Après en avoir délibéré le 19 février 2026 ;
Est d’avis de répondre dans le sens des observations qui suivent,

1. Contexte

L’article L. 36-5 du code des postes et des communications électroniques (ci-après « CPCE ») prévoit que l’ARCEP est consultée sur les projets de loi, de décret ou de règlement relatifs au secteur des communications électroniques, et participe à leur mise en œuvre.
En application de ces dispositions, par courrier en date du 3 février 2026, enregistré le 5 février 2026, le secrétaire général de la défense et de la sécurité nationale a saisi l’ARCEP pour avis sur les articles 17 et 20 du projet de loi actualisant la loi de programmation militaire pour les années 2024 à 2030 et portant diverses dispositions intéressant la défense.

2. Objet de la saisine
2.1. Article 17

L’article 17 du projet de loi modifie l’article L. 851-3 du code de la sécurité intérieure (ci-après « CSI »), notamment en reprenant et en adaptant certaines des dispositions de la loi n° 2025-532 du 13 juin 2025 visant à sortir la France du piège du narcotrafic, censurées par le Conseil constitutionnel dans sa décision n° 2025-885 DC du 12 juin 2025.
A ce titre, il réautorise de façon limitée le traitement automatisé des « adresses complètes des ressources utilisées sur internet » dans le cadre de la technique de renseignement dite « de l’algorithme ». Il réintroduit également la finalité de « prévention de la criminalité et de la délinquance organisées » parmi celles justifiant le recours à la technique.
Enfin, la nouvelle rédaction de l’article L. 851-3 du CSI prévoit l’émission de l’avis de la Commission nationale de contrôle des techniques de renseignement, préalablement à la mise en œuvre de la technique de renseignement, dans un délai de sept jours.

2.2. Article 20

En premier lieu, l’article 20 du projet de loi instaure, dans le code de la défense (ci-après « CDD ») un régime d’exception, « l’état d’alerte de sécurité nationale », pouvant être déclaré par décret en Conseil des ministres.
Lorsque l’état d’alerte de sécurité nationale est déclaré, le projet d’article L. 2143-4 du CDD autorise les autorités administratives désignées par un décret en conseil des ministres « à déroger à des normes réglementaires nationales ou locales pour prendre des actes, réglementaires ou individuels, relevant des compétences qu’elles exercent en matière de défense » et relevant notamment du domaine des communications électroniques.
Les actes dérogatoires doivent être « nécessaires à la mise en œuvre de la réponse à apporter à la menace » ayant justifié la déclaration de l’état d’alerte, et ne doivent pas « porter une atteinte disproportionnée aux objectifs poursuivis par les dispositions auxquelles il est dérogé ». Ils sont par ailleurs dispensés de toutes les « obligations de consultation résultant de dispositions législatives ou réglementaires ».
En second lieu, lorsque cet état d’alerte de sécurité nationale est déclenché, l’article 20 du projet de loi instaure une obligation pour les « exploitants de réseaux de radiocommunications mobiles » de fournir au ministre chargé des communications électroniques des « données interopérables relatives à la couverture du territoire par les réseaux de communications électroniques mobiles ». Un décret d’application précisera les « conditions et modalités d’application » de cette obligation.
Par un nouvel article L. 33-7-1 du CPCE, l’article introduit cette même obligation également « en situation de crise ou lors d’événements d’une particulière gravité affectant les réseaux de communications électroniques ».

3. Observations de l’ARCEP
3.1. Sur l’article 17

En préambule, l’ARCEP comprend que la notion « d’adresse complète des ressources utilisées sur internet » figurant dans le projet est plus restrictive que celle d’Uniform Resource Locator (ci-après « URL ») utilisée dans l’étude d’impact, en ce qu’elle exclut notamment la portion de « requête » des URL (1), (2).
Ensuite et en premier lieu, ainsi qu’elle l’avait déjà regretté dans son avis n° 2021-0643 du 15 avril 2021 concernant certaines dispositions du projet de loi relatif à la prévention d’actes de terrorisme et au renseignement, l’ARCEP constate que les informations fournies dans le cadre de la saisine ne comportent pas de précision quant à la mise en œuvre du dispositif au sein des réseaux des opérateurs ou aux résultats des éventuelles expérimentations menées. L’Autorité n’est donc toujours pas en mesure d’apprécier le fonctionnement précis de la technique et d’en évaluer les conséquences pour les opérateurs de communications électroniques, leurs services et leurs réseaux, alors même qu’elle est chargée de veiller à leur intégrité et leur sécurité (3).
En deuxième lieu, l’ARCEP observe que ces dispositions pourraient inciter les utilisateurs à recourir à des outils et dispositifs renforçant la protection de leur vie privée, ce qui peut nuire à l’effectivité d’autres instruments prévus par le droit national ou de l’Union (filtre anti-arnaques, blocages judiciaires de sites web, interceptions judiciaires et de sécurité ciblées, etc.).
En dernier lieu, l’ARCEP souhaite rappeler l’évolution significative des protocoles d’accès au web depuis l’entrée en vigueur de l’article L. 851-3 du CSI. En effet, si en 2015 moins de la moitié des pages web consultées l’étaient au moyen d’un protocole sécurisé (HTTPS), ce taux s’élève aujourd’hui à plus de 99 % (voir la figure 1 pour des statistiques publiques relatives au logiciel Google Chrome (4) en France, qui dispose des parts de marché les plus importantes). Pour cette portion importante du trafic web, les URL ne sont pas lisibles par les opérateurs de communications électroniques transportant ce trafic et pourraient donc ne pas être exploitées par les traitements automatisés mis en œuvre à la demande des services de renseignement.

Vous pouvez consulter l’intégralité du texte avec ses images à partir de l’extrait du Journal officiel électronique authentifié accessible en bas de page

Figure 1. – Taux d’accès en HTTPS aux pages web depuis la France via le navigateur Chrome (5).

3.2. Sur l’article 20
3.2.1. S’agissant de l’état d’alerte de sécurité nationale

D’une part, l’ARCEP n’est pas en mesure d’apprécier les conséquences possibles des dérogations prévues par le nouvel article L. 2143-4 du CDD pour le secteur des communications électroniques, en raison de leur caractère général.
A tout le moins, afin de garantir la cohérence de son action avec les actes dérogatoires pris par d’autres autorités sur le fondement de l’état d’alerte de sécurité nationale, l’ARCEP invite le Gouvernement à prévoir, dans le projet de loi, que les actes relatifs aux communications électroniques lui soient communiqués pour information dans les meilleurs délais après avoir été adoptés.
D’autre part, l’ARCEP s’interroge sur les conséquences des dispositions de l’article L. 2143-4 du CDD pour le contrôle qu’elle exerce sur certaines des activités de l’Agence nationale de la sécurité des systèmes d’informations (ci-après « l’ANSSI ») en vertu de l’article L. 2321-5 du CDD et des articles L. 36-7 et L. 36-14 du CPCE.
En particulier, elle ne sait pas si ces dispositions pourraient être interprétées comme ayant pour effet de permettre à l’ANSSI de déroger à certaines des modalités du contrôle et de se passer de l’avis conforme préalable prévu aux articles L. 2321-2-1 et L. 2321-2-3 du CDD. L’ARCEP appelle donc le Gouvernement à clarifier la portée de ces dispositions du projet de loi.

3.2.2. S’agissant de la fourniture des données de couverture mobile

S’agissant de l’obligation de transmission par les exploitants de réseaux de radiocommunications mobiles de données interopérables relatives à la couverture du territoire par les réseaux de communications électroniques mobiles, l’ARCEP rappelle qu’en vertu de l’article L. 36-6 du CPCE, elle est déjà chargée de préciser les règles relatives aux contenus et aux modalités de mise à disposition du public d’informations complètes, comparables, fiables, faciles à exploiter et actualisées relatives à la disponibilité, à la qualité et à la couverture des réseaux et des services de communications électroniques.
En application de cette disposition, l’Autorité a adopté en 2016, la décision n° 2016-1678 modifiée (6). Cette décision définit le format, le contenu ainsi que les modalités de publication et de vérification des cartes de couverture des services mobiles. Elle impose notamment aux opérateurs de transmettre trimestriellement à l’ARCEP des cartes de couverture, et ce pour les services voix et internet mobile, avec plusieurs niveaux : très bonne couverture, bonne couverture, couverture limitée, absence de couverture (7). Cette décision s’applique à l’ensemble des opérateurs déclarant un chiffre d’affaires supérieur à un million d’euros (8) et situés dans un territoire pour lequel l’ARCEP est compétente, incluant la France métropolitaine, les départements et régions d’outre-mer, ainsi que certaines collectivités d’outre-mer (9). Ces cartes viennent alimenter le site « Mon réseau mobile » et sont rendues librement accessibles en open data (10), dans un format ouvert et aisément réutilisable, tel qu’imposé par la décision n° 2016-1678, permettant la réappropriation et la comparabilité de ces données de couverture par les utilisateurs.
Il convient de souligner que si ces cartes sont réalisées par les opérateurs à partir de simulations numériques et donnent une vision globale par nature simplifiée et imparfaite de la réalité, elles doivent, en vertu de la décision n° 2016-1678 modifiée, respecter un niveau de fiabilité minimal (renforcé en 2020 [11] de 95 % à 98 % [12]). Ainsi, l’ARCEP vérifie régulièrement la cohérence avec la réalité sur le terrain par le biais de campagnes de mesures sur le terrain, selon les protocoles et modalités décrits dans la décision précitée.
En complément, au titre des autorisations d’utilisation de fréquences (AUF), les opérateurs mobiles ont également l’obligation de publier et de maintenir à jour quotidiennement, sur leur site internet, la liste des sites mobiles en panne ou en maintenance et qui ne fournissent pas de service. Les AUF prévoient que cette liste soit rendue publique dans un format électronique ouvert et aisément réutilisable. Ces sites sont également mis à disposition des utilisateurs par l’ARCEP en open data et visualisables sur « Mon réseau mobile ». L’ARCEP publie également un jeu de données contenant l’historique jour par jour des déclarations des antennes indisponibles par les opérateurs. Ces données permettent de construire la carte de l’état des réseaux (13).
En conséquence, l’ARCEP invite à s’appuyer au maximum sur les données et formats déjà prévus en application des obligations de transmission d’informations en vigueur, afin que les nouvelles obligations puissent s’inscrire en cohérence avec les obligations existantes et ainsi en faciliter la mise en œuvre de ces nouvelles dispositions, dans un souci de simplification administrative.

4. Conclusion

Le présent avis sera transmis au secrétaire général de la défense et de la sécurité nationale et publié au Journal officiel de la République française et sur le site web de l’ARCEP.