Recueil en temps réel des données de connexion remis en cause

Décision n° 2017-648 QPC du 4 août 2017

J’ai enfin pu recueillir le texte perdu dans mes abonnements divers cet été. Une décision d’inconstitutionnalité partielle et qui ne met pas en cause le logiciel « BBR » de « Charlotte ».

Je vous le dis tout de suite, celui-là a été vendu aux américains à l’été 2016, une opération autorisée in extremis par le ministre compétent avant sa démission pour sa marche « d’En Marche ! » et depuis, une seconde version est actuellement en développement : « BBR 2.0 ».

Mais ce n’est qu’un roman, « pure construction intellectuelle de son auteur ».

Dans la « réalité-vraie », je suis quand même les réalités juridiques autour des progiciels qui vous protègent tout en vous espionnant ardemment.

Sachez que les ministères ont acheté récemment les matériels (hardware) et la puissance de calcul pour les faire tourner.

Maintenant, il faut former les bonshommes à l’exploitation des données et pour le reste, ils s’en tiennent encore à « l’acquisition de l’information » par les « moyens habituels ».

Ceci dit le « Cons-Cons » s’est fendu d’une décision ici rapportée :

LE CONSEIL CONSTITUTIONNEL A ÉTÉ SAISI le 23 mai 2017 par le Conseil d’État (décision n° 405792 du 17 mai 2017), dans les conditions prévues à l’article 61-1 de la Constitution, d’une question prioritaire de constitutionnalité. Cette question a été posée pour les associations La Quadrature du Net, French Data Network et la Fédération des fournisseurs d’accès à internet associatifs, par la SCP Spinosi et Sureau, avocat au Conseil d’État et à la Cour de cassation. Elle a été enregistrée au secrétariat général du Conseil constitutionnel sous le n° 2017-648 QPC. Elle est relative à la conformité aux droits et libertés que la Constitution garantit de l'article L. 851-2 du code de la sécurité intérieure, dans sa rédaction résultant de la loi n° 2016-987 du 21 juillet 2016 prorogeant l’application de la loi n° 55-385 du 3 avril 1955 relative à l’état d’urgence et portant mesures de renforcement de la lutte antiterroriste.

Au vu des textes suivants :

- la Constitution ;

- l'ordonnance n° 58-1067 du 7 novembre 1958 portant loi organique sur le Conseil constitutionnel ;

- le code de la sécurité intérieure ;

- la loi n° 2016-987 du 21 juillet 2016 prorogeant l’application de la loi n° 55-385 du 3 avril 1955 relative à l’état d'urgence et portant mesures de renforcement de la lutte antiterroriste ;

- le règlement du 4 février 2010 sur la procédure suivie devant le Conseil constitutionnel pour les questions prioritaires de constitutionnalité ;

Au vu des pièces suivantes :

- les observations présentées pour les associations requérantes par la SCP Spinosi et Sureau, enregistrées les 14 et 29 juin 2017 ;
- les observations présentées par le Premier ministre, enregistrées le 14 juin 2017 ;

- les observations en intervention présentées pour la Ligue des droits de l’homme, par la SCP Spinosi et Sureau, enregistrées le 14 juin 2017 ;

- les pièces produites et jointes au dossier ;

Après avoir entendu Me Patrice Spinosi, avocat au Conseil d’État et à la Cour de cassation, pour les associations requérantes et l’association intervenante, et M. Xavier Pottier, désigné par le Premier ministre, à l’audience publique du 25 juillet 2017 ;

Et après avoir entendu le rapporteur ;

LE CONSEIL CONSTITUTIONNEL S'EST FONDÉ SUR CE QUI SUIT :

1. L’article L. 851-2 du code de la sécurité intérieure, dans sa rédaction résultant de la loi du 21 juillet 2016 mentionnée ci-dessus, prévoit :

« I.- Dans les conditions prévues au chapitre Ier du titre II du présent livre et pour les seuls besoins de la prévention du terrorisme, peut être individuellement autorisé le recueil en temps réel, sur les réseaux des opérateurs et des personnes mentionnés à l'article L. 851-1, des informations ou documents mentionnés au même article L. 851-1 relatifs à une personne préalablement identifiée susceptible d'être en lien avec une menace. Lorsqu’il existe des raisons sérieuses de penser qu'une ou plusieurs personnes appartenant à l'entourage de la personne concernée par l'autorisation sont susceptibles de fournir des informations au titre de la finalité qui motive l'autorisation, celle-ci peut être également accordée individuellement pour chacune de ces personnes.

« II.- L'article L. 821-5 n'est pas applicable à une autorisation délivrée en application du présent article ».

2. Les associations requérantes et l’association intervenante soutiennent que l’article L. 851-2, dans cette rédaction, porterait atteinte au droit au respect de la vie privée et au secret des correspondances dès lors, d’une part, que le champ des personnes dont les données de connexion sont susceptibles d’être ainsi recueillies en temps réel serait trop large et, d’autre part, que la durée de l’autorisation serait trop longue.

3. Par conséquent, la question prioritaire de constitutionnalité porte sur le paragraphe I de l'article L. 851-2 du code la sécurité intérieure.

- Sur le fond :


4. En vertu de l'article 34 de la Constitution, il appartient au législateur de fixer les règles concernant les garanties fondamentales accordées aux citoyens pour l’exercice des libertés publiques. Il incombe au législateur d’assurer la conciliation entre, d’une part, la prévention des atteintes à l’ordre public et des infractions, nécessaire à la sauvegarde de droits et de principes de valeur constitutionnelle, et, d’autre part, l’exercice des droits et des libertés constitutionnellement garantis. Au nombre de ces derniers figurent le secret des correspondances et le droit au respect de la vie privée, protégés par l’article 2 de la Déclaration des droits de l’homme et du citoyen de 1789.


5. Les dispositions contestées permettent à l’autorité administrative, pour la prévention du terrorisme, d’obtenir le recueil en temps réel des données de connexion relatives, d’une part, à une personne préalablement identifiée susceptible d’être en lien avec une menace et, d’autre part, aux personnes appartenant à l’entourage de la personne concernée par l’autorisation lorsqu’il y a des raisons sérieuses de penser qu’elles sont susceptibles de fournir des informations au titre de la finalité qui motive l’autorisation. Cette technique de recueil de renseignement est autorisée pour une durée de quatre mois renouvelable, conformément à l’article L. 821-4 du code de la sécurité intérieure.

6. En premier lieu, la procédure de réquisition administrative de données de connexion instituée par les dispositions contestées exclut l’accès au contenu des correspondances. Par suite, le grief tiré de la méconnaissance du droit au secret des correspondances doit être écarté.

7. En second lieu, d’une part, le recueil des données de connexion en temps réel ne peut être mis en œuvre que pour les besoins de la prévention du terrorisme. Ne peuvent, par ailleurs, être recueillis que les informations ou documents traités ou conservés par les opérateurs de télécommunication, les fournisseurs d’accès à un service de communication au public en ligne ou les hébergeurs de contenu sur un tel service.

8. D’autre part, cette technique de recueil de renseignement s’exerce dans les conditions prévues au chapitre Ier du titre II du livre VIII du code de la sécurité intérieure. En vertu de l'article L. 821-4 de ce code, elle est autorisée par le Premier ministre ou les collaborateurs directs auxquels il a délégué cette compétence, sur demande écrite et motivée du ministre de la défense, du ministre de l’intérieur ou des ministres chargés de l’économie, du budget ou des douanes, après avis préalable de la commission nationale de contrôle des techniques de renseignement. Elle est autorisée pour une durée de quatre mois renouvelable. En vertu du paragraphe II de l'article L. 851-2, la procédure d’urgence absolue prévue à l’article L. 821-5 de ce code n’est pas applicable. En application de l’article L. 871-6 du même code, les opérations matérielles nécessaires à la mise en place de la technique mentionnée à l’article L. 851-2 ne peuvent être exécutées, dans leurs réseaux respectifs, que par des agents qualifiés des services ou organismes placés sous l’autorité ou la tutelle du ministre chargé des communications électroniques ou des exploitants de réseaux ou fournisseurs de services de télécommunications.

9. Enfin, cette technique de renseignement est réalisée sous le contrôle de la commission nationale de contrôle des techniques de renseignement. La composition et l’organisation de cette autorité administrative indépendante sont définies aux articles L. 831-1 à L. 832-5 du code de la sécurité intérieure dans des conditions qui assurent son indépendance. Ses missions sont définies aux articles L. 833-1 à L. 833-11 du même code dans des conditions qui assurent l’effectivité de son contrôle. Conformément aux dispositions de l'article L. 841-1 du même code, le Conseil d’État peut être saisi par toute personne souhaitant vérifier qu’aucune technique de recueil de renseignement n’est irrégulièrement mise en œuvre à son égard ou par la commission nationale de contrôle des techniques de renseignement.

10. Il résulte de ce qui précède que le législateur a assorti la procédure de réquisition des données de connexion, lorsqu’elle s'applique à une personne préalablement identifiée susceptible d’être en lien avec une menace, de garanties propres à assurer une conciliation qui n’est pas manifestement déséquilibrée entre, d’une part, la prévention des atteintes à l’ordre public et celle des infractions et, d’autre part, le droit au respect de la vie privée.

11. En revanche, en application des dispositions contestées, cette procédure de réquisition s’applique également aux personnes appartenant à l’entourage de la personne concernée par l’autorisation, dont il existe des raisons sérieuses de penser qu’elles sont susceptibles de fournir des informations au titre de la finalité qui motive l’autorisation. Ce faisant, le législateur a permis que fasse l’objet de cette technique de renseignement un nombre élevé de personnes, sans que leur lien avec la menace soit nécessairement étroit. Ainsi, faute d’avoir prévu que le nombre d’autorisations simultanément en vigueur doive être limité, le législateur n’a pas opéré une conciliation équilibrée entre, d’une part, la prévention des atteintes à l’ordre public et des infractions et, d’autre part, le droit au respect de la vie privée.

12. Par suite, la seconde phrase du paragraphe I de l'article L. 851-2 du code de la sécurité intérieure doit être déclarée contraire à la Constitution. La première phrase du même paragraphe, qui ne méconnaît ni le droit au respect de la vie privée, ni aucun autre droit ou liberté que la Constitution garantit, doit être déclarée conforme à la Constitution.

- Sur les effets de la déclaration d'inconstitutionnalité :

13. Selon le deuxième alinéa de l’article 62 de la Constitution : « Une disposition déclarée inconstitutionnelle sur le fondement de l'article 61-1 est abrogée à compter de la publication de la décision du Conseil constitutionnel ou d’une date ultérieure fixée par cette décision. Le Conseil constitutionnel détermine les conditions et limites dans lesquelles les effets que la disposition a produits sont susceptibles d’être remis en cause ». En principe, la déclaration d’inconstitutionnalité doit bénéficier à l’auteur de la question prioritaire de constitutionnalité et la disposition déclarée contraire à la Constitution ne peut être appliquée dans les instances en cours à la date de la publication de la décision du Conseil constitutionnel. Cependant, les dispositions de l'article 62 de la Constitution réservent à ce dernier le pouvoir tant de fixer la date de l’abrogation et de reporter dans le temps ses effets que de prévoir la remise en cause des effets que la disposition a produits avant l’intervention de cette déclaration.

14. L’abrogation immédiate de la seconde phrase du paragraphe I de l’article L. 851-2 du code de la sécurité intérieure entraînerait des conséquences manifestement excessives. Par suite, il y a lieu de reporter au 1er novembre 2017 la date de cette abrogation.

LE CONSEIL CONSTITUTIONNEL DÉCIDE :

Article 1^er. - La seconde phrase du paragraphe I de l'article L. 851-2 du code de la sécurité intérieure dans sa rédaction résultant de la loi n° 2016-987 du 21 juillet 2016 prorogeant l'application de la loi n° 55-385 du 3 avril 1955 relative à l’état d’urgence et portant mesures de renforcement de la lutte antiterroriste est contraire à la Constitution.

Article 2. - La déclaration d’inconstitutionnalité de l’article 1^er prend effet dans les conditions fixées au paragraphe 14 de cette décision.

Article 3. - La première phrase du paragraphe I de l’article L. 851-2 du code de la sécurité intérieure dans sa rédaction résultant de la loi n° 2016-987 du 21 juillet 2016 prorogeant l’application de la loi n° 55-385 du 3 avril 1955 relative à l’état d’urgence et portant mesures de renforcement de la lutte antiterroriste est conforme à la Constitution.

Article 4. - Cette décision sera publiée au Journal officiel de la République française et notifiée dans les conditions prévues à l’article 23-11 de l'ordonnance du 7 novembre 1958 susvisée.

Jugé par le Conseil constitutionnel dans sa séance du 3 août 2017, où siégeaient : M. Laurent FABIUS, Président, Mme Claire BAZY MALAURIE, MM. Michel CHARASSE, Jean-Jacques HYEST, Lionel JOSPIN, Mmes Corinne LUQUIENS, Nicole MAESTRACCI et M. Michel PINAULT.

Rendu public le 4 août 2017.

JORF n°0184 du 8 août 2017 texte n° 59

Inutile de vous dire que tout cela est fort drôle, puisque l’état-d’urgence a été lévé justement le 1^er novembre dernier…

Passons.

Il n’empêche, l’Administration est désormais autorisée à obtenir le recueil en temps réel des données de connexion relatives à des personnes préalablement identifiées susceptibles d’être en lien avec une menace ; ainsi qu’aux personnes appartenant à l’entourage d’une personne concernée par une autorisation seulemlent lorsqu’il y a des raisons sérieuses de penser qu’elles sont susceptibles de fournir des informations au titre de la finalité qui motive l’autorisation : Tout est dans la très mince nuance !

En l’espèce, les associations requérantes soutenaient que l’article en cause porterait atteinte au droit au respect de la vie privée et au secret des correspondances. Les données de connexion visent l’ensemble des informations techniques recueillies auprès des fournisseurs d’accès, permettant l’identification d’une personne et la localisation des équipements utilisés. Ces données sont des données personnelles au sens de la loi du 6 janvier 1978.

Dans un premier temps, la Haute juridiction valide l’allongement de la durée de l’autorisation de deux mois renouvelables à quatre mois renouvelables.

Dans un second temps, le Conseil constitutionnel se livre à un contrôle de proportionnalité entre, d’une part, les nécessités de prévenir les atteintes à l’ordre public et, d’autre part, le droit au respect de la vie privée. Il juge conforme à la Constitution les dispositions contestées prévoyant la possibilité pour l’Administration d’être autorisée à recueillir les données de connexion de la première catégorie d’individus, cette mesure étant suffisamment encadrée par le législateur.

La technique de renseignement en cause ne peut être mise en œuvre que pour la prévention du terrorisme, l’autorisation est délivrée par le Premier ministre après avis de la Commission nationale de contrôle des techniques de renseignement (CNCTR).

Et on rappelle qu’en exerçant son contrôle de proportionnalité, le Conseil constitutionnel s’était déjà prononcé à deux reprises sur les données de connexion : La décision n°2015-713 DC du 23 juillet 2015 concernait l’accès aux données de connexion sur le fondement de la loi relative au renseignement. Aux termes de l’article L.851-1 du Code de la sécurité intérieure il est prévu un accès aux données de connexion par l’autorité administrative, assez semblable à celui contesté dans la présente décision, mais en temps différé cette fois et donc moins intrusif qu’en temps réel. Aucune prolongation de la durée d’accès n’étant prévue et l’autorisation d’accès ne portant que sur les données d’une personne désignée à l’exclusion de son entourage, le Conseil constitutionnel a considéré que l’accès ne portait pas une atteinte excessive à la vie privée des personnes.

(Ce que fait parfaitement, mais en différé, le logiciel « BBR »).

Et la décision n°2015-478 QPC du 24 juillet 2015 portait sur l’ancienne rédaction de l’article L.851-1 du Code de la sécurité intérieure, issue de la loi du 21 juillet 2015 prorogeant (déjà) l’état d’urgence. Là encore, le Conseil retient que l’atteinte à la vie privée des personnes « n’est pas manifestement disproportionnée ». C’est donc seulement la différence de rédaction entre la loi de 2015 et celle de 2016, sur l’extension de la mesure à l’entourage de la personne identifiée, qui motive la décision du 4 août 2017 ci-rapportée.

Inutile que ça ne changera donc pas grand-chose : On pourra toujours avoir été retenu dans les locaux de police, être fiché, être suivi électroniquement de près ou de loin, de toute façon, le surlendemain, vous pourrez toujours aller égorger tranquillement deux étudiantes sur les quais de Saint-Charles à Marseille en gueulant des âneries.

Il n’y a pas à dire, les robots les mieux préparés ne pourront jamais l’éviter. Il faut de toute façon le traitement « d’un humain » (une exigence de la CNIL pour ce qui est des fichiers nominatifs) pour y voir clair avec ses erreur qui mènent parfois à l’horreur.

En revanche, le robot de votre banquier sait dans la minute si vous dépassez ou non votre quota d’achats avec votre carte bleue et très exactement où et pourquoi…

Moi, j’admire.