La CNIL revient, un peu tardivement, sur l'article 13 de la loi de programmation militaire promulguée par le gouvernement donnant accès aux informations conservées par les hébergeurs et autorisant sans autorisation préalable la géolocalisation des utilisateurs. (1)

Si le texte est défendable sur le fond et dans le cadre démocratique actuel (surtout s’il vise à défendre la démocratie et à se défendre contre d’éventuels attaquants de l’extérieur ou de l’intérieur,  il faut tenir compte des dérives possibles de certains services mal intentionnés à l’occasion de changement de cadres institutionnels , notamment dans des périodes troublées comme l’histoire a pu nous le montrer , rien qu’au siècle dernier  encore tout proche.

On le sait, l’article 13 de la loi  voté à cette occasion ne vise plus  seulement de lutter contre le terrorisme mais de défendre les intérêts économiques de notre pays, ce qui est vaste et flou. Pour cela, la puissance publique ne se satisfait plus d'accéder à posteriori à des données de connexion pour les analyser, elle va jusqu'à capturer des données en temps réel, y compris la géolocalisation des utilisateurs. La loi va même jusqu'à autoriser l'examen de toute information ou document conservé par un hébergeur, sans que l'aval d'un juge soit nécessaire.

La CNIL finit par réagir !

Critiquée pour son silence autour de cet article 13 de la loi de programmation militaire, la Cnil se manifeste depuis quelques jours.

Après avoir souligné qu'elle n'a pas été saisie des dispositions de l'article, relatives à l'accès en temps réel, aux données de connexion par des agents des ministères de l'intérieur, de la défense et du budget, la Commission émet ses premières critiques.

« Le recours à la notion très vague "d'informations et documents " traités ou conservés par les réseaux ou services de communications électroniques, semble permettre aux services de renseignement d'avoir accès aux données de contenu, et non pas seulement aux données de connexion (contrairement à ce qu'indique le titre du chapitre du Code de la sécurité intérieure créé par ces dispositions). Elle considère qu'une telle extension, réalisée dans le cadre du régime administratif du recueil des données de connexion, risque d'entraîner une atteinte disproportionnée au respect de la vie privée » indique la CNIL dans un communiqué.

Vigilance sur les décrets d'application

La Cnil souligne ensuite « que la rédaction du nouvel article L. 246-3 du Code de la sécurité intérieure, qui prévoit que ces " informations et documents " peuvent être recueillis " sur sollicitation du réseau " et transmis en temps réel par les opérateurs de communication électronique aux services de renseignement  limite, heureusement, toute possibilité d'aspiration massive et directe des données par les services de renseignement, dans la mesure où l'intervention sur les réseaux concernés est réalisée par les opérateurs de communication eux-mêmes ».

Mais la possibilité d’intervention de la Commission nationale informatique et libertés est désormais limitée. Elle souhaite donc (n’ayant pas été saisie avant le vote de la loi)  « être à l’avenir systématiquement consultée pour tous les textes législatifs ou réglementaires concernant les données personnelles. Et sera très vigilante sur la rédaction des décrets d’application de la loi qui devront lui être soumis ».

Elle appelle également à la mise en place d'un débat public sur la mise en place d'une « société de surveillance ».

(1)              Rappel du contenu de la loi et de l’Article 13

L'objet principal de cette loi est de définir sur le long terme les évolutions de nos forces de défense, des budgets et plans d'investissement qui leur sont dévolues et des effectifs qui les constituent.

 Concernant  Internet et la vie privée des citoyens, elle impose un contrôle renforcé de l'ensemble des communications électroniques transitant par les réseaux, et donc par Internet.

Le contenu de la Loi de Programmation Militaire

L'article 13 de ce projet de loi, tel qu'il a été adopté, modifie le Code des Postes et Télécommunications, stipulant :

« Afin de prévenir les actes de terrorisme, les agents individuellement désignés et dûment habilités des services de police et de gendarmerie nationales spécialement chargés de ces missions peuvent exiger des opérateurs et personnes mentionnés au II de l'article L. 34-1 la communication des données traitées par les réseaux ou les services de communications électroniques de ces derniers, après conservation ou en temps réel, impliquant le cas échéant une mise à jour de ces données. »

Il modifie le code de la sécurité intérieure en y ajoutant notamment, à l'article L. 246-1 :

« Pour les finalités énumérées à l'article L. 241-2, peut être autorisé le recueil, auprès des opérateurs de communications électroniques (…) des informations ou documents traités ou conservés par leurs réseaux ou services de communications électroniques, y compris les données techniques relatives à l'identification des numéros d'abonnement ou de connexion à des services de communications électroniques, au recensement de l'ensemble des numéros d'abonnement ou de connexion d'une personne désignée, à la localisation des équipements terminaux utilisés ainsi qu'aux communications d'un abonné portant sur la liste des numéros appelés et appelant, la durée et la date des communications. »

La loi prévoit par la modification de l'article L. 241-2 du code de la sécurité intérieure, que :

« Peuvent être autorisées, à titre exceptionnel, dans les conditions prévues par l'article L. 242-1, les interceptions de correspondances émises par la voie des communications électroniques ayant pour objet de rechercher des renseignements intéressant la sécurité nationale, la sauvegarde des éléments essentiels du potentiel scientifique et économique de la France, ou la prévention du terrorisme, de la criminalité et de la délinquance organisées et de la reconstitution ou du maintien de groupements dissous en application de l'article L. 212-1. »