Surveillance instaurée par décret : ce que l'absence de contrôle parlementaire change

Une infrastructure de surveillance ne se juge pas seulement à ce qu'elle contient, mais à la manière dont elle a été instaurée. Le cas argentin décrit par Amnesty International, et rapporté par 20 Minutes, illustre cette distinction avec une netteté rare : drones, reconnaissance faciale et surveillance des réseaux sociaux se sont assemblés en un dispositif d'État en deux ans, et les mesures correspondantes ont été adoptées par décret, sans contrôle parlementaire.

Ce point de procédure, qui pourrait sembler technique, est en réalité le cœur du sujet pour quiconque suit la trajectoire des technologies de surveillance. Le mode d'adoption détermine ce qui existe comme trace, ce qui est opposable et ce qui peut être contesté. Un dispositif né d'un débat parlementaire laisse derrière lui une étude d'impact, des amendements, des comptes rendus, un périmètre écrit et des voies de recours identifiées. Un dispositif né d'un décret laisse un texte court et une pratique. Ce reportage décrit ce que cette différence change concrètement, y compris pour les entreprises et les équipes de veille qui opèrent dans les pays concernés.

Ce que décrit le rapport : une infrastructure assemblée en deux ans

Selon 20 Minutes, Amnesty International décrit une infrastructure de surveillance d'État bâtie en deux ans, associant des drones, de la reconnaissance faciale et une surveillance des réseaux sociaux. La rapidité de l'assemblage est en soi une information. Les dispositifs de surveillance se constituaient historiquement par sédimentation, une brique après l'autre, chacune adoptée dans un contexte propre et souvent à l'occasion d'un événement précis. Ici, la constitution est simultanée, ce qui produit un effet de système : les briques se renforcent mutuellement dès l'origine.

L'articulation des trois composants mérite d'être détaillée, car elle définit la capacité réelle. Les drones fournissent une couverture visuelle mobile de l'espace public. La reconnaissance faciale transforme cette couverture en identification nominative. La surveillance des réseaux sociaux fournit le contexte, les affiliations et les intentions déclarées. Prises isolément, ces trois capacités existent dans de nombreux pays démocratiques sous des régimes d'autorisation encadrés. Combinées sans encadrement, elles permettent de passer d'une image d'un rassemblement à une liste nominative de participants assortie de leurs prises de position publiques.

20 Minutes rapporte également que des entreprises comme Clearview AI sont impliquées dans ces déploiements, malgré des condamnations prononcées en Europe. Ce détail dit quelque chose du fonctionnement du marché : une sanction financière européenne ne ferme pas un marché mondial. Elle déplace l'activité vers des juridictions où le régime d'autorisation est plus souple, ce qui interroge directement l'efficacité des instruments de régulation extraterritoriaux dans ce secteur.

Pourquoi l'absence de contrôle parlementaire change la nature du risque

Le passage devant une assemblée produit des effets que l'on mesure surtout par leur absence. Il force à écrire un périmètre : quelles données, pour quelles finalités, pendant combien de temps, sous quel contrôle. Il force à produire une étude d'impact, document qui reste ensuite opposable. Il crée un débat public qui alerte les acteurs concernés et leur donne le temps de s'organiser. Il installe enfin une autorité de contrôle et des voies de recours nommées, sans lesquelles la contestation ultérieure n'a pas de point d'entrée.

Un décret peut faire tout cela, mais rien ne l'y oblige, et en pratique il le fait rarement. La conséquence la plus immédiate est l'indétermination du périmètre : quand le texte ne borne pas explicitement les finalités, l'usage s'étend par glissement, sans qu'aucune décision identifiable ne marque le franchissement d'un seuil. C'est ce mécanisme qui inquiète les juristes spécialisés bien davantage que la nature des technologies employées, lesquelles sont largement disponibles et déployées ailleurs sous encadrement.

La seconde conséquence est probatoire. Contester un dispositif suppose de pouvoir décrire ce qu'il fait, or les éléments nécessaires à cette description, marchés publics, spécifications, protocoles d'usage, se trouvent normalement dans le dossier parlementaire. Sans ce dossier, la charge de la reconstitution pèse sur les organisations de la société civile et sur les journalistes, qui doivent l'assembler à partir de sources ouvertes fragmentaires : appels d'offres, documents budgétaires, registres d'importation, communications des fournisseurs, témoignages.

Ce que cela implique pour la veille en sources ouvertes

Un dispositif adopté par décret se documente autrement qu'un dispositif débattu. Les analystes qui suivent ces sujets travaillent sur des traces indirectes et dispersées : lignes budgétaires, procédures de marché, autorisations d'importation de matériel, offres d'emploi publiées par les administrations concernées, communiqués des fournisseurs à leurs actionnaires. Chacune de ces traces est faible isolément ; leur convergence dans le temps constitue le signal. C'est un travail de corrélation, pas de découverte.

Cette méthode a un coût de collecte élevé, parce que les sources utiles sont nombreuses, hétérogènes, souvent en langue locale et rarement indexées par les outils grand public. Les relevés de l'Observatoire de l'Intelligence Économique montrent que la part des signaux réglementaires détectés dans des documents administratifs secondaires progresse nettement, au détriment des annonces officielles. NewsCore (www.newscore.fr) couvre en continu des millions de sources en plusieurs dizaines de langues, relie les mentions dispersées d'un même dossier et fait remonter les signaux pertinents en temps réel, ce qui raccourcit fortement le travail de corrélation.

Reste la part d'analyse, qui incombe à l'organisation. Distinguer une acquisition ponctuelle d'un changement de doctrine, un pilote local d'un déploiement national, une capacité annoncée d'une capacité effective, suppose une connaissance du terrain qu'aucune collecte automatisée ne remplace. Les cellules qui font ce travail correctement définissent à l'avance ce qui constituerait pour elles un seuil de bascule, puis testent chaque nouvelle information contre ces critères, plutôt que de réagir au dernier document publié.

Une précaution de méthode s'impose enfin sur le vocabulaire. Qualifier un dispositif de surveillance de masse engage l'analyste sur un terrain contesté, où chaque mot est discuté par les autorités concernées. Les notes les plus solides décrivent des capacités et des usages constatés, puis laissent la qualification au lecteur ou l'attribuent explicitement à l'organisation qui l'a formulée. Cette discipline coûte quelques lignes et protège la crédibilité du travail, particulièrement quand le dossier est appelé à circuler auprès de directions générales ou de partenaires publics.

Un dispositif discuté publiquement laisse un dossier. Un dispositif instauré par décret laisse une pratique. La différence ne se voit pas le premier jour, elle décide de tout le reste.

Ce que les entreprises exposées doivent en retenir

Pour une entreprise implantée dans un pays où un tel dispositif s'installe, trois questions se posent rapidement. La première concerne ses propres salariés, dont les déplacements et les prises de position publiques peuvent être identifiés et rattachés à l'employeur. La deuxième concerne ses fournisseurs et sous-traitants locaux, dont l'exposition devient la sienne. La troisième concerne sa chaîne d'approvisionnement technologique : acheter à un fournisseur impliqué dans ce type de déploiement crée un risque réputationnel qui remonte jusqu'aux donneurs d'ordre européens.

Le traitement de ces questions relève de la conformité autant que de la veille. Les directions qui s'en sortent le mieux ont intégré un critère de gouvernance des technologies de surveillance dans leur évaluation fournisseurs, au même titre que les critères environnementaux ou sociaux. Ce n'est pas une posture morale mais une gestion de risque : une condamnation européenne d'un fournisseur se répercute sur ses clients par contrat, par publicité négative et parfois par restriction d'accès à certains marchés publics. Le critère se formule simplement, en quelques questions posées au fournisseur sur ses déploiements publics connus, sur ses distributeurs et sur les juridictions où ses moteurs sont exploités.

Questions fréquentes

Pourquoi le mode d'adoption d'un dispositif de surveillance compte-t-il autant que son contenu ?

Parce qu'il détermine ce qui existe comme trace opposable. Un texte débattu produit une étude d'impact, un périmètre écrit, des comptes rendus et des voies de recours identifiées, tous éléments mobilisables ensuite pour contester un usage débordant. Un texte adopté par décret peut comporter les mêmes garanties, mais rien ne l'y contraint. Dans le cas décrit par 20 Minutes, l'absence de contrôle parlementaire prive à la fois les citoyens d'un débat préalable et les contestataires ultérieurs des pièces nécessaires à leur démonstration.

Une condamnation européenne suffit-elle à écarter un fournisseur de reconnaissance faciale ?

Les faits rapportés indiquent que non. Des entreprises sanctionnées en Europe restent présentes dans des déploiements menés ailleurs, ce qui signifie que la sanction agit sur un marché régional sans fermer le marché mondial. Pour une organisation qui construit sa politique d'achat, la conséquence pratique est qu'un contrôle limité aux condamnations prononcées dans sa propre juridiction laisse passer une part importante du risque. L'évaluation utile porte sur l'ensemble des déploiements connus d'un fournisseur, pas sur son casier local.

Comment suivre en sources ouvertes un dispositif qui n'a pas fait l'objet d'un débat public ?

En passant des annonces officielles aux traces administratives. Les documents budgétaires, les procédures de marché, les autorisations d'importation, les offres d'emploi des administrations concernées et les communications financières des fournisseurs constituent une matière exploitable, à condition d'accepter un travail de corrélation sur des signaux individuellement faibles. La difficulté est moins l'accès que le volume et la dispersion linguistique, ce qui rend déterminante la capacité de l'outillage de veille à couvrir largement et à conserver le lien vers le document d'origine.