From 96d74fb744425ef252f4305cc3fc37514eb56600 Mon Sep 17 00:00:00 2001 From: =?UTF-8?q?=C3=89ric=20Bothorel?= Date: Sat, 1 Mar 2025 12:00:00 +0200 Subject: [PATCH] =?UTF-8?q?Amendement=20CL392=20=E2=80=94=20art.=208=20ter?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit Dispositif : Supprimer cet article. Exposé sommaire : L'amendement vise à supprimer l'article 8 ter introduit au Sénat, qui impose aux opérateurs de messageries chiffrées de mettre en œuvre « les mesures techniques nécessaires afin de permettre d'accéder au contenu intelligible » des communications. Une telle disposition méconnaît les risques majeurs qu'elle fait peser sur la sécurité des communications numériques et ignore les récentes évolutions technologiques qui rendent inopérantes les obligations de résultat ainsi imposées. L'exigence d'un affaiblissement des mécanismes de chiffrement va à l'encontre des principes fondamentaux de sécurité informatique et expose l'ensemble des utilisateurs à des menaces accrues. Guillaume Poupard, ancien directeur général de l'ANSSI, rappelait déjà en 2016 que « les moyens de cryptographie et notamment les technologies de chiffrement de l'information sont indispensables à la sécurité des échanges numériques », soulignant que toute obligation visant à imposer un accès garanti aux messages chiffrés aurait « pour effet désastreux d'affaiblir les mécanismes cryptographiques employés ». Cette position, partagée par l'ensemble des experts en cybersécurité, repose sur une réalité technique incontournable : il est impossible de créer une porte dérobée réservée aux autorités sans ouvrir cette même faille à des acteurs malveillants, qu'il s'agisse de cybercriminels ou d'entités étrangères. Au-delà des risques en matière de sécurité, l'exigence posée par l'article 8 ter est techniquement irréalisable. L'évolution récente des protocoles de messagerie, en particulier l'introduction du chiffrement de bout en bout (E2EE, pour End-to-End Encryption) sur le standard RCS par Apple et Google, illustre cette impossibilité. Le standard RCS (Rich Communication Services) a été adopté par Apple et Google afin de moderniser l'échange de messages entre les terminaux Android et iOS. Contrairement au SMS, qui repose sur les infrastructures des opérateurs télécoms, le RCS fonctionne exclusivement via la connexion internet de l'utilisateur. Sa gestion technique relève entièrement de Google, ce qui limite déjà considérablement le contrôle des opérateurs sur ce protocole. Conscients des enjeux de sécurité et de régulation, les opérateurs ont engagé des discussions avec Google pour mettre en place un dispositif d'interception des flux et de conservation des métadonnées des échanges RCS. Toutefois, ces efforts se heurtent à une contrainte majeure : ils ne permettent en aucun cas de contourner un chiffrement de bout en bout (E2EE) si celui-ci est déployé. En effet, avec cette technologie, toutes les opérations de chiffrement et de déchiffrement, ainsi que la gestion des clés de sécurité, sont réalisées directement sur les terminaux des utilisateurs. Contrairement aux solutions classiques, où le chiffrement s'opère entre le terminal et l'infrastructure de l'opérateur, l'E2EE empêche toute interception intermédiaire. Autrement dit, ni Google, ni les opérateurs, ni aucune autorité tierce ne détient les clés permettant d'accéder aux messages échangés via RCS. Or, Apple et Google ont d'ores et déjà annoncé leur intention de déployer cette technologie, ce qui rendra le contenu des messages totalement inaccessible à tout tiers, y compris aux opérateurs et aux fournisseurs de services. Dans ces conditions, l'obligation imposée par l'article 8 ter, ne tenant pas compte des réalités technologiques, s'avère techniquement inapplicable. Elle ferait peser sur les opérateurs une responsabilité qu'ils ne peuvent assumer, sous peine de sanctions sévères, alors même qu'ils n'ont aucun moyen technique d'intervenir sur ces communications. Cette obligation disproportionnée entre alors également en contradiction avec le principe d'irresponsabilité des fournisseurs de services de transport, consacré par la directive européenne 2000/31 du 8 juin 2000 et repris à l'article 4-1 du Digital Services Act (DSA). Elle crée une insécurité juridique majeure pour les opérateurs tout en s'avérant inapplicable en pratique. Il est donc impératif de supprimer cet article, qui ressuscite une fois de plus des propositions déjà rejetées à maintes reprises en raison de leurs implications dangereuses et inopérantes. Sort : Non soutenu | Déposé le 01/03/2025 Source : https://www.assemblee-nationale.fr/dyn/opendata/AMANR5L17PO59051B0907P0D1N000392.xml Co-authored-by: Brigitte Klinkert Co-authored-by: Constance Le Grip Co-authored-by: Stéphane Travert Co-authored-by: Nicole Le Peih Co-authored-by: Olga Givernet Co-authored-by: Ludovic Mendes Co-authored-by: Brigitte Liso Groupe: EPR Angit-Diff: auto --- README.md | 1 + articles/article-08-ter.md | 126 +------------------------------------ 2 files changed, 2 insertions(+), 125 deletions(-) diff --git a/README.md b/README.md index e173220..80c5c33 100644 --- a/README.md +++ b/README.md @@ -33,6 +33,7 @@ git branch --no-merged main - 4 février 2025 — Le Sénat a adopté le texte en première lecture - 5 février 2025 — Dépôt du texte (n° 907) +- 7 mars 2025 — Examen en commission (Commission des lois) ## Exposé des motifs diff --git a/articles/article-08-ter.md b/articles/article-08-ter.md index c159ff3..08e4050 100644 --- a/articles/article-08-ter.md +++ b/articles/article-08-ter.md @@ -1,128 +1,4 @@ # Article 8 ter (nouveau) -I. – Le code de la sécurité intérieure est ainsi modifié : - -1° L'article L. 871‑1 est ainsi modifié : - -a) Le premier alinéa est ainsi modifié : - -– la première phrase est ainsi modifiée : - -i. Le mot : « remettre » est remplacé par le mot : « prendre » ; - -ii. La quatrième occurrence du mot : « de » est remplacée par les mots : « n'excédant pas » ; - -iii. Après les mots : « soixante‑douze heures », sont insérés les mots : « les mesures techniques nécessaires afin de permettre » ; - -iv. Les mots : « dans les conditions prévues à l'article L. 821‑4, sur leur demande, les conventions permettant le déchiffrement des données transformées au moyen des prestations qu'elles ont fournies » sont remplacés par les mots : « d'accéder au contenu intelligible des seuls informations, documents, données ou renseignements dont la collecte a fait l'objet d'une autorisation préalable de mise en œuvre de techniques de recueil de renseignement mentionnées aux articles L. 851‑1 à L. 851‑4, L. 851‑6, L. 852‑1, L. 852‑3 et L. 853‑2 » ; - -– la seconde phrase est supprimée ; - -b) Après le premier alinéa, il est inséré un alinéa ainsi rédigé : - -« Elles ne peuvent exciper d'arguments contractuels ou techniques qui y feraient obstacle. » ; - -2° L'article L. 871‑3 est abrogé ; - -3° L'article L. 871‑4 est ainsi modifié : - -a) Au premier alinéa, les mots : « de communications électroniques mentionnés à l'article L. 34‑1 du code des postes et des communications électroniques ainsi que les personnes mentionnées aux 1 et 2 du I de l'article 6 de la loi n° 2004‑575 du 21 juin 2004 pour la confiance dans l'économie numérique » sont remplacés par les mots : « et personnes mentionnées à l'article L. 851‑1 » ; - -b) À la fin du second alinéa, les mots : « ces opérations » sont remplacés par les mots : « cette mise en œuvre » ; - -4° L'article L. 871‑5 est abrogé ; - -5° L'article L. 871‑6 est ainsi modifié : - -a) Au début, après le mot : « Les », sont insérés les mots : « opérateurs et personnes mentionnés à l'article L. 851‑1 procèdent aux » ; - -b) Les mots : « dans les locaux et installations des services ou organismes placés sous l'autorité ou la tutelle du ministre chargé des communications électroniques ou des exploitants de réseaux ou fournisseurs de services de communications électroniques ne peuvent être effectuées que sur » sont remplacés par le mot : « . Sur » ; - -c) La seconde occurrence du mot : « par » est remplacée par les mots : « , les opérateurs et personnes mentionnés à l'article L. 851‑1 fournissent dans les meilleurs délais les informations, documents, données ou renseignements requis. Si l'ordre le prévoit, son exécution est confiée à » ; - -d) Les mots : « services, organismes, exploitants ou fournisseurs » sont remplacés par les mots : « opérateurs ou personnes » ; - -e) Sont ajoutés les mots : « et dans le respect du secret de la défense nationale » ; - -6° À l'article L. 871‑7, les mots : « à la mise en œuvre des techniques de recueil de renseignement mentionnées aux articles L. 851‑1, L. 851‑2 à L. 851‑4, L. 851‑6, L. 852‑1 et L. 853‑2 » sont remplacés par les mots : « aux obligations prévues à l'article L. 871‑6 » ; - -7° À l'article L. 881‑1, la référence : « , 226‑14 » est supprimée ; - -8° L'article L. 881‑2 est ainsi modifié : - -a) Au premier alinéa, les mots : « au premier alinéa de l'article L. 871‑1 et à l'article L. 871‑4 » sont remplacés par les mots : « aux articles L. 871‑1, L. 871‑2, L. 871‑4 et L. 871‑6 » ; - -b) Le second alinéa est ainsi rédigé : - -« Lorsque ces infractions sont commises à titre habituel, elles sont punies d'une amende de 1 500 000 euros. Pour les personnes morales, cette amende peut être portée à 2 % du chiffre d'affaires mondial moyen annuel hors taxes, calculé sur les trois derniers exercices annuels connus à la date des faits. » - -II. – Le chapitre II du titre Ier du livre II du code des postes et des communications électroniques est ainsi modifié : - -1° L'article L. 33‑1 est ainsi modifié : - -a) Le e du I est ainsi modifié : - -– la première occurrence du mot : « et » est remplacée par le signe : « , » ; - -– après la première occurrence des mots : « la sécurité publique », sont insérés les mots : « et la protection des intérêts fondamentaux de la Nation » ; - -– après la seconde occurrence des mots : « la sécurité publique », sont insérés les mots : « ou de la protection des intérêts fondamentaux de la Nation » ; - -b) Au 1° du VII : - -– après les mots : « Wallis et Futuna », sont insérés les mots : « , dans les Terres australes et antarctiques françaises » ; - -– sont ajoutés les mots : « et de la loi n° du visant à sortir la France du piège du narcotrafic » ; - -2° Est ajoutée une section 10 ainsi rédigée : - -« Section 10 - -« Des prescriptions exigées par l'ordre public, la défense nationale, la sécurité publique ou la protection des intérêts fondamentaux de la Nation - -« Art. L. 34‑18. – I. – Aux fins de respecter les prescriptions mentionnées au e du I de l'article L. 33‑1, les opérateurs et les personnes mentionnées au 2 du I de l'article 6 de la loi n° 2004‑575 du 21 juin 2004 pour la confiance dans l'économie numérique mettent en place ou assurent la mise en œuvre des moyens nécessaires pour exécuter, s'il y a lieu, dans le respect du secret de la défense nationale, les techniques d'enquête numérique judiciaires autorisées en application de la section 3 du chapitre Ier du titre III du livre Ier du code de procédure pénale et des sections 5 et 6 du chapitre II du titre XXV du livre IV du même code ainsi que les techniques de recueil de renseignement et demandes formulées en application du livre VIII du code de la sécurité intérieure. - -« Ils répondent aux réquisitions des agents autorisés et des autorités judiciaires compétentes, sans pouvoir exciper d'arguments contractuels ou techniques qui y feraient obstacle. - -« II. – Ces moyens sont mis en place et mis en œuvre dans les conditions suivantes : - -« 1° Ils sont mis en place et mis en œuvre depuis le territoire national ; - -« 2° Les données produites par les systèmes utilisés sont chiffrées par un moyen validé par l'État lorsque ces données doivent transiter par voie électronique en dehors du territoire national ; - -« 3° Seuls des agents des personnes mentionnées au I spécialement désignés et qualifiés ou des agents désignés par l'autorité administrative peuvent mettre en place et assurer la mise en œuvre de ces moyens et accéder aux données qu'ils traitent. - -« III. – Les garanties de la juste rémunération prévue au e du I de l'article L. 33‑1 sont définies par décret en Conseil d'État. - -« IV. – À titre exceptionnel, le ministre chargé des communications électroniques peut, après avoir recueilli l'avis de l'Autorité de régulation des communications électroniques, des postes et de la distribution de la presse et de l'Agence nationale de la sécurité des systèmes d'information, autoriser un opérateur ou une personne mentionnée au 2 du I de l'article 6 de la loi n° 2004‑575 du 21 juin 2004 pour la confiance dans l'économie numérique à déroger aux obligations prévues au II du présent article lorsque les coûts permettant de satisfaire à ces conditions sont disproportionnés au regard du nombre de demandes adressées à cet opérateur ou à la personne mentionnée au 2 du I de l'article 6 de la loi n° 2004‑575 du 21 juin 2004 précitée. - -« Art. L. 34‑19. – Dans le cadre des attributions qui lui sont conférées par le présent livre, le ministre chargé des communications électroniques veille notamment à ce que les opérateurs prennent les mesures nécessaires pour assurer l'application, s'il y a lieu, dans le respect du secret de la défense nationale, du livre VIII du code de la sécurité intérieure, de la section 3 du chapitre Ier du titre III du livre Ier du code de procédure pénale relatives aux interceptions de correspondances émises par la voie des télécommunications ordonnées par l'autorité judiciaire et des sections 5 et 6 du chapitre II du titre XXV du livre IV du même code. - -« Art. L. 34‑20. – En cas de méconnaissance des dispositions prévues à l'article L. 34‑18, le Premier ministre peut mettre en demeure les personnes morales défaillantes mentionnées au même article 34‑18 de se mettre en conformité avec leurs obligations dans un délai qu'il fixe et qui ne peut être inférieur à quinze jours. - -« En cas de méconnaissance des termes de cette mise en demeure, le Premier ministre peut fixer un nouveau délai en l'assortissant d'une astreinte dont le montant ne peut excéder 50 000 euros par jour de retard. - -« S'il constate que la procédure mentionnée au deuxième alinéa du présent article n'a pas abouti à la mise en conformité exigée, le Premier ministre peut : - -« 1° Lorsque la personne en cause est un opérateur de communications électroniques, prendre une décision à effet immédiat de suspension totale ou partielle du droit d'établir un réseau de communications électroniques ou de fournir un service de communications électroniques sur le territoire national pour une durée d'un mois au plus ; - -« 2° Lorsque la personne en cause est l'une des personnes mentionnées au 2 du I de l'article 6 de la loi n° 2004‑575 du 21 juin 2004 pour la confiance dans l'économie numérique, prendre une décision à effet immédiat de suspension totale ou partielle de son activité sur le territoire national, pour une durée d'un mois au plus. - -« La décision du Premier ministre est prise après que l'opérateur ou la personne mentionnée au 2 du I de l'article 6 de la loi n° 2004‑575 du 21 juin 2004 précitée a été mis en capacité de présenter des observations dans un délai minimal de quinze jours. - -« Le Premier ministre peut renouveler les décisions mentionnées aux 1° et 2° du présent article si, au terme du délai d'un mois, la personne concernée refuse de se mettre en conformité avec les dispositions prévues à l'article L. 34‑18 du présent code. Il peut l'assortir d'une astreinte dont le montant ne peut excéder 50 000 euros par jour de retard. - -« En cas d'urgence, de circonstances exceptionnelles ou d'atteinte imminente à la sécurité nationale, le Premier ministre peut prendre les décisions mentionnées aux 1° et 2° du présent article sans qu'aient été préalablement prononcées les mises en demeure mentionnées aux premier et deuxième alinéas. Les conditions d'application du présent article sont déterminées par décret en Conseil d'État. - -« Art. L. 34‑21. – Les exigences essentielles définies au 12° de l'article L. 32 et le secret des correspondances mentionné à l'article L. 32‑3 ne sont opposables ni aux juridictions compétentes pour ordonner des interceptions en application de l'article 100 du code de procédure pénale, ni au ministre chargé des communications électroniques dans l'exercice des prérogatives qui leur sont dévolues par le livre VIII du code de la sécurité intérieure. - -« Art. L. 34‑22. – La présente section est applicable en Polynésie française, dans les îles Wallis et Futuna, dans les Terres australes et antarctiques françaises et en Nouvelle‑Calédonie. » - -TITRE IV - -Renforcement de la répression pénale du narcotrafic - -Chapitre Ier - -Mesures de droit pénal +(Supprimé) -- 2.49.1