Navigation – Plan du site

AccueilNuméros132-133Quand la gouvernance d'Internet f...Les contrôles aux exportations co...

Quand la gouvernance d'Internet fait controverse

Les contrôles aux exportations comme instruments de pouvoir dans la gouvernance de l’Internet 

Etude de la récente réforme européenne sur les biens et technologies à double usage
Clément Perarnaud

Résumé

Cet article porte sur le récent processus de négociations européennes ayant conduit à un renforcement des contrôles visant les exportations de technologies de surveillance numérique hors de l’Union européenne (UE). Illustrant la multiplicité et l’expansion des arènes de la gouvernance d’Internet, ce processus de négociation s’inscrit dans le développement par l’UE d’un arsenal législatif et réglementaire visant à encadrer l’économie numérique, et plus globalement le « cyberespace ». Ce processus de réforme met en lumière les implications directes de la régulation croissante du commerce des technologies de cybersurveillance pour la gouvernance de l’Internet, donnant à voir des formes de contrôles et de régulation dans lesquelles les États sont favorisés, et amplifiant l’importance de la territorialité dans la gouvernance des technologies.

This article explores the recent EU negotiation process which has led to tighter controls on the export of surveillance technologies outside of the European continent. Illustrating the multiplicity and expansion of Internet governance arenas, this process is part of the EU’s development of a legislative and regulatory arsenal aimed at regulating the digital economy, and more broadly the "cyberspace. This reform process highlights the direct implications of the growing regulation of the trade in cybersurveillance technologies for Internet governance, showing forms of control and regulation in which states are favored, and amplifying the importance of territoriality in the governance of technologies.

Haut de page

Texte intégral

Introduction

1Alors que les obstacles aux échanges commerciaux se multiplient au niveau international, les contrôles visant les exportations technologiques sont également en expansion, comme le souligne par exemple l’adoption par la Chine d’une législation encadrant strictement les exportations de produits et technologies sensibles en 2020.

2Cette tendance se vérifie en ce qui concerne les exportations de biens et technologies à double usage (pouvant être utilisés à des fins civiles et militaires). Tandis que le principal forum international encadrant le commerce de ces technologies (l’Arrangement de Wassenaar) a récemment étendu sa liste de contrôle à certaines technologies de cybersurveillance, d’autres initiatives aux niveaux national et régional ont également entrepris la mise en œuvre de nouvelles mesures restrictives, et en premier lieu au sein de l’Union européenne (UE).

3La refonte par l’UE de son régime de contrôle des exportations des biens à double usage a récemment conduit à un renforcement des contrôles visant les exportations des technologies de surveillance hors du continent européen. En écho aux délibérations de l’Arrangement de Wassenaar, les États membres de l’UE et le Parlement européen ont négocié entre 2016 et 2020 un nouveau règlement réformant les règles de contrôles aux exportations existantes, pour y inclure un large éventail de technologies de surveillance numérique, dont les logiciels et technologies conçus spécifiquement pour permettre l’intrusion secrète dans des systèmes d’information et de télécommunication et la surveillance (Kanetake, 2019).

4De nature très technique, et intégrant des enjeux commerciaux, militaires et de politique étrangère, ce processus de négociation a suscité de vives controverses entre institutions et gouvernements européens, illustrant ainsi en creux des divisions marquées sur les questions de cybersécurité, de surveillance et de protection du droit à la vie privée. L’objet de cet article est ainsi d’éclairer les controverses sous-jacentes à ce processus de négociation, et de déterminer les implications de ces normes réglementant le transfert et l’usage des technologies de surveillance pour la gouvernance de l’Internet.

5Par gouvernance de l’Internet, il est fait référence ici aux processus de conception et d’administration des technologies permettant à l’Internet de fonctionner, ainsi qu’aux processus politiques encadrant ces technologies, dont font partie notamment la gouvernance de la cybersécurité et l’architecture technique visant la mise en œuvre des règles de propriété intellectuelle (DeNardis et al, 2020). À ce titre, le contrôle des technologies de surveillance au niveau global peut être considéré comme ayant une incidence directe sur la gouvernance de l’Internet, du fait des implications et potentialités offertes par ces technologies – comme les systèmes de Deep Packet Inspection (DPI) (Bendrath et Mueller, 2011) –, ou des risques liés à leur prolifération pour la cybersécurité et la protection des droits de l’homme en ligne comme hors ligne.

6Cet article vise à montrer dans quelle mesure l’instauration (ou au contraire l’absence) de ces contrôles aux exportations offre de nouveaux « leviers invisibles » (DeNardis, 2012) favorisant la prééminence des États dans la gouvernance d’Internet. Illustrant la multiplicité et l’expansion des arènes de la gouvernance d’Internet, cette étude s’inscrit dans la littérature sur la mobilisation croissante d’instruments commerciaux par les acteurs gouvernementaux pour encadrer l’économie numérique, et plus globalement le « cyberespace » (Deibert et Crete-Nishihata, 2012 ; Grindal, 2019 ; Meltzer, 2020). Cette étude de cas permet ainsi d’explorer les enjeux et processus de formulation de cette réglementation qui s’inscrit dans une forme indirecte de régulation de l’Internet, par le biais des politiques de commerce extérieur (Stevens, 2017).

7La section suivante présente un état de l’art sur la littérature relative aux contrôles aux exportations des technologies de surveillance et sur le rôle de l’UE en matière de politiques numériques et dans la fabrique de normes commerciales visant le « cyberespace ». Puis, après une présentation du processus d’adoption de ce règlement, une analyse des questions sous-jacentes posées par cette négociation est présentée. Se fondant sur une étude documentaire combinée à une série d’entretiens conduits à Bruxelles, elle éclaire la nature de ces controverses et les possibles implications de l’instauration de tels contrôles aux exportations pour la gouvernance de l’Internet.

Les exportations des technologies de surveillance comme enjeu de pouvoir et instrument de régulation de l’Internet

8La question du commerce des technologies de surveillance et de sa régulation a fait l’objet de nombreux travaux, notamment à travers le prisme de la prolifération des « cyberarmes », de leur contrôle et de la gouvernance de la cybersécurité. Si le terme de technologie de surveillance recouvre des outils très divers, leur exportation, comme leur utilisation, s’avère pour les États un remarquable levier de pouvoir. Tonon souligne par exemple comment « l’exportation de technologies de surveillance constitue aussi un moyen pour le régime chinois de diffuser son modèle d’autoritarisme numérique’ » (Tonon, 2020). Plus généralement, ces technologies amplifient le pouvoir des gouvernements en leur donnant des outils de surveillance et de contrôle, aussi sophistiqués que discrets, afin d’intercepter (en masse ou de façon ciblée) des données en transit et de surveiller les activités numériques d’organisations ou d’individus. Ces techniques démultiplient les capacités des gouvernements à surveiller et contrôler l’architecture et les contenus des réseaux de communications au sein de leurs frontières nationales, mais aussi au-delà (Deibert, 2013). L’usage de ces outils se matérialisent parfois par des coupures générales des connexions Internet (De Gregorio et Stremlau, 2020) et participent ainsi directement à la fragmentation de l’Internet (Zittrain et al., 2017). Ils offrent donc un contrôle accru aux États sur l’infrastructure technique de l’Internet, définit ici comme l’ensemble des ressources physiques et virtuelles pour la transmission des données et la mise en réseau des communications (Musiani et al., 2016).

  • 1 Il convient d’observer que les acteurs étatiques ne sont pas les seules parties prenantes à s’être (...)

9La prolifération des technologies de surveillance et des outils informatiques offensifs (Géry, 2018) a suscité des réponses politiques et techniques dans plusieurs arènes internationales et multilatérales (comme le Conseil de l’Europe, le Groupe d’experts gouvernementaux (GEG) de l’ONU, l’Arrangement de Wassenaar, l’Union européenne et l’Organisation de coopération de Shanghai)1. Pour une série de raisons détaillées par la suite, une des réponses apportées à cette problématique a été l’introduction de mesures restrictives visant l’exportation de ces technologies.

10À cet égard, la Convention de Budapest sur la cybercriminalité de 2001 a été le premier cadre international participant (indirectement) à la lutte contre la prolifération de technologies informatiques offensives. En effet, cette convention du Conseil de l’Europe, signée et ratifiée notamment par les États-Unis et le Japon, instaure des sanctions visant le transfert de logiciels malveillants. Au niveau de l’ONU, les travaux du GEG chargés d’examiner les progrès de l’informatique et des télécommunications dans le contexte de la sécurité internationale ont ensuite directement abordé la question de la prolifération des techniques et outils informatiques malveillants, ainsi que la définition de normes pour renforcer « la sécurité de l’environnement informatique mondiale » (Géry, 2018). Entamés depuis le milieu des années 2000, ces travaux ont donné lieu à des délibérations intergouvernementales (excluant le secteur privé), marquées par de vifs conflits et qui se sont avérés relativement stériles en termes de résultats concrets (Hurwitz, 2014).

11Puis, la possibilité de mesures restrictives visant les exportations de technologies de cybersurveillance a fait l’objet de discussions plus substantielles dans le cadre de l’Arrangement de Wassenaar dans les années 2010. Siégeant à Vienne, et réunissant près de 40 États participants, dont tous ceux de l’UE (sauf Chypre), les États-Unis et la Russie, ce cadre est le principal arrangement multilatéral sur le contrôle à l’exportation des armes conventionnelles et des biens et technologies sensibles à double usage. Créé en 1996, et succédant au Cocom (Comité de coordination pour le contrôle multilatéral des exportations), l’Arrangement de Wassenaar a institué une Liste des biens et technologies à double usage, régulièrement révisée, que les États participants s’engagent à prendre en compte dans le cadre de leurs législations et pratiques nationales en matière de contrôle aux exportations. La littérature sur les « contrôles stratégiques des échanges commerciaux » a documenté les évolutions et délibérations récentes de cet Arrangement (Herr et Rosenzweig, 2014 ; Ruohonen et Kimppa, 2019). Stevens observe à ce titre que les contrôles aux exportations constituent désormais un des trois champs de la nouvelle architecture de gouvernance multilatérale régissant les « cyberarmes », suite aux modifications introduites en 2012 et 2013 à la Liste des biens et technologies à double usage (Stevens, 2017). L’Arrangement demeure cependant un forum international non contraignant, du fait de « son absence de sanctions autre que politiques » (Keller, 2017).

12En écho aux délibérations de l’Arrangement de Wassenaar, l’Union européenne s’est progressivement emparée de cette question, notamment à travers le processus de révision du cadre européen régissant les contrôles aux exportations pour les biens et technologies à double usage, entamé en 2016. Cette proposition de réforme faisait suite à la volonté commune des institutions de l’UE de moderniser ces contrôles pour répondre aux nouvelles menaces de sécurité et technologies émergentes, ainsi qu’aux défaillances connues jusqu’alors (Jankowitsch-Prevor et Michel, 2013).

13Pour analyser les négociations européennes autour du cadre régissant les contrôles aux exportations pour les technologies de surveillance, cette recherche mobilise également des travaux récents portant sur la gouvernance de l’Internet. Cette littérature donne à voir une multiplication et différentiation croissante des sphères de la gouvernance de l’Internet, et un contrôle accru des États dans ces délibérations (Cavelty et Egloff, 2019 ; Flonk et al., 2020). Au niveau européen, Claessen fait état d’un changement de discours de l’UE par rapport à la gouvernance de l’Internet, à travers une accentuation marquée de l’importance donnée aux rôle et responsabilité des acteurs étatiques pour assurer la sécurité de l’Internet (Claessen, 2020). En mobilisant la problématique de la sécurité des réseaux, l’UE et ses États membres justifient des actions plus interventionnistes en matière de cybersécurité, mais aussi plus largement en matière de gouvernance de l’Internet (Christou, 2019). Que cela soit à travers l’investissement militaire du cyberespace ou au contraire dans l’encadrement juridique de ces activités et technologies offensives, la militarisation de l’Internet ouvre de nouvelles voies aux États dans l’instrumentalisation de la gouvernance de l’Internet pour exercer ou réaffirmer leur souveraineté (Ristolainen, 2017). Au-delà de la dimension seulement militaire, les travaux sur la gouvernance de l’Internet « par les infrastructures » (Musiani et al., 2016) illustrent dans quelle mesure ces acteurs mobilisent, influencent ou cooptent ses infrastructures, pour maximiser leur pouvoir. Comme l’observe Kuehn, à travers l’exemple du programme Einstein aux États-Unis, le déploiement des capacités de surveillance des réseaux des États, conjugué à la croissance des risques de cybersécurité, semble avoir un impact direct sur la gouvernance de l’Internet, en ce qu’il conduit à un renforcement de la prééminence des acteurs étatiques et participe à une accélération du processus de « sécurisation » des réseaux (Kuehn, 2014).

14Cette recherche s’inscrit donc dans les travaux analysant les processus de formulation et d’adoption des standards et normes régissant la gouvernance d’Internet (DeNardis, 2014 ; Harcourt et al., 2020), en explorant les liens et interactions entre la gouvernance de l’Internet et la régulation du commerce des technologies de surveillance au niveau de l’UE, à l’intersection des champs de la cybersécurité, de la politique étrangère et du commerce international.

15Pour répondre à cette problématique, cette recherche repose principalement sur l’analyse qualitative d’un corpus d’une série de huit entretiens semi-directifs menés à Bruxelles auprès de négociateurs européens, de représentants de groupes d’intérêts et d’experts entre 2017 et 2020. L’analyse de ce processus de négociation se fonde également sur une analyse de documents officiels (publics et « fuités ») documentant les positions et discours défendus par les États membres et institutions européennes au cours de cette période.

16La section suivante détaille ce processus de réforme, en présentant d’abord les travaux préparatoires et la proposition législative de la Commission, suivi d’une analyse des dynamiques de négociation, et de la décision finale.

La réforme européenne du régime de contrôle des exportations des biens à double usage (2016-2020)

Travaux préparatoires et proposition législative

17Comme indiqué précédemment, la proposition législative de la Commission fait suite à des développements au niveau international dans le cadre de l’Arrangement de Wassenaar, et en particulier l’ajout dans les années 2010 d’une série de biens et technologies de cybersurveillance à sa liste de contrôle. Au sein de cet Arrangement « informel », les discussions des États participants ont progressivement abordé la possibilité d’introduire des contrôles visant les technologies de surveillance, suite à une série de scandales impliquant des entreprises européennes dans la répression de mouvements de contestation en Iran en 2009 et lors des « printemps arabes » à partir de 2011 (en Libye, Syrie et Bahreïn). En plus de ces considérations politiques, cette mise à l’agenda s’expliquait aussi par une prise de conscience croissante des risques de cybersécurité liés à la prolifération de ces technologies, facilitant par exemple des cyberattaques et opérations de surveillance susceptibles de viser les autorités, entreprises et ressortissants des États exportateurs. C’est d’ailleurs à travers les risques que posent la prolifération des technologies de cybersurveillance en termes de sécurité nationale que ces changements ont été justifiés au sein de ce cadre multilatéral.

  • 2 En réponse à ces évolutions réglementaires, il est intéressant de noter que certaines entreprises e (...)

18En 2012 et 2013, l’Arrangement de Wassenaar a progressivement inclus les équipements d’interceptions de télécommunications mobiles, les logiciels d’intrusion et la surveillance des réseaux IP à la liste des biens et technologies faisant l’objet de contrôle. Deux États européens étaient d’ailleurs à l’origine des propositions visant les logiciels d’intrusion (Royaume-Uni), et les systèmes de surveillance des réseaux IP (France). Suite à leur adoption, ces changements ont été incorporés directement en droit européen et intégrés à la liste européenne de biens et technologies à double usage en 20142. En complément de ces développements, l’UE avait également adopté des interdictions d’exportations de technologies de surveillance dans le cadre de régime de sanctions visant la Syrie et l’Iran (2011), étendu plus tard au Venezuela (2017).

  • 3 Cette proposition législative faisait suite à un rapport complet de la Commission européenne en 201 (...)

19En lien avec ces évolutions, la Commission européenne a publié le 28 septembre 2016 une proposition législative3 visant à réformer le régime de l’Union de contrôle des exportations, des transferts, du courtage, de l’assistance technique et du transit des biens et technologies à double usage (règlement nº 428/2009). Ce règlement de 2009 encadrait les conditions d’exportation des biens et technologies à double usage inscrits en annexe de cette même législation, dans une « Liste des biens et technologies à double usage » commune à l’ensemble des États membres de l’UE. Cette liste reprenait intégralement les biens à double usage visés par une série de cadres multilatéraux comme l’Arrangement de Wassenaar, mais également le Groupe de Fournisseurs nucléaires (GFN), le Régime de Contrôle de la Technologies de Missiles (RCTM), le Groupe Australie et la Convention d’interdiction des armes chimiques.

20Le règlement de 2009 incluait également une clause « attrape-tout », soumettant à autorisation tous les biens et technologies à double usage non inclus dans la liste, dans l’éventualité où l’État exportateur soupçonnerait qu’ils pourraient être utilisés en lien à un programme d’armes chimiques, biologiques, nucléaires ou de missiles balistiques ou en violation d’un embargo sur les armes (Ramoino, 2020). Un des enjeux de la réforme de ce règlement visait donc à élargir son champ d’application à certaines technologies de surveillance numérique. De plus, le cadre préexistant disposait que, lors de l’octroi d’une autorisation d’exportation, les États membres devaient tenir compte de leurs obligations internationales et de considérations de politique étrangère et de sécurité nationale (comme la Position commune du Conseil de 2008). Un des autres enjeux de ces négociations concernait donc la possibilité d’inclure les violations des droits de l’homme comme justification normative pour imposer des contrôles aux exportations. Les dispositions de la proposition comprenaient une clause de contrôle « attrape-tout » (en anglais, « catch-all »), permettant le contrôle d’exportations de technologies de cybersurveillance non inscrites sur la liste selon certaines conditions, notamment lorsque des éléments donnent à penser qu’elles pourraient être utilisées de façon abusive, ou « être utilisés par des personnes complices ou responsables d’avoir ordonné ou commis des violations graves des droits de l’homme ».

  • 4 Ils pouvaient au contraire bénéficier d’une autorisation générale de commerce, comme l’a révélé plu (...)

21Ainsi, la proposition de règlement de la Commission européenne visait à renforcer les règles encadrant les exportations de technologies de cybersurveillance dans des pays tiers, en proposant de nouvelles dispositions pour un contrôle plus strict, et ciblant spécifiquement certaines de ces technologies. Au niveau européen, bien que la politique commerciale soit une compétence exclusive de l’UE, les États membres disposaient jusqu’alors d’importantes marges de manœuvre pour mettre en œuvre ces mesures. Les États pouvaient déterminer le champ des technologies soumises à ces contrôles, les modalités de ces contrôles (en termes de licences), et les restrictions pouvant s’imposer aux fournisseurs et destinataires de ces technologies à la suite du transfert. Le règlement préexistant donnait aux autorités nationales un pouvoir de décision déterminant dans l’application des contrôles aux exportations. Ces dernières bénéficiaient d’une grande marge de manœuvre pour privilégier les intérêts économiques des entreprises nationales, parfois aux dépens de la protection des droits de l’homme dans des pays tiers. Ces facteurs ont en partie motivé cette réforme, afin de garantir une plus grande harmonisation des procédures et contrôles au niveau national. En effet, dans certains États, la procédure consistait à délivrer des licences « ouvertes » d’exportations de technologies à double usage (et notamment en matière de cybersurveillance), signifiant que certaines entreprises n’étaient pas tenues de systématiquement préciser aux autorités qui en étaient les acheteurs et quelle en serait leur utilisation possible4.

22La proposition législative de la Commission proposait également la création d’une liste autonome de l’Union concernant les technologies de cybersurveillance considérées comme « particulièrement préoccupantes », afin de les soumettre à un processus d’autorisation. Étendant le champ matériel du précédent règlement, cette liste autonome incluait les équipements d’interception de télécommunications mobiles, les logiciels d’intrusion, les centres de surveillance, les systèmes d’interception licite et de conservation de données, et d’investigation numérique. Il est intéressant de souligner qu’un projet de la proposition législative fuité en 2016 incluait aussi les systèmes biométriques, ceux de géolocalisation, et les systèmes de Deep packet inspection (DPI)5. Du fait des conséquences potentiellement négatives de ces ajouts pour certains leaders européens du secteur, de nombreux États et acteurs du secteur privé ont mobilisé les services de la Commission afin de retarder l’adoption de la proposition législative, et amender son champ d’application. Se faisant les porte-voix de ces industriels, une série de commissaires européens, sous l’impulsion du commissaire allemand Günther Oettinger, est ainsi parvenu à retarder l’adoption de ce texte, et à finalement exclure certaines de ces technologies du champ d’application. Ces commissaires se sont fait notamment les relais d’une note préparée par la Suède, soutenue par un groupe d’États membres (dont l’Autriche, la Finlande, la France, l’Allemagne, la Pologne, la Slovénie, l’Espagne et le Royaume-Uni). Ce groupe appelait la Commission à exclure certaines technologies du champ d’application et à ne pas privilégier l’option d’une liste autonome européenne, mais plutôt à favoriser l’émergence d’un consensus au niveau international autour des nouvelles technologies à contrôler6. La DG Trade était en charge des travaux préparatoires concernant ce dossier législatif, et le commissaire européen en charge du numérique, Günther Oettinger, avait échangé dans ce cadre avec de nombreux acteurs du secteur privé7.

Processus de négociation

23Le Conseil de l’UE a abordé ce dossier législatif au niveau technique par le biais de son groupe de travail sur les biens à double usage (« Council Working Party on Dual Use Goods »). Les discussions au Conseil étaient également nourries par les travaux du Groupe d’experts pour le contrôle des exportations de biens à double usage (Dual-Use Coordination Group, DUCG) institué par le précédent règlement. Dans le cadre de ce groupe, les représentants des gouvernements européens ont également examiné la proposition de la Commission et poursuivi les discussions techniques en la matière, comme lors d’une retraite organisée à Malte en mai 2017. Ce groupe de coordination a également supervisé les activités d’un groupe de travail dédié spécifiquement aux technologies de surveillance (Surveillance technology expert group, STEG)8.

24Lors de ces négociations, une série d’États Membres (Croatie, République Tchèque, France, Allemagne, Italie, Pologne, Portugal, Roumanie, Slovaquie, Slovénie, Espagne) avait de manière informelle partagé en janvier 2018 un document de travail (confidentiel), appelant à assouplir certaines des dispositions du projet de règlement, tout en soutenant d’autres de ses objectifs principaux. Préparé par l’Allemagne, ce document invitait le Conseil à ne pas adopter des obligations trop ambitieuses dans le cadre de cette réforme, et à s’assurer que les instances internationales en matière de contrôle des exportations des biens à double usage demeurent les lieux privilégiés dans la formulation de ces contrôles. Pour ces acteurs, imposer des conditions trop draconiennes aurait impacté négativement l’industrie européenne de la cybersécurité, considérée comme un vecteur de l’influence de l’UE au niveau international9. Ce texte révèle aussi que ces États étaient alors prêts à accepter la création de contrôles européens unilatéraux pour certaines technologies de surveillance, mais seulement si certains critères stricts étaient remplis (dont l’accord d’un groupe d’experts technique corroborant la possibilité de violations de droits de l’homme dans le pays en question). En parallèle, un autre document de travail avait circulé au Conseil, soutenu cette fois par la République Tchèque, Chypre, l’Estonie, la Finlande, l’Irlande, l’Italie, la Pologne, la Suède et le Royaume-Uni. Ce document défendait plus vivement les intérêts de l’industrie européenne dans le commerce international des technologies à double usage, et insistait sur les conséquences négatives que pourrait avoir une liste autonome européenne visant certaines technologies de surveillance, et notamment pour la compétitivité de ces acteurs européens. L’argumentaire de ces États était qu’en adoptant de telles restrictions, l’Europe pourrait devenir un « continent hostile » à la technologie, ainsi qu’aux géants du numérique et des technologies du futur. Ces États appelaient également le Conseil de l’UE à prendre position sans avoir recours au vote (par consensus, et non par majorité qualifiée) du fait des multiples ramifications de cette réforme en matière de sécurité et de politique étrangère, domaines dans lesquels les dynamiques au Conseil sont marquées par des logiques plus intergouvernementales. Ces États estimaient également qu’il serait nécessaire d’adopter une position bénéficiant du soutien d’États tiers, et que l’objectif de cette réforme était avant tout de codifier les obligations adoptées au niveau international.

  • 10 Solton, S. (2019). ‘Exclusive: Germany blocking EU plans to stop spyware trade with dictators’, Eur (...)
  • 11 Stupp, S. (2016). ‘Commission plans export controls for surveillance technology’, EurActiv, 22 Jul. (...)
  • 12 Stupp, C. (2015). ‘Germany leaves Brussels behind on surveillance tech export controls’, EurActiv, (...)

25D’abord associée au premier groupe d’États, il est intéressant de souligner que la France s’est progressivement alignée avec les positions défendues par le second. En 2017, la France avait défendu (sans succès) l’instauration d’un cadre global visant à « mettre en place des contrôles aux exportations sur les techniques et outils informatiques malveillants » au niveau onusien (Géry, 2018), mais cet engagement s’est ensuite affaibli au niveau européen. De façon similaire, la position du gouvernement allemand a également progressivement évolué en s’alignant avec les intérêts de son secteur économique et de ses entreprises nationales exportatrices. Ce changement s’explique en partie par le départ de la ministre de l’Économie Brigitte Zypries (SPD), remplacé par le ministre Peter Altmaier (CDU)10 en mars 2018. L’Allemagne avait d’abord été à l’avant-garde au niveau européen, après avoir introduit au niveau national de nouvelles obligations visant les exportations de technologies de contrôle des télécommunications et de rétention des données en 201511. Ces mesures avaient été adoptées sous l’impulsion du ministre allemand de l’Économie de l’époque Sigmar Gabriel (SPD)12, après qu’une proposition du gouvernement allemand visant à ajouter certaines technologies d’interception des communications n’avait pas reçu un soutien suffisant au sein de l’Arrangement de Wassenaar en 2014 (Bohnenberger, 2017). Ce progressif basculement du couple franco-allemand, soutenu par une coalition d’États membres tels que la Suède et l’Estonie, mais aussi par l’industrie numérique européenne et internationale, a conduit le Conseil à adopter une position moins « ambitieuse » que ne l’était initialement la proposition de la Commission.

  • 13 Le mandat de négociation du Conseil pour les trilogues est disponible à l’adresse suivante : https: (...)

26Après plus de deux ans de négociations, le groupe de travail du Conseil est parvenu à un compromis sur la position du Conseil en mai 2019, finalement validé par le Coreper le 5 juin 201913. La position finale du Conseil revient sur plusieurs innovations proposées par la Commission européenne, en supprimant par exemple la liste autonome européenne. La position commune du Conseil rejette également l’introduction d’une clause « attrape-tout » se fondant sur des violations de droits de l’homme, et sur les obligations supplémentaires de due diligence devant être respectées par les exportateurs (Bromley et Gerharz, 2019).

27Du côté du Parlement européen, le rapport du rapporteur Klaus Buchner (Verts/ALE, Allemagne) a été adopté le 23 novembre 2017 par la Commission du commerce international (INTA) avec un large consensus. Ce rapport appelait à l’adoption d’une clause catch-all pour les technologies de surveillance et plaidait pour davantage de transparence (notamment concernant les licences), la levée des contrôles des exportations dans le domaine du chiffrement et pour la participation des organisations non gouvernementales aux organes législatifs en matière de contrôle aux exportations. La Commission Affaires étrangères (AFET) a également soumis un rapport pour avis, qui était à plusieurs égards plus strict que le rapport voté par la commission INTA. Par exemple, le rapport AFET proposait de maintenir les dispositions sur la « clause attrape-tout » telles que proposées par la Commission, tandis que le rapport INTA souhaitait qu’elle ne s’applique qu’aux technologies de surveillance et non à tout autre technologie non listée. Dans la lignée des amendements proposés dans la commission INTA, le rapport du rapporteur Buchner a ensuite été approuvé en session plénière le 17 janvier 2018.

Décision finale

28En amont des trilogues entre le Conseil de l’UE et le Parlement européen, l’industrie comme les organisations de la société civile se sont mobilisés afin de peser sur cette étape cruciale du processus décisionnel. L’association professionnelle Business Europe a, par exemple, partagé sa position sur cette réforme en appelant à ne pas imposer des restrictions inutiles sur les entreprises européennes, à travers des règles qui pourraient diverger des normes internationales en vigueur pour les fournisseurs de technologies de cybersurveillance, et donc impacter la compétitivité des entreprises européennes14. Parallèlement, des organisations de la société civile se sont mobilisées pour encourager l’UE à imposer des contrôles plus stricts sur ces technologies de surveillance ‘made in Europe’. La Coalition Against Unlawful Surveillance Exports (CAUSE) a ainsi publié plusieurs rapports visant à documenter ces abus, et convaincre l’UE de la nécessité d’une régulation plus stricte.

29Le premier trilogue s’est tenu le 21 octobre 2019, suivi d’un second le 13 novembre 2019. À la suite de ces deux premiers « rounds », le Coreper a amendé le mandat du Conseil dans ces négociations, afin de donner plus de marges de manœuvre à la présidence en vue des trilogues suivants. Le 22 juillet 2020, lors d’une réunion du Coreper15, la France a fait part de ses préoccupations par rapport à la dynamique de négociations, et des choix de la présidence vis-à-vis de l’adoption de contrôles unilatéraux par l’Union et de l’introduction de nouvelles mesures de transparence. Le gouvernement français estimait notamment que « le texte proposé va en effet au-delà de ce que la France était prête à accepter initialement, en particulier sur le respect de la primauté des régimes multilatéraux pour fixer les listes de biens contrôlés à l’exportation, ainsi que sur la non-divulgation d’informations mettant en jeu le secret commercial ou la souveraineté (défense, sécurité nationale, politique étrangère) ».

  • 16 Solton, S. (2020). ‘EU nears conclusion on cyber surveillance export controls’. EurActiv, 22 sep. 2 (...)

30À partir du deuxième semestre de 2020, alors que l’Allemagne occupait la présidence du Conseil de l’UE, la position du gouvernement semble avoir été influencée par l’actualité, et l’émergence d’un scandale concernant une entreprise allemande (FinFisher) coupable d’avoir vendu illégalement des technologies de surveillance à la Turquie utilisées pour réprimer des opposants politiques16. Ce développement semble avoir facilité la formation d’un compromis entre les positions du Parlement et de la présidence allemande du Conseil. Après cinq trilogues et une série de réunions du groupe de travail compétent au Conseil, un accord a finalement été trouvé entre le Conseil et le Parlement européen le 9 novembre 2020.

31Le contenu de l’accord final rejette la proposition de la Commission (soutenue également par le Parlement européen) d’étendre explicitement les contrôles à deux nouvelles catégories de technologies de cybersurveillance (les centres et systèmes de surveillance et de rétention des données). De même, bien que la création d’une liste autonome de l’Union en la matière demeure possible, le processus à travers lequel des technologies pourraient y être ajoutées s’avère très complexe, et soumis à l’approbation de l’ensemble des États membres (dont ceux ayant jusqu’alors démontré une opposition marquée à un tel instrument). Pour autant, certaines évolutions significatives peuvent aussi être observées. En effet, les technologies de cybersurveillance sont désormais comprises dans la définition des biens et technologies à double usage, et peuvent donc faire l’objet de contrôle ad hoc à travers la clause « attrape-tout ». Le compromis propose d’ailleurs que cette clause puisse être activée lorsqu’une technologie de cybersurveillance est susceptible d’être utilisée à des fins de répression interne et/ou permettre des violations « graves » des droits de l’homme.

Discussion

32Cette étude de cas souligne que les divisions et controverses caractéristiques des arènes de la gouvernance de l’Internet à propos du rôle donné aux gouvernements et de la participation des autres parties prenantes se manifestent également dans la construction stratégique des normes au niveau européen (Kuroswka, 2019).

33À ce titre, le souhait de certains États membres de définir le champ des technologies de surveillance susceptibles de faire l’objet de contrôle dans le cadre de l’Arrangement de Wassenaar, plutôt que dans le cadre de négociations européennes, révèle les enjeux de souveraineté qui structurent ces débats. Ces négociations éclairent également les visions contrastées des gouvernements européens par rapport à la participation d’autres acteurs dans la formulation de ces mesures ; le cadre institutionnalisé du processus décisionnel de l’UE offrant plus d’opportunités aux parties prenantes de participer à la construction des normes européennes, que ne le fait l’Arrangement de Wassenaar, du fait de son format informel et essentiellement intergouvernemental.

34Les négociations de l’UE à l’étude s’avèrent bien être un « microcosme » révélateur des tensions structurant plus largement la gouvernance de l’Internet au niveau global (Schafer et al., 2019). En effet, ce processus illustre les tensions opposant les intérêts économiques et géostratégiques des États membres, et les normes et valeurs portées par les discours de l’UE, également manifestes dans les débats sur la gouvernance de l’Internet (Claessen, 2020). Le régime européen de contrôle aux exportations peut être analysé comme un nouveau site de conflits entre valeurs et intérêts de l’UE en la matière. Ces divisions autour des moyens de répondre à la prolifération des technologies de surveillance rappellent aussi comment la sécurité nationale et la sécurité de l’Internet ne convergent pas systématiquement (DeNardis et al., 2020). À ce titre, le caractère ambivalent des réponses étatiques vis-à-vis du scandale international suscité par l’affaire « Pegasus » en juillet 2021 révèle un peu plus ces contradictions et les obstacles qui s’opposent à un profond renforcement des contrôles visant la prolifération des technologies de cybersurveillance. Cette étude de cas s’inscrit donc dans les précédents travaux illustrant la multiplicité des visions des parties prenantes à la gouvernance de l’Internet quant à ce que serait un Internet « sûr » (Wolff, 2016), et plus spécifiquement les incohérences de l’UE et de ses États membres en matière de cybersécurité (Carrapico et Barrinha, 2017).

35De plus, ce processus législatif met en lumière les implications directes de la régulation croissante du commerce des technologies de cybersurveillance pour la gouvernance de l’Internet. Cette négociation illustre parfaitement les travaux de Milton Mueller pour qui les discours et problématisation propres au champ de la cybersécurité s’imposent progressivement dans les débats de la gouvernance de l’Internet (Mueller, 2017). Cette transformation se traduit par un enchevêtrement progressif de nombreuses questions relatives à l’Internet avec des problématiques de politiques étrangères et militaires, donnant à voir des formes de contrôles et de régulation dans lesquelles les États sont favorisés (Mueller, 2017). À cet égard, il peut être avancé que ces contrôles aux exportations amplifient l’importance de la territorialité dans la gouvernance des technologies (Lambach, 2019), et renforcent donc ainsi les capacités d’action des États et gouvernements. De par leur format, les délibérations de l’Union européenne en matière commerciale, comme celles de l’Arrangement de Wassenaar, offrent aux gouvernements européens des leviers considérables aussi bien dans la prise de décision que dans la mise en œuvre de ces mesures restrictives.

36Bien que la récente refonte du régime européen de contrôle des exportations ait conduit à une série d’avancées dans le contrôle de la prolifération des technologies de cybersurveillance, l’étude de ces négociations témoigne de la volonté des gouvernements européens de conserver la mainmise sur la formulation et le déploiement de ces contrôles, illustrant ainsi comment de tels régimes commerciaux (Grindal, 2019) peuvent constituer des leviers de contrôle efficaces dans la gouvernance de l’Internet. Par le biais des politiques de commerce extérieur, ces nouvelles mesures s’ajoutent à un arsenal réglementaire et législatif en expansion, permettant une forme indirecte de régulation de l’Internet par les acteurs étatiques.

Haut de page

Bibliographie

Bendrath, R., Mueller, M. (2011). « The end of the net as we know it? Deep packet inspection and internet governance ». New Media & Society, 13(7), 11421160.

Bohnenberger, F. (2017). « The proliferation of cyber surveillance technologies: Challenges and prospects for strengthened export controls ». Strategic Trade Review, 4, 81-102.

Bromley, M., Gerharz, P. (2019). Revising the EU Dual-Use Regulation: Challenges and Opportunities for the Trilogue Process. SIPRI, 7 Oct 2019.

Carrapico, H., Barrinha A. (2017). « The EU as Coherent (Cyber) Security Actor? », Journal of Common Market Studies, 55 :6, 119.

Cavelty, M. D., Egloff, F. J. (2019). « The politics of cybersecurity: Balancing different roles of the state ». St Antony’s International Review, 15(1), 37-57.

Christou, G. (2019). « The Collective Securitisation of Cyberspace in the European Union ». West European Politics 42 (2) : 278301.

Claessen, E. (2020). « Reshaping the internet – the impact of the securitisation of internet infrastructure on approaches to internet governance: the case of Russia and the EU », Journal of Cyber Policy, 5 :1, 140-157,

De Gregorio, G., Stremlau, N. (2020). « Internet Shutdowns in Africa. Internet Shutdowns and the Limits of Law ». International Journal of Communication, 14, 20.

Deibert, R. (2013). Black Code. Surveillance, privacy, and the dark side of the Internet. Toronto : McClelland & Stewart.

Deibert, R. J., Crete-Nishihata, M. (2012). « Global governance and the spread of cyberspace controls ». Global Governance: A Review of Multilateralism and International Organizations, 18(3), 339-361.

DeNardis, L. (2012). « Hidden levers of Internet control », Information, Communication & Society, 15 :5, 720-738.

DeNardis, L. (2014). The global war for Internet governance. New Haven, CT: Yale University Press.

DeNardis, L., Cogburn, D., Levinson, N. S., Musiani, F. (eds.). (2020). Researching Internet Governance: Methods, Frameworks, Futures. MIT Press.

Fairbank, N.A. (2019). « The state of Microsoft? The role of corporations in international norm creation », Journal of Cyber Policy, 4 (3) : 380-403.

Flonk, D., Jachtenfuchs, M., Obendiek, A. (2020). « Authority conflicts in internet governance: Liberals vs. sovereigntists? », Global Constitutionalism, 9(2), 364-386.

Géry, A. (2018). ‘Droit international et prolifération des cyberarmes’. Politique étrangère, 2(2), 43-54.

Grindal, K. (2019). « Trade regimes as a tool for cyber policy ». Digital Policy, Regulation and Governance.

Harcourt, A., Christou, G., Simpson, S. (2020). Global Standard Setting in Internet Governance. Oxford: Oxford University Press.

Herr, T., Rosenzweig, P. (2014). « Cyber weapons and export control: Incorporating dual use with the PrEP model ». Journal of National Security Law & Policy, vol. 8, 2016, p. 301-319.

Hurwitz, R. (2014). « The play of states: Norms and security in cyberspace ». American Foreign Policy Interests, 36, 322331.

Jankowitsch-Prevor, O., Michel, Q. (eds.) (2013). European Dual-Use Trade Controls: Beyond Materiality and Borders, P.I.E. Peter Lang, Brussels.

Kanetake, M. (2019). « The EU’s export control of cyber surveillance technology: human rights approaches ». Business and Human Rights Journal, 4(1), 155-162.

Keller, J. (2017). « L’exportation de systèmes de surveillance informatique par les sociétés privées européennes vers les pays tiers », La Revue des droits de l’homme [En ligne], 11/2017, consulté le 6 septembre 2021. URL: http://journals.openedition.org/revdh/2939

Kuehn A. (2014) « Chapter 8 Extending Cybersecurity, Securing Private Internet Infrastructure: the US Einstein Program and its Implications for Internet Governance ». In : Radu R., Chenou J. M., Weber R. (eds) The Evolution of Global Internet Governance. Springer, Berlin, Heidelberg.

Kurowska, X. (2019). « The politics of cyber norms: Beyond norm construction towards strategic narrative contestation », Research in Focus, EU Cyber Direct [En ligne], consulté le 18 mars 2021. URL : https://eucyberdirect.eu/content_research/the-politics-of-cyber-norms-beyond-norm-construction-towards-strategic-narrative-contestation/

Lambach, D. (2020). « The Territorialization of Cyberspace », International Studies Review, Volume 22, Issue 3, 482–506,

Mueller, M. (2017), « Is cybersecurity eating internet governance? Causes and consequences of alternative framings », Digital Policy, Regulation and Governance, vol. 19 No. 6, pp. 415-428.

Musiani, F., D. L. Cogburn, L. DeNardis, N. S. Levinson. (2016). The Turn to Infrastructure in Internet Governance. New York : Palgrave MacMillan.

Ramoino, L. (2019). Les interactions normatives en matière de régimes de contrôle des exportations d’armement. Thèse de doctorat en Droit. Université Côte d’Azur.

Ristolainen, M. (2017). « Should ‘RuNet 2020’ Be Taken Seriously? Contradictory Views about Cyber Security within Russia and the West ». Journal of Information Warfare, 16 (4) : 113131.

Ruohonen, J. Kimppa, K. K. (2019). « Updating the Wassenaar debate once again: Surveillance, intrusion software, and ambiguity », Journal of Information Technology & Politics, 16 :2, 169-186.

Schafer, V., Fickers, A., Howarth, H., Musiani, F., Pohle, J. Winseck, D. (2020). « The internet and the European market » from a multidisciplinary perspective: a “round-doc” discussion, Internet Histories, 4 :2, 217-227

Stevens, T. (2017). « Cyberweapons: an emerging global governance architecture ». Palgrave Communications, 3(1), 1-6.

Tonon, C. (2020) « La GovTech, nouvelle frontière de la souveraineté numérique », Etudes de l’Ifri, novembre 2020.

Wolff, J. (2016). « What we talk about when we talk about cybersecurity: security in internet governance debates ». Internet Policy Review, 5(3).

Zittrain, J. L., Faris, R., Noman, H., Clark, J., Tilton, C., Morrison-Westphal, R. (2017). « The shifting landscape of global internet censorship ». Berkman Klein Center Research Publication, (2017-4), 17-38.

Haut de page

Notes

1 Il convient d’observer que les acteurs étatiques ne sont pas les seules parties prenantes à s’être saisies de cette problématique, et à être activement impliquées dans la construction de ces normes (Fairbank, 2019).

2 En réponse à ces évolutions réglementaires, il est intéressant de noter que certaines entreprises européennes ont ensuite déplacé leur siège dans des pays non membres de cet Arrangement (Gamma Group et Amesys), illustrant ainsi la difficulté de réguler le commerce de ces entreprises au niveau mondial, et la nécessité d’une meilleure articulation des mécanismes de contrôle nationaux et internationaux.

3 Cette proposition législative faisait suite à un rapport complet de la Commission européenne en 2013 sur la mise en œuvre de ce règlement, une communication sur la possibilité d'un réexamen du régime européen en la matière en 2014, et une analyse d'impact en 2015

4 Ils pouvaient au contraire bénéficier d’une autorisation générale de commerce, comme l’a révélé plus tard le cas de l’entreprise de cybersurveillance Hacking Team en Italie.

5 Pour plus d’informations, voir : https://euractiv.com/wp-content/uploads/sites/2/2016/07/dual-use-proposal.pdf

6 Stupp, C. (2016). ‘Tech industry, privacy advocates pressure Commission on export control bill’, EurActiv, 3 Aug. 2016. URL: https://www.euractiv.com/section/trade-society/news/tech-industry-privacy-advocates-pressure-commission-on-export-control-bill/

7 Stupp, C. (2016). ?Juncker postpones controversial export control bill on surveillance technology’, EurActiv, 20 sept. 2016. URL: https://www.euractiv.fr/section/innovation-entreprises/news/juncker-postpones-controversial-export-control-bill-on-surveillance-technology/

8 Pour plus d’informations sur ces groupes d’experts, voir : https://ec.europa.eu/transparency/regexpert/index.cfm?do=groupDetail.groupDetail&groupID=1028

9 Ce document de travail a été rendu public par EurActiv en 2018. Voir: https://www.euractiv.com/wp-content/uploads/sites/2/2018/02/11_member_states_dual-use.pdf

10 Solton, S. (2019). ‘Exclusive: Germany blocking EU plans to stop spyware trade with dictators’, EurActiv, 9 May 2019. URL: https://www.euractiv.com/section/cybersecurity/news/exclusive-germany-blocking-eu-plans-to-stop-spyware-trade-with-dictators/

11 Stupp, S. (2016). ‘Commission plans export controls for surveillance technology’, EurActiv, 22 Jul. 2016. URL: https://www.euractiv.fr/section/innovation-entreprises/news/technology-companies-face-export-hurdles-under-draft-eu-rules/

12 Stupp, C. (2015). ‘Germany leaves Brussels behind on surveillance tech export controls’, EurActiv, 10 Jul. 2015. URL: https://www.euractiv.com/section/digital/news/germany-leaves-brussels-behind-on-surveillance-tech-export-controls/

13 Le mandat de négociation du Conseil pour les trilogues est disponible à l’adresse suivante : https://data.consilium.europa.eu/doc/document/ST-9923-2019-INIT/en/pdf

14 Pour plus d’informations, voir : https://www.businesseurope.eu/sites/buseur/files/media/position_papers/rex/2019-10-16_an_effective_and_efficient_dual-use_export_controls_regulation.pdf

15 Pour plus d’informations, voir : https://data.consilium.europa.eu/doc/document/ST-10766-2020-INIT/en/pdf

16 Solton, S. (2020). ‘EU nears conclusion on cyber surveillance export controls’. EurActiv, 22 sep. 2020. URL: https://www.euractiv.com/section/digital/news/eu-nears-conclusion-on-cyber-surveillance-export-controls/

Haut de page

Pour citer cet article

Référence électronique

Clément Perarnaud, « Les contrôles aux exportations comme instruments de pouvoir dans la gouvernance de l’Internet  »Terminal [En ligne], 132-133 | 2022, mis en ligne le 28 février 2022, consulté le 04 juin 2023. URL : http://journals.openedition.org/terminal/8338 ; DOI : https://doi.org/10.4000/terminal.8338

Haut de page

Droits d’auteur

Tous droits réservés

Haut de page
  • Logo Institut Mines-Télécom Business School
  • Logo CREIS-Terminal
  • OpenEdition Journals
Rechercher dans OpenEdition Search

Vous allez être redirigé vers OpenEdition Search