Pas de moratoire, comme envisagé un temps, mais un cadre réglementaire accru. Après un an de travaux, la commission d’enquête du Parlement européen sur les logiciels espions vient de rendre sa copie, avec l’adoption lundi 8 mai de son rapport final.
Après plusieurs scandales autour de l’espionnage de plusieurs personnalités, dont des parlementaires européens, les 37 eurodéputés avaient été chargés de faire la lumière sur cette industrie sulfureuse. Dans leur ligne de mire, le logiciel espion Pegasus, développé par l’entreprise israélienne NSO, déjà épinglé pour avoir visé Emmanuel Macron, mais également les autres malwares apparentés.
Encadrement de l’utilisation
La publication de ce rapport succède à une déclaration, à la fin du mois de mars, de onze gouvernements, dont la France. Ces États appelaient à “empêcher la prolifération des logiciels espions commerciaux” utilisés de façon abusive. Ils suggéraient notamment d’interdire l’exportation des technologies et des équipements susceptibles d’être utilisés dans le cadre d’activités cyber malveillantes.
Les eurodéputés recommandent eux de limiter l’utilisation des logiciels espions à certains Etats-membres, en clair ceux où il existe des garanties juridiques suffisantes, comme le respect des décisions de la Cour européenne des droits de l’homme. Et ils appellent à mettre en place des règles à l’échelle communautaire pour encadrer leur utilisation par la police, autorisées “dans des cas exceptionnels, à des fins prédéfinies et pour une durée limitée”.
Les eurodéputés ont pointé des “violations majeures” en Hongrie et en Pologne, un dernier pays où le logiciel espion Pegasus fait partie d’un “système de surveillance de l’opposition et des voix critiques”, Ce genre de logiciel a aussi été utilisé en Grèce pour surveiller des journalistes, des personnalités politiques et des dirigeants d’entreprise, les eurodéputés signalant enfin leurs inquiétudes en Espagne.
Un laboratoire technique européen
Soulignant le rôle “majeur” de Chypre dans l’exportation de logiciels espions, les eurodéputés appellent également à l’abrogation des licences d’exportation déjà délivrées par cette république. Ils recommandent enfin de réglementer davantage la découverte, le partage, la résolution et l’exploitation des vulnérabilités informatiques non connues, les fameuses zero-day.
Les députés de la commission d’enquête suggèrent enfin de mettre sur pied un laboratoire technique européen. Cet institut de recherche indépendant serait habilité à enquêter sur ce genre de surveillance et pourrait fournir “un soutien juridique et technologique”, par exemple en menant des investigations sur des cas d’espionnage. Actuellement, ce genre de surveillance numérique est d’abord documenté par des ONG, du Citizen Lab à Amnesty international.