Allez au contenu, Allez à la navigation



 

Retour Sommaire Suite

TITRE III
DE LA SÉCURITÉ DANS L'ÉCONOMIE NUMÉRIQUE

Le titre III du présent projet de loi définit un nouveau régime juridique tendant à assurer la sécurité des opérations effectuées dans le cadre de l'économie numérique. A cette fin, il redéfinit le régime juridique applicable à la cryptologie et renforce les dispositifs visant à lutter contre la cybercriminalité.

CHAPITRE I
MOYENS ET PRESTATIONS DE CRYPTOLOGIE

Ce chapitre procède à une libéralisation du régime juridique actuellement applicable aux moyens et prestations de cryptologie. Les articles 17 et suivants du présent projet de loi ont, dans ce contexte, vocation à se substituer aux dispositions de l'article 28 de la loi n° 90-1170 du 29 décembre 1990 sur la réglementation des télécommunications.

SECTION 1
Utilisation, fourniture, transfert, importation
et exportation de moyens de cryptologie
Article 17
Définition des moyens et prestations de cryptologie

Une définition légale des moyens et prestations de cryptologie s'avère indispensable, dans la mesure où un régime juridique spécifique, défini par le présent projet de loi, leur est applicable.

La définition technique de la cryptologie est actuellement donnée au I de l'article 28 de la loi n° 90-1170 du 29 décembre 1990 sur la réglementation des télécommunications.

Pour l'essentiel, la définition actuellement donnée des moyens et prestations de cryptologie n'est pas bouleversée par l'article 17 du présent projet de loi. Ce dernier définit néanmoins plus largement les moyens et prestations de cryptologie que ne le faisait l'ancienne définition afin de prendre en compte de nouveaux moyens de cryptologie apparus depuis la promulgation de la loi précitée du 29 décembre 1990.

Les moyens de cryptologie

Deux critères cumulatifs sont utilisés afin de définir les moyens de cryptologie.

Le premier est de nature technique. Est un moyen de cryptologie le procédé qui permet de transformer des données à l'aide de conventions secrètes et d'effectuer l'opération inverse, avec ou sans convention secrète.

Le second critère utilisé est de nature finaliste. Un procédé de cryptologie vise nécessairement à assurer la sécurité du stockage ou de la transmission de données en permettant d'assurer leur confidentialité, leur authentification ou le contrôle de leur intégrité.

Les moyens qui, de manière accessoire, auraient également d'autres fonctions que celles évoquées seraient également considérés comme des moyens de cryptologie au sens du présent article.

En pratique, la définition désormais retenue permet d'inclure les moyens de cryptologie utilisant des systèmes de cryptographie asymétrique, ce qui pouvait prêter à discussion sous l'empire de l'actuelle définition.

En effet, il existe plusieurs méthodes de chiffrement des données qui se fondent sur l'existence d'une ou plusieurs clés, c'est-à-dire, un ou plusieurs codes de chiffrement. On distingue, dans ce cadre, les procédés de cryptographie symétrique des procédés de cryptographie asymétrique.

Les premiers supposent l'utilisation d'une clé unique, dite clé « privée » : le même code sert indistinctement à chiffrer dans un sens et à déchiffrer, dans l'autre, les données en cause. Les seconds utilisent deux clés : une clé « privée » destinée au chiffrement des données, et une clé « publique », servant à leur déchiffrement.

La définition prévue par le présent projet de loi permet également d'inclure les procédés de cryptanalyse. Cette dernière consiste à casser des fonctions cryptographiques afin de démontrer leur insécurité.

Les prestations de cryptologie

Les prestations de cryptologie sont, quant à elles, définies par le texte comme les opérations visant à la mise en oeuvre, pour le compte d'autrui, des moyens de cryptologie susmentionnés.

Votre commission des Lois a émis un avis favorable à l'adoption de l'article 17 sans modification.

SECTION 2
Fourniture de prestations de cryptologie
Article 18
Régime juridique applicable aux moyens de cryptologie

L'article 18 du présent projet de loi modifie en profondeur le régime juridique applicable aux moyens de cryptologie. Il fait passer le droit français d'un système d'encadrement particulièrement strict de la cryptologie à un régime de liberté encadrée.

Ce faisant, le droit français s'aligne sur les dispositions retenues, depuis plusieurs années, par la majeure partie des Etats, qui ont libéralisé le régime juridique applicable aux opérations de cryptologie.

Toutefois, la libéralisation de la cryptologie opérée par le présent projet de loi n'est pas totale. Il convient de distinguer, d'une part, l'utilisation des moyens de cryptologie, entièrement libre et, d'autre part, la fourniture, le transfert, l'importation et l'exportation des moyens de cryptologie, qui font l'objet d'un encadrement plus ou moins strict des pouvoirs publics.

1. La liberté totale de l'utilisation des moyens de cryptologie

Le I de l'article 17 du présent projet de loi met en place un régime de liberté totale pour l'utilisation de moyens de cryptologie, quels qu'en soient la forme et l'objet.

Sur ce point, la présente disposition témoigne d'une avancée réelle de la législation française.

En effet, sous l'empire de l'article 28 de la loi n° 90-1170 du 29 décembre 1990 sur la réglementation des télécommunications, le principe est que l'utilisation des moyens de cryptologie est soumise à un régime d'autorisation préalable accordée par le Premier ministre. Toutefois, dans des cas limitativement énumérés, l'utilisation des moyens de cryptologie est libre. Il s'agit des hypothèses dans lesquelles le moyen de cryptologie en cause ne permet pas d'assurer des fonctions de confidentialité ou lorsqu'il assure des fonctions de confidentialité en n'utilisant que des conventions secrètes gérées selon des procédures et par des organismes agréés par le Premier ministre.

Plus aucune distinction ne serait donc faite désormais selon la nature du moyen de cryptologie utilisé.

2. La liberté partielle de la fourniture, du transfert, de l'importation et de l'exportation des moyens de cryptologie

L'article 18 distingue selon que le moyen de cryptologie en cause a ou non pour fin unique l'authentification ou le contrôle d'intégrité des données.

- Lorsque la fonction cryptologique vise uniquement à authentifier ou à contrôler l'intégrité d'une donnée, un régime de liberté s'appliquerait.

Ce régime de liberté, prévu au II du présent article, s'appliquerait à la fourniture, au transfert depuis ou vers un Etat membre de la Communauté européenne, à l'importation ainsi qu'à l'exportation des moyens de cryptologie ayant cette fonction exclusive.

Le vocabulaire utilisé par la loi du 29 décembre 1990 précitée est donc conservé, malgré les critiques qu'il peut susciter.

La notion de fourniture apparaît en effet, à première vue, particulièrement vague. Toutefois, elle a été explicitée par une réponse ministérielle. La fourniture de moyen de cryptologie doit s'entendre au sens premier du terme, c'est-à-dire comme l'approvisionnement « pendant un certain temps de manière ponctuelle, périodique ou continue, en moyens ou en services » d'une autre personne35(*).

De même, la notion d'« exportation » de moyens de cryptologie apparaît relativement inadéquate, dans la mesure où ces moyens ne sauraient faire l'objet, au sens juridique, d'une exportation. Cependant, le sens de ce terme doit être entendu comme faisant référence à toute « mise à disposition » de ces moyens vers un Etat tiers à la Communauté européenne.

- Lorsque la fonction cryptologique ne vise pas exclusivement à authentifier ou à contrôler l'intégrité d'une donnée, un régime de déclaration ou d'autorisation préalable est institué.

Aux termes du III du présent article, un régime de déclaration préalable auprès du Premier ministre est institué pour la fourniture, le transfert depuis un Etat membre de la Communauté européenne ou l'importation de ce type de moyen de cryptologie.

L'application de ce régime suppose toutefois que le fournisseur ou l'importateur tienne à la disposition du Premier ministre une description des caractéristiques techniques de ce moyen de cryptologie, ainsi que le code source des logiciels utilisés.

Cette dernière exigence résulte d'un amendement opportunément adopté en première lecture, le Gouvernement s'en étant remis à la sagesse de l'Assemblée nationale. La possibilité pour l'administration de connaître le code source des logiciels de cryptologie utilisés a, en effet, été jugée indispensable par les députés. Le code source d'un logiciel est constitué des lignes écrites en langages de programmation par les informaticiens. Il est l'élément essentiel d'un logiciel puisqu'il en détermine, en réalité, les caractéristiques.

En tout état de cause, l'article 18 du présent projet de loi renvoie à un décret en Conseil d'Etat la définition des conditions de déclaration, la nature des caractéristiques qui doivent être tenues à disposition du Premier ministre, ainsi que les conditions et délais dans lesquels ces caractéristiques pourront être demandées.

Ce type de dispositif est semblable à celui, actuellement applicable, mis en place par l'article 28 de la loi précitée du 29 décembre 1990. Sur cette base, le décret n° 98-101 du 24 février 1998, précité, a défini les conditions dans lesquelles sont souscrites les déclarations et accordées les autorisations concernant les moyens et prestations de cryptologie.

En outre, le présent article prévoit qu'un décret en Conseil d'Etat fixera les catégories de moyens de cryptologie pour lesquels la fourniture, le transfert depuis un Etat membre ou l'importation peuvent être dispensés de formalité préalable, compte tenu de leurs caractéristiques techniques et de leurs conditions d'utilisation. En effet, certains moyens de cryptologie peuvent ne susciter aucun danger pour la préservation des intérêts de la défense nationale et de la sécurité intérieure ou extérieure de l'Etat. Dans ces hypothèses, le recours à un régime de déclaration préalable ne se justifie donc pas.

Il convient de noter que ce dispositif reprend partiellement celui institué par le c) du 3° du I de l'article 28 de la loi précitée du 29 novembre 1990. Sur la base de cette disposition, des dispenses de formalités préalables ont ainsi d'ores et déjà été accordées, à titre d'exemple, aux « cartes à microprocesseur personnalisées ou leurs composants spécialement conçus, incapables de chiffrer le trafic de messages ou les données fournies par l'utilisateur ou leur prestation de gestion de clef associée. »36(*)

Le IV de l'article 17 du présent projet de loi prévoit, quant à lui, un régime d'autorisation préalable, délivrée par le Premier ministre, pour le transfert vers un Etat membre de la Communauté européenne et l'exportation des moyens de cryptologie ne visant pas exclusivement à authentifier ou à contrôler l'intégrité d'une donnée.

La « sortie » du territoire national de moyens de cryptologie peut soulever des risques plus grands pour la sécurité de l'Etat et la préservation de l'intérêt de la défense nationale. On peut craindre, en effet, que cette situation ne conduise à une dissémination de matériels considérés comme stratégiques pour la défense ou la sécurité intérieure ou extérieure de l'Etat.

Ces considérations expliquent le maintien d'un régime d'autorisation préalable, par nature plus lourd que le simple régime de la déclaration.

Le présent article renvoie à un décret en Conseil d'Etat la fixation des délais dans lesquels le Premier ministre statue sur les demandes d'autorisation qui lui sont transmises.

Cette mention implique que le défaut de réponse dans le délai qui sera fixé par décret en Conseil d'Etat équivaudra à une décision implicite de rejet de la demande d'autorisation de transfert ou d'exportation de moyens de cryptologie. En effet, par application de l'article 21 de la loi n° 2000-321 du 12 avril 2000 sur les droits des citoyens dans leurs relations avec les administrations, le silence gardé par l'administration pendant un délai déterminé vaut, en principe, décision implicite de rejet.

De même que pour le III du présent article, un décret en Conseil d'Etat prévoira les hypothèses dans lesquelles le transfert et l'exportation de moyens de cryptologie pourront, pour les motifs susmentionnés, être dispensés d'autorisation préalable.

Votre commission vous soumet un amendement visant à améliorer la qualité rédactionnelle du II de cet article.

Elle a émis un avis favorable à l'adoption de l'article 18 ainsi modifié.

Article 19
Régime juridique applicable à la fourniture
de prestations de cryptologie

Cet article définit le régime juridique applicable à la fourniture de prestations de cryptologie. Il témoigne, une nouvelle fois, de la volonté du Gouvernement d'alléger le régime d'encadrement institué par l'article 28 de la loi précitée du 29 décembre 1990.

Il est légitime que les pouvoirs publics puissent, en ayant le souci d'assurer la sécurité de l'Etat, connaître l'existence des opérations visant à mettre en oeuvre, pour le compte d'autrui, des moyens de cryptologie qui interviennent sur le territoire national. Toutefois, afin de ne pas freiner le développement du commerce électronique, il est souhaitable d'assouplir le régime juridique en vigueur.

Dans cette perspective, le I du présent article prévoit que l'ensemble des fournitures de prestations de cryptologie seraient désormais soumis à un régime de déclaration préalable auprès du Premier ministre.

Contrairement à la situation définie par la loi du 29 novembre 1990, le présent article n'opère aucune distinction entre les prestations de cryptologie, selon qu'elles assurent ou non des fonctions de confidentialité. Le régime actuel prévoit que les prestations qui assurent des fonctions de confidentialité sont soumises à autorisation préalable du Premier ministre - sauf si elles sont assurées au moyens de conventions secrètes gérées par des « tiers de confiance » agréés par les pouvoirs publics - tandis que les autres prestations sont soumises à un simple régime de déclaration préalable.

Le nouveau régime légal sera précisé par un décret qui pourra prévoir des hypothèses de dispense totale de formalité préalable auprès des pouvoirs publics. En effet, et pour les mêmes raisons que précédemment exposées, la nature et les caractéristiques de certaines prestations sont telles qu'elles ne sauraient constituer des dangers pour la défense nationale ou la sécurité intérieure ou extérieure de l'Etat. Sur ce point, le présent projet de loi reprend donc le dispositif prévu au c) du 3° du I de l'article 28 de la loi du 29 décembre 1990.

Votre commission des Lois vous soumet cependant un amendement tendant à prévoir que les précisions en cause seront apportées par un décret en Conseil d'Etat et non par décret simple, par souci d'harmonisation avec les autres dispositions du projet de loi qui prévoient le recours à de tels instruments.

Le II de l'article 18 du présent projet de loi apporte une précision. Il prévoit que les personnes qui fournissent des prestations de cryptologie sont soumises au secret professionnel, dans les conditions définies par les articles 226-13 et 226-14 du code pénal.

Les fournisseurs de prestations de cryptologie sont soumis au secret professionnel à l'égard des informations dont ils auraient eu connaissance dans le cadre de leurs fonctions. Ils encourraient, en conséquence, les sanctions prévues à l'article 226-13 du code pénal qui punit d'un an de prison et de 15.000 euros d'amende la révélation de faits couverts par le secret professionnel.

Ce secret ne leur serait toutefois pas opposable lorsqu'il est fait application des dispositions de l'article 226-14 du code pénal. Cette dernière disposition énonce en effet que la révélation du secret peut intervenir « dans les cas où la loi impose ou autorise la révélation du secret ». Plus particulièrement, l'incrimination prévue à l'article 226-13 du code pénal n'est pas applicable à la personne qui informe les autorités judiciaires, médicales ou administratives de privations ou sévices dont elle a eu connaissance et qui ont été infligées à un mineur de quinze ans ou à une personne qui n'est pas en mesure de se protéger compte tenu de son âge ou de son état physique ou psychique.

Votre commission des Lois a émis un avis favorable à l'adoption de l'article 19 ainsi modifié.

Article 20
Responsabilité civile des fournisseurs
de prestations de cryptologie

Cet article institue un régime de présomption de responsabilité à l'égard des fournisseurs de prestations de cryptologie.

La raison première de l'utilisation de moyens de cryptologie découle de considérations liées à la protection de certaines données ou informations. Les prestataires de cryptologie doivent pouvoir être reconnus responsables des dommages qui surviennent, lors de l'exécution de leurs prestations, aux personnes qui leur confient le soin d'assurer la confidentialité de certaines données.

Lors de litiges mettant en cause la responsabilité civile de ces prestataires, le présent article renverse la charge de la preuve en établissant un régime de présomption de responsabilité des fournisseurs de prestations de cryptologie. Le champ d'application de ce régime est cependant limité.

Il ne vise, en premier lieu, que les prestations de cryptologie à des fins de confidentialité. En effet, un régime spécifique de responsabilité est prévu à l'article 21 du présent projet de loi pour les personnes qui fournissent des prestations de cryptologie ayant seulement une fonction d'authentification ou de contrôle de l'intégrité de données.

La présomption de responsabilité ne jouerait, en second lieu, qu'à l'égard des personnes ayant confié aux fournisseurs de prestations concernés la gestion de leurs conventions secrètes, lorsqu'un préjudice résulte d'une atteinte à l'intégrité, à la confidentialité ou à la disponibilité des données transformées à l'aide desdites conventions.

A la suite d'un amendement présenté par le rapporteur de sa commission des Affaires économiques, l'Assemblée nationale a, en première lecture, précisé que les fournisseurs ne sauraient être responsables que dans le cadre des prestations qu'ils ont effectuées auprès des victimes de dommages. Cette précision était utile, dans la mesure où elle devrait ainsi éviter que ne soient intentées, sur la base de cette disposition, des actions en responsabilité qui n'auraient aucun lien avec les prestations fournies.

Le présent article permet toutefois aux personnes en cause de s'exonérer de leur responsabilité civile. La présomption ainsi instituée n'a pas un caractère irréfragable. Les fournisseurs de prestations de cryptologie peuvent donc prouver qu'ils n'ont commis aucune faute de nature intentionnelle ou aucune négligence dans l'exécution de leurs prestations. Toutefois, seule cette cause d'exonération est admise, la présente disposition énonçant qu'aucune clause contractuelle contraire ne peut remettre en cause la mise en oeuvre de cette responsabilité.

Si le dispositif retenu ne peut qu'emporter l'adhésion, on peut, en revanche, se montrer plus circonspect sur un autre ajout au présent article, résultant de la première lecture à l'Assemblée nationale. Avec l'avis favorable du Gouvernement, le rapporteur de la commission des Affaires économiques de l'Assemblée a en effet tenu à préciser qu'en cas de litige opposant le fournisseur de prestations de cryptologie à la personne lui ayant confié des conventions secrètes, cette dernière « doit établir la matérialité des éléments de faits précis et concordants fondant son action ».

Une telle précision apparaît inutile, dans la mesure où, lorsque le litige sera porté devant le juge, il importera nécessairement que les plaignants apportent les éléments de faits et de droit pertinents pour qu'ils obtiennent satisfaction.

Votre commission des Lois vous soumet, en conséquence, un amendement tendant à supprimer le second alinéa de cet article.

Votre commission des Lois a émis un avis favorable à l'adoption de l'article 20 ainsi modifié.

Article 21
Responsabilité civile des tiers certificateurs

Cet article institue une présomption de responsabilité des prestataires de certification électronique. Il vise à transposer l'article 6 de la directive 1999/93/CE du 13 décembre 1999 définissant un cadre communautaire pour les signatures électroniques.

Cette directive a été partiellement transposée par la loi n° 2000-230 du 13 mars 2000 portant adaptation du droit de la preuve aux technologies de l'information et relative à la signature électronique qui a consacré la valeur probatoire des actes sur support électronique et reconnu la valeur juridique des procédés de signature électronique.

Ainsi, l'article 1316-3 du code civil prévoit désormais que la fiabilité d'un procédé de signature électronique est « présumée, jusqu'à preuve du contraire, lorsque la signature électronique est créée, l'identité du signataire assurée et l'intégrité de l'acte garantie, dans des conditions fixées par un décret en Conseil d'Etat. »

Précisant cette disposition, l'article 2 du décret n° 2001-272 du 30 mars 2001 pris pour l'application de l'article 1316-4 du code civil et relatif à la signature électronique dispose que la fiabilité d'un procédé de signature électronique est présumée jusqu'à preuve contraire, « lorsque ce procédé met en oeuvre une signature électronique sécurisée de création de signature et que la vérification de cette signature repose sur l'utilisation d'un certificat électronique qualifié ».

De façon plus pratique, lors de la signature électronique interviennent deux clés de chiffrement : une clé privée, par laquelle une personne chiffre certaines données, ainsi qu'une clé publique qui, créée par l'auteur du document et communiquée à un tiers, va permettre à ce dernier de déchiffrer ces données. La clé publique fait alors l'objet d'une certification qui permet de vérifier que les données ont bien été chiffrées grâce à la clé privée. Cette certification est opérée par un prestataire technique qualifié par le présent article de « prestataire de services de certification ».

Ces prestataires sont bien évidemment responsables des dommages résultant de leur faute ou de leur négligence dans le cadre des prestations de certification électronique qu'ils offrent à leurs clients. Mais le présent article va plus loin en instituant, dans des hypothèses spécifiques, une véritable présomption de responsabilité.

1. Le champ limité de la présomption de responsabilité

Le présent article vise à instituer un régime de présomption de responsabilité qui dispose d'un champ d'application réduit.

D'une part, ce régime ne s'appliquerait qu'en présence de certificats dits « qualifiés » ou, tout au moins, présentés comme tels par le fournisseur.

Aux termes de l'article 2 de la directive 1999/93/CE précitée, est considéré comme qualifié, le certificat qui satisfait à des exigences particulières et qui est fourni par un prestataire de services de certification satisfaisant lui-même à certaines exigences spécifiques.

Ces exigences sont aujourd'hui définies, conformément aux annexes de la directive, par l'article 6 du décret n° 2001-272 du 30 mars 2001 pris pour l'application de l'article 1316-4 du code civil et relatif à la signature électronique. Deux séries de conditions sont exigées, tenant tant aux caractéristiques du certificat électronique lui-même qu'au prestataire qui le délivre.

D'autre part, ce régime ne serait applicable qu'au profit des personnes qui se sont « fiées raisonnablement » à ces certificats. L'expression retenue n'est pas conforme à notre tradition juridique et s'inspire davantage de la tradition anglo-saxonne ; elle est cependant l'exacte reprise des termes de l'article 6 de la directive du 13 décembre 1999.

Enfin, seuls certains faits générateurs du préjudice seraient couverts par ce régime de responsabilité présumée. A ce titre, le présent article définit quatre hypothèses limitatives :

1°) lorsque les informations contenues dans le certificat, à la date de sa délivrance, étaient inexactes. Cette hypothèse d'engagement de responsabilité est prévue par le a) du point 1 de l'article 6 de la directive. Elle est tout à fait justifiée, dans la mesure où l'exactitude des mentions contenues dans un certificat est la raison d'être de ce procédé.

2°) lorsque les données prescrites pour que le certificat puisse être regardé comme qualifié étaient incomplètes. Il s'agit ici de sanctionner le prestataire qui aurait présenté le certificat délivré par l'utilisateur comme qualifié, alors même qu'il ne remplissait pas les conditions techniques énumérées par l'article 6 du décret n° 2001-272 du 30 mars 2001.

3°) lorsque le prestataire d'un service de certification électronique n'a pas vérifié que le signataire détenait bien, lorsque le certificat lui a été délivré, des données de création de signature qui correspondaient à celles, fournies ou identifiées dans le certificat, permettant de vérifier cette signature. Cette hypothèse vise à sanctionner le prestataire qui n'aurait pas vérifié que le détenteur d'une clé publique détenait bien la clé privée de chiffrement de données. Elle reprend le b) du 1 de l'article 6 de la directive précitée.

4°) lorsque le prestataire n'a pas assuré la complémentarité des données afférentes à la création de signature (clé privée) et de celles relatives à la vérification de cette signature (clé publique). Cette hypothèse découle du c) du 1 de l'article 6 de la directive.

5°) lorsque le prestataire n'a pas enregistré la révocation du certificat et n'a pas tenu informé les tiers de ce fait. Les certificats peuvent en effet être révoqués, de sorte que le document attestant du lien entre des données de vérification de signature et un signataire est, par suite, dépourvu de valeur. Il appartient au prestataire de prendre en compte cette révocation et d'en informer les tiers. Cette disposition reproduit le 2 de l'article 6 de la directive.

Nonobstant le fait que ces conditions de mise en jeu de la présomption de responsabilité sont satisfaites, le présent article prévoit, conformément aux points 3 et 4 de l'article 6 de la directive 1999/31/CE, une éventuelle exclusion de responsabilité.

Contractuellement, les prestataires et utilisateurs peuvent fixer des limites à l'utilisation des certificats fournis ainsi qu'à la valeur des transactions pour lesquelles ils peuvent être utilisés. Toutefois, cette faculté est encadrée, puisque le présent projet de loi exige qu'en pareille circonstance ces limites devront avoir été « clairement portées à la connaissance des utilisateurs dans le certificat ».

Il faut en déduire que le défaut d'information des utilisateurs de certificats sur ce point rendra impossible l'exclusion contractuelle de la responsabilité du fournisseur de prestations de certification. Il reviendra en tout état de cause à la jurisprudence de déterminer, au cas par cas, si le prestataire a bien « clairement » fait connaître à son cocontractant ces limitations de responsabilité.

Dans ces conditions, l'utilisateur ne pourra bénéficier du régime de responsabilité défini par le présent article s'il a, de manière abusive, utilisé le certificat au-delà des limites fixées par le prestataire.

En outre, la présomption en cause n'aurait pas un caractère irréfragable. Pour échapper à la mise en cause de sa responsabilité, le prestataire pourra toujours apporter la preuve qu'il n'a commis aucune faute ou aucune négligence en fournissant ses services.

2. La solvabilité financière des prestataires de certification électronique

Le dernier alinéa de l'article 21 du présent projet de loi impose aux prestataires de services de certification électronique de justifier d'une garantie financière ou d'une assurance couvrant leur responsabilité civile professionnelle.

Le but d'une telle obligation est de garantir la solvabilité financière du prestataire au cas où sa responsabilité civile serait engagée. Cet objectif est, en soi, tout à fait légitime. Toutefois, dans sa formulation actuelle, cette obligation ne peut que susciter une certaine perplexité.

En premier lieu, on peut se demander s'il est vraiment nécessaire d'offrir au prestataire un choix entre une garantie financière et une assurance responsabilité civile professionnelle. En effet, l'exigence d'une garantie financière pourrait conduire à certaines difficultés de mise en oeuvre. Il faudrait notamment définir les modalités par lesquelles cette garantie serait « spécialement affectée au paiement des sommes » que ces prestataires pourraient être condamnés à verser dans l'hypothèse où ils verraient leur responsabilité civile engagée.

L'exigence d'une assurance responsabilité civile professionnelle s'avère au contraire plus facile à mettre en oeuvre et, à certains égards, plus protectrice pour les victimes des dommages causés par les prestataires de certification.

En second lieu, le présent article prévoit que les prestataires de services de certification doivent justifier avoir satisfait à cette obligation. Force est cependant de constater qu'en l'état actuel du texte, on ne sait auprès de qui, ni à quel moment, cette justification doit intervenir.

En dernier lieu, se pose la question de savoir quelle doit être la sanction à appliquer lorsque le prestataire n'aura pas satisfait à cette obligation. En première lecture, un amendement a été adopté, le Gouvernement ayant émis des réserves pour finalement s'en remettre à la sagesse de l'Assemblée nationale, afin de préciser que, faute d'avoir satisfait à son obligation, le prestataire devra faire mention de son défaut de garantie et d'assurance sur les certificats qu'il délivre.

Votre commission des Lois s'étonne qu'une obligation imposée par la loi puisse avoir pour seule sanction une simple mention que la personne qui y était tenue n'y a pas satisfait.

En conséquence, elle vous soumet un amendement visant à limiter l'obligation prévue au présent article à l'existence d'une assurance responsabilité civile professionnelle et à prévoir que le prestataire devra justifier de cette assurance lorsqu'il déclare la fourniture de prestations de cryptologie, conformément à l'article 19 du projet de loi.

Votre commission des Lois a émis un avis favorable à l'adoption de l'article 21 ainsi modifié.

SECTION 3
Sanctions administratives
Article 22
Sanctions administratives applicables
aux fournisseurs de moyens de cryptologie

Cet article institue un mécanisme de sanction administrative à l'encontre du fournisseur de moyens de cryptologie qui n'aurait pas respecté les prescriptions de l'article 18 du projet de loi.

L'autorité compétente pour prononcer des sanctions administratives à l'encontre des personnes qui n'auraient pas satisfait à leurs obligations est le Premier ministre. Ainsi, seraient sanctionnées les personnes qui auraient omis de déclarer ou de solliciter une autorisation préalable, selon le cas et les modalités définies par l'article 18, pour la fourniture, l'importation, l'exportation, le transfert depuis ou vers un autre Etat membre de la Communauté européenne de moyens de cryptologie.

Il convient de préciser que le non respect de ces obligations est également sanctionné pénalement par les dispositions du I de l'article 23 du présent projet de loi.

La sanction qui peut être prononcée au titre du présent article est unique. Il s'agit d'une mesure d'interdiction de mise en circulation du moyen de cryptologie concerné.

Le deuxième alinéa de cet article précise l'étendue de cette interdiction.

Celle-ci est applicable à l'ensemble du territoire national. Il ressort de la dernière phrase du second alinéa de cet article, issu d'un amendement adopté en première lecture à l'Assemblée nationale avec l'avis favorable du Gouvernement, que l'interdiction de mise en circulation cesse de s'appliquer dès lors que l'intéressé a satisfait aux obligations définies par l'article 18 du présent projet de loi.

Cette interdiction emporte, par ailleurs, deux obligations à la charge de la personne ayant fait l'objet de la sanction.

D'une part, une fois l'interdiction prononcée, l'intéressé a l'obligation de retirer les moyens qui font l'objet de l'interdiction lorsque ceux-ci ont déjà été mis à la disposition de diffuseurs commerciaux.

D'autre part, l'intéressé est tenu de retirer les matériels de cryptologie acquis à titre onéreux par des tiers, antérieurement à la décision du Premier ministre. Cette obligation s'explique par le fait que ces moyens de cryptologie sont considérés comme interdits et n'auraient jamais dû être mis sur le marché. Son champ d'application a été quelque peu réduit en première lecture, par l'Assemblée nationale, à la suite d'un amendement présenté par le rapporteur de sa commission des Affaires économiques. Cependant, il reviendra, là encore, au pouvoir réglementaire de définir les conditions dans lesquelles il sera procédé, par l'intéressé, au retrait de ces matériels, dans la mesure où la mise en oeuvre de cette obligation pourrait poser certaines difficultés pratiques.

Votre commission souligne que, conformément aux exigences découlant de la jurisprudence constitutionnelle, le présent article organise l'exercice des droits de la défense de la personne visée par la sanction administrative susmentionnée.

En effet, le premier alinéa de cette disposition prévoit que l'interdiction ne peut être prononcée qu'après que l'intéressé ait été mis à même de présenter ses observations. Il appartiendra cependant au pouvoir réglementaire de définir précisément les conditions dans lesquelles ces droits de la défense seront effectivement exercés.

Votre commission a émis un avis favorable à l'adoption de l'article 22 sans modification.

SECTION 4
Dispositions de droit pénal
Article 23
Sanctions pénales

Le présent projet de loi créant un nouveau régime applicable à la cryptologie, et faisant coexister régimes d'autorisation préalable et régimes de déclaration préalable, impliquait que des sanctions soient prévues en cas de violation. Le choix a été fait de prévoir une répression pénale.

Le présent article prévoit, à la fois, des peines principales et des peines complémentaires.

1. Les infractions et les peines principales

Trois infractions sont définies par le I du présent article.

Une première infraction vise à sanctionner l'absence de déclaration préalable prévue par l'article 18 du présent projet de loi, en cas de fourniture, de transfert, d'importation ou d'exportation de moyens de cryptologie n'assurant pas exclusivement une fonction d'identification ou de contrôle d'intégrité. Les peines prévues sont un an d'emprisonnement et 15.000 euros d'amende.

Une seconde infraction vise à sanctionner le refus de communiquer à l'autorité administrative les caractéristiques et le code source des moyens de cryptologie visés au III de l'article 18 du présent projet de loi. Aux termes de cette dernière disposition, cette autorité administrative est le Premier ministre. Votre commission des Lois vous soumet donc un amendement précisant ce point. Une peine d'un an d'emprisonnement ainsi qu'une amende de 15.000 euros sont prévues.

Le fait d'exporter ou de procéder au transfert vers un Etat membre de la Communauté européenne d'un moyen de cryptologie n'assurant pas exclusivement une fonction d'identification ou de contrôle d'intégrité, sans avoir obtenu, au préalable, l'autorisation du Premier ministre exigée par le IV de l'article 18 du projet de loi, est puni de deux ans d'emprisonnement et de 30.000 euros d'amende.

Les infractions et les peines prévues s'appliquent cependant sans préjudice du code des douanes qui prévoit également des dispositions susceptibles de s'appliquer aux comportements faisant l'objet des présentes incriminations.

Le II du présent article punit de deux ans d'emprisonnement et de 30.000 euros d'amende le fait de vendre ou louer un moyen de cryptologie faisant l'objet d'une interdiction administrative de mise en circulation sur la base de l'article 22 du projet de loi.

Le III de l'article 23 prévoit, quant à lui, que le fait de fournir des prestations de cryptologie sans avoir procédé, au préalable, à l'obligation de déclaration prévue à l'article 19 du projet de loi est puni de deux ans d'emprisonnement et de 30.000 euros d'amende.

Le V du présent article prévoit que les personnes morales peuvent être reconnues coupables de ces différentes infractions, dans les conditions prévues par l'article 121-2 du code pénal. Elles encourent, dans ce cadre, une peine d'amende, établie en fonction des modalités prévues par l'article 131-38 du code pénal qui dispose que le taux d'amende maximal applicable aux personnes morales est égal au quintuple de celui réprimant les infractions commises par des personnes physiques. De plus, elles peuvent être condamnées aux peines prévues par l'article 131-38 du même code.

2. Les peines complémentaires

Le IV du présent article prévoit également des peines complémentaires pour les personnes physiques auteurs d'une des infractions susmentionnées.

Cinq peines sont prévues :

- l'interdiction, pour cinq ans au plus et suivant les modalités prévues à l'article 131-19 du code pénal, d'émettre des chèques autres que les chèques certifiés et ceux permettant le retrait de fonds par le tireur auprès du tiré.

Il semble souhaitable, par analogie avec la peine prévue par le 9° de l'article 131-6 du code pénal, de préciser que la personne physique coupable d'une infraction visée par le présent article peut également se voir interdire d'utiliser des cartes de paiement. Votre commission des Lois vous soumet donc un amendement en ce sens ;

- la confiscation, suivant les modalités prévues par l'article 131-21 du code pénal, de la chose qui a servi ou était destinée à commettre l'infraction, ou de la chose qui en est le produit, à l'exception des objets susceptibles de restitution ;

- l'interdiction, pour cinq ans au plus et suivant les modalités prévues à l'article 131-27 du code pénal, d'exercer une fonction publique ou d'exercer l'activité professionnelle ou sociale à l'occasion de laquelle l'infraction a été commise ;

- la fermeture, pour cinq ans au plus et suivant les modalités prévues à l'article 131-33 du code pénal, des établissements ou de l'un des établissements de l'entreprise ayant servi à commettre les faits incriminés ;

- l'exclusion des marchés publics, pour cinq ans au plus, et dans les conditions prévues à l'article 131-33 du code pénal.

Votre commission des Lois a émis un avis favorable à l'adoption de l'article 23 ainsi modifié.

Article 24
Constatation des infractions au régime applicable
aux moyens et prestations de cryptologie

Aux fins de constater les infractions aux dispositions du présent projet de loi relatives aux conditions d'exercice des activités de cryptologie, cet article autorise des agents, habilités par le Premier ministre, à visiter des locaux à usage professionnel et, le cas échéant, à saisir les moyens de cryptologie définis à l'article 17 du projet de loi. Il reprend le dispositif actuellement prévu par le IV de l'article 28 de la loi précitée du 29 décembre 1990 sur la réglementation des télécommunications.

1. La constatation des infractions

Les infractions à la législation sur la cryptologie peuvent être constatées par deux biais. Le premier, classique, résulte de l'intervention d'officiers ou agents de police judiciaire, conformément aux dispositions du code de procédure pénale37(*), ou d'agents des douanes, conformément aux dispositions du code des douanes.

Le présent projet de loi prévoit que des agents habilités par le Premier ministre, et assermentés dans des conditions fixées par décret en Conseil d'Etat, pourront également procéder à la constatation de certaines infractions.

La création de cette catégorie d'agent se justifie en matière de cryptologie. Il est, en effet, souhaitable que la constatation des infractions à la présente législation puisse être effectuée par des personnes ayant des compétences techniques particulières, compte tenu de la complexité des procédés actuels de cryptologie.

Le domaine d'intervention de ces agents est très circonscrit, puisqu'il se limite aux infractions aux dispositions des articles 18 (régime applicable à la fourniture de moyens de cryptologie), 19 (régime applicable à la fourniture de prestations de cryptologie) et 22 (régime de sanction administrative) du présent projet de loi.

Les pouvoirs reconnus à ces agents assermentés divergent de ceux applicables dans le cadre de perquisitions judiciaires ou douanières, ainsi que de ceux reconnus à d'autres catégories d'agents assermentés, tels que les agents de la Direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF). En revanche, ils se rapprochent des prérogatives qui sont reconnues par l'article L. 40 du code des postes et télécommunications aux fonctionnaires et agents de l'administration des télécommunications, de l'Autorité de régulation des télécommunications et de l'Agence nationale des fréquences pour constater les infractions définies au titre I du livre II dudit code.

En particulier, le droit de visite des agents habilités par le Premier ministre ne peut s'effectuer que pendant les heures d'ouverture des locaux professionnels concernés ou, à défaut, entre 8 heures et 20 heures. On soulignera, sur ce point, que les agents de police judiciaire intervenant dans le cadre de la procédure visée à l'article 59 du code de procédure pénale, les agents de la Commission des opérations de bourse38(*) ou les agents de la DGCCRF39(*) peuvent procéder à des visites entre 6 et 21 heures.

En tout état de cause, le texte précise que les agents ne peuvent accéder aux locaux qui servent de domicile aux intéressés. Cette précision vise à faire respecter la jurisprudence du Conseil constitutionnel qui protège le domicile des personnes faisant l'objet d'une visite par des personnes autres que des agents de police judiciaire ou des douanes40(*).

Il semble cependant opportun de préciser que les agents habilités par le Premier ministre peuvent accéder aux locaux à usage professionnel, situés dans un domicile privé, comme cela devrait être au demeurant le cas des agents de la Commission nationale de l'informatique et des libertés (CNIL), une fois le projet de loi sur la protection des personnes physiques à l'égard des traitements des données à caractère personnel définitivement adopté par le Parlement41(*).

Votre commission des Lois vous soumet, en conséquence, un amendement tendant à prévoir que les agents habilités par le Premier ministre peuvent accéder aux locaux à usage professionnel, à l'exclusion des parties de ceux-ci affectés au domicile privé.

Pour le reste, les pouvoirs reconnus aux agents susmentionnés dans le cadre de leurs visites sont limitativement énumérés par le texte. Ce dernier leur reconnaît le pouvoir de rechercher et constater les infractions, de demander communication de tous documents professionnels et d'en prendre copie, de recueillir, sur convocation ou sur place, les renseignements et justifications utiles.

Ces opérations sont cependant conduites sous la surveillance de l'autorité judiciaire. Le procureur de la République est ainsi préalablement informé des opérations envisagées en vue de rechercher les infractions aux articles précités. Il bénéficie d'un droit d'opposition à l'action de ces agents assermentés. Il se voit également transmettre les procès-verbaux dressés par ces agents, dans les cinq jours qui suivent leur établissement. Une copie des procès-verbaux dressés par les agents est remise à l'intéressé.

2. La saisie des moyens de cryptologie constitutifs de l'infraction

Le présent article prévoit également la possibilité pour les agents habilités par le Premier ministre de procéder, dans le cadre de leur visite, à la saisie des moyens de cryptologie, tels qu'ils sont définis à l'article 17 du projet de loi.

La saisie de ces moyens est cependant soumise à l'obtention préalable d'une ordonnance en ce sens du président du tribunal de grande instance ou d'un magistrat du siège délégué par lui. Le rapporteur pour avis de la commission des Lois de l'Assemblée nationale a souhaité, avec un avis favorable du Gouvernement, que la demande de saisie de moyens de cryptologie ne puisse être adressée directement par les agents susmentionnés aux juges du siège.

En conséquence, le texte prévoit désormais que l'ordonnance autorisant la saisie ne peut intervenir que si le procureur de la République a préalablement saisi le juge du siège en ce sens. On peut toutefois se demander si ce mécanisme n'introduira pas une certaine lourdeur dans la procédure, en mettant, en outre, à la charge des magistrats du parquet de nouvelles charges de travail. De ce fait, le dispositif introduit par le présent article s'éloigne de celui prévu à l'article L. 40 du code des postes et télécommunications qui ne prévoit pas l'intervention du parquet à ce stade de la procédure.

Lorsque la saisie est autorisée, elle s'effectue sous l'autorité et le contrôle du juge qui l'a ordonnée.

Le texte prévoit que les matériels et logiciels saisis sont immédiatement inventoriés, dans le cadre d'un inventaire annexé au procès-verbal dressé sur les lieux. Les originaux de ces actes sont transmis, dans les cinq jours de leur établissement, au juge qui a ordonné la saisie, pour être versés au dossier de la procédure.

Conformément au droit commun, l'antépénultième alinéa de l'article 24 prévoit qu'à tout moment, le président du tribunal de grande instance ou le juge qu'il délègue peut ordonner la mainlevée de la saisie.

Le dernier alinéa du présent article prévoit une nouvelle incrimination pénale visant à sanctionner d'une peine de six mois d'emprisonnement et de 7.500 euros d'amende le fait de refuser de fournir les informations ou documents ou de faire obstacle au déroulement des enquêtes susmentionnées.

Votre commission des Lois a émis un avis favorable à l'adoption de l'article 24 ainsi modifié.

Article 25
(art. 132-77 nouveau du code pénal)
Aggravation des sanctions pénales en cas d'utilisation d'un moyen
de cryptologie pour préparer ou commettre une infraction

Le présent article tend à insérer dans la section du code pénal consacrée à la définition de certaines circonstances entraînant l'aggravation des peines un nouvel article pour faire de l'utilisation des moyens de cryptologie une circonstance aggravante de l'ensemble des infractions.

Le texte proposé pour l'article 132-77 nouveau du code pénal prévoit que les peines sont aggravées lorsqu'un moyen de cryptologie a été utilisé pour préparer ou commettre un crime ou un délit, ou pour en faciliter la préparation ou la commission.

Rappelons que l'article 17 du présent projet de loi définit le moyen de cryptologie comme « tout matériel ou logiciel conçu ou modifié pour transformer des données, qu'il s'agisse d'informations ou de signaux, à l'aide de conventions secrètes ou pour réaliser l'opération inverse avec ou sans convention secrète ».

Aux termes du texte proposé pour l'article 132-77 du code pénal, les peines encourues en cas d'utilisation d'un moyen de cryptologie, seraient portées :

- à la réclusion criminelle à perpétuité lorsque l'infraction est punie de trente ans de réclusion criminelle ;

- à trente ans de réclusion criminelle lorsque l'infraction est punie de vingt ans de réclusion criminelle ;

- à vingt ans de réclusion criminelle lorsque l'infraction est punie de quinze ans de réclusion criminelle ;

- à quinze ans de réclusion criminelle lorsque l'infraction est punie de dix ans d'emprisonnement ;

- à dix ans d'emprisonnement lorsque l'infraction est punie de sept ans d'emprisonnement ;

- à sept ans d'emprisonnement lorsque l'infraction est punie de cinq ans d'emprisonnement ;

- au double lorsque l'infraction est punie de trois ans d'emprisonnement au plus.

Cette aggravation des peines encourues en cas d'utilisation d'un moyen de cryptologie pour commettre une infraction est tout à fait justifiée. Elle est le corollaire de la libéralisation de l'activité de cryptologie.

Le dernier alinéa du texte proposé pour l'article 132-77 prévoit une exception à l'aggravation des peines. Celle-ci ne serait en effet pas applicable au complice d'une infraction punie de plus de quinze ans d'emprisonnement ou à l'auteur ou au complice d'une infraction punie d'une peine inférieure ou égale à quinze ans d'emprisonnement qui, à la demande des autorités judiciaires ou administratives, leur a remis la version en clair des messages chiffrés ainsi que les conventions secrètes nécessaires au déchiffrement.

Dans sa rédaction initiale, cet alinéa écartait les aggravations de peines pour l'ensemble des auteurs et complices ayant remis la version en clair des messages chiffrés quelle que soit la peine encourue pour l'infraction commise.

A l'initiative du rapporteur pour avis de la commission des Lois, Mme Michèle Tabarot, l'Assemblée nationale a souhaité effectuer une distinction selon la gravité de l'infraction commise, afin que l'absence d'aggravation de peine ne s'applique, pour les infractions les plus graves, qu'aux complices de l'infraction et non aux auteurs.

Ce dispositif peut susciter une certaine perplexité.

Les modifications apportées au texte par l'Assemblée nationale ont en effet pour conséquence d'introduire dans notre droit pénal une distinction entre les auteurs et complices d'une infraction qui n'existe pas aujourd'hui. Au contraire, l'article 121-6 du code pénal prévoit très clairement que sera puni comme auteur le complice de l'infraction.

Dans ces conditions, votre commission des Lois vous propose, par un amendement, de rétablir le texte proposé par le Gouvernement avant son examen par l'Assemblée nationale. Elle vous soumet également un amendement tendant à modifier l'insertion du nouvel article dans le code pénal, pour tenir compte du fait que la loi n° 2003-238 du 28 mars 2003 pour la sécurité intérieure a déjà créé un article 132-77 prévoyant une aggravation des peines lorsque certaines infractions sont commises à raison de l'orientation sexuelle de la victime.

Votre commission vous propose d'adopter l'article 25 ainsi modifié.

Article 26
(art. 11-1 de la loi n° 91-646 du 10 juillet 1991 relative au secret
des correspondances émises par la voie des télécommunications,
art. 434-15-2 du code pénal)
Obligation pour les personnes fournissant des prestations
de cryptologie de remettre leurs conventions de déchiffrement

Le présent article tend à pérenniser les dispositions de la loi n° 2001-1062 du 15 novembre 2001 relative à la sécurité quotidienne, imposant aux personnes fournissant des prestations de cryptologie de remettre leurs conventions de déchiffrement pour les besoins des procédures judiciaires.

A la suite des attentats du 11 septembre 2001, le Gouvernement a souhaité compléter le projet de loi relatif à la sécurité quotidienne, alors en cours d'examen par le Parlement, en y insérant plusieurs dispositions destinées à renforcer la lutte contre le terrorisme. Ces dispositions ont été insérées dans le projet de loi lors de son examen par le Sénat, en nouvelle lecture, pour une période allant jusqu'en décembre 2003.

La loi relative à la sécurité quotidienne a notamment, dans son article 31, inséré un article 11-1 dans la loi n° 91-646 du 10 juillet 1991 relative au secret des correspondances émises par la voie des télécommunications, pour imposer aux personnes qui fournissent des prestations de cryptologie visant à assurer une fonction de confidentialité de remettre aux agents autorisés, sur leur demande, les conventions permettant le déchiffrement des données transformées au moyen des prestations qu'elles ont fournies.

Le texte précise que le fait de ne pas déférer aux demandes des autorités habilitées est puni de deux ans d'emprisonnement et de 30.000 euros d'amende.

L'article 31 de la loi relative à la sécurité quotidienne a également inséré un article 434-15-2 dans le code pénal pour punir de trois ans d'emprisonnement et de 45.000 euros d'amende le fait, pour quiconque ayant connaissance de la convention secrète de déchiffrement d'un moyen de cryptologie susceptible d'avoir été utilisé pour préparer, faciliter ou commettre un crime ou un délit, de refuser de remettre ladite convention aux autorités judiciaires ou de la mettre en oeuvre sur les réquisitions de ces autorités.

Le texte précise que la peine est portée à cinq ans d'emprisonnement et à 75.000 euros d'amende si le refus est opposé alors que la remise ou la mise en oeuvre de la convention aurait permis d'éviter la commission d'un crime ou d'un délit ou d'en limiter les effets.

Le présent article tend à pérenniser ces dispositions qu'à l'origine le précédent Gouvernement avait inscrites dans un projet de loi sur la société de l'information et qui n'ont été insérées dans la loi relative à la sécurité quotidienne que pour répondre en urgence à la menace terroriste.

De fait, la limitation dans le temps de la possibilité de requérir des prestataires de cryptologie la remise de leurs conventions de déchiffrement apparaît peu pertinente. La menace terroriste, qui a justifié l'adoption de ce dispositif, perdurera à l'évidence bien au-delà du 31 décembre 2003. Ce dispositif peut en outre être utilisé pour lutter contre bien d'autres infractions.

Toutefois, le présent article s'avère inutile. La loi n° 2003-239 du 18 mars 2003 pour la sécurité intérieure a en effet, dans son article 31, déjà pérennisé, à l'initiative de M. Christian Estrosi, rapporteur de l'Assemblée nationale, l'article 31 de la loi relative à la sécurité quotidienne, comme la plupart des mesures prévues par cette loi pour lutter contre le terrorisme.

En conséquence, votre commission vous propose la suppression de l'article 26.

SECTION 5
Saisine des moyens de l'Etat
pour la mise au clair des données diffusées
Article 27
(art. 230-1 à 230-5 du code de procédure pénale)
Réquisition des moyens de décryptage

L'article 30 de la loi n° 2001-1062 relative à la sécurité quotidienne a inséré, pour une durée allant jusqu'au 31 décembre 2003, un nouveau titre dans le code de procédure pénale accueillant cinq articles nouveaux relatifs à la réquisition des moyens de décryptage.

L'article 230-1 du code de procédure pénale permet aux juridictions, lorsqu'il apparaît que des données saisies ou obtenues au cours de l'enquête ou de l'instruction ont fait l'objet d'opérations de transformation empêchant d'accéder aux informations en clair qu'elles contiennent ou de les comprendre, de désigner toute personne physique ou morale qualifiée en vue d'effectuer les opérations techniques permettant d'obtenir la version en clair de ces informations ainsi que la convention secrète de déchiffrement, si cela apparaît nécessaire.

Si la peine encourue est supérieure ou égale à deux ans d'emprisonnement, le procureur de la République, la juridiction d'instruction ou la juridiction de jugement saisie de l'affaire peut prescrire le recours aux moyens de l'Etat soumis au secret de la défense nationale.

L'article 230-2 prévoit que la réquisition écrite doit être adressée au service national de police judiciaire chargé de la lutte contre la criminalité liée aux technologies de l'information.

D'un point de vue opérationnel, ces réquisitions sont adressées à l'office central de lutte contre la criminalité liée aux techniques de l'information et de la communication, créé par un décret n° 2000-405 du 15 mai 2000.

Ce service de police judiciaire doit transmettre sans délai la réquisition à un organisme technique soumis au secret de la défense nationale. Les données protégées au titre du secret de la défense nationale ne peuvent être communiquées que dans les conditions prévues par la loi n° 98-567 du 8 juillet 1998, qui a institué une commission consultative du secret de la défense nationale.

L'article 230-3 précise les modalités de transmission des résultats des opérations tendant à la mise au clair des données. Dès achèvement des opérations ou dès qu'il apparaît que celles-ci sont impossibles à l'expiration du délai prescrit ou à la réception de l'ordre d'interruption émanant de l'autorité judiciaire, les résultats obtenus et les pièces reçues doivent être retournées par le responsable de l'organisme technique au service de police judiciaire qui lui a transmis la réquisition. Sous réserve des obligations découlant du secret de la défense nationale, les résultats doivent être accompagnés des indications techniques utiles à la compréhension et à leur exploitation ainsi que d'une attestation certifiant la sincérité des résultats transmis.

Les pièces doivent alors être immédiatement remises à l'autorité judiciaire. Elles font l'objet d'un procès-verbal de réception et sont versées au dossier de la procédure.

L'article 230-4 dispose que les décisions judiciaires prises en application des dispositions des articles  230-1 à 230-5 n'ont pas de caractère juridictionnel et ne sont susceptibles d'aucun recours.

Enfin, l'article 230-5 impose aux agents requis en application des articles 230-1 et suivants d'apporter leur concours à la justice.

Le présent article tend à pérenniser ces dispositions. Si une telle évolution est tout à fait justifiée, elle est néanmoins inutile dès lors que la loi n° 2003-238 du 18 mars 2003 pour la sécurité intérieure a déjà pérennisé ce dispositif dans son article 31.

Toutefois, l'Assemblée nationale, lors de l'examen du projet de loi, a apporté une modification au dispositif en vigueur et pérennisé par la loi pour la sécurité intérieure. A l'initiative de M. Jean-Yves Le Déaut et des membres du groupe socialiste, elle a complété l'article 230-1 pour prévoir que les personnes désignées pour effectuer des opérations de déchiffrement prêtent serment d'apporter leur concours à la justice en leur honneur et leur conscience.

Une telle disposition est tout à fait utile, compte tenu de l'importance des missions qui seront confiées aux personnes requises pour effectuer des prestations de cryptologie.

Par un amendement, votre commission vous propose de modifier le présent article, afin qu'il complète l'article 230-1 du code de procédure pénale pour prévoir une prestation de serment des personnes requises, sans reprendre l'ensemble du dispositif créé par la loi relative à la sécurité quotidienne et pérennisé par la loi pour la sécurité intérieure. Dans un souci de cohérence, elle propose de renvoyer, pour le texte du serment, à la loi de 1971 relative aux experts judiciaires, afin d'éviter la coexistence de textes de serment différents.

Votre commission vous propose d'adopter l'article 27 ainsi modifié.

Retour Sommaire Suite