Amendement n° CL34

Amendements CL23 et CL21 de M. Jérémie Iordanoff

M. Jérémie Iordanoff (EcoS). L’amendement CL23 vise une fois encore à encadrer plus strictement les conditions dans lesquelles certaines URL peuvent être intégrées aux traitements automatisés de détection. En l’état du texte, le traitement des URL pour lesquelles il existerait des « raisons sérieuses de penser qu’elles sont utilisées à des fins d’ingérence ou de menace » laisse une large marge d’appréciation aux services de renseignement. Dès lors qu’elle n’exige aucun élément objectif, une telle rédaction est susceptible de conduire à l’inclusion de données sur la base de simples soupçons et risque d’entraîner une collecte excessive de données portant une atteinte disproportionnée au droit au respect de la vie privée.

L’amendement CL23 substitue donc à cette formulation un critère fondé sur l’existence d’« éléments objectifs et circonstanciés permettant d’établir un lien » avec les ingérences ou menaces. Cette formulation est par ailleurs plus fidèle à l’étude d’impact qui indique que cette catégorie correspond par exemple à « l’URL d’un groupe de discussion identifié, hébergé par un site internet anodin mais dont il est établi qu’il est utilisé par des terroristes, ou [aux] pages de résultats d’un moteur de recherche requêté sur la base de mots-clés explicitement rattachables aux finalités ».

L’amendement CL21 vise à supprimer l’alinéa 8, qui permet d’inclure dans les traitements automatisés de surveillance des adresses complètes d’URL « présentant des caractéristiques techniques de nature à révéler des ingérences ou menaces ». Cette définition est beaucoup trop large.

Mme Sabine Thillaye, rapporteure pour avis. En ce qui concerne l’amendement CL23, il est difficile d’établir au préalable, grâce à des éléments objectifs, que ces comportements seront suspects. Le principe est bien que l’algorithme puisse identifier ces comportements grâce à un faisceau d’indices. La levée du doute se fait une fois que les alertes ont été émises, pas en amont. Avis défavorable.

Par ailleurs, la catégorie définie à l’alinéa 8 est particulièrement importante, car la structure d’une URL peut être liée à un type de cyberattaque, par exemple. Il n’est donc pas opportun de les écarter des traitements, d’autant que, je le répète, le fait qu’une URL provoque une alerte ne suffit pas à caractériser le comportement suspect. Il revient dans un deuxième temps aux services de renseignement de procéder à des investigations plus poussées pour confirmer ou infirmer cette hypothèse. Avis défavorable.

M. Jérémie Iordanoff (EcoS). La réponse de la rapporteure m’inquiète un peu. Selon elle, puisqu’on ne sait pas comment trier les URL et que les caractéristiques techniques doivent être définies a posteriori, il faut prendre toutes les URL. Or c’est précisément pour cette raison que le Conseil constitutionnel avait censuré les précédentes dispositions. C’est vraiment beaucoup trop large, sauf si l’on accepte que l’on capte l’ensemble des URL de tout le monde sur tout et qu’on laisse les algorithmes trouver ces éléments objectifs et circonstanciés permettant d’établir un lien. Je vous invite à préciser quelles URL peuvent être traitées, sans quoi on tombe dans la surveillance généralisée.

M. Philippe Latombe (Dem). Je partage ces inquiétudes. Il faut revenir au point 128 de la décision du Conseil constitutionnel du 12 juin 2025 : « Dès lors, en autorisant, de manière générale et indifférenciée, sur l’ensemble des données transitant par les réseaux des opérateurs de communications électroniques, le recours à de tels traitements algorithmiques pour la détection des connexions susceptibles de révéler certaines menaces relatives à la criminalité et à la délinquance organisées, sans autre condition tenant notamment à la nature des données révélées par les adresses complètes de ressources utilisées sur internet, le législateur n’a pas assuré une conciliation équilibrée entre les objectifs de valeur constitutionnelle de prévention des atteintes à l’ordre public et de prévention des infractions et le droit au respect de la vie privée. » C’est ce qu’on refait ici ! Il faut absolument poser une limite, quitte à retravailler le texte en séance.

M. Ugo Bernalicis (LFI-NFP). Parfois, vous avez joué à redécouper des articles de loi censurés, et le Conseil constitutionnel les a validés – j’ai vu des choses étranges. Vous avez raison de tenter. Le vrai problème est un problème de fond. En réalité, vous ne pouvez pas poser de limites trop importantes à votre dispositif, sans quoi il ne sert strictement plus à rien. Votre objectif est d’avoir un filet large pour voir ce qui reste à la fin. Si on commence à définir strictement ce qu’on doit chercher, ça perd un peu de sa saveur. Du reste, est-ce que Palantir, qui traite les données, ne permet pas déjà, en appuyant sur quelques boutons, de prendre tout ce qui passe par là, en nous faisant croire que ça rentrait dans le périmètre concerné ?

La commission rejette successivement les amendements.