C’est un nouveau sujet de friction entre la France et Starlink, le service d’accès à Internet par satellite fourni par SpaceX. Après un problème dans le processus d’attribution de fréquences, qui n’était pas sa faute, et dont la résolution est survenue dans les mois qui ont suivi, c’est maintenant l’accès aux communications transitant par son service qui pose un problème.
L’affaire est mise en lumière par L’Informé le 26 octobre. Il est constaté que Starlink n’est pas encore entré en conformité avec certaines dispositions de la loi française, en particulier celles relatives aux interceptions judiciaires et de sécurité. Celles-ci visent à accéder au contenu des communications et aux données de connexion associées.
Ces interceptions sont contrôlées a priori et a posteriori par la Commission nationale de contrôle des techniques de renseignement (CNCTR) et couvrent diverses situations : les opérateurs de communications électroniques et les fournisseurs de service en ligne, la captation des communications mobiles par IMSI Catcher, l’écoute par voie hertzienne et, enfin, l’interception satellitaire.
C’est cette dernière catégorie qui concerne spécifiquement Starlink, puisqu’il fournit en France un service d’accès à Internet via une constellation de satellites déployés tout autour du globe, en orbite basse. Starlink compte toutefois aussi deux stations terrestres en France, à Villenave-d’Ornon (Gironde), et à Carros (Alpes-Maritimes).
Des interceptions étendues aux liaisons par satellite
L’extension des interceptions de sécurité au monde des satellites a été rendue possible à la faveur de la loi du 30 juillet 2021 relative à la prévention d’actes de terrorisme et au renseignement, qui est venue renforcer la loi du 24 juillet 2015 relative au renseignement, d’une part, et la loi du 30 octobre 2017 renforçant la sécurité intérieure et la lutte contre le terrorisme, d’autre part.
La loi de 2021 vise ainsi à réviser le cadre légal « pour tenir compte de l’évolution des technologies et des modes de communication utilisés par les terroristes ». Les services de renseignement ont accès à de nouveaux moyens de contrôle, dont l’interception des communications satellitaires, mais à titre expérimental — jusqu’au 31 juillet 2025.
Des nouveaux moyens de contrôle qui sont toutefois circonscrits à des finalités peu nombreuses. La CNCTR mentionne la défense nationale, la contre-ingérence, la lutte contre le terrorisme ou la prévention de la criminalité et de la délinquance organisées. Par ailleurs, d’autres restrictions et règles s’appliquent, afin de limiter le recours excessif à cette méthode.
Or, pointe L’Informé, cette nouvelle réalité juridique — qui est arrivée peu ou prou au même moment où SpaceX se lançait officiellement en France, en août 2021 (quant à l’autorisation de fonctionner en France, elle date de février 2021) — exige que les équipements utilisés disposent des autorisations ministérielles adéquates. Cela inclut donc, en principe, Starlink.
C’est ce qui est prévu à l’article R226-1 du Code pénal et c’est à l’Agence nationale de la sécurité des systèmes d’information (Anssi) de s’en assurer. Néanmoins, ladite autorisation n’a jamais été demandée. Et, donc, elle n’a jamais été délivrée. Nos confrères ont eu la confirmation auprès de l’Anssi. Quant à SpaceX, elle n’a donné aucune suite à leurs sollicitations.
Ce défaut de conformité légal est-il fondé ? Pour les experts du droit des réseaux et des télécoms, cela n’est pas certain. C’est ce que l’avocat Alexandre Archambault pointe, en signalant sur X (ex-Twitter) des particularités juridiques qui sont de nature à épargner à Starlink à devoir solliciter cette autorisation — car, de fait, le réseau satellitaire reste opéré depuis l’étranger.
Précisément, explique-t-il à Numerama, Starlink est, en Europe, une société de droit irlandais, dénommé Starlink Internet Services Limited. Or, la dernière décision de l’Autorité de régulation des communications électroniques (Arcep) du 28 mars 2023 autorisant l’opérateur à établir et exploiter un réseau ouvert au public du service fixe par satellite lui rappelle le cadre légal à respecter, notamment européen.
Ainsi, Starlink « est tenu de respecter les règles définies dans le domaine des fréquences par la convention de l’Union internationale des télécommunications, par le règlement des télécommunications internationales, par le Règlement des radiocommunications, par les accords internationaux et par la réglementation de l’Union européenne », peut-on lire.
Or, la réglementation de l’Union prime sur la réglementation française et c’est bien la première qui est évoquée. « En clair, les autorités nationales ne peuvent imposer à un acteur établi dans un autre État leurs propres règles. C’est à elles de s’adapter au droit de l’Union », résume ce spécialiste des télécommunications. Dès lors, solliciter cette autorisation se heurte à une hiérarchie du droit.
Autre point juridique auquel il faut tenir compte, développe l’avocat : le DSA (Digital Services Act), entré en vigueur depuis le 25 août 2023. Ce texte européen, qui concerne aussi bien l’Irlande que la France, concerne aussi les questions d’accès. Dès lors, c’est le principe du pays d’origine qui prime, et non pas celui du pays de fourniture de service.
Aussi, analyse Alexandre Archambault, « si Starlink n’a pas sollicité l’autorisation R226, c’est tout simplement parce que la loi française interdit des interceptions mises en œuvre en dehors du territoire national. Il renvoie à ce titre à la consultation de l’article D. 98-7 du Code des postes et des communications électroniques, qui est toujours en vigueur aujourd’hui.
Vers un bras de fer avec les autorités françaises ?
Ces spécificités sont-elles de nature à éviter à Starlink de futurs ennuis avec les autorités françaises ? En théorie, des options existent pour contraindre Starlink de plier, s’il ne se conforme pas à la procédure, mais leur applicabilité est incertaine. Il est évoqué le démontage des stations terrestres, des amendes via une procédure conduite par l’Arcep.
Ce qu’elle peut autoriser, elle pourrait théoriquement le retirer, avec, à l’issue d’une mise en demeure, une suspension temporaire ou définitive. Les amendes seraient établies sur une fraction du chiffre d’affaires de la société satellitaire. Selon nos confrères, le sujet est suivi par le commissariat aux communications électroniques de défense, à Bercy.
L’ampleur de l’infraction reste à évaluer à l’aune du poids de Starlink en France, qui s’avère encore marginal. Certes, le trafic Internet via cet opérateur a bondi en 2022, mais le nombre de clients dans l’Hexagone reste bas — on parle de 10 000 clients fin 2022 — y compris face à des concurrents directs. NordNet, une filiale d’Orange pour le satellitaire, en revendique des dizaines de milliers.
On est également à des années-lumière des fournisseurs d’accès à Internet, qui ont des millions de clients en France. Cependant, l’offre est devenue plus attractive en 2022. Si elle est encore loin de s’aligner avec une offre classique en fibre optique ou en 4G / 5G, la formule Starlink séduit quand même — surtout dans les régions mal desservies.
Ce défaut de conformité légal pourrait devenir une difficulté croissante si Starlink continue d’engranger toujours plus de clients. Un problème contrebalancé par les facultés expérimentales octroyées par la loi de 2021. Celles-ci autorisent une interception directe, via un « dispositif de captation spécifique », sans avoir besoin d’avoir à demander quoi que ce soit à Starlink.
(mise à jour de l’article avec des précisions juridiques de l’avocat Alexandre Archambault)
Si vous avez aimé cet article, vous aimerez les suivants : ne les manquez pas en vous abonnant à Numerama sur Google News.
