En matière de cyber il semble y avoir la loi, l’esprit de la loi… et le flou artistique ! Pris entre plusieurs feux et manifestement sans vision forte, le législateur donne malheureusement l’impression d’alterner entre le premier et le dernier, au détriment de l’esprit de la loi.

Le petit déjeuner-débat organisé par Défense & Stratégie avec Myriam Quéméner a cependant permis d’initier de bonnes réflexions en la matière. Le magistrat était venu commenter son ouvrage « Cybersociété entre espoirs et risques » , accompagnée de Laure de la Raudière, député d’Eure-et-Loir, secrétaire de la Commission des Affaires économiques et membre du Conseil National du Numérique. Le tout en la présence du ministre Jacques Godfrain, auteur en 1988 de la loi éponyme relative à la fraude informatique.

A l’heure où le gouvernement tente d’encadrer l’usage de la géolocalisation par les services d’enquête le débat a permis, enfin, de recarder les choses. « Quand l’intérêt de la Nation est concernée il ne faut pas se désarmer, car les délinquants, eux, ne se privent pas de faire usage de toutes les ressources à leur disposition. Mais si l’on décide d’autoriser la géolocalisation dans un cadre fiscal, par exemple, il faudra que ce soit très bien encadré » , met en garde Myriam Quéméner.

Et c’est bien là le coeur du problème : tandis que la Cour de cassation interdit aux policiers l’usage de la géolocalisation dans le cadre des enquêtes préliminaires (donc sous le contrôle d’un magistrat du parquet et non d’un juge d’instruction), la loi de programmation militaire, elle, étend au ministère de l’économie et du budget la liste des entités autorisées à demander des interceptions administratives.

On interdit donc aux enquêteurs placés en première ligne d’utiliser l’un des outils les plus efficace de leur arsenal d’investigation tout en ouvrant au fisc les capacités d’interception et de géolocalisation jusqu’à présent réservées à la Défense et la sécurité intérieure… (on peut certes argumenter que l’irruption du ministère de l’économie dans ce petit club très fermé est lié aux enquêtes menées par TRACFIN, mais ce service est minoritaire au sein des activités du ministère et il fait déjà partie de la communauté française du renseignement).

Signe des temps et hasard du calendrier, la LPM qui étend ce petit club des intercepteurs a été adoptée le 21 octobre dernier, soit la veille de la décision de la Cour de cassation de limiter le recours des policiers à la géolocalisation, intervenue elle le 22 octobre.

Si la géolocalisation semble cependant être en passe d’être à nouveau autorisée, cet épisode illustre plus largement la difficulté d’intégration du numérique dans les procédures judiciaires. « Cela pose la question du recueil de la preuve numérique. Il est dit dans le droit que la preuve doit être recueillie dans des conditions loyales. Or, des pratiques telles les pots de miel, ou plus généralement les modes d’investigation numérique intrusifs, ne peuvent être utilisés car ils tombent sous le coup de la preuve déloyale » , poursuit Myriam Quéméner.

Mais cette obligation date essentiellement d’un arrêt de 1888, après qu’un juge d’instruction ait téléphoné à un suspect pour obtenir une preuve de sa participation à un trafic de décorations sans lui signifier sa qualité de magistrat (source). Depuis, le droit a certes reconnu et encadré la pratique de l’infiltration, mais cela ne concerne toujours pas le recueil intrusif de la preuve numérique dans le cadre d’affaires pénales traditionnelles.

Cela signifie-t-il qu’il faille donc se priver aujourd’hui de preuves recueillies par des méthodes d’investigation numérique intrusives ? Un policier qui géolocalise un suspect en temps réel est-il très différent de celui qui le file dans la rue ? Nous laisserons les juristes répondre. Mais il est certain que l’irruption du numérique au coeur de notre société n’était pas prévue en 1888 lorsque les juges ont été confrontés pour la première fois à ce principe de loyauté de la preuve.

Pour le député Laure de la Raudière, c’est en tout cas bien d’une question de société dont il s’agit : « Notre société doit devenir adulte dans l’usage du numérique. Il faut certes éduquer et sensibiliser à l’usage d’Internet, et probablement développer de nouvelles pratiques car il s’agit d’un nouveau territoire. Mais je ne pense pas qu’il faille aseptiser Internet pour autant, car il ne ressemblera plus alors à la vraie vie. Et puis cela risquerait de pousser les criminels à créer un réseau parallèle où il sera plus difficile de mener des enquêtes » .

Bref, Internet reflète la vraie vie et les enquêteurs devraient en toute logique y bénéficier des mêmes capacités : s’il est possible de filer un suspect, de l’observer commettre un délit ou de l’intercepter alors qu’il s’apprête à en commettre un, pourquoi les mêmes observations réalisées en ligne ne seraient-elles pas acceptables ?

D’autant plus, a fait remarquer l’un des participants au débat, que les internautes autorisent très souvent déjà les entreprises privées à les géolocaliser. Les Google, Apple et autres géants du web ne se privent pas pour collecter des données de géolocalisation – souvent avec la bénédiction de leurs utilisateurs – tandis que les enquêteurs doivent quant à eux décrocher de haute lutte l’autorisation de géolocaliser en urgence le téléphone mobile d’un individu qui vient, par exemple, de menacer de tuer son ex-épouse. « Il y a deux poids, deux mesures, et il serait temps d’être un peu réaliste » , suggère l’un des participants.

Il serait en définitive salutaire de revenir à l’esprit de la loi plutôt que de vouloir empiler les textes techniques au périmètre restreint et à la durée de vie réduite. « Les lois Godfrain et de 1978 sont bonnes car elles résistent au temps. Et elles résistent au temps parce qu’elles parlent des principes. Mais aujourd’hui on a l’impression que le législateur a la tête dans le guidon. Quand on voit le débat sur la géolocalisation, qui tente de faire la distinction entre le téléphone mobile et la balise GPS, qui parle de bornage, on est dans la technique, et celle-ci sera certainement obsolète avant que le débat ne soit terminé » , juge Stéphane Schmoll, directeur général de Deveryware.

« Et pendant ce temps, au niveau européen, là où se déroulent les discussions sur les principes de droit qui nous guideront demain, il n’y a quasiment pas de français. Mais on y trouve en revanche 22 représentants de Microsoft et 8 de IBM, par exemple… » , ajoute en guise de conclusion un participant (nous n’avons pas été en mesure de vérifier ces chiffres de la participation des grands éditeurs, mais c’est la tendance qui compte)

Il semble donc grand temps non seulement de revenir à l’esprit des lois et d’arrêter de vouloir créer une texte pour chaque exception ou chaque comportement nouveau, mais également de donner au numérique dans la loi la place qu’il occupe désormais dans notre société : celle d’un élément constituant naturel.