Le 11 octobre 2024, la Commission européenne a adopté la Recommandation (UE) 2024/2659, visant à renforcer les orientations pour l’exportation des biens de cybersurveillance, conformément à l’article 5 du règlement (UE) 2021/821. Ce règlement, qui fait partie du cadre de contrôle des exportations de l’Union européenne, s’applique aux biens à double usage, c’est-à-dire des produits pouvant être utilisés à des fins civiles et militaires, et potentiellement utilisés pour la répression interne ou des violations des droits de l’homme.
Pourquoi cette recommandation ?
L’objectif de cette recommandation est de fournir des orientations claires aux exportateurs européens concernant les biens de cybersurveillance qui ne sont pas explicitement répertoriés, mais qui pourraient être utilisés de manière abusive. Ces biens, bien que non spécifiquement mentionnés dans les annexes du règlement, doivent néanmoins faire l’objet de contrôles rigoureux s’ils présentent des risques pour les droits de l’homme.
La cybersurveillance, par définition, inclut des technologies permettant la surveillance discrète des individus, souvent sans leur consentement ou sans qu’ils en aient conscience. Les autorités craignent que ces technologies puissent être utilisées par des régimes répressifs pour surveiller des dissidents, des journalistes ou des défenseurs des droits humains, entraînant de graves violations des libertés fondamentales.
Quels biens sont concernés ?
Les biens de cybersurveillance sont définis comme des biens à double usage conçus pour permettre la surveillance, l’extraction, la collecte ou l’analyse de données provenant de systèmes d’information et de télécommunications. Cela inclut notamment :
- Les systèmes de surveillance des télécommunications,
- Les logiciels d’intrusion,
- Les systèmes de reconnaissance faciale,
- Les dispositifs de localisation,
- Les systèmes d’interception de télécommunications et de surveillance internet.
Bien que certains de ces biens puissent être utilisés à des fins commerciales légitimes, ils posent un risque lorsqu’ils sont exportés vers des régimes autoritaires ou des zones de conflit.
Les obligations des exportateurs
Conformément à l’article 5 du règlement, les exportateurs de biens de cybersurveillance doivent :
- Appliquer des procédures de vigilance (due diligence) pour évaluer les risques liés à l’exportation de ces biens, notamment en analysant l’utilisation finale et les utilisateurs finaux.
- Informer les autorités compétentes s’ils ont connaissance que ces biens pourraient être utilisés pour la répression interne ou des violations graves des droits de l’homme.
Les exportateurs doivent s’assurer que leurs produits ne contribuent pas à des violations des droits humains, comme la surveillance illégale ou les atteintes à la vie privée. Ils sont également invités à établir des programmes internes de conformité (PIC) pour renforcer la gestion des risques.
Mesures de vigilance recommandées
La recommandation (UE) 2024/2659 encourage les exportateurs à mettre en place des mesures de vigilance spécifiques pour vérifier si les biens exportés pourraient être utilisés pour la cybersurveillance abusive. Ces mesures incluent :
- L’évaluation des caractéristiques techniques des produits,
- L’examen des antécédents de l’utilisateur final en matière de droits de l’homme,
- La vérification des signaux d’alerte liés à une utilisation abusive potentielle.
Conclusion
Avec cette nouvelle recommandation, l’Union européenne réaffirme son engagement à empêcher que des technologies sensibles ne soient utilisées à des fins de répression ou de violation des droits de l’homme. Les exportateurs doivent redoubler de vigilance pour s’assurer que leurs produits ne sont pas détournés de leur usage légitime. Le contrôle des exportations de biens de cybersurveillance est donc crucial pour garantir que ces technologies ne renforcent pas les capacités de surveillance des régimes répressifs.