Collecte de données sans juge : FAI et hébergeurs ne sauront ni qui ni pourquoi

Sans cela il n'aurait pas pu fêter la nouvelle année. Le Gouvernement a attendu le vendredi 26 décembre, au lendemain de Noël, pour publier un décret du 24 décembre 2014 qui fixe les conditions d'application d'une disposition très controversée de la loi de programmation militaire (LPM), qui n'a pas été soumise au contrôle du conseil constitutionnel et qui doit entrer en vigueur ce jeudi 1er janvier. Elle autorise la collecte de données sur les réseaux des FAI et des hébergeurs sans aucun contrôle judiciaire.

Le décret confirme ainsi que toute une série d'agents du ministère de l'intérieur, de l'unité de coordination de la lutte antiterroriste, de la gendarmerie nationale, de la préfecture et du ministère de la défense et des services fiscaux de Bercy pourront demander sans passer par un juge l'obtention d'une grande quantité de données personnelles dont la liste est fixée aux articles R-10-13 (données de connexion conservées pendant un an par les FAI) et R-10-14 (données de facturation détaillée) du code des postes et communications électroniques, et à l'article 1er du décret de 2011 sur les données conservées par les hébergeurs et éditeurs de sites et services web.

Théoriquement ces demandes doivent être formulées dans le cadre de l'article L241-2 du code de la sécurité intérieure, qui affirme (ça ne coûte rien) le caractère "exceptionnel" que doit revêtir l'instrument, et limite son utilisation aux seules fins de "rechercher des renseignements intéressant la sécurité nationale, la sauvegarde des éléments essentiels du potentiel scientifique et économique de la France, ou la prévention du terrorisme, de la criminalité et de la délinquance organisées et de la reconstitution ou du maintien de groupements dissous".

La formulation était déjà suffisamment large pour autoriser toutes formes d'excès. Mais le décret assure de poser un clou supplémentaire au cercueil démocratique.

UN ECRAN ENTRE LE DEMANDEUR ET LE FOURNISSEUR DES DONNÉES

En effet, non seulement les FAI et les hébergeurs sollicités ne sauront pas pourquoi une demande de collecte de données à laquelle ils ont l'obligation de répondre "sans délai" leur est adressée, ce qui peut encore se comprendre. Mais en plus, ils ne sauront pas non plus qui les sollicite, entre par exemple Bercy ou la police nationale. Le décret exploite en effet une institution écran, le "groupement interministériel de contrôle" (mise à jour : qui existait déjà pour les écoutes téléphoniques) qui se chargera d'effectuer l'intermédiaire silencieux entre les agents des différents services de l'Etat et les opérateurs télécoms ou hébergeurs concernés.

Le décret dit bien que même dans le cadre de la collecte en temps réel, qui peut viser par exemple à obtenir les informations sur quiconque se connecte à un service en ligne pendant une période donnée, les instructions sont envoyées aux opérateurs "par le groupement interministériel de contrôle, sans leur motivation". Les FAI et hébergeurs "transmettent sans délai les informations ou les documents demandés au groupement interministériel de contrôle, qui les met à disposition de l'auteur de la demande pour exploitation".

Impossible pour les opérateurs privés, dans ces conditions, de veiller au respect du droit par l'Etat et de jouer le rôle d'ultime garant des libertés de leurs clients. En guise de rempart aux abus, la loi n'a prévu qu'une personnalité qualifiée choisie par le Premier ministre (pour la forme, par la CNIL sur une liste de trois noms), et la très politique Commission de contrôle des interceptions de sécurité (CNCIS), composée de trois membres dont deux parlementaires, qui n'a pas les moyens d'exercer ses contrôles.

Votre VPN préféré n'est pas celui que vous croyez Quel est le meilleur VPN en 2024 ? Notre comparatif Retrouvez notre comparateur pour choisir le meilleur VPN