Avis 20210155 Séance du 15/04/2021

Le président directeur général d'Orange Groupe a saisi la commission d'accès aux documents administratifs, par courrier enregistré à son secrétariat le 24 décembre 2020, à la suite du refus opposé par le Premier ministre à sa demande de communication d'une copie, de préférence sous format électronique, des autorisations préalables délivrées, sur le fondement de l'article L34-11 du code des postes et des communications électroniques, à la société SFR/Numéricable et/ou à sa filiale la société Réunionnaise de Radiotéléphonie (SRR), pour l'exploitation d'équipements de radio 5G de l'équipementier Huawei sur les territoires de Mayotte et de La Réunion accompagnées de leurs annexes. En l'absence, à la date de sa séance, de réponse du Premier ministre, la commission rappelle que l'article 1er de la loi n° 2019-810 du 1er août 2019 a inséré dans le code des postes et des communications électroniques l'article L34-11, aux termes duquel : « I.-Est soumise à une autorisation du Premier ministre, dans le but de préserver les intérêts de la défense et de la sécurité nationale, l'exploitation sur le territoire national des appareils, à savoir tous dispositifs matériels ou logiciels, permettant de connecter les terminaux des utilisateurs finaux au réseau radioélectrique mobile, à l'exception des réseaux de quatrième génération et des générations antérieures, qui, par leurs fonctions, présentent un risque pour la permanence, l'intégrité, la sécurité, la disponibilité du réseau, ou pour la confidentialité des messages transmis et des informations liées aux communications, à l'exclusion des appareils installés chez les utilisateurs finaux ou dédiés exclusivement à un réseau indépendant, des appareils électroniques passifs ou non configurables et des dispositifs matériels informatiques non spécialisés incorporés aux appareils. L'autorisation mentionnée au premier alinéa du présent I n'est requise que pour l'exploitation, directe ou par l'intermédiaire de tiers fournisseurs, d'appareils par les opérateurs mentionnés à l'article L1332-1 du code de la défense, ainsi désignés en vertu de leur activité d'exploitant d'un réseau de communications électroniques ouvert au public. (...) I.-L'autorisation d'exploitation d'un appareil peut être octroyée après examen d'un dossier de demande d'autorisation remis par l'opérateur. Le dossier précise les modèles et les versions des appareils pour lesquels l'autorisation est sollicitée. L'autorisation est octroyée, le cas échéant sous conditions, pour une durée maximale de huit ans. (...) ». L'article L34-12 de ce code dispose, en outre que : « Le Premier ministre refuse l'octroi de l'autorisation prévue à l'article L34-11 s'il estime qu'il existe un risque sérieux d'atteinte aux intérêts de la défense et de la sécurité nationale résultant du manque de garantie du respect des règles mentionnées aux a, b, e, f et f bis du I de l'article L33-1 relatives à la permanence, à l'intégrité, à la sécurité, à la disponibilité du réseau, ou à la confidentialité des messages transmis et des informations liées aux communications. Sa décision est motivée sauf lorsque la communication des motifs pourrait être de nature à porter atteinte à l'un des secrets ou intérêts protégés par les dispositions des a à f du 2° de l'article L311-5 du code des relations entre le public et l'administration. Le Premier ministre prend en considération, pour l'appréciation de ce risque, le niveau de sécurité des appareils, leurs modalités de déploiement et d'exploitation envisagées par l'opérateur et le fait que l'opérateur ou ses prestataires, y compris par sous-traitance, est sous le contrôle ou soumis à des actes d'ingérence d'un État non membre de l'Union européenne ». En outre, aux termes de l'article R20-29-11 de ce code : « La demande d'autorisation prévue à l'article L34-11 est déposée auprès du secrétaire général de la défense et de la sécurité nationale. Elle comporte pour chaque type d'appareil : 1° Le nom et l'adresse du demandeur, s'il est une personne physique, ou sa dénomination, l'adresse de son siège et le nom de son représentant légal, s'il est une personne morale ; 2° L'objet, la dénomination, la ou les versions et les caractéristiques techniques de l'appareil, accompagnés de la documentation technique de l'appareil fournie par son fabricant ; 3° L'utilisation prévue de l'appareil au sein du réseau radioélectrique du demandeur ; 4° Les modalités de déploiement de l'appareil, précisant l'activation ou la non-activation des fonctionnalités optionnelles de celui-ci, les modalités de protection adoptées pour ses interconnexions avec d'autres éléments du réseau et les logiciels informatiques non spécialisés, systèmes d'exploitation et éventuelles solutions de virtualisation sur lesquels repose l'hébergement informatique de l'appareil et de ses données, les modalités de sécurisation de ces logiciels, ainsi que l'éventuel hébergement de l'appareil avec d'autres appareils sur une même infrastructure informatique ; 5° Les modalités d'exploitation de l'appareil, précisant les opérations de configuration, de supervision et de maintenance susceptibles d'être réalisées en cours de fonctionnement ou sur l'hébergement informatique, ainsi que les sous-traitants réalisant des opérations de configuration, de supervision ou de maintenance sur l'appareil ; 6° La référence de l'autorisation prévue à l'article R226-3 du code pénal, si l'appareil a fait l'objet d'une telle autorisation ; 7° L'engagement de se soumettre aux contrôles nécessaires à la vérification du respect des informations fournies dans la demande d'autorisation ». Enfin, aux termes de l'article R20-29-12 de ce code : « L'autorisation prévue à l'article L34-11 mentionne la ou les versions des appareils autorisées et la durée d'autorisation. Elle peut préciser les conditions dans lesquelles le demandeur pourra, sans avoir à déposer de nouvelle demande d'autorisation, faire évoluer la version des appareils, les modalités de déploiement mentionnées au 4° de l'article R20-29-11, ou les modalités d'exploitation mentionnées au 5° du même article ». La commission rappelle que ce régime d'autorisation s'inscrit dans un mouvement général de renforcement de la sécurité des équipements de la cinquième génération de connectivité des terminaux mobiles, dite 5G, eu égard aux spécificités techniques de la 5G, de ses cas d’usage pour des domaines industriels, pour certains secteurs critiques, et aux obligations légales qui pourraient contraindre leurs fournisseurs à coopérer avec des autorités étrangères dans la collecte de renseignement. La commission estime, d'une part, que ces autorisations comprennent nécessairement eu égard à leur objet, notamment lorsqu'elles comportent les précisions prévues aux 4° et 5° de l'article R20-29-11 du code des postes et communications électroniques relatives aux modalités de déploiement et d'exploitation, des mentions relevant de la défense nationale, de la sûreté de l’État, de la sécurité publique, de la sécurité des personnes ou de la sécurité des systèmes d'information des administrations. D'autre part, la commission considère que prises dans leur ensemble, ces autorisations sont de nature à révéler la carte du réseau d'un opérateur déterminé, sa configuration ainsi que le nombre d'appareils mobilisés pour atteindre les engagements de déploiement du réseau 5G, ce qui relève de la stratégie commerciale et partant du secret des affaires protégé en application des dispositions de l'article L311-6 du code des relations entre le public et l'administration. En outre, cette carte est susceptible de révéler, en creux, des zones ou points sensibles du territoire pour lesquels des motifs tenant au risque sérieux d'atteinte aux intérêts de la défense et de la sécurité nationale ont justifié des refus d'autorisation d'appareils permettant de connecter les terminaux des utilisateurs finaux au réseau radioélectrique mobile de la 5G. Sa communication se heurterait donc également au secret de la défense nationale ainsi que des impératifs de sûreté de l’État et de sécurité publique, mentionnés aux b) et d) du 2° de l'article L311-5 du code des relations entre le public et l'administration. La commission considère en conséquence que les autorisations délivrées par le Premier ministre sur le fondement de l'article L34-11 du code des postes et des communications électroniques ne sont pas communicables sur le fondement des dispositions du livre III du code des relations entre le public et l'administration. Elle émet par suite un avis défavorable à la demande.