Réforme pénale : ce que le projet de loi change pour Internet

L’Assemblée nationale débute ce mardi à 17h l’examen du projet de loi de réforme pénale, « renforçant la lutte contre le crime organisé, le terrorisme et leur financement, et améliorant l’efficacité et les garanties de la procédure pénale ». Préparé par le cabinet de Christiane Taubira, le texte de plus de 60 pages est désormais porté par son successeur Jean-Jacques Urvoas, qui aura sans doute moins d’états d’âme, notamment pour défendre des dispositions qui viennent renforcer les instruments donnés à la police et au parquet.

Plusieurs articles du projet de loi de réforme pénale concernent directement Internet ou le numérique. D’autres dispositions viendront dans les prochains jours enrichir le texte par le biais des amendements, avec notamment le risque d’une pénalisation du refus d’aider à fragiliser le chiffrement.

En résumé, les articles à suivre :

Article 2 — des IMSI-catchers pour de simples enquêtes

L’article 2 du projet de loi de réforme pénale vise à permettre au juge des libertés et de la détention (JLD) d’autoriser l’utilisation des IMSI-catchers dès le stade de l’enquête préliminaire pour collecter toutes les métadonnées des téléphones mobiles dans un secteur géographique cerné par les enquêteurs, grâce à une fausse antenne relais.

Les conversations ne sont pas écoutées et le contenu des SMS ne doit pas être intercepté — sauf application de l’article 706-95 du code de procédure pénale, mais toutes les données de connexion de l’ensemble des téléphones mobiles (qui appelle qui, combien de temps, depuis quel endroit, combien de temps, etc.) peuvent être collectées, analysées, avant d’isoler celles qui concernent le ou les suspects. C’est donc tout un quartier qui peut être mis sous surveillance lorsqu’un individu intéresse la police.

Le dispositif sera utilisable pour un grand nombre de délits de droit commun, bien au delà du terrorisme ou des crimes les plus graves, pour une durée de deux mois maximum (1 mois renouvelable une fois). En principe, le JLD doit toutefois veiller à la proportionnalité de ses décisions. En cas d’urgence, l’avis du seul procureur peut suffire, pendant une période de 24 heures.

Article 3 — Des mouchards informatiques très invasifs

Actuellement, le code de procédure pénale autorise les captations de données informatiques, mais en temps réel uniquement. Ne peuvent être envoyées vers les serveurs des enquêteurs que les données « telles qu’elles s’affichent sur un écran pour l’utilisateur d’un système de traitement automatisé de données, telles qu’il les y introduit par saisie de caractères ou telles qu’elles sont reçues et émises par des périphériques audiovisuels ». Tout ce qui n’est pas consulté par le suspect surveillé reste donc invisible, jusqu’à ce qu’une perquisition soit ordonnée, pour permettra la saisie du matériel.

L’article 3 du projet de loi de réforme pénale vise donc à étendre les possibilités du mouchard informatique, qui peut être installé physiquement sur l’ordinateur du suspect, ou introduit à distance (en piratant). Désormais, il sera possible d’utiliser un mouchard pour obtenir les données informatiques « telles qu’elles sont stockées dans un système informatique », ce qui permet de fouiller à distance le contenu d’un disque dur, voire d’accéder aux données stockées sur le Cloud. Il s’agit, notamment, de permettre la consultation des emails archivés, qui ne sont plus lus ou écrits au moment de la surveillance.

L’utilisation d’un tel mouchard informatique sera permise pendant une durée maximale de 2 mois (1 mois renouvelable une fois) lorsqu’il s’agit d’une simple enquête de police sous le contrôle du JLD, et jusqu’à deux ans s’il est installé dans le cadre d’une instruction judiciaire.

Article 11 — Compétence accrue pour les tribunaux français

L’article 11 du projet de loi donne à la justice française la compétence pour se saisir de tout crime ou délit commis avec Internet, dès lors que la victime réside sur le territoire français, ou qu’elle y a son siège social dans le cas des personnes morales (entreprises ou associations).

Ainsi‚ « tout crime ou tout délit réalisé au moyen d’un réseau de communication électronique, lorsqu’il est tenté ou commis au préjudice d’une personne physique résidant sur le territoire de la République ou d’une personne morale dont le siège se situe sur le territoire de la République, est réputé commis sur le territoire de la République ».

Pour faciliter l’accès à la justice, le code de procédure pénale est également modifié pour permettre aux procureurs de la République des tribunaux de toute la France de se saisir des affaires qui concernent des victimes qui résident dans leur ressort. Les affaires pourront y être instruites par les juges d’instruction.

Par ailleurs l’article étend certaines procédures particulières à des actes de cyberdélinquance commis en bande organisée, lorsqu’ils visent des systèmes informatiques de l’État comportant des données personnelles.

Article 13 — Limitation et suivi des cartes bancaires prépayées

Le projet de loi de réforme pénale modifie la réglementation bancaire, pour limiter l’utilisation des cartes prépayées. Celles-ci peuvent plus facilement être fournies à des tiers pour leur permettre de réaliser des dépenses utiles à l’organisation de crimes ou de délits, ou pour masquer plus facilement leur identité lorsqu’ils retirent du cash ou payent sur Internet.

Pour limiter le risque, l’article 13 prévoit de donner au gouvernement la possibilité de fixer par décret un plafond de la somme qui peut être virtuellement stockée sur la carte, « en tenant compte des caractéristiques du produit et des risques de blanchiment des capitaux et de financement du terrorisme que celui-ci présente ».

Il renforce par ailleurs les obligations de traçabilité, en exigeant de conserver pendant 5 ans toutes les «  informations et les données techniques relatives à l’activation, au chargement et à l’utilisation de la monnaie électronique au moyen d’un support physique ». Les banques devront ainsi enregistrer toutes les transactions réalisées, qui permettront aux enquêteurs de suivre l’ensemble des paiements effectués avec la carte prépayée, que ce soit pour connaître les montants dépensés, les dates, ou les lieux de ces dépenses.

Article 20 — Obligation de déclarer ses identifiants

L’article 20 du projet de loi pénale contient une disposition qui permet au ministre de l’Intérieur de « faire obligation à toute personne » qui revient en France après avoir été au contact présumé de groupes terroristes de « déclarer ses identifiants de tout moyen de communication électronique dont il dispose ou qu’il utilise, ainsi que tout changement d’identifiant », pendant 6 mois maximum.

Le texte parle bien d’identifiants et non d’authentifiants, ce qui en principe exclut les mots de passe. Il s’agirait d’obliger à déclarer les comptes Facebook, Twitter, Gmail ou autres (y compris YouPorn) utilisés, mais pas de fournir la clé pour lire leur contenu.

L’idée est toutefois évidemment de faciliter la surveillance en ligne de la personne, qui par ailleurs peut se voir obliger de « ne pas se trouver en relation directe ou indirecte avec certaines personnes, nommément désignées, dont il existe des raisons sérieuses de penser que leur comportement constitue une menace pour la sécurité et l’ordre publics ». En connaissant les identifiants, il est plus facile de s’assurer qu’aucun contact n’est établi.

Le fait refuser de fournir ces identifiants (ou d’en oublier) serait puni de 3 ans de prison et 45 000 euros d’amende.

Article 31 quinquies — Non-restitution des ordinateurs et smartphones saisis ?

Cet article-ci n’est pas spécifique à Internet ou au numérique, mais il mérite d’être mentionné puisqu’il peut frapper le matériel informatique. Absent du projet de loi initial, l’article 31 quinquies ajouté en commission modifie l’article 41-4 du code de procédure pénale, qui organise la restitution des biens saisis lors d’enquêtes.

Jusqu’à présent, la loi prévoit que la restitution est interdite « lorsque celle-ci est de nature à créer un danger pour les personnes ou les biens » ou « lorsqu’une disposition particulière prévoit la destruction des objets placés sous main de justice ». Ce sont les deux seuls cas.

L’article 31 quinquies viendrait ajouter un autre scénario où la restitution est interdite : « lorsque le bien saisi est l’instrument ou le produit direct ou indirect de l’infraction ». Il suffirait donc qu’un ordinateur ait été saisi dans le cadre d’une enquête sur une infraction pénale prétendument commise avec cet ordinateur, pour qu’il ne soit plus possible de le restituer. La constitutionnalité d’un tel article est douteuse, mais voilà en l’état ce que propose le projet de loi.

Article 31 octies — Utilisation obligatoire de la PNIJ pour les écoutes judiciaires

Ajouté à la demande du gouvernement, l’article rend obligatoire le recours à la plate-forme nationale des interceptions judiciaires (PNIJ), pour toutes les mises sur écoute et autres interceptions de correspondances. Créée en 2014, la plateforme centralise en un seul lieu sécurisé toutes les procédures et les moyens techniques d’interception et de retranscription des communications, dans un souci d’efficacité et d’économies.

Son utilisation sera obligatoire pour tous les magistrats, les services d’enquête et les douanes.

Assez curieusement, voire de façon suspecte, l’article 31 octies supprime aussi l’obligation de mettre sous scellés fermés les enregistrement. « En raison du degré de sécurité de cet instrument », explique-t-on du côté du gouvernement.

Lorsque les données interceptées par la PNIJ sont chiffrées, les magistrats ont aussi la possibilité de demander leur déchiffrement par un service secret de l’État.