5 avril 2018 - Demain se tiendra la commission mixte paritaire (réunissant une poignée de députés et de sénateurs) destinée à trancher les différentes version de la loi « données personnelles » adoptée par chacune des deux chambres ces deux derniers mois. Bien qu'échouant chacune à encadrer les services de renseignement, l'Assemblée nationale et le Sénat ont, chacun de leur côté, prévu certaines avancées pour nos libertés.

Le rôle de la commission sera de trancher point par point laquelle des versions des deux chambres doit être définitivement adoptée. L'Observatoire des Libertés et du Numérique (OLN) leur écrit pour leur indiquer les choix exigés par la défense de nos libertés.

Lettre ouverte aux membres de la commission mixte paritaire

Madame, Monsieur,

Vous débattrez demain du projet de loi relatif à la protection des données personnelles. L’Assemblée nationale et le Sénat que vous représentez ont arrêté certaines positions en faveur de la protection des libertés. Il s'agit à présent de concilier ces avancées afin de répondre aux enjeux posés par cette évolution législative historique.

Décision individuelle automatisée - article 14

L'Assemblée nationale et le Sénat ont fermement réitéré l'interdiction historique d'une automatisation de la Justice, mais l'Assemblée nationale a néanmoins admis cette automatisation dans le cadre des décisions administratives individuelles.

Ce revirement total par rapport à ce que la loi informatique et liberté a interdit dès 1978 a été de la volonté du secrétariat d’État au numérique, le ministère de la Justice ne semblant manifestement pas le soutenir activement. Il faut regretter que l'Assemblée n'ait pas pris le temps d'en discuter lors de l'examen du texte en séance publique, acceptant sans vrai débat ce changement de paradigme. Voir en ce sens l'avis de la CNIL sur le projet de loi (pp.27 – 28).

Heureusement, la rapporteure du texte au Sénat a fait poser certaines limites à cette automatisation des décisions administratives. À cet égard, toute limitation de la sorte devra être défendue et retenue par votre commission.

Sanction des collectivités - article 6

Le Sénat a indiqué souhaiter exempter les collectivités territoriales de toute sanction de la CNIL. À défaut d'être associé à la moindre sanction, le contrôle de la CNIL sur ces collectivités deviendrait parfaitement vain et, en pratique, prendrait vraisemblablement rapidement fin.

Ce contrôle apparaît toutefois indispensable au regard des mutations rapides et drastiques déjà entamées en matière de « justice prédictive » ou de « ville intelligente ». 

Ainsi l'application « Reporty » qui, testée par la ville de Nice, devait recueillir et centraliser les signalements vidéos d'incivilités et d'infractions transmis par ordiphone a été dénoncée par la CNIL qui a jugé les traitements envisagés disproportionnés et n'ayant pas de base légale. Voir en ce sens la récente décision de la CNIL.

Un deuxième cas récent qui justifie également de conserver le pouvoir de sanction de la CNIL à l’égard des collectivités est celui de « l'observatoire Big Data de la tranquillité publique » que la ville de Marseille est en train de mettre sur pied. Pour s’en convaincre lire l'article détaillé de La Quadrature du Net.

Face à des mutations aussi vertigineuses, vous devrez expliquer aux citoyens pourquoi vous leur avez retiré la protection que leur offrait encore la CNIL.

Votre commission doit donc retenir la position de l'Assemblée nationale, qui conserve à la CNIL son entier pouvoir de sanction.

Chiffrement par défaut - après l'article 10

Reprenant un amendement proposé par La Quadrature du Net, le Sénat a précisé l'obligation de sécurité imposée par le RGPD, indiquant que celle-ci implique de chiffrer les données chaque fois que cela est possible (et donc notamment de chiffrer les communications de bout en bout).

Cette précision fondamentale clarifie l’obligation de sécurité et évitera tout faux débat quant à son interprétation.
La CNIL considère en effet depuis longtemps que, « dans un contexte de numérisation croissante de nos sociétés et d’accroissement exponentiel des cybermenaces, le chiffrement est un élément vital de notre sécurité », exigeant ainsi des « solutions de chiffrement robustes, sous la maitrise complète de l’utilisateur » - telles que celles votées par le Sénat et qui doivent être maintenues dans la loi.

Rappelons que la position de la CNIL n'est en rien limitée à des considérations propres aux libertés, l'Agence nationale de sécurité des systèmes d'information (ANSSI) établissant ainsi nettement que « parmi les outils de protection indispensables figurent au premier rang les moyens de cryptographie et notamment les technologies de chiffrement de l'information. Eux seuls permettent d'assurer une sécurité au juste niveau lors de la transmission, du stockage et de l'accès aux données numériques sensibles ».

Droit à la portabilité - article 20 bis

La loi pour une république numérique de 2016 a inscrit dans la loi une obligation étendue à la portabilité des données. Cette portabilité dépasse celle restreinte aux seules données personnelles prévues par le règlement. La portabilité générale inscrite en droit français permet une mise en application véritable de ce dispositif pour permettre aux internautes consommateurs de faire véritablement jouer la concurrence entre services en ligne et éviter de devoir demeurer sur un service qui ne leur conviendrait plus en raison du « coût de sortie » d'une perte d'une grande quantité de données non personnelles, notamment celles apportées au service. 

Le Sénat l'a bien compris : le texte, dans la version qu'il a retenue, est plus protecteur des internautes, il facilitera une concurrence saine entre services en ligne et doit donc être conservé.

L’Observatoire des Libertés et du Numérique vous demande instamment à l’occasion de ce vote important pour les libertés numériques des résidents européens, de faire les choix des dispositions les plus protectrices des libertés.

Organisations signataires de l’OLN : Le CECIL, Creis-Terminal, La Ligue des Droits de l'Homme (LDH), La Quadrature du Net (LQDN)

5 avril 2018 - Demain se tiendra la commission mixte paritaire (réunissant une poignée de députés et de sénateurs) destinée à trancher les différentes version de la loi « données personnelles » adoptée par chacune des deux chambres ces deux derniers mois. Bien qu'échouant chacune à encadrer les services de renseignement, l'Assemblée nationale et le Sénat ont, chacun de leur côté, prévu certaines avancées pour nos libertés.

Le rôle de la commission sera de trancher point par point laquelle des versions des deux chambres doit être définitivement adoptée. L'Observatoire des Libertés et du Numérique (OLN) leur écrit pour leur indiquer les choix exigés par la défense de nos libertés.

Lettre ouverte aux membres de la commission mixte paritaire

Madame, Monsieur,

Vous débattrez demain du projet de loi relatif à la protection des données personnelles. L’Assemblée nationale et le Sénat que vous représentez ont arrêté certaines positions en faveur de la protection des libertés. Il s'agit à présent de concilier ces avancées afin de répondre aux enjeux posés par cette évolution législative historique.

Décision individuelle automatisée - article 14

L'Assemblée nationale et le Sénat ont fermement réitéré l'interdiction historique d'une automatisation de la Justice, mais l'Assemblée nationale a néanmoins admis cette automatisation dans le cadre des décisions administratives individuelles.

Ce revirement total par rapport à ce que la loi informatique et liberté a interdit dès 1978 a été de la volonté du secrétariat d’État au numérique, le ministère de la Justice ne semblant manifestement pas le soutenir activement. Il faut regretter que l'Assemblée n'ait pas pris le temps d'en discuter lors de l'examen du texte en séance publique, acceptant sans vrai débat ce changement de paradigme. Voir en ce sens l'avis de la CNIL sur le projet de loi (pp.27 – 28).

Heureusement, la rapporteure du texte au Sénat a fait poser certaines limites à cette automatisation des décisions administratives. À cet égard, toute limitation de la sorte devra être défendue et retenue par votre commission.

Sanction des collectivités - article 6

Le Sénat a indiqué souhaiter exempter les collectivités territoriales de toute sanction de la CNIL. À défaut d'être associé à la moindre sanction, le contrôle de la CNIL sur ces collectivités deviendrait parfaitement vain et, en pratique, prendrait vraisemblablement rapidement fin.

Ce contrôle apparaît toutefois indispensable au regard des mutations rapides et drastiques déjà entamées en matière de « justice prédictive » ou de « ville intelligente ». 

Ainsi l'application « Reporty » qui, testée par la ville de Nice, devait recueillir et centraliser les signalements vidéos d'incivilités et d'infractions transmis par ordiphone a été dénoncée par la CNIL qui a jugé les traitements envisagés disproportionnés et n'ayant pas de base légale. Voir en ce sens la récente décision de la CNIL.

Un deuxième cas récent qui justifie également de conserver le pouvoir de sanction de la CNIL à l’égard des collectivités est celui de « l'observatoire Big Data de la tranquillité publique » que la ville de Marseille est en train de mettre sur pied. Pour s’en convaincre lire l'article détaillé de La Quadrature du Net.

Face à des mutations aussi vertigineuses, vous devrez expliquer aux citoyens pourquoi vous leur avez retiré la protection que leur offrait encore la CNIL.

Votre commission doit donc retenir la position de l'Assemblée nationale, qui conserve à la CNIL son entier pouvoir de sanction.

Chiffrement par défaut - après l'article 10

Reprenant un amendement proposé par La Quadrature du Net, le Sénat a précisé l'obligation de sécurité imposée par le RGPD, indiquant que celle-ci implique de chiffrer les données chaque fois que cela est possible (et donc notamment de chiffrer les communications de bout en bout).

Cette précision fondamentale clarifie l’obligation de sécurité et évitera tout faux débat quant à son interprétation.
La CNIL considère en effet depuis longtemps que, « dans un contexte de numérisation croissante de nos sociétés et d’accroissement exponentiel des cybermenaces, le chiffrement est un élément vital de notre sécurité », exigeant ainsi des « solutions de chiffrement robustes, sous la maitrise complète de l’utilisateur » - telles que celles votées par le Sénat et qui doivent être maintenues dans la loi.

Rappelons que la position de la CNIL n'est en rien limitée à des considérations propres aux libertés, l'Agence nationale de sécurité des systèmes d'information (ANSSI) établissant ainsi nettement que « parmi les outils de protection indispensables figurent au premier rang les moyens de cryptographie et notamment les technologies de chiffrement de l'information. Eux seuls permettent d'assurer une sécurité au juste niveau lors de la transmission, du stockage et de l'accès aux données numériques sensibles ».

Droit à la portabilité - article 20 bis

La loi pour une république numérique de 2016 a inscrit dans la loi une obligation étendue à la portabilité des données. Cette portabilité dépasse celle restreinte aux seules données personnelles prévues par le règlement. La portabilité générale inscrite en droit français permet une mise en application véritable de ce dispositif pour permettre aux internautes consommateurs de faire véritablement jouer la concurrence entre services en ligne et éviter de devoir demeurer sur un service qui ne leur conviendrait plus en raison du « coût de sortie » d'une perte d'une grande quantité de données non personnelles, notamment celles apportées au service. 

Le Sénat l'a bien compris : le texte, dans la version qu'il a retenue, est plus protecteur des internautes, il facilitera une concurrence saine entre services en ligne et doit donc être conservé.

L’Observatoire des Libertés et du Numérique vous demande instamment à l’occasion de ce vote important pour les libertés numériques des résidents européens, de faire les choix des dispositions les plus protectrices des libertés.

Organisations signataires de l’OLN : Le CECIL, Creis-Terminal, La Ligue des Droits de l'Homme (LDH), La Quadrature du Net (LQDN)

4 avril 2018 - Dans sa décision du 30 mars 2018 relative à l'article 434-15-2 du code pénal, le Conseil constitutionnel a refusé de protéger le droit pour une personne suspectée (en l'espèce un soupçonné revendeur de drogues) de ne pas révéler ses clefs de déchiffrement. Alors que de nombreux acteurs du droit et le gouvernement lui-même s'attendaient à une décision ménageant le droit à ne pas s'auto-incriminer – c'est-à-dire le fait de ne pas être contraint de s'accuser soi-même en livrant son mot de passe –, le Conseil rend une décision très décevante. La Quadrature du Net, qui est intervenue dans cette affaire, s'inquiète de cette décision qui risque d'affaiblir durablement le droit au chiffrement.

La disposition attaquée, l'article 434-15-2 du code pénal, punit d'importantes peines d'amendes et de prison le refus de livrer aux autorités judiciaires une convention de déchiffrement (par exemple, le mot de passe permettant de déchiffrer le contenu d'un disque dur).

Des réserves a minima

Les seules réserves apportées par le Conseil consistent à confirmer qu'il est nécessaire pour l'autorité judiciaire « d'établir » que la personne concernée a effectivement connaissance de la clef de déchiffrement. Cette précision confirme que l'incrimination pénale ne peut être retenue contre des prestataires de solution de chiffrement « bout-en-bout » des communications qui, par définition, n'ont pas connaissance de la clef.

Le Conseil impose également que « l'enquête ou l'instruction doivent avoir permis d'identifier l'existence des données traitées par le moyen de cryptologie susceptible d'avoir été utilisé pour préparer, faciliter ou commettre un crime ou un délit ». Une précision qui invite à penser qu'il sera donc nécessaire pour les autorités de prouver que des données spécifiques intéressant l'enquête existent bien sur le périphérique concerné.

Malheureusement, le Conseil constitutionnel a refusé de reconnaître les atteintes de ce texte au droit de ne pas s'accuser, au droit au respect de la vie privée, au secret des correspondances, ou encore à la liberté d'expression et de communication.

Le droit de ne pas s'auto-incriminer bafoué

Cette décision constitue d'abord une véritable remise en cause du droit de ne pas s'auto-incriminer – un principe fondamental du droit pénal – qui déséquilibre fortement l'équilibre précaire entre l'instruction et la poursuite légitime des infractions d'un côté, les droits de la défense et le respect de la présomption d'innocence de l'autre. Elle est d'autant plus choquante que la limitation de l'application de ce texte aux seules personnes tierces à l'infraction (n'étant donc pas menacées par l'enquête) était déjà acceptée par une large majorité des acteurs du droit qui doivent faire application de cette incrimination (juridictions, forces de l'ordre, avocats…).

C'est ce qu'illustre par exemple un rapport de la CNIL de 2016, qui affirmait que les obligations de révéler des clefs de déchiffrement « ne peuvent pas conduire à obliger les personnes mises en cause à fournir les informations utiles à l’enquête ». La CNIL poursuivait en rappelant que « le droit de ne pas s’auto-incriminer est un droit fondamental qui trouve son origine dans la Convention européenne des droits de l'Homme et dans la jurisprudence de la Cour européenne ».

Même Philippe Blanc, représentant le Premier ministre dans cette affaire, le reconnaissait plusieurs fois lors de à l'audience du 6 mars 2018 :

La seule interprétation qui soit de nature à rendre l'article 434-15-2 du Code pénal conforme à la Constitution est, en effet, celle qui exclue l'application de cette loi aux personnes suspectées d'avoir commis elles-mêmes une infraction. Cette interprétation est nécessaire […] pour préserver le droit de la personne suspectée à ne pas s'auto-incriminer.

En ce même sens, dès février, le Centre de recherche de l'école des officiers de la gendarmerie nationale (CREOGN) anticipait la décision en ces termes : « Cette décision va sans doute consister en une déclaration de constitutionnalité sous réserve : le texte ne s'appliquerait pas aux auteurs, co-auteurs ou complices en vertu du droit de se taire et de ne pas s'auto-incriminer ».

Et pourtant, le Conseil constitutionnel en a décidé autrement.

Le droit à la vie privée et la liberté de communication menacées

Le CREOGN rappelait par ailleurs le contexte de la création de cette infraction : un simple amendement non véritablement débattu dans la loi relative à la sécurité quotidienne du 15 novembre 2001, adoptée dans le contexte et l'émotion des attaques du 11 septembre. Passible d'une sanction particulièrement importante (3 ans de prison et 270 000 € d'amende), cette disposition risque d'être désormais utilisée aussi bien par les juges d'instruction que par les procureurs pour contraindre des suspects de leur donner accès à tout périphérique chiffré (smartphone, ordinateur, périphériques de mémoire…).

Cette décision remet en cause le droit au chiffrement et l'intérêt de son usage, mais aussi, incidemment, la vie privée, la confidentialité des communications, le secret des sources journalistiques et la liberté de communication. Alors que l'ère numérique banalise la société de surveillance, ce droit est pourtant devenu une nécessité pour garantir les libertés fondamentales face aux possibilités d'arbitraire de l'État. En 2015, l'Assemblée parlementaire du Conseil de l'Europe rappelait ainsi que, « jusqu’à ce que les États acceptent de fixer des limites aux programmes de surveillance massive menés par leurs agences de renseignement, le chiffrement généralisé visant à renforcer la vie privée constitue la solution de repli la plus efficace pour permettre aux gens de protéger leurs données »1.

La décision du Conseil fait d'ailleurs fi des recommandations formulées en 2015 par David Kaye, rapporteur spécial du Conseil des droits de l'Homme de l'ONU pour la liberté d'expression, dans son rapport sur le droit au chiffrement, où il abordait la question des obligations de livrer les clefs de déchiffrement2. Plus largement, elle s'inscrit dans une tradition juridique française particulièrement hostile au chiffrement, qu'illustre par exemple l'article 132-79 du code pénal, qui fait de l'usage du chiffrement une circonstance aggravante lorsqu'il est utilisé pour préparer ou commettre un délit.

L'accès aux données stockées sur nos ordinateurs, nos téléphones ou, sur nos serveurs s'avère formidablement intrusif, révélant des pans entiers de notre intimité, de notre histoire personnelle, de notre mémoire. Dans ce contexte, le chiffrement des données permet de rétablir un peu de l'équilibre perdu entre les capacités de surveillance des États et le droit à la vie privée. Or, par cette décision, le Conseil constitutionnel admet que le simple fait d'être suspect justifie que l'État puisse nous forcer à révéler cette intimité, à nous faire transparents à ses yeux, alors même que les services enquêteurs peuvent disposer d'autres moyens pour élucider une affaire. C'est une erreur historique qui, dans son principe, pourrait s'avérer lourde de conséquences.

Si cette jurisprudence est décevante, elle marque toutefois l'émergence d'un véritable débat sur le droit au chiffrement au niveau des cours constitutionnelles européennes. Elle rappelle aussi, en creux, la nécessité de se mobiliser au niveau européen, par exemple autour de la directive sur l'accès transfrontière aux données qui sera présenté le 17 avril prochain, afin de garantir la protection d'un droit au chiffrement désormais consubstantiel de la protection de la vie privée et de la liberté de communication.

• 1. Pieter Omtzigt. Les opérations de surveillance massive. Strasbourg : Assemblée parlementaire du Conseil de l’Europe, mar. 2015. Disponible à l’adresse : http://assembly.coe.int/nw/xml/XRef/Xref-XML2HTML-fr.asp?fileid=21583&la...
  Dans le même sens, voir aussi les propos de Giovanni Buttarelli, contrôleur européen de la protection des données, lors d'un colloque organisé à l'Assemblée nationale par l'Observatoire des libertés et du numérique : « le chiffrement est devenu un outil essentiel pour protéger la confidentialité des communications. Son utilisation a augmenté après les révélations sur les efforts des organisations publiques et privées ainsi que des gouvernements pour obtenir l’accès à nos communications » (vidéo YouTube).
• 2. Il écrivait à ce propos : « Key disclosure, by contrast, could expose private data well beyond what is required by the exigencies of a situation. (…) Such orders should be based on publicly accessible law, clearly limited in scope focused on a specific target, implemented under independent and impartial judicial authority, in particular to preserve the due process rights of targets, and only adopted when necessary and when less intrusive means of investigation are not available. Such measures may only be justified if used in targeting a specific user or users, subject to judicial oversight ». Autant de conditions qui ne sont pas remplies s'agissant de la loi française telle qu'interprétée par le Conseil constitutionnel. Voir : David Kaye. Rapport du Rapporteur spécial sur la promotion et la protection du droit à la liberté d’opinion et d’expression sur le chiffrement et l’anonymat. Genève : Conseil des droits de l’Homme des Nations Unies, mai 2015. Disponible à l'adresse : http://www.ohchr.org/EN/HRBodies/HRC/RegularSessions/Session29/Documents/A.HRC.29.32_AEV.doc

4 avril 2018 - Dans sa décision du 30 mars 2018 relative à l'article 434-15-2 du code pénal, le Conseil constitutionnel a refusé de protéger le droit pour une personne suspectée (en l'espèce un soupçonné revendeur de drogues) de ne pas révéler ses clefs de déchiffrement. Alors que de nombreux acteurs du droit et le gouvernement lui-même s'attendaient à une décision ménageant le droit à ne pas s'auto-incriminer -- c'est-à-dire le fait de ne pas être contraint de s'accuser soi-même en livrant son mot de passe--, le Conseil rend une décision très décevante. La Quadrature du Net, qui est intervenue dans cette affaire, s'inquiète de cette décision qui risque d'affaiblir durablement le droit au chiffrement.

La disposition attaquée, l'article 434-15-2 du code pénal, punit d'importantes peines d'amendes et de prison le refus de livrer aux autorités judiciaires une convention de déchiffrement (par exemple, le mot de passe permettant de déchiffrer le contenu d'un disque dur).

Des réserves a minima

Les seules réserves apportées par le Conseil consistent à confirmer qu'il est nécessaire pour l'autorité judiciaire « d'établir » que la personne concernée a effectivement connaissance de la clef de déchiffrement. Cette précision confirme que l'incrimination pénale ne peut être retenue contre des prestataires de solution de chiffrement « bout-en-bout » des communications qui, par définition, n'ont pas connaissance de la clef.

Le Conseil impose également que « l'enquête ou l'instruction doivent avoir permis d'identifier l'existence des données traitées par le moyen de cryptologie susceptible d'avoir été utilisé pour préparer, faciliter ou commettre un crime ou un délit ». Une précision qui invite à penser qu'il sera donc nécessaire pour les autorités de prouver que des données spécifiques intéressant l'enquête existent bien sur le périphérique concerné.

Malheureusement, le Conseil constitutionnel a refusé de reconnaître les atteintes de ce texte au droit de ne pas s'accuser, au droit au respect de la vie privée, au secret des correspondances, ou encore à la liberté d'expression et de communication.

Le droit de ne pas s'auto-incriminer bafoué

Cette décision constitue d'abord une véritable remise en cause du droit de ne pas s'auto-incriminer -- un principe fondamental du droit pénal -- qui déséquilibre fortement l'équilibre précaire entre l'instruction et la poursuite légitime des infractions d'un côté, les droits de la défense et le respect de la présomption d'innocence de l'autre. Elle est d'autant plus choquante que la limitation de l'application de ce texte aux seules personnes tierces à l'infraction (n'étant donc pas menacées par l'enquête) était déjà acceptée par une large majorité des acteurs du droit qui doivent faire application de cette incrimination (juridictions, forces de l'ordre, avocats...).

C'est ce qu'illustre par exemple un rapport de la CNIL de 2016, qui affirmait que les obligations de révéler des clefs de déchiffrement « ne peuvent pas conduire à obliger les personnes mises en cause à fournir les informations utiles à l’enquête ». La CNIL poursuivait en rappelant que « le droit de ne pas s’auto-incriminer est un droit fondamental qui trouve son origine dans la Convention européenne des droits de l'homme et dans la jurisprudence de la Cour européenne ».

Même Philippe Blanc, représentant le Premier ministre dans cette affaire, le reconnaissait plusieurs fois lors de à l'audience du 6 mars 2018 :

La seule interprétation qui soit de nature à rendre l'article 434-15-2 du Code pénal conforme à la Constitution est, en effet, celle qui exclue l'application de cette loi aux personnes suspectées d'avoir commis elles-mêmes une infraction. Cette interprétation est nécessaire [...] pour préserver le droit de la personne suspectée à ne pas s'auto-incriminer.

En ce même sens, dès février, le Centre de recherche de l'école des officiers de la gendarmerie nationale (CREOGN) anticipait la décision en ces termes : « Cette décision va sans doute consister en une déclaration de constitutionnalité sous réserve : le texte ne s'appliquerait pas aux auteurs, co-auteurs ou complices en vertu du droit de se taire et de ne pas s'auto-incriminer ».

Et pourtant, le Conseil constitutionnel en a décidé autrement.

Le droit à la vie privée et la liberté de communication menacées

Le CREOGN rappelait par ailleurs le contexte de la création de cette infraction : un simple amendement non véritablement débattu dans la loi relative à la sécurité quotidienne du 15 novembre 2001, adoptée dans le contexte et l'émotion des attaques du 11 septembre. Passible d'une sanction particulièrement importante (3 ans de prison et 270 000 € d'amende), cette disposition risque d'être désormais utilisée aussi bien par les juges d'instruction que par les procureurs pour contraindre des suspects de leur donner accès à tout périphérique chiffré (smartphone, ordinateur, périphériques de mémoire...).

Cette décision remet en cause le droit au chiffrement et l'intérêt de son usage, mais aussi, incidemment, la vie privée, la confidentialité des communications, le secret des sources journalistiques et la liberté de communication. Alors que l'ère numérique banalise la société de surveillance, ce droit est pourtant devenu une nécessité pour garantir les libertés fondamentales face aux possibilités d'arbitraire de l'État. En 2015, l'Assemblée parlementaire du Conseil de l'Europe rappelait ainsi que, « jusqu’à ce que les États acceptent de fixer des limites aux programmes de surveillance massive menés par leurs agences de renseignement, le chiffrement généralisé visant à renforcer la vie privée constitue la solution de repli la plus efficace pour permettre aux gens de protéger leurs données »1.

La décision du Conseil fait d'ailleurs fi des recommandations formulées en 2015 par David Kaye, rapporteur spécial du Conseil des droits de l'Homme de l'ONU pour la liberté d'expression, dans son rapport sur le droit au chiffrement, où il abordait la question des obligations de livrer les clefs de déchiffrement2. Plus largement, elle s'inscrit dans une tradition juridique française particulièrement hostile au chiffrement, qu'illustre par exemple l'article 132-79 du code pénal, qui fait de l'usage du chiffrement une circonstance aggravante lorsqu'il est utilisé pour préparer ou commettre un délit.

L'accès aux données stockées sur nos ordinateurs, nos téléphones ou, sur nos serveurs s'avère formidablement intrusif, révélant des pans entiers de notre intimité, de notre histoire personnelle, de notre mémoire. Dans ce contexte, le chiffrement des données permet de rétablir un peu de l'équilibre perdu entre les capacités de surveillance des États et le droit à la vie privée. Or, par cette décision, le Conseil constitutionnel admet que le simple fait d'être suspect justifie que l'État puisse nous forcer à révéler cette intimité, à nous faire transparents à ses yeux, alors même que les services enquêteurs peuvent disposer d'autres moyens pour établir élucider une affaire. C'est une erreur historique qui, dans son principe, pourrait s'avérer lourde de conséquences.

Si cette jurisprudence est décevante, elle marque toutefois l'émergence d'un véritable débat sur le droit au chiffrement au niveau des cours constitutionnelles européennes. Elle rappelle aussi, en creux, la nécessité de se mobiliser au niveau européen, par exemple autour de la directive sur l'accès transfrontière aux données qui sera présenté le 17 avril prochain, afin de garantir la protection d'un droit au chiffrement désormais consubstantiel de la protection de la vie privée et de la liberté de communication.

• 1. Pieter Omtzigt. Les opérations de surveillance massive. Strasbourg : Assemblée parlementaire du Conseil de l’Europe, mar. 2015. Disponible à l’adresse : http://assembly.coe.int/nw/xml/XRef/Xref-XML2HTML-fr.asp?fileid=21583&la...
  Dans le même sens, voir aussi les propos de Giovanni Buttarelli, contrôleur européen de la protection des données, lors d'un colloque organisé à l'Assemblée nationale par l'Observatoire des libertés et du numérique : « le chiffrement est devenu un outil essentiel pour protéger la confidentialité des communications. Son utilisation a augmenté après les révélations sur les efforts des organisations publiques et privées ainsi que des gouvernements pour obtenir l’accès à nos communications » (vidéo YouTube).
• 2. Il écrivait à ce propos : « Key disclosure, by contrast, could expose private data well beyond what is required by the exigencies of a situation. (...) Such orders should be based on publicly accessible law, clearly limited in scope focused on a specific target, implemented under independent and impartial judicial authority, in particular to preserve the due process rights of targets, and only adopted when necessary and when less intrusive means of investigation are not available. Such measures may only be justified if used in targeting a specific user or users, subject to judicial oversight ». Autant de conditions qui ne sont pas remplies s'agissant de la loi française telle qu'interprétée par le Conseil constitutionnel. Voir : David Kaye. Rapport du Rapporteur spécial sur la promotion et la protection du droit à la liberté d’opinion et d’expression sur le chiffrement et l’anonymat. Genève : Conseil des droits de l’homme des Nations Unies, mai 2015. Disponible à l'adresse : http://www.ohchr.org/EN/HRBodies/HRC/RegularSessions/Session29/Documents/A.HRC.29.32_AEV.doc

22 mars 2018 - Quatre bénévoles de la Quadrature du Net ont demandé à leur opérateur de téléphonie mobile français (Free Mobile, Orange, Bouygues Telecom, SFR) d'accéder aux données personnelles que ces derniers conservent sur eux. N'ayant pas reçu de réponse satisfaisante au bout de 3 mois, nous venons de déposer 4 plaintes contre ces opérateurs auprès de la CNIL.

Les opérateurs mobiles doivent conserver pendant 1 an les données de localisation de tous leurs abonnés. Le code des postes communications électroniques, dans son article L34-1 et R10-13, leur impose de conserver pendant 1 an un ensemble d'informations sur l'utilisateur, informations qui permettent d'identifier l'utilisateur de la ligne, l'horaire et la durée de ses communications, mais surtout l'origine et la localisation de celles-ci ! Ces données très personnelles n'ont, à notre connaissance, jamais été fournies aux titulaires de ligne.

En octobre dernier, 4 bénévoles de La Quadrature du Net ont demandé, conformément à l'article 39 de la loi 78-18 du 6 janvier 1978, d'obtenir les données personnelles les concernant conservées par leur opérateur mobile. Ainsi, Free Mobile, Bouygues Telecom, SFR et Orange ont chacun reçu un courrier recommandé et disposaient de 2 mois pour y répondre. Dans ces courriers, nous leur rappelions leurs obligations légales en terme de droits d'accès direct aux informations personnelles.

Depuis, nous avons reçu une réponse incomplète de SFR, et une fin de non recevoir de Free, qui prétend que ces informations personnelles ne sont pas communicables aux personnes concernées1 ! Orange et Bouygues Telecom, eux, n'ont jamais répondu. Nous avons donc, depuis, déposé 4 plaintes auprès de la CNIL contre les 4 opérateurs mobiles, afin de faire valoir nos droits d'accès à ces informations personnelles.

De plus, lorsque notre action aura révélé que ces opérateurs conservent bien les informations visées par le code des postes et des télécommunications, ceux-ci se trouveraient (tout comme le droit français) en violation de la Charte des droits fondamentaux de l'Union européenne et pourront être attaqués à ce titre. Ce texte fondamental, hiérarchiquement supérieur au droit français, a été interprété par la Cour de justice de l'Union européenne, dans sa décision Tele2 du 21 décembre 20162, comme interdisant toute conservation généralisée de données de connexion.

La Quadrature du Net entend amener ce débat sur la place publique, à travers les opérateurs, la CNIL, la justice française et la pugnacité de ses bénévoles. Les Exégètes amateurs ont également une affaire pendante devant le Conseil d'État pour demander la mise en conformité de la loi française à la jurisprudence européenne.

« Nous nous attendions à ces réponses désinvoltes de la part d'Orange, SFR, Bouygues Télécom et Free, aussi avons-nous saisi la CNIL de ces 4 plaintes, et si besoin attaquerons en justice pour obtenir des informations complètes. Par la suite, nous attaquerons devant les tribunaux le non-respect du droit européen par les opérateurs, et cette loi illicite portant atteinte à la vie privée de tous » annonce Benjamin Sonntag, cofondateur de La Quadrature du Net.

PS: un exemple de ce que sait votre opérateur mobile sur votre localisation

• 1. Dans sa réponse, Free indique "En application de la législation en vigueur, celles-ci (les informations personnelles, ndlr) ne peuvent être transmises que sur réquisition des autorités judiciaires uniquement"
• 2. L'arrêt Tele2 Sverige AB (C-203/15) rendu le 21 décembre 2016 par la Cour de justice de l'Union européenne conclut fermement que le droit de l'Union « s’oppose à une réglementation nationale prévoyant, à des fins de lutte contre la criminalité, une conservation généralisée et indifférenciée de l’ensemble des données relatives au trafic et des données de localisation de tous les abonnés et utilisateurs ».

Fichier attaché	Taille
4op.png	41.43 Ko