L’article 16bis, la sanctuarisation du chiffrement ?
Une avancée significative
L’article 16bis, récemment introduit dans le cadre du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, marque une avancée significative dans la reconnaissance du chiffrement comme élément fondamental de la sécurité numérique et de la protection des droits fondamentaux. Ce texte interdit explicitement aux autorités d’imposer aux fournisseurs de services de chiffrement, y compris aux prestataires de services de confiance qualifiés, l’intégration de dispositifs techniques visant à affaiblir volontairement la sécurité des systèmes d’information et des communications électroniques. Sont visés notamment les mécanismes tels que les clés de déchiffrement maîtresses ou les portes dérobées, qui permettraient un accès non consenti aux données protégées.
Un contexte législatif contrasté
L’article 16bis intervient dans un contexte législatif particulièrement contrasté. Quelques mois auparavant, une loi visant à lutter contre le narcotrafic avait été adoptée au Sénat, incluant une mesure inverse : elle imposait aux messageries chiffrées comme Signal ou Telegram de permettre techniquement aux services de renseignement d’accéder aux échanges chiffrés des criminels. Cette disposition, bien que motivée par des objectifs de sécurité publique, a été supprimée par l’Assemblée nationale en raison des risques considérables qu’elle faisait peser sur la sécurité informatique et les libertés individuelles.
Le chiffrement de bout en bout repose sur des principes techniques rigoureux. Il garantit que seuls les interlocuteurs d’une communication peuvent en lire le contenu, sans que le fournisseur du service ou une autorité tierce puisse y accéder. Les données sont chiffrées sur l’appareil de l’expéditeur et ne sont déchiffrées que sur celui du destinataire, grâce à des clés cryptographiques uniques. Ce modèle rend toute interception ou accès non autorisé pratiquement impossible sans compromettre l’intégrité du système dans son ensemble.
Un enjeu démocratique
Au-delà de sa dimension technique, le chiffrement est devenu un enjeu démocratique. Il protège la confidentialité des échanges, la liberté d’expression, le secret professionnel et la vie privée. Dans un monde où la surveillance numérique est omniprésente, qu’elle soit étatique ou commerciale, le chiffrement constitue une barrière essentielle contre les abus. Il permet aux journalistes, avocats, militants, entreprises et citoyens de communiquer sans crainte d’intrusion.
La fin d’un combat ?
L’article 16bis tranche un dilemme récurrent dans les politiques de cybersécurité : faut-il affaiblir la sécurité des systèmes pour permettre aux autorités d’accéder aux communications des criminels, ou faut-il sanctuariser cette sécurité au risque de limiter les capacités d’enquête ? Les sénateurs auteurs de l’amendement ont choisi la seconde voie, estimant que les dispositifs d’affaiblissement volontaire créent des vulnérabilités exploitables non seulement par les autorités légitimes, mais aussi par des acteurs malveillants tels que des cybercriminels, des États hostiles ou des entités privées. Une porte dérobée, une fois créée, ne peut être réservée à un usage vertueux : elle devient une faille systémique.
Sur le plan juridique, l’article 16bis s’inscrit dans une logique de protection des droits fondamentaux. La Cour européenne des droits de l’homme et le Conseil constitutionnel français reconnaissent la confidentialité des communications comme un droit fondamental. Le chiffrement, en tant que moyen technique de garantir cette confidentialité, peut être considéré comme une extension de ce droit. L’article 16bis ne crée pas un nouveau droit, mais protège un outil indispensable à l’exercice de droits existants.
La France se positionne comme défenseur du principe de sécurité
L’article 16bis est également cohérente avec le droit européen. Le règlement eIDAS 2, en cours d’adoption, prévoit des exigences de sécurité pour les services de confiance. En interdisant les mécanismes d’accès non consenti, la France se positionne comme défenseur d’une interprétation stricte du principe de sécurité, conforme à l’article 8 de la Charte des droits fondamentaux de l’Union européenne. Elle anticipe ainsi les tensions potentielles entre les exigences de sécurité et les tentations nationales d’affaiblir le chiffrement.
L’introduction de l’article 16bis contribue à clarifier la position française sur le chiffrement, longtemps marquée par des ambiguïtés. Entre les appels à la souveraineté numérique et les velléités de contrôle sécuritaire, le cadre juridique restait flou. Désormais, les fournisseurs de services peuvent s’appuyer sur une base légale explicite pour refuser toute demande d’affaiblissement volontaire de leurs systèmes. Cette clarification est bienvenue, mais elle doit être consolidée par une doctrine cohérente.
Pour que cette sanctuarisation soit pleinement effective, il est nécessaire de sensibiliser les acteurs publics aux risques des backdoors, de coordonner les positions françaises avec celles des partenaires européens, et de soutenir les technologies de chiffrement souveraines et open source. La France pourrait ainsi développer une doctrine du chiffrement fondée sur la sécurité collective, la transparence et la robustesse technique.
Un débat récurrent à l’international
À l’échelle internationale, les approches varient. Aux États-Unis, le débat sur les backdoors est récurrent depuis l’affaire Apple vs. FBI en 2016. Les autorités réclament régulièrement un accès aux données chiffrées, mais les entreprises et les experts en sécurité s’y opposent fermement. Aucune législation fédérale n’impose à ce jour l’intégration de portes dérobées, mais la pression politique reste forte. Le Royaume-Uni a adopté le Investigatory Powers Act, qui permet au gouvernement d’imposer des Technical Capability Notices aux fournisseurs de services.
Ces notices peuvent inclure des exigences techniques, y compris l’accès aux communications. Ce modèle est critiqué pour son opacité et son potentiel d’abus. L’Allemagne et les Pays-Bas, en revanche, ont adopté des positions plus prudentes, refusant d’imposer des backdoors et soutenant le chiffrement fort comme outil de sécurité nationale. Ces pays considèrent que la confiance dans les systèmes numériques est un actif stratégique.
Une sanctuarisation durable ?
L’article 16bis s’inscrit donc dans une tendance internationale de sanctuarisation du chiffrement, mais il reste à voir si cette position sera durable face aux pressions sécuritaires. Les législateurs devront veiller à maintenir cette interdiction dans toutes les lois futures, à renforcer les garanties procédurales en matière de surveillance, et à assurer la cohérence entre les textes nationaux et européens. Les fournisseurs de services devront communiquer clairement sur leur politique de chiffrement, refuser toute demande d’accès non consenti aux données, et investir dans des solutions de sécurité robustes et auditées. Les citoyens et les entreprises, enfin, devront s’approprier ces outils, utiliser des messageries chiffrées de bout en bout, et se former aux bonnes pratiques de sécurité numérique.
Une vision politique du numérique fondée sur la confiance
En définitive, l’article 16bis ne se contente pas de poser une interdiction technique. Il affirme une vision politique du numérique, fondée sur la confiance, la résilience et la protection des libertés. Dans un monde où la tentation du contrôle est omniprésente, cette sanctuarisation du chiffrement apparaît comme un acte de résistance juridique, mais aussi comme une promesse : celle d’un espace numérique plus sûr, plus libre et plus digne.
