La semaine dernière, nous avons déposé devant la Cour de justice de l’Union européenne nos dossiers contre le régime de surveillance français. Cet événement marque l’aboutissement de trois années d’analyses, de débats et de rédaction menés par La Quadrature du Net, FFDN et FDN, principalement au travers des Exégètes amateurs (un groupe de bénévoles qui, depuis quelques mois, ont intégré ces différentes associations pour y poursuivre leurs activités).
Depuis quatre ans que nous menons ce genre d’action, ce dossier contentieux est clairement celui qui aura mobilisé le plus d’énergie de notre part. Dans l’attente de la plaidoirie qui se tiendra dans plusieurs mois, et d’une décision qui pourrait bouleverser le droit français l’année prochaine ou la suivante, faisons le bilan de nos arguments.
En juillet dernier, nous vous faisions le récit de nos trois années de procédure devant les juges français. Depuis, tel que nous l’espérions, le Conseil d’État a accepté de poser à la Cour de justice de l’Union européenne cinq questions portant sur la conformité du régime français de surveillance au regard du droit de l’Union européenne (ces cinq questions ont été transmises par deux décisions rendues le 26 juillet 2018, une première portant sur la loi renseignement et une seconde sur la conservation généralisée des données de connexion).
Pour aider la CJUE à répondre à ces cinq questions, nous avons préparé deux dossiers avec FFDN et igwan.net. Il y a 15 jours, nous vous invitions à venir les relire pour les améliorer. Vous avez été des dizaines à le faire, rendant nos écritures plus claires et plus précises. Nous vous en remercions infiniment. Sincèrement !
Vous pouvez lire ces deux dossiers, ici (PDF, 20 pages) et ici (PDF, 17 pages). Ils ne sont pas très longs, mais leur prose reste assez technique. Nous en faisons donc ici un résumé que nous espérons plus accessible.
Notre premier dossier, déposé par La Quadrature du Net, souhaite démontrer que la loi renseignement, adoptée en 2015, est largement contraire au droit de l’Union européenne et devrait donc être drastiquement modifiée pour ne plus permettre les abus qu’elle permet aujourd’hui.
Avant de rentrer dans le détail de nos arguments, rappelons brièvement ce à quoi nous nous attaquons.
Concrètement, la loi renseignement (codifiée au livre VIII du code de la sécurité intérieure) permet aux services de renseignement de réaliser les mesures suivantes :
Toutes ces mesures peuvent être réalisées sur simple autorisation du Premier ministre, sans autorisation préalable d’un juge ou d’une autorité indépendante. Pour être autorisées, il suffit qu’elles soient utiles à la défense de l’un des très nombreux « intérêts fondamentaux de la Nation » dont la loi dresse la liste (et qui ne se résument pas du tout à la seule lutte contre le terrorisme) – nous y reviendrons plus tard. De plus, ces mesures peuvent être prises contre n’importe quelle personne (suspectée ou non) du moment que sa surveillance est susceptible de révéler des informations utiles pour défendre ces « intérêts fondamentaux ».
Enfin, et cette fois-ci pour la seule finalité de lutte contre le terrorisme, l’administration peut aussi recueillir en temps réel des données de connexion et placer sur les réseaux des dispositifs (les fameuses « boites noires », détaillées ci-dessous) interceptant et traitant automatiquement les données acheminées afin de « détecter des connexions susceptibles de révéler une menace terroriste ».
Voilà pour ce que nous attaquons.
Quant à nos arguments, pour aller au plus simple, nous les résumerons à 5 idées : les « intérêts fondamentaux » pouvant justifier une mesure sont trop larges (1) ; les données collectées sont excessives comparées aux objectifs poursuivis (2) ; la loi n’encadre que la collecte des données, mais pas leur utilisation (3) ; les mesures de renseignement ne sont pas soumises à un contrôle indépendant efficace (4) ; nous ne pouvons pas vraiment agir en justice pour contester une mesure illicite (5).
Les services de renseignement peuvent réaliser les mesures listées ci-dessus pour de nombreux « intérêts fondamentaux », que la loi définit comme comprenant la lutte contre le terrorisme mais aussi :
– la défense des « intérêts majeurs de la politique étrangère », ces intérêts étant discrétionnairement définis par le Gouvernement ;
– « l’exécution des engagement européens et internationaux de la France », notamment l’application des normes de l’Union européenne sur l’agriculture, la pêche, les transports, l’emploi, la culture ou le tourisme ainsi que les accords internationaux tels que l’accord de Paris de 2015 sur le climat ou la Convention de Genève de 1931 sur le droit de timbre en matière de chèque (pourquoi pas, après tout !) ;
– la défense des « intérêts économiques, industriels et scientifiques de la France », qui permet l’espionnage industriel et scientifique ;
– la prévention des « violences collectives de nature à porter gravement atteinte à la paix publique », couvrant notamment la lutte contre les manifestations, même non violentes, n’ayant pas été déclarées ou ayant fait l’objet d’une déclaration incomplète ;
– « la prévention de la criminalité et de la délinquance organisée », notamment la lutte contre l’acquisition illicite de stupéfiants, même par un individu seul qui n’agit pas en groupe.
Surveiller la population pour ces finalités est contraire au droit de l’Union européenne. D’abord, le contour de certaines de ces finalités peut être arbitrairement défini par le gouvernement (politique étrangère, engagements internationaux, intérêts économiques…), sans limite prévue dans la loi. De plus, le gouvernement se permet de surveiller la population pour des infractions mineures (par exemple des manifestations non déclarées ou achat à titre individuel de stupéfiants) alors que le droit de l’Union prévoit que, en matière de lutte contre les infractions, la surveillance n’est autorisée que pour lutter contre des crimes graves.
Le droit de l’Union pose comme principe que seules les personnes présentant un lien avec une menace peuvent être surveillées. De plus, il interdit radicalement toute forme de surveillance de masse.
En droit français, comme vu plus haut, la règle est de surveiller n’importe qui pouvant fournir des informations utiles, peu importe que les personnes soient ou non en lien avec une menace. Surtout, la loi renseignement a autorisé deux mesures de surveillance de masse.
Premièrement, les services peuvent intercepter l’ensemble des « communications internationales » – il s’agit de communications dont l’émetteur et/ou le récepteur est situé en dehors du territoire français. Une fois les communications interceptées, toutes les données de connexion y afférentes (qui parle à qui, quand, etc.) peuvent être analysées au moyen de « traitements automatisés », et cela de façon « non individualisée » (donc en masse). De plus, le Premier ministre peut aussi autoriser l’analyse du contenu des communications internationales pour les « zones géographiques » ou les « groupes de personnes » qu’il désigne. Rien ne l’empêche de désigner un ou plusieurs pays comme « zones géographiques » ciblées.
Secondement, les « boites noires » peuvent intercepter et analyser des données (dont certaines sont particulièrement intimes – telle que l’adresse des sites visités) sur l’ensemble des populations utilisant les réseaux de télécommunication où elles sont déployées. Par exemple, rien n’empêche techniquement que le gouvernement pose des boites noires en divers points du réseau d’une grande ville pour analyser automatiquement qui parle avec qui, quand, qui consulte quoi, etc. Le but de ces dispositifs est de « détecter des connexions susceptibles de révéler une menace terroriste » : il s’agit donc d’une surveillance « exploratoire » qui, par nature, vise des personnes sur qui ne pèse aucun soupçon (le but étant de révéler des soupçons). Ces dispositifs sont couramment appelés « boites noires » car ce sont des machines fonctionnant de façon autonome, selon des critères et des méthodes informatiques gardées secrètes.
Le droit de l’Union européenne n’encadre pas que la collecte des données. Il exige aussi que l’utilisation ultérieure des données ne puisse être réalisée que pour des finalités légitimes, de façon proportionnée et selon une procédure adaptée.
En France, la loi renseignement ne s’est pas encombrée de telles règles, qui sont donc entièrement absentes, tout simplement ! Une fois que les renseignements ont été mis en fiches et en dossiers, plus aucune règle n’encadre leur utilisation. Ces informations peuvent même être transmises librement à des puissances étrangères qui, elles même, peuvent fournir à la France d’autres renseignements, sans aucune limite ou procédure prévues par la loi.
La loi renseignement a prétendu confier à la Commission nationale de contrôle des techniques de renseignement (CNCTR) le soin de veiller à ce que les services de renseignement respectent la loi – ce que le droit de l’Union exige.
Pourtant, dès qu’on regarde un peu en détail, la CNCTR manque de tout pouvoir pour nous protéger effectivement contre des abus politiques. Elle n’est jamais que « avertie » pour pouvoir émettre des « avis non contraignants » sur les mesures prises contre la population. Si ses avis ne sont pas suivis – le gouvernement étant parfaitement libre de passer outre -, la CNCTR peut seulement saisir le Conseil d’État qui, plusieurs semaines ou plusieurs mois après qu’une personne ait été surveillée illégalement, pourra ordonner que la surveillance prenne fin – trop tard, donc.
De plus, symbole parfait de son manque de pouvoir, la CNCTR n’est pas autorisée à accéder aux renseignements fournis à la France par des puissances étrangères. Le gouvernement peut ainsi organiser tous les échanges imaginables avec ses alliés (du type « je surveille ton pays et tu surveilles le mien ») pour échapper à tout semblant de contrôle indépendant.
Le droit de l’Union prévoit que, pour pouvoir se défendre en justice contre une surveillance illégale, les personnes soient au moins prévenues des mesures qu’elles ont subies lorsque cela ne peut plus nuire aux enquêtes. Encore une fois, le droit français nous refuse parfaitement ce droit, pourtant indispensable au droit fondamental de contester en justice les actes du gouvernement pris contre nous.
Ce droit fondamental exige aussi, toujours d’après le droit de l’Union, que nous disposions des informations nécessaires pour contester la légalité d’une surveillance (pour quel motif avons-nous été surveillé, quand, pendant combien de temps, comment ?). Là, le gouvernement français a les pleins pouvoir pour classer les informations de son choix comme étant « secret-défense », nous empêcher d’y accéder pour nous défendre, et ce sans que le juge ne puisse les déclassifier – ce qui viole encore le droit de l’Union.
Enfin, et c’est sans doute la pire des atteintes à nos droits, nous ne disposons tout simplement d’aucune possibilité de contester en justice la légalité des mesures de surveillance internationale (la surveillance de masse des communications émises vers ou reçues depuis l’étranger).
Bref, sans pouvoir prédire lesquels de nos arguments seront retenus par la Cour de justice de l’Union européenne, il nous semblerait aberrant que des parties importantes de la loi renseignement ne soient pas déclarées comme violant le droit européen.
Notre second dossier (moins dense juridiquement), a été déposé par FFDN et igwan.net, représentant chacun des fournisseurs d’accès à Internet soumis à l’obligation de conserver pendant un an les données de connexion de l’ensemble de la population. Cette obligation s’impose aussi aux opérateurs téléphoniques et aux hébergeurs Web (pour savoir qui a publié quel contenu en ligne, à quelle heure, etc.).
L’argumentation juridique est ici plus simple : le régime français de conservation est frontalement contraire aux exigences européennes qui, tel que précisé par la Cour de justice depuis 2014, interdisent clairement aux États membre d’imposer aux acteurs du numérique de conserver des données de connexion sur l’ensemble de leurs utilisateurs, quelque soit la durée de cette conservation. D’autres États (Suède et Royaume-Uni) ont déjà été explicitement dénoncés par la Cour de justice comme ne respectant par le droit de l’Union sur ce point, en 2016. Mais la France et le Conseil d’État ont cru utile de reposer la question…
Leur argument principal est que la menace terroriste (qui justifierait la conservation généralisée des données de connexion) aurait augmenté depuis 2016. Sauf que, entre la période de 2015-2016 et celle de 2017-2018, le nombre de victimes du terrorisme en Europe a presque été divisé par quatre. De plus, les usages du numérique, ainsi que la loi, ont largement évolués, rendant encore moins utile l’obligation de conserver des données pendant un an.
Si la France veux amadouer la Cour de justice de l’UE afin que ses pouvoirs de surveillance soient épargnés, elle aurait mieux fait de commencer par réformer son droit qui, depuis quatre ans, viole frontalement celui de l’Union européenne.
Ce combat est celui qu’a initié la formation des Exégètes amateurs. Il a aussi marqué le début des actions de La Quadrature du Net devant les juges. Nous espérons connaître le même succès que celui obtenu par nos amis Digital Rights Ireland et Maximilian Schrems qui ont respectivement obtenu en 2014 et 2015 des décisions fondamentales de la Cour de justice de l’Union européenne en faveur de nos libertés et contre la surveillance de masse.