Droit Vivant
Source NotebookLM

↓ Version .md brute (pour NotebookLM)

Les boîtes noires du renseignement et les URL : anatomie d'un revirement en quatorze mois

De quoi parle-t-on exactement

Il existe en droit français une technique de renseignement que la loi désigne pudiquement comme le recours à des « traitements automatisés de nature algorithmique », et que tout le monde appelle depuis dix ans les boîtes noires. Le principe est le suivant : le Premier ministre autorise l'installation, sur les réseaux des opérateurs de communications électroniques et des fournisseurs d'accès, de dispositifs qui analysent en continu les données qui y transitent. Ces dispositifs ne cherchent pas une personne désignée à l'avance. Ils cherchent un comportement : une combinaison de signaux, définie par ce que la loi nomme des « paramètres de conception », susceptible de révéler une menace. Tant que rien n'est détecté, personne n'est identifié. Si le traitement lève une alerte, une autorisation distincte est nécessaire pour lever l'anonymat et recueillir les données de la personne concernée.

Ce dispositif figure à l'article L. 851-3 du code de la sécurité intérieure. Il a été créé par la loi du 24 juillet 2015 relative au renseignement, à titre expérimental, pour la seule prévention du terrorisme, et portant sur les seules données de connexion — c'est-à-dire, en simplifiant, le contenant plutôt que le contenu : qui se connecte, depuis quel terminal, à quelle heure, depuis quel endroit, selon quelles caractéristiques techniques. Le Conseil constitutionnel avait validé cette version dans sa décision n° 2015-713 DC du 23 juillet 2015.

Le 6 août 2026, par la décision n° 2026-907 DC, le Conseil constitutionnel a validé une version considérablement élargie de ce même article. C'est l'objet de ce module : comprendre ce qui a changé, pourquoi la même mesure a été censurée quatorze mois plus tôt, et ce que ce va-et-vient enseigne sur la manière dont se fabrique concrètement le droit de la surveillance.

Le point de bascule : l'URL

Tout se joue sur une notion que la loi appelle « adresse complète de ressource utilisée sur internet », et que les praticiens appellent simplement l'URL.

La distinction est décisive. Savoir qu'un abonné s'est connecté à un serveur donné à telle heure relève de la donnée de connexion. Savoir qu'il a consulté une page précise — un article, un forum, un document identifié par son chemin complet — relève d'autre chose : cela révèle non plus le fait de communiquer, mais la substance de ce qui a été consulté. Le Conseil constitutionnel l'a formulé sans ambiguïté : ces traitements permettent « de procéder à grande échelle à l'analyse systématique et automatisée de données qui sont susceptibles de porter sur le contenu des correspondances échangées ou des informations consultées ».

Or les URL ont été introduites dans l'article L. 851-3 par la loi n° 2021-998 du 30 juillet 2021 relative à la prévention d'actes de terrorisme et au renseignement — sans que le Conseil constitutionnel ne soit alors saisi de ce point précis. Une disposition d'une portée considérable est ainsi entrée dans le droit positif sans jamais avoir été confrontée à la Constitution. Cette anomalie explique la suite.

Juin 2025 : la censure

En 2025, le législateur adopte la loi « visant à sortir la France du piège du narcotrafic ». Son article 15 étend les traitements algorithmiques — URL comprises — à une finalité nouvelle : la détection des menaces relatives à la criminalité et à la délinquance organisées. Plus de soixante députés saisissent le Conseil constitutionnel et lui demandent, au-delà de l'article contesté, de censurer la possibilité même de traiter algorithmiquement des URL, quelle que soit la finalité poursuivie.

Le 12 juin 2025, par la décision n° 2025-885 DC, le Conseil leur donne raison. Il censure l'article 15, et — usant d'une faculté que sa jurisprudence lui reconnaît lorsqu'une disposition nouvelle complète un texte existant — il censure également les dispositions de l'article L. 851-3 relatives aux URL, issues de la loi de 2021. Le raisonnement mérite d'être cité dans son économie exacte : en autorisant « de manière générale et indifférenciée, sur l'ensemble des données transitant par les réseaux des opérateurs de communications électroniques », le recours à de tels traitements, « sans autre condition tenant notamment à la nature des données révélées par les adresses complètes de ressources utilisées sur internet », le législateur n'a pas assuré une conciliation équilibrée entre les objectifs de prévention des atteintes à l'ordre public et le droit au respect de la vie privée.

Il faut lire cette phrase pour ce qu'elle dit — et pour ce qu'elle ne dit pas. Elle ne dit pas que traiter des URL est contraire à la Constitution. Elle dit que le législateur n'a rien écrit sur les conditions dans lesquelles il est permis de le faire. La censure porte sur un vide, pas sur une technique. C'est une nuance qui, dans le droit constitutionnel français, fait toute la différence entre une porte fermée et une porte à repasser.

La même décision de juin 2025 avait d'ailleurs censuré, pour un motif voisin, l'article 5 de la loi narcotrafic, qui ouvrait aux services de renseignement du « premier cercle » un accès direct aux fichiers fiscaux — FICOBA, FICOVIE, base nationale des données patrimoniales — sans encadrement particulier de la traçabilité des accès ni de la destruction des données. Là encore : ce n'est pas l'accès qui est jugé impossible, c'est son absence de bornes.

Août 2026 : la validation

Le Gouvernement et le Parlement ont pris la censure pour ce qu'elle était : une commande de rédaction. Le dispositif revient dans un véhicule législatif différent — le projet de loi actualisant la programmation militaire pour les années 2024 à 2030 — à son article 32, qui réécrit intégralement l'article L. 851-3. Le texte est adopté par le Sénat le 30 juin 2026, puis définitivement par l'Assemblée nationale le 1er juillet 2026. Le 6 juillet 2026, plus de soixante députés issus des groupes La France insoumise, Écologiste et social, et Gauche démocrate et républicaine saisissent le Conseil constitutionnel. Ils soutiennent que l'extension à la criminalité organisée est disproportionnée compte tenu du caractère particulièrement intrusif de la technique, et que les critères permettant d'inclure des URL dans les paramètres restent trop imprécis.

Le 6 août 2026, le Conseil rejette ces griefs. La décision n° 2026-907 DC déclare conformes à la Constitution les paragraphes I à III de l'article L. 851-3 réécrit — et, plus largement, ne prononce aucune censure ni aucune réserve d'interprétation sur l'ensemble du texte déféré, qui comportait par ailleurs la création d'un régime d'« état d'alerte de sécurité nationale ».

Les paragraphes 46 à 59 de la décision énumèrent les garanties qui font la différence. Quatre familles, qu'il vaut la peine de distinguer.

Le bornage matériel de la finalité. L'extension à la criminalité organisée n'est pas générale : elle vise les faits constitutifs de crimes ou délits punis de dix ans d'emprisonnement — trafic de stupéfiants, trafic d'armes et de produits explosifs, importation et exportation de ces marchandises prohibées commises en bande organisée, blanchiment et recel de leur produit.

Le bornage des données. Les URL ne peuvent être utilisées que lorsqu'elles sont strictement nécessaires à la détection des menaces énumérées. Surtout, elles ne peuvent entrer dans les paramètres de conception que selon trois critères alternatifs : lorsque l'adresse dirige vers une ressource dont l'objet est en rapport avec la menace ou l'ingérence visée ; lorsqu'il existe des raisons sérieuses de penser qu'elle est utilisée pour cette menace ; ou lorsque ses caractéristiques techniques sont de nature à révéler une telle menace. Ce sont ces trois lignes qui comblent le vide sanctionné en 2025.

Le cloisonnement organique. Seuls les services spécialisés de renseignement peuvent demander la technique ; un service du Premier ministre est seul habilité à exécuter les traitements ; les traitements ne peuvent recueillir d'autres données que celles correspondant à leurs paramètres ; en dehors de la procédure de levée d'anonymat, aucun service ne peut accéder aux données utilisées par les traitements.

Le contrôle procédural. L'autorisation et les paramètres sont soumis à l'avis de la formation plénière de la CNCTR. Le délai d'avis, de trente jours pour une première demande, passe à quarante-cinq jours lorsque les paramètres incluent des URL ; une demande de renouvellement portant sur des URL doit comporter une actualisation de la nécessité et de la proportionnalité. La CNCTR dispose d'un accès permanent, complet et direct aux traitements, aux données qu'ils utilisent et aux données recueillies, et doit être informée de toute modification. Enfin, en cas d'avis défavorable, le Conseil d'État est immédiatement saisi et l'autorisation du Premier ministre ne peut être exécutée avant qu'il ait statué.

Ce que l'affaire enseigne

Trois enseignements se dégagent.

Le premier concerne la nature du contrôle de constitutionnalité en matière de surveillance. Le Conseil ne se prononce pratiquement jamais sur l'opportunité d'une technique. Il applique un contrôle de « conciliation équilibrée » : deux exigences de valeur constitutionnelle s'affrontent — la sauvegarde des intérêts fondamentaux de la Nation et la prévention des infractions d'un côté, le droit au respect de la vie privée déduit de l'article 2 de la Déclaration de 1789 de l'autre — et le juge vérifie que l'arbitrage opéré par le législateur n'est pas déséquilibré au vu des garanties effectivement inscrites dans la loi. Une garantie annoncée dans un exposé des motifs, promise dans un décret à venir ou pratiquée de fait par les services ne pèse rien : ce qui compte est ce qui est écrit dans le texte de loi.

Le deuxième concerne le temps politique. Une censure constitutionnelle est fréquemment commentée comme un coup d'arrêt. Elle est plus souvent un cahier des charges. Ici, quatorze mois séparent l'interdiction de l'autorisation, et le dispositif final est plus large que celui qui avait été censuré — puisqu'il combine l'extension de finalité et le retour des URL — tout en étant, cette fois, jugé conforme. Le véhicule législatif a changé, la finalité affichée s'est adossée à la défense nationale, et l'encadrement a été rédigé. Toute veille réglementaire qui traite une censure comme un point final produira des conclusions fausses ; il faut suivre le dossier, pas la décision.

Le troisième concerne le périmètre. Ouvert en 2015 pour le seul terrorisme et à titre expérimental, le renseignement algorithmique couvre en 2026 les ingérences étrangères, les menaces pour la défense nationale, le terrorisme et la criminalité organisée, sur des données incluant les URL. Le mouvement est cumulatif et la contrepartie est procédurale : elle repose sur une autorité administrative indépendante et sur le juge administratif, non sur le juge judiciaire. C'est un choix d'architecture institutionnelle, dont il faut mesurer qu'il diffère de celui d'autres États européens et qu'il structure les recours possibles.

L'angle technique, que la décision ne tranche pas

Il subsiste un écart, rarement discuté dans les commentaires juridiques, entre la catégorie légale et la réalité des réseaux. Une « adresse complète de ressource utilisée sur internet » n'est observable que là où elle est lisible. Sur un flux HTTPS, le chemin et les paramètres d'une URL sont chiffrés de bout en bout : un dispositif placé chez l'opérateur ne voit, dans le meilleur des cas, qu'un nom de domaine exposé par l'extension SNI du handshake TLS — et plus rien lorsque Encrypted Client Hello est déployé. Reste la résolution DNS, elle-même soustraite à l'observation par DNS over HTTPS et DNS over TLS. S'y ajoutent QUIC, les CDN qui mutualisent des milliers de domaines derrière une même adresse, et les architectures de type domain fronting.

Autrement dit, la validation constitutionnelle définit ce qu'il est permis de faire ; elle ne dit rien de ce qu'il est possible d'observer, ni des points d'interception où la lisibilité subsiste. C'est précisément dans cet écart que se logeront les prochaines discussions — sur les modalités techniques de mise en œuvre, sur la coopération demandée aux opérateurs, et le cas échéant sur les tentations d'accès en amont du chiffrement. On notera l'ironie de calendrier : le même État qui obtient la validation d'une surveillance fondée sur la lisibilité des URL peine, dans un autre dossier législatif, à trancher entre la protection du chiffrement et les demandes d'accès de ses services.

Références

Angles de lecture pour NotebookLM (à coller dans « Personnaliser » de l'Audio Overview)

Cinq focales possibles sur ce dossier. Choisissez-en une seule et collez-la telle quelle dans le champ de personnalisation de l'Audio Overview.

Angle 1 — Où l'URL reste-t-elle lisible ? Concentre-toi sur l'écart entre la catégorie juridique « adresse complète de ressource utilisée sur internet » et sa lisibilité réelle sur les réseaux. Passe en revue les points d'observation encore exploitables — SNI en clair, résolution DNS non chiffrée, journaux d'un résolveur opérateur — et ceux qui se referment avec ECH, DoH, DoT et QUIC. Explique pourquoi une même autorisation légale produit des capacités de détection très différentes selon l'architecture réseau ciblée.

Angle 2 — Le cahier des charges implicite d'une censure. Traite la décision de juin 2025 comme une spécification et la décision d'août 2026 comme son implémentation. Mets en regard, point par point, ce que le Conseil constitutionnel reprochait au texte censuré et la garantie correspondante ajoutée dans la version validée. Termine en dégageant une méthode réutilisable : comment lire une censure pour anticiper la rédaction du texte suivant.

Angle 3 — Cartographie des points de contrôle pour un audit. Adopte le point de vue d'un auditeur qui devrait vérifier la conformité de la mise en œuvre. Liste les contrôles vérifiables qui découlent du texte : traçabilité des paramètres de conception, cloisonnement du service exécutant, impossibilité d'accéder aux données hors procédure de levée d'anonymat, preuve de la réactualisation de nécessité à chaque renouvellement, effectivité de l'accès permanent de la CNCTR. Précise pour chacun ce qui serait un élément de preuve suffisant.

Angle 4 — Comparaison avec les autres modules du dépôt. Rapproche ce dossier des précédents traités dans archive/ : la sanction CNIL France Travail du 22 janvier 2026 sur l'obligation de sécurité, la censure de la généalogie génétique par la décision n° 2026-909 DC, et le blocage de la transposition de NIS2 autour de l'interdiction des portes dérobées. Dégage le fil commun : dans les quatre cas, le juge sanctionne moins la finalité poursuivie que l'absence de garanties écrites et documentées. Discute la tension entre l'État qui exige le chiffrement au titre de la cybersécurité et l'État qui veut lire les URL au titre du renseignement.

Angle 5 — Automatiser la veille sur un dossier qui rebondit. Explique comment construire une veille réglementaire qui n'aurait pas manqué ce revirement : suivre non pas les décisions isolées mais les articles de code amendés, détecter la réapparition d'un dispositif censuré dans un véhicule législatif différent, et surveiller les sources primaires pertinentes — saisines déposées, avis du Conseil d'État sur les projets de loi, textes adoptés, rapports d'activité de la CNCTR. Termine par les signaux faibles à instrumenter pour anticiper le prochain épisode de ce dossier.