III. LA SURVEILLANCE INTERNATIONALE A L'ÉPREUVE DU DROIT
La surveillance internationale repose *** sur une base juridique stabilisée.
***
A. LES COMMUNICATIONS ÉLECTRONIQUES INTERNATIONALES UTILISANT LES RÉSEAUX PHYSIQUES
*** la surveillance des communications internationales, par sa nature même, a pour objet de surveiller des individus dont les noms sont souvent inconnus, des zones dans lesquelles agissent des groupes qui menacent notre pays ou ses intérêts, ou des organisations terroristes.
***
1. La nécessité de placer la surveillance dans un cadre légal de niveau législatif
Si ces capacités n'ont pas pour objet l'interception de communications échangées entre résidents français, elles n'en restent pas moins exploitées sur le territoire national et peuvent, de manière exceptionnelle, intercepter des communications entre des personnes dont les numéros ou identifiants techniques sont rattachables au territoire français.
Il est donc apparu indispensable que ces mesures de surveillance bénéficient, au même titre que les autres techniques de recueil de renseignement, d'une base juridique et d'un cadre légal définissant leurs finalités ainsi que les conditions de leur autorisation, de leur mise en oeuvre et de leur contrôle.
Bien que strictement tournée vers le recueil de renseignements hors du territoire de la République, cette technique doit néanmoins s'inscrire dans le respect de notre ordre constitutionnel, le législateur ayant à ce titre l'obligation, comme l'a rappelé le Conseil constitutionnel, de définir les règles relatives aux garanties fondamentales accordées aux citoyens pour l'exercice des libertés publiques.
2. L'insertion de dispositions dans le projet de loi relative au renseignement
Sur la base de ce raisonnement, le Gouvernement a pris la décision d'inclure des dispositions particulières dans le projet de loi relative au renseignement.
Le projet adopté par le Parlement le 24 juin 2015 proposait d'insérer, dans le nouveau livre VIII du code de la sécurité intérieure, , un chapitre IV, intitulé : « Des mesures de surveillance internationale » qui ne contenait qu'un seul article L. 854-1, autorisant « la surveillance et le contrôle (interception des communications et recueil des données de connexion) des communications qui sont émises ou reçues à l'étranger », dès lors qu'elles répondent aux finalités définies par l'article 811-3 du code de la sécurité intérieure.
Ces interceptions se seraient toujours faites sur autorisation du Premier ministre ou des personnes déléguées par lui. Toutefois, la procédure serait définie par un décret en Conseil d'État pris après avis de la CNCTR. Un second décret en Conseil d'État, non publié, pris après avis de la CNCTR et porté à la connaissance de la DPR devait préciser, en tant que de besoin, les modalités de mise en oeuvre.
La CNCTR assurerait une fonction de contrôle du respect des règles fixées pour la mise en oeuvre de ces écoutes, de sa propre initiative ainsi qu'à celle de toute personne y ayant un intérêt direct ou personnel 60 ( * ) .
L'article L.854-1 prévoyait cependant que lorsque les communications interceptées renvoient à des numéros d'abonnement ou à des identifiants techniques rattachés au territoire national ou à des personnes faisant l'objet d'interceptions de sécurité sur le territoire national , seules les règles de droit commun relatives à la conservation et à la destruction des données s'appliqueraient.
Contrairement à ce que le législateur avait fait pour les mesures de surveillance nationale, l'article L. 854-1 renvoyait donc à des décrets en Conseil d'État la définition des conditions d'exploitation, de conservation et de destruction des renseignements collectés, ainsi que les conditions de traçabilité et de contrôle par la commission de la mise en oeuvre des mesures de surveillance.
3. Ces dispositions ont été jugés insuffisantes par le Conseil constitutionnel
Le Conseil constitutionnel 61 ( * ) a estimé « qu'en ne définissant dans la loi ni les conditions d'exploitation, de conservation et de destruction des renseignements collectés en application de l'article L. 854-1, ni celles du contrôle par la commission nationale de contrôle des techniques de renseignement de la légalité des autorisations délivrées en application de ce même article et de leurs conditions de mise en oeuvre, le législateur n'a pas déterminé les règles concernant les garanties fondamentales accordées aux citoyens pour l'exercice des libertés publiques ».
Il en a conclu que les dispositions du 1er alinéa de l'article L.854-1, qui méconnaissent l'article 34 de la Constitution, devaient être déclarées contraires à la Constitution (§. 78).
On observera que le Conseil constitutionnel n'a pas fondé sa décision sur une atteinte portée aux droits et libertés, mais sur le fait que le législateur n'avait pas épuisé sa compétence.
4. L'obligation de préciser et de compléter le dispositif envisagé par une loi spécifique relative aux mesures de surveillance des communications électroniques internationales
La loi relative au renseignement a donc été publiée le 24 juillet 2015 sans ces dispositions, créant ainsi un vide juridique qu'il importait de combler aussi rapidement que possible. C'est pourquoi des propositions de loi ont été déposées dès le mois de septembre, l'une à l'Assemblée nationale à l'initiative Mme Patricia Adam et M. Philippe Nauche, députés 62 ( * ) , l'autre au Sénat par M. Philippe Bas 63 ( * ) , le Gouvernement ayant décidé d'inscrire celle déposée à l'Assemblée nationale le jour de l'ouverture de la session ordinaire et engagé sur ce texte la procédure d'examen accélérée.
Parallèlement à l'examen de cette proposition de loi à l'Assemblée nationale, le Président du Sénat, M. Gérard Larcher a, par lettre en date du 22 septembre 2015, saisi le Conseil d'État d'une demande d'avis sur la proposition de loi n° 700 déposée au Sénat par M. Philippe Bas 64 ( * ) , très proche dans sa rédaction de celle examinée à l'Assemblée nationale ce qui a permis de conforter la sécurité juridique du texte.
|
Dans son avis rendu en assemblée générale le 15 octobre 2015, le Conseil d'État observe en premier lieu que« de nombreuses garanties, qui devaient initialement figurer dans un décret en Conseil d'État, sont désormais déterminées dans la loi elle-même » et que celle-ci répond « ce faisant, aux exigences qui découlent de la décision du conseil constitutionnel du 23 juillet 2015, et en particulier, de son § 78 en ce qui concerne la compétence du Parlement ». Il estime que les différences substantielles instituées par le texte par rapport au régime de surveillance des communications nationales sont « justifiées à la fois par la différence de situation entre les personnes résidant sur le territoire français et celles résidant à l'étranger, par la différence corrélative des techniques de surveillance qui doivent être employées, ainsi que par la nature propre des missions de surveillance qui sont exercées à l'étranger ». Il observe d'ailleurs que « ce régime assortit la surveillance internationale de nombreuses conditions et garanties » et considère, dans ces conditions, que « la proposition de loi assure, sur le plan constitutionnel, une conciliation qui n'est pas manifestement déséquilibrée entre, d'une part, les nécessités propres aux objectifs poursuivis, notamment celui de la protection de la sécurité nationale, et d'autre part, le respect de la vie privée et le secret des correspondances protégés par les articles 2 et 4 de la déclaration des droits de l'homme et du citoyen ». L'ensemble de ces garanties permettent, selon le Conseil d'État, de « regarder l'ingérence dans la vie privée que rendent possible les mesures contenues dans la proposition de loi comme étant nécessaire, dans une société démocratique, à la sécurité nationale et à la prévention des infractions pénales, au sens de l'article 8 de la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales ». Le Conseil d'État estime en troisième lieu que le régime de surveillance « ne méconnaît pas non plus des exigences constitutionnelles ou conventionnelles en ce qu'il ouvre la possibilité de surveiller pour les seules finalités prévues à l'article L.811-3 les personnes situées en dehors du territoire français (hormis le cas où elles utilisent des numéros d'abonnement ou des identifiants techniques rattachables au territoire national) sans prévoir de règles différentes selon leur nationalité ». Il constate enfin que la proposition de loi, même si elle exclut le recours direct au juge contre les mesures prises au titre de l'article L.854-1, par les dispositifs qu'elle instaure, « ne méconnaît pas non plus le droit à un recours effectif reconnu par l'article 13 de la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales ». |
En bref, le Conseil d'État n'a relevé d'incompatibilité entre le texte de la proposition de loi, ni avec les exigences posées par la jurisprudence du Conseil constitutionnel, ni avec celles posées par la jurisprudence de la Cour européenne des droits de l'Homme.
Dès lors, le Parlement a pu adopter un texte qui constitue le régime légal de la surveillance des communications électroniques internationales dont le Conseil constitutionnel a établi la conformité à la Constitution par une décision n° 2015-722 DC du 26 novembre 2015 65 ( * ) .
5. Le nouveau cadre légal de la surveillance des communications électroniques internationales
L'article L. 854-1 du code de la sécurité intérieure indique d'abord, que la surveillance ne peut être autorisée qu'« aux seules fins de défense et de promotion des intérêts fondamentaux de la Nation mentionnées à l'article L. 811-3 » (voir supra) 66 ( * ) . Elle porte sur les « communications qui sont émises ou reçues à l'étranger ».
• Il précise ensuite, que les communications électroniques objets de la surveillance sont des données qui permettent un accès au contenu 67 ( * ) et des données de connexion.
• Il explicite l'articulation entre le régime applicable aux mesures de surveillance internationale et celui qui s'applique aux mesures de recueil de renseignement régies par la loi du 24 juillet 2015 relative au renseignement. Il est expressément indiqué qu'en principe, les mesures de surveillance internationale « ne peuvent avoir pour objet d'assurer la surveillance individuelle des communications de personnes utilisant des numéros d'abonnement ou des identifiants techniques rattachables au territoire national ». Les dispositions de l'article L. 854-1 s'articulent, par ailleurs, avec celles de l'article L. 854-8, propres aux communications dites « mixtes » auxquelles s'applique un régime particulier.
• À cette règle de principe, le législateur a cependant apporté une dérogation. La règle s'applique « à l'exception du cas où ces personnes communiquent depuis l'étranger et, soit faisaient l'objet d'une autorisation d'interception de sécurité, délivrée en application de l'article L. 852-1, à la date à laquelle elles ont quitté le territoire national, soit sont identifiées comme présentant une menace au regard des intérêts fondamentaux de la Nation mentionnés à l'article L. 811-3 ».
• Lorsqu'elles sont captées, les communications entre personnes utilisant des numéros d'abonnement ou des identifiants rattachables au territoire national sont « instantanément détruites ».
L'article L. 854-2 décrit le régime des autorisations de surveillance des communications internationales. Ce régime comporte trois niveaux d'autorisation afin de le proportionner aux atteintes qu'elles sont susceptibles de porter au droit au respect de la vie privée.
• Il prévoit ainsi que le Premier ministre « désigne, par une décision motivée, les réseaux de communications électroniques sur lesquels il autorise l'interception des communications émises ou reçues à l'étranger, dans les limites fixées à l'article L. 854-1 ». Les interventions techniques sont réalisées juridiquement par le Groupement interministériel de contrôle, organe placé sous l'autorité du Premier ministre.
• Ils distinguent ensuite les autorisations d'« exploitation non individualisée des données de connexion interceptées » des autorisations d'« exploitation de communications, ou de seules données de connexion, interceptées » Dans les deux cas, les autorisations sont délivrées par le Premier ministre ou un de ses délégués à la demande des ministres de la défense, de l'intérieur, de l'économie, du budget ou des douanes ou de leurs délégués.
|
Dans le premier cas, l'autorisation désigne les finalités, les motifs et les services en charge de l'exploitation. Elle mentionne également « le type de traitements automatisés pouvant être mis en oeuvre, en précisant leur objet ». L'autorisation est valable pour une durée d'un an, renouvelable selon la même procédure que pour l'autorisation initiale. Il s'agit d'une exploitation non ciblée des métadonnées qui permet aux services, notamment dans le domaine de la prévention du terrorisme de détecter des signaux faibles de menaces en exploitant des données non nominatives, de mettre en place des sélecteurs de recherche ou de détecter par exemple l'origine de cyberattaques... Dans le second cas dont on déduit, par a contrario , qu'il s'agit de l'exploitation de communications « individualisées ». L'autorisation qui permet « l'exploitation de communications, ou des seules données de connexion » doit également délimiter les finalités poursuivies, les services en charge de l'exploitation et les motifs des mesures. Il incombe, en outre au Premier ministre ou à l'une des personnes qu'il délègue de désigner « les zones géographiques ou les organisations, groupes de personnes ou personnes concernés ». L'autorisation ne peut être donnée que pour une durée de 4 mois. Son renouvellement est décidé dans les mêmes conditions. |
Parce que la loi a pour but de consolider la base juridique de la surveillance internationale et qu'elle crée des droits nouveaux, la prudence inciterait à définir de façon précise les modalités de mise en oeuvre des procédures définies par le législateur. La DPR souhaiterait que les autorisations en vigueur se voient doter d'un cadre plus formel. Cela consoliderait leurs bases juridiques, fournirait un cadre plus rigoureux pour les services et les ministres présentant des demandes d'autorisation, pour le Premier ministre et ses délégués, qui devront les instruire et les délivrer et l'intérêt, et pour la CNCTR, qui aux termes de l'article L. 854-9 en reçoit communication afin de pouvoir opérer son contrôle.
|
La DPR recommande au Premier ministre de définir dans les meilleurs délais, par le moyen d'une instruction générale, le cadre formel de présentation des demandes d'autorisation dans le respect des exigences posées par le législateur (Proposition n°18). |
L'article L. 854-4 indique que l'interception et l'exploitation des communications font l'objet de dispositifs de traçabilité organisés par le Premier ministre après avis de la CNCTR et que le Premier ministre définit les modalités de centralisation des renseignements collectés.
La CNCTR a mis en place, en liaison avec la direction technique de la DGSE, les modalités du contrôle a posteriori. Un premier contrôle est déjà intervenu sur la base des méthodes précédemment définies. Un bilan sera établi dans les six prochains mois afin d'améliorer les outils techniques de ce contrôle.
L'article L. 854-5 définit les durées de conservation des données. Les durées de conservation des données sont, dans l'ensemble, supérieures à celles déterminées par la loi du 24 juillet 2015 et à celles établies pour les communications dites « mixtes » (art. L. 854-8).
Il prévoit notamment que :
• les correspondances sont conservées douze mois à compter de leur première exploitation, dans la limite de quatre ans après leur recueil ;
• les données de connexion sont conservées six ans après leur recueil ;
• la durée de conservation des renseignements chiffrés court à compter de leur déchiffrement mais dans la limite de huit ans après le recueil ;
• est applicable le régime de la conservation illimitée à des fins d'analyse technique en matière de cryptanalyse ou de cyberdéfense.
On peut, par ailleurs, noter que le Conseil constitutionnel a pris soin de relever que, comme dans le régime issu de la loi du 24 juillet 2015, les transcriptions ou extractions sont détruites dès que leur conservation n'est plus indispensable.
L'article L. 854-9 définit le contrôle qui s'exerce sur la surveillance des communications internationales.
Il énumère l'ensemble des prérogatives de la CNCTR reprenant celles prévues par l'article L. 833-2 du code de la sécurité intérieure issu de la loi du 24 juillet 2015, à l'exclusion de celles qui prévoient que la commission exerce d'un contrôle a priori sur les autorisations. On peut en particulier relever qu'est prévu son « accès permanent, complet et direct » aux dispositifs de traçabilité, aux transcriptions et extractions et aux renseignements collectés.
|
Le dispositif fait intervenir successivement le contrôle administratif de la CNCTR, puis le contrôle juridictionnel du Conseil d'État statuant dans des conditions permettant le respect du secret de la défense nationale. La commission peut s'autosaisir ou être saisie par toute personne qui pense être surveillée. S'agissant des mesures de surveillance des communications internationales, seule la CNCTR peut saisir le Conseil d'État. Comme dans le régime issu de la loi du 23 juillet 2015, cette saisine peut être pratiquée par le président de la commission ou par au moins trois de ses membres 68 ( * ) . |
Le législateur a donc mis en place un cadre législatif, validé par le Conseil constitutionnel, conforme au droit constitutionnel interne. Sa conformité au droit européen, notamment à la CESDH reste à éprouver. Néanmoins, dans son avis sur la proposition de loi de M. Philippe Bas le Conseil d'État a mis en évidence sa compatibilité (voir supra) 68 ( * ) .
6. Hors territoire national
Par ailleurs, des techniques de renseignements sont susceptibles d'être utilisées à l'étranger ou dans des espaces communs. A priori, elles sont soumises soit au droit de l'État dans lequel elles sont utilisées et relèvent d'accords négociés, soit aux règles du droit international lorsqu'elles existent, s'agissant des espaces communs.
Il est probable qu'avec le développement des législations protectrices des droits de l'Homme et de la vie privée, un certain nombre d'États, mêmes partenaires seront, tôt ou tard, conduits à mettre en place un cadre légal qui ne permettra d'agir qu'à travers des mécanismes de coopération et d'échanges, en limitant l'autonomie d'action de nos services.
Lors d'interventions militaires extérieures, les armées ont toute latitude pour intervenir ***.
* 60 En réalité, son contrôle devait être permanent dans la mesure où elle serait tenue d'adresser un rapport au Premier ministre au moins une fois par semestre, ce dernier devant adresser une réponse motivée aux observations et recommandations, dans un délai de 15 jours après réception de ce rapport.
* 61 Décision n° 2015-713 DC du 23 juillet 2015 : http://www.conseil-constitutionnel.fr/conseil-constitutionnel/francais/les-decisions/acces-par-date/decisions-depuis-1959/2015/2015-713-dc/decision-n-2015-713-dc-du-23-juillet-2015.144138.html
* 62 Assemblée nationale - Proposition de loi n°3042 de Mme Patricia dam et M. Philippe Nauche, déposée le 9 septembre 2015
* 63 Sénat- Proposition de loi n°700 déposée par M. Philippe Bas déposée le 21 septembre 2015.
* 64 Si le Conseil d'État est automatiquement saisi pour avis des projets de loi avant leur adoption en Conseil des ministres en application de l'article 39 alinéa 2 de la Constitution, cette saisine n'est pas obligatoire pour les propositions de loi. Le cinquième alinéa de l'article 39 donne néanmoins cette faculté au président d'une assemblée avant son examen en commission pour une proposition de loi déposée par l'un des membres de cette assemblée, sauf si ce dernier s'y oppose.
* 65 Le Conseil constitutionnel en a déduit que l'ensemble des dispositions examinées « ne portent pas d'atteinte manifestement disproportionnée au droit au respect de la vie privée et au secret des correspondances » (cons. 15). Il a également pris soin d'indiquer « que le législateur a précisément défini les conditions de mise en oeuvre de mesures de surveillance des communications électroniques internationales, celles d'exploitation, de conservation et de destruction des renseignements collectés ainsi que celles du contrôle exercé par la commission nationale de contrôle des techniques de renseignement » (cons.15). Cf. Conseil constitutionnel décision n° 2015-722 DC du 26 novembre 2015 http://www.conseil-constitutionnel.fr/conseil-constitutionnel/francais/les-decisions/acces-par-date/decisions-depuis-1959/2015/2015-722-dc/decision-n-2015-722-dc-du-26-novembre-2015.146546.html
* 66 Ainsi, indique le Conseil constitutionnel, , « le législateur a précisément circonscrit les finalités permettant de recourir au régime d'autorisation des mesures de surveillance des communications émises ou reçues à l'étranger prévu par l'article L. 854-1 et n'a pas retenu des critères en inadéquation avec l'objectif poursuivi par ces mesures de police administrative » (cons. 11).
* 67 Le texte utilisant le terme de « correspondances »
* 1 Le Conseil constitutionnel a jugé « que la personne faisant l'objet d'une mesure de surveillance internationale ne peut saisir un juge pour contester la régularité de cette mesure ; qu'en prévoyant que la commission peut former un recours à l'encontre d'une mesure de surveillance internationale, le législateur a assuré une conciliation qui n'est pas manifestement disproportionnée entre le droit à un recours juridictionnel effectif et le secret de la défense nationale ; que les dispositions des quatrième et cinquième alinéas de l'article L. 854-9 doivent être déclarées conformes à la Constitution » (cons. 18). Il admet ainsi, compte tenu de la nature des mesures de surveillance en matière de communications internationales et des modalités organisées pour permettre à la CNCTR comme au Conseil d'État d'exercer leur contrôle, que le recours susceptible d'être formé à l'encontre de mesures de surveillance internationale, qui présente un caractère intermédié, ne porte pas atteinte aux principes constitutionnels.
* 68 Conseil d'État, avis du 15 octobre 2015 (considérant 4) : http://www.senat.fr/rap/l15-097/l15-0977.html#toc34