L'affaire Pegasus (2/2) l'Europe et les logiciels espions

18 oct. 2024
20 min de lecture

III. Au mépris du droit européen, l'Union européenne s'interdit d'agir, par respect de l'invocation de la sécurité intérieur par Varsovie

1. Atteinte au droit à la vie privée,

La liste des violations du gouvernement Polonais via l'usage de Pegasus des droits reconnus par les traités européens, est longue.

1. Une violation évidente du droit à la vie privée

Tout d'abord, il est évident que Pegasus viole de manière disproportionnée le droit à la vie privée des personnes qu'il cible. Tout simplement car le logiciel n'est pas fait pour être calibré, et viser certaines informations précises, ou laisser de côté une partie des données du téléphone pour se concentrer sur celles qui présentent un intérêt certain pour la justice (typiquement des informations bancaires ou de localisations qui sont souvent utiles pour les enquêtes criminelles). Pegasus collecte l'intégralité des données du téléphone. En outre, notons qu’infiltrer un téléphone avec Pegasus revient à installer une ou deux caméras dans le domicile d'une personne, via les caméras du téléphone qui sont activées par le logiciel. Or une autorisation de collecte de données numériques est moins intrusive qu'une autorisation d'installation de caméras cachées dans le domicile privé d'une personne ciblée. Si un juge autorise l'usage de Pegasus comme une collecte de données, en réalité il valide aussi une autorisation d'écoute quotidienne de la cible, et l'installation de caméra dans son domicile.

2. Un usage politique des donnés concernant l'intimité d'une des cibles de Pegasus

En outre, dans le cas Polonais, le gouvernement n'a pas prouvé avoir eu recours à la déstruction des données collectées qui ne présentent pas un interêt pour la justice. Du moins pour l'instant. Chose pourtant obligatoire afin d'assurer le respect à la vie privée des individus ciblés. Au contraire, il semble que Pegasus ait été utilisé contre le sénateur d'opposition Krzysztof Brejza. Il aurait été victime d'un vol de messages textuels, puis de leur diffusion via le réseau de télévision contrôlé par l’État (TVP) au moment des élections législatives de 2019, dans le cadre d’une campagne de dénigrement dirigée contre sa personne. Précisons que M Brejza était le directeur de campagne de Plateforme Civique pour les élections. Le fait qu'il soit probable que ces informations aient été collectées par le gouvernement via Pegasus, et qu'elles aient été divulguées à la télévision publique est une violation grave du droit à la vie privée, et risque de fausser le processus électoral démocratique via la diffusion d'informations obtenues à l'aide de moyens d'espionnage contre l'opposition.

3. Une collecte hautement problématique de données à caractère intimes sur des personnes non ciblés

Enfin, comme nous l'avons vu précédemment, Pegasus a la particularité d'espionner des individus non ciblés par effets collatéraux. Devant une telle violation du droit à la vie privée, la législation polonaise aurait dû s'adapter et prévoir la destruction automatique des données concernant ces individus non ciblés par l'enquête. Il n'en est rien.

2. Atteinte au droit à un procès équitable

Si Pegasus en lui même ne constitue pas par nature une menace pour le droit à un procès équitable, le gouvernement polonais l'a utilisé dans le but de restreindre ce droit essentiel reconnu par l'Article 47 de la Chartre européenne des droits fondamentaux.

Espionnage d'avocat

Roman Giertych a été ciblé au moyen de logiciels espions Pegasus au cours des dernières semaines précédant les élections législatives de 2019. Entre septembre et décembre 2019, Roman Giertych a fait l’objet de pas moins de 18 piratages, dont la plupart ont eu lieu juste avant la date du scrutin, le 13 octobre 2019. À cette époque, il était avocat de Donald Tusk, chef du parti d’opposition Plateforme civique et ancien Premier ministre. Au cours de cette période, Roman Giertych représentait également Radek Sikorski, ancien ministre des affaires étrangères et actuellement député européen du Parti populaire européen. Me Wrzosek a également introduit une plainte concernant l’infection de son téléphone portable au moyen de Pegasus. Le tribunal a ordonné une expertise par Citizen Lab de l’infection par Pegasus et Mme Wrzosek a elle-même demandé que son téléphone soit analysé par les experts de Citizen Lab. Toutefois, le procureur a rejeté cette demande et a choisi un autre expert qui n’a pas été en mesure d’établir de lien avec une infection par Pegasus. Le procureur a en outre demandé à l’opérateur de télécommunications de transmettre toutes les métadonnées relatives à Mme Wrzosek concernant une période qui n’est pas pertinente pour l’enquête judiciaire. Mme Wrzosek pense être toujours sous surveillance et que la procédure suivie par le procureur vise à fournir des éléments de preuve supplémentaires qui pourraient être utilisés contre elle dans d’autres affaires. Comme l’a souligné la procureure Ewa Wrzosek lors de la réunion de la commission PEGA du 19 janvier 2023, elle est actuellement accusée par le parquet d’avoir révélé des informations sur une affaire non liée à Pegasus et d’avoir pris part à des activités politiques. Mme Wrzosek n’est pas en mesure d’assurer sa défense car le Le parquet lui refuse l’accès aux documents

Enquête Pega

C'est notamment le cas de Roman Giertych qui a été espionné visiblement vers 2019 (comme beaucoup des personnes dont nous parlons ici, cela correspond en effet aux élections législatives polonaises de 2019 qui ont vu le PIS être reconduit au pouvoir pour cinq ans). Il était avocat de Donald Tusk, chef du parti d'opposition. Aucune enquête n'a été diligentée contre Roman Giertych, alors qu'il semble avoir été particulièrement visé. Les techniciens d'Amnesty International ont en effet trouvé les traces d'au moins 18 tentatives d'infiltration, toutes antérieures aux élections. Espionner le téléphone d'un avocat constitue une violation au droit à un procès équitable, et rien n'indique que les services de polices polonais aient respecté les procédures complexes qui permettent la surveillance d'une profession aussi protégée que celle des avocats.

2. Un retournement malhonnête de la charge de la preuve

Me Ewa Wrzosek, procureure de la République de Pologne, connue pour son opposition aux réformes du régime judiciaire polonais. k Elle était chargée d’enquêter sur le vote par correspondance lors des élections présidentielles de 2020 remporté par le PIS qui faisait l'objet d'une enquête (le vote par correspondance a été alors très populaire du fait du contexte sanitaire particulier). Elle à été très probablement espionnée avec succès par Pegasus. Après sa plainte pour espionnage illégal, le tribunal ordonne une expertise par les experts d'Amnesty International, qui sont parmi les rares à pouvoir reconnaître une infiltration de Pegasus, précisément car c'est grâce à leur expertise que le projet Pegasus a pu exister. Le procureur (contrôlé par le pouvoir rappelons-le) rejette cette demande, et initie diverses manœuvres afin d'empêcher une expertise compétente. Finalement la procédure traîne dans le temps, et on peut estimer que le pouvoir compte bien enterrer l'affaire. Ewa Wrzosek est donc dans l'impossibilité de pouvoir prouver juridiquement l'infiltration de Pegasus, car la preuve apportée par Amnesty International n'est pas valable aux yeux du droit polonais. Cela constitue donc une violation de son droit à un procès équitable. Le seul moyen de lui permettre de prouver l'infiltration serait d'enquêter dans les fichiers des services de police, mais le procureur ne le permet pas. Les tribunaux n’ont pas accepté les preuves scientifiques apportées par des experts indépendants, mais uniquement des preuves fondées sur un examen des autorités ou des services de sécurité ou de répression qui seraient à l’origine d’une attaque; une situation paradoxale qui ne leur laisse aucune option effective pour prouver une infection par des logiciels espions.

3. Atteinte aux immunités juridiques

Ces violations très graves pour l'indépendance de la justice et l'équilibre des pouvoirs ont déjà été ici évoquées. On peut affirmer sans prendre de risque que les principales victimes prouvées de Pegasus sont des personnalités politiques d'opposition, surtout liées à Plateforme Civique, ou d'autres partis considérés comme des concurrents sérieux du PIS.

1. Espionnage de personnalités élues…

Ces personnes pour beaucoup sont dotées de mandats publics, tel que le sénateur d’opposition Krzysztof Brezza, ce qui aurait dû en principe les protéger d'une infiltration menée à des fins électorales. Comme nous l'avons vu, un avocat Roman Giertych a été ciblé, une profession qui devrait aussi être protégée ainsi que la procureure Ewa Wrzosek. Notons que le gouvernement polonais continue de nier ces infiltrations.

Section 2. …A des fins électorales

Aucune de ces personnes n'a été inculpée. Ce qui semble indiquer que l'espionnage n'avait non pas pour but d'enquêter sur un crime, mais bien de nuire aux opposants politiques du PIS lors des élections législatives de 2019. Le logiciel a donc été la pièce maîtresse de manoeuvres visant à décrédibiliser l'opposition, donner une longueur d'avance au PIS dans la campagne électorale grâce aux informations collectés sur le directeur de campagne de la Plateforme civique, et à écarter les juges gêneurs qui veulent enquêter sur la légalité de l'élection.

Plusieurs personnes ciblées au moyen de Pegasus étaient liées, à différents titres, aux élections: le sénateur Krzysztof Brezza dirigeait la campagne électorale du principal parti d’opposition; Roman Giertych était l’avocat de Donald Tusk, chef de l’opposition et ancien président du Conseil européen; Ewa Wrzosek était la procureure chargée d’enquêter sur le vote par correspondance lors des élections présidentielles; la NIK était chargée de publier des rapports sur le vote par correspondance lors des élections présidentielles; et Michael Kolodziejczak était le fondateur d’un parti politique agrarien qui s’adressait au même électorat que les partis au gouvernement. La procureure Ewa Wrzosek a été victime de piratage au moyen de logiciels espions Pegasus, jusqu’à 6 fois entre le 24 juin et le 19 août 20013. Ewa Wrzosek est membre de Lex Super Omnia, une association de procureurs qui œuvre pour l’indépendance du ministère public. Elle enquêtait sur la décision d’organiser les élections présidentielles de 2020 en Pologne, en pleine pandémie mondiale de COVID-19, lorsqu’elle a été déchargée de l’affaire, qui a ensuite été abandonnée. Il relève des compétences du procureur général, Zbigniew Ziobro, et de son bras droit, le procureur national, Bogdan Święczkowski, de décider de ne pas poursuivre certaines affaires ou de retirer des affaires aux procureurs 104. Par la suite, Mme Wrzosek a été mutée, avec un préavis de seulement 48 heures, dans un autre parquet, dans une ville à plusieurs heures de son domicile.

4. L'Europe décide de ne rien faire

En effet, si le scandale Pegasus à bien fait du bruit en Pologne et à Bruxelles, l'Europe est restée étonnamment silencieuse sur ce sujet. Certains “gouvernements invoquent à tort la “sécurité nationale”, qui est en réalité une zone de non-droit où les citoyens sont laissés sans protection” estime Sophie in Veldt, rapporteuse de la commission PEGA. Cette inaction aurait pu mettre en danger l'Europe. Car l'usage de Pegasus, nous l'avons démontré, marque un glissement de la démocratie polonaise vers un régime politique à certains égards autoritaire.

1. Un sage silence de la Commission ?

La Commission européenne et le Conseil européen ont préféré ne pas réagir publiquement. Peut être que les institutions européennes ont préféré user de diplomatie plus feutrée et discrète, loin des polémiques médiatiques ou des déclarations publiques, on ne peut le savoir.

2. La question du domaine régalien de la sécurité intérieure / nationale

Ce qui est néanmoins certain, c'est que l'invocation par le gouvernement polonais de la sécurité nationale a permis d'échapper aux critiques. Notamment pour ne pas avoir à répondre aux convocations (non obligatoires car le Parlement polonais n'a pas de pouvoir d'enquête équivalent à celui de l'Assemblée nationale par exemple) de la commission PEGA. Car, il faut le rappeler, l'article 4 du Traité sur l'Union européenne (TFUE) stipule que la sécurité nationale demeure de la seule responsabilité de chaque État membre. Cela est interprété comme donnant aux États membres une large marge de manœuvre pour agir de manière autonome en matière de sécurité intérieure et extérieure. Le domaine de la défense étant la prérogative régalienne par excellence, celle qui fonde l'État selon la philosophie politique classique, il est logique que ce soit un domaine dans lequel l'Union laisse la plus grande autonomie aux États. Même si cela peut impliquer des actions abusives de la part de la police ou des services de renseignement, comme c'est le cas manifestement ici en Pologne. Cependant, il est important de noter que l'invocation de la "sécurité nationale" n'est pas un chèque en blanc pour les abus de pouvoir. Les États membres de l'UE sont également conventionnellement soumis à des normes en matière de droits de l'Homme et d'État de droit, par le biais de la Charte des droits fondamentaux de l'Union européenne et de la Convention européenne des droits de l'Homme par exemple.

3. Des institutions européenne déjà en lutte contre le PIS

La responsabilité des États pour violation des traités européens et du droit secondaire peut être engagée par des mécanismes internes à l'Union si la Commission ou le Conseil européen le décident. Trois mécanismes existent : La CJUE peut entamer une action en justice contre la Pologne pour l'usage de Pegasus, mais à condition que celui-ci ait à un instant donné été financé par des fonds issus de l'UE. Ce qui est très complexe à prouver, et est peu probable. Cela serait revenu pour le PIS à se tirer une balle dans le pied. Problème : les relations entre la Pologne et la CJUE sont glaciales depuis 2015, et un certain nombre d'arrêts de la CJUE prononcés à l'encontre de la Pologne pour des motifs très divers ne sont pas respectés. La Commission européenne peut lancer une procédure d'infraction contre la Pologne (prévue à L'article 258 du TFUE). Cela a déjà été fait à cinq reprises depuis 2017 pour des raisons essentiellement liées à l'indépendance de la justice. Cette procédure est longue et complexe, mais peut porter ses fruits, la Pologne ayant à plusieurs reprises fait machine arrière pour échapper aux sanctions financières.

4. L'Article 7 TUE

Enfin le Conseil européen peut enclencher une procédure extraordinaire, à savoir l'A7 du TUE, surnommée « l'arme nucléaire européenne » car il enclenche des sanctions extraordinaires telles que la suspension du droit de vote au Conseil européen. Cette procédure extraordinaire est extrêmement longue et a déjà été enclenchée contre la Pologne, toujours pour la même raison, à savoir l'indépendance de la justice, mais son aboutissement est très peu probable, car cela demande le vote des 26 autres Etats, et l'on sait que la Pologne était encore récemment alliée à la Hongrie de Viktor Orban, et que, sur ce sujet, les deux peuvent encore se retrouver ; les deux pays s'étant gravement distancés depuis le déclenchement de la guerre en Ukraine par la Russie en février 2022. De toute façon, d'un point de vue diplomatique une telle arme est beaucoup trop dangereuse à utiliser, surtout quand la guerre est de retour en Europe.

5. Une situation géopolitique qui encourage à trouver un concensus Européen

C'est justement la donne géopolitique qui explique sans doute la grande discrétion de l'UE sur ce sujet : face à la Russie, la Pologne est devenue le bouclier de l'Europe, avec l'armée de terre la plus puissante de tout le continent. Pour le Conseil européen, l'heure n'est plus au conflit avec Varsovie, mais à l'union sacrée pour assurer un soutien sans faille à l'armée ukrainienne, mission dont le succès dépend en grande partie de la bonne coopération de Varsovie. L'urgence du moment n'est plus la défense de l'indépendance judiciaire mais la formation d’une Europe unie (sous l'égide des EUA, mais c'est une autre question) qui puisse peser un minimum face à la Russie de Poutine, dont Varsovie est sans doute un des ennemis les plus sérieux. Cela ne veut pas dire que le sujet est mis de côté par les institutions européennes, le rapport PEGA est là pour le prouver. Prenons bien compte que la situation peut aussi tourner à l'avantage des droits de l'homme et de l'Europe : Varsovie à plus que jamais besoin des fonds européen pour financer son programme de renforcement militaire dantesque. Cela pourrait le pousser à choisir entre son idéologie illibérale et sa sécurité extérieure.

6. Il est urgent d'attendre

Toutefois, ajoutons que un an séparait la publication du rapport PEGA, des éléctions législatives polonaise de 2023, qui ont marqué la fin du règne de PIS et le retour de la Plate-forme civique (Platforma Obywatelska) au pouvoir. Plate-forme civique est le principal parti d'oppositon polonais de centre droit, dont le président n'est autre que Donald Tusk, président du Conseil européen entre 2014 et 2019, et cible indirect de Pegasus comme nous l'avons vu. Les sondages laissaient prévoir une élection serrée, qui fut finalement remportée par l'opposition pro-Européenne. Bruxelles avait tout intérêt à favoriser la réélection du candidat pro européen au poste de premier ministre de la Pologne. Engager des procédures européennes contre la Pologne aurait été tactiquement suicidaire, et aurait sans doute provoqué un reflexe nationaliste favorable au PIS dans la population. Tactiquement, pour l'Europe il était donc « urgent d'attendre ».

Si pour l'Europe la raison à imposer d'attendre pour agir envers la Pologne, au vu du contexte géopolitique européen, et du calendrier électoral, l'affaire Pegasus démontre des failles dans le droit communaitaire, dont il serait bon de s'occuper.

IV. Recommandations juridiques européennes pour encadrer l'usage des logiciels espions en Pologne

1. Principes de nécessité et de proportionnalité

Le premier principe à promouvoir à l'échelle européenne et polonaise est le principe de proportionnalité. Un outil tel que Pegasus, ou d'autre logiciels espions de la même efficacité ne “peuvent être utilisés que dans des cas exceptionnels, dans le cadre d’enquêtes portant sur une liste limitée et fermée d’infractions graves clairement définies qui constituent une menace réelle pour la sécurité nationale”, tel que le terrorisme, la fraude fiscale de grande importance, la lutte contre la corruption organisée, le crime organisé, ou l'espionnage au service d'une puissance étrangère.

1. Calibrer les logiciels espions

En outre, il est nécessaire afin de respecter le principe de proportionnalité de limiter la capacité d’action de ces logiciels à la recherche des informations pertinentes. Pegasus est illégal au regard du droit européen, car précisément il n'est pas calibrable. Le logiciel de NSO group collecte toutes les données, sans discrmination. Seules les informations pertinentes dont la liste est dressée par un juge en coopération avec les services de police peuvent être ciblées, les autres doivent être ignorées par le logiciel. La rétroactivité de l'espionnage ne doit pas être automatique. Il n'est pas normal que toute la vie passée de la personne ciblée soit connue des opérateurs. La rétroactivité de la collecte d'informations ne doit être autorisée que dans des cas exceptionnels qui mettent en danger la sécurité intérieure. Évidemment les limites temporelles de l'espionnage doivent être définies à l'avance par le juge, avec une date limite de début (sauf dans le cas où la rétroactivité est permise) et une date de fin. La loi doit prévoir en outre que les informations collectées doivent être détruites par la suite si elles ne sont pas pertinentes pour l'enquête.

2. Pegasus n'est pas un simple dispositif d'écoute

Enfin, un logiciel aussi puissant que Pegasus ne doit pas seulement être considéré comme un logiciel espion mais aussi comme un outil secret de vidéosurveillance, de par sa capacité à contrôler les caméras du téléphone mobile de sa cible. Un logiciel aussi puissant ne doit servir que dans des cas extraordinaires, de part la violation massive de la vie privée de la cible qu'il permet.

2. Mécanismes de contrôle et de transparence

Un encadrement juridique de l'usage des logiciel espions demande un certain nombre de méchanismes de contrôle qui peuvent être implémentés à la fois au niveau européen et au niveau polonais. Espérons que le gouvernement pro-européen actuelle avance vers cette voie, plutôt que vers l'inactivité.

Au niveau Polonais, le contrôle parlementaire, doit être pleinement rétabli, et la commission parlementaire du contrôle des services spéciaux (KSS) de la Diète doit voir sa direction alternative entre opposition et majorité gouvernementale rétablie. Et bien entendu l'indépendance de la justice en Pologne, tous les freins portant sur les enquêtes menées par les tribunaux, la fusion des rôles de procureur général et ministre de la justice doivent être impérativement abrogés sous peine de ne jamais pouvoir concilier droits de l'Homme et surveillance policière numérique légitime.

1. Rétablir l'indépendance de la justice

Toujours au niveau polonais, afin de s'assurer que la justice puisse contrôler l'action gouvernementale, les tribunaux doivent être pleinement autorisés à recevoir des preuves d'infiltration par des logiciels espions fournies par des experts indépendants. Et non uniquement des services de police, ou d'experts nommés par le procureur.

Afin d'assurer un contrôle ex ante effectif, la demande d’autorisation d’une infiltration par la police adressée à une juridiction doit être assortie d’une justification claire basée sur le droit en vigueur, en citant l'infraction grave dont que la cible est suspectée d'avoir commise. Avec également une indication des moyens techniques requis par les services de police. Si le juge estime que ceux-ci ne respectent pas le principe de proportionnalité, alors il doit pouvoir contraindre les forces de police à utiliser un moyen de surveillance moins intrusif, sans que les services de police puissent passer outre sa décision. Sauf dans des cas extraordinaires faisant l'objet d'un contrôle ex post.

2. S'assurer que les services de renseignement ne puisse pas abuser du droit administratif judiciaire

Afin de mettre fin aux techniques de contournement du contrôle judiciaire par les services de police, la Pologne doit mettre en place un système d’assignation aléatoire des affaires aux juges des tribunaux pour chaque demande d'espionnage introduite, même le week-end et la nuit. Enfin, la Pologne doit se conformer à la décision de la Cour constitutionnelle relative à la loi sur la police de 1990. Chose qu'elle n'a toujours pas faite (en 2022).

3. Au niveau européen

Au niveau européen une définition claire et précise de la sécurité nationale (ou sécurité intérieure) peut être rédigée. L'Union devrait établir des critères précis permettant de déterminer le régime juridique qui peut s’appliquer lorsque ce principe est invoqué pour justifier des exceptions au respect des droits et des devoirs des individus par le gouvernement et les services de police. Toute mesure prise au nom de la sécurité nationale doit prouver sa conformité au droit communautaire.

4. Faire respecter le droit commercial européen

Par ailleurs, il serait judicieux que l'Europe renforce son contrôle du respect du droit commercial européen notamment sur la directive 2009/81/CE sur les marchés dans le domaine de la défense, afin que les États justifient auprès de la Commission les dérogations accordées au nom de la sécurité nationale, afin de procéder à des achats secrets dans le domaine de la sécurité sans appel d'offres. Si une telle exception ne paraît pas être justifiée, alors la Commission doit au moins être en droit de demander de dialoguer avec l'État en question, et s'assurer qu'il s'agit bien d'un achat visant un système d'armes utile pour la défense envers un ennemi extérieur ou du terrorisme. S'il l'on constate qu'il s'agit d'un achat de nature à assurer des missions de police, la Commission devrait pouvoir contester la dérogation devant la CJUE. Au vu du contexte actuel et du retour de la guerre en Europe, ce n'est toutefois pas le meilleur moment pour légiférer sur les transferts de systèmes d'armes létaux ou d'espionnage militaire.

3. Sanctions en cas de non-respect : Protection des victimes et réparations

Pour que le système de protection des droits des citoyens et résidents polonais soit efficace, le système judiciaire polonais doit prévoir des sanctions en cas de non respect de la loi polonaise et du droit européen, ainsi qu'un méchanisme de protection des victimes touchées par les logiciels espions.

1. Garantir les droits des victimes

Premièrement, dès qu'il est prouvé qu'une infiltration à été menée illégalement la cour doit pouvoir décréter la cessation immédiate de la surveillance, contraindre immédiatement la police à envoyer une notification à la personne ciblée, et ordonner la destruction des données collectées qui ne doivent pas pouvoir être utilisées dans un procès.

2. Inverser la charge de la preuve

Les personnes ciblées d'une pareille manière doivent d'une part avoir le droit de poursuite des fonctionnaires mis en cause, et la charge de la preuve devrait revenir à l'État plutôt qu'aux plaignants, qui n'ont souvent pas les moyens de prouver l'infiltration.

L'encadrement juridique de pareils logiciels serait déjà un immense pas en avant pour faire de l'Europe un espace où l'Etat de droit et les droits de l'Homme sont respectés. Mais l'Europe doit aller plus loin, d'une part pour faciliter le travail de ceux qui préviennent et dénoncent ce genre de dérives, d'autre part pour assurer le développement de logiciels espions efficaces, et respectueux de nos principes.

V. Perspectives européennes futures sur les logiciels espions : assurer l'autonomie stratégique Européenne

1. Évolution technologique et défis juridiques européens

Dans notre monde où le cyberespace est appelé à toujours plus grandir avec l'arrivée de l'Internet of Things (IoT), la cybersécurité doit rester une priorité européenne, et l'Union dans la continuité de NIS2 doit continuer à encourager la propagation des bonnes pratiques. Ainsi elle devrait encourager financièrement et juridiquement au niveau européen la recherche sur les bogues. Le développement d'un projet européen de recherche des vulnérabilité en matière cyber, avec une obligation de communication aux autres États membres des failles découvertes afin de créer un cyberespace européen sûr serait une manière concrète d'empêcher que les failles de type jour zéro prolifèrent.

1. Créer un marché européen de la recherche de bogues

L'union doit en outre interdire la vente de vulnérabilités à d’autres fins que le renforcement de la sécurité de ce système, ainsi que l’obligation de divulguer les résultats de toutes les recherches sur la vulnérabilité aux autorités compétentes. Un système de « primes aux bogues » (plus connu sous le nom de bug bounty) européen pourrait être mis en place. Cela permettrait d'une part de coordonner un espace européen de cybersécurité, et de pouvoir assurer que ce soit financièrement intéressant pour les techniciens qui désireraient se mettre au service de l'Europe, moyennant finance.

Actuellement, en vertu de la directive sur la cybercriminalité et de la directive sur le droit d’auteur, les chercheurs de vulnérabilité mettent en danger leur responsabilité civile dans la recherche de vulnérabilité jour zéro, lorsqu'ils partagent leurs résultats. De plus, les chercheurs ne sont pas tenus de partager les résultats de leurs recherches. Ils pourraient donc choisir de les vendre au plus offrant, voir à des États ennemis, ou des entreprises peu scrupuleuses comme c'est le cas avec NSO group. Cela encourage un commerce florissant dangereux pour l'Union. Le droit devrait donc s'adapter à la nouvelle donne cyber.

2. Encadrer l'usage des logiciels espions sur la population présente sur le territoire national

L'Union devrait rendre obligatoire pour tout logiciel espion présent sur le marché européen qu'il contienne un marqueur de sorte que les tribunaux puissent clairement identifier le déployeur et le logiciel. Cette signature doit pouvoir être modifiable afin d'y inclure le nom de l'administration responsable de l'infiltration. Par ailleurs l'Union devrait exiger que l'entreprise qui vend des logiciels espions sur le marché intérieur soit soumise à des exigences en matière de diligence en termes de droit de l'Homme, et soit contrainte d'annuler son contrat en cas de suspicion de violation du droit communautaire ou du droit national.

2. Importance de la coopération entre les États membres et l'Union : Conclusion et recommandations finales

1. Sauvegarder les données européennes collectées via les logiciels espions

Afin de préserver son autonomie stratégique l'Union devrait interdire le recours à des entreprises privées de pouvoir offrir à l'État des services de piratage comme c'est le cas actuellement en Pologne, via Matic Sp. Z.O.O. Au vu de la sensibilité des informations en jeu, seuls des fonctionnaires de police devraient pouvoir mener des actions. En outre, l'Union devrait également interdire que des données issues de logiciels espions utilisés par des Etats européens soient stockées autre part que sur le sol européen, afin d'empêcher qu'elles soient utilisées contre les intérêts de l'UE.

2. Renforcer l'autonomie stratégique européenne en matière de législation sur les logiciels espions

Le numérique n'ayant pas de frontière, les États membres de l'Union doivent respecter la souveraineté nationale, et donc s’informer mutuellement en cas de surveillance de citoyens ou de résidents d’un autre État membre, ou encore d’un numéro de téléphone mobile lié à un opérateur situé dans un autre État membre.

Sur le plan de l'autonomie stratégique, l'Union devrait tout comme ce fut le cas pour l'IA être pionnière en termes de logiciel espion. La déclaration signée à l'initiative des USA relative aux efforts visant à lutter contre la prolifération et l’usage abusif des logiciels espions commerciaux du 30 mars 2023 n'est pas un bon signe en faveur de notre autonomie stratégique européenne. Certes les États signataires s'engagent à l’établissement de garde-fous et de procédures rigoureux visant à garantir que toute utilisation de logiciels espions commerciaux par l’un de nos États respecte pleinement les droits universels, l’état de droit, les droits civils et les libertés publiques et à surveiller la vente de logiciel espions. Mais cela est peu crédible quand on sait que les EUA sont de loin les premiers en termes de surveillance numérique de leurs alliés comme l'a amplement montré l'affaire Snowden. On peut regretter une réaction qui n'ait pas été européenne.

En règle générale sur l'affaire Pegasus, l'Europe et les États européens semblent ne pas avoir su saisir l'occasion pour agir. La France n'a pas su même obtenir des excuses du gouvernement marocain pour avoir espionné notre président de la République (!), et l'Europe contrairement aux EUA n'a même pas interdit l'usage de Pegasus sur le sol européen, alors que l'entreprise ne devrait plus être autorisée à exercer en Europe tant elle a violé notre droit et agit contre nos intérêts stratégiques.

Bibliographie

Textes de loi et réglementations :

Charte des droits fondamentaux de l'UE.
Convention européenne des droits de l'Homme.
Règlement général sur la protection des données (RGPD).

Ouvrages académiques et articles scientifiques :

HOLEINDRE (J-V), OUDET (B). "Les études sur le renseignement en France : généalogie, structuration et propositions”, Note de recherche de l’IRSEM, n°67, 27 novembre 2018, disponible à : https://www.irsem.fr/media/5-publications/notes-de-recherche-research-papers/nr-irsem-67-holeindre-oudet-renseignement-web-v2.pdf

Articles de presse :

DA SILVA (L), VERDES (J). “Etat de droit : chronologie du conflit entre l’Union européenne et la Pologne”, Toute l’Europe, 16 mai 2023, disponible à : Etat de droit : chronologie du conflit entre l’Union européenne et la Pologne

JACQUÉ (P). “Logiciels espions : le Parlement européen demande aux Etats membres de mieux encadrer leur utilisation”, Le Monde, 8 mai 2023, disponible à : Logiciels espions : le Parlement européen demande aux Etats membres de mieux encadrer leur utilisation

UNTERSINGER (M). “ “Les logiciels espions sont des outils très dangereux, dévastateurs” : Guillaume Giraud, un ancien du renseignement se confie”, Le Monde, 29 septembre 2022, disponible à : Les logiciels espions sont des outils très dangereux, dévastateurs

LISSITZKY (T). “Ce que la loi sur le renseignement va finalement changer”, France Info, 24 juin 2015, disponible à : Ce que la loi sur le renseignement va finalement changer

apports et textes officiels :

Haut-Commissariat des Nations Unies aus droit de l’Homme, “Rapport sur le droit à la vie privée à l’ère du numérique”, Nations Unies, 3 août 2018, disponible à : Rapport sur le droit à la vie privée à l’ère du numérique

IN’T VELD (S), Rapport relatif à l’enquête sur les allégations d’infraction et de mauvaise administration dans l’application du droit de l’Union lors de l’utilisation de Pegasus et de logiciels espions de surveillance équivalents, Parlement européen, 22 mai 2023, disponible à :

https://www.europarl.europa.eu/doceo/document/PEGA-RD-740554_FR.pdf

KALDANI (T), PROKOPETS (Z). “Le logiciel espion Pegasus et ses répercussions sur les droits de l’Homme”, Rapport du service de la Société de l’Information du Conseil de l’Europe (DGI), juin 2022, disponible à : LE LOGICIEL ESPION PEGASUS et ses répercussions sur les droits de l’homme,

Documentaires :

“Pegasus, un espion dans votre poche” ARTE, Documentaire d'Anne Poiret (France, 1h33mn) 17 mai 2023, disponible à :Pegasus, un espion dans votre poche | ARTE