Tout est arrangé, tout est pardonné ? À voir. Les députés ont voté, dans la nuit de mercredi à jeudi 16 avril, le très controversé article 2 du projet de loi sur le renseignement qui avait été amendé et réécrit in extremis par le gouvernement pour calmer la grogne des professionnels français du Net.

Ces derniers jugeaient que, dans sa version originale, la mesure permettait au gouvernement d’installer chez les hébergeurs (comme Facebook ou Google) et opérateurs télécom des "boîtes noires" les transformant ainsi en complices involontaires d’un nouveau système de surveillance de masse des communications sur le Net.

Un amendement "cache-sexe" ?

Les principaux hébergeurs français (OVH, Gandhi) avaient menacé de s’exiler et lancé une pétition "Ni pigeons, ni espions" pour s’opposer à ce texte. Ils ont été entendus par le ministre de l’Intérieur Bernard Cazeneuve, qui a fait réécrire l’article 2. Tout est donc bien, qui finit bien dans le meilleur des mondes orwellien ?

Pas tout à fait. "L’amendement n’est qu’un cache-sexe et ne change les choses que de manière cosmétique", résume Jean-François Beuze, spécialiste de cybersécurité et président de la société Sifaris. Le texte initial prévoyait la possibilité d’installer le fameux "dispositif d'analyse automatique des données" que les opposants qualifient de "boîte noire". L’amendement… le fait aussi.

Ce dispositif décrié est un algorithme qui fait automatiquement le tri entre les communications anodines et les conversations suspectes pouvant révéler des activités liées au terrorisme. Dans ce dernier cas, les données sont transférées à un organisme public chargé de les analyser plus en profondeur. Problème : cet algorithme est aussi opaque que mystérieux et les opérateurs n’ont aucun moyen de savoir comment il fait le tri.

Le ministre de l’Intérieur a beau citer des comportements suspects comme mettre en ligne des vidéos de décapitation ou prendre des mesures pour masquer son identité sur le Web, les hébergeurs ou opérateurs ne peuvent pas s’assurer que d’autres ingrédients, comme des mots-clefs, ne seront pas ajoutés à la sauce mystère de l’algorithme.

Changer la boîte noire de place

Le seul changement, à ce niveau, est que les opérateurs auront un rôle plus actif. Le nouveau texte explique qu’ils "auront la possibilité de s’assurer que les données de contenu seront exclues de la mise en œuvre du traitement des données".

Mais cette précision soulève deux problèmes. D’abord, "la notion de données de contenu doit être définie, car là c’est encore flou", juge Jean-François Beuze. Et puis, le texte n’explique pas comment ils pourront intervenir sur le contenu. "L’amendement fait référence à l’article 861-3 du code de sécurité intérieure qui permet simplement aux opérateurs et hébergeurs de placer matériellement eux-mêmes le système de surveillance dans leurs locaux", précise Diane Mullenex, avocate associée au cabinet Pinsent Masons. En clair, ils peuvent choisir de le mettre à côté de la fenêtre ou sur la table mais "ce texte ne leur donne pas les moyens juridiques de s’assurer que les données de contenu seront exclues", conclut l’avocate.

Précieux garde-fou

Cette experte juge cependant que l’amendement introduit un précieux garde-fou en excluant le recours à la procédure d’urgence. "Auparavant, l’installation de la boîte noire pouvait être ordonnée en urgence sans autorisation ou contrôle préalable", rappelle Diane Mullenex. Au moins, le nouveau texte devrait garantir que les autorités ne procèdent pas à la pose de ce matériel pour autre chose que du terrorisme. Il devrait, en effet, y avoir un organisme indépendant qui contrôle la mise en place de la surveillance.

L’amendement ajoute, enfin, l’obligation pour le gouvernement de déployer des moyens de surveillance de manière proportionnelle au but recherché. "Le respect de proportionnalité est un principe général du droit qui est censé s’appliquer de toute façon", rappelle le site Numerama. Un principe qui généralement est protégé par un juge, sauf qu’ici, il n’a pas son mot à dire et tout dépend de l’exécutif.