Numérique, renseignement et vie privée : de nouveaux défis pour le droit

TROISIÈME TABLE RONDE - Prévention/répression de la criminalité
et atteintes à la vie privée

M. Alain Zabulon, coordonnateur national du renseignement

M. Jean-Jacques Hyest, sénateur, membre et ancien président de la commission des lois du Sénat, membre de la Commission nationale de contrôle des interceptions de sécurité (CNCIS)

M. Jean-Jacques Urvoas, député, président de la commission des lois de l'Assemblée nationale, membre de la CNCIS

M. Olivier Guérin, délégué général de la CNCIS

M. Dominique Guibert, vice-président
de la Ligue des droits de l'homme (LDH)

Mme Valérie Maldonado, chef de service de l'Office central de lutte contre la criminalité liée aux technologies de l'information et de la communication (OCLCTIC)

(de gauche à droite : M. Alain Zabulon, M. Jean-Jacques Hyest, M. Jean-Jacques Urvoas,
M. Yves Détraigne, M.  Olivier Guérin, M. Dominique Guibert, Mme Valérie Maldonado )

M. Jean-Pierre Sueur , président de la commission des lois . - Les tables rondes de ce matin ont été très riches. Celles à venir ne le seront pas moins. La première est présidée par M. Détraigne, vice-président de la commission des lois.

M. Yves Détraigne , président . - Le terme de criminalité qui figure dans le titre de cette table ronde est à entendre au sens le plus général, en y ajoutant l'ensemble des atteintes à la sécurité de l'État contre lesquelles les services de renseignement ont pour mission de lutter.

Les moyens employés à cette fin portent nécessairement atteinte à la vie privée. Le sujet a toutefois pris une ampleur nouvelle avec l'évolution technologique, comme l'ont montré les révélations d'Edward Snowden. La France n'y échappe pas, qui s'est saisie promptement de ces questions.

La loi sur la géolocalisation a fait naître un débat sur le suivi par la police et la justice des objets connectés.

M. Jean-Jacques Hyest , sénateur, membre et ancien président de la commission des lois du Sénat, membre de la Commission nationale de contrôle des interceptions de sécurité (CNCIS) . - Je laisserai le soin à MM. Guérin et Urvoas, plus experts que je ne le suis, d'approfondir ces questions, et me bornerai à quelques remarques.

C'est en 1990 que la question des interceptions administratives, alors illégales, s'est posée. Il y avait pourtant des écoutes tous azimuts ; il fallait y mettre fin. C'était l'objet du rapport Schmelck. La loi du 10 juillet 1991 a créé le groupement interministériel de contrôle (GIC), et une Autorité administrative indépendante (AAI), la CNCIS, composée de trois membres, dont un parlementaire de la majorité, et un de l'opposition. J'ai été celui-là ; je suis désormais celui-ci. La commission ne donnait alors, aux termes de la loi, qu'un avis a posteriori . Il fallait revenir sur ce point : le gouvernement a souhaité que cet avis soit rendu a priori . Telle est, depuis lors, notre pratique, qui n'a pas varié. Le Premier ministre pourrait en théorie passer outre, mais il ne l'a jamais fait.

L'avis a priori a forcé l'administration à être plus rigoureuse dans ses demandes. Le code de la sécurité intérieure rend les interceptions possibles dans un certain nombre de cas, notamment la recherche de renseignements intéressant la sécurité nationale, la sauvegarde d'éléments essentiels du potentiel économique et scientifique de la France, la protection du patrimoine national, etc. Aucun problème, depuis 1991, ne s'est produit dans l'application de ces dispositions.

Les cas de la géolocalisation et des données techniques de communication, lesquelles sont devenues, aujourd'hui, souvent plus importantes que le contenu de l'interception lui-même, n'avaient toutefois pas été prévus par le législateur de l'époque... Qu'il me suffise de prononcer le mot magique : « fadette » !

Rappelons également que la loi du 23 janvier 2006 a prévu, dans le cadre de la lutte contre le terrorisme, une procédure spécifique, sous le contrôle d'une personnalité qualifiée, elle-même placée sous le contrôle de la CNCIS.

La CNCIS est une institution extrêmement originale. À sa tête, un magistrat administratif ou judiciaire. Aux côtés de celui-ci, un délégué général et des adjoints, également magistrats. C'est une bonne solution, parce que ceux-ci ont la charge de protéger les libertés publiques et que ces écoutes relèvent aussi parfois d'une phase pré-judiciaire.

Dans d'autres pays, les parlementaires sont plus nombreux. Je pense qu'il ne faut pas que les parlementaires se dispersent trop. En France, la présence des parlementaires - limitée normalement à trois ans non renouvelables - est utile ; elle a permis à la commission de remplir ses missions. Je n'ai jamais entendu la moindre critique sur les avis rendus. De même, je me réjouis du fonctionnement de la délégation parlementaire au renseignement. Il ne convient pas, je le répète, que les parlementaires soient trop nombreux. En dehors du champ d'action de la CNCIS, qui ne concerne que les écoutes dites administratives, il revient à la chaîne judiciaire de remplir son office pour les écoutes judiciaires.

Cet outil, indispensable, évoluera sans doute. Je voulais toutefois lui rendre l'hommage qu'il mérite. (Applaudissements)

M. Olivier Guérin , délégué général de la CNCIS . - Je m'en tiendrai aux éléments juridiques et techniques de l'activité quotidienne de la CNCIS, deuxième AAI créée, treize ans après la CNIL, et premier organisme de contrôle légal d'activités spécifiques au renseignement.

La CNCIS illustre la recherche constante de l'équilibre entre sécurité nationale et protection des libertés, dont le récent rapport Urvoas rappelle qu'elle exige des efforts toujours renouvelés.

Les « oreilles indiscrètes » sont une question sensible et ancienne. L'interception est presqu'aussi vieille que le téléphone : si la première conversation entre Graham Bell et son assistant date du 10 mars 1876, la première interception téléphonique fut inventée dès mars 1915, lorsqu'une prise de terre fut posée par le lieutenant André Delavie près des lignes allemandes, dans les tranchées de la forêt d'Apremont, pour écouter leurs téléphones de combat. C'est après la seconde guerre mondiale que les services des ministères de l'intérieur et de la défense se partagent les quelque 5 000 m² dédiés aux écoutes téléphoniques dans les égouts de Paris par la police secrète allemande.

Le 28 mars 1960, M. Debré ordonne la centralisation des outils d'interception et crée le GIC. En 1970, lors du débat sur le projet de loi renforçant la garantie des droits individuels des citoyens, le garde des Sceaux René Pleven admet pour la première fois la réalité de la pratique des interceptions de sécurité, en annonçant qu'elle sera encadrée et qu'un organisme extérieur au gouvernement devra, un jour ou l'autre, se charger de ce contrôle. Le rapport de la commission Marcilhacy introduit une première distinction entre écoutes administratives et judiciaires, distinction fondamentale en France. Dans la plupart des États voisins, l'intégralité des écoutes relèvent de l'autorité judiciaire.

Après le rapport de la commission Schmelck, évoquée par le président Hyest, la loi du 10 juillet 1991 marque une étape importante, qui établit un équilibre entre l'intérêt national et la protection des libertés publiques. Quatre arrêts de la Cour européenne des droits de l'homme (CEDH), dont l'arrêt Huvig et Kruslin contre France , du 24 avril 1990, ont assurément influé sur cette évolution. La loi confiant les autorisations des interceptions à la CNCIS a été qualifiée de « modèle abouti » par un rapport parlementaire de 2013.

Au regard de l'augmentation des menaces, de l'émergence de problématiques juridiques transversales, des nouveaux enjeux de la protection des communications et des données personnelles et des développements technologiques, ce modèle pourrait toutefois avoir atteint ses limites.

Les garanties sont nombreuses. Autorité judiciaire et autorité administrative sont strictement séparées. La primauté de l'autorité judiciaire, rappelée par le Conseil constitutionnel en 2006, se traduit par la cessation automatique des interceptions administratives, sur l'ensemble des réseaux nationaux, dès lors qu'une information judiciaire est ouverte. Ce dispositif est observé avec attention par certaines délégations étrangères qui nous rendent visite. D'autres cloisonnements séparent les services de renseignements, en charge de l'enquête, et les services techniques qui exécutent les mesures ou encore l'exécutif demandeur -ministères de l'intérieur, de la défense, du budget- et l'exécutif décideur : le Premier ministre. L'intervention d'une autorité administrative indépendante évite une boucle réservée à l'exécutif et permet l'examen des requêtes des citoyens.

Autres garanties : le nombre limité des administrations habilitées à demander une interception ; l'obligation de validation par l'autorité de tutelle ministérielle, avec un nombre restreint de signataires (deux seulement en plus du ministre) ; le nombre limité de motifs pour autoriser une écoute ; le faible nombre d'écoutes autorisées ; la limitation à quatre mois de leur durée (il en va autrement des écoutes judiciaires) ; l'obligation de transcription, donc de traçabilité ; la limitation à dix jours de la durée de conservation des enregistrements ; la classification secret défense (ce qui constitue une protection pour ceux qui ont fait l'objet d'une surveillance) ; la nécessité d'un faisceau de présomptions graves et concordantes, d'implication personnelle dans des projets d'atteinte aux intérêts fondamentaux de la Nation, déclinés en cinq motifs légaux, encadrés par le code pénal et les engagements européens et internationaux de la France, comme la convention de Palerme sur la criminalité organisée, par exemple. Le Conseil constitutionnel, le 2 mars 2004, a validé ces critères.

L'intervention d'un organe extérieur et indépendant, comme la CNCIS, où sont présents des parlementaires, ainsi que l'intervention technique d'opérateurs privés, requis par les autorités administratives ou judiciaires, constituent des garanties.

Le mécanisme en vigueur est toutefois remis en cause. D'abord, par l'émergence de nouveaux acteurs de la communication, multiples, internationaux, en trois couches. En premier lieu, les propriétaires de réseaux : ces infrastructures physiques sont variées, renvoyant à différentes textes - la convention de Montego Bay renvoie, pour les câbles sous-marins, au régime international des communications ; les vecteurs hertziens et satellitaires sont visés par des dispositifs spécifiques non pris en compte par les conventions européennes...Ensuite, les hébergeurs de contenus, les fournisseurs d'accès ; enfin, la multiplicité des sociétés disséminées à travers le globe qui produisent les contenus échangés, dont les sièges et les outils sont situés à l'étranger.

Les acteurs classiques ne sont plus incontournables, de nombreuses sociétés proposant des services, des outils d'interception ou de captation de données, hors du cadre défini pour les réquisitions administratives ou judiciaires adressées aux opérateurs. Ils sont aussi vulnérables aux diverses attaques, non explicitement visées dans les dispositifs légaux, telles que les usurpations d'identité, piratages, actes de cybercriminalité...

S'y ajoutent des contraintes techniques nouvelles, avec la dissociation complète entre la ligne, l'abonné et la communication. Question essentielle : la corrélation entre l'objectif et la personne qui communique, étant donné la difficulté de l'identification des internautes. L'anonymisation est devenue un obstacle. Il faut parfois croiser plusieurs types de données pour identifier quelqu'un. L'anonymisation peut être volontaire ou non - cybercafés, wifi gratuit, usage groupé de moyens de communication, outils spécifiques : une vingtaine de mesures distinctes sont parfois nécessaires pour parvenir à l'identification...Les outils de cryptologie ont été libéralisés et les entraves à l'interception se multiplient.

La plupart des outils de communication électroniques servent également, de manière croissante, à connecter des machines entre elles et non plus seulement à communiquer. La question de la compétence territoriale de la loi se pose parfois. Les modalités du contrôle doivent par conséquent changer. La liberté de la correspondance n'est plus le seul principe à protéger. Quel contrôle ? Ab initio , a posteriori ? Les sondages révèlent que 57 % des Français trouvent les outils de surveillance sur internet justifiés dans le cadre de la lutte contre la criminalité. (Applaudissements)

M. Jean-Jacques Urvoas, député, président de la commission des lois de l'Assemblée nationale, membre de la CNCIS . - Je serai plutôt empirique, n'ayant pas l'expertise des deux précédents orateurs. À partir de mon expérience de membre de la CNCIS, mais aussi de président de la délégation parlementaire au renseignement (DPR), j'aborderai la question de la responsabilité de l'État au XXI ^ème siècle et des moyens dont il doit se doter pour protéger personnes et citoyens dans le respect des libertés.

La menace est de plus en plus atomisée et difficile à détecter. Elle progresse en intensité. Elle est plus virulente que jamais. De surcroît, elle se modernise. En 1991, tous les outils de communication actuels n'existaient pas. La menace est dans la technologie. Ses buts restent classiques ; déstabiliser, attaquer, tuer. Face à cette menace, du terrorisme, de la déstabilisation, du pillage de nos secrets industriels, etc., nous estimons que les moyens de nos services sont notablement insuffisants. Nos six services administratifs ont trois moyens : les écoutes d'abord. Elles sont peu nombreuses : pendant très longtemps il y en eut 1840, puis, depuis un décret pris par Jean-Marc Ayrault il y a quelques semaines, 2 150 chaque année, soit epsilon par rapport aux interceptions judiciaires, qui se comptent en dizaines de milliers. Ensuite, les fichiers sont ridiculement peu utilisés, sans interconnexion possible. Troisième moyen : le recueil des données de connexion s'opère dans un cadre lui aussi très contraint.

Je précise que les débats qui ont entouré la loi de programmation militaire ne portent pas sur la situation actuelle puisque cette loi ne sera applicable qu'en 2015.

Le rôle de l'État est de protéger les personnes, dans le respect des droits et libertés individuels. Nous sommes bien loin des caricatures orwelliennes.

Pour les remplir, l'État dispose de la prévention, de la détection et du monopole de la sanction. Que faire ? D'abord, accroître les moyens des services. La mutation de la DCRI (Direction centrale du renseignement intérieur), en DGSI (Direction générale de la sécurité intérieure), permettra de recruter les compétences utiles : informatique, cryptologie, ingénierie bancaire, etc. La DGSI, s'émancipe donc utilement du cadre normatif de la DGPN, la logique des compétences supplante celle du statut.

Ensuite, il faut doter l'administration des outils existant dans le domaine judiciaire : capacité de sonorisation, de captation d'images...Marc Trévidic, juge antiterroriste bien connu, le dit à qui veut l'entendre : 100 % de ses dossiers impliquent Internet, désormais. Or le droit va toujours moins vite que la technique. Il faut assurer un contrôle de responsabilité accru. Les services n'étaient contrôlés par personne. La création de la délégation parlementaire au renseignement (DPR) est une avancée majeure : grâce soit rendue - pour une fois ! - à Nicolas Sarkozy... Les parlementaires ont appris à connaître les services. Les agents du renseignement ne sont pas des barbouzes, des Pieds nickelés, des losers , les enfants naturels de Ben Barka et du Rainbow Warrior , mais des fonctionnaires courageux qui servent - parfois au prix de leur vie - l'État, l'intérêt général, dans le respect des valeurs de la République. Les services ont découvert que les parlementaires, bien qu'émanant d'un lieu dédié à la parole, ne sont pas pour autant des bavards impénitents. Le Parlement a décidé de conférer à la DPR le contrôle des politiques de renseignement, non des opérations de terrain. Les services de renseignements doivent être contrôlés par le Parlement en tant que services de l'État, car ce ne sont pas des officines privées au service d'intérêts particuliers.

Deuxième type de contrôle, essentiel : celui de légalité et de proportionnalité, c'est-à-dire de l'usage des moyens. Contrôle du quotidien, constant, pointilleux, il ne peut être exercé par le Parlement. Dès lors, deux possibilités : le confier à un juge - l'Espagne le fait. Nous pourrions suivre cette voie, aux termes de l'article 66 de la Constitution. Autre hypothèse : le modèle de l'AAI, fondé sur vingt décisions du Conseil constitutionnel depuis 1991. J'appelle de mes voeux la transformation de la CNCIS en ce sens. Les parlementaires n'auraient pas à y siéger, et là-dessus je suis en désaccord avec Jean-Jacques Hyest. Son pouvoir de rendre un avis a priori doit être introduit dans la loi, qui ne relève pour l'heure que de la pratique de la CNCIS. Ainsi nous aurons un modèle qui ouvrira aux citoyens des possibilités d'appel et fonctionnera efficacement. (Applaudissements)

M. Alain Zabulon, coordonnateur national du renseignement . - Je me propose de vous exposer la position de la communauté du renseignement sur tous les sujets évoqués par les intervenants précédents. Mais tout d'abord de quoi parlons-nous ? Il ne s'agit pas de services secrets, contrairement à ce que l'on entend souvent. La communauté du renseignement est un ensemble d'hommes et de femmes qui sont des agents publics, ont un statut, agissent conformément aux orientations données par le gouvernement. Des six services qui la constituent, deux ont une vocation généraliste, relative à la sécurité intérieure et extérieure. La DGSI (ex-DCRI) lutte contre le terrorisme, l'espionnage et protège notre patrimoine technologique, industriel et scientifique. Elle vise à sanctuariser notre territoire national contre toutes les agressions à l'encontre de nos intérêts fondamentaux.

La Direction générale de la sécurité extérieure (DGSE) agit, elle, en dehors du territoire, pour collecter des renseignements destinés à informer le gouvernement sur les grandes affaires stratégiques internationales. Membre permanent du Conseil de sécurité des Nations unies, la France participe au maintien de la paix dans le monde et a besoin à ce titre, être renseignée. La DGSE exerce aussi une fonction d'entrave aux risques d'atteinte aux intérêts français à l'étranger.

Il existe quatre autres services spécialisés. Deux d'entre eux relèvent du ministère de la défense : la direction de la sécurité et de la protection de la défense (DPSD) est chargée de protéger le personnel, les emprises physiques et le périmètre du ministère de la défense nationale, y compris des entreprises qui travaillent avec lui ; la direction du renseignement militaire (DRM) fournit des informations opérationnelles à nos forces armées pour leur permettre d'intervenir dans les meilleures conditions d'efficacité et de sécurité. Deux autres services relèvent du ministère de l'économie et des finances : la direction nationale du renseignement douanier (DNRD) lutte contre la criminalité organisée, les trafics en tous genres, la contrefaçon, y compris dans le domaine de la sécurité sanitaire ; la cellule Tracfin lutte contre le blanchiment d'argent, le financement du terrorisme et l'utilisation frauduleuse des flux financiers qui servent à la criminalité organisée.

Ces services oeuvrent ensemble et forment une communauté. Que faut-il entendre par là ? Soyons concrets : juste avant l'attentat du 11 septembre 2001, la CIA, chargée de la sécurité extérieure, avait repéré des mouvements d'individus suspects sur le territoire américain, mais cette information n'a pas été partagée avec le service chargé de la sécurité intérieure.

On connait le résultat. La leçon en a été tirée : les démocraties ont pris conscience de leur extrême vulnérabilité ; un service de renseignement ne peut travailler seul, il doit échanger en permanence avec les autres services placés sous l'autorité de son gouvernement et avec les services étrangers des pays amis. Nous collaborons quotidiennement, dans la lutte antiterroriste, avec les Britanniques, les Américains, les Allemands, les Belges, parce que nous sommes confrontés, comme l'a souligné le président Urvoas, à des menaces de plus en plus individualisées et atomisées.

La principale menace réside actuellement dans la présence de 300 jeunes gens détectés enrôlés en Syrie dans des groupes qui combattent le régime d'Assad et ont pour projet de revenir dans leur pays sous la bannière du djihad. Songez à cette effroyable vidéo montrant de jeunes Français ricanant, traînant, à l'arrière de leur véhicule, des cadavres décapités. Ils participent en Syrie à des égorgements, des décapitations et des crucifixions et ont pour ordre de répandre ce combat à leur retour, sur le territoire national, dans les pays occidentaux. Il faut se donner les moyens de suivre cette multitude d'individus, qui ne sont pas forcément regroupés dans des unités structurées.

Aussi l'action des services doit-elle évoluer, en utilisant les moyens techniques d'accès à l'information, dans le respect des libertés. La communauté du renseignement est consciente que l'acceptation du contrôle est une nécessité et un rempart contre la suspicion. Le cadre juridique des interceptions de sécurité est très rigoureux et c'est tant mieux. Les services de renseignement doivent relever le défi démocratique. La technologie permet de collecter chaque jour des milliards de données : belle prouesse technique, mais pour quoi faire ? Ce que l'on peut faire ne doit pas être nécessairement ce que l'on doit faire.

Quelques mots sur le contrôle qui pèse sur les services

Le quota d'interceptions de communications autorisé est fixé à 6 000 interceptions, ce qui est très faible, en comparaison du nombre des interceptions judiciaires et de nos 60 millions d'habitants.

S'agissant du contrôle démocratique évoqué par le président Urvoas, la délégation parlementaire au renseignement, composée de parlementaires de la majorité et de l'opposition est un véritable progrès. Elle peut auditionner les ministres, les services ; elle remet un rapport annuel au président de la République, facteur de transparence. C'est un fait nouveau. Ce n'était pourtant pas dans la culture du monde du renseignement, mais son existence, qui n'allait sans doute pas de soi, est un atout, voire un relais pour améliorer l'efficacité de notre action.

La communauté du renseignement est une entité vivante. Elle évolue et accepte le changement. Elle souhaite bénéficier de la confiance de la Nation, pour mieux participer à la sécurité du pays et au maintien du rang de la France dans le concert des Nations. ( Applaudissements )

M. Yves Détraigne , président . - Merci pour cette démonstration de l'utilité des services de renseignement.

Mme Valérie Maldonado, chef de service de l'Office central de lutte contre la criminalité liée aux technologies de l'information et de la communication (OCLCTIC) . - L'OCLCTIC relève d'activités judiciaires, au sein de la sous-direction de la lutte contre la cybercriminalité de la DCPJ. Nous travaillons avec Europol, notamment l'unité « EC3 » spécialisé contre la cybercriminalité, et Interpol.

Nous luttons contre la cybercriminalité, à la fois de manière préventive et répressive, dans le cadre des procédures pénales, sous le contrôle des magistrats, du parquet ou de l'instruction.

Nous privilégions la coopération internationale, et cherchons à faire évoluer nos outils sans cesse. Il nous appartient, sous le contrôle des magistrats, de rechercher les éléments constitutifs d'une infraction pénale, dont les technologies numériques ont rendu la commission plus aisée.

L'usage généralisé des technologies de l'information et de la communication (TIC) concerne tous types de trafics et d'infractions : comme les narcotrafics (opération Silkroad, menée en collaboration avec le FBI, ayant abouti au démantèlement d'un site de vente en ligne de stupéfiants) ou la pédopornographie, contre laquelle la coopération internationale est nécessaire pour faire tomber les serveurs utilisés pour la diffusion des images illicites.

Les criminels recourent de plus en plus aux logiciels d'anonymisation, ou à la monnaie virtuelle. Les cyberattaques sont de plus en plus performantes et virulentes, comme l'illustre dernièrement l'affaire Blackshades, du nom d'un malware, logiciel malveillant qui permet de prendre le contrôle à distance d'un ordinateur, et de subtiliser les identifiants qui y sont stockés, en activer la webcam ou de lancer des attaques en déni de service, destinées à saturer des serveurs ciblés. Une action coordonnée des services de l'État est nécessaire. Les citoyens et les PME sont des cibles de choix de ces attaques qui causent des préjudices importants, notamment en cas d'usurpation d'identité numérique. C'est pourquoi nous développons la prévention et mettons à disposition un point de contact national.

Nous disposons des moyens traditionnels d'enquête. Nous souhaitons augmenter la durée de conservation des données techniques : ces éléments sont essentiels pour démontrer l'infraction pénale et l'administration de la preuve. La cyber-infiltration, très encadrée, constitue un outil essentiel pour les services spécialisés.

Autre dispositif majeur : la captation des données à distance, des frappes sur le clavier ou d'images d'écran, qui, seule, permet efficacement de contourner le cryptage.

Enfin, nous souhaitons des instruments de coopération judiciaire plus rapides, car la criminalité n'attend pas la délivrance de commissions rogatoires internationales.

L'enjeu est de veiller à l'équilibre entre l'usage ces outils perfectionnés, aux mains également des délinquants, et le contrôle de l'autorité judiciaire, garante du respect des libertés. ( Applaudissements )

M. Yves Détraigne , président . - L'enjeu est de concilier le respect de la vie privée et la captation des données pour lutter contre la criminalité.

M. Dominique Guibert, vice-président de la Ligue des droits de l'homme (LDH) . - Un moment, je me suis demandé ce que je faisais là, seul défenseur des droits de l'homme face à cinq représentants de l'administration et des institutions. La LDH n'a pas compétence pour juger l'action de la CNCIS, ni celle des services de renseignement, mais de veiller à la défense des libertés publiques, non pas de la vie privée.

Je déplore certains effets de tribune faciles : un intervenant a fait une comparaison avec la Corée du Nord. Je préfère me référer au modèle français. Pour évaluer notre système, il ne faut pas l'évaluer à cette aune...

Le titre même de la table ronde est ambigu. Prévention/répression de la criminalité « et » atteintes à la vie privée : « et » signifie-t-il « au risque de » ?

Pour lutter contre la criminalité faut-il accepter de réduire les droits ? On peut faire de la politique au mépris des droits ; on ne fait de bonne politique qu'avec ces droits, qu'en les respectant. Comment distinguer assurément la surveillance généralisée du contrôle nécessaire ? Où est la limite ? Quand la surveillance devient-elle invasive ? La question est ancienne. Le contrôle des populations est apparu avec les déserteurs de l'armée de Louis XIV, qui parcouraient les campagnes entre 1700 et 1715 et auxquels l'on reprochait beaucoup de crimes, de vols : pour protéger les villageois, on a créé des papiers d'identité militaires, étendus ensuite à toute la population. L'idée d'une surveillance générale était née.

La question des sans-papiers était née ! L'efficacité des services de police a été augmentée, accréditant l'idée que la surveillance était un outil contre la criminalité. Les fichiers se sont multipliés ; ils ne sont pas toujours utiles : le Système de traitement des infractions constatées (STIC) fiche des personnes non encore condamnées, le Fichier national des empreintes digitales (FNAED) a valu à la France d'être condamnée par la CEDH...

Surgit alors la question du rapport entre la technique et la politique. Les techniques sont contingentes et secondes par rapport à la décision politique. Ce n'est pas parce qu'une technique existe, qu'elle doit être utilisée ! On court toujours après la technique, certes. Mais il faut poser d'abord le cadre juridique, celui des politiques publiques. Dans tous les cas, le respect des droits et des libertés des individus est premier. En l'absence de normes et de réglementation, on se laisse distancer par la technique, réduite à en appeler à de simples codes de bonne conduite.

D'où l'importance des AAI. Le groupe des 29 « DPA » ( data protection agencies ) existe en Europe. De même qu'existe un corpus de droits, reconnus au niveau international. La déclaration universelle des droits de l'homme, les pactes de 1966, la convention européenne des droits de l'homme, la charte européenne des droits fondamentaux sont des garde-fous. La LDH et la FIDH ont déposé en juillet dernier une plainte contre X visant la NSA, le FBI et la CIA, sur la base d'articles du code pénal français, pour dénoncer la captation des données personnelles. Les Allemands, les Belges, les Hollandais et les Anglais ont fait de même sur le fondement de leur droit national.

Lorsque nous jugeons l'action des services de renseignement, au regard des libertés publiques, il faut se poser quatre questions : comment résoudre ou corriger l'asymétrie d'information avec les citoyens ? Doit-on considérer que toute technique est utilisable ou peut-on, à l'image de la législation française, résister à son invasion ? Est-il pertinent de constituer d'énormes bases de données ? Doit-on, enfin, toujours soumettre le respect des libertés publiques à l'efficacité de la lutte contre la criminalité, au risque d'ouvrir la voie à Guantanamo ? Cette question ne peut être éludée au Parlement.

De même, la centralisation en matière de renseignement n'est-elle pas excessive ? À quoi sert-elle ? N'oublions pas aussi que le juge doit être compétent. C'est lui qui décide en dernier recours. N'étendons pas le champ de l'extra-judiciaire, sous peine d'amoindrir l'efficacité de la lutte contre la criminalité.

J'aurais préféré que cette table ronde soit intitulée « Libertés publiques et lutte contre la criminalité ». L'équilibre est essentiel. Sinon la légitimité même de la police et des services de renseignement sera remise en cause, l'efficacité de leur action sera amoindrie, car celle-ci repose sur la confiance des citoyens en leur respect absolu des droits de l'homme. ( Applaudissements )

M. Yves Détraigne , président . - Merci pour votre franchise. Vous avez posé beaucoup de questions qui ne manqueront pas de faire réagir vos interlocuteurs, notamment les parlementaires présents parmi nous.

M. Jean-Jacques Hyest , sénateur, membre de la commission des lois du Sénat, membre de la Commission nationale de contrôle des interceptions de sécurité (CNCIS). - Vos questions anticipent largement sur la dernière table ronde. Le renseignement a pour objet de veiller à prévenir les atteintes aux intérêts de la Nation. Si les criminels utilisent les nouvelles technologies, il faut bien s'adapter, sans renoncer au contrôle. Tel est l'objet de la CNIL ou de la DPR.

M. Jean-Pierre Sueur , président de la commission des lois . - Je suis membre de la LDH depuis environ 30 ans. J'ai été rapporteur de la LPM. Or j'eusse aimé, comme je l'ai dit amicalement, que la LDH, avant d'émettre un communiqué me condamnant, m'ait entendu. La semaine prochaine, sa section du Loiret m'auditionnera, à ma demande. Je plaide pour le dialogue le plus approfondi entre nous. Je l'indique ici en toute amitié.

M. Dominique Guibert, vice-président de la Ligue des droits de l'homme (LDH). - je vous réponds non moins amicalement. Nous avons des désaccords à ce sujet, ce qui prouve que la Ligue est un organisme démocratique, où des points de vue différents peuvent s'exprimer librement... J'avais d'ailleurs rédigé une lettre à votre intention, pour que nous nous rencontrions avant...

M. Jean-Pierre Sueur , président de la commission des lois . - Elle a dû être interceptée !

( Échanges avec la salle )

Mme Virginie Dumas, des services du Premier ministre .- Le CNCIS fonctionne bien ; sa transformation en AAI a été évoquée. Quand aura-t-elle lieu ?

M. Jean-Jacques Urvoas, député, président de la commission des lois de l'Assemblée nationale, membre de la CNCIS . - Le calendrier parlementaire est touffu. Certainement avant la fin de la législature ; probablement avant la fin de l'année.

M. Jean-Pierre Sueur , président de la commission des lois . - Il faudrait en parler au Premier ministre...

M. César Armand.- Je suis journaliste au magazine Europe parlementaire. Monsieur Urvoas, dans le rapport avec M. Verchère sur l'organisation des services de renseignement, publié l'an dernier, vous déplorez le faible nombre d'interceptions simultanées, ainsi que le fait que l'on ne pourrait écouter Skype. Qu'en est-il aujourd'hui ? Est-ce possible désormais?

M. Jean-Jacques Urvoas, député, président de la commission des lois de l'Assemblée nationale, membre de la CNCIS . - Le nombre d'écoutes simultanées est passé de 1 840 à 2 150, ce qui n'est pas colossal. Mais une écoute est une cible. Cela peut représenter dix portables. Quant à Skype, rien n'a changé pour des raisons juridiques.

M. Antoine Lefébure .- M. Zabulon a été éloquent, mais a évoqué une menace terroriste à la fois diffuse et individuelle : ne risque-t-on pas de céder, comme aux États-Unis, à la tentation de la surveillance généralisée, dont on a constaté les piètres résultats ? Quid de la menace intérieure ? Que se passerait-il si la presse internationale - souvent mal relayée par la presse française - révélait que la DGSE, dans le cadre de ses rapports avec le Government Communications Headquarters (GCHQ) britannique s'est livrée, en 2012, à des activités considérées comme criminelles ? Y aurait-il prescription ?

M. Alain Zabulon, coordonnateur national du renseignement . - Je ne reprendrai pas la comparaison avec la Corée du Nord, mais j'évoquerai la parabole du chalut et du harpon. Les moyens techniques existants permettent à tel grand pays, ami de la France, de collecter des milliards de données par jour. Est-ce un modèle à suivre ? C'est une prouesse technique, sans doute, mais faut-il être capable de trouver « la » bonne information ! Or ce modèle du chalut n'a pas empêché le 11 septembre, ni l'attentat sanglant de Boston ! Telle n'est pas la voie choisie en France.

Aussi, nous préférons la pêche au harpon dans la collecte des informations. Créer un tel système en France serait illégal, inutile et coûteux. Les services du renseignement ne sont pas demandeurs ! Ils préfèrent un système d'analyse intelligent des menaces. Nous suivons une poignée d'individus. Le rapport public de la CNCIS en rend compte. Une politique du renseignement généralisée ne servirait à rien.

Question de la salle . - La présidente de la CNIL défendait un contrôle externe des services de renseignement ce matin. Quand  verra-t-il le jour ?

Nous sommes tous plus favorables au harpon qu'au chalut. Pourquoi donner à une grande entreprise privée, dont l'État est actionnaire minoritaire, comme Thalès, la fonction d'écoute ?

M. Alain Zabulon, coordonnateur national du renseignement . - Je n'ai pas d'informations sur ce dernier point. La doctrine de l'État en matière d'interception est de ne pas sous-traiter une action qui relève de ses prérogatives. Le contrôle, je le répète, répond aux risques de suspicion. Il s'est étoffé grâce à la loi de programmation militaire. Outre la DPR et la CNCIS, aurons bientôt, un service d'inspection des services de renseignement constitué à partir des grands corps d'inspection de l'Etat et doté de pouvoirs d'investigation sur pièces et sur place au sein des services. Il y a enfin un contrôle hiérarchique sur les services. Les directeurs des services de renseignement sont placés sous l'autorité de leur ministre. Je ne suis pas le super-chef des services. Nous assumons en revanche que, pour la sécurité du pays, certaines actions de renseignement menées à l'extérieur soient secrètes et clandestines.

M. Guy Batard.- Les interventions sont depuis ce matin de haut niveau. Je regrette toutefois l'absence de l'ANSSI, qui aurait pu nous éclairer sur la réalité de la cybermenace, qui est planétaire, hors du microcosme français. Les câbles sous-marins sont ainsi des lieux de captation d'informations potentiellement constitutives de renseignements. Arriver après les événements, c'est du journalisme : c'est trop tard. Le renseignement suppose d'aller chercher les choses là où elles sont, en amont, pour anticiper. J'ajoute que Thalès est une entreprise française de confiance.

Question de la salle. - Pouvez-vous, Monsieur Guibert, revenir sur la composition de la future commission de contrôle annoncée par M.  Urvoas ?

M. Dominique Guibert, vice-président de la Ligue des droits de l'homme (LDH). - Je serais ravi de donner l'avis de la LDH sur la composition d'une telle AAI, si on le lui demandait...

M. Jean-Jacques Hyest , sénateur, membre de la commission des lois du Sénat, membre de la Commission nationale de contrôle des interceptions de sécurité (CNCIS). - Tous les membres de cette commission sont soumis au respect du secret de la défense nationale.

Question de la salle. - De quelle manière vos services nous protègent-ils nous, citoyens et entreprises, des interceptions d'autres pays ou du crime organisé ? N'est-il légitime de se prémunir contre ces risques-là ? Quels mécanismes institutionnels, spécifiques à la France, permettent d'éviter une affaire Snowden à la française ?

Mme Valérie Maldonado, chef de service de l'Office central de lutte contre la criminalité liée aux technologies de l'information et de la communication (OCLCTIC) . - Les outils classiques sont ceux du dépôt de plainte. Mon service a de plus créé une division spécialisée pour recevoir les demandes des particuliers et des entreprises, les conseiller et les renseigner utilement. Nous en avons discuté avec l'ANSSI, dont les guides de bonnes pratiques sont très intéressants.

M. Yves Détraigne , président . - Je remercie l'ensemble des intervenants. Cette table ronde a répondu, manifestement, à la plupart des attentes de chacun.

M. Jean-Pierre Sueur , président de la commission des lois. - Je vous remercie à mon tour, ainsi que les intervenants pour la richesse de leurs propos .