être concilié avec les nécessités de l'ordre public et les droits des tiers.

Le Conseil affirme que "la communication des données de connexion est de nature à porter atteinte au droit au respect de la vie privée de la personne intéressée". On ne doit pas en déduire qu'il condamne le principe même de cette communication. Sa jurisprudence montre, au contraire, qu'il l'admet assez largement. C'est ainsi qu'il considère comme conforme à la Constitution la réquisition administrative des données de connexion auprès des opérateurs de communications électroniques, soit sur le fondement de la loi du 18 décembre 2013 dans le cadre de la lutte contre le terrorisme (décision QPC du 24 juillet 2015), soit sur celui de la loi renseignement (décision du 23 juillet 2015). 

Le Conseil constitutionnel ne donne pas un blanc-seing aux autorités dans ce domaine. Dans toutes les décisions relatives à l'accès aux données de connexions, il exerce un contrôle de proportionnalité, s'assurant que l'atteinte à la vie privée est justifiée par rapport à l'objectif poursuivi. Selon une formule désormais classique, il vérifie donc que  "le législateur a prévu des garanties suffisantes afin qu'il ne résulte pas de cette procédure une atteinte disproportionnée au droit au respect de la vie privée".  

Evaluation des garanties

La première de ces garanties réside dans le contenu des données ainsi transmises à l'administration. Les données de connexion ne concernent en effet que les informations susceptibles de permettre l'identification d'une ou plusieurs personnes et la localisation des équipements utilisés. En aucun cas, il ne s'agit d'accéder au contenu des correspondances ou des informations consultées.  C'est le cas en l'espèce, et il est précisé que les agents de l'AMF ne peuvent avoir accès qu'aux données listées dans l'article 34-1 § 6 du code des postes et télécommunications, c'est-à-dire précisément celles permettant l'identification sans communication du contenu. 

Le second type de garanties est d'ordre procédural. Sur ce plan, le Conseil se montre particulièrement exigeant. Dans sa décision sur la loi renseignement, il énumère ainsi les garanties censées protéger la vie privée de la personne lors de la demande d'utilisation des techniques de renseignement : autorisation du Premier ministre, contrôle de la Commission nationale de contrôle des techniques de renseignement (CNCTR), possibilité de saisine du Conseil d'Etat etc. Dans sa décision du 21 octobre 2016, le Conseil déclare ainsi que les garanties prévues pour l'accès aux données transmises par voie hertzienne sont insuffisantes. ll repousse cependant l'abrogation effective des dispositions contestées, précisant que la loi doit être modifiée pour aligner son régime juridique sur celui de l'autorisation des techniques de renseignement.

A la bourse, ce qu'on appelle une corbeille, pas de fleurs en tout cas. Honoré Daumier. 1808-1879

Le précédent du 5 août 2015

Dans ces conditions, la décision du 21 juillet 2017 était largement prévisible. Elle l'était d'autant plus que la procédure permettant à l'Autorité de la concurrence d'accéder aux données de connexion avait déjà été annulée par le Conseil, dans sa décision du 5 août 2015 sous la loi Macron. A l'époque, le Conseil avait estimé que "si le législateur a réservé à des agents habilités et soumis au respect du secret professionnel le pouvoir d'obtenir ces données et ne leur a pas conféré un pouvoir d'exécution forcée, il n'a assorti la procédure (...) d'aucune autre garantie (...)". Dès lors, on ne voit pas pour quelle raison l'Autorité des marchés financiers serait traitée de manière différente et le Conseil reprend exactement la même formule pour prononcer la même censure. 

Sur ce point, la QPC du 21 juillet 2017 illustre parfaitement la totale absence de réactivité et d'anticipation des autorités dotées du pouvoir de décision. Alors que l'on voit se multiplier les commissions chargées d'évaluer l'application des lois, on laisse subsister dans l'ordre juridique des dispositions législatives dont l'inconstitutionnalité ne fait aucun doute. Dans le cas présent, il ne s'est rien passé durant deux ans, jusqu'au jour où deux requérants poursuivis par l'AMF ont eu l'idée de poser une QPC pratiquement gagnée d'avance. Le gouvernement est alors venu se lamenter à l'audience, annonçant qu'une abrogation immédiate menacerait quarante dossiers en cours, portant sur quatre-vingt millions d'euros de plus-values liées aux manquements poursuivis. Mais pourquoi n'avait-il pas suscité une modification de la loi avant de se retrouver confronté à une QPC ? Quoi qu'il en soit, le Conseil constitutionnel s'est montré clément et a repoussé l'abrogation au 31 décembre 2018, le temps indispensable pour modifier la loi et peut-être s'assurer que d'autres textes ne risquent pas, à leur tour, la même déclaration d'inconstitutionnalité. Il n'est pas certain en effet que le Conseil constitutionnel ferait preuve une troisième fois de la même magnanimité.

 

Article 13 de la loi de programmation militaire : un débat nécessaire

Depuis quelques jours, les réseaux sociaux relayés par la presse, révèlent une inquiétude à l'égard de l'article 13 de la loi de programmation militaire (LPM), adoptée en seconde lecture par le Sénat le 10 décembre 2013. Ce texte a pour objet de définir le cadre juridique des procédures d'accès des services de renseignement aux données personnelles circulant sur internet. Les uns qualifient le dispositif de "dictature numérique", les autres de "Big Brother à la française".

On peut certes regretter que cette préoccupation soit très tardive, car le projet de loi a été déposé devant le Sénat le 2 août 2013. C'est sans doute la raison pour laquelle l'analyse juridique fait largement défaut. Or, c'est précisément cette étude juridique qui rend évident la nécessité d'un débat largement ouvert sur les données personnelles qui doivent, ou ne doivent pas, être communicables aux services de renseignement.

Que dit l'article 13  ?

Ce désormais célèbre article 13 introduit dans le code de la défense un nouveau chapitre VI intitulé "Accès administratif aux données de connexion". Dans ce chapitre VI, un nouvel article L 246-1 autorise les ministères de la défense, de l'intérieur et de l'économie et des finances à accéder aux "informations ou documents traités ou conservés par leurs réseaux ou services de communications électroniques", c'est à dire aux identifiants de connexion, à la localisation des équipements utilisés, ou encore à la liste des numéros appelés et appelant, la date et la durée des communications. De manière très concrète, l'article 13 vise l'utilisation des données personnelles par les services de renseignement, utilisation qui fait l'objet de multiples fantasmes mais d'un encadrement juridique minimaliste.

Ces dispositions doivent figurer dans le code de la défense et il convient de rappeler que la "stratégie de sécurité nationale" comme la "politique de défense" (art. L 111-1 code de la défense cd) incombent au "pouvoir exécutif, dans l'exercice de ses attributions constitutionnelles". Nul n'ignore évidemment que les services de renseignement sont rattachés au ministère de l'intérieur (DCRI) ou de l'intérieur (DGSE pour la sécurité extérieure et DRM et DPSD pour la sécurité militaire).

En revanche, beaucoup de Français ignorent l'importance du rôle du ministère de l'économie dans ce domaine. C'est lui qui est plus spécialement chargé de la défense économique, c'est à dire de la sécurité des infrastructures et des secteurs d'activité d'importance vitale (celles dont le dysfonctionnement provoquerait un arrêt de l'économie du pays), de la protection du patrimoine scientifique et technique des entreprises, de la sécurité des systèmes d'information des organismes publics. C'est ainsi que les agents des douanes participent ainsi à la lutte contre le financement du terrorisme.  C'est ainsi que le ministère de l'économie aide les entreprises à se protéger de certaines menaces, protection fort utile si l'on considère que certains pays comme les Etats Unis n'hésitent pas à utiliser leurs formidables instruments d'espionnage électronique pour permettre à leurs entreprises de gagner des marchés.

Conversation secrète. Francis Ford Coppola. 1974. Gene Hackman

 La loi du 10 juillet 1991

 
Cette intégration du ministère de l'économie dans le dispositif législatif surprend d'autant moins que l'Article 13 reprend, sur ce point comme sur d'autres, les dispositions qui figuraient déjà dans la loi du 10 juillet 1991. Ce texte est intervenu à une époque où l'absence de législation sur les écoutes téléphoniques avait provoqué la condamnation de la France par la Cour européenne des droits de l'homme. Dès 1978, dans son célèbre arrêt Klass et autres c. Allemagne, elle a estimé qu'une écoute constitue une ingérence dans la vie privée au sens de l'article 8 de la Convention. Cette ingérence n'est cependant pas nécessairement illicite si deux conditions sont réunies. D'une part, une loi doit les autoriser et organiser les conditions de leur mise en oeuvre. D’autre part, cette loi doit se révéler nécessaire pour sauvegarder la sécurité nationale, assurer la défense de l’ordre public, et la prévention des infractions pénales. Pour ne pas disposer d'un tel instrument législatif, la France a été condamnée par la Cour dans les arrêts Kruslin et Huvig de 1990 qui portaient, rappelons-le, sur des écoutes judiciaires. 

L'intervention du législateur français était donc nécessaire et la loi de 1991 pose un principe d'interdiction des écoutes, assorti de deux exceptions définies par la loi. Le principe d'interdiction est garanti par l'art. 226-1 du code pénal qui les punit d'une peine d'un an d'emprisonnement et de 45 000 € d'amende. La première exception réside dans les écoutes judiciaires et l'on sait que ces dernières ne peuvent être pratiquées qu'avec l'autorisation du juge d'instruction, ou du juge des libertés et de la détention au stade de l'enquête préliminaire.

Les interceptions de sécurité

Restent évidemment les plus délicates, les écoutes administratives ou plus exactement les "interceptions de sécurité", qui sont définies par la loi de 1991, dans son article 3, comme celles qui ont pour objet de "rechercher des renseignements intéressant la sécurité nationale, la sauvegarde des éléments essentiels du potentiel scientifique et économique de la France, ou la prévention du terrorisme, de la criminalité et de la délinquance organisées et de la reconstitution ou du maintien de groupements dissous (...)".  Le champ d'application de ces écoutes est donc à la fois très vaste et très imprécis. A l'époque, il ne s'appliquait qu'aux écoutes téléphoniques. Il a ensuite été étendu à l'ensemble des communications électroniques par la loi du 23 janvier 2006, mais la finalité des interceptions était alors limitée à la lutte contre le terrorisme. L'article 13 de la présente LPM reprend aujourd'hui ce dispositif, mais en étendant la liste des demandeurs d'interceptions à l'ensemble des services chargés du renseignement. Sur la plan strictement juridique, l'article 13 de la LPM se présente donc comme une sorte de "copier-coller" de dispositions initiées à l'époque du téléphone et désormais étendues à l'ensemble des données circulant sur internet. 

La saisine du Conseil constitutionnel

C'est la raison pour laquelle la saisine du Conseil constitutionnel n'est pas nécessairement une solution. Certains semblent en effet considérer que ce grand protecteur des droits de l'individu et des données personnelles déclarera immédiatement l'article 13 inconstitutionnel. C'est pourtant loin d'être certain, si l'on considère sa jurisprudence. 

Dans une décision du 28 décembre 2000, il affirme ainsi que les dépenses liées interceptions de sécurité en matière téléphonique ne sauraient être imputées aux opérateurs. Et il précise que ces derniers ne font alors qu'apporter leur concours à des "interceptions justifiées par les nécessités de la sécurité publique, dans l'intérêt général de la population". Autant dire que le principe même des écoutes administratives n'est pas considéré, en soi, comme portant atteinte à des normes constitutionnelles. Exerçant son contrôle de proportionnalité, la CNIL pourrait-elle considérer que l'ingérence dans la vie privée est excessive,  lorsqu'elle concerne les données circulant sur internet ? Peut-être, mais le résultat du recours demeure néanmoins aléatoire.

Force est donc de constater que ces interceptions ne sont pas nécessairement inconstitutionnelles. Mais cette constatation n'a pas pour effet de clore le débat juridique.

Incertitude du champ d'application

Au regard de son champ d'application, l'article 13 de la LPM se caractérise par une grande incertitude, liée à sa définition téléologique. Il reprend sur ce point, la formulation de la loi de 1991, les écoutes téléphoniques sont licites lorsqu'elles ont pour finalité de rechercher des "renseignements intéressant la sécurité nationale". Le Conseil constitutionnel ne contribue pas à préciser les choses lorsqu'il invoque la "nécessité publique" ou "l'intérêt général de la population". Autant dire que cette définition téléologique est aussi tautologique : sont finalement communicables les données dont les services de renseignement déclarent avoir besoin, dans le cadre de leur mission.

Certes, l'efficacité de ces services doit être assurée, et ils doivent bénéficier de certaines prérogatives pour assurer leurs missions. Le renseignement demeure un élément indispensable à l'exercice par l'Etat de ses activités de souveraineté. On constate d'ailleurs, non sans intérêt, que la critique la plus virulente de l'article 13 est probablement celle développée par l'Association des sites internet communautaires (ASIC), qui a publié plusieurs communiqués alarmistes sur le sujet. Or l'ASIC compte parmi ses membres toutes les entreprises américaines du secteur, de Facebook à Google, en passant par Skype et DailyMotion. Avouons qu'il est assez étonnant de les voir s'offusquer de la loi française qu'elles dénoncent comme attentatoire à la vie privée alors qu'elles n'hésitent à transmettre leurs données en masse à la NSA. En clair, il convient de collaborer avec les services américains, et de dénoncer les services français.

Pour assurer la légitimité de l'action des services français, il convient sans doute de réfléchir sur les procédures d'accès ces données personnelles. La procédure actuelle, issue de la loi de 1991 reprise purement et simplement par l'article 13 de la LPM, est bien loin d'être satisfaisante. Elle repose sur deux principes. D'abord la centralisation des interceptions qui sont autorisées par une "personnalité qualifiée" placée près du Premier ministre et désignée par la Commission nationale de contrôle des interceptions de sécurité (CNCIS). Le système permet sans doute d'éviter des interceptions intempestives décidées par des agents subalternes, mais il ne constitue pas, en soi, la garantie qu'un équilibre entre l'intérêt de l'Etat et celui de la vie privée des personnes sera effectivement recherché.

La CNCIS, autorité plus administrative qu'indépendante

Ensuite, et c'est sans doute le défaut essentiel de la procédure, la CNCIS qui désigne la "personnalité qualifiée" et qui a pour mission de contrôler les interceptions de sécurité est une autorité administrative indépendante, nettement plus administrative qu'indépendante.

Elle est composée de trois membres, un député, un sénateur, et son président, généralement un conseiller d'Etat. Ce dernier est choisi par le Président de la République sur une liste de quatre noms établie conjointement par le vice président du Conseil d'Etat et le premier président de la Cour de cassation. Quant aux deux parlementaires, chacun d'entre eux est désigné par le Président de leur assemblée et leur mandat n'est pas renouvelable. Le statut d'indépendance des membres n'est donc ni meilleur ni pire que celui des membres d'autres autorités indépendantes.

En revanche, la procédure devant la CNCIS est marquée par une certaine opacité. De sa propre initiative, ou à la demande d'une personne qui craint d'être l'objet d'une écoute, elle peut donner au Premier ministre une "recommandation", demandant l'interruption d'une écoute. Celui-ci n'est évidemment pas tenu de la suivre, et le demandeur est seulement avisé que les vérifications nécessaires ont été effectuées, sans qu'il puisse jamais savoir s'il a été ou non l’objet d’une interception. Si l'on se place du côté de l'intéressé, on imagine sa frustration face à une procédure qui ressemble étrangement au "droit d'accès indirect" qui s'exerce devant la CNIL pour les données personnelles conservées à des fins de sécurité publique. Le demandeur est avisé que des vérifications ont été faites, et il ne saura jamais s'il était fiché et ignorera toujours le contenu des informations conservées sur son compte.

Rouvrir le débat ?

L'article 13 de la LPM se borne finalement à reprendre à son compte un dispositif ancien et imparfait, et aucun débat n'a réellement eu lieu sur le sujet. La CNIL, dans un communiqué du 26 novembre 2013, "déplore" ainsi de ne pas avoir été saisie des dispositions de l'article 13. Observons cependant que cette saisine n'avait rien d'obligatoire, puisqu'en l'espèce il ne s'agit pas de créer des traitements automatisés de données personnelles, mais d'accéder à des données personnelles circulant sur internet. Le gouvernement aurait cependant pu solliciter cet avis,  de nature à éclairer le débat parlementaire, voire à le susciter. 

Le renseignement est désormais au coeur de la stratégie de défense et de sécurité. Dans ce domaine, la présente LPM présente des aspects positifs, notamment par l'approfondissement des moyens de contrôle du parlement dans ce domaine, avec le renforcement des prérogatives de la délégation parlementaire au renseignement (DPR). Il est, dès lors, un peu surprenant, que le socle juridique de l'accès aux données personnelles n'ait pas été discuté, et que le parlement se soit borné à reprendre un dispositif ancien et pour le moins obsolète. De leur côté, les services de renseignement ont tout à gagner d'un débat démocratique dans ce domaine, puisque c'est leur légitimité même qui se trouvera renforcée. Reste à trouver le moyen de reprendre le débat parlementaire. Le Président de la République ne pourrait-il pas s'appuyer sur l'article 10 de la Constitution et demander une nouvelle délibération sur l'article 13 ?

Le projet de loi prorogeant l'état d'urgence

Le projet de loi prorogeant l'état d'urgence a été adopté au Conseil des ministres du 18 novembre 2015.  Il devrait être adopté extrêmement rapidement, avant le 27 novembre, dès lors que le pouvoir réglementaire ne peut décider l'état d'urgence que pour une durée maximum de douze jours. Le texte sur l'état d'urgence sera donc débattu en urgence, ce qui signifie qu'il n'y aura qu'une seule lecture, c'est-à-dire un seul vote, successivement à l'Assemblée nationale et au Sénat.

Observons que l'exposé des motifs du projet de loi se réfère déjà à la future révision constitutionnelle, précisant en particulier qu'il "est aujourd'hui nécessaire d'adapter et de moderniser certaines dispositions de la loi de 1955". Pour le moment cependant, le projet de loi prorogation s'inscrit dans le droit positif, celui qui a son fondement dans la loi du 3 avril 1955, loi peut-être quelque peu datée et dont les auteurs du projet s'efforcent de donner une interprétation plus adaptée à la crise actuelle.

Le projet repose ainsi sur une double démarche. D'une part, il s'agit d'utiliser toutes les possibilités offertes par la loi de 1955 pour prévenir les actes de terrorisme, y compris en autorisant le pouvoir exécutif à porter atteinte à certaines libertés. D'autre part, le projet offre des recours aux personnes qui feront l'objet d'actes individuels pris dans le cadre de l'état d'urgence. En d'autres termes, les atteintes aux libertés qui doivent généralement faire l'objet d'un contrôle a priori du juge judiciaire font désormais l'objet d'un contrôle a posteriori du juge administratif.

Encore faut-il constater que la loi du 3 avril 1955 n'autorise pas n'importe quelle atteinte aux libertés, et que le projet utilise ce texte à la carte, en écartant notamment des mesures que le gouvernement estime inutiles. Tel est le cas de l'article 11 alinéa 2 de la loi de 1955 qui autorise les atteintes à la liberté d'expression, y compris par l'interdiction de journaux, de représentations cinématographiques ou théâtrales. Comme les décrets du 15 novembre 2015 qui déclarent l'état d'urgence, le projet de loi qui en demande prorogation ne mentionne pas la possibilité de porter atteinte à la liberté d'expression.

Liberté de circulation et assignation à résidence

En revanche, la loi permet l'atteinte à la liberté de circulation, avec un renforcement de l'assignation à résidence. L'article 6 de la loi de 1955 offre ainsi au ministre de l'intérieur la possibilité de prononcer une telle mesure à l'encontre d'une personne "dont l'activité s'avère dangereuse pour la sécurité et l'ordre public" . 

Le projet de loi élargit le champ d'application de l'assignation à résidence. Elle ne s'applique pas seulement à l'individu "dont l'activité" est dangereuse pour la sécurité et l'ordre public, mais à celui l'égard duquel "il existe des raisons sérieuses de penser que son comportement constitue une menace" pour la sécurité et l'ordre public. La nuance est importante, car il n'est pas nécessaire que l'intéressé soit passé à l'acte. Il suffit qu'il ait attiré l'attention des services de renseignement par son activité, ses fréquentations etc..

Cet élargissement rappelle la création, en matière pénale, du délit d'association de malfaiteurs en liaison avec une activité terroristes, figurant dans l'article 421-2-1 du code pénal. Il a en effet pour objet de prévenir les attentats en arrêtant ceux qui les préparent, au moment où des actes préparatoires suffisamment graves ont été commis, mais où l'irréparable n'a pas encore eu lieu. L'appréciation est donc délicate, comme sera délicate la décision d'assignation à résidence. 

Dans ce cas en effet, la décision ne reposera pas sur les actes commis par l'individu mais sur l'appréciation de la menace qu'il fait peser sur la sécurité publique. La mesure peut sembler sévère, mais on observe que le projet de loi ne reprend pas la solution de facilité proposée par certains élus du parti "Les Républicains" qui suggéraient d'assigner à résidence toutes les personnes faisant l'objet d'une fiche "S" établie par les services de renseignement. Il est vrai qu'une telle suggestion conduisait à mettre sur la place publique la liste des individus faisant l'objet de ce fichage, les incitant ainsi à chercher de nouvelles recrues moins exposées. 

Dans son organisation matérielle, l'assignation à résidence est également rendue plus exigeante, permettant en particulier d'interdire à l'intéressé de communiquer avec certaines personnes, voire de lui confisquer son passeport.

Ridan. Ulysse. 2007

Les libertés de réunion et d'association

Le projet de loi s'appuie sur l'article 8 de la loi de 1955 qui énonce que "peuvent être également interdites, à titre général ou particulier, les réunions de nature à provoquer ou à entretenir le désordre". Là encore, le champ d'application défini par le projet de loi est élargi. La liberté de réunion vise en effet toute réunion ponctuelle, mais aussi tout groupement permanent, qu'il s'agisse d'une association ou d'un groupement de fait. 

Cet amalgame pourrait être discuté car les libertés de réunion et d'association n'ont pas la même valeur juridique. La première a un fondement législatif dans les lois du 30 juin 1881 et du 28 mars 2007 et aucune décision du Conseil constitutionnel ne lui a permis d'acquérir valeur constitutionnelle. Il n'en est pas de même de la liberté d'association dont on sait qu'elle a valeur constitutionnelle depuis la célèbre décision du 16 juillet 1971. Il est donc toujours plus délicat de porter atteinte à la liberté d'association par une loi, même si ce texte ne fait finalement qu'appliquer le principe de l'état d'urgence, qui veut des prérogatives dévolues au juge judiciaire soient exceptionnellement exercées par l'administration.

Quoi qu'il en soit, le projet de loi affirme que ces groupements peuvent être dissous, non seulement si leur activité est "de nature à provoquer ou à entretenir le désordre", mais aussi s'ils facilitent une atteinte à l'ordre public ou se bornent à y inciter. L'étendue de ce champ d'application est néanmoins tempérée par une condition objective : un groupement ne peut faire l'objet d'une dissolution que si l'un de ses membres, ou l'un de ses proches, fait l'objet d'une mesure d'assignation à résidence.  Là encore, le but est de frapper l'ensemble d'une mouvance terroriste, englobant à la fois les groupes qui passent à l'acte que ceux qui apportent un soutien passif ou développent une activité de propagande ou de recrutement. 

La sûreté

Enfin, le principe de sûreté fait également l'objet de restrictions. Sur le fondement de l'article 11 al. 1 de la loi de 1955, le projet de loi confère à l'autorité administrative le pouvoir d'ordonner des perquisitions, de jour comme de nuit. A dire vrai, les perquisitions de nuit existaient déjà et l'article 706-28 du code de procédure pénale les autorisait pour la recherche et la constatation des infractions liées au trafic de stupéfiants. La différence, et elle est de taille, est que ces perquisitions effectuées dans le cadre de l'état d'urgence sont décidées par l'autorité administrative, sans aucune autorisation préalable du juge judiciaire. 

De la même manière, le champ d'application est élargi à la recherche d'éléments figurant dans des systèmes informatiques appartenant à l'intéressé. Pour des raisons évidentes, une telle disposition ne peut trouver son fondement dans la loi de 1955, mais elle trouve son origine dans le droit commun des perquisitions. 

Là encore, ces pouvoirs exorbitants attribués aux autorités administratives sont tempérés par plusieurs dispositions du projet de loi. On observe d'abord qu'il prend la précaution d'exclure certains domaines de cette procédure, notamment les lieux affectés à un mandat parlementaire ou à l'activité des avocats, magistrats ou journalistes. Ensuite, il précise, et ce n'est pas inutile, que la perquisition se déroule dans les conditions proches du droit commun, en présence de l'intéressé ou de son représentant, avec une information du procureur de la République. 

Les contrôles

Même si l'on sent que les auteurs du projet de loi se sont efforcés d'encadrer autant que possible la mise en oeuvre de l'état d'urgence, il n'en demeure pas moins que le respect de l'état de droit, en situation d'urgence,  ne peut être assuré que si des contrôles sont organisés. 

Le premier d'entre eux est le contrôle dont dispose toute personne qui fait l'objet d'une mesure prise en vertu de l'état d'urgence. Celle-ci dispose, d'une manière générale, d'un droit au recours dans les conditions du droit commun. Dès lors que les mesures prises sont de nature administrative, les recours auront donc lieu devant la juridiction administrative. Il n'est donc pas fait mention de  l'article 7 de la loi de 1955 qui permettait d'organiser une procédure préalable devant une simple commission consultative, disposition qui, de nos jours, semble bien datée. 

Reste posée la question du contrôle global de l'ensemble de la mise en oeuvre de l'état d'urgence. Sur ce plan, il appartiendra au parlement d'en créer les conditions, peut-être par une commission de suivi qui pourra auditionner les autorités compétentes et se faire communiquer les bilans des décisions prises. Le point positif en effet est que les mesures prises auront désormais un fondement législatif et que le parlement a les moyens de contrôler l'exécution des lois. C'est désormais à lui d'assumer toutes ses responsabilités.

Fichiers de renseignement : Le Conseil d'État informe sur l'existence du fichage

Les décisions de justice portant sur le contrôle des données conservées sur les fichiers de renseignement ne sont pas fréquentes, ne serait-ce que parce que les personnes fichées ignorent le plus souvent l'existence même de ce fichage et ne sont donc pas en mesure de le contester au contentieux. L'arrêt rendu par le Conseil d'État le 10 mars 2023, M. B. C. fait donc figure d'exception, d'autant plus que le juge administratif donne injonction aux services de renseignement d'effacer les données relatives à l'intéressé. 

 

De SIREX à SIRCID

 

En l'espèce, M. B. C. se plaint de figurer dans le fichier SIREX, devenu SIRCID, mis en oeuvre par la Direction du renseignement et de la sécurité de la défense. L'existence du SIREX, ou Système d'information de la recherche et de l'exploitation du renseignement de contre-ingérence, a été portée à la connaissance du public en 2014, lorsque les services ont mis en oeuvre la procédure officielle de création des fichiers de renseignement. La finalité du fichier est de protéger les personnels, les matériels et installations sensibles contre tout acte hostile qui serait susceptible de porter atteinte aux capacités opérationnelles. Il ne concerne pas directement les opérations militaires, mais plutôt les actions de subversion, de terrorisme ou d'espionnage. A ce titre, il peut collecter les informations à l'extérieur ou à l'intérieur des frontières, concerner des étrangers comme des citoyens français. Par un décret du 16 septembre 2022, le SIREX devient le SIRCID, Système d’information du renseignement de contre ingérence de la défense. La finalité demeure identique, mais c'est le procédé qui change, car le SIRCID permet de stocker et d'exploiter les mêmes données à partir d'une solution logicielle entièrement française.

 

La création du traitement

 

La sensibilité des fichiers de renseignement, comme d'ailleurs les fichiers de police, explique qu'ils soient soumis à une procédure de création particulière. Contrairement à la plupart des traitements automatisés qui sont de plus en plus soumis à une simple procédure de déclaration, ces fichiers sensibles sont créés par décret après avis motivé de la Commission nationale de l'informatique et des libertés (CNIL). La procédure est opaque, car loi du 6 janvier 1978 prévoit qu'un décret en Conseil d'État peut dispenser de publication l'acte de création de ce type de traitement. Dans ce cas, l'avis de la CNIL demeure aussi confidentiel, même si son "sens" est mentionné. Dans le cas du SIREX, il était ainsi noté que la CNIL avait émis un avis "avec réserve", sans que l'on puisse connaître le sens de cette réserve.

 

 OSS 117, Rio ne répond plus. Michel Hazanavicius. 2009

 

Le droit d'accès indirect

 

Tout cela ne simplifie pas la tâche de la personne qui craint de figurer dans ce fichier. Elle-même dispose d'une procédure qui est qualifiée de "droit d'accès indirect", utilisée pour obtenir communication et, éventuellement, rectification ou effacement des données personnelles contenues dans ces fichiers particulièrement sensibles. Entendons-nous bien : ce "droit d'accès indirect" n'a rien d'un droit d'accès. La notion ne figure pas dans la loi et le Conseil d'État n'en fait pas usage en l'espèce.

Ce "droit d'accès indirect" renvoie en effet à une procédure bien particulière qui n'implique aucune communication des données au principal intéressé. Dans le cas d'un fichier intéressant la sûreté de l'État, la défense ou la sécurité publique, la personne qui redoute d'être illégalement fichée peut saisir la CNIL qui désigne parmi ses membres un magistrat, pour procéder aux investigations utiles ainsi qu'aux modifications éventuellement nécessaires si le contenu de la fiche n'est pas conforme à la loi. Cette procédure, prévue par l'article 118 de la loi du 6 janvier 1978, peut ainsi conduire à effacer des données, lorsque les informations apparaissent "inexactes, incomplètes, équivoques ou périmées". Quand la Commission constate, en accord avec le gestionnaire du fichier, que les données stockées ne mettent pas en cause les finalités du traitement, elles peuvent être communiquées au requérant. Cette procédure indirecte figurait déjà dans l'ancien article 41 de la loi du 6 janvier 1978. Aujourd'hui, l’article 17 de la directive européenne « Police Justice » autorise les États à la maintenir dans leur droit positif.

 

La procédure initiée par le requérant

 

En l'espèce, M. B. C. a saisi, en décembre 2020, le ministre des Armées d'une demande d'accès aux informations susceptibles de le concerner figurant dans le SIRCID. Sa demande a été expressément rejetée le 12 janvier 2021. L'intéressé a alors saisi la CNIL qui l'a informé, le 29 janvier, que le ministre persistait dans son opposition au droit d'accès. En revanche, la Commission n'a pas hésité à procéder aux vérifications prévues par l'article 118 de la loi, mais conformément à ce même article, elle se borne à dire que la procédure a été menée à terme, sans préciser à l'intéressé s'il était fiché ou non. 

Celui-ci fait donc un recours dirigé contre le refus du ministère des Armées de lui donner accès aux informations le concernant. Le juge compétent est la "formation spécialisée" du Conseil d'État mentionnée dans l'article L. 773-2 du code de justice administrative. Elle ressemble à une formation de jugement ordinaire, si ce n'est que ses cinq membres peuvent se faire communiquer toutes les pièces utiles à leur mission, y compris celles couvertes par le secret de la défense nationale.

Dans le cas présent, le juge précise que les informations pertinentes lui ont été effectivement transmises par le ministère des Armées. Et il ajoute que "des données concernant M. C... étaient illégalement conservées dans le traitement SIRCID". 

 

L'information sur l'existence des données

 

Cette formule n'a pas de prix pour le requérant, car elle pulvérise les fondements mêmes du droit d'accès indirect. Alors que ce dernier limite l'information de l'intéressé au seul fait que les vérifications prévues par la loi ont été effectuées, le Conseil d'État, quant lui, confirme que des données personnelles le concernant étaient bel et bien conservées dans le SIRCID.  Logiquement, le juge donne alors injonction au ministère d'effacer ces données. 

La formation spécialisée du Conseil d'État rompt ainsi avec sa jurisprudence antérieure. On se souvient que ses premières décisions, rendues le 19 octobre 2016, se bornaient à mentionner que "la vérification a été effectuée et n'appelle aucune autre mesure de la part du Conseil d'Etat". Autrement dit, le droit d'accès indirect conservait toute son opacité et, à l'issue de la procédure contentieuse, le requérant ne savait toujours pas s'il était fiché ou non.  M. B. C., lui, est informé du fichage en même temps qu'il est informé du caractère erroné de ce fichage. 

La décision du 10 mars 2023 met ainsi en lumière les limites de ce type de fichier. L'existence du fichier se justifie certainement, mais le problème récurrent est celui de l'actualisation, du suivi des informations qui y figurent. Elles sont rarement vérifiées, et des informations qui ne devraient plus y figurer, ou qui n'auraient jamais dû y figurer, demeurent stockées. Cette situation ne relève pas d'une volonté délibérée de pratiquer un fichage de masse, mais bien davantage d'un manque de moyens, d'un manque de personnels pour assurer la vérification constante de la pertinence des données conservées. A sa manière, la formation spécialisée du Conseil d'État joue ainsi un rôle d'aiguillon destiné à rappeler leurs obligations aux administrations concernées.

 Les fichiers de renseignement : Chapitre 8 section 5, § 1 B

 

La loi sur le Narcotrafic devant le Conseil constitutionnel.

La décision rendue par le Conseil constitutionnel le 12 juin 2025 porte sur la loi  "sortir la France du piège du narcotrafic" et témoigne finalement des difficultés liées à son parcours parlementaire. Présentée en première lecture au Sénat, elle a été débattue sans avoir été soumise à une étude d'impact ni à l'avis du Conseil d'État. Le résultat est que les sujets qui fâchent, ceux qui précisément faisaient douter de la constitutionnalité de certaines dispositions, n'ont pas toujours résisté au contrôle. La décision, qui ne compte pas moins de 109 pages, est soigneusement motivée et accompagnée de nombreuses réserves d'interprétation qui sont autant de rappels de la jurisprudence.

Sur les 38 articles déférés au Conseil, 32 ont toutefois été déclarés conformes à la Constitution, parmi lesquels figurent des dispositions essentielles : la fermeture administrative des lieux où ont été commises des infractions liées au narcotrafic, le retrait et le blocage des contenus en ligne proposant l'achat de substances, la prolongation de la garde à vue pour les "mules" ayant ingéré des stupéfiants, l'autorisation d'activer à distance les appareils électroniques pour lutter contre cette délinquance, et enfin la création d'un régime de détention dérogatoire pour les grands délinquants du narcotrafic. 

Tout cela n'est pas rien, mais d'autres dispositions également très importantes ont, quant à elles, été censurées. Cette censure était, dans la plupart des cas, parfaitement prévisible, car conforme à une jurisprudence constante.

 

L'accès des services de renseignement aux bases de données fiscales

 

Il s'agissait en l'espèce de déroger au principe du secret fiscal, en faveur des services de renseignement, qui était donc autorisés à accéder à ces fichier sans avoir à formuler une demande auprès des services fiscaux. Le Conseil reconnaît que la mission des services de renseignement relève de la police administrative, et qu'aucune autorisation judiciaire n'est exigée. En revanche, il rappelle que la collecte, l'enregistrement et la conservation de données personnelles doivent être fondées sur un motif d'intérêt général, et mis en oeuvre de manière proportionnée à cet objectif. Ces conditions figurent déjà dans la décision du 22 mars 2012 portant sur la loi relative à la protection de l'identité.

En l'espèce, le Conseil ne conteste pas le but d'intérêt général, qui est d'améliorer l'information de services spécialisés dans la lutte contre le narcotrafic. En revanche, le droit d'accès qui leur est accordé est d'une ampleur immense puisqu'il concerne toutes les informations conservées dans les fichiers fiscaux. Rien n'est prévu sur la traçabilité des accès ou la destruction des données, lorsqu'elles ne sont plus nécessaires à l'accomplissement de la mission de ces agents. C'est donc cette disproportion qui est sanctionnée. La décision était prévisible si l'on considère que, dans la décision de 2012, était déjà sanctionné un fichier de titres d'identité portant sur la totalité de la population, et possiblement consultable à d'autres fins que les seules vérifications d'identité.

 

 Narcos. Série télévisée. Netflix. 2015

 

L'élargissement du recours aux algorithmes

 

La loi sur le narcotrafic prévoyait un élargissement du recours aux algorithmes par les services de renseignement. La loi du 24 juillet 2015, celle qui fait du renseignement une politique publique, prévoit déjà l'utilisation des algorithmes pour lutter contre le terrorisme, en détectant les signaux faibles parmi les données massivement collectées sur l'ensemble de la population, mais il ne s'agissait alors que des données de connexion, c'est-à-dire des données d'identification des personnes. Par la suite, la loi du 30 juillet 2021 avait étendu cette utilisation aux adresses complètes, c'est-à-dire à l'ensemble des données transitant par les réseaux des opérateurs de communications électroniques. Si la loi de 2015 avait été déclarée conforme à la constitution par le Conseil dans sa décision du 23 juillet 2015, celui-ci n'a pas été saisi de l'élargissement réalisé en 2021.

Aujourd'hui, le Conseil, dans sa décision du 12 juin 2025, censure une technique permettant aux services de contrôler l'ensemble des correspondances échangées, en élargissant la finalité non plus seulement au terrorisme et à la grande criminalité, mais encore au narcotrafic qui d'ailleurs doit être considéré comme un élément de la grande criminalité. Il fait observer que le législateur n'a pas cherché à encadrer cette pratique pour assurer un équilibre entre le respect de la vie privée et l'objectif de lutte contre ces atteintes à l'ordre public. Une nouvelle fois, ce n'est pas la finalité de la loi qui est sanctionnée, mais plutôt l'absence de procédures d'encadrement et de contrôle. L'essentiel, dans cette censure, est qu'elle s'étend de facto aux dispositions de la loi de 2021 qui, en matière de terrorisme et de grande criminalité, ne prévoyait pas davantage d'encadrement et de contrôle.

Procédure pénale : garde à vue et visioconférence

 

Le Conseil censure également des dispositions prévoyant des dérogations très importantes au droit commun de la procédure pénale. La première est l'élargissement de la garde à vue à 96 heures pour les infraction de corruption et de trafic d'influence. Cette sanction était parfaitement prévisible. Dans sa décision du 4 décembre 2013 sur la loi relative à la fraude fiscale et à la grande délinquance économique et financière, le Conseil affirmait déjà qu'une garde à vue de 96 h ne pouvait concerner, en matière correctionnelle, que des délits qui ne sont pas susceptibles de porter atteinte à la sécurité, à la dignité ou à la vie des personnes, qu'ils soient ou non commis en bande organisée. Tel est le cas de la corruption et du trafic d'influence. On peut se demander s'il n'aurait pas été suffisant de mentionner que cette extension de la garde à vue n'était envisagée que si ces délits étaient liés au narcotrafic. En effet, on pouvait alors considérer que l'infraction portait, au moins indirectement, atteinte à la vie des consommateurs de drogue.

De même, l'article 56 § 1 - 10 de la loi déférée importait le recours à la visioconférence pour toutes les comparutions de personnes placées dans les quartiers de lutte contre la criminalité organisée et le narcotrafic. On peut comprendre la volonté de réduire les risques liés aux transfèrements, si souvent exprimée par le personnel pénitentiaire. Il n'en demeure que cette dérogation au droit commun concernait aussi la détention provisoire, durant laquelle, rappelons-le, la personne est présumée innocente. Le Conseil rappelle que la présentation physique de la personne devant le juge d'instruction ou le juge de la liberté et de la détention constitue un élément important des droits de la défense. L'interdire totalement durant toute la détention provisoire leur porterait une atteinte excessive. Là encore, il aurait sans doute été possible d'opérer une distinction entre les personnes en détention provisoire et celles qui purgent leur peine.

 

Le "dossier coffre"

 

La disposition la plus sensible de la loi, et sans doute la plus médiatisée, était celle prévoyant un "dossier coffre".  Inspiré du droit belge, son nom officiel est "procès-verbal distinct", procédure par laquelle il devenait possible de ne pas faire figurer au dossier d'une procédure pénale certaines informations concernant la mise en oeuvre de "techniques spéciales d'enquête", c'est-à-dire la surveillance ou les écoutes téléphoniques, mais aussi les enquêtes sous fausse identité et celles faisant intervenir des témoins protégés. 

Ce "dossier-coffre" ne peut être utilisé que lorsque la divulgation d'un procès-verbal pourrait conduire à mettre en danger des agents infiltrés, des collaborateurs de justice, des repentis ou de leurs proches, ou encore quand elle porterait une atteinte grave et irrémédiable à la possibilité de réutiliser les mêmes techniques. Il s'agit clairement d'éviter les représailles des trafiquants à l'encontre de ces personnes. Le Conseil constitutionnel ne censure pas ces techniques d'enquête, sans doute indispensables aujourd'hui pour porter des coups à la grande criminalité du narcotrafic. Il ne censure pas davantage le "dossier-coffre" en tant que tel, le déclarant conforme à l'objectif constitutionnel de prévention des atteintes à l'ordre public. Il observe que les données conservées dans le "dossier-coffre" ne sont qu'un élément de nature à orienter l'enquête.

En revanche, et là encore il fallait s'y attendre, le Conseil sanctionne l'atteinte au principe du contradictoire. Il déclare inconstitutionnelle la disposition permettant, à titre exceptionnel, qu'une sanction pénale puisse être prononcée sur la base d'éléments de preuve versés au "dossier-coffre" et que la personne mise en cause n'a pas été en mesure de contester. Nous sommes ici au coeur de la procédure pénale, car admettre une telle pratique reviendrait à admettre la possibilité d'une condamnation prononcée sur la base d'éléments non soumis au contradictoire. En l'état actuel du droit, l'article 114 du code de procédure pénale prévoit qu'après ouverture d'une instruction, le dossier de la procédure est mis à disposition de l'avocat quatre jours ouvrables au plus tard avant chaque interrogatoire de la personne mise en examen ou chaque audition de la partie civile. 

Les condamnations sur pièces secrètes doivent rester un mauvais souvenir de l'histoire pénale française. Dans sa décision du 25 mars 2014 relative à la géolocalisation, le Conseil énonçait déjà "qu'en permettant ainsi qu'une condamnation puisse être prononcée sur le fondement d'éléments de preuve alors que la personne mise en cause n'a pas été mise à même de contester les conditions dans lesquelles ils ont été recueillis, ces dispositions méconnaissent les exigences constitutionnelles qui résultent de l'article 16 de la Déclaration de 1789". Toute personne mise en cause devant le juge pénal doit donc pouvoir contester les conditions dans lesquelles ont été recueillies les preuves qui fondent cette mise en cause. De son côté, la Cour européenne des droits de l'homme (CEDH) déclarait, dès son arrêt Foucher c. France du 18 mars 1997 qu'il "est important pour le requérant d'avoir accès à son dossier et d'obtenir la communication des pièces le composant, éléments d'une bonne défense (...)".

Les auteurs de la proposition de loi ont-ils pu imaginer, ne serait-ce qu'un instant, que le Conseil constitutionnel accepterait une disposition admettant une condamnation sur pièce secrète ?  On ignore évidemment la réponse à cette question mais cette décision rappelle un peu celle sur la loi immigration de janvier 2024. A l'époque, le gouvernement avait laissé la majorité sénatoriale déposer tous les amendements qu'elle souhaitait, les avait même fait adopter, en sachant que les dispositions votées seraient ensuite déclarées inconstitutionnelles. Ce jeu de rôles n'est certainement pas satisfaisant, car il conduit à réduire le travail législatif à une sorte de gesticulation, dans laquelle la norme est un texte provisoire destiné à disparaître. Le but n'est plus l'intérêt général, mais la communication politique, la volonté de séduire l'électeur. Dans le cas de la loi narcotrafic, il n'était pourtant pas très difficile de garantir sa constitutionnalité par une attention un peu plus grande portée à sa rédaction. 

 

Le principe du contradictoire et l'accès au dossier  : Chapitre 4, section 1 § B 1  du manuel de libertés publiques sur internet