1Face au terrorisme mondialisé naguère incarné par Al-Qaïda1, aujourd’hui par l’État islamique, communément désigné par son acronyme arabe Daech2, l’État de droit et les libertés individuelles reculent. Il y a plus d’une décennie, le général Jean Pichot-Duclos notait : omme on ne peut vouloir une chose et son contraire, il va falloir accepter de rogner les libertés individuelles pour sauver l’essentiel de la liberté collective. C’est ainsi que Big Brother est imploré par la masse des Océaniens que nous sommes, de mieux contrôler la ville (où règnent criminels et délinquants), les flux de marchandises (où se dissimulent drogues et armes), les réseaux d’information (les messages terroristes ou pornographiques)… Nous voulons être surveillés et contrôlés afin que les méchants soient punis ; nous sommes prêts à payer pour cela : non seulement en impôts mais aussi en libertés ; les milliers de caméras surveillant les rues, les heures perdues en contrôles d’identité ou en fouille de bagages, les intrusions dans nos ordinateurs ou nos téléphones, voilà le prix minimum à consentir3.

2Toutefois, nombreux sont ceux qui s’insurgent, tel le journaliste Jacques Follorou, contre le recul du droit et la restriction des libertés par la mise en place de vastes systèmes de surveillance4, déjà dénoncés par le professeur Armand Mattelart5. En effet, les technologies numériques offrent des possibilités de contrôle dépassant ce qu’entrevoyait George Orwell dans 1984. Il en va ainsi des dossiers de passagers aériens (Passenger Name Records – PNR) concernant des données personnelles sensibles ou des interceptions indiscriminées de communications électroniques entreprises dans un cadre de prévention du terrorisme par lesquelles les services de renseignement attrapent dans leurs filets dérivants d’innombrables honnêtes citoyens plutôt que de seulement harponner les terroristes ou leurs réseaux de sympathisants. Un fichage généralisé se profile menaçant, selon un ancien président de la Commission nationale informatique et libertés (CNIL), de mettre « la vie privée en péril »6 alors même que l’efficacité de ces mesures est loin d’être prouvée. Dès lors, les autorités publiques s’approchent dangereusement du cercle vicieux selon lequel les mesures exceptionnelles qu’il s’agit de justifier pour défendre la constitution démocratique sont celles-là mêmes qui mènent à sa ruine7.

3En s’émancipant des limites de l’État de droit pour des raisons sécuritaires réputées exceptionnelles, ces autorités courent le risque de pérenniser l’état d’exception car il est souvent difficile de revenir au droit antérieur8. La surveillance généralisée qui se met en place afin de prévenir les attentats menace notamment la protection des données personnelles, pourtant considérée, de ce côté de l’Atlantique, comme un droit fondamental.

4En effet, l’Union européenne consacre la protection des données personnelles à l’article 8 de la Charte des droits fondamentaux de l’Union européenne (CDFUE) et à l’article 16 du Traité sur le fonctionnement de l’Union européenne9. Cette protection est régie notamment par la directive 95/46/CE du 24 octobre 1995 complétée par la décision-cadre 2008/977/ JAI du Conseil du 27 novembre 2008. Le régime inspiré de la loi française Informatique & Libertés10 interdit l’inclusion de données sensibles – relatives à la race ou à l’origine ethnique, aux opinions politiques, aux convictions religieuses ou philosophiques, à l’appartenance syndicale et celles concernant l’abus de drogue et d’alcool, la santé ou la vie sexuelle – dans les traitements de données et soumet ceux-ci à des contrôles par une autorité administrative indépendante11 – CNIL en France, Contrôleur européen de la protection des données (CEPD) pour l’Union européenne. L’article 29 de la directive instaure un groupe européen des autorités nationales de protection des données – le G29 – pour contribuer à la mise en œuvre homogène des dispositions nationales.

5Ce droit fondamental à la protection des données personnelles est également assuré par la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 et son protocole additionnel n° 181 du 8 novembre 200112 ainsi que par l’interprétation de l’article 8 de la Convention européenne des droits de l’Homme par la cour éponyme13 à laquelle font écho, en France, les décisions du Conseil constitutionnel14 et du Conseil d’État15. Il peut également être déduit des articles 17 du Pacte international relatif aux droits civils et politiques du 16 décembre 1966 sur le respect de la vie privée et 37 § 1 de la Constitution de l’Union internationale des télécommunications du 22 décembre 1992 relatif au secret des correspondances internationales.

6En revanche, les États-Unis font moins de cas du respect de la vie privée – le Privacy Act de 1974 ayant une faible portée16 et le Quatrième Amendement ne garantissant faiblement que contre les perquisitions (y compris informatiques)17 – et de la protection des données personnelles, conçues comme des marchandises et non comme des droits personnels sur les traitements qui s’exercent par l’intermédiaire d’un tiers18 ainsi que les envisagent les Européens.

7Il résulte de ces différences de culture juridique, une divergence d’approches dans la politique de prévention du terrorisme qui se traduit par un affrontement sur la collecte des données personnelles. Toutefois, l’Union européenne connaît aussi en son sein un conflit sur la façon d’assurer ce recueil de données, lequel peut être considéré comme abusif [I]. Similairement, l’équilibre entre liberté et sécurité dans le cas de la surveillance des communications électroniques a été largement rompu par les interceptions illicites pratiquées notamment par l’Agence nationale de sécurité états-unienne (National Security Agency – NSA) – oubliant l’avertissement de Benjamin Franklin : « Ceux qui voudront abandonner la Liberté essentielle au profit d’une petite Sécurité temporaire, ne méritent ni la Liberté ni la Sécurité »19 – alors que la Cour de justice de l’Union européenne condamne la surveillance de masse. Cependant, il ne s’agit pas uniquement d’une antinomie transatlantique puisque la France semble emboîter le pas des États-Unis avec les dispositions de la loi de programmation militaire et de la loi relative au renseignement [II].

I. La collecte abusive de données personnelles

8La prévention du terrorisme peut conduire à un recueil de données personnelles contraire au droit fondamental affirmé par l’article 8 CDFUE ainsi que le démontrent les incidents ayant émaillés la coopération entre l’Union européenne et les États-Unis [A], mais aussi la mise en place d’un système de collecte de données PNR par la France et, probablement, par l’UE [B].

1. La coopération entre l’Union européenne et les États-Unis en matière de prévention du terrorisme au défi du droit fondamental à la protection des données personnelles

9La directive 95 /46 définit un niveau de protection « adéquat » devant être atteint dans chaque État membre et interdit le transfert de données vers un pays ne présentant un tel niveau de protection. À la différence de l’Australie ou du Canada avec lesquels des accords PNR ont été adoptés20, les États-Unis n’offrent pas de garanties adéquates – comme l’a affirmé l’arrêt de la Cour de justice du 6 octobre 201521 – ce qui explique que de longues tractations ont été nécessaires pour aboutir aux accords PNR [a] et SWIFT-Terrorist Finance Tracking Program (SWIFT-TFTP) [b].

1.1. Les accords sur les PNR

10Les divergences d’appréciation au sein des institutions européennes sur la conformité des premiers accords conclus avec les États-Unis à la protection des données personnelles [1] ont conduit à l’adoption d’un accord en 2011, plus respectueux de celle-ci [2].

1.1.1. Les accords de 2004 et de 2007

11La loi du 19 novembre 2001 sur la sûreté de l’aviation et des transports (Aviation and Transportation Security Act) oblige les compagnies aériennes assurant des vols au départ, en transit ou à destination des États-Unis à permettre aux autorités états-uniennes d’accéder aux données PNR sous peine de lourdes amendes, voire de ne pouvoir pénétrer l’espace aérien américain, mais les compagnies européennes ne pouvaient alors pas se plier à ces exigences incompatibles avec le droit communautaire et avec leur droit national. Un premier accord fut donc conclu le 28 mai 2004, mais les décisions 2004/535/CE de la Commission et 2004/496/CE du Conseil le mettant en œuvre en droit communautaire furent annulées le 30 mai 2006 par la Cour de justice22 qui toutefois maintint en vigueur les effets de l’accord jusqu’au 30 septembre 2006. Après un accord intérimaire du 19 octobre 2006 qui expira le 31 juillet 2007, un nouvel accord fut conclu les 23 et 27 juillet 2007. Il prévoyait que les transporteurs aériens permettraient l’accès informatique des services du Department of Homeland Security (D.H.S.) aux données des passagers à destination ou en provenance des États-Unis, cependant, en mai 2010, le Parlement européen (PE) repoussa son vote sur l’accord et appela la Commission à négocier un nouveau texte.

1.1.2. L’accord de 2011

12Le nouvel accord PNR23 dispose que les transporteurs fournissent au D.H.S. leurs données pour prévenir ou détecter les infractions terroristes ou les infractions pénales y relatives, ainsi que les infractions transnationales passibles d’au moins trois ans de prison ou face à une menace grave ou encore si une juridiction l’impose. Le D.H.S. doit filtrer et effacer dans les 30 jours – sauf en cas de menace à la vie d’une personne ou de procédure pénale spécifique – les données sensibles, et protéger les autres données contre toute altération, destruction ou divulgation non autorisée. Le D.H.S. doit informer les autorités européennes des cas d’incidents graves portant atteinte au respect de la vie privée de citoyens de l’Union. Les données PNR sont conservées dans une base active pendant cinq ans puis transférées vers une base dormante pendant dix ans voire plus en cas d’enquêtes ou de poursuites, mais, six mois après leur réception, ces données sont « dépersonnalisées » (occultation des informations permettant l’identification). L’accord prévoit que le DHS ne peut partager les PNR qu’avec Europol, Eurojust ou les autorités publiques nationales d’États tiers enquêtant sur les infractions susmentionnées, ainsi, l’utilisation des données PNR présente un risque d’extension à d’autres fins que la lutte contre le terrorisme. Il est à craindre que ne se mette en place un système global de profilage attentatoire aux droits des personnes dont l’efficacité n’est pas démontrée : le nombre de terroristes ayant pu être arrêtés grâce au transfert de données PNR s’élèverait à deux et les déroutements d’avions à destination des États-Unis ne concernent que des cas d’homonymie24 et d’essayistes ou avocats trop critiques de la politique états-unienne25.

1.2. L’accord SWIFT-TFTP

13Dans ce cas aussi, le PE a fait obstacle à un texte contredisant le droit fondamental à la protection des données personnelles [1] obligeant l’UE à renégocier un accord acceptable [2].

1.2.1. Historique

14Cet accord tire son nom de la Société de télécommunications financières interbancaires mondiales (Society for Worldwide Interbank Financial Telecommunications – Swift), une compagnie belge qui conduit près de 80 % des transferts bancaires internationaux. Initialement, les autorités états-uniennes pouvaient adresser des injonctions (administrative subpoenas) à Swift pour obtenir des données parce que ses serveurs étaient situés sur le sol américain, mais influencée par les agences de protection des données26, Swift opère désormais ses transferts de messagerie financière depuis les Pays-Bas et la Suisse. Afin de concilier la lutte contre le terrorisme et le droit européen de la protection des données, un accord provisoire (Interim Agreement) fut négocié et la décision du Conseil 2010/PESC/JAI du 30 novembre 2009 l’avalisa mais le PE rejeta, le 11 février 2010, ce premier accord Swift-TFTP, malgré les pressions états-uniennes27, du fait de l’absence de proportionnalité entre les règles afférentes au transfert de données et à leur stockage et la sécurité supposément fournie et parce que les citoyens européens n’auraient pas pu former un recours contre les autorités états-uniennes en cas de mauvaise utilisation de leurs données personnelles puisque le Privacy Act réserve ces actions aux ressortissants américains28.

1.2.2. L’Accord

15Le nouvel accord SWITF-TFTP29 prévoit que les fournisseurs de services de messagerie financière doivent, à la demande du Trésor états-unien, transférer à celui-ci des données aux fins de la prévention et de la détection du terrorisme ou de son financement. Les injonctions du Trésor doivent identifier clairement les données nécessaires au renseignement, aux enquêtes ou aux poursuites anti-terroristes. Une copie de ces injonctions est adressée à Europol qui doit vérifier si la demande est recevable ; dans l’affirmative, la demande devient juridiquement contraignante, obligeant le fournisseur à exporter vers le Trésor les données réclamées. Néanmoins, le contrôle d’Europol a été considéré peu efficace et par l’Autorité de contrôle commune30 et par le PE31.

16Les données transmises sont effacées au bout de cinq ans, tandis que les informations extraites des données fournies sont conservées pendant la durée nécessaire aux enquêtes ou poursuites spécifiques. Cette disposition laisse beaucoup de temps aux agences américaines pour utiliser ces données selon leur bon vouloir. Le caractère légal de la capture des données indique qu’elles pourraient servir de preuves dans des procédures judiciaires, connexes à la lutte anti-terroriste, ou pour toute autre affaire […]32.

17Le Trésor peut librement partager ces données avec tout État ou organisation internationale, ainsi qu’avec Europol ou Eurojust. En revanche, tout partage d’informations afférentes à un citoyen de l’UE avec les autorités d’un pays tiers est soumis à l’accord préalable des autorités de l’État membre concerné, sauf s’il est essentiel pour prévenir une menace grave et immédiate. Le Trésor peut aussi communiquer des informations pertinentes obtenues dans le cadre du TFTP à la demande d’Europol, d’Eurojust ou d’une autorité compétente d’un État membre de l’Union.

18L’accord organise la transparence, le droit d’accès, de rectification, d’effacement ou de verrouillage, la préservation de l’exactitude des informations et les recours, mais son innovation réside dans le suivi des garanties par des contrôleurs indépendants, dont une personnalité désignée par la Commission européenne en accord avec les États-Unis. Le PE accepta ce nouvel accord plus équilibré – et aussi parce que la Fédération bancaire européenne avait insisté sur la nécessité de revenir à la sécurité juridique que le vote du 11 février 2010 avait mise à mal33.

19Les accords P.N.R et SWIFT-TFTP continuent d’être critiqués du fait de l’absence d’autorité administrative indépendante chargée de la protection des données personnelles aux États-Unis et suscitent une crainte de dérives que les révélations de M. Edward Snowden34 ne font que renforcer. Le droit fondamental à la protection des données personnelles est sacrifié sur l’autel de la prévention du terrorisme car la Commission n’a pu obtenir des États-Unis ce qu’elle obtint de l’Australie ou du Canada35. En revanche, la mise en place de systèmes PNR en France ou, peut-être, au niveau de l’Union européenne apparaît plus respectueuse de l’article 8 de la Charte des droits fondamentaux.

2. Les mesures envisagées par l’Union européenne et adoptées par la France

20Après une longue opposition du PE, l’Union européenne pourrait se doter d’un système de recueil de données PNR [a], à l’instar de la France [b].

2.1. La question du PNR européen

21En novembre 2007, la Commission avait présenté une proposition de directive pour établir un PNR européen aux fins de prévention du terrorisme qui fut rejetée l’année suivante par le Parlement européen. La Commission présenta une nouvelle proposition en 201136, le PE s’y opposa derechef le 24 avril 2013. Ce qui n’empêche pas la Commission de participer au financement de projets PNR nationaux dans 14 États membres37.

22Le 11 janvier 2015, le ministre français de l’Intérieur a exhorté le PE à adopter le PNR européen, demande relayée le surlendemain par le Président du Conseil européen qui craint qu’en l’absence d’une telle directive ne se mettent en place 28 systèmes nationaux. Un mois plus tard, le PE adopta une résolution par laquelle il s’engage à tout mettre en œuvre « pour finaliser la directive PNR de l’Union d’ici à la fin de l’année » et il encourage les États membres à progresser sur le « paquet relatif à la protection des données » – c’est-à-dire le règlement devant remplacer la directive 95/4638 et la directive devant se substituer à la décision-cadre 2008/977/JAI39 – puisqu’il semble logique d’attendre que ces textes soient adoptés avant d’envisager le vote d’une directive PNR qui devra être compatible avec eux. De surcroît, beaucoup d’eurodéputés subordonnent leur vote à la prochaine décision de la Cour sur l’accord PNR avec le Canada40.

23Dans une nouvelle résolution en date du 9 juillet 2015, le PE a confirmé son engagement et a encouragé le Conseil à progresser sur le « paquet », tout en insistant sur la nécessité pour la future directive PNR de respecter les droits fondamentaux et la protection des données personnelles, y compris telle qu’interprétée dans la jurisprudence de la Cour de justice41.

24En attendant que le Parlement européen accepte d’adopter la directive PNR (qui a positivement évolué par rapport à sa version initiale), la France s’est dotée de son propre système de collecte des données des passagers aériens.

2.2. Le PNR français

25L’article 7 de la loi n° 2006-64 du 23 janvier 2006 relative à la lutte contre le terrorisme avait déjà autorisé la captation des données PNR et Advance Passenger Information (API – données collectées par les compagnies aériennes lors de la phase d’enregistrement des passagers sur un vol) à l’occasion de déplacements internationaux en provenance ou à destination d’États tiers à l’Union européenne, ainsi que le recueil des données à partir de la bande de lecture optique des documents de voyage, de la carte d’identité et des visas des passagers de transporteurs aériens, maritimes ou ferroviaires. Dans le même esprit, un arrêté du 19 décembre 2006 avait institué, à titre expérimental, un fichier des passagers aériens ne concernant que les données API des vols directs en provenance et à destination de l’Afghanistan, du Pakistan, de l’Iran, de la Syrie et du Yémen. Toutefois, l’expérimentation a surtout révélé un manque de rigueur dans la transmission des données par certaines compagnies et […] la multiplicité d’erreurs imputables à des homonymies ou à des transcriptions inexactes des noms42.

26Néanmoins, l’article L. 232-7 du code de la sécurité intérieure (C.S.I.), résultant de la loi de programmation militaire de 2013, crée le système API-PNR France, dont les données sensibles sont expressément exclues, pour les vols au départ ou à destination de la France. Mis en œuvre par les décrets n° 2014-1095 du 26 septembre 2014 – lequel introduit les articles R.232-12 à R.232-18 dans le CSI –, n° 2014-1566 du 22 décembre 2014 portant création d’un service à compétence nationale dénommé « Unité Information Passagers » (U.I.P.), et n° 2015-1328 du 21 octobre 2015 portant modification de l’article 5 du décret n° 2010-569 du 28 mai 2010 relatif au fichier des personnes recherchées et des articles R.232-14 et R.232-15 du code de la sécurité intérieure. Ce système a été considéré comme satisfaisant par la CNIL car les garanties offertes réduisent le risque d’atteinte à la protection des données personnelles43.

27Le scandale des accords euro-américains PNR et SWIFT-TFTP résidait moins dans le fait que les États-Unis n’aient pas cherché à respecter des normes qui ne les lient pas que dans l’abandon par la Commission et le Conseil de l’Union européenne de la défense d’un droit fondamental. Il est heureux que, grâce à la Cour de justice et au Parlement, la très probable directive PNR respecte un meilleur équilibre entre liberté et sécurité. Il en va mutatis mutandis de même avec le système API-PNR France. En revanche, les États-Unis ont clairement violé le droit international des télécommunications, ainsi que leur Quatrième Amendement44, en établissant une surveillance indiscriminée des communications électromagnétiques.

II. Les communications électromagnétiques

28Initialement militaire, le renseignement d’origine électromagnétique (ROEM) s’est déployé, au nom de la lutte contre le terrorisme, dans tous les autres secteurs. Ainsi que la Commission de Venise le note :

29Le ROEM est un terme générique désignant les moyens et méthodes permettant d’intercepter et d’analyser des communications transmises par ondes radio (y compris sur des réseaux satellite et de téléphonie mobile) et par câbles45.

30Ces moyens et méthodes ont donc été utilisés par les États-Unis pour surveiller illicitement et s’approprier indûment des masses considérables de communications [A], mais la surveillance généralisée s’étend aussi à l’Europe puisqu’en dépit de la résistance de la Cour de justice de l’Union européenne, la France vient de légaliser de telles pratiques [B].

1. Les interceptions illicites de communications par les États-Unis

31Deux « affaires » d’interceptions illicites de communications ont mis en cause les États-Unis : le système Échelon mis en œuvre avec certains de leurs proches alliés [a] et les divers programmes de la NSA, dont le plus célèbre est Prism, révélés par le lanceur d’alerte Edward Snowden [b].

1.1. Le système Échelon

32Fruit d’une étroite coopération, durant la Guerre froide, entre les États-Unis, le Royaume-Uni, le Canada, l’Australie et la Nouvelle-Zélande (dits Five Eyes), le programme Échelon est un réseau de stations d’écoutes terrestres destiné à intercepter originellement les seules communications entre satellites, mais qui s’est étendu à la captation de données sur la fibre optique – dont les câbles sous-marins par lesquels transite la majeure partie des communications de l’internet – et qui collecte désormais tout type d’informations.

33Les interceptions, dirigées par le système Échelon et menées à partir de mots-clés, effacent toute définition de la source surveillée : toute personne est susceptible d’être écoutée si sa conversation est jugée « intéressante » par le logiciel. Les personnes physiques ainsi que les personnes morales voient leurs libertés toujours remises en cause par le réseau Échelon46.

34En effet, le système ne se contente plus d’espionner les armées ennemies – notion ayant disparu avec la dissolution du Pacte de Varsovie et le dépérissement de l’Union soviétique – ni même de se renseigner sur les réseaux terroristes, mais capte également les communications diplomatiques – y compris de pays alliés – ainsi que celles des entreprises européennes (Airbus, Thomson, etc.), lesquelles perdirent d’importants marchés au profit des firmes états-uniennes concurrentes. Pourtant, les États européens victimes de ces comportements peu conformes à la comitas gentium restèrent cois devant les révélations de journalistes d’investigation ou de rapports parlementaires (nationaux comme européens) afin de ne pas altérer leurs relations avec les États-Unis eus égards notamment à leur coopération en matière de lutte anti-terroriste47.

1.2. L’affaire PRISM

35Une nouvelle étape est franchie avec les programmes de la NSA dévoilés par l’affaire Snowden. Il est vrai que :

L’Internet est une extension du système de renseignement américain. C’est sa créature. Les réseaux sociaux et les terminaux mobiles, quant à eux, sont les fantasmes les plus fous qu’il aura été donné de réaliser aux services secrets.48

36Conformément à l’article 702 du Foreign Intelligence Services Act, la NSA peut, sur décision de justice mais selon une procédure secrète, accéder aux données des neuf plus importantes sociétés de l’internet – toutes états-uniennes – notamment celles offrant des services en matière de nuage informatique (Cloud providers) mais, hors de tout cadre juridique, la NSA intercepte également les communications téléphoniques vocales d’appareils fixes ou portables, les sms, les données de géolocalisation, les images des courriers électroniques. Le système PRISM a révélé, d’une part, une « perte de contrôle » de l’Union européenne et de ses États membres en matière de souveraineté numérique et, d’autre part, une grande méfiance des institutions européennes ainsi des gouvernements nationaux envers la politique états-unienne de lutte contre le terrorisme49. Sans surprise, le PE s’est montré particulièrement en pointe puisqu’un rapport de la Commission des libertés civiles, de la justice et des affaires intérieures n’hésite pas à déclarer que les programmes de surveillance constituent une nouvelle étape vers la mise en place d’un État « ultrapréventif », s’éloignant du modèle établi du droit pénal en vigueur dans les sociétés démocratiques, selon lequel toute atteinte aux droits fondamentaux d’un suspect nécessite l’autorisation d’un juge ou d’un procureur, en l’existence de soupçons raisonnables, et doit impérativement être régie par la loi, pour y substituer un mélange d’activités de répression et de renseignement avec des garanties juridiques floues et affaiblies, allant bien souvent à l’encontre des freins et contrepoids démocratiques, en particulier de la présomption d’innocence […]50.

37Au-delà de l’Europe, l’émotion fut vive et l’Assemblée générale des Nations Unies adopta la résolution 68/167 du 18 décembre 2013, Le droit à la vie privée à l’ère du numérique, qui proclame :

Si le souci de la sécurité publique peut justifier la collecte et la protection de certaines données sensibles, il ne dispense pas les États de respecter pleinement les obligations que leur impose le droit international des droits de l’Homme51 et la résolution 68/178 du même jour, Protection des droits de l’Homme et des libertés fondamentales dans la lutte antiterroriste dont le point 6 g encourage les États à préserver le droit au respect de la vie privée, conformément au droit international, en particulier au droit des droits de l’Homme, et prendre les mesures pour s’assurer que toute entrave ou restriction à l’exercice de ce droit n’est pas arbitraire, est réglementée par la loi, fait l’objet d’un contrôle effectif et donne lieu à une réparation adéquate, y compris par un contrôle judiciaire ou d’autres moyens.52

38Pour leur part, les gouvernements européens firent preuve de schizophrénie en protestant symboliquement tout en demeurant, pour nombre d’entre eux, liés aux États-Unis en matière de renseignement et donc peu enclins à déclencher une crise à ce sujet bien qu’ils fussent lésés et trompés.

39Malgré des partenariats et une collaboration solides, voire une connivence entre la NSA et les services de renseignement de certains pays alliés, les fichiers Snowden montrent qu’aucun État, aucune personne ni aucune organisation – quels que soient ses liens avec les États-Unis – n’échappe à cette surveillance53.

40Partenariats, collaborations et connivences expliquent les réactions peu vigoureuses de certains pays comme la France alors même que ses trois derniers chefs d’États ont été espionnés. Il se dit que tous les États feraient de même et donc qu’aucun ne pourraient jouer les vierges effarouchées. Il convient donc d’examiner ce qu’il en est, sur la place publique, en Europe.

2. La surveillance généralisée en Europe

41Conformément à son rôle de gardienne des droits fondamentaux, la Cour de justice condamne la surveillance de masse [a], tandis que la France – mais aussi d’autres pays tels l’Allemagne, le Luxembourg, Royaume-Uni et la Suisse où des lois sur le renseignement ont été adoptées ou sont en cours d’examen – a choisi de donner un cadre légal à ses opérations de surveillance [b].

2.1. La condamnation de la surveillance de masse par la Cour européenne de justice

42La directive 2006/24/CE du 15 mars 2006 relative à la conservation des données, adoptée suite aux attentats de Madrid (2004) et de Londres (2005), avait pour but d’harmoniser les mesures nationales obligeant les fournisseurs de télécommunications et de services informatiques à conserver les métadonnées54 – et non le contenu des communications ou des sites internet visités – de leurs clients pour les transmettre sur requête aux services de police ou de renseignement. Le Tribunal constitutionnel fédéral allemand annula en mars 2010 la loi de transposition aux motifs qu’elle ne correspondait ni aux critères de proportionnalité, ni aux règles de limitation de conservation des données, ni à celles de la transparence et qu’elle ne mettait pas en œuvre un contrôle juridictionnel ou des recours juridiques effectifs55. De même, en Roumanie, en Suède et en République tchèque, les textes nationaux de transposition ont été sanctionnés pour inconstitutionnalité56. Pour sa part, la Cour de justice fut saisie de deux questions préjudicielles sur la compatibilité de cette directive avec la CDFUE ; elle trancha en faveur de l’incompatibilité étant donné que ces données, prises dans leur ensemble, [étaient] susceptibles de permettre de tirer des conclusions très précises concernant la vie privée des personnes dont les données ont été conservées57, ce qui constituait une ingérence […] d’une vaste ampleur […] susceptible de générer dans l’esprit des personnes concernées […] le sentiment que leur vie privée fait l’objet d’une surveillance constante58, d’autant plus que la directive couvrait « de manière généralisée toute personne et tous les moyens de communication électronique »59, ne prévoyait « aucun critère objectif permettant de délimiter l’accès des autorités nationales compétentes aux données et leur utilisation ultérieure »60 et que la durée de conservation était fixée sans tenir compte de l’utilité de la conservation par rapport aux objectifs poursuivis61.

43Cette décision de la Cour rappelle à l’Union européenne et à se États membres que, d’une part, les mesures de prévention du terrorisme doivent être strictement nécessaires et proportionnées, et que, d’autre part, les droits fondamentaux sont, par définition, ceux qui méritent la plus grande protection. Néanmoins, la France a légalisé des mesures de surveillance généralisée.

2.2. L’extension de la surveillance en France

44La loi n° 2013-1168 du 18 décembre 2013 relative à la programmation militaire pour les années 2014 à 2019 et portant diverses dispositions concernant la défense et la sécurité nationale a unifié le cadre juridique de l’accès aux données de connexion et de la géolocalisation en temps réel en matière administrative en créant l’article L.246-1 CSI, lequel rend possible le recueil auprès des opérateurs de communications électroniques des informations ou documents traités ou conservés par leurs réseaux ou services de communications électroniques, y compris les données techniques relatives à l’identification des numéros d’abonnement ou de connexion à des services de communications électroniques, au recensement de l’ensemble des numéros d’abonnement ou de connexion d’une personne désignée, à la localisation des équipements terminaux utilisés ainsi qu’aux communications d’un abonné portant sur la liste des numéros appelés et appelants, la durée et la date des communications.

45Les articles L.246-1 à L.246-5 CSI obligent les opérateurs de communication à conserver pendant un an l’ensemble des métadonnées pour répondre aux demandes des services de lutte anti- terroriste ou de renseignement.

46La loi n° 2015-912 du 24 juillet 2015 relative au renseignement énumère à l’article L.811-3 sept motifs d’intérêt public62 pour lesquels peuvent être utilisés des dispositifs techniques de captation, transmission ou enregistrement de données informatiques contenues ou transitant dans un système automatisé de données. Le recours à de telles méthodes de surveillance se fait sous la supervision de la Commission nationale de contrôle des techniques de renseignement (CNCTR) – autorité administrative indépendante – qui rend au Premier Ministre un avis sur l’autorisation de ces méthodes, sauf en cas d’urgence absolue.

47L’article L.851-1 autorise le recueil auprès des opérateurs de communications électroniques et des personnes assurant, même à titre gracieux, l’accès à des services de communication en ligne, à des stockages de signaux, d’écrits, d’image, de sons ou de messages de toute nature des métadonnées d’une personne désignée. L’article L.851-2 précise qu’un tel recueil en temps réel peut être autorisé pour une durée de deux mois renouvelable « pour les seuls besoins de la prévention du terrorisme » et l’article L.851-3 prévoit qu’il peut être imposé aux opérateurs […] la mise en œuvre sur leurs réseaux de traitements automatisés destinés […] à détecter des connexions susceptibles de révéler une menace terroriste, étant précisé que la CNCTR « dispose d’un accès permanent, complet et direct à ces traitements ainsi qu’aux informations et données recueillies ». C’est ce que l’on appelle communément les « boîtes noires » destinées à détecter, grâce à des algorithmes, des communications suspectes et qui risquent d’amener à devoir effectuer le plus souvent des traitements intrusifs de masse, formellement inopérants en pratique et pouvant conduire à des erreurs de classification avec des conséquences potentielles sérieuses63.

48Surtout, il convient de noter que la CNIL a relevé qu’en raison du caractère particulièrement intrusif de cette technique et de son utilisation à l’insu des opérateurs sur leurs propres systèmes, […] les garanties prévues pour préserver les droits et libertés fondamentaux ne sont pas suffisantes pour justifier une telle ingérence dans la vie privée des personnes64.

49L’article L.871-4 dispose que les opérateurs précités sont tenus d’autoriser, à des fins de contrôle, les membres et les agents de la CNCTR à entrer dans leurs locaux où sont mises en œuvre des techniques de recueil de renseignement. L’article L.871-1 impose aux personnes « qui fournissent des prestations de cryptologie » à fournir dans les 72 heures aux services spécialisés « les conventions permettant le déchiffrement ».

50L’article L.853-2 autorise, « lorsque les renseignements ne peuvent être recueillis par un autre moyen légalement autorisé », l’utilisation de dispositifs techniques permettant l’accès « à des données informatiques stockées dans un système informatique, de les enregistrer, de les conserver et de les transmettre » pour une durée maximale de trente jours, ou permettant, pour une durée maximale de deux mois, d’accéder à des données informatiques, de les enregistrer, de les conserver et de les transmettre, telles qu’elles s’affichent sur un écran pour l’utilisateur d’un système de traitement automatisé de données, telles qu’il les y introduit par saisie de caractères ou telles qu’elles sont reçues et émises par des périphérique audiovisuels […].

51Il convient toutefois de préciser que la loi relative au renseignement introduit aussi dans le C.S.I. d’appréciables innovations, dont la garantie de la vie privée et – grâce à un amendement parlementaire – de la protection des données personnelles, ainsi que la référence au principe de proportionnalité à l’article L.811-1, la destruction des extraits ou exploitations des traitements n’étant plus indispensables à l’article L.822-3 et, surtout, le recours, prévu à l’article L.841-1 C.S.I. et détaillé aux articles L.773-1 à L.733-8 du Code de justice administrative, pouvant être exercé par toute personne ayant un intérêt direct et personnel, par la CNCTR ou par toute juridiction à titre préjudiciel devant le Conseil d’État, lequel ne pourra pas se voir opposer le « secret défense », même s’il ne divulguera pas les informations ainsi classifiées.

52Des garanties existent donc, même si elles peuvent sembler insuffisantes et qu’un recours devant la Cour européenne des droits de l’Homme a de grandes chances de prospérer.

53Plus généralement, la tendance lourde des politiques de prévention du terrorisme à privilégier des méthodes intrusives reste préoccupante, même si l’adoption d’un cadre légal plus précis ou les modifications législatives – à l’instar du USA Freedom Act du 2 juin 201565 – renforcent l’État de droit, le danger de glissement vers un état d’exception permanent subsiste. La vigilance s’impose car l’abandon des valeurs libérales est exactement ce qu’espèrent les terroristes.