Surveillance d'État, ce que le droit international a changé

La surveillance d’État n’a plus de frontières. Intercepter les communications d’un journaliste exilé, reconnaître le visage d’un manifestant dans la foule, vendre des logiciels espions à des régimes autoritaires : les États et les entreprises contournent depuis vingt ans les garde-fous du droit international. La quatrième édition du guide de Privacy International montre que les tribunaux commencent à combler cet angle mort. Des pratiques tolérées deviennent des obligations juridiques.

Un journaliste ciblé depuis un pays voisin. Une interception qui démarre sur un territoire et frappe de l’autre. La quatrième édition du guide de Privacy International sur le droit international des droits humains et la surveillance montre que les tribunaux rattrapent 20 ans de pratiques tolérées.

Ce document compile les avancées juridiques sur la compétence extraterritoriale, la vidéosurveillance des lieux publics, la reconnaissance faciale et les logiciels espions. Il ajoute des chapitres sur la protection des espaces civiques, la responsabilité des entreprises qui vendent de la surveillance et le commerce des équipements d’interception. Le tout repose sur des décisions de justice.

J’ai passé dix-sept ans en gendarmerie. Je sais ce qu’est une réquisition, une commission rogatoire, un PV de constatations. La surveillance d’État transfrontalière ne connaît ni frontière ni formulaire. Ce guide compte pour ça : il transforme un angle mort juridique en obligations.

La compétence extraterritoriale change la donne

Les réseaux sociaux servent à la mobilisation sociale : on y organise les manifestations, on y lance les appels à se rassembler, on y coordonne les actions collectives. Cette fonction les rend vulnérables à la surveillance des gouvernements.

Les plateformes peuvent révéler l’identité des organisateurs, leurs affiliations, les lieux et heures de rassemblement. Une collecte systématique de ces informations par les autorités revient à surveiller l’exercice de la liberté de réunion, pas seulement des données personnelles. Le Comité des droits de l’homme des Nations Unies l’a dit dans son Observation générale : un rassemblement public ne signifie pas que la vie privée des participants ne puisse pas être violée. Source : privacyinternational.org

Le Haut-Commissariat a appelé les États, dans son rapport de 2022, à adopter des cadres juridiques pour encadrer la collecte, l’analyse et le partage du renseignement issu des réseaux sociaux. Ces cadres doivent définir les motifs autorisés, les conditions préalables, les procédures d’autorisation et les mécanismes de contrôle. Sans cela, la surveillance des réseaux sociaux reste une zone grise où les pratiques varient au gré des gouvernements. Source : cnil.fr

Un contrôle indépendant doit s’exercer sur la décision de collecter les données personnelles des personnes participant à des rassemblements pacifiques. Ce contrôle ne peut pas être confié aux seules autorités qui ordonnent la surveillance : il faut un regard extérieur, capable de vérifier que les conditions de nécessité et de proportionnalité sont remplies. Le droit international des droits humains ne se contente pas d’énoncer des principes. Il exige des garanties vérifiables, opposables.

La mobilisation citoyenne, une cible à protéger

Quand un gouvernement surveille une manifestation, il ne collecte pas des données neutres. Il cartographie les réseaux d’opposition, les solidarités, les relais d’information. C’est une photographie du tissu social critique. La protéger, c’est protéger la possibilité du débat public.

Ce que la jurisprudence exige des États

Un visage capté dans la foule. En quelques secondes, un nom. Une adresse.

Un casier. La reconnaissance faciale transforme chaque passant en fiche. La plupart des gens ne mesurent pas ce que ça change.

La reconnaissance faciale identifie ou vérifie une personne à partir des traits de son visage. Elle compare une image captée à une base de données biométriques. Contrairement à un badge ou un mot de passe, votre visage ne se change pas, ne se révoque pas, ne se réinitialise pas.

Les Jeux olympiques de 2024 ont servi de laboratoire. Le pays hôte a déployé des technologies de surveillance automatisée dans les espaces publics, au nom de la sécurité. Des témoignages ont documenté l’usage de la reconnaissance faciale contre des manifestants, pas seulement contre des menaces avérées.

Le cas Glukhin, un précédent qui fait froid dans le dos.

Le cas de Glukhin illustre ce dérapage. Son identification, sa localisation, son arrestation puis sa condamnation ont reposé sur la reconnaissance faciale. Ce n’est pas de la science-fiction : c’est une procédure réelle, documentée, jugée.

Dans cette affaire, le déséquilibre des forces saute aux yeux. Une personne exerce son droit de manifester. La machine la reconnaît, la localise, la signale.

L’arrestation suit. La condamnation clôt la boucle. La technologie n’a jamais eu à justifier sa fiabilité, son taux d’erreur, ni la base de données dans laquelle elle a pioché.

Ce que la Cour européenne a tranché en 2026

Elle a souligné la nature particulièrement intrusive de la reconnaissance faciale. Elle a insisté sur un point : cette technologie ne peut être déployée qu’avec des garanties adéquates, proportionnées à la gravité de l’atteinte.

Sa position est sans ambiguïté. Utiliser une technologie de reconnaissance faciale hautement intrusive dans le contexte où le requérant exerçait son droit à la liberté d'expression est incompatible avec les idéaux et les valeurs d’une société démocratique régie par l’État de droit.

Pourquoi la reconnaissance faciale n’est pas une caméra comme les autres.

Une caméra classique enregistre. La reconnaissance faciale juge. Elle attribue une identité, croise des fichiers, établit des liens.

C’est le passage de l’observation à la classification. Ce passage change tout.

Voici ce que la reconnaissance faciale permet :

• Identifier une personne dans une foule sans qu’elle le sache.
• Croiser son visage avec des bases de données publiques ou privées.
• Reconstituer ses déplacements sur plusieurs jours ou plusieurs mois.
• Associer son identité à des comportements, des opinions, des fréquentations.

Les évaluations d’impact sur les droits humains devraient être systématiques avant tout déploiement de ce type. C’est ce que recommandent les principes internationaux applicables à la surveillance des communications. C’est exactement ce qui manque dans la plupart des cas documentés.

Le monitoring des droits humains face à l’opacité des algorithmes

Le vrai problème du monitoring des droits humains, c’est l’asymétrie d’information. Un citoyen photographié dans la rue ne sait pas :

• Quelle base de données a été consultée.
• Quel algorithme a produit la correspondance.
• Quel taux d’erreur était accepté.
• Qui a eu accès au résultat.
• Combien de temps la donnée sera conservée.

Cette opacité rend le contrôle citoyen impossible. Vous pouvez contester une amende, un licenciement, un refus. Comment contester une identification algorithmique dont vous ignorez tout ?

Le droit international des droits humains, un rempart encore fragile

Le droit international des droits fournit un cadre.

Des initiatives internationales tentent d’établir des standards plus protecteurs. Leur logique : avant de déployer une technologie qui identifie les gens sans leur consentement, il faut prouver qu’elle est nécessaire, proportionnée, et qu’elle ne discrimine pas. Ce renversement de la charge de la preuve changerait tout.

Type de surveillance	Données collectées	Risque pour les droits
Caméra classique	Images, contexte visuel	Vie privée (modéré)
Reconnaissance faciale	Données biométriques, identité	Vie privée, expression, réunion, non-discrimination
Reconnaissance faciale en direct	Identification en temps réel	Tous les précédents, amplifiés par l’immédiateté

Ce que la décision européenne change pour vous

La décision de 2023 n’est pas qu’un point de droit. Elle crée un précédent : un État qui déploie la reconnaissance faciale contre ses citoyens sans garanties solides s’expose à une condamnation. Les juridictions nationales devront en tenir compte, y compris en France.

Le terrain m’a appris une chose : la technologie ne remplace pas le jugement. Une caméra qui identifie un visage n’établit pas une culpabilité. Elle produit une piste.

C’est l’humain qui décide quoi en faire. Quand l’humain s’efface derrière l’algorithme, le droit doit reprendre la main.

Logiciels espions, une menace pour la démocratie

Un téléphone qui s’allume seul, une batterie qui fond, un SMS bizarre. La plupart des gens pensent à un bug. Les journalistes pensent à Pegasus.

Les logiciels espions s’infiltrent dans un appareil sans que son propriétaire s’en aperçoive. Une fois installés, ils donnent accès aux messages, aux photos, à la localisation, au microphone. Sans mandat, sans information, sans recours.

En gendarmerie, on appellerait ça une perquisition sans cadre légal. Sauf qu’ici, la perquisition est invisible et permanente.

Le cas Pegasus, développé par la société israélienne NSO Group, a changé la perception du problème. Des dizaines de milliers de numéros ont été identifiés comme cibles potentielles : journalistes, avocats, militants, responsables politiques. Les révélations de 2021 ont montré l’ampleur du phénomène.

Le logiciel n’est pas le seul. D’autres outils similaires circulent.

Un décalage entre le discours et la cible

Les gouvernements justifient l’acquisition de ces technologies par la lutte contre le terrorisme et la criminalité grave. Les rapports des Nations Unies racontent une autre histoire. Les cibles identifiées sont rarement des terroristes. Ce sont des personnes dont le seul tort est de poser des questions, de publier, de contester.

L’utilisation détournée de ces outils érode la liberté d’expression et la participation publique. Elle perturbe les médias, les organisations de défense des droits humains, les syndicats. La démocratie ne meurt pas d’un coup. Elle s’éteint quand ceux qui devraient parler préfèrent se taire.

L’effet dissuasif, un poison invisible

Le pire n’est pas l’espionnage. C’est la peur qu’il installe. Un journaliste qui craint que ses sources soient compromises arrête de les contacter.

Un défenseur des droits humains qui sait ses communications interceptées réduit ses échanges. Un avocat qui doute de la confidentialité de ses dossiers change de stratégie.

Les organes des Nations Unies l’ont compris. La nouvelle édition du guide sur la surveillance insiste sur la protection des espaces civiques, ces lieux où la société s’organise, débat et conteste. Protéger les personnes ne suffit plus. Il faut protéger les conditions qui leur permettent d’agir ensemble.

La responsabilité des entreprises

Voici ce qui change :

• Les entreprises doivent vérifier l’usage final de leurs produits.
• La vente d’équipements de surveillance à des régimes répressifs est de plus en plus encadrée.
• Les victimes de surveillance illicite peuvent chercher à engager la responsabilité des fournisseurs.

Ce que ça change pour vous

Je ne vais pas vous faire un cours de droit international. Mais ce guide m’intéresse pour une raison : il montre que le droit bouge, même lentement. Les décisions de la Cour européenne de 2023 et 2024 ne sont pas des abstractions. Elles créent des précédents que les États doivent respecter.

La surveillance de masse ne vise pas seulement des individus. Elle vise des espaces entiers où la société civile s’organise, débat et conteste.

Le combat est loin d’être gagné. Mais le droit international des droits humains fournit des armes de plus en plus précises. Ce guide en est la preuve.

Un message envoyé depuis le métro

Des serveurs qui le relaient, le copient, l’archivent. Le droit français et européen encadre cette chaîne invisible. Encore faut-il connaître les principes qui la régissent. La surveillance des communications électroniques obéit à un socle juridique précis, hérité de la Convention européenne des droits de l’homme et du RGPD, que la plupart des usagers ignorent.

Avant Internet, intercepter une communication exigeait des moyens physiques lourds : écoutes téléphoniques manuelles, filatures, perquisitions. Ces contraintes logistiques bornaient l’ampleur de la surveillance étatique. Elles ont fondu en deux décennies.

L’explosion des échanges numériques, la chute des coûts de stockage et la centralisation des données chez quelques prestataires privés ont rendu possible une collecte massive. Le cadre conceptuel des droits humains, lui, n’a pas suivi ce rythme.

La Cour européenne des droits de l’homme (CEDH) a pourtant posé des garde-fous. Toute ingérence dans la vie privée doit reposer sur une base légale accessible et prévisible, poursuivre un but légitime (sécurité nationale, prévention des infractions) et rester proportionnée. C’est le triptyque de l’article 8 de la Convention. Simple à énoncer, complexe à appliquer quand les dispositifs techniques changent plus vite que la jurisprudence.

La nécessité dans une société démocratique

La Cour de justice de l’Union européenne (CJUE) a été plus loin. Dans l’arrêt Digital Rights Ireland de 2014, elle a invalidé la directive sur la conservation des données : la collecte généralisée et indifférenciée des métadonnées violait les droits fondamentaux. Même logique dans les arrêts Schrems I et II : les transferts de données vers des pays tiers ne sont valables que si le niveau de protection est équivalent. La surveillance de masse n’est pas une fatalité juridique.

C’est la question qu’un OPJ se pose avant chaque acte d’enquête. Est-ce que la mesure est nécessaire ?

Est-ce qu’il existe un moyen moins intrusif d’arriver au même résultat ? Si la réponse est non, la procédure est fragile. Les juridictions européennes appliquent le même raisonnement aux programmes de surveillance étatique.

Le contrôle indépendant, clé de voûte

Un principe revient dans toutes les décisions : la surveillance ne vaut que si une autorité indépendante du pouvoir exécutif la contrôle. En France, la CNIL joue ce rôle pour les traitements de données personnelles. Elle vérifie la conformité au RGPD et à la loi Informatique et Libertés, enquête sur les signalements, prononce des sanctions. Un abus documenté peut aboutir à une condamnation, pas seulement à une indignation.

Les métadonnées ne sont pas anodines

C’est l’angle mort du débat public. Les métadonnées, ces informations sur vos communications et non sur leur contenu, bénéficient d’une protection juridique moindre. Une fois collectées et croisées, elles dressent un profil : état de santé, opinions politiques et religieuses, relations sociales, habitudes de déplacement. Elles révèlent autant de détails, parfois plus, que le contenu des messages.

Le problème est double. Les lois ne restreignent pas assez la manipulation de ces métadonnées par les agences gouvernementales. Leur collecte, leur partage et leur conservation échappent à un contrôle approprié.

Et les États y accèdent de plus en plus souvent. La CJUE a tranché : l’accès aux données de connexion doit être réservé aux infractions graves et soumis à un contrôle préalable.

Pour le citoyen, la parade commence par la documentation. Gardez les preuves : captures d’écran, journaux de connexion, courriels suspects, notifications de sécurité. Sans traces écrites, démontrer un abus relève de l’exploit.

Si vous soupçonnez une surveillance illégitime, la saisine de la CNIL est gratuite et directe. Elle enquête, y compris sur place, et sanctionne les manquements.

La vigilance vaut pour le travail

La surveillance au travail illustre l’exigence de proportionnalité. Un employeur peut contrôler l’activité de ses salariés, à des conditions strictes : information préalable, finalité légitime, proportionnalité du dispositif. Une surveillance constante et clandestine viole la jurisprudence de la CEDH. Les salariés ne perdent pas leurs droits fondamentaux quand ils franchissent la porte du bureau.

Principe juridique	Ce qu’il exige	Autorité de contrôle
Base légale	Une loi accessible et prévisible	CNIL, CJUE, CEDH
Finalité précise	Un but légitime clairement défini	CNIL
Proportionnalité	Pas d’alternative moins intrusive	Juge administratif ou judiciaire
Contrôle indépendant	Une autorité distincte du pouvoir exécutif	CNIL, CEDH

Les entreprises face à leurs responsabilités

Les États ne sont pas les seuls acteurs de la surveillance. Les plateformes privées collectent, analysent et monétisent des quantités colossales de données. Le RGPD leur impose des obligations : minimisation des données, limitation des durées de conservation, transparence sur les finalités.

VPN reste l’outil de base pour chiffrer ses échanges

Et limiter l’exposition de ses métadonnées aux regards indiscrets. Pas une solution miracle, mais un premier rempart face à la collecte systématique des données de connexion.

Les caméras se multiplient dans les rues, les gares, les aéroports. La France comme d’autres pays étend la vidéosurveillance au nom de la sécurité. Mais la base légale de cette extension est souvent fragile.

Le rôle des autorités indépendantes

Sans contrôle extérieur, la multiplication des caméras devient une politique du fait accompli. Les autorités indépendantes, comme la CNIL en France, doivent examiner chaque extension de dispositif avant son déploiement. C’est la seule manière d’éviter que la sécurité ne devienne un blanc-seing permanent.

Vous aimerez peut-être aussi Pourquoi la liberté d'expression est-elle importante ?.

Ce que disent les forums

Sur les forums de développeurs, la surveillance et les droits humains apparaissent sous un angle inattendu : la carrière. Un ingénieur qui s’ennuyait dans le logiciel grand public expliquait que la bascule consiste à choisir un domaine qui a du sens. L’aéronautique, la médecine, le droit humanitaire. La surveillance était citée au même titre que la logistique ou l’édition.

Ce qui frappe dans ces échanges, c’est l’absence de naïveté. Travailler sur des systèmes de surveillance, c’est accepter qu’ils servent à contrôler des populations, ou décider de les documenter et de les contrer. Le choix n’est pas neutre, et les professionnels le savent.

Un point revient souvent : la compétence technique est une arme à double tranchant. Un développeur qui comprend les systèmes d’information sait comment la collecte de données opère. Il peut donc mieux défendre les libertés publiques, ou construire des outils d’oppression. La responsabilité individuelle devient un sujet de débat constant.

J’ai creusé une question voisine dans un autre article : Les êtres humains sont-ils vraiment libres ? Elle prolonge cette réflexion sur ce que la technologie fait à notre autonomie.

Les questions qui reviennent

Les discussions en ligne révèlent des dilemmes récurrents, que je résume ici sans les trahir :

• Peut-on critiquer les atteintes aux droits humains d’un État qui profite de la protection d’un autre régime autoritaire ?
• Pourquoi les condamnations internationales contre les programmes de surveillance semblent-elles si peu suivies d’effets ?
• Quelle est la valeur réelle des révélations de Snowden pour des citoyens hors des États-Unis ?
• Un développeur peut-il refuser un projet de surveillance sans compromettre sa carrière ?

La réponse à la deuxième question est la plus dérangeante. Les pays qui s’indignent officiellement continuent souvent, par leurs choix économiques et financiers, de rendre ces programmes possibles. Acheter la dette d’un État, c’est financer indirectement ses capacités d’interception, quelle que soit la position morale affichée. Le droit pèse peu face à ces flux financiers si les gouvernements ne changent pas leurs actes.

En complément, j'ai consacré un article à Les êtres humains sont-ils vraiment libres ?.

La notification des droits, c’est le premier verrou. Sur le terrain, on vous remet un formulaire, la personne signe, et tout doit être consigné heure par heure.

Si l’heure de début de garde à vue n’est pas notée précisément, toute la procédure peut sauter. La surveillance, même légale, commence par là.

On voit souvent des gens qui ne répondent pas aux questions posées lors de la notification.

Le formulaire prévoit une case pour ça (l’intéressé ne répond pas à notre question). Ce silence est acté noir sur blanc, et ça protège autant l’enquêteur que la personne gardée à vue.

La visite médicale, l’avocat, l’appel à un proche : tout est proposé dès le début.

Si un de ces droits n’est pas notifié correctement, la garde à vue peut être annulée par un juge. La procédure encadre la contrainte, c’est la réalité du terrain.

Vos recours concrets en France