ART. 8 TER	N°640	
ASSEMBLÉE NATIONALE
14 Mars 2025
___________________________________________________________________
VISANT À SORTIR LA FRANCE DU PIÈGE DU NARCOTRAFIC - (N° 1043)
Rejeté
AMENDEMENT N°640
présenté par
M. Marleix
------------
ARTICLE 8 TER
Rétablir cet article dans larédaction suivante :
« I. – Le code de lasécurité intérieure est ainsi modifié :
« 1° Le premier et lesecond alinéas de l’article L. 871‑1 sont remplacés par lesdispositions suivantes :
« « I. – Les opérateurset personnes mentionnés à l’article L. 851‑1 qui fournissentdes prestations de cryptologie assurant une fonction deconfidentialité, sont tenus de permettre, dans un délai n’excédantpas 72 heures, aux seuls agents autorisés, d’accéder au contenuintelligible des seuls informations, documents, données ourenseignements dont la collecte a fait l’objet, conformément àl’article L. 821‑4, d’une autorisation préalable de mise enœuvre de l’une des techniques de recueil de renseignementmentionnées aux articles L. 851‑1, L. 851‑2 etL. 852‑1.
« « II. – Les dispositifstechniques des opérateurs et personnes mentionnés au I leurpermettant de satisfaire à cette obligation sont autorisés par lePremier ministre, préalablement à leur mise en œuvre, dans lesconditions définies pour l’application du 1° del’article 226‑3 du code pénal.
« « Ces dispositifstechniques préservent le secret des correspondances et assurent laprotection des données à caractère personnel au titre du respect dela vie privée, conformément à l’article L. 801‑1. Ils doiventexclure toute possibilité d’accès par une personne autre que lesagents autorisés à mettre en œuvre les techniques de recueil derenseignement mentionnées au I. Ces dispositifs techniques nepeuvent porter atteinte à la prestation de cryptologie visant àassurer une fonction de confidentialité. 
« « Les opérateurs etpersonnes mentionnés au I ne peuvent exciper d’argumentscontractuels ou techniques pour faire obstacle à cetteobligation. 
« « Un décret en Conseild’État définit les conditions d’application du présent article,notamment les conditions d’autorisation des dispositifs techniquespar le Premier ministre et de prise en charge financière par l’Étatdes mesures techniques mises en œuvre. »
« 2° L’article L. 871‑3 est abrogé ;
« 3° L’article L. 871‑4 est ainsimodifié :
« a) Au premieralinéa, les mots : « de communications électroniquesmentionnés à l’article L. 34‑1 du code des postes et descommunications électroniques ainsi que les personnes mentionnéesaux 1 et 2 du I de l’article 6 de laloi n° 2004‑575 du 21 juin 2004 pour la confiancedans l’économie numérique » sont remplacés par les mots :« et personnes mentionnées àl’article L. 851‑1 » ;
« b) À la fin dusecond alinéa, les mots : « ces opérations » sontremplacés par les mots : « cette mise enœuvre ».
« 4° L’article L. 871‑5 est abrogé.
« 5° L’article L. 871‑6 est ainsimodifié :
« a) Après lapremière occurrence du mot : « Les », sont insérésles mots : « opérateurs et personnes mentionnés àl’article L. 851‑1 procèdent aux » ;
« b) Lesmots : « dans les locaux et installations des services ouorganismes placés sous l’autorité ou la tutelle du ministre chargédes communications électroniques ou des exploitants de réseaux oufournisseurs de services de communications électroniques ne peuventêtre effectuées que sur » sont remplacés par le signe et lemot : « . Sur » ;
« c) La secondeoccurrence du mot : « par » est remplacée par lesmots : « , les opérateurs et personnes mentionnés àl’article L. 851‑1 fournissent dans les meilleurs délaisles informations, documents, données ou renseignements requis. Sil’ordre le prévoit, son exécution est confiée à » ;
« d) Lesmots : « services, organismes, exploitants oufournisseurs » sont remplacés par les mots :« opérateurs ou personnes » ;
« e) Sont ajoutésles mots : « et dans le respect du secret de la défensenationale » ;
« 6° Àl’article L. 871‑7, les mots : « à la mise enœuvre des techniques de recueil de renseignement mentionnées auxarticles L. 851‑1, L. 851‑2 à L. 851‑4,L. 851‑6, L. 852‑1 et L. 853‑2 » sont remplacéspar les mots : « aux obligations prévues parl’article L. 871‑6 » ;
« 7° Àl’article L. 881‑1, les mots : « ,226‑14 » sont supprimés ;
« 8° L’article L. 881‑2 est ainsimodifié :
« a) Au premieralinéa, les mots : « au premier alinéa del’article L. 871‑1 et àl’article L. 871‑4 » sont remplacés par lesmots : « aux articles L. 871‑1, L. 871‑2,L. 871‑4 et L. 871‑6 » ;
« b) Le secondalinéa est ainsi rédigé :
« Lorsque ces infractions sontcommises à titre habituel, elles sont punies d’une amendede 1 500 000 euros. Pour les personnes morales,cette amende peut être portée à 2 % du chiffre d’affairesmondial moyen annuel hors taxes, calculé sur les trois derniersexercices annuels connus à la date des faits. ».
« II. – Le code despostes et des communications électroniques est ainsimodifié :
« 1° L’article L. 33‑1 est ainsimodifié :
« a) Le e du I estainsi modifié :
« – La premièreoccurrence du mot : « et » est remplacée par lesigne : « , » ;
« – Après la premièreoccurrence du mot : « publique », sont insérés lesmots : « et la protection des intérêts fondamentaux de laNation » ;
« – Après la secondeoccurrence des mots : « publique », sont insérés lesmots : « ou de la protection des intérêts fondamentaux dela Nation » ;
« b) Le 1° du VII est ainsimodifié :
« – Après le mot :« Futuna », sont insérés les mots : « , dansles Terres australes et antarctiques françaises » ;
« – Sont ajoutés lesmots : « et de la loi n° XXXX duxxx » ;
« 2° Le chapitre II dutitre Ier du livre est complété par unesection 10 ainsi rédigée :
« Section 10
« Des prescriptions exigéespar l’ordre public, la défense nationale, la sécurité publique oula protection des intérêts fondamentaux de la Nation
« Art. L. 34‑18. – I. – Auxfins de respecter les prescriptions mentionnées au e) du I del’article L. 33‑1, les opérateurs et les personnesmentionnées au 2 du I de l’article 6 de laloi n° 2004‑575 du 21 juin 2004 pour la confiancedans l’économie numérique mettent en place ou assurent la mise enœuvre des moyens nécessaires pour exécuter, s’il y a lieu, dans lerespect du secret de la défense nationale, les techniques d’enquêtenumérique judiciaires autorisées en application des dispositions dela section 3 du chapitre Ier du titre III du livreIer du code de procédure pénale et des sections 5et 6 du chapitre II du titre XXV du livre IV du même code, ainsique les techniques de recueil de renseignement et demandesformulées en application du livre VIII du code de la sécuritéintérieure.
« Ils se mettent à même derépondre aux réquisitions des agents autorisés et des autoritésjudiciaires compétentes, sans pouvoir exciper d’argumentscontractuels ou techniques qui y feraient obstacle. 
« II. – Ces moyens sontmis en place et mis en œuvre dans les conditionssuivantes : 
« – Ils sont validés aupréalable par l’État ;
« – Ils sont mis en place surle territoire national et mis en œuvre depuis le territoirenational ;
« – Les données produitespar les systèmes utilisés sont chiffrées par un moyen validé parl’État lorsque ces données doivent transiter par voie électroniqueen dehors du territoire national ; 
« – Seuls des agentsspécialement désignés et qualifiés des personnes mentionnées au Idu présent article ou des agents désignés par l’autoritéadministrative peuvent mettre en place et assurer la mise en œuvrede ces moyens et accéder aux données qu’ils traitent. 
« III. – Les garanties dela juste rémunération prévue au e) du I del’article L. 33‑1, sont définies par décret en Conseild’État.
« IV. – À titre exceptionnel,le ministre chargé des communications électroniques peut, aprèsavoir recueilli l’avis de l’Autorité de régulation descommunications électroniques, des postes et de la distribution dela presse et de l’Agence nationale de la sécurité des systèmesd’information, autoriser un opérateur ou une personne mentionnée au2 du I de l’article 6 de la loi n° 2004‑575 du 21 juin2004 pour la confiance dans l’économie numérique à déroger auxobligations prévues au II du présent article lorsque les coûts àexposer pour satisfaire à ces conditions sont disproportionnés auregard du nombre de demandes adressées à cet opérateur ou à lapersonne mentionnée au 2 du I de l’article 6 de la loin° 2004‑575 du 21 juin 2004 pour la confiance dans l’économienumérique. 
« Art. L. 34‑19. – Dans le cadredes attributions qui lui sont conférées par le présent livre, leministre chargé des communications électroniques veille notamment àce que les opérateurs prennent les mesures nécessaires pour assurerl’application, s’il y a lieu, dans le respect du secret de ladéfense nationale, des dispositions du livre VIII du code de lasécurité intérieure, de la section 3 du chapitreIer du titre III du livre Ier ducode de procédure pénale relatives aux interceptions decorrespondances émises par la voie des télécommunications ordonnéespar l’autorité judiciaire et des sections 5 et 6 du chapitre II dutitre XXV du livre IV du même code. 
« Art. L. 34‑20. – En cas deméconnaissance des dispositions prévues àl’article L. 34‑18, le Premier ministre peut mettre endemeure les personnes morales défaillantes mentionnées auditarticle de se mettre en conformité avec leurs obligations dansun délai qu’il fixe et qui ne peut être inférieur à quinzejours.
« En cas de méconnaissance destermes de cette mise en demeure, le Premier ministre peut fixer unnouveau délai en l’assortissant d’une astreinte dont le montant nepeut excéder 50 000 euros par jour de retard.
« S’il constate que laprocédure mentionnée au précédent aliéna n’a pas abouti à la miseen conformité exigée, le Premier ministre peut : 
« 1° Lorsque la personneen cause est un opérateur de communications électroniques, prendreune décision à effet immédiat de suspension totale ou partielle dudroit d’établir un réseau de communications électroniques ou defournir un service de communications électroniques sur leterritoire national pour une durée d’un mois au plus ;
« 2° Lorsque la personneen cause est l’une des personnes mentionnées au 2 du I del’article 6 de la loi n° 2004‑575 du 21 juin 2004pour la confiance dans l’économie numérique, prendre une décision àeffet immédiat de suspension totale ou partielle de son activitésur le territoire national, pour une durée d’un mois au plus.
« La décision du Premierministre est prise après que l’opérateur ou la personne mentionnéeau 2 du I de l’article 6 de la loi n° 2004‑575 du21 juin 2004 pour la confiance dans l’économie numérique a étémis en capacité de présenter des observations dans un délai minimalde quinze jours.
« Le Premier ministre peutrenouveler les décisions mentionnées aux quatrième et cinquièmealinéas si, aux termes du délai d’un mois, la personne concernéerefuse de se mettre en conformité avec les dispositions prévues àl’article L. 34‑18. Il peut l’assortir d’une astreintedont le montant ne peut excéder 50 000 euros par jour deretard.
« En cas d’urgence, decirconstances exceptionnelles ou d’atteinte imminente à la sécuriténationale, le Premier ministre peut prendre les décisionsmentionnées aux quatrième et cinquième alinéas sans qu’aient étépréalablement prononcées les mises en demeure mentionnées auxpremier et deuxième alinéa. Les conditions d’application du présentarticle sont déterminées par décret en Conseil d’État.
« Art. L. 34‑21. – Les exigencesessentielles définies au 12° de l’article L. 32et le secret des correspondances mentionné àl’article L. 32‑3 ne sont opposables ni aux juridictionscompétentes pour ordonner des interceptions en application del’article 100 du code de procédure pénale, ni au ministrechargé des communications électroniques dans l’exercice desprérogatives qui leur sont dévolues par le présent livre VIII ducode de la sécurité intérieure. 
« Art. L. 34‑22. – Les dispositionsde la présente section sont applicables en Polynésie française,dans les îles Wallis et Futuna, dans les Terres australes etantarctiques françaises et en Nouvelle-Calédonie. »
EXPOSÉ SOMMAIRE
La Commission des lois de l’Assemblée nationale a supprimél’article 8 ter de la proposition de loi qui avait été introduit,au Sénat, en séance publique par voie d’amendement et quiréécrivait l’article L. 871-1 du code de la sécurité intérieure,pour passer d’une logique d’exigence de déchiffrement généralisédes communications au bénéfice des autorités publiques à uneexigence de fourniture des seuls contenus des correspondances quela loi autorise les services de renseignement àréquisitionner.
Ce faisant, l’article rééquilibrait les obligations des opérateursde messageries tout en assurant la conventionalité du dispositif,notamment suite à l’arrêt CEDH, 13 février 2024, Podchasov c.Russie qui, tout en reconnaissant la légitimité des interceptions,en raison notamment des impératifs de protection de la sécuriténationale et de la sûreté publique ou de prévention des infractionspénales, interdisait une règlementation aboutissant à une atteintegénéralisée au chiffrement au bénéfice des services desécurité.
Les débats en Commission ont mis en évidence la crainte desparlementaires de ce que ces dispositions n’aboutissent à uneobligation d’affaiblir les technologies de chiffrement mises enœuvre par les opérateurs de messageries électroniques, qui sont unegarantie de libertés publiques fondamentales.
Le présent amendement propose de rétablir partiellement cet article8 ter, en opérant la modification permettant de ne cibler que lesseules correspondances qui font l’objet d’une autorisationd’interception par les services de renseignement. Il ajoute desgaranties claires quant au fait que la technologie mise en œuvrepour permettre ces interceptions préserve le secret descorrespondances et assure la protection des données à caractèrepersonnel au titre du respect de la vie privée, conformément àl’article L.801-1 du même code.
Pour ce faire, la solution retenue par les personnes physiques oumorales mentionnées devra respecter ces exigences afin d’êtrevalidée par l’autorité administrative compétente préalablement àson utilisation, après avis d’une commission constituéed’administrations expertes et d’une autorité administrativeindépendante, la CNCTR (commission nationale de contrôle destechniques de renseignement[1]).
Le présent amendement explicite en outre dans la loi le fait queles dispositifs techniques mis en œuvre sont soumis à autorisationpréalable du Premier ministre selon les modalités définies parl’article R.226-3 du code pénal soit après avis de la commissiondite R.226-2[2], dans l’objectif de limiter l’atteinte portée ausecret des correspondances et à la vie privée aux seulescorrespondances visées par l’autorisation légale.
L’amendement énonce explicitement les critères à respecter pourgarantir le respect de ces libertés :
-       les dispositifs techniquesdoivent exclure toute possibilité d’accès par une personne autreque les agents autorisés à mettre en œuvre les techniques derecueil de renseignement au contenu intelligible des informations,documents, données ou renseignements concernés ;
-       ces dispositifs techniques nepeuvent porter atteinte à la prestation de cryptologie visant àassurer une fonction de confidentialité.
Cette rédaction interdit sans ambigüité toute solution techniquequi reposerait sur la création d’une « porte dérobée »(ou « backdoor »), susceptible d’affaiblir lechiffrement, solution qui ne correspond d’ailleurs absolument pasaux attentes de l’Etat.
Les services experts de l’Etat en matière de technologies del’information et de la communication, en matière d’interception eten matière de cybersécurité ont travaillé sur ce sujet etgarantissent qu’il existe bien des solutions techniques quiprésentent deux garanties :
1.     elles ne portent aucunement atteinte auprotocole de chiffrement de bout en bout, qui prémunit contre touteinterception du flux d’information par un tiers non autorisé,
2.     elles demeurent exécutées par lesopérateurs de messageries eux-mêmes, qui agissent ainsi surréquisition légale des services de renseignement : surautorisation du Premier ministre, après avis de la CNCTR (et aprèssaisine automatique du Conseil d’Etat en cas d’avis défavorable dela CNCTR, ce qui ne s’est jamais produit à ce jour).
Par ailleurs, la disposition réécrite par le présent amendementrestreint très strictement la portée de l’obligation detransmission de contenu imposée aux seules trois techniques derecueil de renseignement suivantes : le recueil de données deconnexion (article L. 851-1), l’accès aux données de connexion entemps réel (article L.851-2) et les interceptions de sécurité(article L. 852-1).
Pour assurer un meilleur respect de ces exigences de coopérationmodernisées, les dispositions proposées renforcent les sanctionspénales applicables aux personnes physiques et morales quirefuseraient de s’acquitter de leurs obligations en la matière.Elles portent à 1.500.000 euros le montant de l’amende encouruepour les personnes physiques commettant ces infractions de manièrehabituelle et d’une amende pouvant atteindre jusqu’à 2% du chiffred’affaires mondial annuel hors taxes, les personnes morales setrouvant dans la même situation. Le montant de ces sanctionscorrespond à celui qui a été retenu, pour des infractions de natureéquivalente en matière judiciaire, par l’Union européenne dans lerèglement 2023/1543 (eEvidence).
A cet égard, l’interpellation récente du fondateur de plateformeTelegram montre que le levier répressif est susceptible de fournirdes résultats opérationnels tangibles puisque la coopération decette plateforme avec l’autorité judiciaire s’est depuis nettementaméliorée.
Par ailleurs, sans modifier le droit applicable, dans l’attente dela transposition du paquet européen eEvidence, par souci delisibilité et de cohérence légistique, le présent article prévoitle déplacement des dispositions applicables aux réquisitions dedonnées émanant de l’autorité judiciaire dans le code de procédurepénale et dans le code des postes et des communicationsélectroniques.
Dans le même temps, les évolutions envisagées du Code des poste etdes communications électroniques (CPCE)consistent à créer unenouvelle section consacrée aux « prescriptions exigées par l’ordrepublic, la défense nationale, la sécurité publique ou la sauvegardedes intérêts fondamentaux de la Nation ».
Les dispositions de cette section reprennent une partie desdispositions règlementaires du CPCE (article D.98-7) actuellementapplicables aux personnes exploitant un réseau de communicationsélectroniques ou fournissant des services de communicationsélectroniques et les personnes mentionnées au 2 du I de l’article 6de la loi n° 2004-575 du 21 juin 2004 pour la confiance dansl’économie numérique afin d’élever le niveau de norme applicable.Il s’agit d’inscrire dans la loi l’obligation pour les personnesprécitées d’assurer la mise en place des moyens techniques requispréalablement à l’exécution des réponses aux réquisitions légalesqui leur sont adressées.
Afin d’assurer le respect de ces nouvelles dispositions, le textepropose enfin de confier au Premier ministre, au titre de sesattributions spécifiques en matière de défense et de sécuriténationale et au terme d’une procédure contradictoire, lapossibilité de sanctionner les personnes morales défaillantes. Denature progressive, ces sanctions peuvent aller jusqu’àl’obligation pour la personne morale défaillante de suspendreimmédiatement son activité sur le territoire national. Cettedécision serait, en tout état de cause, susceptible de recoursdevant le juge administratif.
La mise à jour du cadre légal est le préalable nécessaire pourinstaurer un dialogue équilibré avec les opérateurs de messagerieschiffrées. Les dispositions actuelles, par leur obsolescence etleur inconventionnalité, ne le permettent pas.
En tout état de cause, aucune autre dispositif légal ou techniquene permettrait de pallier l’absence de coopération des plateformesde messagerie chiffrée, dont l’utilisation tend à remplacer lescommunications téléphoniques classiques. 
Cet état de fait représente d’ores et déjà un obstacle majeur pourla protection des intérêts fondamentaux de la Nation par lesservices de renseignement. En matière terroriste, plusieursattaques mortelles récentes auraient pu être évitées si lesplateformes avaient coopéré avec les services de renseignement.Dans le domaine du narcotrafic, les organisations concernéesrecourent désormais principalement aux solutions privées« grand public » pour la coordination de leurs activitésclandestines. Les solutions ad hoc dédiées au crime organisé sontquant à elles de moins en moins investies.
[1] Présidée par un magistrat hors hiérarchie de la Cour decassation ou un membre du Conseil d’État, la CNCTR est composée dedeux députés et deux sénateurs, désignés de manière à assurer unereprésentation pluraliste du Parlement ; deux membres duConseil d’État, d’un grade au moins égal à celui de conseillerd’État, nommés par le vice-président du Conseil d’État ; deuxmagistrats hors hiérarchie de la Cour de cassation, nommésconjointement par le premier président et par le procureur généralde la Cour de cassation ; une personnalité qualifiée pour saconnaissance en matière de communications électroniques, nommée surproposition du président de l’Autorité de régulation descommunications électroniques et des postes.
 
[2] Composition de la commission R.226-2 du code pénal :présidée par le directeur de l’ANSSI ou un de ses représentants, unreprésentant des ministères de la Justice, de l’Intérieur, de laDéfense, des ministères chargés de douanes, de l’industrie, destélécommunications ; un représentant de la CNCTR, de l’Agencenationale des fréquences ; deux personnalités choisies enraison de leur compétence par le premier ministre ; lesecrétariat est assuré par l’ANSSI ; la commission peutentendre, à titre d’expert, toute personne compétente.