MOZOM-analyse

Pirater d'abord, obtenir l'autorisation ensuite ? Un projet de loi allemand ouvre aux services de renseignement l'accès aux téléphones et aux ordinateurs

Projet de loi allemand NDRefG, Tagesschau, Cour constitutionnelle fédérale, Deutscher Anwaltverein, Reporter ohne Grenzen, AG KRITIS et Commission européenne Europa 12 augustus 2026 om 12:25

Type: Analyse Auteur: Ron Caroselli Published: 12 augustus 2026 om 12:25 Report a correction

Caricature éditoriale réaliste d'un service secret qui ouvre le verrou numérique autour d'un smartphone et d'un ordinateur portable alors qu'une autorisation indépendante est encore en cours d'obtention.

Source: Projet de loi allemand NDRefG, Tagesschau, Cour constitutionnelle fédérale, Deutscher Anwaltverein, Reporter ohne Grenzen, AG KRITIS et Commission européenne
Titre MOZOM: Pirater d'abord, obtenir l'autorisation ensuite ? Un projet de loi allemand ouvre aux services de renseignement l'accès aux téléphones et aux ordinateurs
Titre original: Plus de pouvoirs pour les services de renseignement : réforme nécessaire ou « rupture d'un tabou historique » ?
Auteur: Ron Caroselli
Date: 12 augustus 2026 om 12:25
Sujet: MOZOM examine ce que permet réellement le projet de réforme de la loi allemande sur le renseignement: accès secret aux téléphones et aux ordinateurs, interventions techniques avant le consentement final, accès dormant, zéro jour, cyberopérations actives et limites de la surveillance indépendante.

Résumé de l'article original

Le Tagesschau a rapporté le 12 août que le cabinet allemand souhaitait approuver la réforme le jour même. Le projet public du 5 juillet compte 691 pages et réécrit une grande partie des règles du Bundesamt für Verfassungsschutz (BfV), le service de sécurité intérieure, et du Bundesnachrichtendienst (BND), le service de renseignement étranger. L'article 23 donne au BfV le pouvoir, sous certaines conditions, d'accéder secrètement aux appareils informatiques et de lire les données personnelles stockées. Les articles 25 et 26 réglementent les interventions plus approfondies ou limitées dans les systèmes privés. Pour le BND, les paragraphes 36 à 39 contiennent des options similaires, notamment la modification ou la suppression de données, la redirection ou le blocage du trafic et la désactivation des systèmes en cas de situation immédiatement menaçante dans laquelle une autre agence ne peut pas agir en temps opportun. Selon l'explication, les smartphones, les ordinateurs portables, les serveurs et les environnements cloud relèvent de ces systèmes informatiques. L'autorisation du propriétaire n'est pas demandée à l'avance; le secret fait en réalité partie de la méthode.

Qu'est-ce qui est autorisé, qui contrôle et où est le risque ?

Le tableau résume les dispositions du projet. « Risque » désigne ici un risque juridique ou technique d'abus ; il ne s’agit pas d’affirmer que les abus décrits ont déjà eu lieu.

Pouvoir	Seuil légal	Contrôle	Risque résiduel
Lire les données stockées sur un appareil informatique	Au moins une menace significative observable ; le système doit être identifié le plus précisément possible.	Commande interne. Une évaluation préalable indépendante s'applique aux cas les plus graves du paragraphe 23, paragraphes 2 et 3, qui ne sont pas visibles dans toute lecture normale du paragraphe 1.	Le service qui souhaite s’immiscer effectue en premier lieu lui-même l’évaluation juridique pour la variante plus légère. L'intéressé ne peut pas se défendre par avance.
Préparer les accès techniques avant la finalisation de l’autorisation	Seulement lorsque le succès est autrement compromis ; aucune collecte substantielle de données personnelles pour l’instant.	Le consentement final et la vérification suivent avant que les données puissent être traitées.	L'intégrité du système peut être compromise avant la fin de la vérification à distance. Cela signifie que l’intrusion technique intervient avant le moment du consentement.
Intervention complète dans un système privé	Un danger concret pour des biens juridiques particulièrement importants, une menace très grave et aucune voie policière équivalente à temps.	Évaluation préalable par l'Unabhaengiger Kontrollrat ; pour la surveillance à domicile, c'est le Tribunal administratif fédéral qui décide.	Une intervention complète de l'appareil fournit potentiellement une image exceptionnellement complète de la vie d'une personne. Les tiers inévitablement impliqués peuvent également être concernés.
Permettre à l'accès technique d'exister en dormance	Seulement s’il existe des indications concrètes démontrant que le changement est à nouveau nécessaire dans un avenir proche.	La nécessité et la proportionnalité doivent continuer à exister et le traitement ultérieur des données nécessite une base valable.	« Dans un avenir prévisible » n'est pas clairement limité à un nombre de jours fixe. Pendant ce temps, l’accès caché reste lui-même un risque pour la sécurité.
Informer ensuite la personne concernée	En principe, la notification après la résiliation s'applique aux mesures sévères énumérées.	Le report, la non-déclaration et le retrait définitif après cinq ans sont possibles sous certaines conditions ; certaines décisions nécessitent l'autorisation du Kontrollrat.	Ceux qui n’apprennent jamais que leur appareil a été envahi auront du mal à faire tester leur légitimité de manière indépendante. En cas de notification, toute action en justice contre l'ordre et l'exécution est exclue.
Influencer activement les systèmes et les données	Une situation immédiatement menaçante, la nécessité et l’absence d’action en temps opportun de la part d’une autre autorité compétente.	Ordonnances internes, examen indépendant des mesures appropriées, proportionnalité et contrôle parlementaire.	La frontière entre la collecte d’informations et l’intervention opérationnelle s’amenuise. Une mauvaise cible ou un système détourné par un tiers innocent peut causer des dommages collatéraux.
Profitez de zéro jour avant qu’une réparation soit disponible	L'explication indique que le BND peut utiliser le court délai accordé pour obtenir un correctif logiciel à des fins de renseignement.	Pas de porte dérobée générale dans chaque appareil, mais une exploitation ciblée d’une fuite non encore réparée.	Tant que la fuite reste ouverte, les criminels ou les services étrangers peuvent également découvrir la même vulnérabilité. L’avantage offensif entre alors en conflit avec la protection de tous les utilisateurs.
Profils et prédictions automatisés	L'analyse doit s'inscrire dans le cadre de la mission juridique, de la limitation de la finalité et des règles relatives aux données.	La supervision et le contrôle des données et applications utilisées restent nécessaires.	L’automatisation augmente l’échelle et la vitesse, mais aussi la portée des connexions incorrectes, des préjugés et des scores de risque difficiles à expliquer.

Recherche de source propre : quatre passages qui changent le débat

MOZOM a non seulement lu le résumé médiatique, mais aussi la conception et l'explication complètes. Quatre passages se démarquent. Premièrement, le paragraphe 33 précise que des mesures techniques préparatoires affectant l'intégrité d'un système informatique sont autorisées avant l'émission de la commande si leur succès est autrement compromis, à condition qu'aucune donnée personnelle ne soit collectée. Les notes explicatives du BND indiquent explicitement que même une procédure d'urgence peut parfois prendre trop de temps. Deuxièmement, le paragraphe 23, paragraphe 4, stipule que les changements apportés au système ne doivent pas toujours être annulés s'il existe des indications concrètes indiquant qu'ils seront bientôt à nouveau nécessaires. L'explication décrit cet accès comme « dormant » et peut être réactivé ultérieurement. Troisièmement, la notification au titre du paragraphe 35 peut être différée aussi longtemps que l'objectif de la recherche ou des intérêts importants de l'État sont menacés ; Après cinq ans, la déclaration peut être définitivement supprimée si les raisons semblent persister. Quatrièmement, l'explication décrit que les informations sur un jour zéro provenant du BSI peuvent être temporairement utilisées par le BND avant qu'un fabricant ne fournisse un correctif. Il ne s’agit pas d’une obligation cachée de construire une porte dérobée d’État dans chaque téléphone. Il s’agit d’un conflit visible entre les intérêts offensifs du renseignement et la tâche consistant à rendre rapidement les citoyens, les entreprises et les infrastructures vitales plus sûres. L’exposé des motifs est encore plus concret. À la page 292, il indique que, lors de la surveillance d’un logement, le BfV peut non seulement installer ses propres capteurs, mais aussi utiliser ceux déjà présents chez l’occupant, en citant explicitement un haut-parleur intelligent ; si cela nécessite une intrusion dans un système informatique, les conditions applicables à une telle intrusion doivent également être respectées. L’exposé mentionne en outre les terminaux mobiles, les services cloud et les appareils de l’internet des objets, tandis que le projet permet de demander des données télémétriques de véhicules, telles que la localisation, la vitesse, le kilométrage, les profils d’utilisation et même les données des capteurs d’occupation des sièges. La loi ne cite aucune marque, mais ces catégories peuvent techniquement inclure Google Nest/Home, Amazon Echo avec Alexa, Meta Quest 3, les PC, ordinateurs portables, iPad et autres tablettes, les smartphones équipés d’une caméra et d’un microphone, les sonnettes Ring, les caméras domestiques, les téléviseurs intelligents, les objets connectés portables et les voitures électriques connectées. Cela ne constitue pas une autorisation automatique d’écouter en permanence au moyen de tout appareil connecté : l’objectif, le seuil légal, le pouvoir précis et le contrôle requis restent déterminants pour chaque mesure. C’est précisément la combinaison de microphones, caméras, capteurs, comptes et données cloud qui rend la portée potentielle si intrusive.

Le mot rassurant « contrôle »

La conception comprend des ordonnances internes, de la documentation, la proportionnalité, l'Unabhaengiger Kontrollrat, un contrôle parlementaire et un juge administratif pour la surveillance du domicile. Par conséquent, la description générale du « piratage incontrôlé » est incorrecte. Mais le mot « contrôle » peut aussi être trop rassurant. Toutes les lectures ne sont pas évaluées de manière indépendante au préalable, des exceptions d'urgence existent, des extensions à des personnes supplémentaires peuvent être soumises ultérieurement et la personne cible ne participe pas à une procédure contradictoire. Un bon contrôle nécessite non seulement qu'un superviseur existe quelque part, mais qu'il puisse décider de l'intervention en temps opportun, de manière concrète et avec suffisamment d'informations.

Pas de loi Chat Control, mais la même direction européenne

Le projet de loi allemand et Chat Control sont des dossiers juridiquement distincts. Le premier réglemente les pouvoirs des services de renseignement allemands ; le second concerne les fournisseurs ainsi que la détection et le signalement de contenus pédocriminels en ligne. L’accord temporaire de l’UE, de nouveau prolongé en juillet 2026, exclut les communications chiffrées de bout en bout, tandis que le cadre permanent reste en négociation. Le projet allemand ne révèle aucun système commun direct avec le BND ou le BfV. La similitude tient à l’orientation technique : lorsque le chiffrement rend difficile l’interception d’une communication en transit, l’attention se déplace vers l’appareil terminal, le cloud ou le fournisseur. La Commission européenne travaille aussi officiellement sur la conservation des données, l’interception transfrontalière, les outils d’investigation numérique, l’accès aux données chiffrées et une nouvelle capacité de déchiffrement pour Europol. Aux Pays-Bas, l’AIVD et le MIVD peuvent déjà pirater des systèmes, mais ce pouvoir spécial exige une autorisation ministérielle et un avis contraignant de la TIB. L’Europe construit ainsi une infrastructure toujours plus large d’accès étatique aux données numériques, non au moyen d’une seule loi secrète, mais par plusieurs réglementations distinctes.

Message possible derrière l'actualité

Le message visible est que l’Allemagne a besoin de moyens modernes contre les menaces modernes. Le message essentiel de MOZOM est qu’une démocratie ne devrait pas concevoir des pouvoirs uniquement pour l’utilisateur actuel bien intentionné, mais aussi pour un système incorrect, un service d’interprétation large et le pire futur gouvernement possible.

Conclusion neutre

Conclusion : le projet allemand contient plus de garanties que ne le suggère le slogan « l'État peut pirater n'importe quel téléphone », mais il va bien plus loin que le maintien technique d'une législation obsolète. Les services ont accès à des systèmes privés, sont autorisés à obtenir un accès technique dans des conditions préalables à l'approbation finale, peuvent laisser l'accès inactif et ont la possibilité d'influencer activement les systèmes numériques. Dans le même temps, la notification peut être omise pendant une longue période ou définitivement. C'est un véritable changement de pouvoir. La limite la plus défendable est donc claire : toute intervention secrète dans un appareil privé doit être évaluée au préalable de manière indépendante et concrète, les exceptions doivent être courtes et démontrables, les portes dérobées doivent être supprimées, les vulnérabilités doivent être signalées rapidement et elles doivent être notifiées ultérieurement, sauf décision contraire motivée d'un juge. Autrement, le principe « faites-nous confiance » deviendra peu à peu le verrou le plus important du pouvoir des services secrets.