Partage de données : le renseignement français encore et toujours dans l’illégalité

La Quadrature du Net vient de déposer un nouveau recours devant le Conseil d’État contre les activités de partage de données entre services de renseignement. Comme le révélait le journal Le Monde fin avril, depuis 2016, une infrastructure dédiée au siège de la DGSE permet aux services d’échanger des données collectées dans le cadre de leurs activités de surveillance, et ce sans aucun encadrement juridique. Ces activités illégales posent de nouveau la question de l’impunité des responsables du renseignement et des autorités de contrôle, et doivent cesser au plus vite.

Avec la loi relative au renseignement de 2015, l’État nous promettait que les barbouzeries illégales dont les services français étaient familiers ne seraient bientôt plus qu’un mauvais souvenir. Rien ne serait jamais plus comme avant : les buts et les moyens du renseignement étaient désormais clairement énumérés, la commission de contrôle dédiée, la CNCTR, veillerait au grain en lien avec le Conseil d’État. Fini le non-droit : le renseignement rentrait enfin dans le giron de l’État de droit…

Hélas, la loi adoptée à l’époque était déjà loin du compte, comme La Quadrature le fait d’ailleurs valoir dans ses multiples recours déposés devant le Conseil d’État, en lien avec les fournisseurs d’accès associatifs de la Fédération FDN.

Puis dès le printemps 2016, une première découverte montrait que les mauvaises habitudes avaient la vie dure. Au détour de « l’affaire Solère », nous nous rendions alors compte que le législateur avait reconduit dans la loi renseignement une vieille disposition relative à la « surveillance hertzienne », rédigée de manière tellement sommaire qu’elle laissait la possibilité de couvrir n’importe quelle mesure de surveillance et de contourner tous les mécanismes de contrôle prévus par ailleurs dans la loi. Nous avions alors eu gain de cause devant le Conseil constitutionnel, et le gouvernement avait dû réécrire cet article.

Fin 2016, lorsque l’on découvrit l’existence d’un contrat conclu entre la DGSI et Palantir, il devenait clair que les belles promesses de 2015 avaient fait long feu. Pour passer les téraoctets de données perquisitionnées dans le cadre de l’état d’urgence à la moulinette du Big Data, la DGSI s’offrait donc les outils d’analyse de cette sulfureuse entreprise liée au complexe militaro-industriel étasunien. Les caciques du renseignement français laissaient ainsi entendre que, chaque fois que le droit s’écarterait un peu des possibilités offertes par les technologies modernes de surveillance, le droit devrait s’incliner. Une stratégie d’ailleurs validée par le député Cédric Villani dans son rapport de 2018 sur l’intelligence artificielle, qui légitimait ces méthodes illégales en parlant d’expérimentation et de « logique de bac à sable ».

Fin avril 2019, le journal Le Monde révélait une autre affaire, à savoir l’existence de l’« entrepôt », surnom d’un « bâtiment ultrasécurisé » attenant au siège de la direction générale de la sécurité extérieure (DGSE), à Paris. Une sorte de data center dédié à la mutualisation des données entre services de renseignement. Sa création et son financement auraient été décidés en janvier 2016 sous l’autorité de François Hollande. Et au mois de juillet 2016, une des lois de prolongation de l’état d’urgence était venue fournir un semblant de base légale à cette infrastructure technique, en modifiant un article dédié — l’article L-863-2 — dans le Code de la sécurité intérieure¹L’article L.~863-2 CSI indique : « Les services spécialisés de renseignement mentionnés à l’article L. 811-2 et les services désignés par le décret en Conseil d’État prévu à l’article L. 811-4 peuvent partager toutes les informations utiles à l’accomplissement de leurs missions définies au titre Ier du présent livre.
Les autorités administratives mentionnées à l’article 1er de l’ordonnance n°~2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives peuvent transmettre aux services mentionnés au premier alinéa du présent article, de leur propre initiative ou sur requête de ces derniers, des informations utiles à l’accomplissement des missions de ces derniers.
Les modalités et les conditions d’application du présent article sont déterminées par décret en Conseil d’État.»
Créé par la loi de renseignement de 2015, la loi de 2016 est simplement venue changer le mot « échanger » par « partager ». C’est un amendement apporté en 1ère lecture par le Sénat par une sénatrice Les Républicains. À l’époque, celle-ci explique que « l’objectif est de permettre la mise en commun de toutes les informations dont disposent les services en lieu et place d’échanges bilatéraux, et ce dans un souci d’efficacité ».

Sauf que cette disposition de 2016 se contentait d’autoriser les services à partager leurs données sans rien préciser, alors même que le Conseil constitutionnel avait exigé en 2015 que le législateur fixe lui-même, sans s’en remettre au gouvernement, les conditions d’exploitation, de conservation et de destruction des informations collectées dans le cadre de la surveillance d’État²« En ne définissant dans la loi ni les conditions d’exploitation, de conservation et de destruction des renseignements collectés en application de l’article L. 854-1, ni celles du contrôle par la commission nationale de contrôle des techniques de renseignement de la légalité des autorisations délivrées en application de ce même article et de leurs conditions de mise en œuvre , le législateur n’a pas déterminé les règles concernant les garanties fondamentales accordées aux citoyens pour l’exercice des libertés publiques ; que, par suite, les dispositions du paragraphe I de l’article méconnaissent l’article 34 de la Constitution, doivent être déclarés contraires à la Constitution » (Cons. constit. Déc. n° 2015-713 DC du 23 juillet 2015, cons. 78).. L’article 863-2 renvoyait à un décret pour préciser ses modalités d’application. Celui-ci ne fut jamais publié, le gouvernement craignant sans doute d’attirer l’attention sur l’inconstitutionnalité de sa base législative (une source du Monde évoque ainsi le « défaut de base constitutionnelle » de ce décret).

Or, les activités de surveillance relèvent de régimes plus ou moins permissifs. La DGSE, par exemple, dispose des moyens techniques et juridiques les plus larges, lui permettant d’intercepter d’immenses quantités de trafic au niveau des câbles de télécommunications transitant sur le territoire français (article L.854-1 et suivants). De même, des techniques du renseignement intérieur, comme les fameuses boîtes noires algorithmiques ou la surveillance en temps réel des métadonnées, ne sont autorisées que pour la lutte antiterroriste (articles L. 851-2 et L. 851-3)

Que se passe-t-il lorsque les données relevant de ces pouvoirs exorbitants sont versées au pot commun dans lequel peuvent potentiellement venir piocher des dizaines de milliers d’agents, relevant de services aux compétences et aux missions très diverses (TRACFIN, douanes, direction du renseignement de la préfecture de police de Paris, bureau central du renseignement pénitentiaire, ANSSI, service central du renseignement territorial, etc.) ? Certes, le gouvernement a déjà fait évoluer la loi l’an dernier pour faciliter la surveillance de résident·es français·se à partir du régime applicable aux communications internationales, là encore au mépris des engagements de 2015. Pour autant, celui-ci couvre un champ restreint. Faute d’être rigoureusement encadrés par la loi, l’essentiel des partages de données pratiqués à l’entrepôt de la DGSE sont donc nécessairement illégaux et profondément attentatoires aux droits fondamentaux.

La Quadrature vient donc d’attaquer ce dispositif devant le Conseil d’État (voir notre mémoire introductif). Dès que possible, nous soulèverons également une question prioritaire de constitutionnalité dans le cadre de cette procédure, afin de faire invalider l’article L. 863-2. Et avec lui, c’est l’ensemble des activités de partage de données entre services qui devra cesser en attendant que la loi soit précisée et que la transparence soit faite sur ces pratiques.

Au-delà, cette affaire pose aussi la question de la responsabilité, et de l’impunité récurrente, non seulement des hauts responsables politiques et administratifs du renseignement qui président à ces activités illégales, mais aussi de leurs autorités de contrôle (la CNCTR et Conseil d’État) qui acceptent de les couvrir.