Quand le gouvernement remanie discrètement les lois renseignement

Réunie ce mardi, une commission mixte paritaire (CMP) doit mettre d’accord le Sénat et l’Assemblée sur la future loi de programmation militaire. L’un des articles, sous couvert de «rationalisation», ouvre au renseignement intérieur les données captées par la surveillance extérieure.

Discuté au Parlement depuis mars, le projet de loi de programmation militaire (LPM) 2019-2025 se montre décidément bien accueillant. On savait déjà que le texte préparait une (large) extension du périmètre de la cyberdéfense, en autorisant les opérateurs télécoms à surveiller ce qui transite sur leurs réseaux pour détecter des cyberattaques, et en élargissant les pouvoirs du « cyberpompier » de l’Etat, l’Agence nationale de la sécurité des systèmes d’information (Anssi). Or il va aussi servir à modifier le cadre légal de la surveillance à la française, adopté il y a trois ans.

La version votée au Sénat prévoit en effet de mettre les données interceptées par le renseignement extérieur – au premier chef, celles ramenées par les vastes filets de la Direction générale de la sécurité extérieure (DGSE) – au service de la surveillance de cibles françaises sur le territoire français. Un amendement en ce sens a été introduit le 22 mai, lors de la discussion à la chambre haute, par la ministre des Armées, Florence Parly. Et adopté sans difficulté à l’issue de dix petites minutes de discussion… Ce mardi, une commission mixte paritaire doit se réunir pour accoucher d’un texte commun, qui sera ensuite soumis aux deux assemblées.

Quel est le cadre actuel ?

Retour en arrière : en 2015, soit 24 ans après la première loi sur les écoutes, l’exécutif remet à plat le cadre qui régit l’activité des espions français. Deux textes sont adoptés à quelques mois d’intervalle. En juillet, la loi sur le renseignement légalise une batterie d’outils – logiciels espions, balises de géolocalisation, etc. – en échange de la promesse d’un contrôle renforcé de l’activité des services, et introduit, avec les très décriées «boîtes noires», une surveillance algorithmique visant à détecter des comportements « susceptibles de révéler une menace terroriste ». En novembre, la loi sur la surveillance internationale grave dans le marbre l’espionnage par la DGSE des câbles sous-marins qui passent par les côtes françaises, déployé secrètement sous Sarkozy.

Deux lois pour deux régimes distincts : à l’extérieur des frontières, l’encadrement est en effet bien plus lâche et la surveillance massive, la norme. Les interceptions portent sur des « réseaux de communications électroniques » entiers. Les « boîtes noires » ne se limitent pas à l’antiterrorisme, mais s’étendent à la large panoplie des menaces aux « intérêts fondamentaux de la Nation ». L’exploitation des communications ou des données de connexion (les « métadonnées » : qui communique avec qui, où, quand, comment) ainsi aspirées peut concerner des « personnes » mais aussi des « groupes », des « organisations » et même des « zones géographiques ». Or jusqu’ici, la surveillance d’une cible ayant des « identifiant s» français (numéro de téléphone, adresse IP…) via les interceptions à l’international n’est légalement possible que si cette cible est à l’étranger, et si elle est déjà sur écoute ou a été « identifiée comme présentant une menace ».

Que change le projet de loi ?

L’amendement voté par les sénateurs introduit trois nouveautés. D’une part, il ouvre la possibilité d’opérer, à partir d’identifiants français, des « vérifications ponctuelles » dans les métadonnées captées par le renseignement extérieur – la DGSE, mais aussi la Direction du renseignement militaire (DRM). D’après Parly, il s’agit d’« opérations très rapides, non répétées et susceptibles de mettre en évidence un graphe relationnel ou la présence à l’étranger d’une personne.», qui peuvent déboucher sur une mise sous surveillance individuelle. En cas de menace terroriste urgente ou de cyberattaque grave, les « vérifications »pourraient porter sur le contenu des communications.

Deuxième changement : Matignon pourra autoriser l’exploitation des communications ou des « métadonnées » aspirées par le renseignement extérieur pour une cible ayant des identifiants français et communiquant depuis la France, et ce pour la plupart des menaces aux « intérêts fondamentaux de la Nation ». «Aujourd’hui, ce n’est pas possible et c’est une faille importante », a fait valoir Parly devant le Sénat. La CNCTR sera consultée en amont, et les autorisations portant sur le contenu des communications feront l’objet d’un contingent fixé par décret – comme pour les écoutes en France – mais pas celles qui concernent les seules données de connexion.

Enfin, les demandes faites par les services dans le cadre franco-français pourront être « boostées » aux données recueillies dans le cadre de la surveillance internationale : en autorisant des écoutes administratives, des demandes de données de connexion auprès des opérateurs ou des hébergeurs internet, ou le recueil en temps réel de métadonnées dans le cadre de la prévention du terrorisme, Matignon pourra dans le même temps autoriser l’exploitation des « données correspondantes » captées à l’international, notamment via les interceptions sur les câbles internet. Concrètement, a expliqué la ministre, « Les interceptions de sécurité donneraient accès pour trente jours au flux des communications mixtes, vers ou depuis l’étranger, et les demandes de « fadettes » permettraient d’obtenir un double relevé de données de connexion nationales et internationales, sur une durée bordée à un an ».

Quelles conséquences ?

A en croire Parly, les mesures prévues dans la LPM version Sénat visent à « permettre simplement une utilisation plus rationnelle des données légalement recueillies dans le cadre de la surveillance internationale », sans « modifi[er] en profondeur les équilibres retenus en 2015 ». Il s’agit pourtant bien, au nom du « caractère transnational » de certaines menaces, de mettre les outils de la surveillance extérieure, et les quantités massives de données qu’elle accumule, au service du renseignement intérieur – notamment la DGSI. L’exposé des motifs de l’amendement ne s’en cache d’ailleurs pas : « Les données interceptées sont partielles, mais présentent un intérêt d’autant plus important qu’y figurent des données que l’on ne peut obtenir par réquisition auprès des opérateurs, notamment celles des messageries cryptées ».

Problème : le régime plus permissif de la surveillance internationale a jusqu’ici toujours été justifié – notamment par le Conseil d’Etat dans son rapport de 2014 sur « le numérique et les droits fondamentaux » – par le fait que les cibles visées, situées à l’étranger, « échappent à la juridiction de l’Etat » et « ne peuvent en particulier faire l’objet de mesures juridiques contraignantes qui se fonderaient sur les éléments collectés »… Il en va évidemment tout autrement pour des personnes situées sur le territoire français. Pourtant, le Conseil d’Etat comme le gendarme des écoutes ont délivré un satisfecit à l’amendement du gouvernement – il est vrai que la CNCTR y gagne une extension de son droit de regard.

Pour l’association de défense des libertés en ligne la Quadrature du Net, le « régime dérogatoire » de la surveillance internationale est ainsi « rendu toujours plus poreux à la surveillance des résidents français, en permettant au renseignement intérieur de piocher allègrement dans les bases de données de la DGSE ». « Cela pose vraiment le problème de l’harmonisation progressive de la surveillance nationale sur la surveillance internationale », explique à Libération Félix Tréguer, l’un des cofondateurs de l’association. « On est dans une logique de collecte en masse dans laquelle on va pêcher a posteriori ce qui intéresse.»

« C’est un sujet complexe », reconnaissait le président de la CNCTR, Francis Delon, lors d’une récente conférence à l’Ecole militaire à Paris. La complexité du sujet – et du texte lui-même – n’aide sans doute ni les parlementaires, ni la société civile à s’en saisir. « Le gouvernement ne souhaite évidemment pas, par le biais d’un amendement au détour du projet de loi relative à la programmation militaire, remettre sur le métier la loi relative au renseignement », a avancé la ministre des Armées devant les sénateurs : c’est pourtant bel et bien ce qui se produit. La même ministre a d’ailleurs, quelques minutes plus tard, bataillé ferme contre une extension des pouvoirs de la Délégation parlementaire au renseignement, voulue par plusieurs sénateurs : « Ces matières sont suffisamment sensibles pour que nous prenions le temps de les examiner sereinement sur le fond », a-t-elle expliqué. Un examen sur le fond, c’est à minima ce qu’exigerait cet aggiornamento, tout sauf anodin, des lois renseignement.