En tout état de cause, et indépendamment de l’obligation juridique de recueillir l’avis de la CNIL, l’importance des questions soulevées par diverses dispositions, du point de vue du droit au respect de la vie privée et à la protection des données personnelles aurait dû, par elle-même, justifier la consultation de la CNIL. Il en va ainsi de la localisation des personnes sous surveillance électronique mobile, de l’obligation de déclarer les numéros d'abonnement et identifiants techniques ou de la saisie de données informatiques.

[…]

Tout d’abord, sur l’obligation de déclarer les numéros d’abonnement et les identifiants des moyens de communication électronique prévue dans certaines hypothèses. A la demande du Conseil d’Etat, les mots de passe ont été exclus de la liste des éléments à déclarer. Cependant, la Commission relève que cette obligation est susceptible de concerner un champ très large de services de communication, tels que la téléphonie fixe ou mobile, la transmission vocale sur internet, les SMS, les courriels, les messageries instantanées, etc. Ce champ n’est pas précisé ni limité par le projet de loi. Le texte ne prévoit pas davantage les finalités et les conditions d’utilisation de ces numéros et identifiants. Des précisions devront être apportées sur ce point pour clarifier les finalités et garantir la proportionnalité de telles mesures.

Une grande vigilance devra par ailleurs être observée sur les données PNR (Passenger Name Record). Il s’agit là d’un type de traitement de grande ampleur, susceptible d’avoir une incidence majeure sur le droit au respect de la vie privée. Le projet de loi supprime le caractère expérimental de celui-ci conformément à la directive européenne n° 2016/681. Pour autant, cette pérennisation n’ôte rien à l’exigence d’évaluation. La CNIL rappelle que la directive prévoit une clause de réexamen de l’ensemble du dispositif, sur la base des informations communiquées par les États membres. Le traitement mis en œuvre au niveau national est en outre plus étendu que ce que prévoit la directive, dans la mesure où il peut être utilisé, par les services de renseignement, à des fins de prévention des atteintes aux intérêts fondamentaux de la nation. Il faudra donc, dans les conditions fixées par la loi et le règlement, prévoir une rigoureuse évaluation du dispositif national, et notamment de l’effectivité des garanties prévues pour les personnes concernées.

D’autres dispositions du projet de loi peuvent appeler des remarques plus techniques. C’est le cas des dispositions relatives à la saisie de données informatiques dans le cadre de visites. La Commission estime que l’exploitation des données saisies ainsi que les opérations de destruction de ces données pourraient faire l’objet de procès-verbaux afin d’assurer un meilleur contrôle par les personnes concernées et l’autorité judiciaire sur ces opérations.

[…]

Si ces garanties ont considérablement progressé, il leur manque selon la Commission une composante essentielle : un contrôle indépendant et global de la gestion de ces fichiers.

Cependant, au-delà de ces contrôles ponctuels, à la demande d’une personne, il n’existe pas aujourd’hui de dispositif de contrôle global des fichiers de renseignement eux-mêmes. Les textes qui les ont créés les ont en effet soustraits, dans la plupart des cas, au contrôle a posteriori de la CNIL. Il en résulte une situation paradoxale : les fichiers constitués à partir des données ainsi collectées sont pleinement soumis aux principes de la loi Informatique et Libertés (principe de finalité, proportionnalité des données collectées, exigence d’exactitude et de mise à jour, etc.), mais aucun contrôleur externe n’est désigné pour en assurer, de manière générale, le respect.

Le chiffrement est un élément essentiel de la résilience de nos sociétés numériques et du patrimoine informationnel des entreprises comme du secteur public. Il ne doit pas être affaibli. […]

L’ensemble des outils susceptibles d’être mobilisés pour accéder à des données chiffrées ou contourner les dispositifs de chiffrement, qui ne peuvent être mis en œuvre que dans certaines conditions précises, forment un arsenal juridique solide.

[…] la Commission entend réaffirmer, comme l’avait fait l’ANSSI (Agence Nationale de la sécurité des systèmes d’information), que la mise en place de portes dérobées (« backdoors ») dans les systèmes de chiffrement et de « clés maitres », ou encore l’interdiction pour le grand public d’utiliser des techniques de chiffrement des données à la main des utilisateurs, mettraient en péril le principe même de fonctionnement des technologies actuelles de chiffrement, qui reposent précisément sur l’interdiction d’accès, par des tiers, aux données ainsi protégées. Elles créeraient un risque collectif d’affaissement du niveau de sécurité des personnes et des institutions, et renforceraient leur exposition à de graves préjudices économiques, politiques ou de sécurité publique.