Surveillance des journalistes, perquisitions et saisies d'appareils numériques – Europe

Insights

La protection des droits des journalistes dans l'espace numérique, notamment la protection de leurs communications et autres données sensibles, est devenue un enjeu de plus en plus complexe et crucial à l'ère de l'information. Ce module examine différentes mesures prises par les États, les tribunaux et les institutions européennes pour répondre aux questions relatives à la vie privée, à la sécurité et à la liberté d'expression.

Introduction

La protection des droits des journalistes dans l'espace numérique, notamment la protection de leurs communications et autres données sensibles, est devenue un enjeu de plus en plus complexe et crucial à l'ère de l'information. Avec l'essor rapide d'Internet, incluant les outils de communication en ligne et les plateformes de partage de données électroniques, le volume de données transférées et stockées numériquement ne cesse de croître. Par ailleurs, de nombreuses contributions au débat public sont diffusées et reçues en ligne.

Alors que les évolutions législatives, judiciaires et politiques peinent à suivre le rythme rapide des progrès technologiques, les pays européens et les organisations régionales, telles que l'Union européenne (UE) et le Conseil de l'Europe (CdE), ont mis en place des mesures pour répondre aux problématiques existantes et émergentes liées à la vie privée, à la sécurité et à la liberté d'expression. Ces mesures concernent notamment la surveillance et la conservation des communications des journalistes, ainsi que l'accès à leurs appareils.

Interception de données en masse

La surveillance des communications, notamment par la mise en place de régimes d'interception massive, a été au cœur des évolutions juridiques en matière de surveillance ces dernières années. L'augmentation du flux de données en ligne, mais aussi la sophistication technique des outils de surveillance, accroissent le risque que les citoyens, y compris les journalistes, deviennent des « personnes transparentes ».¹ pour les autorités étatiques. Selon le Rapporteur spécial des Nations Unies sur la liberté d'expression :

Grâce aux progrès technologiques, l'efficacité de l'État en matière de surveillance n'est plus limitée par l'échelle ni par la durée. […] De ce fait, l'État dispose aujourd'hui d'une capacité accrue de mener une surveillance simultanée, intrusive, ciblée et à grande échelle. ²

Qu'est-ce que l'interception de données en masse ?

L’interception massive de données est définie comme « la collecte de gros volumes de trafic internet provenant du monde entier » dans des situations où la cible est inconnue et où l’objectif de la mesure est de découvrir plutôt que d’enquêter.³ Les données recueillies peuvent inclure, outre le contenu de la communication, les circonstances de sa transmission, notamment le « qui », le « quand » et le « où ».⁴ Elle est étroitement liée à la surveillance de masse, qui « implique l’acquisition, le traitement, la génération, l’analyse, l’utilisation, la conservation ou le stockage d’informations concernant un grand nombre de personnes, sans tenir compte du fait qu’elles soient ou non soupçonnées d’actes répréhensibles ».⁵

Ces pratiques, ainsi que les mesures de surveillance ciblée, portent atteinte au droit au respect de la vie privée (article 17 du Pacte international relatif aux droits civils et politiques, article 8 de la CEDH), car les autorités accèdent à des données personnelles et professionnelles intimes. De plus, le fait de savoir – ou même de soupçonner – d’être surveillé compromet le droit à la liberté d’expression (article 19 du Pacte international relatif aux droits civils et politiques, article 10 de la CEDH), car la crainte de divulguer involontairement son activité en ligne ou l’identité de ses sources journalistiques a un effet dissuasif et conduit à l’autocensure, notamment dans les contextes répressifs.

Normes juridiques internationales

Divers organes des Nations Unies ont exprimé leur inquiétude quant aux conséquences des mesures de surveillance sur les droits humains. Par exemple, le Comité des droits de l'homme de l'ONU a déclaré que « la surveillance, qu'elle soit électronique ou autre, les interceptions téléphoniques, télégraphiques et autres formes de communication, les écoutes téléphoniques et l'enregistrement des conversations devraient être interdits ».⁶ Il a en outre été précisé que, pour se conformer aux exigences de l’article 17 du PIDCP, le droit à la vie privée, « l’intégrité et la confidentialité de la correspondance doivent être garanties de jure et de facto ».⁷

La surveillance des communications a été qualifiée d’« acte hautement intrusif » qui ne peut se justifier que dans des circonstances exceptionnelles et doit s’accompagner de garanties suffisantes.⁸ Au-delà de cela – comme l’a critiqué le Rapporteur spécial des Nations Unies sur la lutte contre le terrorisme en 2014 – « la technologie d’accès massif est indiscriminée et corrosive pour la vie privée en ligne et porte atteinte à l’essence même du droit garanti par l’article 17 [PIDCP] ».⁹ car elle « élimine toute possibilité d’analyse de proportionnalité individualisée ».¹⁰ Conformément à cette évaluation, le Haut-Commissariat des Nations Unies aux droits de l’homme (HCDH) a également souligné que la surveillance de masse indiscriminée, ainsi que l’interception, la collecte, le stockage et l’analyse des communications de tous les utilisateurs, ne sont « pas admissibles en vertu du droit international des droits de l’homme, car une analyse individualisée de la nécessité et de la proportionnalité ne serait pas possible dans le contexte de telles mesures ».¹¹ Selon le HCDH, « la simple possibilité que des informations de communication soient interceptées » et donc l’existence même d’un programme de surveillance de masse, porte atteinte au droit à la vie privée.¹²

Normes régionales : UE

Depuis près d'une décennie, les mesures de surveillance de masse font l'objet d'interprétations par les juridictions européennes. La Cour de justice de l'Union européenne (CJUE), en particulier, a examiné en profondeur la question de la conservation des données dans plusieurs arrêts de principe, soulevant notamment des inquiétudes quant au fait que les données conservées permettent aux autorités de tirer des conclusions très précises sur la vie privée des personnes concernées.¹³

• Dans son jugement concernant l'affaire Droits numériques Irlande/Seitlinger et autres En 2014, la Cour de justice de l'Union européenne (CJUE) a invalidé la directive relative à la conservation des données (directive 2006/24/CE), qui imposait notamment aux opérateurs de télécommunications de conserver les données de trafic et de géolocalisation de tous les utilisateurs pendant des périodes prolongées. La CJUE a fondé son invalidation sur le fait que la directive portait atteinte, de manière « particulièrement grave » et disproportionnée, au droit au respect de la vie privée et familiale et à la protection des données à caractère personnel.¹⁴
• Deux ans plus tard, en Tele2 Sverige AB/Watson et autres (2016), la CJUE s’est appuyée sur ces conclusions, estimant que le droit de l’UE empêchait toute législation nationale imposant aux services de communications électroniques l’obligation de conserver de manière générale et indiscriminée les données de trafic et de localisation à des fins de lutte contre la criminalité.¹⁵ La CJUE a par ailleurs précisé que la conservation ciblée des données, limitée à ce qui est strictement nécessaire et imposée par une législation claire et précise comportant des garanties suffisantes, n'est pas exclue par le droit de l'UE.¹⁶
• Dans le cas d' Privacy International Dans l’arrêt 2020, la CJUE a réaffirmé l’interdiction de la conservation générale et indiscriminée des données. Cette affaire l’a amenée à examiner l’application du droit de l’Union européenne aux législations nationales imposant aux fournisseurs de services de communications de conserver des données et/ou de les transmettre aux services de sécurité et de renseignement nationaux.¹⁷ La CJUE a approfondi ses conclusions dans l'affaire Tele2, jugeant que le droit de l'UE s'oppose à toute législation nationale qui imposerait aux fournisseurs de services de communications électroniques de transmettre de manière générale et indiscriminée les données de trafic et de localisation aux agences de sécurité et de renseignement dans le but de préserver la sécurité nationale.¹⁸ Dans l'affaire jointe de La Quadrature du Net et autres (2020), la CJUE a jugé qu'une ordonnance exigeant la conservation générale et indiscriminée des données de localisation et de trafic peut être justifiée lorsque l'État est confronté à une menace grave, réelle et actuelle ou prévisible pour la sécurité nationale.¹⁹ Bien que cette mesure doive être limitée dans le temps à ce qui est strictement nécessaire, elle peut être prolongée si la menace persiste.²⁰

En outre, la CJUE a clarifié les exigences relatives à la conservation ciblée ainsi qu'à la conservation des adresses IP et autres données permettant l'identification des utilisateurs, en classant certains types de données comme « moins sensibles ».²¹

• Il s'agit de sa récente décision dans cette affaire SpaceNet/Telecom Deutschland (2022), la CJUE a de nouveau confirmé que le droit de l'UE exclut l'exigence d'une conservation préventive, générale et indiscriminée des données pour lutter contre la criminalité grave et prévenir les menaces graves à la sécurité publique.²² Elle a par ailleurs précisé un certain nombre de mesures qui, dans la mesure où elles sont établies par des règles claires et précises comportant des garanties suffisantes, ne sont pas exclues, notamment :²³

• Instructions visant à conserver de manière générale et indiscriminée les données de trafic et de localisation dans le but de préserver la sécurité nationale lorsqu'il existe une menace grave, réelle, actuelle et prévisible pour la sécurité nationale, dans la mesure où un processus d'examen efficace est en place et que l'instruction est limitée dans le temps à ce qui est strictement nécessaire ;
• Conservation ciblée des données de trafic et de localisation, limitée dans le temps et dans le champ d’application, à des fins de sauvegarde de la sécurité nationale, de lutte contre la criminalité grave et de prévention des menaces graves à la sécurité publique ;
• En outre, la CJUE précise les circonstances dans lesquelles la conservation indiscriminée et générale des adresses IP, des données relatives à l'identité civile des utilisateurs et la conservation accélérée des données de trafic et de localisation en possession des fournisseurs de services peuvent être justifiées en vertu du droit de l'UE.

Normes régionales : CoE

La Cour européenne des droits de l'homme (CEDH) a également évalué la légalité de différents systèmes nationaux d'interception massive dans plusieurs affaires marquantes.

Initialement, dans le jugement de 2006 dans l'affaire Weber et Saravia contre l'AllemagneLa CEDH a jugé que les États jouissent généralement d’une « marge d’appréciation assez large » en ce qui concerne les mesures relatives à la sécurité nationale et à la prévention des infractions.²⁴

Quelques années plus tard, la CEDH a dû examiner le régime russe de télécommunications secrètes à la lumière de la CEDH. Zakharov contre la RussieLa Grande Chambre a constaté une violation de l’article 8 de la CEDH, arguant que les dispositions nationales ne comportaient pas de « garanties adéquates et effectives contre l’arbitraire et le risque d’abus inhérent à tout système de surveillance secrète ».²⁵ De même, la CEDH a constaté que la législation antiterroriste hongroise ne comportait pas de garanties suffisantes et s'est inquiétée du fait que pratiquement n'importe qui en Hongrie puisse être surveillé.²⁶

Dans un arrêt historique sur la surveillance de masse, la Première Section de la CEDH a statué sur Big Brother Watch contre le Royaume-Uni En 2018, le fait que les interceptions massives soient effectuées par les agences de renseignement n'était pas en soi incompatible avec le droit à la vie privée.²⁷

Cette conclusion a été confirmée ultérieurement par la Grande Chambre, qui a estimé que les mesures d'interception massive peuvent se justifier dans certaines circonstances, notamment pour la collecte de renseignements et la lutte contre le terrorisme et l'espionnage.²⁸ La CEDH a jugé que, bien que les régimes d'interception massive ne per se Pour enfreindre les droits garantis par la Convention, elles doivent comporter des garanties de bout en bout ainsi qu'une protection suffisante des sources journalistiques.²⁹

Dans le cas d' Centrum för Rättvosa c. SuèdeDans une affaire tranchée le même jour, la Grande Chambre de la CEDH a conclu que le régime suédois d'interception massive violait l'article 8 de la CEDH, mais a également affirmé explicitement que « l'interception massive est d'une importance vitale pour les États contractants dans l'identification des menaces à leur sécurité nationale » et qu'« aucune autre solution ou combinaison de solutions ne serait suffisante pour remplacer le pouvoir d'interception massive ».³⁰

La Cour a depuis examiné d'autres systèmes nationaux de surveillance de masse et de conservation des données et a constaté des violations de la CEDH.³¹

Litiges relatifs à l'interception massive de données : statut de victime

Le terme « qualité pour agir » désigne généralement la capacité d'une personne ou d'une organisation à saisir un tribunal. Bien que les conditions requises varient selon les juridictions, le demandeur doit généralement démontrer en quoi l'affaire le concerne ou quel intérêt il représente. Souvent, il devra établir un lien suffisant entre le problème et son intérêt.

La CEDH, conformément à l'article 34 de la Convention européenne des droits de l'homme, accepte les requêtes de toute personne « se prétendant victime d'une violation, par l'une des Hautes Parties contractantes, des droits énoncés dans la Convention ou ses Protocoles ». Ceci inclut non seulement les victimes directes, mais aussi celles qui subiraient un préjudice ou qui ont un intérêt légitime dans l'affaire.³² La CEDH a clairement indiqué que :

La Convention ne prévoit pas l’introduction d’une action poularis et sa tâche n’est normalement pas d’examiner la loi et la pratique pertinentes de manière abstraite, mais de déterminer si la manière dont elles ont été appliquées ou ont affecté le requérant a donné lieu à une violation de la Convention. ³³

Par conséquent, la CEDH exige généralement des requérants qu'ils expliquent en quoi ils ont été victimes d'un acte précis qui, selon eux, a violé leurs droits. Cependant, dans certaines circonstances, des « victimes potentielles » peuvent saisir la CEDH. Il s'agit notamment des personnes qui soupçonnent d'avoir été ciblées par des mesures secrètes (de surveillance). Comme ces personnes ne peuvent savoir si de telles mesures ont été utilisées, la CEDH admet que « la simple existence de mesures secrètes ou d'une législation autorisant de telles mesures » peut suffire.³⁴ C’est le cas lorsque le demandeur a pu être affecté par la législation en question et qu’il n’existe pas de recours internes suffisants et efficaces.³⁵

Certaines juridictions nationales adoptent des approches similaires. Par exemple, la Cour constitutionnelle fédérale allemande a accepté l'argument selon lequel les requérants, qui contestaient les obligations de conservation prévues par la loi de 2007 sur les télécommunications, utilisaient les services de télécommunications à titre privé et professionnel, reconnaissant leur qualité pour agir en raison de la « probabilité raisonnable » d'être affectés par de telles mesures.³⁶ La Cour constitutionnelle a continué de suivre ce raisonnement dans des affaires ultérieures, lorsqu'il existait une probabilité suffisante que les requérants aient été visés par des mesures en vertu des dispositions contestées alors que les obligations de divulgation a posteriori étaient insuffisantes.³⁷

Spyware

La surveillance ciblée désigne une surveillance qui vise à obtenir des informations sur les communications d'un individu précis, par exemple une personne déjà suspectée dans une affaire criminelle.³⁸ Un exemple frappant est l'utilisation de logiciels espions, un type de logiciel malveillant qui « perturbe le fonctionnement normal d'un appareil pour collecter des informations sans alerter l'utilisateur ».³⁹

Le logiciel espion le plus intrusif connu du public à ce jour est Pegasus, fabriqué par la société israélienne de cybersécurité NSO Group et vendu exclusivement aux gouvernements. En 2021, l'Organised Crime and Corruption Project (OCCPR) a publié un rapport détaillant l'utilisation de Pegasus contre des journalistes, des défenseurs des droits humains, des militants et des personnalités politiques du monde entier.

Le logiciel espion Pegasus peut être installé discrètement sur l'appareil d'une personne, généralement son téléphone portable. Une fois installé, il transforme l'appareil en un outil de surveillance permanent, offrant un accès illimité aux données stockées, ainsi qu'à la caméra, au microphone, aux messages, aux photos, aux mots de passe, aux appels et à la géolocalisation.

Les méthodes d'implantation sur un appareil incluent le clic de l'utilisateur sur un lien malveillant ou l'utilisation d'un émetteur sans fil à proximité du téléphone. Toutefois, l'une des révélations les plus inquiétantes concernant le logiciel espion Pegasus est sa capacité à infecter un appareil par la méthode dite « zéro clic », qui ne requiert aucune action de l'utilisateur ni aucun débridage du système.

Une fois qu'un appareil est infecté, il est extrêmement difficile de détecter le logiciel espion ainsi que ses actions, par exemple s'il y a eu extraction de données.

1. Normes internationales

Plusieurs organismes internationaux, dont le Comité des droits de l'homme des Nations Unies, ont exprimé de vives inquiétudes quant à l'utilisation de logiciels espions.⁴⁰ Comme l’a souligné le Haut-Commissariat des Nations Unies aux droits de l’homme, le développement et l’utilisation d’outils de surveillance omniprésents sont « profondément alarmants », menaçant l’état de droit et érodant les démocraties pluralistes.⁴¹

Le ciblage de journalistes, de défenseurs des droits de l'homme et d'autres personnes au moyen de ce logiciel espion constitue une atteinte grave au droit à la vie privée (article 17 du Pacte international relatif aux droits civils et politiques).⁴²qui, en particulier lorsqu'elle est menée pour des raisons politiques, ne peut jamais être justifiée.⁴³

De plus, l’utilisation du logiciel espion Pegasus viole la liberté d’expression, protégée au niveau international par l’article 19 du Pacte international relatif aux droits civils et politiques (PIDCP). L’infection d’un appareil de communication personnel par un logiciel espion permet d’« accéder aux processus de pensée des individus victimes de piratage, ainsi qu’à leurs opinions et croyances politiques et religieuses ».⁴⁴ Cela est particulièrement vrai dans le contexte journalistique, car la protection des sources journalistiques est contournée et la simple existence de logiciels espions crée un effet dissuasif.⁴⁵

2. Normes régionales : UE

Dans l'UE, les mesures de surveillance ciblées – à l'exception des mesures de sécurité nationale exclues de son champ d'application par l'article 4² TUE – doit se conformer au droit primaire et dérivé de l’Union applicable, notamment à la Charte des droits fondamentaux de l’UE, à la directive ePrivacy et à la directive relative à la répression des infractions.⁴⁶ Article 52¹ La Charte des droits fondamentaux de l'UE exige que tous les actes limitant les droits fondamentaux soient conformes aux exigences de proportionnalité et de nécessité. ⁴⁷

Compte tenu de la qualité et de la quantité des données stockées sur les smartphones, le Contrôleur européen de la protection des données estime « hautement improbable que les logiciels espions tels que Pegasus, qui accordent de facto un accès complet et illimité aux données personnelles, y compris les données sensibles, puissent satisfaire aux exigences de proportionnalité », car « l’atteinte au droit à la vie privée est si grave que l’individu en est effectivement privé » et la protection des tiers et des personnes bénéficiant d’une protection spéciale, comme les avocats, n’est pas garantie.⁴⁸

Dans une démarche similaire, le Parlement européen a condamné « l’utilisation de logiciels espions par les gouvernements des États membres et les membres des autorités gouvernementales ou des institutions étatiques dans le but de surveiller, de faire chanter, d’intimider, de manipuler et de discréditer les membres de l’opposition, les critiques et la société civile, d’éliminer le contrôle démocratique et la liberté de la presse, de manipuler les élections et de saper l’état de droit en ciblant les juges, les procureurs et les avocats à des fins politiques ».⁴⁹

3. Normes régionales : CoE

Le 23 octobre 2023, l’Assemblée parlementaire du Conseil de l’Europe a publié une résolution exprimant sa profonde inquiétude face aux « preuves de plus en plus nombreuses selon lesquelles Pegasus et des logiciels espions similaires ont été utilisés illégalement ou à des fins illégitimes par plusieurs États membres, notamment contre des journalistes, des opposants politiques, des défenseurs des droits de l’homme et des avocats » et a condamné leur utilisation à des fins politiques.⁵⁰

Avant même les révélations concernant le caractère intrusif du logiciel espion Pegasus, la Grande Chambre de la CEDH a reconnu que, dans le contexte des progrès techniques rapides, le droit national doit être suffisamment clair « pour donner aux citoyens une indication adéquate des circonstances et des conditions dans lesquelles les autorités publiques sont habilitées à recourir à de telles mesures ».⁵¹

La Cour européenne des droits de l'homme n'a pas encore rendu son premier arrêt concernant l'utilisation du logiciel espion Pegasus. Cependant, sa jurisprudence donne un aperçu de sa démarche en la matière.

L’utilisation de logiciels espions intrusifs contre les journalistes porte atteinte à leur droit au respect de la vie privée et familiale (article 8 de la CEDH) ainsi qu’à leur liberté d’expression (article 10 de la CEDH), car elle leur donne accès à de nombreuses informations et correspondances sensibles et exerce un effet dissuasif sur ceux qui contribuent au débat public. Son utilisation ne satisfait pas aux conditions du triple test, notamment aux exigences de nécessité et de proportionnalité. Enfin, le logiciel espion Pegasus contourne la protection des sources journalistiques, sans laquelle, comme l’a souligné la Cour européenne des droits de l’homme, ces sources peuvent être dissuadées de parler à la presse, qui, de ce fait, ne peut plus remplir son rôle de contre-pouvoir.⁵²

Perquisitions et saisies d'appareils

Les appareils numériques tels que les téléphones, les appareils photo, les ordinateurs portables et les périphériques de stockage sont devenus des outils indispensables au travail des journalistes. Ils servent notamment à la recherche, à l'enregistrement, à la communication avec des sources confidentielles et d'autres journalistes, ainsi qu'à la publication de contenus. Cependant, ces appareils font souvent l'objet de saisies et de perquisitions par les autorités, en particulier dans des situations perçues comme sensibles, comme lors de la couverture de manifestations.⁵³ ou aux frontières nationales⁵⁴Alors que les organisations de la société civile documentent le nombre croissant de saisies et de perquisitions (médico-légales) du matériel numérique des journalistes,⁵⁵ La protection de la sécurité numérique demeure essentielle au bon fonctionnement de la presse. Des conseils pratiques pour les journalistes couvrant les manifestations sont disponibles ici.

Par le biais de perquisitions et de saisies, les autorités accèdent à des informations protégées, notamment l'identité des sources journalistiques, mettant ainsi leur sécurité en danger et instaurant un climat de peur. La fouille des appareils mobiles est particulièrement intrusive en raison de la quantité et de la sensibilité des données consultées. De telles mesures portent atteinte au droit au respect de la vie privée (article 8 de la CEDH) et à la liberté d'expression (article 10 de la CEDH) et ne peuvent se justifier que si elles satisfont aux critères cumulatifs du test dit « en trois parties ». Par ailleurs, la perquisition du domicile et du lieu de travail des journalistes, ainsi que la saisie de leurs documents, doivent s'accompagner de garanties procédurales adéquates et effectives.⁵⁶

La CEDH a précisé que :

Les journalistes devraient bénéficier d'une large protection, incluant un ensemble de libertés essentielles à l'exercice de leur activité, telles que : la protection des sources confidentielles ; la protection contre les perquisitions des lieux de travail et des domiciles privés et la saisie de matériel ; la protection des processus de collecte d'informations et de reportages […] ⁵⁷

Une attention particulière doit être portée à la protection des sources journalistiques.⁵⁸ un principe qui, selon les termes de la CEDH, est « l’une des pierres angulaires » de la liberté de la presse et essentiel pour permettre à la presse de remplir son rôle de chien de garde public.⁵⁹

La CEDH a appliqué ces nombreuses décisions, confirmant par exemple que la fouille de l'ordinateur portable d'un journaliste à un poste frontière violait l'article 8 de la CEDH en raison de l'absence de garanties effectives et adéquates dans la législation et la pratique nationales russes.⁶⁰ In Sorokine contre la RussieLa CEDH a constaté une violation de l'article 10 de la CEDH après que l'appartement d'un journaliste et ses appareils électroniques, qui contenaient des informations relatives à son travail, ont été perquisitionnés sans aucune garantie procédurale pour protéger la confidentialité de ses sources.⁶¹ In Nagla contre Lettoniea) La CEDH a souligné que :

Le droit des journalistes de ne pas divulguer leurs sources ne saurait être considéré comme un simple privilège à accorder ou à retirer selon la légalité ou l'illégalité de leurs sources, mais fait partie intégrante du droit à l'information et doit être traité avec la plus grande prudence.⁶²