Casser le chiffrement : ce que disent les amendements Galut contre Apple et Google

Il avait été le premier à dégainer médiatiquement. Avant la publication des amendements au projet de loi de réforme pénale, le député socialiste Yann Galut avait annoncé avoir déposé un amendement qui condamnerait à 1 million d’euros d’amende les entreprises comme Apple qui refusent de coopérer pour débloquer des téléphones chiffrés. Son initiative vise à répondre aux préoccupations des autorités qui affirment être gênées dans leurs enquêtes par les systèmes qui permettent de chiffrer le contenu des téléphones lorsqu’ils sont verrouillés (sous iOS 8 et Android 6 ou supérieurs).

Au moment où il en avait l’annonce dans Le Parisien, le texte n’était pas encore publié. C’est désormais le cas. En fait il n’y a pas un texte, mais deux.

Première version : Pour le juge d’instruction

Son amendement n°532 propose d’ajouter un nouvel article 99-3-1 au code de procédure pénale, qui disposerait que « pour les enquêtes concernant les infractions mentionnées au 11° de l’article 706-73 du code de procédure pénale, le juge d’instruction, ou l’officier de police judiciaire par lui commis, peut requérir de tout concepteur de matériel électronique d’accéder, par tous moyens, aux données susceptibles d’intéresser l’enquête en cours contenues sur des supports électroniques relevant de sa conception ».

Préserver un équilibre entre le droit à la protection de la vie privée des citoyens et le droit à la sécurité

Aussi :

• Les « infractions mentionnées au 11° de l’article 706-73 du code de procédure pénale » concernent les seuls crimes et délits constituant des actes de terrorisme, ce qui éviterait de demander l’assistance d’Apple ou Google pour des crimes ou délits de droit commun ;
• Le fait que l’assistance ne puisse être demandée que par « le juge d’instruction ou l’officier de policier judiciaire par commis par lui » implique que la procédure se limiterait aux seules instructions ouvertes, et que le procureur de la République n’y aurait pas accès (ce qui contredit ce qu’avait affirmé M. Gallut dans Le Parisien en parlant d’un contrôle par le seul juge des libertés et de la détention) ;
• L’assistance exigée consisterait à « accéder, par tous moyens » aux données stockées sur un support « relevant de [la] conception » de l’entreprise. Contrairement à l’amendement Ciotti qui ambitionne d’interdire l’iPhone mais qui est excessivement mal rédigé (visiblement par incompréhension technique du sujet), l’amendement Gallut vise donc bien les données qui ne sont pas en possession de l’entreprise, mais simplement stockées sur un support selon des techniques qu’elle a mises au point.
• Le député se fiche des moyens employés, faisant donc de l’accès aux données une quasi-obligation de résultat. Comme l’explique le député lui-même, « les concepteurs de matériel électronique ne pourraient opposer la non connaissance des clés de chiffrement ».
• En visant le seul « matériel électronique », l’amendement épargne les services en ligne qui proposeraient le stockage ou l’acheminement de données chiffrées.

Selon l’exposé de ses motifs, Yann Galut cherche à « préserver un équilibre entre le droit à la protection de la vie privée des citoyens et le droit à la sécurité ». Par certains aspects (limitation au seul terrorisme, encadrement par un juge d’instruction, limitation au matériel et non aux services…), il s’en approche. Mais il ignore tout de même aveuglément le problème de fond posé par l’exigence d’assistance.

Si l’on reprend l’exemple d’Apple à qui il est demandé de débloquer des iPhone, il s’agit ni plus ni moins que de demander à la firme de Cupertino de pirater lui-même le téléphone sécurisé qu’un client lui a acheté. Il s’agit de trahir la promesse de sécurité faite aux consommateurs, en leur signalant qu’il est techniquement possible de contourner les mesures de sécurité mises en place. Or si Apple peut le faire, un groupe de cybercriminels ou un état richement doté peut le faire aussi. C’est qu’il existe, quelque part, une faille exploitable. Ou s’il n’en existe pas, c’est demander à Apple d’en créer une, ce qui revient à exiger un backdoor.

Ce qu’Apple ferait en France dans un système judiciaire encadré, fragiliserait l’ensemble des droits de ses clients partout dans le monde, y compris dans des pays où les droits fondamentaux sont moins protégés, voire pas protégés du tout. C’est aussi pour cela qu’Apple se bat.

Deuxième version : Pour le procureur

Une deuxième version du texte, l’amendement n°533, est écrite sensiblement dans les mêmes termes. Elle vise cette fois à ajouter un article 77-1-3 au code de procédure pénale, pour indiquer que « pour les enquêtes concernant les infractions mentionnées au 11° de l’article 706-73 du code de procédure pénale, le procureur de la République ou l’officier de police judiciaire intervenant sur réquisition de ce dernier peut, sur autorisation préalable du juge des libertés et de la détention, requérir de tout concepteur de matériel électronique d’accéder, par tous moyens, aux données susceptibles d’intéresser l’enquête en cours contenues sur des supports électroniques relevant de sa conception ».

Il s’agit de la version qu’avait avancée Yann Galut dans Le Parisien. Cette fois l’équilibre recherché est beaucoup moins clair, puisque le parquet pourrait directement exiger des concepteurs de matériels qu’ils donnent l’accès à des données stockées sur les systèmes qu’ils ont conçus. Seul le juge des libertés et de la détention, qui n’a qu’une vision très parcellaire du dossier et qui n’est pas confronté au contradictoire, servirait de garantie contre les demandes excessives.

Les deux amendements sont complémentaires, et peuvent cohabiter. Le premier donnant des pouvoirs au juge d’instruction, le second au procureur.

Dans les deux cas, « le fait de refuser de répondre sans motif légitime à ces réquisitions est puni d’une amende d’un million d’euros ».