Les 9 et 10 septembre, La Quadrature était aux côtés de Privacy International, FDN, FFDN, igwan.net, et le Center for Democracy & Technology (CDT) pour plaider devant la Cour de Justice de l’Union européenne (CJUE), contre le régime français de conservation généralisée des données de connexion et loi Renseignement. Voici un bref compte-rendu de cette audience (vous trouverez ici les notes plus complètes prises par Bastien, qui a récemment rejoint les membres de La Quadrature, pour son laboratoire).

Véritable pilier du renseignement, la conservation des données de connexion — ou métadonnées, c’est-à-dire ce qui entoure une communication, comme sa date, l’expéditeur et le destinataire, l’adresse IP utilisée, etc. — concerne tout le monde : la loi française impose aux opérateurs de conserver toutes les informations nous concernant à chaque communication. Cette audience devant la CJUE est l’aboutissement de quatre années de procédures. Dans cette affaire, et depuis 2015, La Quadrature demande quelque chose d’extrêmement simple : maintenir et réaffirmer la jurisprudence actuelle de la Cour suprême de l’UE qui interdit sans ambiguïté une conservation généralisée des données de connexion. C’est parce que les États membres de l’Union européenne, dont la France, refusent de respecter cette règle claire du juge européen que nous plaidions contre cette surveillance de masse.

Cette audience n’avait pas comme seul but de dénoncer la conservation généralisée des données de connexion. Depuis 2015, La Quadrature s’érige contre la dérive sécuritaire du renseignement français. La conservation des données de connexion n’est qu’un symptôme parmi d’autres d’une loi liberticide qui offre aux services de renseignement des pouvoirs qu’ils ne devraient pas avoir. Dans l’opacité la plus totale, les services français peuvent s’introduire dans nos ordinateurs, lire nos conversations, ou encore poser des mouchards. Et ce pour des raisons tellement floues qu’elle recouvrent potentiellement toute action dérangeante pour l’État : sont ainsi mis au même rang la prévention du terrorisme et la défense des « intérêts économiques, industriels et scientifiques majeurs de la France » ou encore les « atteintes à la forme républicaine des institutions ». Comme nous l’avons développé devant les juges européens, cette loi permet aujourd’hui de mettre sous surveillance les contestations sociales comme les gilets jaunes ou les revendications écologiques, bien loin de ce qui avait été vendu en 2015 lors de l’élaboration de cette loi.

La France veut maintenir sa surveillance de masse

Pendant les deux jours d’audience devant les juges de la CJUE, nous avons assisté à un déni de l’État de droit : la France, suivie par les autres pays européens, a expliqué qu’elle ne respecte pas la jurisprudence actuelle de la Cour de Justice en conservant de façon généralisée les données de connexion, mais également qu’elle ne la respectera pas à l’avenir si celle-ci était maintenue. La loi française et son application par les services de renseignement constituent bel et bien de la surveillance de masse, contrairement aux affirmations fausses du gouvernement devant la Cour. Mensonges et mauvaise foi ont été la ligne de défense de la France et de beaucoup d’autres États.

La représentation française a ainsi maintenu son affirmation selon laquelle la surveillance française des données de connexion ne concerne jamais le contenu des communications. Nous avions pourtant déjà démontré que, au moins avec le cas des adresses des sites Web, lorsque les services de renseignement analysent en temps réel les données de connexion, ils peuvent analyser les adresses Web (URL) des sites visités. Or, cela ne se limite pas au seul nom de domaine (ex : lemonde.fr), mais bien à l’intégralité de l’adresse. Il est ainsi possible, avec cette adresse complète, de savoir quel article de presse est lu, à quelle conversation l’internaute est en train de participer, quels sont ses centres d’intérêts, etc., il y a également une surveillance du contenu. Les États ont également tenté grossièrement d’émouvoir les juges avec une liste à n’en plus finir de faits divers dont leur conclusion serait d’attribuer une certaine utilité pratique à la surveillance de masse : il ne s’agissait pourtant que d’exemples isolés, rarement relatifs à la lutte contre le terrorisme (ce qu’ont rappelé certains juges, mettant ainsi les États face à leurs propres contradictions).

Surtout, la Commission n’a jamais cherché, de ses propres dires, à démontrer concrètement, par statistiques ou études exhaustives, en quoi la conservation des données de connexion serait nécessaire, indispensable, et pas simplement « utile », à la lutte contre la criminalité ou la prévention du terrorisme, ce qu’exige pourtant le droit de l’UE. Commission et États étaient bien embarrassés lorsque les juges ont pointé cette faille dans leur principal argument.

De notre côté, dans notre plaidoirie aux côtés de la FFDN, igwan.net et le CDT, nous avons voulu ramener le débat à des éléments concrets, clairs et pertinents. Nous avons rappelé en quoi le système français de renseignement est un système de surveillance généralisée. La France conserve bien une partie des communications traitées, sur toute la population. Elle a une législation en matière de renseignement tellement permissive que chacun·e peut faire l’objet d’une surveillance. Elle n’a pas non plus d’organe de contrôle efficace ni de procédure de recours respectueux des droits de la défense. Nous avons rappelé les nombreuses études sociologiques qui démontrent un affaiblissement de la démocratie lorsque l’on se sent surveillé. Le sujet auquel nous nous attaquons n’est pas une question technique ni d’initié·e·s : les enjeux sont ceux du choix de société que nous voulons. Nous ne voulons pas d’une société dans laquelle toute revendication serait muselée ou dans laquelle les minorités seraient contraintes de se taire.

Face à cette levée de boucliers des États, nous avons appelé la Cour à ne pas céder. Les gouvernements font preuve d’une audace que nos sociétés démocratiques ne doivent pas laisser passer. Nous nous félicitons des questions des juges qui ont démontré l’entière maîtrise du sujet par la Cour. Les questions posées ont mis à plusieurs reprises les États, la Commission et le Contrôleur européen de la protection des données – ces deux derniers partageant sur de nombreux points les positions des États – en difficulté et ont montré les failles grossières du raisonnement déployé par les gouvernements. En réponse à ces épineuses interrogations, les États ont échoué dans leur tentative d’amadouer les juges.

Enfin, nous avons invité la CJUE à, naturellement, maintenir sa jurisprudence. La seule solution aux dérives actuelles est d’interdire la conservation généralisée des données de connexion. Nous avons également invité les juges à s’inspirer d’un régime de « conservation spontanée » : les opérateurs conservent, pour des raisons légitimes (principalement d’ordre technique), les données de connexion, et il s’agit de la seule conservation acceptable car non généralisée. De manière plus large, nous invitons la Cour à contredire les États dans leur manière de penser le renseignement : il n’est pas acceptable que de telles possibilités de surveillance de masse, pour des finalités aussi larges et imprécises, soit maintenues.

Rendez-vous fin décembre, puisque l’avocat général devrait rendre à la fin de l’année ses conclusions !

Ci-dessous, les notes écrites sur lesquelles s’est basée la plaidoirie d’Alexis, notre avocat, qui a plaidé devant la Cour pour nous ainsi que pour FFDN, Igwan.net et CDT. Dans sa plaidoirie, il répondait aux questions parfois assez précises posées à l’avance par la Cour, donc certains passages sont assez longs et techniques.

Notre plaidoirie

Monsieur le Président,

Mesdames et Messieurs les membres de la Cour,

Monsieur l’Avocat général,

Je représente les associations françaises La Quadrature du Net, la Fédération des fournisseurs d’accès à Internet associatifs, Igwan.net, ainsi que Center for democracy and technology (CDT), ONG basée aux Etats-Unis.

Je répondrai, pour l’essentiel dans l’ordre, aux neuf questions posées par la Cour, qui permettent de largement couvrir les enjeux de l’affaire qui nous a conduit ici.

Introduction

Avant d’en venir au droit, je souhaite brièvement aborder deux éléments matériels survenus depuis nos dernières observations écrites.

Premier élément matériel: en avril dernier, la CNCTR – l’autorité française de contrôle des services de renseignement – a publié son rapport d’activité pour l’année 2018.

Ce rapport est une source d’informations précieuses, et j’en soulignerai une en particulier : en 2018, plus de 22 000 personnes ont été surveillées sur le territoire national.

Les deux tiers de ces 22 000 personnes l’ont été au nom de la lutte contre le terrorisme ou de la lutte contre la criminalité et la délinquance organisée.

Un tiers, 8 048 personnes exactement, l’a été pour une autre fin. Parmi ces finalités se trouve la lutte contre les violences collectives qui couvre la lutte contre les manifestations interdites, non-déclarée ou mal-déclarée. S’y trouve aussi les intérêts internationaux, économiques et scientifiques de la France. Finalité particulièrement large et imprécise.

Second élément matériel : en juillet dernier, la Présidence de la République française a publié sa « stratégie nationale du renseignement », qui annonce ses perspectives pour les cinq années à venir. La lutte contre les manifestations y trouve une place singulière. Je cite : « l’anticipation, l’analyse et le suivi des mouvements sociaux (…) par les services de Renseignement constituent une priorité ».

Cette perspective de lutte contre les manifestations violentes ne serait pas tellement surprenante si la Présidence se bornait à viser les seules destructions de biens survenant dans certaines manifestations. Mais la Présidence va bien plus loin.

Il est en effet extrêmement préoccupant de lire la Présidence de la République affirmer que ses services de renseignement doivent surveiller les « affirmations de vie en société » d’ordre éthique « qui peuvent exacerber les tensions au sein du corps social ». Cette formule est susceptible de viser n’importe quel mouvement politique qui contesterait l’action du Gouvernement ou de la majorité.

Aussi bien, dans la présente affaire, les associations que je représente ne sont pas animées par la crainte de dérives futures et abstraites que les faiblesses du droit français rendraient simplement probables.

Non, elles sont animées par une crainte actuelle et matérialisée, nourrie d’abus et d’atteintes, qui se constatent quotidiennement en France, notamment par la pratique des « gardes à vue préventives » qui se sont multipliées ces derniers mois ou par la crainte généralisée de chaque citoyen de ne pouvoir exercer paisiblement et librement, c’est-à-dire sans être indument surveillés, son droit fondamental de participer à la vie politique et sociale de son pays.

Ces éléments de contexte étant précisés, je vais désormais répondre à la première question soumise par la Cour et qui concerne le champ d’application de la directive 2002/58.

1. Champ d’application de la directive ePrivacy

Le champ d’application de la directive dite « ePrivacy » est un sujet récurrent dans la jurisprudence de la Cour concernant la surveillance étatique.

La Cour a déjà jugé, notamment dans son arrêt Tele2, que l’article 5, §1 de la directive, qui interdit l’interception de communications électroniques et de données de trafic y afférentes, s’applique « à toute personne », y compris aux entités étatiques.

Pour définir ce champ d’application, la Cour n’a jamais exigé que cette interception soit réalisée avec la collaboration active des opérateurs de télécommunications.

A bien y regarder, toute interprétation contraire ôterait tout effet utile à la directive.

Revenons en détails sur ce point.

Selon son article 3, la directive « s’applique au traitement de données à caractère personnel dans le cadre de la fourniture de services de communications électroniques accessibles au public sur les réseaux de communications publics ».

Contrairement à ce que prétend la France, cet article ne limite en rien le champ personnel des acteurs concernés, mais se borne à poser une simple limite matérielle : pour être soumis à la directive, il faut et il suffit que le traitement de données ait été réalisé « dans le cadre » d’un service de télécommunications fourni à la personne concernée, c’est-à-dire « au moyen de ».

L’article 3 n’exige en aucun cas que, pour y être soumis, un acteur souhaitant réaliser un traitement de données ait obtenu la collaboration active de l’opérateur de télécommunications de la personne concernée. Une telle interprétation viderait d’ailleurs de sens les autres dispositions de la directive, notamment celles concernant les cookies et les communications non-sollicitées.

En effet, en premier lieu, l’article 5, §3, de la directive ePrivacy prohibe à toute personne d’utiliser le service de télécommunications fourni à un utilisateur afin de déposer ou de lire sans son consentement des informations sur son terminal. Cette disposition est celle qui fonde toute la lutte contre l’utilisation abusive de cookies et autres traceurs. En pratique, ces activités n’impliquent jamais la collaboration active d’opérateurs de télécommunications. Les cookies sont déposés par des sites Web et des régies publicitaires, lors de la navigation sur le Web. C’est tout. La lutte contre le dépôt abusif de cookies deviendrait ipso facto impossible et absurde s’il en allait autrement. Il en va de même pour les activités étatiques.

En deuxième lieu, l’article 13 de la directive défend à toute personne d’utiliser le service de télécommunications fourni à un utilisateur afin de lui faire parvenir des communications non-sollicitées. Ici encore, il serait absurde que cette interdiction ne s’applique que dans la situation improbable et rocambolesque où cette communication non-sollicitée serait faite avec la collaboration active des opérateurs de télécommunications.

Et pour cause : exiger un rôle actif d’un FAI porterait nécessairement atteinte à la neutralité de l’Internet, pourtant garantit par le règlement de 2015 sur l’Internet ouvert.

Ainsi, interpréter le champ de la directive comme exigeant leur collaboration active priverait de tout effet ses articles 5, §3, et 13, ce qui dépouillerait le texte de toute cohérence.

On rappellera que si la directive avait entendu limiter son champ d’application aux seuls opérateurs de télécommunications, elle l’aurait expressément prévu, ainsi qu’elle l’a d’ailleurs fait aux articles 4, 6 et 8, uniquement pour certaines activités limitativement énumérées.

On rappellera, enfin, que la Cour n’a jamais exigé la collaboration active des opérateurs pour interdire aux entités étatiques d’intercepter les communications électroniques et données de trafic y afférentes en application de l’article 5, §1, de cette directive qui, d’après sa lettre, s’applique effectivement « à toute autre personne que les utilisateurs ».

En l’espèce, la directive ePrivacy s’applique donc à l’utilisation d’« IMSI Catcher », que je mentionnais tout à l’heure. Cet outil de surveillance non-ciblée permet aux services de renseignements de surveiller les communications de tous les téléphones portables dans une zone géographique déterminée. Pour cela, cet outil se fait passer pour l’infrastructure d’un opérateur de téléphonie, attirant prioritairement les connexions des téléphones alentours, en lieu et place de l’antenne téléphonique légitime.

A l’évidence, cette technique de surveillance ne peut être menée que dans le cas où un service de télécommunications est fourni aux personnes surveillées : si aucun service ne leur était fourni, l’attaque serait matériellement impossible (de même qu’il serait impossible de déposer un cookie sur le terminal d’un utilisateur ou de lui envoyer des communications non-sollicitées si aucun service de télécommunications ne lui était fourni).

De même, la directive s’applique à la conservation de données imposée par la loi française aux hébergeurs, dans la mesure où ces données sont, par hypothèse, systématiquement collectées et traitées au moyen du service des télécommunications fourni à leurs utilisateurs. Prétendre l’inverse serait arguer que les dispositions sur les cookies ne s’appliquent pas aux hébergeurs et donc à leur dénier toute portée.

Plus largement, et a fortiori, la détermination du champ d’application de la directive n’est pas indispensable pour traiter, en droit de l’Union, des activités nationales de renseignement.

En effet, ces activités sont toutes directement soumises à d’autres normes issues de l’ordre juridique de l’Union, notamment la directive 2016/680 et le RGPD.

S’agissant des activités de renseignement qui poursuivent des finalités extérieures au champ de compétence de l’Union, celles-ci sont, en toutes hypothèses, couvertes par la Charte. En effet, ces activités ne peuvent être mises en œuvre que dans le cadre des exceptions prévues par la directive ePrivacy ainsi que par le RGPD ou la directive 2016/680. Or, selon la jurisprudenceCJUE, 30 avril 2014, Pfleger e.a., aff. n° C-390/12, pts. 33, 35 et 36 ; CJUE, 14 juin 2017, Online Games e.a., aff. n° C-685/15, pts. 54-57 ; CJUE, 21 mai 2019, Commission c/ Hongrie (Usufruits sur terres agricoles), aff. n° 235/17 constante de la Cour, la mise en œuvre d’une exception prévue par le droit de l’Union constitue pleinement une « mise en œuvre du droit de l’Union » au sens de l’article 52 de la Charte et conduit donc celle-ci à s’y appliquer directement.

Or, la Charte reprend la substance des dispositions de la directive ePrivacy, du RGPD et de la directive 2016/680, qui trouve ainsi à s’appliquer à toute activité de renseignement, quel que soit la mesure examinée.

2. Accès limité aux données de connexion

Par sa deuxième question, la Cour semble s’interroger sur la nécessité d’interdire en amont la conservation de masse de données si, en aval, l’accès à ces données n’était que ciblé, chaque fois limité par un lien à l’objectif poursuivi.

D’abord, cette question procède du postulat erroné suivant lequel la seule conservation des données ne constituerait pas en soi, une atteinte disproportionnée aux droits des personnes concernées. Rappelons, d’emblée, que cette conservation massive concerne la totalité de la population, y compris les personnes sans lien avec les objectifs poursuivis par les services de renseignement.

La seule conservation, massive, généralisée et indifférenciée, de ces données, constitue une atteinte injustifiée et radicalement disproportionnée dans les libertés fondamentales de la population.

Les termes de l’arrêt Klass de la Cour européenne des droits de l’Homme ont conservé, plus de 40 ans plus tard, tout leur éclat et une brûlante actualité :

« La législation elle-même crée par sa simple existence, pour tous ceux auxquels on pourrait l’appliquer, une menace de surveillance entravant forcément la liberté de communication (…) »

Je reviendrai plus en détails sur ce sujet pour répondre à la quatrième question posée par la Cour.

La conservation généralisée et indifférenciée des données irait frontalement à l’encontre de la jurisprudence établie par votre Cour. Dans l’arrêt Tele2 notamment, la Cour opère un contrôle de proportionnalité qui, appliqué à l’hypothèse d’une conservation généralisée, conduit inévitablement à condamner une telle mesure.

En effet, toute ingérence dans un droit fondamental doit être proportionnée, c’est-à-dire nécessaire, adaptée et proportionnée stricto sensu.

La conservation généralisée des données n’est jamais nécessaire : il est possible de parvenir au même objectif à l’aide d’une ingérence plus modérée et plus conforme à l’Etat de droit, à l’instar d’une conservation ciblée – j’y reviendrai, tout à l’heure, afin de répondre à la huitième question posée par la Cour.

Par ailleurs, elle n’est ni adaptée, ni proportionnée dès lors qu’il s’agit de conserver les données de la totalité de la population, y compris des personnes dépourvues de tout lien avec les objectifs poursuivis.

Ensuite, autoriser une telle conservation, sous condition d’un accès ultérieur suffisamment encadré, repose sur l’hypothèse systématiquement infirmée, selon laquelle l’Etat n’abuserait pas de ses pouvoirs ou prévoirait des procédures de contrôle fiables et effectives.

En pratique, interdire la conservation de masse est une mesure indispensable prise en amont afin de limiter les abus, constants et systématiques, en aval.

En effet, en premier lieu, ces dernières années ont révélé combien l’encadrement de l’accès administratif aux données de connexion était défaillant. Depuis 2015, le Conseil constitutionnel a censuré les dispositions législatives donnant ces accès aux agents de l’Autorité de la concurrence, de l’Autorité des marchés financiers, de la Haute autorité pour la transparence de la vie publique, des douanes et de la sécurité sociale.

En second lieu, le droit français n’offre aucune garantie effective quant aux contrôles des accès aux données de connexion. Dans son rapport de 2018, la CNCTR explique ainsi avoir eu à examiner 73 298 demandes de techniques de renseignement en un an. Or, la loi exige que ces demandes soient examinées par l’un des quatre seuls magistrats membres de la CNCTR. Dans l’hypothèse, généreuse, où ces quatre magistrats dédieraient l’entièreté de leur temps de travail à ces examens – ce qui, en pratique, est loin de la réalité -, ils passeraient alors moins de 5 minutes en moyenne pour examiner chaque demande.

Parmi les 73 298 demandes, la CNCTR explique que 30 000 d’entre elles ont concerné des accès à des données de connexion aux fins d’identifications d’abonnés ou de recensement de numéros d’abonnement. Face à l’engorgement organisé de son activité, la CNCTR admet, que le contrôle qu’elle exerce est, je cite, « d’une faible valeur ajoutée » et, faute de moyens, je cite à nouveau, se « borne le plus souvent à vérifier que la motivation de la demande comporte des éléments concernant les intérêts fondamentaux de la Nation invoqués. Le contrôle de proportionnalité ne trouve pas matière à s’appliquer ». Il s’agit donc d’un contrôle purement formel et non réel et effectif, bien éloigné des strictes exigences du droit de l’Union en la matière.

Ce constat suffit pour répondre à la question posée par la Cour : il est impensable de permettre une conservation de masse dans la mesure où l’accès aux données est dépourvu de tout contrôle effectif.

3. Importance des métadonnées

Par sa troisième question, la Cour s’interroge sur le caractère intrusif de l’accès aux données de connexion en comparaison avec un accès au contenu des communications.

En termes informatiques, le contenu des communications forme un ensemble de données non-structurées et difficilement structurables. C’est la forme de données la plus complexe à analyser. Il s’agit de comprendre qu’un mot ne désigne pas la même chose, ne signifie pas la même chose, en fonction du contexte dans lequel il est utilisé. Analyser du contenu demande une informatique de pointe, des algorithmes très performants, et le plus souvent des humainsA. Casilli, « En attendant les robots. Enquête sur le travail du clic. », Seuil, 2019. D. Cardon et A. Casilli, « Qu’est-ce que le Digital Labor ? », INA, 2015. pour traiter le contenu et lever les ambiguïtés. En outre, l’exploitation du contenu des communications nécessite de connaître la langue utilisée.

À l’opposé, l’exploitation des métadonnées est aisée et ne requiert aucune traduction. Ce sont des informations qui sont déjà structurées, qui sont produites en continu, à grande échelle, par des systèmes automatiques et conçues pour être traitées informatiquement, de manière massive et à très grande vitesse. Il est aisé de les corréler.

Prenons un exemple : établir à quels moments deux individus sont susceptibles de s’être rencontrés. Si l’on se fonde uniquement sur l’analyse du contenu des échanges, il s’agit d’un problème complexe.

En revanche, si l’on se fonde sur les métadonnées, par exemple les données de géolocalisation, le problème devient enfantin à traiter : il suffit d’analyser les positions de deux téléphones portables. Les données extraites du contenu ne peuvent que difficilement offrir une telle intrusion dans la vie privée des individus.

Au-delà de cet exemple, les seules métadonnées sur les messages échangés – date et heure des échanges, nature technique du message – permettent d’avoir une lecture fine des relations humaines. C’est par exemple sur ces informations-là que Facebook a démontré, en 2014https://www.facebook.com/notes/facebook-data-science/the-formation-of-love/10152064609253859 ; https://www.journaldunet.com/ebusiness/le-net/1135019-facebook-sait-avant-vous-quand-vous-tombez-amoureux/, qu’il pouvait détecter les changements dans la vie sentimentale des utilisateurs avant même que ceux-ci n’en aient conscience. Et j’emploie le terme conscience, et non connaissance, à dessein.

Dès lors qu’il faut redouter que l’automatisation de la surveillance en décuple les risques d’abus – j’y reviendrai ultérieurement -, les données de connexion constituent le cœur des dangers que le droit doit repousser pour les années à venir.

4. Limite à la liberté d’expression

La Cour demande par une quatrième question de revenir sur les conséquences de la surveillance « sur l’exercice des droits à la liberté d’expression, de se former une opinion, ainsi qu’à la liberté de réunion et d’association ».

S’agissant de la liberté de réunion et d’association, je l’ai déjà abordée dans mon propos liminaire. La Présidence de la République française déclare elle-même surveiller les manifestants. Un de ses buts est bien de dissuader la population de se rendre en manifestations. Il s’agit de la suite logique de la politique du gouvernement français de ces derniers mois.

Sur le droit à la liberté d’expression et de se former une opinion, les effets sont plus diffus et complexes à évaluer. Toutefois, plusieurs études confirment le constat dressé il y a 40 ans dans l’arrêt Klass de la Cour européenne.

Une étude publiée en 2016 dans une revue juridique de la faculté de droit de l’Université de BerkeleyChilling effects: Online surveillance and Wikipedia use (JW Penney – Berkeley Tech. LJ), est revenue sur un des effets des révélations d’Edward Snowden sur la fréquentation de certaines pages Wikipédia. Elle conclut à une « réduction significative du trafic des articles sensibles en termes de vie privée après juin 2013, et qu’il y a eu un changement de long terme dans la tendance générale du trafic de tels articles ».

Une autre étude publiée en 2015 dans une revue du MITGovernment Surveillance and Internet Search Behavior (Alex Marthews & Catherine Tucker, MIT), conclut à « une réduction significative (…) dans les recherches Google pour certains termes sensibles en termes de vie privée après juin 2013 ».

Déjà, en 2007, une étude publiée dans une revue de l’Université du MarylandThe chilling effect of government surveillance programs on the use of the internet by Muslim-Americans (DS Sidhu – U. a décrit les effets de la surveillance sur les populations se sentant les plus surveillées. Plus de 8 % des personnes sondées – uniquement des résidents américains de confession musulmane – expliquaient avoir changé leur utilisation d’Internet par crainte que le gouvernement ne surveille l’activité des musulmans en ligne à la suite du 11 septembre 2001.

La surveillance de masse engendre ainsi une « spirale du silence »https://en.wikipedia.org/wiki/Spiral_of_silence .

5. Accès généralisé aux données

La cinquième question posée par la Cour concerne l’accès généralisé aux données de l’ensemble des utilisateurs. Autrement dit, la surveillance de masse.

La Cour demande si une telle mesure peut exister, si elle peut être permise, sans risque d’abus. La Cour a déjà répondu fermement par la négative à cette question par sa jurisprudence constante, et l’exposé que je vais faire de la surveillance française ne peut que la conforter dans cette position.

En droit français, il existe quatre types possibles de surveillance de masse. Les deux premiers types sont explicites alors que les deux autres sont plus insidieux.

La première mesure de surveillance de masse française est celle qui fait spécifiquement l’objet de la sixième question posée par la Cour et qui concerne la collecte et l’analyse automatisée des données de l’ensemble des utilisateurs d’un réseau. Ce qui a familièrement été appelé « boites noires » par le gouvernement. J’y reviendrai après avoir répondu à la présente question.

La deuxième mesure de surveillance de masse en droit français est celle qui concerne la surveillance internationale. Les associations l’ont déjà longuement détaillée dans leurs observations écrites, je me bornerai donc à un rappel sommaire.

Le caractère massif de cette surveillance concerne tant la collecte que l’exploitation des données. Et ces dernières sont relatives tant au contenu des communications qu’aux données de connexion afférentes. Ces communications sont celles de la totalité d’une population dans une zone géographique donnée – un quartier, une ville, un pays, un continent…

Enfin, dernier rappel, et pas des moindres, : les personnes surveillées n’ont aucune voie de recours juridictionnelle pour contester une telle mesure.

Le troisième type de surveillance de masse permis en droit français est plus indirect : il résulte de la collaboration des services de renseignement français avec des services étrangers. Cette collaboration n’est soumise à aucun encadrement juridique en droit français.

Qu’il s’agisse du transfert de renseignement par les services français vers les services étrangers, ou l’inverse, ces transferts ne sont soumis à aucune condition, ni aucun contrôle. Dans son dernier rapport, la CNCTR, elle-même, le déplore soulignant que de tels échanges sont soustraits à tout encadrement juridique et à tout contrôle. Cette pratique est bien réelle et a, entre autres, été analysée par les sociologues Bauman, Bigo, Esteves, Guild, Jabri, Lyon et Walker, dans un article publié en 2015 dans la revue Culture & ConflitsZygmunt Bauman, Didier Bigo, Paulo Esteves, Elspeth Guild, Vivienne Jabri, David Lyon et R. B. J. (Rob) Walker, « Repenser l’impact de la surveillance après l’affaire Snowden : sécurité nationale, droits de l’homme, démocratie, subjectivité et obéissance », Cultures & Conflits [En ligne], 98 | été 2015, mis en ligne le 15 octobre 2016, consulté le 07 septembre 2019. URL : http://journals.openedition.org/conflits/19033 ; DOI : 10.4000/conflits.19033. Ils concluent à l’absence de pertinence de la distinction entre surveillance intérieure et surveillance extérieure et décrivent une sorte de « forum shopping » opéré entre États partenaires.

Plus grave, la CNCTR est explicitement interdite de consulter les renseignements transmis par les services étrangers.

Les deux derniers types de surveillance de masse dont je viens de vous parler reposent chacun sur le flou habituellement et habilement entretenu en France quant aux bornes de la surveillance de masse et à l’application des garanties associées.

Un exemple typique et récent des conséquences de cette confusion a été donné par un article du journal Le Monde du 24 avril dernier, qui révèle l’existence de ce que les services français appelleraient « l’entrepôt ».

Cet entrepôt constitue ce que l’on appelle, dans le milieu du renseignement, un « fusion center ». Il s’agit d’une structure visant à mutualiser les renseignements obtenus par les différents services. Les renseignements recueillis sur le territoire français se trouvent ainsi mélangés avec ceux collectés et exploitables de façon massive via les techniques de surveillance internationale. Les garanties associées aux différents régimes sont rendues caduques par ces mutualisations de données.

La loi française avait prévu un décret, notamment pour définir la façon dont ces deux types d’informations seraient séparées, mais ce décret n’a jamais été adopté. Un agent des services a expliqué au Monde, sous couvert d’anonymat, qu’un tel décret ne pouvait pas être adopté « pour défaut de base constitutionnelle ». Comprendre : décrire le système conduirait à en avouer les dérives.

Le danger intrinsèque des mesures de surveillance de masse est là : en pratique, il est impossible d’en délimiter effectivement les bornes. De tels logiques et fonctionnement « de masse » contamine nécessairement l’ensemble des activités de renseignement. Nous en avons ici une démonstration actuelle et concrète. La Quadrature du Net a déposé un recours contre « l’entrepôt » devant le Conseil d’État, et la décision de la Cour dans la présente affaire y sera décisive.

Enfin, le quatrième et dernier type de surveillance de masse dont je dois vous parler ne concerne plus ces aspects internationaux. Il a trait aux finalités qui, en droit français, autorisent la mise en œuvre de techniques de renseignement, tant sur le territoire national qu’à l’étranger.

Certaines finalités permettent théoriquement de surveiller toute la population et de transformer quasiment n’importe quelle technique de renseignement en mesure de surveillance de masse, qu’il s’agisse d’accéder au contenu des communications ou à leurs données de connexion.

Il en va ainsi de la défense des intérêts économiques et industriels de la France, qui sont définis arbitrairement par le Gouvernement, de la lutte contre l’usage de stupéfiants ou de l’organisation de manifestations non-déclarées. L’étendue de cette dernière finalité est d’autant plus inquiétante au regard des prétentions de la Présidence de la République dont je vous ai parlées plus tôt.

Un dernier point quant à ces finalités concerne les personnes qu’elles permettent de surveiller. À une seule exception près, à savoir, l’accès en temps réel aux données de connexion, toutes les techniques françaises de renseignement peuvent être réalisées au sujet de personnes à l’encontre desquelles il n’existe aucun soupçon de présenter une menace pour la société. Pour surveiller une personne, il suffit que sa surveillance soit susceptible de révéler des informations utiles à l’une des nombreuses et vagues finalités que les services peuvent poursuivre.

Ces deux éléments cumulés – des finalités indéfiniment larges et l’absence de toute exigence quant à de véritables soupçons – permettent à l’ensemble du dispositif de renseignement français de se muer en un système éprouvé, aux rouages parfaitement huilés, de surveillance de masse.

À l’inverse, la jurisprudence de la Cour exige des finalités strictement définies selon des critères objectifs et un véritable lien entre les personnes surveillées et les finalités poursuivies.

J’appelle donc la Cour à réaffirmer sa jurisprudence et à la renforcer, notamment en l’appliquant le plus concrètement possible aux cas d’espèces révélés par la présente affaire.

6. Analyse automatisée

La sixième question de la Cour concerne la première mesure de surveillance de masse que j’ai rapidement évoquée plus tôt pour la renvoyer aux développements que je vais faire à présent. La Cour nous interroge sur les abus rendus possibles par l’analyse automatisée des données de l’ensemble des utilisateurs des moyens de communications électroniques.

Ici encore, il suffit de décrire la situation française pour répondre précisément à la question.

L’article L. 851-3 du code de la sécurité intérieure français autorise les services de renseignement à poser un dispositif, familièrement appelé « boites noires », à n’importe quel point du réseau d’un opérateur de télécommunications ou à l’entrée d’un serveur géré par un hébergeur.

Ces boites noires collectent et analysent automatiquement les données de toutes les communications qui transitent par ce point du réseau afin de détecter des comportements préalablement définis par les services comme étant suspects. Les données analysées concernent indifféremment toutes les personnes qui communiquent via ce point du réseau.

L’automatisation de l’analyse des communications fait légitimement craindre que l’État ne puisse, à brève échéance, surveiller l’ensemble de la population de certains quartiers, villes ou de l’ensemble du pays, ce qui serait impossible en ne reposant que sur un travail humain.

Le passage à l’échelle permis par l’automatisation informatique rend parfaitement concret les risques de surveillance de masse qui, en France, ne pouvaient sembler qu’assez théoriques il y a encore quelques années.

Quand la Cour a précisément demandé au gouvernement français de confirmer ou d’infirmer si les boites noires analysaient ou non les données de l’ensemble des communications qui passent par elles, le gouvernement, est resté taisant. Son silence ne peut être compris que comme valant confirmation, d’autant plus que le gouvernement n’a jamais cherché à dissimuler ce point par ailleurs. Néanmoins, la réponse écrite qu’a donné le gouvernement, bien que ne répondant pas à cette question, mérite d’être examinée.

Aux points 46 et 47 de ses réponses écrites, le gouvernement a écrit que les données analysées par les boites noires ne concernaient en aucun cas le contenu des communications.

Cette présentation est inexacte.

Les données analysées par les boites noires sont définies à l’article R. 851-5 du code de la sécurité intérieure. Ces données sont principalement des données de connexion que les opérateurs de télécommunications et les hébergeurs ont l’obligation de conserver. Mais pas seulement. Il s’agit aussi de données que les hébergeurs n’ont pas l’obligation de conserver mais qu’ils traitent à un moment ou un autre pour fournir leur service. Parmi ces données se trouvent « les données techniques […] relatives à l’identification […] d’un service de communication au public en ligne ».

Un « service de communication au public en ligne », défini à l’article premier de la loi pour la confiance dans l’économie numérique de 2004, est ce qu’on appelle couramment un « site Web ». Les boites noires sont donc autorisées à analyser « les données techniques relatives à l’identification » d’un site Web. Il s’agit typiquement du nom domaine ou de l’adresse d’une page Web. Or, ces informations concernent directement le contenu des correspondances ainsi que les informations consultées. Bien souvent, la simple adresse d’une page Web contient, à elle seule, l’ensemble du titre d’un article de presse. Ainsi, le droit français permet aux boites noires d’être configurées pour repérer toutes les personnes qui consultent des pages Web dont le nom de domaine ou l’adresse contient certains mots-clefs.

La réponse du gouvernement français aux questions de la Cour est contraire à la lettre du droit français.

D’ailleurs, le gouvernement lui-même le reconnaissait expressément, il y a tout juste un an, dans ses écritures qu’il présentait devant le Conseil d’Etat à propos des affaires ayant donné lieu aux présentes questions préjudicielles.

Dans ses ultimes observations en réplique du 26 juin 2018, dans l’affaire n° 397851 devant le Conseil d’État qui a mené à certaines des questions préjudicielles examinées par la Cour, le ministère de l’intérieur, admettait expressément, page 10, que les boites noires analysent des données qui relèvent du contenu des communications. Je le cite, tant son propos est clair, limpide et dépourvu de toute ambiguïté.

« Certaines données de connexion peuvent, en raison de leurs caractéristiques intrinsèques, également permettre l’identification de contenu. (…) certaines données peuvent révéler le contenu, de manière indirecte, de correspondances ou d’informations échangées. (…) les dispositions du décret ont prévu que ces données mixtes ne pouvaient être recueillies qu’en cas (…) de la mise en œuvre d’un algorithme. »

On ne peut que s’interroger sur les motifs, probablement peu avouables, qui ont poussé le gouvernement français à affirmer à la Cour l’exact inverse de ce qu’il reconnaissait devant le Conseil d’État un an plus tôt dans la même affaire.

Hélas !, la confusion ne s’arrête pas là. Aux points 80 et 81 de ses réponses à la Cour, la France prétend encore que le droit français interdit que les traitements identifient les personnes auxquelles les informations ou documents se rapportent.

Pourtant, ici encore, l’article R. 851-5 du CSI prévoit explicitement que les boites noires peuvent accéder à toute données « relatives à l’identification et à l’authentification d’un utilisateur ». La lettre de cette disposition contredit frontalement et radicalement les allégations de la France.

Enfin, au point 73 de ses réponses écrites, la France prétend que les boîtes noires « ne pourrai[en]t avoir ni pour objet ni pour effet de recueillir et de révéler des données telles que l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale des personnes physiques, qui sont, par définition, des données de contenu ».

Mes précédentes explications suffisent à infirmer cette allégation : les boites noires peuvent cibler certains mots, tant dans l’adresse des pages Web visitées que dans les pseudonymes des personnes. Ces mots peuvent largement suffire à cibler, ou simplement à révéler certaines origines ethniques, opinions politiques ou convictions religieuses.

Ma conclusion sur les boites noires sera donc la même que celle sur la surveillance internationale : en pratique, aucune mesure de surveillance de masse ne peut être effectivement bornée. Une telle mesure contamine nécessairement l’ensemble du système de renseignement. Les risques d’abus sont intrinsèques à cette technique, qui ne peut être que purement et simplement interdite.

Une autre affaire portée par deux des associations requérantes devant le Conseil d’État illustre parfaitement cette conclusion. L’ANSSI, l’administration française chargée de la sécurité informatique de l’État, a récemment reçu de la loi le pouvoir de déployer des boites noires qui fonctionnent de la même façon mais, cette fois-ci, dont la finalité est de détecter des attaques informatiques. Ici encore, M. Guillaume Poupard, directeur de l’ANSSI, admettait lors de son audition par l’Assemblée nationale, que ces boites noires analyseraient nécessairement le contenu des communications.

Je le cite : « Il va donc de soi que nous traitons des données, y compris des données personnelles. (…) nous y touchons de fait. (…) Prenons un exemple : le travail de détection consiste parfois à chercher au fin fond de pièces jointes, dans des courriers électroniques, pour y détecter un éventuel virus caché. ».

Une fois encore, la décision de la Cour sera déterminante dans cette autre affaire.

7. Distinction entre prévention et répression

Par sa septième question, la Cour demande s’il y a lieu de faire une distinction entre les mesures de prévention et de répression.

En matière de surveillance, le droit de l’Union a déjà tranché. La directive 2016/680 encadre tout traitement de données personnelles mise en œuvre par l’État qui est réalisé, pour faire court, en matière pénale. Aucune des obligations posées par cette directive ne fluctue selon qu’elle s’impose à des mesures de prévention ou de répression.

Cette homogénéité est inévitable tant les activités de prévention et de répression sont difficilement dissociables en pratique. Il est certes vrai qu’en droit français il existe une distinction entre la police administrative chargée de la prévention et la police judiciaire, chargée de la répression. Mais il est tout aussi vrai que cette distinction théorique est dans la pratique beaucoup plus incertaine – la jurisprudence du Tribunal des conflits le démontre – et conduit le juge à décider au cas par cas du régime applicable. Il convient, en outre, de rappeler que police administrative et police judiciaire sont exercées par les mêmes organes, dès lors qu’il ne s’agit que d’un critère matériel.

Il est ainsi impossible tant d’un point de vue théorique que pratique de prévoir des régimes ou justifications différentes selon que les mesures de surveillance sont réalisées à des fins préventives ou répressives.

8. Mesures alternatives à la conservation généralisée

Par sa huitième question, la Cour s’interroge sur l’existence de mesures légitimes qui pourraient être des alternatives efficaces à la conservation généralisée des données de connexion.

S’agissant de la conservation généralisée des données de connexion, les États membres ont systématiquement échoué à apporter le moindre élément matériel démontrant que les données volontairement conservées par les opérateurs, pour des raisons de sécurité ou de facturation, ne seraient pas suffisantes à la poursuite de leurs objectifs.

Au-delà de quelques enquêtes choisies spécifiquement par les États où l’accès à des données de connexion a été simplement utile, ils n’ont jamais démontré que cet accès était indispensable ni que les données nécessaires à la résolution des enquêtes ne seraient pas spontanément conservées par les opérateurs. La charge de la preuve repose sur les États. Cette charge ne saurait être renversée au prétexte de leur défaillance.

Il suffit de constater l’incapacité des États membres à poursuivre la réforme de la directive ePrivacy depuis déjà deux ans, précisément à cause de cette défaillance, pour réaliser que la démonstration qu’ils cherchent vainement à effectuer est impossible. La conservation généralisée des données de connexion n’est pas nécessaire et ne saurait donc jamais être proportionnée.

En contraste, l’avancée des débats sur le paquet dit « eEvidence » illustre un mouvement inverse : ces nouvelles dispositions vont notamment permettre aux autorités publiques d’émettre des injonctions de conservation aux prestataires techniques afin que ceux-ci conservent des données de connexion pour une durée allant jusqu’à 60 jours, empêchant « l’effacement, la suppression ou la modification des données concernées ».

S’agissant de la conservation généralisée des données de connexion par les hébergeurs, tel qu’imposée en droit français, l’absence de nécessité est encore plus flagrante. Le RGPD permet aux hébergeurs de traiter et de conserver un grand nombre de données personnelles pour de vastes catégories de finalité. De plus, et contrairement aux opérateurs de télécommunications, chaque personne est l’utilisatrice d’un très grand nombre de services rendus par des hébergeurs, qu’il s’agisse de réseaux sociaux, de sites de partages de vidéo ou de fichiers, etc.

Cette multitude d’acteurs rend l’identification des personnes, extrêmement simplifiée pour l’administration. Cette multiplicité accroît aussi considérablement la précision et la diversité des informations accessibles sur chaque personne. L’ampleur et la granularité des données ainsi disponibles pour l’administration ne dépend pas de l’obligation imposée aux hébergeurs mais de leur simple activité volontaire.

9. Surveillance des innocents

Par sa neuvième et dernière question, la Cour nous demande de définir les circonstances dans lesquelles des mesures de surveillance peuvent viser des personnes à l’encontre desquelles ne pèse aucun soupçon de représenter une menace.

La jurisprudence de la Cour prévoit que ce cas doit demeurer exceptionnel, la règle étant que seules les personnes soupçonnées de représenter une menace sont susceptible d’être surveillées. Comme je l’ai déjà dit, en droit français, cette exception est au contraire la règle : l’existence de soupçons à l’encontre d’une personne n’est jamais une condition à la mise en œuvre d’une technique de renseignement la concernant.

Il m’est alors impossible de décrire en droit français les conditions qui rendraient raisonnable de surveiller des personnes hors de tout soupçon tant ce scénario est étranger à la situation actuelle. Il est toutefois manifeste que plusieurs des conditions requises par le droit de l’Union pour une telle surveillance ne seraient pas remplies en droit français. Parmi les conditions indispensables absentes en droit français se trouve celles liées à (i) l’information des personnes concernées, (ii) au contrôle préalable et (iii) au droit à un recours effectif.

Il est parfaitement inadmissible que, les innocents surveillés ne soient jamais informés des mesures qu’ils ont subies. Cette obligation d’information est déjà imposée par la directive 2016/680, sans exception, peu importe qu’il existe ou non des soupçons contre les personnes concernées. A ce jour, s’agissant des activités de renseignement cette directive n’a pas été transposée en France, contrairement à ce qu’elle prétend devant la Commission.

De même, les risques d’abus liés à la surveillance de personne totalement innocentes sont décuplés en l’absence de contrôle indépendant préalable à la mise en œuvre de techniques de renseignement à l’encontre de ceux-ci.

La CNCTR ne dispose d’aucun pouvoir de contrôle préalable : ses seuls pouvoirs n’interviennent qu’après qu’une technique a été mise en œuvre et se limitent à la saisine de la formation spécialisée du Conseil d’État, alors même que cette saisine est dépourvue de tout effet suspensif.

L’administration peut donc librement collecter des renseignements sur une personne totalement innocente de façon illégale pendant une durée substantielle sans qu’aucune autorité indépendante ne puisse l’en empêcher. Le Conseil d’État ne peut que lui demander a posteriori de supprimer les données collectées, une fois que l’atteinte illicite est caractérisée et l’illégalité consommée.

Enfin, il est inadmissible que les innocents surveillés n’aient pas accès à l’entier dossier les concernant lorsqu’ils saisissent eux-mêmes la formation spécialisée du Conseil d’État, afin de contester la validité d’une mesure qu’ils ont subi. Ce droit au recours effectif est reconnu à toute personne surveillée, même celles à l’encontre desquelles pèsent des soupçons. Mais la gravité de son défaut devient encore plus flagrante s’agissant de personne hors de tout soupçon.

A titre d’exemple une journaliste française, Mme Camille Polloni, à l’issue d’une bien trop longue procédure et semée d’embûches, a finalement vu reconnaître, par le Conseil d’État, qu’elle avait été illégalement fichée par la Direction du Renseignement Militaire, mais n’a jamais pu savoir ni comment, ni pourquoi, ni obtenir la moindre information, compensation ou enquête sur ce fichage, pourtant manifestement illégal.

Pour répondre précisément à la dernière question de la Cour, je me bornerai donc à donner ces trois éléments comme conditions indispensables, mais non exhaustives, à la surveillance de personnes qui ne font l’objet d’aucun soupçon : (i) information systématique de la surveillance subie une fois que l’enquête a pris fin ; (ii) contrôle préalable indépendant ; (iii) recours effectif, qui implique notamment l’accès à l’entier dossier.

Conclusion

Dans le contexte actuel, marqué par l’émergence de nouvelles formes de surveillance exploratoires, qui tendent notamment à reconnaître, dans l’espace public urbain, des individus et des comportements suspects – reconnaissance faciale ou, encore, police prédictive – le bras de fer qui oppose plusieurs États européens à votre Cour est fondamental pour le futur de la démocratie et de l’État de droit.

Dans ce bras de fer, le Conseil d’État français a clairement pris parti en refusant d’appliquer votre jurisprudence, pour vous inviter fermement à en changer. Je vous appelle à tenir votre position, fondée sur des principes fondamentaux, et à réitérer votre rejet de la surveillance de masse et votre attachement au droit à vivre sans être surveillé.

C’est dans le sens de ces observations que je vous invite à statuer. Je reste à votre entière disposition pour répondre à vos éventuelles questions.