Droit Vivant · Sécurité intérieure & renseignement · vendredi 7 août 2026

Les algorithmes du renseignement pourront lire l'adresse exacte des pages consultées : censuré le 12 juin 2025, validé le 6 août 2026 — les trois critères qui ont tout changé

Principe-clé : en matière de surveillance de masse, le Conseil constitutionnel ne condamne presque jamais une technique en elle-même — il sanctionne l'absence d'encadrement écrit dans la loi. Mêmes URL, mêmes traitements algorithmiques, même finalité de lutte contre la criminalité organisée : deux décisions opposées à quatorze mois d'intervalle, parce que le législateur a cette fois inscrit les critères qui manquaient.

Textes de référence

art. L. 851-3 du code de la sécurité intérieure — technique dite du « renseignement algorithmique », réécrit par l'article 32 de la loi actualisant la programmation militaire 2024-2030
art. L. 811-3 CSI — finalités : 1° indépendance nationale et défense, 2° intérêts économiques et scientifiques majeurs / ingérences étrangères, 4° prévention du terrorisme, 6° criminalité et délinquance organisées
art. L. 851-1 CSI — données de connexion recueillies auprès des opérateurs et hébergeurs
art. L. 821-1 et art. L. 831-1 CSI — avis de la CNCTR, saisine du Conseil d'État à effet suspensif en cas d'avis défavorable
art. 2 de la Déclaration de 1789 — le droit au respect de la vie privée découle de la liberté proclamée par cet article
Décision n° 2015-713 DC du 23 juillet 2015 — la « boîte noire » antiterroriste de la loi renseignement jugée conforme, sur les seules données de connexion
Loi n° 2021-998 du 30 juillet 2021 — introduction des URL dans L. 851-3 ; disposition alors non examinée par le Conseil
Décision n° 2025-885 DC du 12 juin 2025 — censure de l'article 15 de la loi « narcotrafic » et des dispositions de L. 851-3 relatives aux URL
Décision n° 2026-907 DC du 6 août 2026, §§ 39 à 61 — conformité des paragraphes I à III de L. 851-3 réécrit

L'affaire

Depuis la loi du 24 juillet 2015, les services peuvent faire tourner des traitements automatisés de nature algorithmique sur les flux des opérateurs pour détecter des connexions révélant une menace : les « boîtes noires ». Le Conseil constitutionnel les avait validées en 2015 — mais sur les seules données de connexion. En 2021, le législateur y a ajouté les « adresses complètes de ressources utilisées sur internet », c'est-à-dire les URL ; personne ne l'avait alors déféré au Conseil.

Le 12 juin 2025, saisi de la loi « narcotrafic », le Conseil frappe fort. Il censure l'article 15, qui étendait ces traitements à la criminalité organisée, et remonte jusqu'aux dispositions de 2021 sur les URL qu'il complétait. Motif : une URL est susceptible de révéler le contenu même des informations consultées ; autoriser son traitement « de manière générale et indifférenciée », sans condition tenant à la nature des données révélées, ne réalise pas une conciliation équilibrée avec le droit au respect de la vie privée. Ce n'est pas la technique qui tombe, c'est le vide juridique autour d'elle.

Le législateur réécrit alors l'article. Le texte est adopté définitivement par l'Assemblée nationale le 1^er juillet 2026, après le Sénat la veille. Le 6 juillet 2026, plus de soixante députés (La France insoumise, Écologiste et social, Gauche démocrate et républicaine) saisissent le Conseil, dénonçant une extension « particulièrement intrusive » et des critères de sélection des adresses trop imprécis.

Le 6 août 2026, décision n° 2026-907 DC : conformité, sans une seule censure ni réserve d'interprétation sur l'ensemble du texte. Le Conseil détaille les garanties nouvelles (§§ 46 à 59) : finalité criminalité organisée limitée aux faits punis de dix ans d'emprisonnement — stupéfiants, armes et explosifs en bande organisée, blanchiment et recel ; usage des URL réservé aux cas de stricte nécessité ; trois critères alternatifs pour qu'une adresse entre dans les paramètres (objet en rapport avec la menace, raisons sérieuses de penser qu'elle est utilisée pour cette menace, caractéristiques techniques révélatrices) ; avis de la formation plénière de la CNCTR porté à 45 jours quand des URL sont en jeu, réactualisation de la nécessité à chaque renouvellement, accès permanent, complet et direct de la CNCTR aux traitements, et saisine suspensive du Conseil d'État en cas d'avis défavorable.

Pourquoi c'est important

C'est un cas d'école du dialogue entre le juge constitutionnel et le législateur. Une censure n'est pas un interdit définitif : c'est un cahier des charges en creux. Quatorze mois ont suffi pour transformer un dispositif inconstitutionnel en dispositif conforme, sans en changer la finalité ni la puissance — en changeant seulement l'écriture des garanties. Qui lit une censure comme la fin d'un débat se trompe systématiquement de calendrier.

Le glissement de fond mérite d'être nommé : ouverte en 2015 pour le seul terrorisme, la surveillance algorithmique de masse couvre désormais aussi les ingérences étrangères, la défense nationale et la criminalité organisée. Le périmètre s'élargit ; la contrepartie est procédurale, portée par une autorité administrative indépendante et par le Conseil d'État, non par un juge judiciaire.

Pour un praticien de la sécurité, la question technique reste entière et n'est pas tranchée par la décision : sur des flux chiffrés en TLS, l'opérateur ne voit ni le chemin ni les paramètres d'une URL, mais au mieux un nom de domaine via le SNI — et plus rien lorsque ECH est déployé — ou bien les requêtes DNS, elles-mêmes soustraites à l'observation par DoH et DoT. La catégorie juridique « adresse complète de ressource » suppose donc, pour produire ses effets, des points d'observation où elle demeure lisible. Écart classique entre ce qu'un texte autorise et ce qu'une architecture rend possible : c'est précisément là que se logeront les prochains contentieux.

Mini-glossaire

Renseignement algorithmique (« boîte noire »): Traitement automatisé installé sur les réseaux des opérateurs, autorisé par le Premier ministre après avis de la CNCTR, qui analyse en masse des données selon des paramètres de conception pour détecter des connexions suspectes. Tant qu'aucune détection n'a lieu, les données restent anonymes : la levée d'anonymat suppose une autorisation distincte.
Donnée de connexion vs adresse complète de ressource (URL): La donnée de connexion porte sur l'identification de l'utilisateur, les caractéristiques techniques de la communication et la localisation du terminal — le « contenant ». L'URL complète désigne la ressource précise consultée : le Conseil constitutionnel relève qu'elle est susceptible de révéler le contenu des informations consultées, ce qui la place à un tout autre niveau d'intrusion.
CNCTR: Commission nationale de contrôle des techniques de renseignement, autorité administrative indépendante composée de parlementaires, de membres du Conseil d'État, de magistrats de la Cour de cassation et d'un expert technique. Son avis n'est pas contraignant, mais un avis défavorable ouvre une saisine du Conseil d'État qui suspend l'exécution de l'autorisation.
Conciliation équilibrée: Méthode de contrôle du Conseil constitutionnel lorsque deux exigences constitutionnelles s'opposent — ici la sauvegarde des intérêts fondamentaux de la Nation et la prévention des infractions, face au droit au respect de la vie privée. Le juge ne substitue pas son appréciation à celle du législateur : il vérifie que la conciliation opérée n'est pas déséquilibrée, au vu des garanties effectivement inscrites dans la loi.