Droit Vivant
Brief

↓ Version .md brute

Brief — Censuré le 12 juin 2025, validé le 6 août 2026 : les algorithmes du renseignement pourront lire l'adresse exacte des pages consultées

Thème : sécurité intérieure et renseignement — surveillance algorithmique de masse, URL et contrôle de proportionnalité

Le 6 août 2026, par la décision n° 2026-907 DC, le Conseil constitutionnel a déclaré conforme à la Constitution l'article 32 de la loi actualisant la programmation militaire pour les années 2024 à 2030, qui réécrit l'article L. 851-3 du code de la sécurité intérieure. Ce texte étend la technique dite du « renseignement algorithmique » — les fameuses boîtes noires installées sur les réseaux des opérateurs — à la détection des menaces relevant de la criminalité et de la délinquance organisées (6° de l'article L. 811-3 CSI), et autorise ces traitements à utiliser les « adresses complètes de ressources utilisées sur internet », c'est-à-dire les URL. Saisi le 6 juillet 2026 par plus de soixante députés (La France insoumise, Écologiste et social, Gauche démocrate et républicaine), le Conseil n'a prononcé aucune censure ni réserve d'interprétation sur l'ensemble du texte, adopté définitivement par l'Assemblée nationale le 1er juillet 2026.

L'intérêt de la décision tient à ce qui la précède. Le 12 juin 2025, dans sa décision n° 2025-885 DC sur la loi « narcotrafic », le Conseil avait censuré exactement le même mécanisme : l'article 15, qui étendait ces traitements à la criminalité organisée, et — remontant plus loin que ce dont il était saisi — les dispositions relatives aux URL introduites dans l'article L. 851-3 par la loi n° 2021-998 du 30 juillet 2021, jamais examinées jusque-là. Le motif était précis : une URL est susceptible de révéler le contenu même des correspondances ou des informations consultées, et l'autoriser « de manière générale et indifférenciée, sans autre condition tenant notamment à la nature des données révélées » ne réalisait pas une conciliation équilibrée avec le droit au respect de la vie privée garanti par l'article 2 de la Déclaration de 1789. La censure visait un défaut d'encadrement, pas la technique elle-même.

Ce qui a changé en quatorze mois est écrit noir sur blanc aux paragraphes 46 à 59 de la décision de 2026. La finalité « criminalité organisée » est bornée aux faits punis de dix ans d'emprisonnement (trafic de stupéfiants, d'armes et d'explosifs en bande organisée, blanchiment et recel). Les URL ne peuvent être employées que lorsqu'elles sont strictement nécessaires, et ne peuvent entrer dans les paramètres que selon trois critères alternatifs : l'adresse dirige vers une ressource dont l'objet est en rapport avec la menace ; il existe des raisons sérieuses de penser qu'elle est utilisée pour cette menace ; ses caractéristiques techniques sont de nature à la révéler. Le délai d'avis de la formation plénière de la CNCTR passe de trente à quarante-cinq jours dès que des URL figurent dans les paramètres, chaque renouvellement exige une réactualisation de la nécessité et de la proportionnalité, la CNCTR dispose d'un accès permanent, complet et direct aux traitements, et un avis défavorable ouvre une saisine du Conseil d'État qui suspend l'exécution de l'autorisation du Premier ministre.

La leçon dépasse le dossier : une censure constitutionnelle n'est pas un interdit, c'est un cahier des charges en creux — et un dispositif ouvert en 2015 pour le seul terrorisme couvre désormais aussi les ingérences étrangères, la défense nationale et la criminalité organisée, la contrepartie étant procédurale plutôt que substantielle. Reste une question que la décision ne tranche pas et qui intéresse directement les praticiens de la sécurité : sur des flux chiffrés en TLS, la catégorie juridique « adresse complète de ressource » n'est observable qu'aux points où elle demeure lisible — un SNI en clair, une requête DNS non chiffrée — c'est-à-dire précisément là où ECH, DoH et DoT sont en train de la faire disparaître.

Sources