Suite aux révélations sur le logiciel espion des téléphones mobiles Pegasus de l’israélien NGO, des voix se font entendre pour réclamer une réglementation internationale pour contrôler l’exportation de ces technologies intrusives. Pure coïncidence, le 10 septembre 2021 un règlement européen sur l’exportation des biens à double usage est entré en vigueur. Ce texte témoigne de la volonté de l’Union européenne de replacer les atteintes aux droits humains au centre des débats. Mais d’aucuns relèvent l’hypocrisie de certains Etats membres dont la France, l’Allemagne ou l’Italie qui vendent de tels outils à des pays autoritaires peu soucieux des droits humains. Si ce texte ne s’applique qu’aux 27, il pourrait faire des émules, le scandale Pegasus ayant alerté le monde sur la nécessité d’encadrer la commercialisation de telles technologies.

En juillet dernier, l’ONG Forbiden Stories et 17 médias dont Le Monde révélaient la vente du logiciel espion Pegasus à l’Azerbaïdjan, Bahreïn, l’Inde, le Kazakhstan, le Mexique, le Maroc, le Rwanda, l’Arabie saoudite, les Émirats arabes unis et la Hongrie. Cet outil permet d’activer la caméra ou le microphone d’un mobile et de copier ses données à l’insu de son propriétaire. Il a été utilisé pour espionner des gouvernants, des hommes politiques, des journalistes ou des militants des droits humains. Pour exporter cette technologie, NGO a obtenu l’autorisation du ministère de la Défense israélienne. Il a également été commercialisé sous licence bulgare et chypriote, deux Etats membres de l’Union européenne. Or, l’exportation de telles technologies attentatoires à la vie privée et aux droits humains, à destination de pays dictatoriaux, n’obéit-elle donc à aucune règle ?

Il est faux de prétendre qu’il n’existe aucune réglementation internationale des exportations de technologie de surveillance. Comme l’a résumé Edward Snowden, « le régime actuel des exportations a échoué à contrôler l’impact de l’industrie des logiciels ». En effet, la réglementation actuelle est très limitée, non contraignante et peu efficace car dépourvue de mécanismes de contrôle indépendants. Il s’agit de l’arrangement de Wassenaar. A la fin de la seconde guerre mondiale, des instruments de lutte contre la prolifération d’armes ont été instaurés, avec l’institution du Coordinating comittee for multilateral strategic export control (Cocom) par les membres de l’Otan afin d’éviter les ventes de produits stratégiques vers les pays du pacte de Varsovie. Avec la dissolution du Cocom à la fin de la guerre froide, les principaux pays exportateurs et producteurs de de biens et de technologies à double usage ont mis en place plusieurs instruments multilatéraux de contrôle des exportations afin d’harmoniser leurs politiques. L’arrangement de Wassenaar, qui lui succède le 19 décembre 1995, est destiné à contrôler l’exportation d’outils initialement conçus pour un usage civil mais susceptibles d’être détournés par leur utilisateur à des fins militaire, terroriste, ou d’abus des droits humains. Sont membres de l’arrangement quarante-deux Etats dont la Russie, les États-Unis et la Turquie, mais pas Israël, au centre du scandale Pegasus. Une liste de biens et de technologies soumis au contrôle à l’exportation est établie par les Etats membres de l’arrangement qui ont chacun un droit de veto. Il revient ensuite à chacun des Etats d’appliquer cet arrangement, qui reste un instrument non contraignant.

Se plaçant dans ce cadre international, l’Union européenne avait adopté le 22 juin 2000 un règlement qui avait institué un régime commun de contrôle des exportations de biens et technologies à double usage, dans lequel était annexée la liste des technologies soumises à contrôle, établie dans le cadre de l’arrangement de Wassenaar. Ce texte a été abrogé et remplacé le 5 mai 2009 par un nouveau règlement.

Chaque État membre devait prendre toutes mesures appropriées afin d’assurer la mise en œuvre de l’ensemble des dispositions de ce règlement et déterminer le régime d’autorisation préalable ainsi que les sanctions applicables en cas de contravention.

Suite à différents scandales liés à l’exportation de logiciels de surveillance d’Italie vers le Maroc, le Soudan du sud ou l’Arabie saoudite, d’Allemagne vers la Birmanie ou l’Égypte mais aussi de France avec Amesys et Nexa Technologies vers la Libye et l’Égypte, des députés européens, des organisations non gouvernementales comme Amnesty International ont mis la pression sur l’Union européenne pour mettre en place un meilleur contrôle des exportations de technologies de surveillance telles que les logiciels espions, les dispositifs biométriques, les drones, etc. Il aura cependant fallu plus de quatre ans d’âpres discussions entre les Etats membres aux intérêts divergents, les différentes institutions de l’Union, la présidence et les représentants du Parlement pour parvenir à un accord politique en 2020.

Violation des droits humains

Le règlement de 2009 a finalement été abrogé et remplacé par celui du 20 mai 2021 (JOUE du 11 juin 2021). Entré en vigueur le 10 septembre dernier, il institue un régime européen modernisé de contrôle des exportations de courtage, d’assistance technique, de transit et de transfert en ce qui concerne les biens à double usage civil ou militaire. La principale innovation de ce texte réside dans la mise en place d’un strict renforcement des contrôles des exportations de technologies de surveillance dont l’utilisation abusive violerait gravement les droits humains. Seront désormais soumis à cette nouvelle réglementation les biens à double usage qui permettent de « surveiller ce traitement des personnes physiques en contrôlant, extrayant, collectant ou analysant les données, y compris des données biométriques ». Plus largement, le texte impose un contrôle plus strict des exportations d’outils qui « sont ou peuvent être destinés, entièrement ou en partie, à une utilisation impliquant la répression interne et/ou la commission de violations graves et systématiques des droits de l’homme et du droit humanitaire en général ».

Comme ses deux dernières versions, le règlement de 2021 comporte une annexe I dans laquelle figure une liste de produits et services commune à l’ensemble des 27 Etats membres qui est régulièrement actualisée. Il est aussi prévu que même si les produits ne figurent pas sur la liste, un exportateur est tenu de faire une demande d’autorisation pour l’exportation de technologies de cyber surveillance, s’il a été informé ou a connaissance après vérification que ceux-ci seront utilisés tout ou partie à des fins de répression interne et où la commission de violation grave du droit international relatif aux droits humains et le droit humanitaire.

Le règlement prévoit également une obligation pour les autorités de l’Union de rendre publiques des informations détaillées sur les licences d’exportation qui ont été approuvées ou refusées. Il met également en place un mécanisme de coordination renforcée entre les Etats membres qui sont incités en effet à partager avec la Commission et les autres Etats membres les avancées technologiques nationales en matière de cyber surveillance. Cette coopération a pour objectif d’exercer une vigilance accrue sur l’exportation de ses biens.

Si cette réglementation représente un réel progrès, elle ne résout pas tous les problèmes. En effet, les Etats restent décisionnaires sur les autorisations à délivrer car cela relève de la souveraineté nationale. Les intérêts nationaux finissent toujours par s’imposer. De façon générale, se pose la question de la dépendance des Etats producteurs à l’exportation de ces technologies très coûteuses en développement.

A la base, elles sont destinées à se doter d’outils pour protéger les citoyens sans avoir à dépendre de pays tiers. Mais le marché français des ministères régaliens est trop étroit pour amortir les coûts de développement. Ce qui oblige la France à faire le grand écart entre une affirmation de la sauvegarde des droits humains et ses intérêts économiques et régaliens. Mais ce texte permettra d’avoir un peu plus de visibilité sur certains transferts internationaux, même si son application reste du domaine des Etats. Quant à Israël, il n’est concerné ni par le règlement ni vraiment par l’arrangement de Wassenaar dont il n’est pas membre. Mais le scandale n’aura peut-être pas été inutile. Le président de la commission des Affaires étrangères et de la défense de la Knesset (le parlement) a en effet annoncé, le 23 juillet dernier, la création d’une commission de révision des contrats de licence. Reste à voir ce qu’il en ressortira, une fois le scandale émoussé.