le sous-amendement n° 978 de M. Lopez-Liguori à l'amendement n° 640 de M. Marleix et aux amendements identiques suivants à l'article 8 ter (supprimé) (examen prioritaire) de la proposition de loi visant à sortir la France du piège du narcotrafic (première lecture).

L’amendement auquel se rattache le présent sous-amendement tend à réintroduire l’article 8ter dans le texte. Cet article vise à permettre l’accès par les services de renseignement aux données intelligibles contenues dans les messageries cryptées. Malgré les quelques garanties apportées, la menace demeure la même sur le fond : celle de la création de vulnérabilités dans le système, exploitables par des agents malveillants.

Deux méthodes sont envisageables, les deux également insatisfaisantes. L’accès secret via le serveur (« man in the middle »), qui brise le chiffrement, ou l’accès depuis le terminal, par l’insertion d’un utilisateur « fantôme ». Cette dernière méthode expose un point d’entrée qui pourrait être détecté et exploité par des services étrangers Par ailleurs, dans le cas d’applications open source (Signal, Trema, Olvid), les lignes de code créant la backdoor seront publiques et donc accessibles aux personnes malveillantes (hackeurs, Etats étrangers).

Plutôt que d'affaiblir la sécurité globale, une approche alternative serait de croiser les données de connexion (logs) des utilisateurs avec les informations fournies par les OS (iOS, Android) et les opérateurs. Ce sous-amendement propose donc d’imposer une conservation des logs pendant un an, permettant ainsi une traçabilité des communications tout en respectant le chiffrement. Cette obligation renforcerait la coopération des opérateurs avec les services de renseignement et garantirait un cadre légal clair pour accéder aux informations nécessaires dans les enquêtes.

La Commission des lois de l’Assemblée nationale a supprimé l’article 8 ter de la proposition de loi qui avait été introduit, au Sénat, en séance publique par voie d’amendement et qui réécrivait l’article L. 871-1 du code de la sécurité intérieure, pour passer d’une logique d’exigence de déchiffrement généralisé des communications au bénéfice des autorités publiques à une exigence de fourniture des seuls contenus des correspondances que la loi autorise les services de renseignement à réquisitionner.
Ce faisant, l’article rééquilibrait les obligations des opérateurs de messageries tout en assurant la conventionalité du dispositif, notamment suite à l’arrêt CEDH, 13 février 2024, Podchasov c. Russie qui, tout en reconnaissant la légitimité des interceptions, en raison notamment des impératifs de protection de la sécurité nationale et de la sûreté publique ou de prévention des infractions pénales, interdisait une règlementation aboutissant à une atteinte généralisée au chiffrement au bénéfice des services de sécurité.
Les débats en Commission ont mis en évidence la crainte des parlementaires de ce que ces dispositions n’aboutissent à une obligation d’affaiblir les technologies de chiffrement mises en œuvre par les opérateurs de messageries électroniques, qui sont une garantie de libertés publiques fondamentales.
Le présent amendement propose de rétablir partiellement cet article 8 ter, en opérant la modification permettant de ne cibler que les seules correspondances qui font l’objet d’une autorisation d’interception par les services de renseignement. Il ajoute des garanties claires quant au fait que la technologie mise en œuvre pour permettre ces interceptions préserve le secret des correspondances et assure la protection des données à caractère personnel au titre du respect de la vie privée, conformément à l’article L.801-1 du même code.
Pour ce faire, la solution retenue par les personnes physiques ou morales mentionnées devra respecter ces exigences afin d’être validée par l’autorité administrative compétente préalablement à son utilisation, après avis d’une commission constituée d’administrations expertes et d’une autorité administrative indépendante, la CNCTR (commission nationale de contrôle des techniques de renseignement[1]).
Le présent amendement explicite en outre dans la loi le fait que les dispositifs techniques mis en œuvre sont soumis à autorisation préalable du Premier ministre selon les modalités définies par l’article R.226-3 du code pénal soit après avis de la commission dite R.226-2[2], dans l’objectif de limiter l’atteinte portée au secret des correspondances et à la vie privée aux seules correspondances visées par l’autorisation légale.
L’amendement énonce explicitement les critères à respecter pour garantir le respect de ces libertés :
-       les dispositifs techniques doivent exclure toute possibilité d’accès par une personne autre que les agents autorisés à mettre en œuvre les techniques de recueil de renseignement au contenu intelligible des informations, documents, données ou renseignements concernés ;
-       ces dispositifs techniques ne peuvent porter atteinte à la prestation de cryptologie visant à assurer une fonction de confidentialité.
Cette rédaction interdit sans ambigüité toute solution technique qui reposerait sur la création d’une « porte dérobée » (ou « backdoor »), susceptible d’affaiblir le chiffrement, solution qui ne correspond d’ailleurs absolument pas aux attentes de l’Etat.
Les services experts de l’Etat en matière de technologies de l’information et de la communication, en matière d’interception et en matière de cybersécurité ont travaillé sur ce sujet et garantissent qu’il existe bien des solutions techniques qui présentent deux garanties :
1.     elles ne portent aucunement atteinte au protocole de chiffrement de bout en bout, qui prémunit contre toute interception du flux d’information par un tiers non autorisé,
2.     elles demeurent exécutées par les opérateurs de messageries eux-mêmes, qui agissent ainsi sur réquisition légale des services de renseignement : sur autorisation du Premier ministre, après avis de la CNCTR (et après saisine automatique du Conseil d’Etat en cas d’avis défavorable de la CNCTR, ce qui ne s’est jamais produit à ce jour).
Par ailleurs, la disposition réécrite par le présent amendement restreint très strictement la portée de l’obligation de transmission de contenu imposée aux seules trois techniques de recueil de renseignement suivantes : le recueil de données de connexion (article L. 851-1), l’accès aux données de connexion en temps réel (article L.851-2) et les interceptions de sécurité (article L. 852-1).
Pour assurer un meilleur respect de ces exigences de coopération modernisées, les dispositions proposées renforcent les sanctions pénales applicables aux personnes physiques et morales qui refuseraient de s’acquitter de leurs obligations en la matière. Elles portent à 1.500.000 euros le montant de l’amende encourue pour les personnes physiques commettant ces infractions de manière habituelle et d’une amende pouvant atteindre jusqu’à 2% du chiffre d’affaires mondial annuel hors taxes, les personnes morales se trouvant dans la même situation. Le montant de ces sanctions correspond à celui qui a été retenu, pour des infractions de nature équivalente en matière judiciaire, par l’Union européenne dans le règlement 2023/1543 (eEvidence).
A cet égard, l’interpellation récente du fondateur de plateforme Telegram montre que le levier répressif est susceptible de fournir des résultats opérationnels tangibles puisque la coopération de cette plateforme avec l’autorité judiciaire s’est depuis nettement améliorée.
Par ailleurs, sans modifier le droit applicable, dans l’attente de la transposition du paquet européen eEvidence, par souci de lisibilité et de cohérence légistique, le présent article prévoit le déplacement des dispositions applicables aux réquisitions de données émanant de l’autorité judiciaire dans le code de procédure pénale et dans le code des postes et des communications électroniques.
Dans le même temps, les évolutions envisagées du Code des poste et des communications électroniques (CPCE)consistent à créer une nouvelle section consacrée aux « prescriptions exigées par l’ordre public, la défense nationale, la sécurité publique ou la sauvegarde des intérêts fondamentaux de la Nation ».
Les dispositions de cette section reprennent une partie des dispositions règlementaires du CPCE (article D.98-7) actuellement applicables aux personnes exploitant un réseau de communications électroniques ou fournissant des services de communications électroniques et les personnes mentionnées au 2 du I de l’article 6 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique afin d’élever le niveau de norme applicable. Il s’agit d’inscrire dans la loi l’obligation pour les personnes précitées d’assurer la mise en place des moyens techniques requis préalablement à l’exécution des réponses aux réquisitions légales qui leur sont adressées.
Afin d’assurer le respect de ces nouvelles dispositions, le texte propose enfin de confier au Premier ministre, au titre de ses attributions spécifiques en matière de défense et de sécurité nationale et au terme d’une procédure contradictoire, la possibilité de sanctionner les personnes morales défaillantes. De nature progressive, ces sanctions peuvent aller jusqu’à l’obligation pour la personne morale défaillante de suspendre immédiatement son activité sur le territoire national. Cette décision serait, en tout état de cause, susceptible de recours devant le juge administratif.
La mise à jour du cadre légal est le préalable nécessaire pour instaurer un dialogue équilibré avec les opérateurs de messageries chiffrées. Les dispositions actuelles, par leur obsolescence et leur inconventionnalité, ne le permettent pas.
En tout état de cause, aucune autre dispositif légal ou technique ne permettrait de pallier l’absence de coopération des plateformes de messagerie chiffrée, dont l’utilisation tend à remplacer les communications téléphoniques classiques. 
Cet état de fait représente d’ores et déjà un obstacle majeur pour la protection des intérêts fondamentaux de la Nation par les services de renseignement. En matière terroriste, plusieurs attaques mortelles récentes auraient pu être évitées si les plateformes avaient coopéré avec les services de renseignement. Dans le domaine du narcotrafic, les organisations concernées recourent désormais principalement aux solutions privées « grand public » pour la coordination de leurs activités clandestines. Les solutions ad hoc dédiées au crime organisé sont quant à elles de moins en moins investies.

[1] Présidée par un magistrat hors hiérarchie de la Cour de cassation ou un membre du Conseil d’État, la CNCTR est composée de deux députés et deux sénateurs, désignés de manière à assurer une représentation pluraliste du Parlement ; deux membres du Conseil d'État, d'un grade au moins égal à celui de conseiller d'État, nommés par le vice-président du Conseil d'État ; deux magistrats hors hiérarchie de la Cour de cassation, nommés conjointement par le premier président et par le procureur général de la Cour de cassation ; une personnalité qualifiée pour sa connaissance en matière de communications électroniques, nommée sur proposition du président de l'Autorité de régulation des communications électroniques et des postes.

 
[2] Composition de la commission R.226-2 du code pénal : présidée par le directeur de l’ANSSI ou un de ses représentants, un représentant des ministères de la Justice, de l’Intérieur, de la Défense, des ministères chargés de douanes, de l’industrie, des télécommunications ; un représentant de la CNCTR, de l’Agence nationale des fréquences ; deux personnalités choisies en raison de leur compétence par le premier ministre ; le secrétariat est assuré par l’ANSSI ; la commission peut entendre, à titre d’expert, toute personne compétente.