Patching the French Intelligence Bill

De La Quadrature du Net
< PJL relatif au renseignement
Révision datée du 7 août 2015 à 14:37 par Piks3l (discussion | contributions) (Page créée avec « == Protecting whistleblowers within intelligence agencies == A procedure must be established to allow whistleblowers to report to the CNCTR or to the special section of th... »)
Aller à la navigationAller à la recherche
This wiki page suggests possible amendments to the French Intelligence Bill (2015). It is based on the text presented by the French government on March 19th, 2015.


Sommaire

INTRODUCTION

The Intelligence Bill introduced before the French Council of Ministers on March, 19th 2015 is presented by its promoters as a text which protects fundamental rights. This technical text would be nothing more than a way to legalise policies and techniques which were up to now common but not regulated, and as such to create better safeguards. Move along, nothing to see here!

This public relations strategy is all the more convenient for the government given that since the beginning of Edward Snowden's disclosures regarding the NSA and GCHQ surveillance practices, the French government has chosen to burry its head in the sand. For nearly two years, it has indeed managed to avoid any meaningful debate on the French services' practices, even though some of Snowden documents shed light on the DGSE (French foreign intelligence agency) partnerships with the NSA and the GCHQ. Instead of a transparent democratic debate, French officials have mostly weathered the storm, simply issuing denials without ever saying anything about its own surveillance practices.

According to its sponsors, this bill would help render the whole scheme as clean as it gets. For Prime Minister Manuel Valls, the text would even forbid mass surveillance! The underlying message being pushed here is that the French system is being defined in opposition to the American and British models.

But the argument doesn't hold once the text is examined in detail. Several provisions are actually directly inspired by the US and British law and the methods used by the NSA and GCHQ. Indeed, the bill legalizes tools of mass surveillance, in particular with automated Internet trafic analysis "black boxes" designed to detect “suspicious behaviour” (art. L. 851-4) or provisions on so-called "international surveillance" (art. L. 854-1) which will authorize bulk data collection. It also sets loose hacking and cyberattacks carried beyond French borders, and in this respect also echoes the recent revelations regarding the British, US and Canadian agencies' practices. Finally, despite what its champions claim, the text is in many ways a step backwards in relation to the existing law and practices: for instance, specific and crucial control processes currently carried out by the CNCIS (National Commission for the Control of Security Interceptions) are being dismantled, whereas the field of intervention of intelligence agencies is widely extended.

The government is now trying to force this bill through. At the National Assembly Valls-Urvoas tandem (Jean-Jacques Urvoas is the Bill's co-author and is also its rapporteur) will enable the government and its majority to join forces during an rushed legislative procedure, while the "post-Charlie" popular mood and the securitarian drift of the opposition conservative party (UMP) will supposedly contribute to stifling the democratic and parliamentary debates.

Only a wide-ranging citizen mobilisation, in France and across the world, can make a change.

The points raised below highlight the dangers of the bill while pointing at possible amendments. To be acceptable and allow intelligence agencies to do their work while respecting the rule of law, the text must indeed be deeply amended.

SCOPE RESTRICTIONS

Évolution Assemblée nationale Protection des données personnelles au titre de la vie privée. L'article 1er a été amendé pour préciser que la protection des données personnelles (et donc par truchement les données de connexion) est la seconde composante du droit à la vie privée avec le secret des correspondances (demandé par la CNIL.). Amendements 244

Évolution commission des lois du Sénat Retire la précision du secret des correspondances, protections des données etc : l'expression "la vie privée dans toutes ses composantes" inclurait déjà tout cela.

Texte définitif L'article 1er cite explicitement la protection des données personnelles et le secret des correspondances comme faisant partie du respect de la vie privée.


Forbiding massive and predictive surveillance measures (black boxes)

Article L.851-4 provides that the Prime Minister may require that telecom operators and online service providers deploy technical devices (a.k.a black boxes) to detect, via automated means, suspicious patterns of connexion data or online behavior. The Prime Minister could decide, "if a terrorist threat were to be revealed (...) to lift the anonimity of those data". This provision seems to be inspired from the British model, as a similar mechanism was debated as early as 2000 and eventually included in the RIP Act's section 12 (in the UK, the issue of "black boxes" would be raised again in 2008, during a modernisation plan criticised for the extravagant expenses it incurred at the time).

Such devices aimed at the extensive scanning of online communications at the network or server levels amount to a massive processing of personal data. As such, they are contrary to the jurisprudence established by both EU Court of Justice and the European Court of Human Rights (see, e.g., Amann v. Switzerland, February 16th, 2000, §68). The government's argument that such surveillance relates to raw, anonymous data is completely at odds with technical realities, since "raw" metadata can easily be used to reveal someone's identity.

To detect "suspicious behaviors", these black boxes will run algorithms for which no transparency is possible. They are moreover contrary to the French Data Protection Act's article 10, which provides that "no decision which produces legal effects in respect of a person may be taken on the sole basis of the automated processing of data." It must therefore be repealed.

Parmi les techniques de renseignements autorisées par la loi, on retrouve :

  • les sondes (article L. 851-2)
  • les « boîtes noires » (article L. 851-3)
  • la géolocalisation d'une personne, d'une voiture ou d'un objet (article L. 851-5)
  • l'utilisation d'IMSI Catcher (article L. 851-6)
  • l'interception des correspondances (article L. 852-1)
  • la sonorisation et la captation d'image dans des lieux privés (article L. 853-1)
  • les keyloggers (article L. 853-2)


Évolution Assemblée nationale Aménagement des procédures entourant l'utilisation des IMSI Catcher : L'amendement 357 porte de 30 à 90 jours le délai permettant aux services de renseignement de discriminer les données collectées au moyen d’un dispositif de proximité. Il tient en cela compte des délais proposés par un amendement précédent et de la législation allemande qui prévoit quant à elle un délai de six mois. Amendement 357 et Amendement 351 d'Urvoas : Cet amendement a pour objet de rendre applicables aux paroles captées dans un lieu privé le délai de conservation prévu au a) du I de l’article L. 822-2, tel qu’il résulte de l’article 1er, amendé, du présent projet de loi (destruction à l’issue d’une durée de trente jours à compter de la première exploitation et dans un délai maximum de six mois à compter de leur recueil).
Évolution Assemblée nationale Boites noires à titre expérimental: Avec l'amendement 399, annoncé par Valls en introduction des débats, le dispositif des boîtes noire est institué à titre expérimental pour trois ans et fera l’objet d’une évaluation avant son éventuelle reconduction. Amendement 399
Évolution commission des lois du Sénat Aucune évolution significative du dispositif, le principe de surveillance massive et prédictive reste en place. Seule évolution : réduction de la durée d'autorisation, qui passe de 4 à 2 mois.
Texte définitif Les autorisations sont données pour une durée de 4 mois renouvelables (article 821-4)

Les finalités trop larges et trop floues

Les « engagements internationaux »

Le gouvernement avance que la référence à l’exécution des engagements internationaux de la France a pour but d'utiliser les techniques de renseignement afin de prévenir la prolifération des armes de destruction massive. Si cet objectif est louable, il s'inscrit dans une catégorie juridique trop large et mal définie qui, par le truchement des « engagements internationaux », permettrait l'extension presque indéfinie des motifs justifiant le recours aux techniques de renseignement. Pour respecter le droit international, la loi doit être amendée pour assurer que le droit français mentionne expressément les engagements internationaux spécifiques (traités, accords, conventions) pouvant justifier le recours aux techniques de collecte de renseignement.

Évolution Aucune évolution significative ni à l'Assemblée nationale, ni en Commission des lois du Sénat
Texte définitif Parmi les finalités, outre a prévention de la prolifération des armes de destruction massive, on retrouve :
  • « L'indépendance nationale, l'intégrité du territoire et la défense nationale »
  • « Les intérêts majeurs de la politique étrangère, l'exécution des engagements européens et internationaux de la France et la prévention de toute forme d'ingérence étrangère »
  • « Les intérêts économiques, industriels et scientifiques majeurs de la France »
  • « La prévention du terrorisme »
Le Conseil constitutionnel a considéré que 4 finalités apportent suffisamment de garanties dans la mesure où elles renvoient à l'article 410-1 du code pénal [1]

Repealing the "collective violence" public interest

Article L. 811-3. extends the intelligence services' powers to include the "prevention of collective violence likely to cause serious harm to the public peace." The extremely broad wording of this public interest allowing exceptional monitoring techniques poses serious risks of arbitrariness. It could for instance easily be invoked to engage in the surveillance of social movements. Given the serious risks it poses to the most basic political rights, this provision must be deleted.

Repealing the "key scientific and economic interests" public interest

The legalisation of economic and scientific espionage in the country without any judicial oversight results in a disproportionate interference with both the right to privacy and freedom of enterprise. If the information sought after is not directly linked to the fight against industrial espionage, in which case the surveillance can be part of a criminal investigation, then the recourse to exceptional surveillance techniques cannot be justified.

En outre, un tel article permettrait de mettre en place des pratiques de surveillance d'individus, de groupes (y compris syndicats) qui contesteraient des décisions ou pratiques d'entreprises dans des domaines sensibles, tels l'environnement ou la santé publique. Rappelons que l’article 7 de la charte de l’environnement, de valeur constitutionnelle prévoit que « toute personne a le droit de participer à l’élaboration des décisions publiques ayant une incidence sur l’environnement »

Évolution Assemblée nationale: Ajout de la protection des intérêts industriels de la France.
Évolution Commission des lois du Sénat : retrait des intérêts industriels
Texte définitif : Réintégration des intérêts industriels pour devenir : « les intérêts économiques, industriels et scientifiques majeurs de la France »

Limiting by law the number of intelligence agencies

Article L. 811-4 of the bill empowers the government to unilaterally increase the number of executive agencies that fall under the Minister of Defense, the Minister of the Interior as well as the Ministers for the Economy, Budget or Customs and which may use intelligence techniques. In impact assessment, the government is openly considering to give "certain police services" the broad surveillance powers provided in the bill . However, the scope of the competent authorities in regard to preventive and extra-judicial surveillance should remain limited to the minimum necessary, and the government does not provide any justification for the need to expand the already large number of beneficiary services (DGSE, DSPDs, DRM, DGSI, Tracfin and DNRED). Thus, given the fact that the increase in the number of relevant services acquiring and accessing "intelligence" leads to a greater risk for civil liberties, but also in order to ensure the predictability of the law, the number and nature of the beneficiary services must remain limited and must be subject to the law rather than executive decrees. This provision should be repealed.

Limiting the surveillance of the targets' entourage

Article L 852-1 will authorize the interceptions of the communications made by "individuals close to the person who is the object of the authorisation" when they "are likely to act as an intermediary, voluntary or not, or on their behalf or may provide information pursuant to the end result for which the authorisation was granted." This provision may significantly increase the number of people likely to be monitored in a preventive and extra-judicial framework. It must be clarified to ensure that only those who are known to actually act as a direct and voluntary intermediary or who have a direct link with the ongoing intelligence operation may be affected by this provision.

Forgoing the extension of the time during which metadata may be exploited

The bill extends from three to five years the period during which intelligence agencies can keep hold and make use of traffic metadata. This very long duration is not necessary, and the government had failed to provide any evidence justifying the extension. The three-year period currently applied is already an exception to the regime applicable to other collected data, which must be destroyed after a period of 1 to 12 months.

Limiting the retention period for encrypted data and communications

Article L. 822-2 provides that the time limit for the retention of collected information (one to twelve months depending on the type of information) starts from the moment of their decryption. This provision would allow services to retain data or communications (e.g. e-mails) for everal years before deciphering them and using it. For this reason, it is necessary to limit this period to 30 days during which the data will be stored in an encrypted state, giving the agencies enough time to perform a technical analysis. In addition, the article provides that the metadata attached to the encrypted content is subject to the same retention periods. However, such metadata being "in plaintext" (legible by everyone), the provision allows for an unlimited retention period and is thus an unacceptable infringement on the right to privacy. Here, the retention period prescribed for metadata (3 years) should apply.

Autres

Évolution Assemblée nationale Aggravation des peines pour piratage informatique. Amendement voulu par Urvoas. Il vise à augmenter les peines de piratage informatique suite à l'affaire TV5 Monde. Avis défavorable du gouvernement car sans lien avec le renseignement. Amendement 389 Cet amendement a néanmoins été adopté et conservé dans le texte final.

INTERNATIONAL SURVEILLANCE AND UNIVERSAL RIGHTS

Limiting the "international surveillance" regime to communications transmitted and received abroad

In Article 854-1, the bill defines "international surveillance measures" as communications "sent or received abroad." Now, in the case of the Internet, most of French residents' communications are obviously "made or received abroad", particularly in the US or in other European countries where the largest service providers' servers are located. It is therefore completely misleading to claim that such surveillance is "international", since these provisions will directly and massively impact French citizens and residents.

This provision must be interpreted as a crude attempt to circumvent the already very weak protections contained in the bill. What is more, this article actually raises walls of secrecy around the "implementation of surveillance rules" in this field, providing that these rules will be defined in an "unpublished" executive decree. In addition, the text does not bring any protection regarding the authorisation collection, retention, destruction or control procedures relating to these operations, merely referring once again to a (public) decree to be adopted at a later stage. Finally, derogatory rules will apply to the collected data: in a move contradicting France's commitment to universal rights protection, the text allows for special guarantees when the data can be 'linked' to the French national territory, and therefore to French citizens (similar to British RIP Act of 2000). These guarantees, however, come rather short of those applied to "national surveillance", since the retention time for intercepted communications starts from "the date of first use," instead of the date of collection.

In sum, the provision will allow the mass collection of communications to or from abroad, which can be stored indefinitely until they are processed, analysed and finally used by the agencies. In fact, the provision seems modelled on section 702 of the US law FISA, which is at the heart of the controversy surrounding Snowden's revelations. The scope of this provision must therefore necessarily be limited, by stressing that international monitoring only affects communications "issued' and received" abroad.

L'avenir de la mise en œuvre de la surveillance internationale demeure donc floue. En effet, l'article L. 811-2 de la loi est maintenue et indique que les services spécialisés « ont pour missions, en France et à l'étranger, la recherche, la collecte, l'exploitation et la mise à disposition du Gouvernement des renseignements relatifs aux enjeux géopolitiques et stratégiques ainsi qu'aux menaces et aux risques susceptibles d'affecter la vie de la Nation ». Or dans la mesure où toute la partie sur la surveillance internationale de la loi n'est non seulement pas applicable, mais déclaré inconstitutionnelle, on peut en déduire que la façon dont sont actuellement mises en œuvres [2] les techniques des services de renseignement en matière de surveillance internationale deviennent du même coup inconstitutionnelles.

Upholding the universality of human rights

As showed by the ongoing Snowden revelations, the NSA and the GHCQ have invoke the foreign element of data collection to violate national laws (in particular through data exchange partnerships) and also significantly violate foreign nationals' rights to privacy. To reverse these trends, France must show its commitment to the universality of rights, in accordance with Article 1 of the Universal Declaration of Human Rights and article 2 of the International Covenant on Civil and Political Rights, particularly in regards to the right to privacy and communications confidentiality (article 17 of the ICCPR). To do this, the bill must provide that any surveillance measures, even when communications are sent and received abroad, be subject to the prior control of an independent authority. This legal and ethical position is reinforced by technical considerations: in its opinion on the bill (pdf), ARCEP (the national telecom regulatory agency) points out for example that "in light of the way the bill is drafted, it could be difficult for telecom operators to effectively determine under which regime the international communications sent or received on the national territory fall under" (since even communications sent of received in France can be routed at some point across French borders).

Repealing legal immunity for international hacking operations

France should oppose the ongoing frantic state-sponsored hacking arms race. But the bill's Article 10 aims to ammend the Criminal Code in order to shelter intelligence officers from any criminal proceedings in connection with computer crime as long as it is carried out in the context of their missions "outside the national territory" (this would give them immunity when engaging in the intrusion, capture, destruction of any type of computer systems). With Internet and the transnationalisation of communications, the notion of "national territory" is way too restrictive to ensure an effective protection of rights. In fact, even if one disregards the imperious obligation to offer a universal protection of fundamental rights, it is obvious that many French residents use computer systems located outside their borders to communicate over on the Internet and store their data. Hacking, even when conducted outside the country, must not result in any criminal immunity. The CNCTR (the executive agency which will be created by the bill to replace the CNCIS in controlling intelligence gathering operations) must also be given genuine control over any hacking activity, in France and abroad.

CONTROL & TRANSPARENCY

Ensuring an effective control by the CNCTR

The CNCTR (French acronym for National Commission for the Control of Intelligence Techniques, which will replace the current CNCIS) must be able to carry out its duties by leveraging sufficient human, material and technical resources. First, its ex ante opinions must be binding for the Prime Minister, who will eventually grant intelligence services the power to engage in surveillance operations. Then the ex post control must be effective. By merely providing an access to centralized records of data and communications kept by the government as well as the possibility for the Prime Minister to transmit all or part of the intelligence agencies inspection services' reports, the bill marks a major step backward compared to the ex post control currently in place. The CNCTR should also be able to audition the agencies' directors or technical managers, have direct and real-time access to collected data and communications, and be able to conduct audits in the agencies' premises (with both scheduled and unexpected visits). Furthermore, the CNCTR must have sufficient human resources to conduct its missions, for example by relying on an investigative team with the appropriate technical and legal expertise. To that end, the CNCTR should directly supervise the Intelligence General Inspection (created in 2014 to control intelligence agencies, and currently attached to the Prime Minister).

Ensuring the collegiality of the CNCTR

In the bill's current form, Article L.821-3 allows the president of the CNTR to give his sole approval to a request from the Prime Minister. If in doubt, he may decide to consult with the rest of the Commission's board (comprised of 8 other members). By contrast, a majority of Commissioners is required to make an appeal in order to terminate an ongoing surveillance operation. Within the CNCTR, authorisation requests should be submitted to each of the commissioners, and the opinion of the committee must be the result of a simple majority of cast votes, respecting the timelines provided for in the bill. The adoption of a recommendation to stop the implementation of an intelligence gathering scheme should happen under the same conditions. When such recommendation is not acted upon, (Article L. 821-6), a qualified majority made up of a third of the commissioners should suffice to refer the case to the Council of State. All commissioners must be in a position to publish their personal opinion on the activities of the Commission in its annual report, in accordance with legitimate state secrets. In addition to collegiality, and to insure that the principle of adversarial proceedings is respected, a position of 'Independent Privacy Advocate' to defend the right to privacy of persons subject to surveillance should be created, as has been debated in the context of the FISA law reform proposals currently discussed by the US Congress.


Ensuring the collegiality of the CNCTR

In the bill's current form, Article L.821-3 allows the president of the CNTR to give his sole approval to a request from the Prime Minister. If in doubt, he may decide to consult with the rest of the Commission's board (comprised of 8 other members). By contrast, a majority of Commissioners is required to make an appeal in order to terminate an ongoing surveillance operation. Within the CNCTR, authorisation requests should be submitted to each of the commissioners, and the opinion of the committee must be the result of a simple majority of cast votes, respecting the timelines provided for in the bill. The adoption of a recommendation to stop the implementation of an intelligence gathering scheme should happen under the same conditions. When such recommendation is not acted upon, (Article L. 821-6), a qualified majority made up of a third of the commissioners should suffice to refer the case to the Council of State. All commissioners must be in a position to publish their personal opinion on the activities of the Commission in its annual report, in accordance with legitimate state secrets. In addition to collegiality, and to insure that the principle of adversarial proceedings is respected, a position of 'Independent Privacy Advocate' to defend the right to privacy of persons subject to surveillance should be created, as has been debated in the context of the FISA law reform proposals currently discussed by the US Congress.

Repealing or limiting the "absolute emergency" procedure exempting from prior authorization

The ante post control exerted by the CNCTR before the Prime minister can issue surveillance orders runs the serious risk of being circumvented by the "absolute emergency" procedure provided in the bill, especially since intelligence agencies will have all the means at their disposal to make up for and argue 'absolute emergency'. This provision should be repealed or at least narrowly defined, for instance by limiting the number of times it can be use per year (e.g. only five times a year).

Forgoing real-time metadata surveillance with no prior control and no time limits

In the name of preventing terrorism, Article L. 851-3 allows for the connection data belonging to persons "previously identified as posing a threat" to be collected in real-time, directly from the operators' networks, with no time constraint. Consequently, this provision authorizes real-time metadata surveillance without any prior control from the CNCTR. such a control must be restored. Additionally, the provision must specify that intelligence agencies cannot directly tap into the operators' networks: the later should instead be the ones transmitting the data, if necessary in real-time (as is currently the case in the Internal Security Code, as amended by the Military Planning Act: Article R. 246-7, which states that "the information request laid down in Article L. 246-3 must be fulfilled by the network's operator").

Évolution Assemblée nationale : un amendement du rapporteur souligne que ce recueil fait l'objet d'une procédure d'autorisation, ce qui n'étais pas le cas avant. Elle a également précisé que le recueil d'informations et de documents prévu au nouvel article L. 851-2 s'effectuait sous le contrôle du Premier ministre et qu’il empruntait le processus ordinaire d’autorisation (demande écrite et motivée du ministre concernée soumise à l’avis de la CNCTR et non demande directe des agents auprès de cette dernière). En revanche, le gouvernement a refusé en séance de revenir sur le principe d'un accès direct des services au réseau des opérateurs amendement 23 de Tardy : http://www.assemblee-nationale.fr/14/amendements/2697/AN/23.asp), dénoncé en ces termes par la CNIL dans son avis : permet « l’aspiration massive et directe des données par les agents (…), par l’intermédiaire de la pose de sondes. »
Texte définitif : la mise en œuvre de cette technique de renseignement est soumise à la procédure normale d'autorisation. Néanmoins, l'autorisation n'est donnée que pour deux mois renouvelables. La procédure d'urgence n'est pas applicable.

Reporting relevant cases to judicial authorities

In the bill, there is no set framework to define when and according to which criteria exceptional and preventive surveillance measures must give way to a full judicial enquiry with its attached safeguards. The judiciary is therefore likely to stay away from investigations into offences revealed by collected information, even when such investigations should in principle be under its sole authority. The law should therefore provide that once the constitutive elements of a crime are identified as part of the collection of intelligence, all necessary and relevant records should be transferred from the administrative authority to the judiciary. The CNCTR should also exert control to ensure that intelligence services transmit all the relevant information to the judiciary as soon as possible.

Bringing guarantees of due process

The bill's Article 4 fails to ensure a fair trial since the use of state secrets during proceedings deeply undermines the rights of the defense (here, the French government draws inspiration from the "Closed-Material-Procedures" established in the UK through the Justice and Security Act of 2013, and which are severely criticized in a recent EU Parliament study). To avoid such pitfalls, the Council of State should be able to declassify documents submitted by the government and for which it deems classification to be inappropriate. Closed-door hearings provided by Article L. 773-4 of the bill also run counter to due process: in cases where the Council deems that classification is warranted and that a contradictory debate between the government and the appellant is therefore not possible, then the government should only be able to provide the written pieces, for instance those submitted to the CNCTR for prior review (this will ensure that applications for authorization are sufficiently accounted for). Finally, it is also necessary to ensure that legal procedures will fast enough to ensure their relevance, considering the time limits for surveillance authorizations and data conservation (which vary depending on the type of data). In this regard, the Council should also be able to issue provisional and protecting injunctions pending the procedure's outcome. Lastly, beyond payment of damages, administrative or criminal sanctions must be provided against persons responsible for surveillance operations found to be illegal.

Texte définitif : La déclassification de documents n'est prévue qu'au cas où une illégalité aurait été commise lors de la mise en œuvre de techniques de surveillance, si cette illégalité est susceptible de constituer une infraction. La Commission consultative du secret de la défense nationale doit cependant donner son avis sur la déclassification avant transmission du dossier au procureur de la République (article L. 773-7).

Opening legal challenges to advocacy groups

In Article L. 841-1, the bill provides that those who have the capacity to appeal to a newly-created special section of the Council of State (French public law supreme court) include only the CNCTR, judicial authorities or "anyone with a direct and personal interest" act. This excludes advocacy organizations, which are often better equipped to defend civil liberties before state authorities, particularly when no surveillance target is known. It is therefore necessary to broaden the appeal capabilities.

Ensuring transparency on situations of illegality

Where the Council of State finds a situation to be illegal, it can just decide to stop the collection and eventually condemn the state to compensate the applicant for the damage, without giving any information about the nature of the state's illegal acts. Similarly, if the Council of State finds a situation to be illegal, the lifting of secrecy invoked for national security grounds is subject to the Advisory Commission for the Secrecy of National Defence. The law should ensure transparency on the illegalities of situations observed, with adapted procedures to protect legitimate state secrets.

La loi doit aussi permettre de sanctionner les services de renseignement qui outrepasseraient leurs droits et mettraient en place des techniques illégales. Le fait de donner une sécurité juridique aux agents des services de renseignement ne doit pas pour autant donner une impunité totale à ces services.

Évolution Assemblée nationale Mécanisme d'alerte interne à l'administration : Le rapporteur a proposé un amendement appliquant une proposition du Conseil d'État (manque une protection de l'identité de l'agent qui témoigne à la CNCRT ; nécessité d'un canal anonyme article sur Numerama).
Texte définitif Un article L. 862-2 a été inséré indiquant que les agents des services de renseignement sont pénalement responsables de leurs actes dans les conditions définies dans le code pénal. [3] Les agents ayant commis des infractions pénales hors du territoire national pourront être poursuivis par le procureur de la République, après avis du ministre dont relève l'agent.

Repealing the criminalization of revelations on surveillance programs

Article 7 revises existing criminal provisions which specifically punish, inter alia, the fact of publicly revealing a program or a given instance of surveillance. Such criminalization prevents disclosures of public interest, including those resulting from journalistic investigations. These provisions must be repealed.

Protecting whistleblowers within intelligence agencies

A procedure must be established to allow whistleblowers to report to the CNCTR or to the special section of the Council of State any practice that violates the legal framework (as proposed by the Council of State in a recent report on fundamental rights and the digital sphere). Findings of illegality must lead to end to such illegal practices, which should also be disclosed in a public report, in a way that is appropriate to the activities of the intelligence services.

Protéger les personnes soumises au secret professionnel

Pour respecter la jurisprudence Digital Rights de la CJUE, le droit français doit prévoir des protections spéciales pour les communications des personnes soumises au secret professionnel, à l'image des journalistes (dont la confidentialité des sources est protégée) ou des avocats. Le projet de loi doit donc être amendé en ce sens.

Évolution Assemblée nationale Exclusion de certaines profession des procédures d'urgence: Amendement 410 du gouvernement, si procédure d'urgence, pas de pénétration domiciliaire ni surveillance d'une profession sensible (magistrat, avocat, parlementaire et journaliste) sans avis préalable de la CNCTR. Par ailleurs, un autre amendement gouvernemental prévoit que les retranscriptions des données collectées seront transmises à la CNCTR, alors qu’en temps normal c’est à elle de les consulter. Elle devra particulièrement veiller « au caractère nécessaire et proportionné des atteintes aux secrets attachés à l’exercice de ces activités professionnelles qui y sont le cas échéant portées » (à noter, étonnant qu'un tel contrôle de proportionnalité n'apparaissent pas, a contrario, pour les citoyens ordinaires). Amendement 410
Texte définitif : Les professions citées (parlementaire, magistrat, avocat, journaliste) ne peuvent pas faire l'objet d'une procédure d'urgence. Il ne peut non plus faire l'objet - sur le territoire national - d'une technique de recueil de renseignement dans le cadre de l'exercice de son mandat ou de sa profession. Les demandes de mise en œuvres de surveillance les concernant, ou leurs véhicules, bureaux, domiciles, doivent faire l'objet d'un avis de la CNCTR réunie en plénière. Voir aussi l'article de NextInpact

Assurer la transparence sur les moyens d'analyse et de traitement du renseignement

Pour assurer la prévisibilité des dispositions légales en matière de surveillance administrative, l'État doit divulguer certains aspects du fonctionnement des dispositifs techniques employés (cf. § 68 arrêt CEDH, Liberty v. Royaume-Uni, 1er juillet 2000). Cette exigence est d'autant plus nécessaire que les pratiques et les outils en la matière ont eu cours dans la plus totale illégalité, et ce depuis des années. En respectant des modalités adaptées aux missions des services de renseignement, la CNCTR doit pouvoir porter à la connaissance du public des informations générales sur les équipements informatiques, les types d'algorithmes et autres outils d'analyse technique des données traitées et collectées par les services.

Évolution à l'Assemblée nationale et à la commission des Lois du Sénat : aucune évolution

Assurer un contrôle des fichiers des services de renseignement par la CNIL

La CNIL s'est vue opposer une fin de non recevoir lorsqu'elle a demandé au gouvernement d'abroger les dispositions législatives existantes qui excluent le contrôle de leur régularité du point de vue de la loi « Informatique et Libertés ». La CNIL estime dans son avis sur le projet de loi qu'un tel contrôle « constitue une exigence fondamentale afin d'asseoir la légitimité de ces fichiers dans le respect des droits et libertés des citoyens ». Le projet de loi doit être amendé pour permettre à la CNIL d'exercer un tel contrôle, selon des modalités adaptées aux activités des services de renseignement, et en coopération avec la CNCTR.

Évolution à l'Assemblée nationale et en commission des lois du Sénat : aucune évolution significative sur ce point, et les amendements demandant la présence d'une personnalité qualifiée désignée par la CNIL au sein de la CNCTR ont tous été rejetés.
Texte définitif : Les modalités relatives à l'accès administratifs aux données de connexion seront fixées par décret, pris après avis de la CNIL. Il s'agit d'une amélioration très mineure et insuffisante au regard des données qui seront collectées.

Principaux amendements au projet de loi sur le renseignement

Séance Assemblée

  • Mécanisme d'alerte interne à l'administration : Le rapporteur a proposé un amendement appliquant une proposition du Conseil d'État (manque une protection de l'identité de l'agent qui témoigne à la CNCRT ; nécessité d'un canal anonyme article sur Numerama).
  • Protection des données personnelles au titre de la vie privée. L'article 1er a été amendé pour préciser que la protection des données personnelles (et donc par truchement les données de connexion= est la seconde composante du droit à la vie privée avec le secret des correspondances (demandé par la CNIL.). Amendements 244
  • Distinction urgence absolue et urgence opérationnelle: Amendement du gouvernement sur ce régime déjà aménagé en commission, qui distingue l'urgence absolue et l'urgence opérationnelle (le gouvernement considère que seule l’urgence opérationnelle doit permettre à un chef de service d’autoriser directement la mesure de surveillance, sans recourir ni à l’avis de la CNCTR, ni à l’autorisation du Premier ministre. En cas d'urgence absolue (liée à l’impossibilité pour la commission de statuer dans le délai imparti ou à une impossibilité technique), l'autorisation du premier ministre reste nécessaire. Amendement 381
  • Exclusion de certaines profession des procédures d'urgence: Amendement 410 du gouvernement, si procédure d'urgence, pas de pénétration domiciliaire ni surveillance d'une profession sensible (magistrat, avocat, parlementaire et journaliste) sans avis préalable de la CNCTR. Par ailleurs, un autre amendement gouvernemental prévoir que les retranscriptions des données collectées seront transmises à la CNCTR, alors qu’en temps normal c’est à elle de les consulter. Elle devra particulièrement veiller « au caractère nécessaire et proportionné des atteintes aux secrets attachés à l’exercice de ces activités professionnelles qui y sont le cas échéant portées » (à noter, étonnant qu'un tel controle de proportionnalité n'apparaissent pas, a contrario, pour les citoyens ordinaires). Amendement 410
  • Aggravation des peines pour piratage informatique. Amendement voulu par Urvoas. Il vise à augmenter les peines de piratage informatique suite à l'affaire TV5 Monde. Avis défavorable du gouvernement car sans lien avec le renseignement. Amendement 389
  • Aménagement des procédures entourant l'utilisation des IMSI Catcher: L'amendement 357 porte de 30 à 90 jours le délai permettant aux services de renseignement de discriminer les données collectées au moyen d’un dispositif de proximité. Il tient en cela compte des délais proposés par un amendement précédent et de la législation allemande qui prévoit quant à elle un délai de six mois. Amendement 357 et Amendement 351 d'Urvoas : Cet amendement a pour objet de rendre applicables aux paroles captées dans un lieu privé le délai de conservation prévu au a) du I de l’article L. 822-2, tel qu’il résulte de l’article 1er, amendé, du présent projet de loi (destruction à l’issue d’une durée de trente jours à compter de la première exploitation et dans un délai maximum de six mois à compter de leur recueil).
  • Surveillance de l'entourage: Le projet de loi prévoyait que les personnes susceptibles de jouer un rôle intermédiaire, même involontaire, pouvaient se voir imposer des interceptions de sécurité. Un très grand nombre de personnes pouvaient dès lors être soupçonnées d’être des intermédiaires involontaires. Vu l’atteinte à la vie privée que constituent les interceptions de sécurité, une amendement a été adopté pour préciser cette notion et de limiter les autorisations quand il existe des « raisons sérieuses de croire » qu’une personne joue le rôle d’intermédiaire, même involontaire. Amendement 44
  • Surveillance internationale : Les durées de conservation des données rattachables au territoire national courent à partir de la date du recueil et non de la première exploitation (cela avait fait l'objet d'une observation du Conseil d'État dans son avis). http://www.assemblee-nationale.fr/14/amendements/2697/AN/48.asp + possibilité pour la CNCTR de saisir le Conseil d'État si irrégularité. Amendement 197
  • Abrogation de l'immunité pénale des agents à l'étranger : L'amendement 207 adopté prévoit que le ministre de tutelle sera consulté préalablement par le procureur de la République avant toute poursuite concernant des infractions pénales commises à l’étranger par des agents des services, comme c’est le cas pour les militaires en temps de paix. Il s’agit donc d’une garantie supplémentaire pour les agents concernés, mais qui ne fait pas obstacle à l’exercice de poursuites. C’est un progrès pour les agents, même s’il faudra probablement travailler à nouveau sur le sujet à l’avenir. Amendement 207
  • Boites noires à titre expérimental: Avec l'amendement 399, annoncé par Valls en introduction des débats, le dispositif des boîtes noire est institué à titre expérimental pour trois ans et fera l’objet d’une évaluation avant son éventuelle reconduction. Amendement 399
  • Composition de la CNCTR élargie : Après de longs débats, le gouvernement et les députés sont tombés d'accord sur la composition de la CNCTR: il y aura donc 13 membres au sein de la CNCTR (et non 9 comme dans le projet de loi ou 5 comme le suggérait le Conseil d'État) :
    • Trois Députés
    • Trois Sénateurs
    • Trois magistrats du Conseil d'État
    • Trois magistrats de la Cour de Cassation
    • le représentant désigné par l'ARCEP (sous réserve, attente de copie de l'amendement)

Commission des Lois de l'Assemblée nationale

  • Amendements sur le champ de la surveillance. Suppression de "violences collectives" pour " La prévention des atteintes à la forme républicaine des institutions, des violences collectives de nature à porter atteinte à la sécurité nationale ou de la reconstitution ou d’actions tendant au maintiens dissous". Supression de l'adjectif essentiel pour les intérêts économiques et scientifiques (demandé par Bajolet, directeur de la DGSE).
  • Encadrement du recueil des métadonnées sur sollicitation du réseau : un amendement d'Urvoas souligne que ce recueil fait l'objet d'une procédure d'autorisation, ce qui n'étais pas le cas avant. Elle a également précisé que le recueil d'informations et de documents prévu au nouvel article L. 851-2 s'effectuait sous le contrôle du Premier ministre et qu’il empruntait le processus ordinaire d’autorisation (demande écrite et motivée du ministre concernée soumise à l’avis de la CNCTR et non demande directe des agents auprès de cette dernière). En revanche, le gouvernement a refusé en séance de revenir sur le principe d'un accès direct des services au réseau des opérateurs amendement 23 de Tardy : ), dénoncé en ces termes par la CNIL dans son avis : permet « l’aspiration massive et directe des données par les agents (…), par l’intermédiaire de la pose de sondes. »
  • Centralisation des données et renseignements collectés : Plusieurs amendements renforcent le rôle de centralisation du Premier ministre et du Groupement interministériel de contrôle (GIC), placé auprès de lui. Cette centralisation, dont l'absence était critiquée par Delarue, constitue la garantie d’un contrôle effectif pour la CNCTR. En séance est adopté l'amendment 189, qui vise à ce que les modalités de centralisation des interceptions ne soient définies qu’après avis de CNCTR. Amendement 189
  • Collégialité de la CNCTR renforcée: Possibilité pour deux membres de la CNCTR de convoquer une réunion de la commission s’ils sont en désaccord avec l’avis rendu par le président ou par le membre magistrat. Cela renforce la collégialité, condition nécessaire à l’indépendance et à l’effectivité du contrôle selon la Cour européenne des droits de l’Homme.
  • Moyens humains et financiers de la CNCTR assurés: La commission des Lois a complété l’article L. 832-4 du code de la sécurité intérieure afin de préciser que la CNCTR dispose des moyens humains et techniques nécessaires à l’exercice de sa mission ainsi que des crédits correspondants dans les conditions fixées par la loi de finances, à l’instar d’autres autorités administratives indépendantes (Jean-Marie Delarue estime nécessaire d’augmenter les effectifs de l’autorité administrative indépendante de cinq à vingt-cinq équivalents temps plein après la réforme).
  • Procédure d'urgence absolue encadrée : En cas d’urgence liée à une menace imminente ou à l’impossibilité de mettre en œuvre la technique ultérieurement, le chef de service peut autoriser, *de manière exceptionnelle*, la technique. Il en informe sans délai la CNCTR et le Premier ministre, lequel peut suspendre immédiatement la technique. Le chef de service doit, dans un délai de 24 heures, motiver sa décision auprès de la CNCTR qui, si elle l’estime nécessaire, peut saisir le Conseil d’État afin de suspendre la technique et faire condamner l’État. Le recours à l’urgence est interdit pour pénétrer dans un domicile ou pour surveiller un journaliste, un avocat ou un parlementaire. Le nombre de recours à la procédure d’urgence sera précisé dans le rapport annuel de la CNCTR.
  • Accès permanent de la CNCTR aux relevés, données collectées, transcriptions : Les renseignements ne peuvent être collectés, transcrits ou extraits à d’autres fins que celles fixées par la loi. Ces opérations sont soumises au contrôle de la CNCTR. Si la CNCTR estime que la collecte, la transcription, l’extraction, la conservation ou la destruction des renseignements est effectuée en méconnaissance des dispositions légales, elle adresse des recommandations et, le cas échéant, saisit le Conseil d’État. L’exploitation des renseignements collectés est donc encadrée et contrôlée. En amont de la surveillance, la CNCTR recevra toutes les « demandes d'autorisation » faites par les ministres de tutelle des services et non seulement l'autorisation délivrée par le Premier ministre, ce qui lui permettra de mieux suivre les demandes d'autorisations et lui donnera plus de temps pour rendre ses avis.
  • Contrôle permanent sur les algorithmes: La CNCTR contrôle l’algorithme en permanence, est informée de toute modification apportée à celui-ci et peut saisir le Conseil d’État en cas d’irrégularité.
  • Saisine facilitée du Conseil d'État pour la CNCTR : Si la CNCTR est en désaccord avec le Premier ministre, elle émet des recommandations. Si ses avis ou les recommandations ne sont pas suivis d’effets, elle peut alors, à la majorité simple de ses membres (et non plus absolue), saisir le Conseil d’État afin de suspendre la technique et faire condamner l’État. La capacité de saisine du Conseil d’État par la CNCTR a été élargie sur plusieurs points dans le texte (conditions de conservation des renseignements, utilisation de l’algorithme, en cas d’irrégularité d’emploi de la captation de données). Lorsqu'une intrusion dans un lieu privé à usage d’habitation ou dans un système de traitement automatisé de données est en cause et qu'un avis défavorable ou une recommandation n'est pas suivie par le Premier ministre, deux membres suffisent.

Commission des Lois du Sénat

  • Suppression de la mention du secret des correspondances, de la protection des données personnelles et de l'inviolabilité du domicile car il est considéré que cela entre implicitement dans le champ du respect de la vie privée
  • Ajout d'une précision sur les attributions des services spécialisés qui doivent s'inscrire dans le respect du partage de compétences de la police judiciaire.
  • Le concept « d’intérêts publics » est remplacé par celui « d’intérêts fondamentaux de la Nation », plus restrictif.
  • Refus de supprimer "les intérêts majeurs de la politique étrangère et la prévention de toute forme d'ingérence étrangère" ainsi que "des violences collectives de nature à porter atteinte à la sécurité nationale" des champs d'application de la loi. En revanche, les intérêts *essentiels* (et non plus majeurs) de la politique étrangère devront être invoqués. De même les intérêts économiques et scientifiques *essentiels* de la France remplacent les intérêts *majeurs*.
  • L’exécution des engagements européens et internationaux de la France fera aussi partie des champs d'application. Cette formulation remplace "la prévention de la prolifération des armes de destruction massive" qui entre dans le champ des engagements de la France. C'est un retour à la formulation initiale du gouvernement.
  • Les Sénateurs sont revenus à la formulation initiale du projet de loi concernant la "prévention a) des atteintes à la forme républicaine des institutions, b) des actions tendant au maintien ou à la reconstitution de groupements dissous (...) et c) des violences collectives de nature à porter gravement atteinte à la paix publique". La paix publique est un concept beaucoup trop large qui avait été remplacé par "sécurité nationale". N'importe quel mouvement ou manifestion d'opposition pourrait être considéré comme portant atteinte à la paix publique. Un amendement avait été déposé pour supprimer cette partie sur "les violences collectives", mais a été rejeté.
  • Suppression des services du ministère de la Justice de la liste des services pouvant faire appel aux techniques de renseignement. L'Assemblée nationale avait inséré le ministère de la Justice en accord avec le gouvernement mais contre l'avis du ministère concerné. Il est en revanche toujours prévu, selon des modalités définies par décret, que les techniques de renseignement puissent être mise en oeuvre dans les établissements pénitentiaires, ainsi qu'un échange d'information entre l'administration pénitentiaire et les services de renseignement.
  • L'identification des personnes pouvant faire l'objet d'une surveillance est un peu restreinte par rapport au texte de l'Assemblée nationale qui autorisait une désignation de ces personnes et leurs véhicules par des descriptions caractéristiques. En outre, seules les personnes de l'entourage pouvant fournir des informations relatives à la finalité poursuivie peuvent désormais faire l'objet d'une surveillance.
  • CNCTR : Composition réduite de 13 à 9 membres (2 députés + 2 sénateurs + 2 membres du Conseil d'Etat + 2 membres de la Cour de Cassation + 1 personne nommée par l'ARCEP). Une formation restreinte est ajoutée, et comprend le président, le membre nommé par l'ARCEP, les deux membres du Conseil d'Etat et les deux magistrats de la Cour de Cassation. Les avis peuvent être rendus soit par le président, soit par l'un des quatre membres issus du Conseil d'Etat et de la Cour de Cassation. Cependant, pour les questions "nouvelles ou sérieuses", la formation restreinte (minimum 3 membres présents) ou plénière (minimum 6 membres présents) doivent délibérer et décider à la majorité des membres présents. Une réunion en formation plénière est prévue au moins une fois tous les deux mois pour discuter des avis rendus. Cette nouvelle configuration a l'avantage de réduire autant que possible les délibérations qui pourraient noyer la CNCTR, tout en faisant un point régulier et en mettant en place une sorte de "jurisprudence".
  • Tous les amendements visant à rendre conformes (et donc contraignants) les avis de la CNCTR ont été rejetés. La CNCTR conserve donc un avis non contraignant.
  • Les demandes de renouvellement de mise en oeuvre de techniques de renseignement doivent désormais exposer les raisons pour lesquelles le renouvellement est demandé (et non plus uniquement les raisons de la mise en oeuvre des techniques de renseignement).
  • Un délit d'entrave à la CNCTR a été inséré pour les cas suivants : a) refus de communiquer à la CNCTR les documents et renseignements sollicités, ou destruction desdits documents b) modification des renseignements et transcriptions collectés c) soit en s'opposant à l'accès d'informations classées secret défense utiles à l'exercice de sa fonction.
  • Plusieurs amendements adoptés pour réduire les durées de conservation des données de connexion (30j pour correspondances et captations sonores, 6 mois pour les autres renseignements, 3 ans pour les données de connexion). En outre, les durées sont calculées à partir de la date de recueil du renseignement et non sa date d'exploitation.
  • Concernant les "boîtes noires" quelques petites modifications ont été apportées : d'une part la durée d'autorisation passe de 4 mois renouvelables à deux mois renouvelables. Il est aussi indiqué que la CNCTR aura un accès direct et permanent aux traitements, informations et données recueillies. La nouvelle formulation tente de circonscrire un peu le traitement qui ne devra pas "recueillir d'autres données que celles qui répondent à leurs paramètres de conception et sans permettre l'identification des personnes auxquelles les informations ou documents se rapportent". Cependant, cela reste trop large et trop flou.

Notes et références

  1. Article 410-1 du Code pénal : « Les intérêts fondamentaux de la nation s'entendent au sens du présent titre de son indépendance, de l'intégrité de son territoire, de sa sécurité, de la forme républicaine de ses institutions, des moyens de sa défense et de sa diplomatie, de la sauvegarde de sa population en France et à l'étranger, de l'équilibre de son milieu naturel et de son environnement et des éléments essentiels de son potentiel scientifique et économique et de son patrimoine culturel. »
  2. Voir à ce sujet deux articles du Nouvel Obs : le premier intitulé « Comment la France écoute (aussi) le monde » et le second « Pourquoi les écoutes de la DGSE sont illégales depuis sept ans »
  3. Au titre II du livre Ier du code pénal, soit les articles 53 à 78-6.