Après en avoir délibéré le 29 mars 2016,
Formule l'avis suivant :
I. - Contexte de la saisine
Jusqu'à la loi n° 2013-1168 du 18 décembre 2013 relative à la programmation militaire pour les années 2014 à 2019 et portant diverses dispositions concernant la défense et la sécurité nationale (ci-après « LPM »), l'article 226-3 du code pénal prohibait, en l'absence d'autorisation ministérielle, la fabrication, l'importation, la détention, l'exposition, l'offre, la location ou la vente d'appareils ou de dispositifs techniques « conçus pour réaliser » les opérations pouvant constituer l'infraction d'atteinte au secret des correspondances.
L'article 23 de la LPM a élargi le périmètre des appareils et dispositifs techniques pouvant être soumis à autorisation en remplaçant à cet article l'expression « conçus pour réaliser » par « de nature à permettre ».
La liste d'appareils et de dispositifs techniques soumis à autorisation, en application de l'article 226-3 du code pénal, est établie par arrêté du Premier ministre.
Le projet d'arrêté soumis pour avis à l'Autorité vise à tenir compte de cette modification en adaptant l'arrêté du 4 juillet 2012 qui fixe la liste d'appareils et de dispositifs techniques dont « la fabrication, l'importation, l'exposition, l'offre, la location ou la vente » (annexe I de l'arrêté), ou « l'acquisition ou la détention » (annexe II de l'arrêté) sont soumises à autorisation délivrée par le Premier ministre.
Ainsi, le 1° de l'article 1 du projet d'arrêté élargit le périmètre des appareils et dispositifs techniques soumis à autorisation ministérielle visés dans les annexes I et II de l'arrêté afin d'inclure les appareils « de nature à permettre » l'interception, l'écoute, l'analyse, la retransmission, l'enregistrement ou le traitement de correspondance émises, transmises ou reçues sur des réseaux de communications électroniques.
En conséquence, le projet d'arrêté prévoit, au 2° de l'article 1, de compléter la liste non exhaustive des appareils et dispositifs techniques soumis à autorisation en ajoutant au 2e alinéa du 1 des annexe I et II les « appareils qui permettent aux opérateurs de communications électroniques de connecter les équipements de leurs clients au cœur de leur réseau radioélectrique mobile ouvert au public, dès lors que ces appareils disposent de fonctionnalités pouvant être configurées et activées à distance, permettant de dupliquer les correspondances des clients, à l'exclusion des appareils installés chez ceux-ci ».
L'article 2 du projet d'arrêté prévoit une entrée en vigueur en deux temps : au 1er juillet 2016 pour le remplacement des mots « conçus pour réaliser » par « de nature à permettre » du 1° de l'article 1 des annexes I et II et au 1er juillet 2021 pour la nouvelle catégorie des appareils concernés au 2° de l'article 1 des annexes I et II.
II. - Observations de l'Autorité
A titre liminaire, l'Autorité rappelle que le marché des communications électroniques requiert de la part des opérateurs des investissements très importants (fréquences, équipements de réseaux) afin de tendre vers le niveau de qualité de service et de couverture attendu par les consommateurs, les entreprises et les pouvoirs publics. En conséquence, il importe que les opérateurs bénéficient de visibilité et de sécurité juridique concernant l'évolution du cadre législatif et réglementaire affectant leurs investissements. Dans ces conditions, les observations de l'Autorité sur le projet d'arrêté qui lui est soumis pour avis se concentreront sur les aspects relatifs à la prévisibilité et à la sécurité juridique.
1. Sur le périmètre des appareils soumis à autorisation
Dans leur formulation actuelle, les annexes I et II de l'arrêté du 4 juillet 2012 visent de manière large les « appareils, à savoir tous dispositifs matériels et logiciels, conçus pour réaliser l'interception, l'écoute, l'analyse, la retransmission, l'enregistrement ou le traitement de correspondances émises, transmises ou reçues sur des réseaux de communications électroniques, opérations pouvant constituer l'infraction prévue par le deuxième alinéa de l'article 226-15 du code pénal » et liste de manière non exhaustive les appareils qui entrent dans cette catégorie (« Entrent notamment dans cette catégorie »), ainsi que ceux qui n'y entrent pas. Une telle liste non exhaustive est source d'incertitude car elle ne permet pas aux équipementiers et aux opérateurs de savoir précisément si d'autres appareils que ceux qui apparaissent dans la liste doivent être soumis à autorisation.
Afin de remédier à cette incertitude, l'Autorité propose que l'ensemble des appareils soumis à autorisation soit fixé dans l'arrêté sous la forme d'une liste exhaustive.
2. Sur la date d'entrée en vigueur de la disposition relative aux équipements de réseaux mobiles
S'agissant de l'ajout relatif aux équipements mobiles prévu au 2° de l'article 1er du projet d'arrêté, l'Autorité note avec satisfaction qu'une entrée en vigueur différée est prévue, en l'occurrence au 1er juillet 2021. Ce délai de cinq ans n'apparait pas déraisonnable afin de permettre aux différents acteurs d'anticiper au mieux leurs stratégies de déploiement d'équipements de réseau et d'organiser le remplacement, d'ici l'échéance du 1er juillet 2021, des équipements actuellement exploités par les opérateurs qui sont susceptibles de faire l'objet d'un refus d'autorisation. Compte tenu du type d'équipement visé par cette disposition, un tel remplacement pourrait concerner jusqu'à plusieurs milliers d'équipements.
Afin de permettre aux acteurs de bénéficier de cette entrée en vigueur différée pour anticiper les évolutions qui interviendront au 1er juillet 2021, l'Autorité estime souhaitable que l'Agence nationale de sécurité des systèmes d'information puisse établir, au plus tôt, une feuille de route avec les équipementiers et les opérateurs. Cette feuille de route devrait permettre d'identifier les matériels et logiciels, déjà déployés ou prévus dans les plans de déploiement des équipementiers et opérateurs, qui ne seront plus autorisés à compter du 1er juillet 2021.
3. Sur l'impact d'un retrait ou d'un non-renouvellement d'autorisation
Un retrait (1) ou un non-renouvellement (2) d'autorisation ministérielle sur des appareils déjà installés impliquerait, pour un opérateur, le remplacement du matériel en cause dans son réseau ou, pour l'équipementier, la conception d'un correctif logiciel.
Or, l'Autorité relève qu'en cas de non renouvellement de l'autorisation ou de retrait de celle-ci, l'article R. 226-12 du code pénal prévoit que les opérateurs et les équipementiers disposent d'un délai d'un mois pour se mettre en conformité. Un tel délai ne parait pas toujours adapté aux problématiques de déploiement d'un réseau mobile.
a) Pour les opérateurs, la sélection d'un équipement de substitution peut nécessiter 12 à 18 mois, délai à l'issue duquel peuvent débuter les opérations de remplacement dont la durée peut s'étaler sur plusieurs années en fonction du nombre d'équipements à remplacer.
b) Pour les équipementiers, la conception d'un correctif logiciel pour mettre l'équipement en conformité nécessitera plusieurs mois de travail et de discussion avec l'Agence nationale de sécurité des systèmes d'information et les opérateurs, qui ne pourront continuer à faire évoluer leurs réseaux comme prévu par leurs feuilles de route.
L'Autorité invite le Gouvernement à prendre en compte ces paramètres économiques et techniques et à définir un mécanisme approprié pour le remplacement des équipements exploités concernés par la nouvelle règlementation. Il serait ainsi opportun de prévoir la possibilité pour le Premier ministre d'allonger dans certains cas, eu égard à l'ampleur du projet en cause de remplacement des équipements, le délai de mise en conformité tout en déterminant un délai compatible avec les impératifs liés à la sécurité nationale. Ce délai pourrait, le cas échéant, faire l'objet d'une modulation géographique pour tenir compte des enjeux de sécurité nationale.
Le présent avis sera transmis au Secrétaire général de la défense et de la sécurité nationale.