Nous allons procéder à l'audition de Mme Claire Landais, secrétaire générale de la défense et la sécurité nationale, que je remercie de sa présence. Elle est accompagnée par M. Pascal Bolot, directeur de la protection et sécurité de l'État ; Mme Julie Mercier, sous-directrice de la protection du secret ; M. Jean-Luc Villeminey, conseiller pour les affaires intérieures et M. Gwenaël Jézéquel, conseiller pour les relations institutionnelles et la communication. Je rappelle que le secrétariat général de la défense et la sécurité nationale (SGDSN) a notamment pour responsabilité de délivrer les habilitations du niveau le plus élevé.

Nous vous entendons, madame, dans le cadre de la mission que poursuit notre commission d'enquête relative à l'attentat qui a touché la préfecture de police, avec la volonté, aussi, de mieux protéger l'ensemble des services qui concourent à la sécurité nationale ainsi que les emplois spécifiques dont la mise en cause peut menacer la sécurité nationale.

Dans son article 6, l'ordonnance du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires impose aux personnes auditionnées par une commission d'enquête de prêter serment de dire la vérité, toute la vérité, rien que la vérité. C'est ce que je vous prie de faire.

, secrétaire générale de la défense et de la sécurité nationale (SGDSN). Le SGDSN est l'un des secrétariats généraux relevant du Premier ministre ; parce qu'il a pour mission historique d'assurer le secrétariat du Conseil de défense, le SGDSN est aussi en relation avec la présidence de la République. C'est le président de la République qui décide de la fréquence des réunions du Conseil ; depuis 2016, cette instance se réunit chaque semaine, ce qui élargit le spectre des sujets présentés. Cela ne fait évidemment pas du SGDSN une administration capable de maîtriser l'intégralité de la production qui figure dans le dossier du Conseil de défense, mais il est conduit à avoir le rôle d'assembleur des contributions d'acteurs variés, régaliens ou en marge du régalien.

Le SGDSN a par ailleurs une double mission d'opérateur, d'abord par le biais de l'Agence nationale de sécurité des systèmes d'information (ANSSI), service à compétence nationale qui compte aujourd'hui 630 agents et dont la montée en puissance se poursuit. C'est absolument nécessaire car l'ANSSI ne peut pas venir elle-même au secours de l'ensemble des acteurs qui subiraient des cyberattaques. Le SGDSN aura donc de plus en plus pour rôle d'accompagner la montée en compétence d'un écosystème de cybersécurité apte à prendre le relais de ce que fait l'ANSSI, tant pour le cœur de la sécurité nationale que pour la diffusion de la cybersécurité dans l'ensemble de nos institutions, chez nos acteurs économiques et parmi les citoyens. L'ANSSI joue un rôle d'instruction dans l'homologation de certains systèmes d'information, et donc dans le champ du secret de la défense nationale. Le SGDSN est également opérateur par le biais du Centre de transmissions gouvernemental, aujourd'hui unité militaire – mais une réflexion est en cours sur son futur statut – dont le cœur de métier est de mettre des transmetteurs à disposition du président de la République et du Premier ministre pour leur permettre de communiquer dans des conditions résilientes et sécurisées avec des interlocuteurs nationaux ou étrangers et, au-delà, d'assurer la mise à disposition de systèmes et de services de communication classifiés pour l'ensemble de la sphère gouvernementale et les acteurs qui interviennent dans la gestion de crise.

Nous avons aussi une mission d'administration centrale plus classique de coordination interministérielle ; elle occupe quelque 250 agents. Une direction tournée vers l'international traite notamment du contrôle des exportations de matériel de guerre, de la prise en compte d'ingérences étrangères – le SGDSN participe à l'animation de la réflexion collective et de la montée en capacité face aux ingérences dans notre système démocratique, singulièrement ce qui a trait à la manipulation de l'information ; il est aussi tête de pont de la lutte contre la prolifération, et c'est le bras armé de Bercy à l'interministériel, en matière de politique de sécurité économique.

S'agissant des enjeux nationaux, une sous-directrice de la direction de la protection et sécurité de l'État s'occupe de la planification de sécurité nationale. Vigipirate est le plan le plus connu, mais d'autres plans ont pour objet d'assurer, en cas de malveillance mais aussi de catastrophes industrielles ou naturelles, la continuité de l'activité gouvernementale et, au-delà, des opérateurs d'importance vitale, les agents économiques de statut public ou privé dont l'interruption de l'activité aurait des effets systémiques. Les hauts fonctionnaires de défense et de sécurité affectés aux ministères animent la coordination de cette action, qui vise à ce que ces opérateurs soient à niveau en termes de sécurité physique et aussi, depuis 2013, cybernétique. Planifier la sécurité nationale implique que le SGDSN fasse émerger des solutions de sécurité pour l'avenir. Ainsi avons-nous travaillé sur les nouveaux objets que sont les drones, que le SGDSN peut prendre en charge avant d'en diffuser l'usage et de faire monter en compétences les acteurs interministériels.

Enfin, le SGDSN a un rôle particulier, confié à une sous-direction ad hoc, en matière de secret de la défense nationale. Il consiste d'abord à établir les mesures de protection de ce secret. C'est pourquoi, au terme d'un travail interministériel, le SGDSN est l'auteur de l'instruction générale interministérielle (IGI) n° 1300 qui transcrit les mesures de protection du secret arrêtées par le Premier ministre. La dernière édition de cette instruction générale date d'un arrêté de novembre 2011. Elle est en cours de révision et une première étape a été franchie le 2 décembre dernier avec la signature d'un décret (publié au JO du 3 décembre 2019) qui revoit la partie réglementaire du code de la défense pour ancrer certains grands principes de la réforme avant qu'elle soit déclinée dans la nouvelle version de l'IGI. En ce domaine, le SGDSN est à la fois prescripteur et acteur. En effet, le corpus encadrant le secret de la défense nationale comprend un volet « habilitation », et si la procédure d'habilitation est prise en charge par les ministères concernés pour ce qui concerne les décisions relatives aux habilitations confidentiel défense et secret défense, le SGDSN est l'autorité d'habilitation des personnes qui accèdent au niveau très secret défense, qui est le plus élevé ; à ce niveau de protection, on raisonne par réseau, et donc par question concernée.

Nous nous intéressons à l'instruction des demandes et aux conditions d'octroi et de renouvellement des habilitations au secret de la défense nationale. Quelles procédures d'enquête et d'instruction suivez-vous ?

La procédure d'habilitation fait intervenir quatre acteurs. Le point d'entrée de la demande d'habilitation est l'autorité d'emploi, celle qui comptera dans ses effectifs la personne pour laquelle une demande d'autorisation d'accès au secret est présentée. Il y a ensuite l'autorité qui prend la décision d'habilitation, en principe le SGDSN pour le niveau très secret défense et, pour les habilitations des autres niveaux, les ministres des administrations concernées, qui peuvent eux-mêmes déléguer leur signature dans des conditions de droit commun, qui peuvent varier selon les départements ministériels. Évidemment, ceux qui, comme le ministère de l'Intérieur, ont une implantation avec des réseaux territoriaux peuvent décider de déléguer aux préfets certaines décisions d'habilitation ; il s'agit là de l'organisation interne des ministères. Le troisième acteur de la procédure est l'officier de sécurité qui, dans tout organisme dans lequel des personnes habilitées sont employées ou agissent, a pour mission de faire appliquer les règles de protection du secret de la défense nationale.

Le quatrième acteur impliqué dans la procédure est le service enquêteur. Il en existe deux : la direction du renseignement et de la sécurité de la défense (DRSD) pour les personnels militaires et les personnels civils du ministère des Armées, la direction générale de la sécurité intérieure (DGSI) pour les personnels civils. Mise à part la direction générale de la sécurité extérieure (DGSE), qui a un service d'enquêteurs spécifiques pour ses propres agents, la DRSD et la DGSI interviennent pour toutes les autres personnes pour lesquelles une habilitation est demandée. Évidemment, les gros bataillons de personnes habilitées sont au ministère des Armées et au ministère de l'Intérieur, mais on en trouve évidemment à Bercy, au ministère de la Transition écologique et solidaire, notamment dans le champ du nucléaire civil, et, en plus petits effectifs, au Quai d'Orsay, au ministère de la Culture et dans d'autres ministères.

La DRSD et la DGSI sont les deux services entre les mains desquelles sont les procédures d'enquête. C'est à eux que nous-mêmes, en notre qualité d'autorité d'habilitation, faisons appel en fonction du statut du personnel concerné. Nous recevons alors un « avis de sécurité », au regard duquel nous accordons ou n'accordons pas une habilitation. Cette procédure vaut pour tous. Le sujet dépasse largement le champ des agents des services de renseignement : la procédure s'applique à tout agent public et toute personne privée demandant une habilitation.

Y compris les membres du service de la protection ?

Oui. L'essentiel des personnes privées qui accèdent au secret appartiennent aux effectifs des cocontractants de l'administration dans des contrats d'armement.

Il nous a été dit qu'avant même la signature du protocole avec la DGSI, la direction du renseignement de la préfecture de police de Paris (DRPP) conduisait ses propres enquêtes sur ces personnels. Le confirmez-vous ?

Effectivement, le principe général est que les services enquêteurs sont les deux que j'ai cités, et la DGSE pour ses propres agents. Mais dans sa version de 2011, l'IGI établit en son article 24 que, pour les personnels civils, l'enquête « est diligentée par le service enquêteur du ministère de l'Intérieur » renvoyant, dans une note de bas de page, à la direction centrale du renseignement intérieur (DCRI) – qui est depuis devenue la DGSI. La DRPP procède à ses propres enquêtes pour ses agents sur le fondement d'une lecture combinée de l'article 24 de l'IGI 1 300 et du décret sur la DGSI qui mentionne l'association des services de la préfecture de police aux missions de la DGSI, ces missions pouvant être des enquêtes administratives ou de sécurité. La combinaison de ces textes plaidait pour que la DRPP puisse agir au profit de la DGSI pour une partie des enquêtes ; cela a été consolidé par un protocole conclu en février 2019.

La presse s'est interrogée sur la compétence juridique de la DRPP à procéder à ces enquêtes de sécurité. À mon sens, il ne faut pas donner trop d'importance à ce qu'établit une note de bas de page de l'IGI n° 1300 sur la désignation du service enquêteur. Cela relève de l'organisation administrative ; elle a conduit à ce qu'en pratique la DRPP procède à des enquêtes de sécurité et cela s'est réglé par un protocole d'accord, mais cela aurait aussi pu se régler par la modification de la note de bas de page. Ce qui importe n'est pas tant l'assise juridique de la compétence de la DRPP que de savoir si celle-ci présentait les garanties nécessaires en termes de profondeur d'enquête et d'outils utilisés. Le SGDSN n'est pas intervenu dans l'appréciation de l'équivalence entre ce que faisait la DRPP et ce que faisait la DGSI. En revanche, puisque c'était à son profit que ces enquêtes étaient diligentées, la DGSI, en concluant ce protocole, reconnaissait à la fois la nécessité pour elle d'avoir une vision de la façon dont elles étaient traitées et la qualité de travail de la DRPP. Sur le plan strictement réglementaire, oui, il y avait une discordance par rapport à ce qui était écrit dans l'IGI n° 1300 mais je ne pense pas que ce soit cela qui ait créé des fragilités.

Avez-vous déjà commencé de mettre en œuvre les recommandations faites par l'Inspection des services de renseignement à la suite de l'attentat commis dans l'enceinte de la préfecture de police de Paris, préconisations présentées dans le communiqué relatif au renforcement de la sécurité interne des services de renseignement publié le 21 janvier dernier par le Premier ministre ? On y lit notamment que « conformément à la recommandation de l'Inspection, et sur proposition du ministre de l'Intérieur, le regroupement des services en charge des enquêtes d'habilitation du ministère de l'intérieur à la DGSI sera mis en œuvre à partir du deuxième trimestre 2020 », et que ce regroupement « mettra fin aux enquêtes réalisées par la direction du renseignement de la préfecture de police de Paris ». Selon quel calendrier cette évolution se fera-t-elle ?

Je reviens un instant sur l'IGI n° 1300 pour observer qu'elle est assez laconique sur ce que devrait être la profondeur des enquêtes de sécurité préalables à une décision d'habilitation – sachant que l'enquête aboutit à un « avis de sécurité » que l'autorité d'habilitation n'est jamais tenue de suivre : elle en fait un élément de sa décision. L'autorité d'habilitation prend en compte l'avis de sécurité, qui peut être favorable, restrictif ou défavorable, mais aussi certains enjeux propres à la structure qui s'apprête à employer la personne concernée. L'IGI n° 1300 est peu diserte sur les outils qu'il est demandé aux services enquêteurs d'utiliser. C'est la traduction d'un partage des rôles et d'un certain équilibre que, compte tenu de ce qui s'est passé et du volume des personnes habilitées, nous sommes appelés à revoir, mais ce sera fait avec une certaine prudence que reflète le communiqué. Il indique en effet que « la gouvernance et le pilotage du processus d'habilitation ainsi que la conduite des enquêtes feront l'objet d'ici juin 2020 d'un travail de révision sous la conduite du SGDSN. L'objectif est de doter les services de renseignement d'une doctrine commune sur les vulnérabilités (…) ». Il en était déjà ainsi, mais de façon informelle : nous avions évidemment des discussions avec les services enquêteurs, et donc une vision sur les enquêtes qu'ils conduisaient. On nous demande de formaliser cette réflexion commune ; pour autant, il ne s'agit pas pour nous, service administratif, d'entrer dans le détail des modes opératoires des services enquêteurs.

Nous allons donc trouver le bon équilibre entre une réflexion collective permettant de mettre au point une sorte de référentiel, de socle commun, en nous interrogeant sur les vulnérabilités qui doivent être mises en lumière. Nous en avons d'autant plus besoin qu'en annexe de l'IGI figure le formulaire de demande d'habilitation, et donc tout ce qui doit être demandé à une personne qui sollicite une habilitation sur son entourage, ses liens avec l'étranger, ses activités passées, sa visibilité sur les réseaux sociaux… De tous ces critères qui peuvent être des signaux de risque pour le secret, on doit évidemment parler avec les services enquêteurs, et ce qui se faisait de manière informelle devra être formalisé à la demande du Premier ministre. Mais à dire vrai, le chantier de révision de l'IGI n° 1300 a aussi été l'occasion de commencer à travailler de manière plus formalisée à la doctrine commune de profondeur d'enquête et à l'adaptation de l'enquête aux types de profil concernés. D'autres aspects évoqués dans le communiqué du Premier ministre étaient également déjà en cours de réflexion, notamment la nécessaire modernisation de la gestion de cette politique : nous avons déjà commencé à dématérialiser le formulaire de demande d'habilitation pour fluidifier la relation entre les quatre acteurs précédemment mentionnés. Dans un deuxième temps, tous les ministères concernés –les plus importants le sont déjà – seront dotés d'une base de données leur permettant d'avoir une traçabilité exhaustive de l'ensemble de la population qu'ils suivent au titre des habilitations. À terme, une base interministérielle unique sera mise en place. Mais cela ne se fera qu'avec une grande prudence car cette base interministérielle sera d'une sensibilité extrême et devra absolument être sécurisée.

Combien y a-t-il d'habilitations « protection du secret de la défense nationale (PSD) » à la DRPP ?

Le nombre exact des habilitations très secret défense et leur ventilation par service étant une information elle-même couverte par le secret de la défense nationale, je ne peux vous indiquer si des agents de la DRPP bénéficient ou ont bénéficié de telles habilitations. Je suis toutefois en mesure de vous dire que, toutes administrations confondues, les habilitations TSD ne concernent que quelques centaines de personnes en tout. De plus, j'ai omis de mentionner que la mécanique d'habilitation est assortie de la très importante notion du « besoin d'en connaître » : ce n'est pas parce que vous accédez au niveau confidentiel défense, secret défense et encore moins très secret défense que vous avez le droit d'accéder à tous les documents ainsi marqués. Le SGDSN ne peut être la tour de contrôle à ce sujet : il revient à chaque autorité d'emploi de déterminer le besoin d'en connaître pour chaque personne habilitée, à raison de sa fonction. La règle du besoin d'en connaître est consubstantielle à la PSD, et en ce domaine les informations sont compartimentées : pour chaque sujet qui mérite ce niveau de protection extrême, on a des règles spécifiques, elles-mêmes classifiées et sur lesquelles je ne peux donc m'appesantir, sinon pour vous dire que très peu de personnes ont accès à ces différents compartiments.

La loi du 30 octobre 2017 renforçant la sécurité intérieure et la lutte contre le terrorisme permet le rétro-criblage – sur le fondement de l'article L. 114-1 du code de la sécurité intérieure. J'étais l'un des deux rapporteurs de la mission d'information sur les services publics face à la radicalisation et, en présentant nos conclusions, le 26 juin dernier, nous nous sommes étonnés que le rétro-criblage ne puisse être effectif, faute que soit parue la circulaire interministérielle que devaient élaborer vos services. Lors de la présentation de notre rapport au ministre de l'Intérieur, le 10 juillet, j'ai interpellé M. Castaner à ce sujet, et à nouveau après l'attentat commis le 3 octobre à la préfecture de police – sans réponse. Et puis, il y a quinze jours, j'apprends ici même, au détour d'une audition, que cette circulaire a été publiée le 24 octobre 2019. Pourquoi y a-t-il fallu deux ans ?

Heureusement, on n'attend pas les circulaires interministérielles pour que la loi votée soit effective. Les textes d'application indispensables à l'entrée en vigueur de la loi avaient été pris, et le dispositif juridique était parfaitement suffisant dès la publication du décret d'application.

Mais pas le rétro-criblage.

Je remarquais que la circulaire interministérielle n'était pas juridiquement indispensable pour faire entrer en vigueur un dispositif. Qu'il n'ait pas été appliqué est une autre question et, d'une certaine manière, c'est précisément parce que l'on s'est rendu compte qu'il existait une difficulté d'appropriation du dispositif que nous avons entrepris d'élaborer un guide conçu comme un mode d'emploi et non pas comme un texte d'application de la loi. La circulaire est effectivement sortie le 24 octobre 2019, mais on ne l'a pas écrite en quinze jours.

Soit. Mais deux ans !

Je reconnais que nous aurions pu, collectivement, être plus diligents mais, encore une fois, nous nous sommes rendus compte d'une difficulté d'appropriation et nous avons travaillé collectivement pour sortir quelque chose. Le nouveau dispositif est très précieux, parce qu'il permet le rétro-criblage certes, mais surtout pour la capacité qu'il donne d'évincer du service public des agents publics radicalisés. Mais ce n'est pas le seul dispositif dont on se sert pour traiter les agents radicalisés ; comme vous le savez, le dispositif disciplinaire peut être utilisé à cet effet.

Cela ne marche pas toujours.

C'est précisément l'objet du guide que nous avons conçu pour expliquer en quoi ces dispositifs sont complémentaires. Le nouvel instrument est utile car il peut servir à gérer certains cas dont on ne pouvait se saisir par la voie disciplinaire. Et il existe d'autres méthodes de gestion du personnel, les déplacements d'office par exemple. D'ailleurs, c'était d'une certaine manière une utilisation à mauvais escient de la procédure d'habilitation : le retrait de l'autorisation d'habilitation était parfois utilisé pour déplacer quelqu'un, ou même justifier un licenciement.

Hier, les précédents directeurs de la DGSI et de la DCRI nous ont dit qu'en cas de doute, cette manière de procéder était la plus simple.

On peut espérer qu'une utilisation plus substantielle de l'article L.114-1 du code de la sécurité intérieure permettra aussi de replacer les questions relatives à l'habilitation dans ce qui est son champ : la protection du secret. Il se trouve que pour les services de renseignement la distinction n'est pas simple puisque, compte tenu des activités, l'habilitation est quasiment indispensable à tous. De ce fait, les enquêtes de sécurité préalables au recrutement et les enquêtes de sécurité préalables à l'habilitation tendent à se confondre, puisque par la même enquête on peut détecter à la fois des dangerosités et des risques pour la divulgation du secret – notre sujet de fond –, ce qui n'est pas tout à fait la même chose. C'est pourquoi, normalement, le retrait de l'habilitation n'est pas l'instrument premier servant à éviter la radicalisation des agents publics ou à la traiter une fois qu'elle est détectée.

J'en reviens aux faits dont traite notre commission d'enquête. On parle d'un agent administratif qui, ayant une habilitation, s'est converti, fréquentait une mosquée salafiste, ne serrait plus les mains des femmes et a déclaré « C'est bien fait » après l'attentat commis contre Charlie Hebdo. Manifestement, il y a une faille, et même une faille énorme ; nous tentons donc d'en comprendre l'origine pour essayer de faire qu'il y en ait le moins d'autres possibles. Or, j'ai cru comprendre que la DRPP conduisait ses propres enquêtes sur ses agents, sans que le SGDSN intervienne en rien dans leurs habilitations ; ce ne devrait pas être le cas, mais vous avez confirmé qu'il en était ainsi de facto.

Oui, il en était ainsi au profit de la DGSI, comme le prévoient les textes.

Soit. Autre chose : je présume qu'une habilitation n'est pas donnée à vie ; a-t-elle un terme précis, et un contrôle est-il exercé pour vérifier que la personne habilitée n'a pas changé ?

Dans la version actuelle de l'IGI n° 1300 – et il n'y aura pas de modification à ce sujet –, les seuls actes enserrés dans des délais sont les avis de sécurité délivrés par les services enquêteurs, dont je répète qu'ils ne lient pas l'autorité d'habilitation. La durée de validité de l'avis de sécurité ne peut excéder cinq ans pour le niveau très secret défense, sept ans pour le niveau secret défense et dix ans pour le niveau confidentiel défense. Si la décision d'habilitation n'est pas enserrée dans des délais, c'est qu'elle est liée à l'affectation. Parce que l'on est habilité pour une fonction particulière, l'habilitation tombe lors du changement d'affectation ; à ce moment se pose à nouveau la question du besoin d'habilitation et l'on voit si l'on peut se référer à un avis de sécurité encore valide. Telles sont les règles. Mais une habilitation est un acte révocable à tout moment : on peut évidemment la remettre en question si un risque de divulgation du secret est détecté. Nul n'est détenteur d'un droit à habilitation, et tout signalement peut conduire soit à une abrogation immédiate soit au lancement d'une enquête de sécurité qui permettra de vérifier si une vulnérabilité détectée justifie la levée de l'habilitation.

Se pose aussi le problème de ce que l'on appelle en France la stigmatisation. Il peut y avoir des signes mais, bien entendu, être musulman pratiquant et fréquenter une grande mosquée est conforme à la loi ; d'un autre côté, nous ne devons pas prendre le moindre risque. Un moment vient où il faut prendre une décision et, dans ce cas précis, la religiosité a été mise entre parenthèses ; existe-t-il une sorte de comité d'évaluation ? Si je vous ai interrogé tout à l'heure sur les membres du service de la protection, c'est que nous avons enquêté sur l'affaire Benalla, et la question qui m'intéresse est la suivante : quelqu'un qui est en contact du matin au soir avec le président de la République et qui est manifestement armé a-t-il une habilitation délivrée par le SGDSN ?

Encore une fois, le SGDSN n'habilite qu'un très petit nombre de personnes et seulement au niveau très secret défense, niveau qui n'est aucunement représentatif de la masse des habilitations délivrées. Notamment, nous n'intervenons pas pour personnels chargés de la protection des autorités, lesquels n'ont en principe aucune raison d'accéder au très secret défense. Je ne dis pas que cela ne peut jamais se produire, mais je ne peux pas vous dire si j'ai ou non habilité ce type de personnels. Pour ce qui est en revanche de ce que vous pointez au sujet des signaux de dangerosité et de risque, on les prend en compte, je l'ai dit, à deux égards, même si pour les agents des services de renseignement cela se confond parfois temporellement. Nous évaluons le risque que des documents classifiés soient divulgués à des acteurs malveillants. Il est vrai que si une personne radicalisée est en contact avec des organisations terroristes à l'étranger, auxquelles elle peut vouloir diffuser des informations sensibles, notamment sur les cibles particulières que sont les agents des services, les forces de sécurité intérieure et les militaires, on est confronté à la fois à la dangerosité de la personne et au risque pour le secret. Mais désormais, le régime naturel pour prendre en compte la dangerosité de la radicalisation, ce sont plutôt les enquêtes de pré-recrutement et les enquêtes de rétro-criblage lors du renouvellement de l'habilitation au cours de la vie d'un contrat ou de l'évolution de la carrière d'un agent public, pour vérifier sa dangerosité. Dans un cas comme dans l'autre, nous nous penchons sur des activités qui ne sont évidemment pas prohibées. Voyager à l'étranger n'est naturellement pas interdit ; néanmoins, le risque qu'une personne habilitée soit manipulée par un service étranger pour récupérer des informations sensibles est bien sûr une information importante et la réalité, la densité des contacts et leur nature pourraient justifier que l'on refuse l'habilitation, alors même que la personne n'a strictement rien fait de répréhensible. On distingue bien les deux sujets.

La fréquence des vérifications lors des recrutements et lors de la délivrance des habilitations permet-elle de s'assurer que tout risque se traduit immédiatement ? Il y a sûrement des marges de progrès dans les deux champs, des difficultés de moyens, et il est nécessaire de définir une organisation collective mieux adaptée aux différents profils ; puisque l'on ne pourra pas appliquer à tous les mêmes méthodes de renouvellement et de vérification, il faut les cibler et être capable de clarifier les profils pour les ajuster.

Mickaël Harpon s'occupait de l'entretien du matériel informatique. À ce titre, il avait accès à l'intégralité du contenu des ordinateurs des agents de la DRPP, un service de sécurité qui est au cœur de la lutte contre le fondamentalisme islamique. On n'en pas eu la confirmation mais on en saura plus par l'enquête : a priori, il avait même accès à des informations bien plus vastes, y compris peut-être à l'identité des agents infiltrés dans les mosquées salafistes. Considérez que l'habilitation secret défense est suffisante pour avoir accès à des informations aussi sensibles ? D'autre part, connaissez-vous la procédure de renouvellement de ce type d'habilitation ? Nous avons cru comprendre, lors d'auditions précédentes, que le renouvellement peut parfois se dérouler sans même que la personne soit vue et interrogée, si bien que l'on ignore si, entre-temps, elle s'est mariée, est amoureuse d'un terroriste… Ne pensez-vous pas qu'à une époque caractérisée par une mobilité supérieure à ce qu'elle était dans le passé, avec le nombre de gens que l'on est amené à rencontrer, avec des réseaux sociaux qui peuvent avoir une influence plus grande que ne l'avait l'ORTF, sept ans d'habilitation, c'est très long ? Ne doit-on pas réduire cette durée pour permettre une véritable étude lors de son renouvellement ?

Aucun code ne définit le contenu de ce qui doit être classé à un niveau du secret de la défense nationale ou à un autre : c'est le marquage qui permet de reconnaître qu'un document ou une information sont classifiés. Si nulle part dans la loi ou dans les textes il n'est dit que tel type d'information mérite tel niveau de classification, c'est que l'on s'est rendu compte que l'on ne parvenait pas à dresser un paysage exhaustif des informations à classifier. C'est donc la personne qui a l'information entre les mains qui détermine le degré de sensibilité de sa divulgation et le risque qu'elle emporterait pour le secret de la défense nationale. Il est donc difficile de dire, par principe et a priori, que tel niveau d'habilitation est nécessaire parce qu'une personne donnée accède à tel type d'information.

Ce que je puis vous dire, c'est que le principe est que l'on ne peut accéder à un système d'information lui-même classifié – qui, donc, présente des garanties pour protéger des informations de niveau confidentiel – que si l'on est soi-même titulaire d'une habilitation du niveau supérieur. Pour la personne que vous avez mentionnée, je ne suis pas capable de vous dire à quoi elle avait accès, et c'est très sain. Je vous dis quelle est la règle, qui a probablement été respectée, si bien que cet homme devait être habilité secret défense au titre de son accès à des informations sur un système d'information lui-même homologué au niveau confidentiel défense.

Je le redis : ce n'est pas la durée d'habilitation qui est de sept ans, c'est la durée de validité de l'avis de sécurité qui a précédé la décision d'habilitation, laquelle aurait pu être remise en cause à tout moment. Sept ans, est-ce long ? De manière générique, pas forcément. Admettons que, parce que l'on considère que ce serait plus raisonnable, on envisage de faire repasser tout le monde à la moulinette tous les trois ans ; je crains que ce faisant on engorge tellement le système que l'on risque d'y voir encore moins clair. En revanche, vous avez raison de dire que tout signal inquiétant doit donner lieu à une vérification, soit par l'officier de sécurité qui n'a pas forcément besoin de recourir aux services enquêteurs mais qui regardera ce qui se passe dans l'entourage de la personne considérée et interrogera ses collègues, soit par une enquête de sécurité en bonne et due forme.

Quelle est la profondeur d'enquête et quels sont les outils utilisés ? Aujourd'hui, ce choix relève des services enquêteurs, pour protéger leur mode opératoire. C'était la règle jusqu'à présent ; demain, conformément à la commande que nous a passée le Premier ministre, on entrera davantage dans la discussion collective pour parvenir à une relative harmonisation en diffusant les bonnes pratiques et en s'accordant sur des normes minimales : ainsi pourra-t-on se dire que pour tel type de profil et tel type d'affectation on n'a pas seulement besoin d'un passage fichier mais aussi d'un entretien complémentaire.

Les mots « normes minimales » ne sont pas rassurants. Je préférerais vous entendre parler de normes maximales plutôt que de normes minimales, pour des raisons de moyens, qui expliqueraient que vous ne puissiez pas réévaluer toutes les habilitations. Nous avons entendu répéter plusieurs fois que la DRPP était « une grande famille » ; en bref, on se tapait dans le dos devant la machine à café et on s'accordait l'habilitation secret défense. Le Premier ministre vous demande maintenant de mettre en place une procédure, mais pourquoi devrait-elle être « minimale » ? Si elle n'est pas strictement respectée et si elle est fondée sur des critères minimum, elle ne servira à rien.

Par normes « minimales », j'entendais un socle de normes communes. Cela n'empêche évidemment pas de pousser plus loin par des entretiens ou des techniques de renseignement et surtout d'ajuster au profil et à la sensibilité de chaque cas. Ce n'est donc pas seulement une question de moyens – même si, bien sûr, cette question se pose, puisque partout dans l'administration et dans le monde, on s'interroge sur l'équilibre entre les moyens et l'efficacité –, c'est aussi une question d'efficacité. On peut se dire par exemple que l'on va généraliser le passage fichier, mais si tout n'a pas été inscrit dans le fichier, on aura beau cribler tout le monde, on ne repérera pas ce que l'on a besoin de repérer. Parfois, cela passe par d'autres modes d'action, plus ciblés, plus adaptables que des exercices systématiques qui risquent de laisser passer des éléments à travers les mailles du filet. Je suis d'avis qu'il faut privilégier l'adaptation des méthodes au profil et à la sensibilité.

Députés, ministres et hauts fonctionnaires font une déclaration de patrimoine et d'intérêts à la Haute Autorité pour la transparence de la vie publique et, lorsque notre situation change, nous devons envoyer un rectificatif. Dans le même esprit, pourrait-on envisager une obligation de signalement de tout changement de situation pour les agents qui bénéficient d'une habilitation secret défense ? J'ai des exemples précis de gens qui se sont mariés sans que leur hiérarchie ne le sache, et donc connaisse l'identité de leur conjoint. Si quelqu'un se marie avec un agent de sécurité iranien, personne ne le sait parce qu'il est tranquille pendant sept ans et, avec un peu de chance, au bout de sept ans, personne ne regardera rien nulle part et il sera tout aussi tranquille. Pour limiter la charge de la vérification et les problèmes de moyens et de personnel, pourquoi ne pas instituer une obligation de déclaration de concubinage, de mariage, de voyage ? Cela permettrait de déclencher quelque chose qui ne sera peut-être pas déclenché par les collègues au motif que la personne considérée est très sympathique et que l'on n'a pas envie de lui poser des problèmes alors que, si ça se trouve, elle n'a rien à se reprocher.

Vous avez raison et cette obligation, déjà prévue par la réglementation, vaut pour tout changement d'état civil et de situation. On est censé signaler ces changements qui peuvent rétroagir sur la décision d'habilitation, voire relancer une enquête de sécurité et conduire à réviser la décision.

Cette obligation est-elle respectée ?

Par la plupart des gens, je le pense. Mais comme c'est une obligation déclarative, on n'est jamais à l'abri de non-déclarations.

, sous-directrice de la protection du secret. C'est une question de pratique, puisque l'obligation est prévue par la réglementation. Au SGDSN, nous sommes tenus de déclarer tout changement de situation personnelle et toute relation, même très courte, dès lors qu'elle dure depuis quelques semaines.

Est-ce le cas pour tous les habilités au secret défense ?

L'obligation réglementaire existe, mais il revient à la chaîne de sécurité qui est en place autour de la personne habilitée de faire en sorte qu'elle soit appliquée.

Déclarer son changement de situation est une obligation. A-t-on toujours la capacité de s'assurer que les personnes concernées l'ont fait ? La vérité est qu'il est parfois difficile de le détecter.

Nous avons le sentiment qu'au sein de la DRPP des relations amicales se sont créées, ce qui est normal ; mais, de par cette proximité, se faire contrôler par ses collègues n'est pas toujours simple. À la DCRI devenue DGSI comme à la DGSE, une structure spécifique existe, qui dépend de la direction mais qui est relativement cloisonnée et autonome, sans trop de proximité avec les autres agents, si bien que l'on enquête peut-être plus facilement. Dans le cadre d'une éventuelle proposition de réforme, préconiseriez-vous que la DRPP se dote d'une structure de ce type ? D'autre part, si dans le cas d'une demande de renouvellement d'habilitation, vous lisez dans le dossier d'enquête du service instructeur que l'individu concerné, qui travaille au service informatique d'un service de renseignement, s'est converti à l'islam et qu'il fréquente une mosquée où il écoute les prêches d'un imam radicalisé lui-même et sous le coup d'une obligation de quitter le territoire français non mise en œuvre, que faites-vous ?

Le communiqué de presse du Premier ministre répond à votre question : on y lit en effet que « sur proposition du ministre de l'Intérieur, le regroupement des services en charge des enquêtes d'habilitation du ministère de l'Intérieur à la DGSI sera mis en œuvre à partir du deuxième trimestre 2020. Il mettra fin aux enquêtes réalisées par la direction du renseignement de la préfecture de police de Paris (…) » Ce regroupement mettra fin à une pratique qui avait été consolidée et d'une certaine façon sécurisée par le protocole d'accord signé entre la DGSI et la DRPP.

Que le Premier ministre fasse cette proposition est une chose, mais la commission d'enquête parlementaire peut en faire une autre car il y a un grand débat sur les contours d'une éventuelle réforme. Si on ne transfère pas les enquêtes d'habilitation à la DGSI, ne devrait-on pas, a minima, considérer qu'il doit y avoir au sein de la DRPP une structure autonome, voire indépendante, fonctionnant sur le même mode qu'à la DGSI ? Tous les spécialistes du dossier nous ont dit que le système actuel est un peu léger.

Vous comprendrez qu'en ma qualité de fonctionnaire je me réfère au communiqué de presse du Premier ministre et à la direction qu'il donne ; de plus, le ministère de l'Intérieur a un avis bien mieux éclairé que le mien sur la définition de la bonne organisation. À votre seconde question, je répondrai en rappelant que l'habilitation est liée à une affectation particulière. Aussi, dans certains cas, la bonne solution, quand on apprend qu'une personne est en voie de radicalisation, n'est pas de lui retirer son habilitation : compte tenu des documents auxquels elle accède, il faut plutôt se poser la question de sa présence au sein du service.

Mais à la lecture d'un tel dossier, que faites-vous ?

Nous avons des échanges avec le service instructeur. Si l'officier de sécurité nous dit que de l'examen de la situation de telle personne il ressort ce que vous venez de décrire, l'habilitation n'est pas donnée. Mais, comme l'a indiqué Mme la secrétaire générale, il y a des nuances. Les avis peuvent être restrictifs, avec des mises en garde, et l'on mettra alors en balance la petite lumière qui s'allume et la compétence de la personne dont on a besoin, pour un transmetteur par exemple. Il y a une part d'humain, les choses ne sont pas binaires : il existe une liste de critères de vulnérabilité mais il y a aussi cet échange. Le SGDSN n'a à en connaître qu'au niveau du très secret défense ; en dessous, la question est traitée par la chaîne qu'a décrite Mme la secrétaire générale.

La DRPP, nous avez-vous dit, a agi au profit de la DGSI. D'autres directions agissent-elles aussi au profit de la DGSI ou de la DRSD dans ce domaine ? D'autre part, le SGDSN est-il chargé de décider si un local est dit « abritant des éléments couverts par le secret de la défense nationale » ? Si c'est le cas, selon quels critères, et de quelles règles ce statut est-il assorti ?

J'ai souligné que le décret portant organisation de la DGSI prévoit expressément que la DRPP, et elle seule, contribue aux activités de la DGSI en matière d'enquêtes de sécurité. Nous ne sommes pas les seuls à désigner les « lieux abritant des éléments couverts par le secret de la défense nationale ». En revanche, c'est bien l'IGI n° 1300 qui fixe les règles et les garanties de sécurité que doivent présenter les lieux abritant, en termes de sécurisation physique et de permanence de la garde.

La directrice de la DRPP nous a indiqué que la DRPP n'était pas un local abritant. Cela vous semble-t-il normal ?

Visiblement, l'arrêté de désignation n'avait pas été pris, mais les locaux de la DRPP ont été traités comme s'ils avaient ce statut, ce qui est le cas dans les faits. Ce n'est pas parce qu'il n'y avait pas d'arrêté de désignation que les règles de protection de ces locaux n'étaient pas respectées.

J'ignorais absolument que c'était la lecture combinée de l'IGI du 30 novembre 2011 et du décret de 2014 portant sur les missions de la DGSI qui permettait de justifier a posteriori le fait que les enquêtes de sécurité étaient diligentées par un service propre à la DRPP. La réécriture de l'IGI n° 1300 entérinera forcément le fait que, comme le Premier ministre l'a annoncé, le service enquêteur sera centralisé, mais j'observe que pendant la période qui a couru de novembre 2011 jusqu'à la date de signature du protocole de 2019, un flou juridique de plus de sept ans a prévalu, que je découvre. Compte tenu des questions que nous nous posons sur la vigilance de la DRPP en matière de signaux faibles, c'est une information importante que vous nous avez livrée là.

J'ai décrit la réalité des choses tout en invitant à relativiser la question de la solidité juridique. On parle d'une instruction interministérielle qui organise l'intervention des services de l'État et, en bas de page, il est écrit que le service enquêteur du ministère de l'Intérieur est la DCRI ; mais dans les versions précédentes de ce texte, les services enquêteurs n'étaient même pas désignés ! Nous allons retravailler l'IGI n° 1300, je vous l'ai dit, car pour l'instant on n'y trouve pas non plus grand-chose sur l'encadrement du travail des services enquêteurs.

Un arrêté de 2006 portant sur la composition et les missions de la direction générale de la police nationale prévoyait aussi que la DRPP contribue à des enquêtes administratives et de sécurité.

Mesdames, messieurs, je vous remercie.