L’utilisation par la police d’un logiciel d’espionnage a fait les grands titres de la presse en Allemagne puis Suisse et nombreux sont ceux qui se sont étonnés de l’existence et l’utilisation de ces logiciels. Si ce n’est pas une surprise, c’est toutefois l’occasion d’apporter quelques précisions.
De quoi parle-t-on?
Le logiciel d’espionnage est également appelé Government-Software ou cheval de Troie (car comme dans la mythologie grecque malgré son apparente innocence il renferme de petits soldats ou de braves espions prêts à en jaillir dès que les Troyens auront détourné leur attention). Il s’agit d’un simple programme informatique en apparence anodin, qui une fois installé permet de prendre le contrôle à distance de l’ordinateur sur lequel il se trouve, et évidemment d’en surveiller en temps réel tout le contenu. Le détenteur de l’ordinateur ne s’en rend normalement pas compte (c’est le but!). Un logiciel d’espionnage peut être installé en accédant physiquement à la machine mais aussi par le biais d’une connexion à distance (courriel, Internet, etc.)
Les chevaux de Troie sont en particulier utilisés pour surveiller les discussions par messagerie instantanée (MSN) ou la téléphonie par Internet (VoIP, Skype,…) que les méthodes habituelles permettent difficilement d’appréhender. Parfois le programme espionne le clavier et enregistre, voire transmet, toutes les informations frappées. On parle alors d’espion clavier logique (par opposition à l’espion clavier matériel qui se fixe dans le clavier ou plus simplement sous la forme d’une rallonge entre la prise du clavier et l’ordinateur). Le cheval de droit peut finalement ne transmettre que les informations liées à certains programmes ou des captures d’écrans.
Est-ce bien légal?
Trois situations sont à distinguer: l’utilisation d’un cheval de Troie par une personne privée, par l’Etat en dehors d’une enquête pénale et dans le cadre d’une enquête pénale. Les deux premières utilisations sont clairement contraires au droit. La troisième mérite plus de développements.
Dans le cadre d’une enquête pénale, l’Etat a le droit de recourir à des méthodes particulières d’investigation, par exemple des perquisitions ou des écoutes téléphoniques. La Cour européenne des droits de l’Homme à Strasbourg comme le Tribunal fédéral ont eu à de nombreuses reprises la possibilité de confirmer la légalité de ces pratiques. Des conditions strictes et une procédure précise doit toutefois être suivie. Depuis le 1er janvier 2011, ces règles sont les mêmes dans tous les cantons suisses et figurent dans le Code de procédure pénale fédéral (CPP). Une surveillance préventive (par exemple par les services de renseignement) ne correspond pas à une enquête pénale et est donc illégale.
Voilà pour le cadre. Alors que dit la loi ? Et bien rien, ou pas grand-chose est c’est bien cela qui est compliqué. De manière simple, on peut dire que l’utilisation d’un logiciel de surveillance par la police n’est possible que si le CPP le permet. Mais cela ne signifie pas encore que la loi doive contenir exactement les termes «logiciel de surveillance» ou encore «cheval de Troie». Il suffit que le législateur ait inclus cette technique dans une des catégories qu’il a choisi d’autoriser. Toute la difficulté est alors de savoir, lorsqu’une technique n’a pas vraiment été évoquée, si elle a été volontairement exclue (et dans ce cas elle serait illégale) ou si elle a été implicitement incluse (elle serait alors permise). Cette réponse est apportée par les tribunaux en interprétant la loi. En attendant une réponse claire, deux camps s’opposent que cela soit par conviction juridique (ceux qui pensent que la loi couvre cette technique contre ceux qui pensent au contraire que la loi ne la prévoit pas) ou par intérêt (ceux qui veulent pouvoir l’utiliser contre ceux qui veulent l’interdire).
Les autres mesures de surveillances
Le CPP prévoit notamment des mesures de surveillance de la correspondance par poste et télécommunications ainsi que des autres mesures techniques de surveillance. Les écoutes téléphoniques font partie de la première et il est tentant d’y classer le logiciel espion utilisé pour écouter des communications over IP (par internet): on surveille la transmission d’informations par le biais d’installations et de techniques de communication. Mais beaucoup d’autres données que les données transmises peuvent également être surveillées et en particulier le contenu et l’activité de l’ordinateur, voire l’observation de ce qui se passe dans l’environnement de la machine. A mon sens il faut plutôt voir un autre dispositif de surveillance au sens de l’art. 280 CPP (autres mesures techniques de surveillance) tant qu’une disposition spécifique n’est pas introduite dans le CPP. Il n’a pas exactement pour but d’enregistrer des conversations non publiques ou des actions se déroulant dans des lieux qui ne sont pas publics ou librement accessibles (comme le prévoit la disposition légale), mais il entre dans le champ plus large de la récolte d’informations qui ne sont pas librement accessibles, ce que permet l’interprétation de l’art. 280 CPP dans ce sens. L’utilisation de ces logiciels était largement connue avant l’adoption du Code de procédure et rien n’indique que le législateur a voulu l’exclure.
Les conséquences
Le cheval de Troie ne peut donc être utilisé qu’aux conditions prévues pour les autres mesures de surveillance. Si ces conditions ne sont pas respectées et en particulier que l’autorisation nécessaire n’a pas été accordée, la surveillance serait illégale et les preuves recueillies complètement inexploitables.
La surveillance n’est autorisée que dans le cas d’une enquête visant la commission d’infractions particulières figurant dans une liste précise, la même que celle qui est utilisée pour les écoutes téléphoniques ou la surveillance du courrier électronique. Elle est ordonnée par le ministère public mais doit également être confirmée par une autorité judiciaire indépendante, le tribunal des mesures de contrainte.
Comme pour toute surveillance, les principes de subsidiarité et de proportionnalité doivent être respectés. Cela signifie qu’une telle surveillance ne doit être admise que si aucune autre mesure ne peut atteindre ce but et que l’atteinte à la sphère privée doit être aussi limitée que possible. Ce dernier élément me paraît particulièrement important et pourrait ne pas être appliqué correctement. Le cheval de Troie donne accès à un nombre énorme d’informations, dont un grand nombre ne sont pas nécessaires à l’enquête. Pour cette raison, l’ordre de surveillance devrait indiquer précisément ce qui est recherché et quelles parties de la machine sont visées (emails, messagerie instantanée, VoIP, images, documents, etc.) pour éviter une surveillance disproportionnée. La police ne recevrait ou n’aurait le droit que d’exploiter les informations couvertes par l’autorisation.
Finalement la personne surveillée doit être informée à l’issue de la surveillance de manière complète, ce qui lui donne également la possibilité de faire contrôler la légalité et le bien-fondé de la surveillance par une autre autorité judiciaire.
Une révision en cours
Un avant-projet de révision de la Loi fédérale sur la surveillance de la correspondance par poste et télécommunications prévoit d’introduire un nouvel art. 270bis CPP qui autoriserait expressément l’installation d’un « cheval de Troie » et le décryptage de données. Cette mesure y est conçue comme une mesure de surveillance de la correspondance subsidiaire aux autres mesures de surveillance de la correspondance par télécommunication, bien qu’elle permette finalement d’accéder à l’ensemble des données présentes sur le système informatique, y compris celles qui ne font pas partie de la correspondance. Il serait à mon avis plus judicieux d’ajouter une ligne à l’article 280 et d’en faire une autre mesure technique de surveillance, au lieu d’ajouter un nouvel article parmi la surveillance de la correspondance avec des conditions un peu différentes comme le propose le Conseil fédéral. Un projet devrait être publié prochainement.
Les craintes
Le débat public se concentre sur la question de savoir si la loi interdit ou non cette mesure et si la loi est bonne ou mauvaise. A mon avis la loi permet d’utiliser un cheval de Troie à des conditions strictes et l’attention doit être portée sur le respect de ces conditions. Il faudrait par exemple plutôt s’assurer que le tribunal des mesures de contraintes n’autorise qu’avec une grande retenue cette mesure de surveillance, que la surveillance soit limitée au strict nécessaire (ce que l’ordre de surveillance doit préciser) et que l’information transmise à la personne qui a été surveillée soit complète et compréhensible. Le risque d’abus ne me semble pas tant être dans la rédaction de la loi mais plutôt dans sa mauvaise application, par exemple si les autorités compétentes devaient manquer de temps ou de connaissances techniques suffisantes.
Nouvelles technologies et droit (archive) 
« Il faudrait par exemple plutôt s’assurer … que la surveillance soit limitée au strict nécessaire (ce que l’ordre de surveillance doit préciser) ».
Si je vous comprends bien il faudrait pouvoir précisément, à priori et pour chaque cas définir quelles données le cheval de Troie à le droit de collecter ? Or comment voulez-vous préalablement, de manière exhaustive et sans s’être introduit sur le système informatique à surveiller déterminer ce que le délinquant utilise comme moyen informatique « sournois » (système de stockage chiffré, communication vocale chiffrée, mot de passe d’accès à un serveur distant transmis de manière chiffrée, …) ?
Par exemple du moment où vous devez capturer un mot de passe d’accès (protégeant un moyen de stockage chiffré, permettant de se connecter à un serveur distant, …) vous n’avez pas d’autre choix que d’enregistrer toutes les frappes claviers et d’extraire à posteriori de ce flux de données le mot de passe recherché. Or ce flux contiendra inévitablement et en grande majorité des données d’ordre personnel (contenu d’email, lettres privée tapées sur l’ordinateur surveillé, …). On se retrouve donc dans le cas d’une caméra de surveillance à qui il faudrait apprendre à n’enregistrer que les scènes contenant des délits sous peine de voir les preuves récoltées par ce moyen de surveillance invalidées.
En résumé je ne crois pas qu’il soit possible de définir de manière individuel et avant d’avoir eu accès aux moyens informatiques du délinquant ce que le cheval de Troie est précisément en droit d’intercepter.
Exactement. La surveillance ne doit pas être une pêche aux informations.
Pour reprendre l’exemple que vous mentionnez, une caméra de surveillance enregistrera très souvent de nombreuses données auxquelles personne n’accédera (les images sont enregistrées en boucle et consultée uniquement en cas de problème).
Je pense que l’on peut limiter de manière technique et juridique. Techniquement le logiciel peut être adapté que pour accéder à certaines données ou certains type de données. Juridiquement l’autorisation doit indiquer ce qui est visé et ne pas permettre un accès en blanc à tout ce qui est techniquement accessible. Les autres données qui serait récoltées en même temps ne seront simplement pas utilisée.
Prenons l’exemple d’une personne fortement soupçonnée de trafic de stupéfiants. Il est établi qu’elle reçoit de nombreux appels en absence sur plusieurs numéros de portable et qu’elle rappelle ces numéros au moyen d’un service de téléphonie sur Internet. Si un téléphone fixe était utilisé, la surveillance du téléphone ne serait pas contestée. La surveillance des appels par Internet peut donc être justifiée, mais certainement pas la perquisition à distance de tout le contenu de l’ordinateur, la consultation des fichiers d’un autre utilisateur du même poste de travail ou encore l’activation de la webcam et du micro lorsqu’aucun appel n’est effectué. Si des infractions en matière de stupéfiants sont poursuivies, il n’y a aucune raison d’analyser les fichiers musicaux ou vidéo à la recherche de violation de droit d’auteur ou les photos de vacances par simple curiosité.
« Techniquement le logiciel peut être adapté que pour accéder à certaines données ou certains type de données. Juridiquement l’autorisation doit indiquer ce qui est visé et ne pas permettre un accès en blanc à tout ce qui est techniquement accessible. »
Il faut garder à l’esprit qu’il est techniquement difficile voir impossible de cibler précisément les données à capturer sans connaître préalablement et avec une grande exactitude les moyens informatiques (versions exactes des logiciels entre autres) utilisés par le délinquant. Or pour connaître ces informations, il faut s’être introduit sur son ordinateur.
Dans le cas où l’on sait que la personne à surveiller utilise la version x du logiciel y sur un certain système d’exploitation pour communiquer vocalement par Internet avec le délinquant z alors il est envisageable d’adapter un logiciel espion pour que seules les conversations effectuées à destination de ce correspondant soit enregistrées.
Par contre, et ce cas me paraît bien plus probable, si l’on ne connaît que vaguement les moyens de « protection » mis en œuvre par le délinquant il n’y aura d’autre choix que de capturer un spectre bien plus large et moins défini de données. Un exemple en serait une suspect utilisant exclusivement Skype pour communiquer avec des complices. D’un autre côté le logiciel Skype serait également utilisé pour contacter des contacts licites. Comme les communications Skype sont chiffrées, il est impossible en surveillant sa connexion Internet de déterminer les correspondants contactés par le délinquant. Il s’ensuit que le logiciel espion devra capturer toutes les communications effectuées grâce au logiciel Skype. Dans ce lot figurera inévitablement des conversions d’ordre privée qui n’ont aucun lien avec les activités délictueuses du délinquant. Arrivé à un certain point de la surveillance, ces conversations privées devront être écoutées pour constater qu’elles sortent du cadre de l’enquête. Si ce type de surveillance « large » est illicite alors les preuves récoltées seront inutilisables.
En conclusion, les cas où le logiciel espion peut être programmé pour ne capturer que des données servant à conduire des activités délictueuses me paraissent extrêmement faible. Il semble donc inévitable que celui-ci doive légalement être autorisé à capturer un spectre relativement large de données si l’on désire que ce type de surveillance ait un quelconque intérêt.
Merci Alain pour ce commentaire très intéressant. Lors d’écoutes téléphoniques « classiques » il arrive fréquemment que des conversations sans lien avec l’infraction soit entendues. Cela n’en rend pas la surveillance illégale et ce ne sera pas non plus le cas s’agissant de Skype. Comme vous le relevez justement il faudra considérer simplement qu’elles sortent du cadre de l’enquête.
En revanche, je maintiens que si le but est de surveiller des communications effectuées à l’aide d’un accès Internet, le logiciel ne doit pas être utilisé pour fouiller l’ordinateur à la recherche d’image ou de vidéos. Si pour des raisons techniques le logiciel devait « aspirer » tout le contenu de la machine, je ne doute pas qu’il soit alors possible d’effectuer un tri de ces données après la récolte mais avant de les remettre au policier en charge de l’enquête, soit automatiquement (en écartant tout les formats d’image, vidéo, etc) soit en chargeant une personne qui n’est pas liée à l’enquête de procéder au tri de ce qui est couvert par l’ordre de surveillance et ce qui ne l’est pas, un peu comme lorsqu’un magistrat écarte les pièces couvertes par le secret professionnel.
Merci pour ces précisions.
De votre billet j’ai faussement compris que le logiciel espion devait être programmé de telle sorte qu’il ne capture qu’exclusivement les données relevant d’une infraction.
Je voulais attirer l’attention sur le fait qu’il est hautement compliqué, ne serait-ce que techiquement, d’atteindre un but si précis.
Il est clair que si une surveillance plus large est légitime (capture de toutes les données du microphone si le délinquant utilise un logiciel VoIP), alors n’importe quel logiciel espion existant depuis plus de dix ans (back orifice p.e) est tout à fait en mesure de remplir cette tâche
Reste à mon avis le problème de l’intégrité des preuves récoltées car l’introduction d’un logiciel sur un système y apporte inexorablement des modifications. Il est donc nécessaire que ce logiciel réponde à des hauts standards de qualité et que des moyens cryptographiques sans faille soient mis en oeuvre. Ces moyens devant notamment garantir la tracabilité totale des actions de surveillance effectuées, l’intégrité de toute donnée récoltée et l’impossibilité pour une tierce personne de prendre le contrôle du poste surveillé.