État d'urgence : comment se déroulera l'exploitation des données informatiques

Sans surprise, le projet de loi (PDF) veut proroger de trois nouveaux mois l’état d’urgence qui fut initialement déclaré juste après les attentats du 13 novembre à Paris et Saint-Denis. Par ailleurs, le gouvernement réactive également une option abandonnée en mai dernier, la possibilité pour les autorités administratives de réaliser des perquisitions.

La loi ne se contente pas de rempiler pour trois mois. Elle modifie aussi le régime de l’état d’urgence, avec une attention toute particulière pour les nouvelles technologies.

Mais avant cela, notons qu'une perquisition administrative décidée dans ce cadre devra impérativement donner lieu à un compte rendu, lequel sera transmis sans délai au procureur de la République. Une précision qui ne mange pas de pain. Autre nouveauté, une perquisition décidée en un lieu pourra être étendue sans attendre en un « autre lieu », réalisée alors « par tout moyen ». Cette perquisition étendue ne sera plus conditionnée par un arrêté préalable - la régularisation interviendra après – mais seulement par la vérification d’un lieu fréquenté par une personne dont le comportement constitue une menace pour la sécurité et l’ordre publics.

La perquisition dans le cloud est toujours possible

Nous le disions, c’est surtout sur la partie informatique que le gouvernement accentue son œuvre sécuritaire. Afin de répondre à la censure du Conseil constitutionnel, qui avait épinglé une cruelle absence d’encadrement, l’exécutif réintroduit la possibilité pour l’autorité administrative de réaliser des copies ou des saisies de données informatiques, non sans aménagements.

Déjà, le projet de loi laisse intacte l’alinéa 3 de l’article 11 de la loi de 1955, celui qui permet de réaliser un accès dans le cloud. Dans la loi de 1955, modifiée en 2015, comme dans le texte en cours, sera autorisé l’accès « à des données stockées dans ledit système ou équipement ou dans un autre système informatique ou équipement terminal, dès lors que ces données sont accessibles à partir du système initial ou disponibles pour le système initial ». Il y a ainsi une logique de capillarité : les données stockées ou celles également accessibles seront exploitables.

La question du sort des supports saisis ou des données copiées

Le projet de loi déposé aujourd’hui concentre cependant son attention sur « les données contenues dans tout système informatique ou équipement terminal présent sur les lieux de la perquisition ». Celles-ci pourront être saisies ou copiées sachant qu’une donnée accédée dans le cloud, depuis un terminal deviendra techniquement « contenue » dans celui-ci dès qu'elle sera affichée à l’écran.

Comme en l’état de la loi de 1955, la copie des données est conduite en présence d'un officier de police judiciaire, qui devra rédiger un procès-verbal (et plus un « compte rendu ») adressé au procureur. Ce PV indiquera les motifs et dressera l’inventaire des matériels saisis (non celui des données copiées).

Données et supports saisis sont placés sous la responsabilité du chef de service ayant procédé à la perquisition. Nul ne pourra y avoir accès, sans autorisation d’un juge. Pour l’exploitation de ces informations par l’administration, c’est en effet un juge qui devra accorder son feu vert dans les 48 heures après sa saisie.

Le texte exclut de toute autorisation possible « les éléments dépourvus de tout lien avec la menace que constitue le comportement de la personne concernée pour la sécurité et l’ordre publics ». Ceux là devront donc être écartés. Les données copiées devront donc être détruites, celles saisies sur support restituées à leur propriétaire. Le texte laisse entendre que cette restitution devra avoir lieu dans les 15 jours.

Ou bien le juge refuse d’autoriser l’exploitation. Et là encore, les données copiées sont détruites et les supports saisis restitués à leur propriétaire dans les 15 jours après la saisine ou la décision du juge. Fait notable, ces 15 jours débuteront à partir de la décision du juge ou de la saisie initiale, ce qui pourra déporter le terme des deux semaines.

Ou bien le juge donne son feu vert dans les 48 heures, les données et supports sont toujours conservés par le même responsable. Il doit alors faire des copies et restituer les supports (PC, tablette, clef, téléphone, etc.) toujours au bout de 15 jours. Les copies réalisées sur l’intervalle devront elles, être supprimées au bout de trois mois à compter de la perquisition ou de la décision du juge.

Les copies caractérisant la menace à la sécurité et l’ordre publics seront conservées sans limites de temps. Bien entendu, elles pourront nourrir les services du Renseignement, ceux-ci ayant déjà dit ouvertement tout l’intérêt qu’elles trouvent à butiner cette source d’informations.

Les délais précédents seront prorogés dans les mêmes termes sur décision du juge lorsque les autorités éprouvent des difficultés d’accès aux données. On imagine ici la question du chiffrement, même si le texte est bien plus large. Enfin, « si l’exploitation ou l’examen des données et des supports saisis conduisent à la constatation d’une infraction » alors ces éléments emprunteront la voie pénale.

Le rappel du Conseil d'État

Dans son avis, le Conseil d'État a considéré que le gouvernement a bien prévu l'ensemble des « garanties  légales propres à assurer une conciliation équilibrée entre l'objectif de valeur constitutionnelle de sauvegarde de l'ordre public et le droit au respect de la vie privée ». Autant de critères exigés par le Conseil constitutionnel. 

La haute juridiction prévient tout de même que « toutefois, même dans les circonstances résultant de l’attentat commis à Nice (…) les renouvellements de l'état d'urgence ne sauraient se succéder indéfiniment et que l’état d’urgence doit demeurer temporaire. Les menaces durables ou permanentes doivent être traitées, dans le cadre de l’État de droit, par des moyens permanents renforcés par les dispositions résultant des lois récemment promulguées ».