Amendement n° 314

Il s’agit d’encadrer un peu plus le dispositif, de réaffirmer le principe de subsidiarité en inscrivant dans la loi que l’utilisation de la technique de l’algorithme constitue une solution de dernier recours pour obtenir les renseignements recherchés. Les services devront ainsi préciser dans chaque demande d’autorisation que ces renseignements n’ont pas pu « être recueillis par un autre moyen légalement autorisé ». C’est déjà le cas pour d’autres techniques de renseignement, notamment celle qui consiste à sonoriser certains lieux ou véhicules.

Quel est l’avis du gouvernement ?

Je m’en remets à la sagesse de l’Assemblée.

La parole est à M. Sacha Houlié.

Je suis défavorable à l’amendement de Mme Thillaye, parce qu’il existe toujours un moyen, pour un service de renseignement, de collecter du renseignement humain. Pour cela, il faut déployer des efforts colossaux. Or le traitement algorithmique de données vise précisément à soulager le renseignement humain et à le compléter.Je vais vous donner un exemple. Les signatures chinoises des ingérences étrangères en France montrent une stratégie du Front uni suivant laquelle tout ressortissant chinois peut être mobilisé pour jouer un rôle de renseignement au service du Parti communiste chinois et de la Chine. Ainsi, lorsque des stratégies sont déployées par les services, notamment des stratégies d’évaporation, on peut identifier beaucoup plus facilement des ressortissants chinois. En effet, la stratégie d’évaporation est identifiable dans le comportement numérique de toutes les personnes susceptibles d’être des agents. Cependant, en limitant les perspectives de l’article 18 aux seules techniques mobilisables en matière numérique, on neutralise non seulement les finalités nos 1 et 2 que je vous ai décrites, celles de la lutte contre l’ingérence étrangère, mais aussi celles de l’antiterrorisme et de la lutte contre la criminalité organisée.

La parole est à M. Bastien Lachaud.

Je comprends le souci de la rapporteure, mais c’est un minimum. L’amendement montre que la rapporteure elle-même craint les dérives que le dispositif global pourrait engendrer. Enfin, elle nous incite à faire confiance aux services de renseignement. Je suis disposé à leur faire confiance, mais en 2023, ils ont outrepassé leurs pouvoirs et l’autorisation ministérielle à 300 reprises. Or, au banc du gouvernement, on ne nous dit rien de ce qui a été mis en place pour nous assurer que cela ne se reproduise plus, d’autant plus que des techniques de plus en plus intrusives sont employées.

Je mets aux voix l’amendement no 735.

Voici le résultat du scrutin :        Nombre de votants                        79        Nombre de suffrages exprimés                60        Majorité absolue                        31                Pour l’adoption                20                Contre                40

La parole est à M. Jérémie Iordanoff, pour soutenir l’amendement no 312.

Cela concerne le détail des URL qui peuvent être utilisées pour nourrir les algorithmes.La rédaction proposée à l’alinéa 6 est beaucoup trop large et va au-delà de ce qui a pu être préconisé dans les divers documents sur lesquels elle se fonde. L’amendement vise à introduire l’obligation d’un « lien direct » plutôt que d’un « rapport » avec les ingérences ou les menaces concernées.Si nous utilisons l’ensemble des URL ayant un « rapport » avec l’objet recherché, cela ira trop loin. Il faut qu’il existe un lien direct, sinon on pourra tout écouter. En l’état, je crois que ce qui est proposé serait censuré par le Conseil constitutionnel.

Quel est l’avis de la commission ?

Comme en commission, je comprends l’idée du lien direct, mais cela me paraît couler de source. Nos services de renseignement ne peuvent faire une demande que si elle est en rapport avec la finalité, qui est très circonscrite. Ensuite, en ce qui concerne l’usage des mots « rapport », « lien », « lien direct »…

Tout est dans tout !

Oui, tout est dans tout.

C’est bien ça le problème !

La commission a émis un avis défavorable, même si, à titre personnel, je suis un peu partagée.

Quel est l’avis du gouvernement ?

Une ressource dont le contenu est en rapport avec l’ingérence ou la menace que l’on cherche à détecter permet, grâce à une combinaison avec d’autres paramètres, de modéliser des comportements plus représentatifs d’une menace ou d’une ingérence.Cela étant, regardons la manière dont les choses se passent, en prenant l’exemple d’un site qui vend des produits d’entretien. Sur le principe, il semble qu’il n’y ait aucun lien. Cependant, certains de ces produits sont des précurseurs d’explosifs, qui ne pourraient être utilisés comme participant à un comportement potentiellement menaçant, en application de l’amendement proposé, alors qu’ils constituent un paramètre pertinent au regard de la finalité qui sera mise en avant. Je souligne, une fois de plus, que c’est ce qui a conduit la Cnil et le Conseil d’État à rendre un avis favorable, parce que l’usage détourné de certains produits peut être dangereux. Avis défavorable.

La parole est à M. Sacha Houlié.

Dans cet amendement, il aurait fallu prévoir de mentionner les liens directs ou indirects. Par exemple, dans la lutte contre la criminalité organisée, la finalité no 6, un algorithme peut rechercher des mouvements financiers suspects, notamment en cryptomonnaies ou des mouvements fiscaux, car ils constituent le principal argument de recherche des infractions. D’ailleurs, c’est l’objet du travail que les juges italiens avaient fait en créant les parquets antimafia. Le lien direct priverait de la recherche, par traitement algorithmique, de données qui seraient purement fiscales et qui n’auraient donc pas de rapport direct avec l’infraction constatée.

Exactement.

La parole est à M. Jérémie Iordanoff.

Je précise que cet amendement ne sort pas de nulle part, mais se fonde sur les formulations de l’étude d’impact du gouvernement lui-même. Je veux bien entendre que, pour certaines finalités, on recherche un lien indirect, mais dans ce cas, il faut faire un sous-amendement. Si on ne demande que de trouver un « rapport », c’est extrêmement large. Il faut un peu de précision, sinon on écoute tout, il n’y a pas de limites et ce n’est pas proportionné. Pour moi, dans l’exemple de Mme la ministre, nous avons affaire à un lien direct, puisqu’il est question d’éléments qui entrent dans la composition d’un explosif.

Je mets aux voix l’amendement no 312.

Voici le résultat du scrutin :        Nombre de votants                        81        Nombre de suffrages exprimés                78        Majorité absolue                        40                Pour l’adoption                11                Contre                67

La parole est à M. Jérémie Iordanoff, pour soutenir l’amendement no 313.

Cet amendement vise à remplacer, à l’alinéa 7, « raisons sérieuses de penser qu’elles sont utilisées à des fins d’ingérence ou de menace » par « éléments objectifs et circonstanciés permettant d’établir un lien avec les ingérences ou menaces ». On rend nécessaire l’existence d’un lien – qui n’est pas direct ou indirect – fondé sur des éléments objectifs et circonstanciés, car il est difficile de qualifier les raisons sérieuses. Il faut que les choses soient définies précisément, sans quoi le dispositif prévu s’applique à tout et devient général.

Quel est l’avis de la commission ?

C’est compliqué, parce qu’il faut identifier des URL dont l’usage a été détourné, si bien qu’il n’est pas évident, en première analyse, qu’elles sont utilisées à des fins criminelles ou terroristes. Dans cette optique, votre formulation me paraît moins précise que celle du texte. Avis défavorable.

Quel est l’avis du gouvernement ?

J’ai la même lecture que la rapporteure. Le projet de loi impose que l’intégration d’URL soit motivée par l’existence de « raisons sérieuses de penser qu’elles sont utilisées à des fins d’ingérence ou de menace ». Votre amendement est moins précis : en substituant à la condition liée à l’utilisation des URL une exigence de lien, on ouvre finalement à une mobilisation plus large de ces adresses. Je ne crois pas que ce soit ce que vous recherchiez. Avis défavorable.

La parole est à M. Bastien Lachaud.

Je comprends l’argument de la rapporteure et de la ministre. Nous allons les suivre, même si je pense que la formulation « éléments objectifs et circonstanciés » est bien plus précise que « raisons sérieuses de penser ». Dans l’idéal, il aurait peut-être fallu fusionner ces deux formulations. Je comprends la position du collègue Iordanoff sur les éléments objectifs, parce que les « raisons sérieuses de penser », moi, je ne sais pas ce que c’est. Nous laissons vraiment beaucoup de marge de manœuvre aux services de renseignement, alors que nous devrions plutôt être restrictifs. Je rappelle que nous parlons d’un dispositif qui a déjà été censuré par le Conseil constitutionnel.

La parole est à M. Jérémie Iordanoff.

Je précise que nous parlons des URL qui ne concernent pas des sites ayant un lien direct avec l’objet d’une recherche. Il s’agit, par exemple, d’un forum de discussion ou de requêtes sur un moteur de recherche dont certaines pages pourraient se rattacher à cet objet. Si des URL contiennent des mots-clés explicitement rattachables aux finalités prévues par les textes, ou si ces mots-clés se trouvent sur des parties d’un forum de discussion, on peut récupérer les URL, mais ce sont des éléments circonstanciés précis et non des « raisons sérieuses de penser que ». Avec cette dernière formulation, vous écoutez tout. C’est confortable pour l’exécutif, mais du point de vue des libertés publiques, ce n’est pas possible. Il faut lutter contre les ingérences étrangères, la criminalité organisée, mais de manière proportionnée et savoir de quoi on parle. Or, ici, le champ d’application est très large. (M. Damien Girard applaudit.)

Je mets aux voix l’amendement no 313.

Voici le résultat du scrutin :        Nombre de votants                        85        Nombre de suffrages exprimés                85        Majorité absolue                        43                Pour l’adoption                13                Contre                72

Encore une fois, nous parlons de mots importants pour déterminer quelles URL on peut utiliser. Cet amendement vise à supprimer la possibilité de traiter des URL sur la seule base de leurs « caractéristiques techniques de nature à révéler des ingérences ou menaces ». Comment définissez-vous les caractéristiques techniques d’une URL ? Je veux bien que l’on fasse des recherches sur des URL comportant des mots-clés, sur certains sites ou sur des parties d’un forum, mais l’utilisation des caractéristiques techniques permet d’englober des URL banales : réinitialisation d’un mot de passe, accès privé à un site…

Quel est l’avis de la commission ?

Cette catégorie d’URL est particulièrement importante car la structure d’une URL peut être liée à un type de cyberattaque, par exemple. Comme tout fonctionne par entonnoir, on ne peut pas se priver d’une certaine « matière première ». D’ailleurs, le fait qu’une URL provoque une alerte ne suffit pas à caractériser le comportement suspect. Ce n’est que dans un deuxième temps que les services de renseignement peuvent procéder à des investigations plus poussées, pour confirmer ou infirmer cette hypothèse. Avis défavorable.

Quel est l’avis du gouvernement ?

Je reprends ce que dit la rapporteure. Les modes opératoires des cyberattaques sont souvent détectables par l’utilisation d’URL dont la forme répond à des critères techniques connus des services, par exemple la mention Google avec un double zéro plutôt qu’un double « o ». En fonction des modes d’action déjà observés par modélisation des cyberattaques, la détection d’une seule URL dont la construction est significative permettra de faciliter l’attribution d’une attaque et sa remédiation. Avis défavorable.

La parole est à M. Jérémie Iordanoff.

Je vous remercie pour ce début de précision, madame la ministre, mais vous n’avez parlé que d’un seul élément relatif à un seul paramètre de la structure, qui est déjà couvert. Inclure les caractéristiques techniques n’est donc pas nécessaire. Une structure d’URL est caractérisée par la présence ou non de paramètres, et non par des paramètres précis. Je ne vois pas quel type de structure spécifique d’URL pourrait révéler une ingérence étrangère ou que sais-je. Ou alors, vous demandez que l’existence même de paramètres justifie le traitement automatisé de l’URL, mais dans ce cas, vous inclurez l’ensemble des URL existantes. Avec une rédaction trop simpliste, vous justifierez le traitement automatisé par la structure même plutôt que par la présence d’un paramètre spécifique. Avec cet alinéa, c’est l’ensemble des URL qui seront traités par la machine.

La parole est à Mme la ministre.

Il est toujours utile de rappeler que la saisine pour avis de la CNCTR conduira celle-ci à demander aux services de renseignement d’expliquer pourquoi une caractéristique technique serait révélatrice d’une menace ou d’une ingérence étrangère.

Seulement a posteriori !

Pour que l’avis de la CNCTR soit favorable, la justification devra être suffisante et circonstanciée. Il faut l’avoir à l’esprit. Je réitère mon avis défavorable.

Voici le résultat du scrutin :        Nombre de votants                        87        Nombre de suffrages exprimés                87        Majorité absolue                        44                Pour l’adoption                14                Contre                73