En examinant la liste des données de connexion figurant au I de l’article
R. 851-5 du code de la sécurité intérieure, la commission a considéré que
les données mentionnées au b) du 2°, à savoir celles « relatives à l’accès
des équipements terminaux aux réseaux ou aux services en ligne »,
pouvaient comprendre les adresses Internet ou URL. Tout comme la
CNIL97, elle a regardé les URL comme des données mixtes, susceptibles de
comporter à la fois des données de connexion et des mots faisant référence
au contenu de correspondances échangées ou d’informations consultées.
Elle a dès lors souligné, dans sa délibération du 14 janvier 2016, que les
accès administratifs aux données de connexion ne pouvaient permettre
de recueillir un tel contenu et devaient avoir exclusivement pour objet
de reconstituer, grâce aux seules parties d’URL pertinentes, le chemin
informatique utilisé pour échanger des correspondances ou consulter des
informations. Elle a ainsi admis le recueil d’URL dans le cadre d’accès
administratifs aux données de connexion à la condition que seuls soient
recueillis les éléments qui déterminent le chemin utilisé pour échanger
des correspondances ou consulter des informations, les autres éléments
devant être éliminés.
Il ressort de l’exposé des motifs du projet de loi que le Gouvernement
entend améliorer l’efficacité de la technique de l’algorithme en incluant
« tous les types d’URL » parmi les données pouvant faire l’objet des
traitements automatisés. Sont englobées à la fois les données relatives à
l’accès des équipements terminaux aux réseaux ou aux services en ligne,
que le Gouvernement estime relever par nature des données de connexion,
et les « adresses complètes de ressources sur internet », qui peuvent
quant à elles faire référence au contenu des informations consultées.
Le Gouvernement estime que leur recueil serait particulièrement utile
à la prévention du terrorisme en ce qu’il permettrait de détecter les
consultations d’informations présentant un lien avéré avec les activités
terroristes puis, le cas échéant, d’identifier les individus à l’origine de ces
connexions. L’étude d’impact accompagnant le projet de loi précise que
le recueil d’« adresses complètes de ressources sur internet » ne pourra
pas concerner le contenu des informations consultées.
97 - D
ans sa délibération n° 2015-455 du 17 décembre 2015 portant sur le projet de décret, la CNIL a décrit les URL comme
« nécessaire[s] à l’acheminement d’une communication » tout en étant « porteuse[s] par nature des informations consultées ».