Dimanche, au Journal officiel, le ministère de l’Intérieur a modifié l’arrêté du 4 juillet 2012 fixant la liste des outils de surveillance soumis à autorisation. Des outils qui peuvent désormais être utilisés légalement par les services du renseignement. Explications.
La loi du 24 juillet 2015 sur le renseignement permet désormais aux services administratifs d’utiliser des outils intrusifs, notamment des chevaux de Troie, afin de capter à distance ce qui est saisi, affiché et même stocké sur un écran distant (article L.853-2 du Code de la sécurité intérieure).
Ces dispositifs peuvent être implantés après autorisation du Premier ministre et avis de la CNCTR pour une durée de deux mois (données reçues et émises sur une webcam, affichées sur l’écran ou saisies sur clavier) ou trois mois (données stockées). Des délais renouvelables dans les mêmes conditions, autant de fois que nécessaire.
Ces moyens techniques ne sont pas disponibles librement dans le commerce. Leurs importation, détention, exposition, vente, location, etc. sont donc soumises à un strict encadrement qui prend la forme d’une liste limitative autorisée par le gouvernement. En pratique, cette liste est appelée par les articles L226-3 et R.226-3 du Code pénal. Et c’est finalement un arrêté du 4 juillet 2012 qui en fixe les détails en confiant leur contrôle au directeur général de l'Agence nationale de la sécurité des systèmes d'information (ANSSI).
Ce week-end, au Journal officiel, le gouvernement a cependant mis à jour ce texte administratif pour tenir compte des nouveaux pouvoirs nés de la loi sur le renseignement. Pour mieux comprendre, comparons le passage initial et celui modifié (en gras) qui dresse l’inventaire des outils soumis à autorisation :
Version initiale :
Dispositifs techniques, à savoir tous matériels ou logiciels, spécifiquement conçus pour, sans le consentement des intéressés, accéder aux données informatiques, les enregistrer, les conserver et les transmettre, telles qu'elles s'affichent sur un écran pour l'utilisateur d'un système de traitement automatisé de données, telles qu'il les y introduit par saisie de caractères ou telles qu'elles sont reçues et émises par des périphériques audiovisuels, opérations ayant pour objet la captation de données informatiques prévue par l'article 706-102-1 du code de procédure pénale.
Version modifiée :
Dispositifs techniques, à savoir tous matériels ou logiciels, spécifiquement conçus pour, sans le consentement des intéressés, accéder aux données informatiques, les enregistrer, les conserver et les transmettre, tel qu'elles sont stockées dans un système informatique, tel qu'elles s'affichent sur un écran pour l'utilisateur d'un tel système, telles qu'il les y introduit par saisie de caractères ou telles qu'elles sont reçues et émises par des périphériques audiovisuels, opérations ayant pour objet la captation de données informatiques prévue par l'article 706-102-1 du code de procédure pénale ou celle prévue par l'article L. 853-2 du Code de la sécurité intérieure.
En clair, l’autorisation initiale, qui concernait les actes du judiciaire (706-102-1 du CPP), est étendue à ceux de l'administatif (article 853-2 CSI). Elle sera inévitable pour qui veut commercer des outils de surveillance capables d’espionner les données affichées, saisies, reçues ou émises, ou - et c'est la nouveauté - celles enregistrées sur disque dur (« telles qu'elles sont stockées dans un système informatique »).
Rappelons que cette liste est très précieuse : les articles L. 851-6 et L852-1-II du CSI lui font aussi référence via le fameux article 226-3 du Code pénal. Ils autorisent les agents à mettre en place également des ISMI catchers ou n’importe lequel des outils prévus afin d’aspirer à distance les données de connexion d’un équipement, un numéro d’abonnement ou permettre une géolocalisation, voire permettre des interceptions de correspondance.
