La nouvelle loi sur le renseignement doit être votée ce mardi 5 mai à l’Assemblée nationale, soit moins de deux mois après sa présentation en Conseil des ministres. Le projet était déjà dans les cartons l’année dernière. Mais après les attentats de janvier, le gouvernement l’a fait passer en procédure accélérée. Le texte est pourtant loin d’être sans conséquences. Il va encore élargir les possibilités de surveillance du net, déjà étendues par la dernière loi de programmation militaire de 2013 et la loi antiterroriste votée en novembre 2014 ™™Lire notre article La fin de la vie privée : logiciels mouchards, métadonnées, réseaux sociaux et profilage – Comment l’État français nous surveille, disponible sur ESSF (article 34886).]].

De fait, cette loi a très vite réuni contre elle les défenseurs des libertés et des droits (Ligue des droits de l’Homme, syndicats de la magistrature et des avocats de France, associations de défense des libertés numériques…). Même la Commission nationale consultative des droits de l’homme [1] et le défenseur des droits Jacques Toubon [2] ont émis des avis critiques. Une partie des acteurs de l’économie numérique sont aussi vent debout. De nombreuses organisations appellent un rassemblement le lundi 4 mai pour alerter une dernière fois les parlementaires sur ce qu’ils s’apprêtent à voter. Quels sont les points qui inquiètent dans ce projet de loi ?

 Une loi pour… légaliser des pratiques illégales

Le gouvernement met en avant le fait que cette loi permettra de mieux encadrer des pratiques déjà existantes des services de renseignements, en matière de surveillance du net et des communications électroniques. Bref, la loi vise à légaliser ce que les services font déjà, illégalement. Elle autorise en ce sens les services à utiliser toute une batterie de techniques supplémentaires de surveillance : interceptions de correspondances électroniques, pose de micros dans un appartement ou un véhicule, géolocalisation…

Le cadre dans lequel les agents pourront recourir à ces nouveaux outils va largement au-delà de la seule prévention du terrorisme. Ils pourront s’en saisir également pour (entre autres) la défense des « intérêts économiques, industriels et scientifiques majeurs » du pays, « la prévention des atteintes à la forme républicaine des institutions, des violences collectives de nature à porter atteinte à la sécurité nationale » et « la prévention de la criminalité et de la délinquance organisées ».

 Les « boîtes noires » ou la captation en temps réel des métadonnées

C’est une mesure qui fait réagir fortement une partie des acteurs de l’économie numérique : la pose de « boîtes noires » directement chez les fournisseurs d’accès à Internet et les hébergeurs. C’est-à-dire de dispositifs de recueil « en temps réel sur les réseaux des opérateurs » des métadonnées, appelées également « données de connexions » – qui écrit à qui ou appelle qui, à quel moment, quels sites sont consultés…

« Le ministre de l’Intérieur passe son temps à argumenter qu’il n’y a que les métadonnées qui seront ainsi surveillées. Mais les métadonnées donnent en fait plus d’informations sur quelqu’un que le contenu des conversations », analyse Benjamin Bayart, de la FFDN, une fédération des fournisseurs d’accès à Internet associatifs, qui regroupe une trentaine de fournisseurs sur toute la France [3]. « Surveiller les métadonnées, c’est en fait extrêmement intrusif. »

 Conséquence : des hébergeurs français partent à l’étranger

Cet article de la loi préoccupe sérieusement les hébergeurs. « Imposer aux hébergeurs français d’accepter une captation en temps réel des données de connexion et la mise en place de « boîtes noires » aux contours flous dans leurs infrastructures, c’est donner aux services de renseignement français un accès et une visibilité sur toutes les données transitant sur les réseaux », dénonçaient les hébergeurs OVH, Afhads, Gandi, IDS, Ikoula, Lomaco et Online le 9 avril. La loi pourrait même les contraindre à délocaliser leur activité : « Les hébergeurs français n’hébergent pas que des clients français : ils accueillent des clients étrangers qui viennent se faire héberger en France. (…) Ces clients viennent parce qu’il n’y a pas de Patriot Act en France, que la protection des données des entreprises et des personnes est considérée comme importante. Si cela n’est plus le cas demain en raison de ces fameuses « boîtes noires », il leur faudra entre 10 minutes et quelques jours pour quitter leur hébergeur français. Pour nous le résultat est sans appel : nous devrons déménager nos infrastructures, nos investissements et nos salariés là où nos clients voudront travailler avec nous. »

Un amendement à cet article a ensuite été apporté, selon les hébergeurs. Un amendement qui donne des engagements concrets concernant la préservation des données personnelles et le « caractère ciblé, limité dans le temps et non systématique de ce dispositif de surveillance ». Les hébergeurs indiquent tout de même rester vigilants quant à l’application de la mesure dans les mois à venir. OVH, troisième société d’hébergement Internet dans le monde, attend la décision du Conseil constitutionnel – qui doit être saisi par un groupe de parlementaires, et par le président de la République (une première dans l’histoire de la cinquième République) –, pour en dire plus sur sa position.

Deux hébergeurs ont en tous cas déjà décidé de plier bagages. Altern a fermé ses services juste après le premier vote de la loi à l’Assemblée nationale mi-avril, « pour les réouvrir dans quelques jours dans un pays plus respectueux des libertés individuelles », selon ses propos. Eu.org a annoncé procéder « au déménagement de tous ses serveurs de noms hors de France. »

 Un traitement automatisé pour détecter les profils suspects

Pour la prévention du terrorisme, la loi prévoit aussi la mise en place de dispositifs de traitement automatisé de ces données récoltées auprès des fournisseurs d’accès à Internet et hébergeurs de sites. Il s’agirait d’algorithmes programmés pour déterminer un profil de « menace terroriste ». Or, pour établir des profils suspects, il faut d’abord ramasser un grand nombre de données.

« La loi est très floue sur ce point. Mais ce type d’algorithmes est rarement fiable, tout comme ceux qui servent à proposer des pubs ciblées, fait remarquer Benjamin Bayart. Avec seulement 1 % d’erreur, cela veut dire que ce système de détection va remonter à des milliers de gens qui n’intéresseront pas les services de renseignement. Alors même que le gain n’est pas évident, ces systèmes de surveillance ont un effet sur la société toute entière. Cela modifie la façon dont les gens pensent et agissent. »

 Une commission consultative pour seul contrôle indépendant

Pour mettre en œuvre ces nouveaux dispositifs de surveillance, les services de renseignements n’auront besoin ni de l’accord d’un juge, ni de celui d’une autorité indépendante du politique. Seul le Premier ministre aura à donner son autorisation. La loi prévoit bien la création d’une Commission nationale de contrôle des techniques de renseignement (CNCTR), une autorité administrative indépendante chargée de contrôler ces dispositifs, composée de treize membres – trois députés, trois sénateurs, trois membres du Conseil d’État, trois magistrats, une personnalité qualifiée en matière technique. Mais l’avis de cette commission ne sera que consultatif. Et encore, en cas « d’urgence absolue », les services et le Premier ministre pourront la contourner.

De quoi douter de son réel pouvoir. D’autant que cette structure va venir remplacer l’actuelle Commission nationale de contrôle des interceptions de sécurité (CNCIS) qui se plaignait encore dans son dernier rapport d’activité de manquer de moyens nécessaires à sa mission.

 Une opposition croissante

Des syndicats de presse alertent également sur la mise en péril du secret des sources pour les journalistes. «  L’amendement adopté pour introduire un traitement particulier de certaines professions, dont les journalistes, n’offre pas de garde-fou suffisant à la liberté d’informer et d’être informé, et ne répond pas aux inquiétudes des entreprises de presse », indiquent ainsi le Syndicat de la presse indépendante d’information en ligne (SPIIL, dont Basta ! est membre) et le Groupement des éditeurs de contenus et services en ligne (GESTE). « Le principe de la protection des sources apparaît gravement fragilisé », poursuivent ces organisations, qui demandent instamment aux parlementaires de voter contre ce texte, les termes de la loi laissant « ouvertes des marges d’interprétation incompatibles avec, notamment, la Convention Européenne des Droits de l’Homme et la Déclaration des Droits de l’Homme et du Citoyen ».

Les critiques se multiplient également du côté des responsables politiques : « Après avoir suivi les débats, lu les argumentaires des uns et des autres, le 5 mai, en conscience, je voterai contre le PJL [projet de loi] renseignement », a ainsi déclaré le 18 avril Nicolas Bays, vice-président socialiste de la Commission de la défense à l’assemblée nationale. Le débat politique précipité, sur un sujet aussi important et complexe, est loin d’être satisfaisant, pointe la Quadrature du Net, spécialisée dans la défense des libertés numériques : « Les trop rares députés qui se sont opposés au rapporteur Urvoas et aux ministres de l’Intérieur, de la Justice et de la Défense se sont vus opposer des réponses fuyantes ou elliptiques à leurs questionnements pourtant très précis du point de vue technique et juridique. ». Les « modifications cosmétiques et opportunistes » apportées en première lecture à l’Assemblée nationale n’ont pas modifié l’équilibre du texte, qui « reste inacceptable pour une démocratie », alerte l’association.

Le gouvernement a choisi de faire passer cette loi au Parlement en procédure accélérée, ce qui signifie moins de débats dans les deux assemblées parlementaires. « Au Parlement européen, ce genre de texte est discuté entre six et huit mois. Là, les députés en ont débattu seulement cinq semaines, regrette Benjamin Bayart. La méthode retenue de procédure accélérée ne permet pas au Parlement de réfléchir et de travailler correctement sur des problèmes aussi compliqués, qui touchent à la fois aux services de renseignements, au numérique, à la question de la surveillance. Je suis stupéfait que les députés aient accepté ça », déplore le porte-parole des fournisseurs d’accès à Internet associatifs. Les députés entendront-ils enfin les avertissements des organisations, syndicats et experts, lors du vote solennel de ce mardi ?

Rachel Knaebel, avec Agnès Rousseaux