ART. 8 TER	N°CL392	
ASSEMBLÉE NATIONALE
1 Mars 2025
___________________________________________________________________
VISANT À SORTIR LA FRANCE DU PIÈGE DU NARCOTRAFIC - (N° 907)
Non soutenu
AMENDEMENT N°CL392
présenté par
M. Bothorel, Mme Klinkert, Mme Le Grip, M. Travert, Mme Le Peih, Mme Givernet, M. Mendes et Mme Liso
------------
ARTICLE 8 TER
Supprimer cet article.
EXPOSÉ SOMMAIRE
L’amendement vise à supprimer l’article 8 ter introduit auSénat, qui impose aux opérateurs de messageries chiffrées de mettreen œuvre « les mesures techniques nécessaires afin de permettred’accéder au contenu intelligible » des communications. Une telledisposition méconnaît les risques majeurs qu’elle fait peser sur lasécurité des communications numériques et ignore les récentesévolutions technologiques qui rendent inopérantes les obligationsde résultat ainsi imposées.
 
L’exigence d’un affaiblissement des mécanismes de chiffrement va àl’encontre des principes fondamentaux de sécurité informatique etexpose l’ensemble des utilisateurs à des menaces accrues. GuillaumePoupard, ancien directeur général de l’ANSSI, rappelait déjà en2016 que « les moyens de cryptographie et notamment lestechnologies de chiffrement de l’information sont indispensables àla sécurité des échanges numériques », soulignant que touteobligation visant à imposer un accès garanti aux messages chiffrésaurait « pour effet désastreux d’affaiblir les mécanismescryptographiques employés ». Cette position, partagée parl’ensemble des experts en cybersécurité, repose sur une réalitétechnique incontournable : il est impossible de créer une portedérobée réservée aux autorités sans ouvrir cette même faille à desacteurs malveillants, qu’il s’agisse de cybercriminels ou d’entitésétrangères.
 
Au-delà des risques en matière de sécurité, l’exigence posée parl’article 8 ter est techniquement irréalisable. L’évolution récentedes protocoles de messagerie, en particulier l’introduction duchiffrement de bout en bout (E2EE, pour End-to-End Encryption) surle standard RCS par Apple et Google, illustre cetteimpossibilité.
 
Le standard RCS (Rich Communication Services) a été adopté parApple et Google afin de moderniser l’échange de messages entre lesterminaux Android et iOS. Contrairement au SMS, qui repose sur lesinfrastructures des opérateurs télécoms, le RCS fonctionneexclusivement via la connexion internet de l’utilisateur. Sagestion technique relève entièrement de Google, ce qui limite déjàconsidérablement le contrôle des opérateurs sur ce protocole.
 
Conscients des enjeux de sécurité et de régulation, les opérateursont engagé des discussions avec Google pour mettre en place undispositif d’interception des flux et de conservation desmétadonnées des échanges RCS. Toutefois, ces efforts se heurtent àune contrainte majeure : ils ne permettent en aucun cas decontourner un chiffrement de bout en bout (E2EE) si celui-ci estdéployé. En effet, avec cette technologie, toutes les opérations dechiffrement et de déchiffrement, ainsi que la gestion des clés desécurité, sont réalisées directement sur les terminaux desutilisateurs. Contrairement aux solutions classiques, où lechiffrement s’opère entre le terminal et l’infrastructure del’opérateur, l’E2EE empêche toute interception intermédiaire.Autrement dit, ni Google, ni les opérateurs, ni aucune autoritétierce ne détient les clés permettant d’accéder aux messageséchangés via RCS. Or, Apple et Google ont d’ores et déjà annoncéleur intention de déployer cette technologie, ce qui rendra lecontenu des messages totalement inaccessible à tout tiers, ycompris aux opérateurs et aux fournisseurs de services.
 
Dans ces conditions, l’obligation imposée par l’article 8 ter, netenant pas compte des réalités technologiques, s’avèretechniquement inapplicable. Elle ferait peser sur les opérateursune responsabilité qu’ils ne peuvent assumer, sous peine desanctions sévères, alors même qu’ils n’ont aucun moyen techniqued’intervenir sur ces communications.
 
Cette obligation disproportionnée entre alors également encontradiction avec le principe d’irresponsabilité des fournisseursde services de transport, consacré par la directive européenne2000/31 du 8 juin 2000 et repris à l’article 4-1 du DigitalServices Act (DSA). Elle crée une insécurité juridique majeure pourles opérateurs tout en s’avérant inapplicable en pratique.
 
Il est donc impératif de supprimer cet article, qui ressuscite unefois de plus des propositions déjà rejetées à maintes reprises enraison de leurs implications dangereuses et inopérantes.