I. - Remarques préliminaires
En application de l'article L. 36-5, alinéa 1er, du code des postes et des communications électroniques, l'Autorité de régulation des communications électroniques et des postes est consultée sur les projets de décrets ou de règlements relatifs au secteur des communications électroniques et participe à leur mise en oeuvre.
En l'espèce, l'Autorité est saisie d'une demande de consultation relative au projet de décret d'application de l'article L. 34-1-1 du code des postes et des communications électroniques qui donne compétence à des agents des services de police et de gendarmerie nationales pour exiger « des opérateurs et personnes mentionnées au I de l'article L. 34-1 », « la communication des données conservées et traitées par ces derniers en application dudit texte ».
Pour rappel, la conservation des données est présentée comme une dérogation au principe affirmé par le I de l'article L. 34-1 du code des postes et des communications électroniques qui dispose que : « Les opérateurs de communications électroniques, et notamment les personnes dont l'activité est d'offrir un accès à des services de communication au public en ligne, effacent ou rendent anonyme toute donnée relative au trafic (...). »
Ce projet de décret s'inscrit dans la continuité des dispositions législatives actuelles relatives à la lutte contre le terrorisme énoncées dans la loi n° 2006-64 du 23 janvier 2006.
Le I de l'article 6 de la loi n° 2006-64 du 23 janvier 2006 (1) insère un article L. 34-1-1 au code des postes et des communications électroniques et prévoit dans son dernier alinéa que : « Les modalités d'application des dispositions du présent article sont fixées par décret en Conseil d'Etat, pris après avis de la Commission nationale de l'informatique et des libertés et de la Commission nationale de contrôle des interceptions de sécurité, qui précise notamment la procédure de suivi des demandes et les conditions et durée de conservation des données transmises. » Ce projet de décret a pour objet de mettre en application ces dispositions.
II. - Sur le contenu du projet de décret
D'une part, l'objet de ce projet de décret est de fixer :
- la délimitation des types de données techniques pouvant faire l'objet d'une demande ;
- les modalités d'application de la compensation financière dont peuvent faire l'objet les opérateurs et les personnes précitées en cas de surcoûts identifiables et spécifiques éventuellement exposés ;
- les modalités procédurales et de motivation de la demande, auprès d'une personne qualifiée, par les agents habilités des services de police et de gendarmerie nationale spécialement chargés de mission de prévention des actes de terrorisme ;
- la mise en oeuvre de contrôles relatifs aux opérations de communications de données techniques.
D'autre part, ce décret doit préciser notamment la procédure de suivi des demandes et les conditions et la durée de conservation des données transmises.
III. - Analyse de l'Autorité
- Sur les personnes susceptibles d'être soumises
à l'obligation de communication de données
Le projet de décret a vocation à permettre aux agents des services de police et de gendarmerie nationale d'exiger auprès de certaines catégories de personnes la communication de données conservées et traitées par ces derniers.
L'article 1er du projet de décret énonce en effet que les agents précités « (...) peuvent exiger des opérateurs de communications électroniques et personnes mentionnées au I de l'article L. 34-1 du code des postes et des communications électroniques et des fournisseurs d'accès et prestataires mentionnés à l'article 6 de la loi du 21 juin 2004 susvisée la communication de données (...) ».
L'Autorité prend acte de l'obligation qui incombera désormais à ces catégories de personnes mais entend cependant s'assurer des destinataires de ces mesures.
A la lecture de ce projet, sont ainsi susceptibles d'être sollicités :
a) Les opérateurs de communications électroniques : L'Autorité souhaite rappeler que l'article 2 de la directive 2002/19/CE « Accès » du 7 mars 2002 définit l'opérateur de communications électroniques comme « une entreprise qui fournit ou est autorisée à fournir un réseau de communications public ou une ressource associée ». Cette disposition communautaire a ainsi été transposée par le 15° de l'article L. 32 du CPCE, qui définit l'opérateur comme « toute personne physique ou morale exploitant un réseau de communications électroniques ouvert au public ou fournissant au public un service de communications électroniques ».
b) Les personnes mentionnées au I de l'article L. 34-1 du code des postes et des communications électroniques : « Les personnes qui, au titre d'une activité professionnelle principale ou accessoire, offrent au public une connexion permettant une communication en ligne par l'intermédiaire d'un accès au réseau, y compris à titre gratuit, sont soumises au respect des dispositions applicables aux opérateurs de communications électroniques en vertu du présent article. »
c) Des fournisseurs d'accès et prestataires mentionnés à l'article 6 de la loi du 21 juin 2004, qui se définissent comme :
-
« Les personnes dont l'activité est d'offrir un accès à des services de communication au public en ligne (...) » ;
-
« Les personnes physiques ou morales qui assurent, même à titre gratuit, pour mise à disposition du public par des services de communication au public en ligne, le stockage de signaux, d'écrits, d'images, de sons ou de messages de toute nature fournis par des destinataires de ces services (...) ».
L'Autorité n'a pas de remarque à formuler sur les catégories retenues pour l'application des dispositions règlementaires. Elle note cependant la grande étendue du champ d'application de ces dispositions. -
Sur le contenu du projet de décret
relatif aux éléments « fixés » par décret
La délimitation des données pouvant faire l'objet d'une demande :
L'Autorité souligne les deux types de données pouvant faire l'objet de demande en application de l'alinéa 2 du projet de décret :
« - les données énumérées à l'article L. 34-1-1 du code précité [code des postes et des communications électroniques] et conservées par les opérateurs de communications électroniques en application de l'article L. 34-1 du même code ;
- les données d'identification mentionnées au II de l'article 6 de la loi n° 2004-575 du 21 juin 2004 susvisée et conservées par les personnes mentionnées aux 1 et 2 du I de ce même article. »
Les premières sont délimitées dans l'alinéa 2 de l'article L. 34-1-1 du code des postes et des communications électroniques comme les « (...) données techniques relatives à l'identification des numéros d'abonnement ou de connexion à des services de communications électroniques, au recensement de l'ensemble des numéros d'abonnement ou de connexion d'une personne désignée, aux données relatives à la localisation des équipements terminaux utilisés ainsi qu'aux données techniques relatives aux communications d'un abonné portant sur la liste des numéros appelés et appelants, la durée et la date des communications ».
Les secondes sont définies par la loi du 21 juin 2004 précitée comme les « données de nature à permettre l'identification de quiconque à contribuer à la création du contenu ou de l'un des contenus des services dont elles sont les prestataires ».
L'Autorité observe que le projet de décret se borne sur ce point à renvoyer aux dispositions législatives sans détailler davantage les informations contenues déjà dans la loi. Notamment, il aurait été utile pour la personne interrogée d'identifier, d'un point de vue technique, les données sollicitées.
Autres remarques :
Le renvoi par l'article 8 du projet de décret à l'article R. 213-1 du code de procédure pénale pour la fixation de la compensation des surcoûts identifiables et spécifiques éventuellement exposés par les opérateurs et personnes mentionnées n'appelle pas de commentaire de l'Autorité.
Il en est de même concernant les modalités procédurales et de motivation de la demande, auprès d'une personne qualifiée, par les agents habilités des services de police et de gendarmerie nationale spécialement chargés de mission de prévention des actes de terrorisme.
- Sur la procédure de suivi des demandes
et les conditions et la durée de conservation des données transmises
Les articles 4 et 6 du projet de décret prévoient que des modalités sécurisées, « (...) définies par voie de convention ou, à défaut, d'arrêté », permettent d'assurer le suivi :
- des demandes approuvées transmises aux opérateurs ou aux fournisseurs d'accès et prestataires (art. 4) ;
- des données transmises par les opérateurs ou les fournisseurs d'accès et prestataires (art. 6).
L'Autorité s'interroge quant à la possibilité d'une harmonisation de ces modalités si la mise en oeuvre se fait uniquement par conventions. Elle estime que la définition préalable par arrêté de ces modalités permettrait plus de transparence avant d'être mises en oeuvre par convention.
Sous réserve des remarques énoncées ci-dessus, l'Autorité émet un avis favorable sur le projet de décret.
Le présent avis sera transmis au ministre délégué à l'industrie et publié au Journal officiel de la République française.
Fait à Paris, le 7 septembre 2006.
1 version