Le cabinet d’Axelle Lemaire nous indique que l’article 59 de l’avant-projet de loi ayant servi de base à cet article (qui date de la mi-août) ne fait plus partie du texte, tel qu’il a été envoyé à Matignon en vue des arbitrages interministériels. Selon Bercy, ces dispositions étaient de toute façon devenues « complètement caduques » depuis la promulgation de la loi Renseignement, le 24 juillet.
Le projet de loi numérique d’Axelle Lemaire va-t-il accentuer l’emprise des services du renseignement sur les acteurs basés à l’étranger ? La secrétaire d’État le conteste. Et pourtant, une lecture de son avant-projet de loi montre bien que cette menace n’est pas fantôme.
C’est une question qui hante les tribunaux depuis des lustres : le droit français s’applique-t-il aux acteurs étrangers dont les sites Internet sont taillés pour la France ? Pour lever le doute quant à la loi applicable, l'avant-projet de loi Lemaire, dans sa dernière version révélée dans nos colonnes, se penche sur cette question au travers de son article 59. Il institue une loi de police, en ce sens qu’elle ne peut être dérogée par les conditions générales d’utilisation des acteurs.
Appliquer le droit français aux sites étrangers
Cet article vient spécialement modifier une disposition de la loi pour la confiance dans l’économie numérique du 21 juin 2004, en précisant que l’encadrement de la responsabilité des intermédiaires techniques est applicable même aux acteurs établis à l’étranger qui « dirigent leur activité vers la France ». Une disposition qui devrait satisfaire les ayants droit mais également les consommateurs ou les autres partenaires contractuels.
Pour aider le juge à déterminer cette loi applicable dans l’espace, le texte veut en effet instaurer une série d’indices qui devront inspirer son choix : « l’utilisation de la langue française ou de l’euro, l’utilisation d’un nom de domaine de premier niveau mentionné à l’article L. 45 du code des postes et des communications électroniques (.fr, ndlr) et l’engagement de dépenses dans un service de référencement sur Internet afin de faciliter l’accès du service aux internautes résidant en France ». La liste n’est pas exhaustive. Tous ces indices autoriseront donc le juge à trouver d’autres points d’accroche, histoire de faire tomber les Google, Facebook, Twitter ou autres dans le droit français, sans l'ombre d'une contestation possible.
Les propos rassurants d'Axelle Lemaire
Questionnée dimanche dernier sur France Culture (28'57), Axelle Lemaire a tenu à rassurer les inquiets : ces dispositions n’envisagent en rien de prolonger la loi sur le renseignement :
« Ça n’a rien à voir avec les services du renseignement ! On n’est pas dans le régalien, on n’est pas dans la sécurité publique, on est dans le civil et la capacité que peut avoir l’État français à s’assurer que son droit national, la loi française, est applicable à l’ensemble des acteurs, y compris donc des acteurs étrangers qui ont leur domicile situé à l’étranger. Aujourd’hui, lorsqu’un consommateur a un litige avec une plateforme, une messagerie électronique ou un hébergeur de photos personnelles, il doit se tourner vers un service clientèle situé à l’étranger. Bien souvent, il se voit opposer l’incapacité d’appliquer le droit français qui, pourtant, existe, est voté et devrait s’appliquer à cet utilisateur. Donc, nous ajoutons une accroche législative et juridique pour que les utilisateurs d’internet en France, s’ils doivent se tourner vers un juge, puisse prouver que la loi applicable est la loi française. »
L'extension de l’emprise des services du renseignement sur Internet
Mais contrairement à ce qui est claironné sur les antennes de France Culture, la dernière version connue de l'avant-projet de loi a bien un petit relent de loi sur le renseignement. De fait, Axelle Lemaire ne s’est focalisée que sur la première partie de son article 59 (le I.), en évitant soigneusement la seconde (le II.).
Il faut donc revenir plus en détail sur la disposition zappée :
II. - A l’article L. 246‐1 du code de la sécurité intérieure, il est ajouté deux alinéas ainsi rédigés: « Les dispositions du présent chapitre sont applicables aux personnes mentionnées aux 1 et 2 du I de l’article 6 de la loi n° 2004-¬‐575 du 21 juin 2004 pour la confiance dans l'économie numérique, lorsqu’elles sont établies à l’étranger et lorsqu’elles dirigent leur activité vers la France.
«Les éléments suivants, dont la liste n’est pas exhaustive, sont susceptibles de constituer des indices permettant de considérer que l’activité est dirigée vers la France: l’utilisation de la langue française ou de l’euro, l’utilisation d’un nom de domaine de premier niveau mentionné à l’article L. 45 du code des postes et des communications électroniques et l’engagement de dépenses dans un service de référencement sur internet afin de faciliter l’accès du service aux internautes français.»
Décodons. L’avant-projet de loi modifie le Code de la sécurité et spécialement son article L246-1 afin de lui appliquer cette même logique géographique.
L’article en question n’est pas neutre : c’est lui qui permet aux services de recueillir les « informations et documents » traités ou conservés par les opérateurs, dont « les données techniques relatives à l'identification des numéros d'abonnement ou de connexion à des services de communications électroniques, au recensement de l'ensemble des numéros d'abonnement ou de connexion d'une personne désignée, à la localisation des équipements terminaux utilisés ainsi qu'aux communications d'un abonné portant sur la liste des numéros appelés et appelants, la durée et la date des communications ». Soit les métadonnées, dixit le Conseil constitutionnel.
Depuis la loi de programmation militaire de 2013, ce recueil des métadonnées peut ainsi se faire sur simple « sollicitation du réseau » et être transmis « en temps réel par les opérateurs » dans les mains des agents des services spécialisés (article 246-3 CSI). En juillet 2015, la loi sur le renseignement a musclé davantage encore ce régime : les services peuvent depuis glaner ces métadonnées via des sondes, « en temps réel », et donc non plus seulement sur demande et dans l’attente d’une réponse des opérateurs (article L. 851-2, injecté par la loi sur le renseignement).
Bref, en étendant l’article 246-1 du CSI aux acteurs installés à l’étranger, dont les pages sont taillées pour les internautes français, l’avant-projet de loi Lemaire – encore susceptible d’évolutions – veut bien augmenter les capacités intrusives des services spécialisés. Et contrairement à ce qu’affirme la secrétaire d'État, cela a tout à voir avec les services du renseignement, on est dans le régalien, on est dans la sécurité publique.
