aux mécanismes de contrôle associés. C’est pourquoi le Processus de
Pall Mall en a fait, – avec la question du façonnement du marché
lui‑même – l’un de ses axes de travail.
S’agissant des mécanismes de contrôle de l’usage, l’approche du
Processus de Pall Mall se veut empirique et a vocation à débuter
par un parangonnage des pratiques actuelles. La France, où les
grands équilibres du droit du renseignement sont exclusivement
définis par le législateur national, sous le contrôle du Conseil
constitutionnel, peut valoriser son modèle qui subordonne
l’utilisation des capacités attentatoires à la vie privée à l’autorisation
d’un magistrat pour les enquêtes judiciaires, et à l’obtention
obligatoire et préalable de l’avis d’une autorité administrative
indépendante pour les enquêtes administratives. Dans ce cadre, la
CNCTR effectue un contrôle de légalité et de proportionnalité de la
demande. Si son avis n’est pas suivi par le Gouvernement – ce qui
n’est jamais arrivé jusqu’à présent – le juge administratif suprême
(Conseil d’État) est immédiatement saisi.
Parmi les autres moyens dont disposent les États pour contrôler la
prolifération et l’usage de capacités de cyber-intrusion, le contrôle
à l’export est souvent cité. De fait, les logiciels d’intrusion sont couverts
depuis 2013 par l’Arrangement de Wassenaar, un régime multilatéral
de contrôle des exportations en matière d’armes conventionnelles et
de biens et technologies à double usage dont la France fait partie.
Moins connus sont les mécanismes de contrôle à l’importation,
auxquels contribue par exemple en France le dispositif « R. 226 » du
nom de l’article du code pénal qui en constitue la base juridique58. Ce
dispositif interministériel au sein duquel siège la CNCTR permet ainsi
d’exercer un contrôle sur les matériels importés susceptibles de porter
atteinte au secret des correspondances, dont les logiciels de captation
de données par exemple.
58. « La fabrication, l’importation, l’exposition, l’offre, la location ou la vente de tout appareil ou dispositif technique figurant sur la
liste mentionnée à l’article R. 226-1 est soumise à une autorisation délivrée par le Premier ministre, après avis de la commission
mentionnée à l’article R. 226-2. »
178