Chiffrement : l'Union européenne en ordre dispersé

Si la position du gouvernement français sur la cryptographie est connue de longue date, celle des autres États européens l’était moins, jusqu’à ce qu’une ONG révèle quelques pistes sur le sujet.

Face à la menace terroriste qui pèse sur la France et la vague d’attentats qui s’est déclenchée depuis le 7 janvier 2015, le gouvernement considère que le chiffrement des données et des communications est l’un des principaux obstacles à la lutte anti-terroriste. Les moyens cryptographiques ont ainsi été pointés du doigt par le ministre de l’Intérieur et par le procureur de la République de Paris.

Or, qu’en est-il au niveau communautaire ? Le chiffrement sera-t-il un énième motif de division au sein de l’Union européenne ?

On sait que des États membres comme la France ont commencé à plaider pour une initiative internationale destinée à répondre au défi que constituerait, à leurs yeux, l’usage de la cryptographie pour protéger les données et le contenu des communications.

C’est aussi le cas du Royaume-Uni. On se souvient par exemple que l’ancien premier ministre David Cameron soutenait un projet de loi interdisant de fournir des outils de cryptographie indéchiffrables par l’État directement ou par l’intermédiaire des fournisseurs des moyens de communication.

D’autres pays souhaitent au contraire conserver un haut niveau de protection ; c’est le cas des Pays-Bas, dont l’exécutif estime que le chiffrement doit être considéré comme un droit fondamental. Le parlement néerlandais a même voté fin 2015 des crédits pour contribuer à la sécurisation des implémentations de protocoles SSL.

C’est aussi le cas de l’Allemagne. Dans un briefing envoyé fin août, le site Contexte avait noté que Berlin s’est désolidarisé de la posture adoptée par Paris sur le déchiffrement des communications. Alors que Bernard Cazeneuve affirmait que les deux pays souhaitent une initiative législative qui pourrait obliger les opérateurs numériques à déchiffrer les messages sur réquisition judiciaire, il est apparu que cette mention ne figure que dans la déclaration finale en français et pas dans celle rédigée en allemand. L’Allemagne n’a pas l’intention de modifier sa politique favorable au chiffrement

Quant aux autres pays, qu’en est-il exactement ?

À la faveur d’une loi néerlandaise sur le droit à l’information, une ONG locale a pu découvrir le point de vue de plusieurs autres nations européennes sur cette question. La position de ces États a pu être connue dans le cadre de la réforme de la directive ePrivacy, qui concerne au niveau européen la confidentialité électroniques, qui date de 2002 et qui est donc en cours de révision.

Le chiffrement sans backdoor doit être « encouragé et, si nécessaire, rendu obligatoire »

Il apparaît que la Croatie, l’Italie, la Lettonie, la Pologne et la Hongrie souhaitent qu’une loi européenne soit créée pour aider leurs autorités chargées de l’application de la loi à accéder à des informations chiffrées et à partager les données avec des enquêteurs d’autres pays, selon une synthèse effectuée fin novembre par Euractiv. La Pologne et la Lettonie souhaitent en particulier que la législation européenne se concentre sur l’accès aux données stockées à distance dans le cloud.

Toujours selon les réponses obtenues via ce questionnaire communautaire, portant notamment sur le droit applicable au chiffrement et les problèmes rencontrés dans le cadre d’enquêtes judiciaires, on apprend que l’Estonie, le Danemark, la Finlande, la Croatie, l’Italie, la Pologne et la Suède se heurtent souvent à des données chiffrées lors d’enquêtes criminelles. Et c’est presque toujours le cas en ce qui concerne le Royaume-Uni et la Lettonie.

Accroissement des moyens

Euractiv poursuit en notant que plusieurs pays qui ont répondu à l’enquête déclarent que leurs forces de police manquent de fonds et de savoir-faire technique pour intercepter la communication des criminels quand ils utilisent le chiffrement. La plupart des répondants déclarent qu’ils veulent que l’Union européenne aide à renforcer les compétences techniques des autorités nationales.

Autrement dit, tous les pays ne plaident pas pour un changement législatif. En tout cas pas publiquement. C’est l’observation qu’a fait Félix Tréguer, de la Quadrature du Net, lors d’un colloque organisé au parlement français par l’observatoire des libertés et du numérique en novembre sur le chiffrement, avec deux tables rondes : « quels sont les enjeux techniques, politiques, législatifs et judiciaires du chiffrement » et « quelles implications d’un affaiblissement du chiffrement » ?

Revenant sur le questionnaire, Félix Tréguer note que « la plupart explique en fait que ce qu’il faut, ce n’est pas un accroissement des mesures législatives, c’est un renforcement des moyens financiers et techniques accordés aux opérations de déchiffrement et qu’à droit constant, sans se heurter frontalement aux libertés publiques, il y a les moyens d’aborder cette question du chiffrement sans en passer par un affaiblissement global et vraiment contestable du droit au chiffrement ».

Il existe toutefois une relative différence d’appréciation entre les États. « Il semble que les grandes puissances de la surveillance et du renseignement au niveau européen soient les plus grandes demandeuses de nouvelles mesures législatives », relève-t-il. Il est vrai que les prises de parole les plus marquantes sur le défi que constitue le chiffrement sont plutôt venues de la France et du Royaume-Uni plutôt que de Malte ou Chypre.

Sur la cryptographie, le contrôleur européen de la protection des données a déclaré que le chiffrement sans porte dérobée doit être « encouragé et, si nécessaire, rendu obligatoire ». Son avis rejoint celui d’Amnesty International, qui prie les États et les entreprises de reconnaître le chiffrement comme un droit fondamental de tout citoyen et de garantir le niveau optimum de protection des communications. Une position que l’on retrouve aussi du côté des experts en droits de l’Homme de l’ONU qui ont rendu plusieurs rapports sur le sujet.