Protection des données on Arpokrat

SignalTrace : l'Europe exporte la surveillance qu'elle ne s'autorise pas

Tue, 01 Sep 2026 00:00:00 +0000

Une berline grise passe sous un portique d’autoroute à 110 km/h. La caméra fixée au mât lit la plaque, l’horodate, l’enregistre. Rien de nouveau : ce dispositif existe depuis vingt ans, déployé par dizaines de milliers d’exemplaires en Amérique du Nord comme en Europe.

Mais si ce portique a reçu le boîtier que le groupe italien Leonardo commercialise depuis juin 2026, il vient d’enregistrer autre chose. L’iPhone du conducteur. Les écouteurs sans fil de la passagère. La montre connectée sur le tableau de bord. L’autoradio. Le porte-clés connecté dans la boîte à gants. Les capteurs de pression des quatre pneus. Le badge d’accès resté dans une veste. Et, si un chien dort à l’arrière, sa puce d’identification.

Une dizaine d’identifiants, une plaque, une position, une heure. Répétez à chaque portique du réseau et vous ne suivez plus une voiture : vous suivez des personnes, et vous savez avec qui elles se déplacent.

Ce que fait réellement le dispositif

Le produit s’appelle SignalTrace. Vendu par Leonardo US Cyber and Security Solutions, il complète la gamme ELSAG, une des lignes de lecteurs automatisés de plaques les plus répandues sur le marché américain. Son existence a été révélée le 8 juin 2026 par Joseph Cox dans 404 Media, à partir d’une fiche produit du constructeur.

Le point décisif tient en une phrase : il ne s’agit pas de nouvelles caméras. SignalTrace est un capteur radio ajouté aux lecteurs de plaques déjà installés. Le mât ne change pas, l’emplacement ne change pas, la silhouette du matériel au bord de la route ne change pas. Ce qui change, c’est ce que l’équipement écoute.

Le capteur enregistre les identifiants diffusés en clair par les protocoles Bluetooth, Wi-Fi et RFID des appareils présents dans le véhicule. Point technique souvent mal compris : aucun appareil n’est piraté et aucune faille n’est exploitée. Un appareil Bluetooth ou Wi-Fi émet en permanence des trames de découverte, parce que ces protocoles ont été conçus ainsi. Vos écouteurs annoncent leur présence pour être retrouvés par votre téléphone, qui interroge lui-même l’air ambiant pour retrouver les réseaux qu’il connaît. Ces émissions sont publiques par construction, et n’importe quel récepteur à portée les entend.

Leonardo précise d’ailleurs que le système fonctionne avec ou sans lecteur de plaques, y compris en intérieur, et reconnaît un véhicule dont la plaque est maquillée ou retirée.

Le rétrofit est le vrai sujet politique. Installer un nouveau réseau de caméras déclenche un vote, une délibération, parfois un contentieux. Ajouter une carte électronique dans un boîtier déjà validé ne déclenche rien. La capacité de surveillance change de nature sans débat public, parce qu’il n’y a matériellement rien de nouveau à voir.

Du véhicule à la personne, et de la personne au groupe

Un lecteur de plaques répond à une question : où était ce véhicule. SignalTrace en ajoute deux : qui s’y trouvait, et avec qui.

Leonardo ne s’en cache pas, c’est l’argument de vente. Le système constitue ce que la documentation appelle une empreinte électronique, un ensemble d’identifiants « fréquemment émis ensemble ». L’exemple du constructeur est explicite : dans une ville entière, un seul véhicule associera un iPhone 13rev2, un autoradio Audi, un casque Bose, une montre Garmin, un traqueur de clés et la plaque ABC-1234.

Le produit ne se contente pas de suivre des véhicules. Il produit automatiquement un graphe de relations entre personnes, sans que quiconque ait eu à formuler le moindre soupçon.

C’est là que se joue le saut qualitatif. En corrélant les appareils qui voyagent régulièrement ensemble, le système construit mécaniquement un graphe social. Deux téléphones qui se retrouvent chaque matin dans la même voiture sont un covoiturage, ou une relation qu’aucun des deux ne souhaite rendre publique. Cinquante appareils captés au même endroit à la même heure sont un rassemblement : une manifestation, un office religieux, une réunion syndicale ou une file d’attente devant une clinique.

Aucune de ces conclusions ne demande d’accéder au contenu d’une communication. Elle se déduit d’une table de proximité, par défaut, sur toute la population circulante et non sur des cibles désignées. C’est de la culpabilité par association, produite industriellement, en amont de toute enquête. Tom Bowman, juriste au Center for Democracy & Technology, résume le problème dans les colonnes de TechNewsWorld : ce qui rend l’outil utile pour suivre un vrai suspect le rend tout aussi capable de suivre tous les autres automobilistes, dont aucun n’a consenti à ce que ses appareils soient enregistrés.

Leonardo oppose deux arguments : le système ne déchiffre ni ne lit le contenu des communications, et il n’identifie pas les personnes par lui-même. Les deux affirmations sont exactes, et les deux sont hors sujet. Le renseignement recherché n’a jamais été le contenu, il est dans la métadonnée de position, plus révélatrice qu’un message. Quant à l’identification, le constructeur reconnaît lui-même qu’un enquêteur peut relier une signature électronique à une plaque, puis remonter au titulaire par les fichiers d’immatriculation.

Un droit américain écrit pour autre chose

Aux États-Unis, les lois d’État encadrant les lecteurs de plaques existent, et certaines sont exigeantes sur les durées de conservation et les finalités d’accès. Mais toutes ont été rédigées autour d’un objet précis : l’image d’une plaque d’immatriculation. Aucune n’anticipe la captation d’identifiants d’appareils personnels par le même équipement.

Ce décalage ne crée pas une illégalité mais une zone grise, plus commode pour le vendeur. Un service de police peut soutenir, sans mentir, que son programme de lecteurs de plaques est autorisé et conforme, tout en collectant désormais sous le même régime des données d’une nature entièrement différente. Leonardo dispose en outre de contrats fédéraux, auprès du Special Operations Command et de la General Services Administration, soit une voie d’achat qui contourne largement les validations locales.

Le débat constitutionnel, lui, vient de bouger, et il faut être précis car l’état du droit a changé cet été. En janvier 2026, un tribunal fédéral de Virginie a jugé, dans l’affaire Schmidt v. City of Norfolk, que le réseau de caméras Flock de la ville ne constituait pas une fouille au sens du quatrième amendement, faute de couvrir l’intégralité des déplacements des habitants. La décision est en appel devant le quatrième circuit, où l’ACLU est intervenue.

Puis, le 29 juin 2026, la Cour suprême a rendu Chatrie v. United States. Par cinq voix contre quatre, sous la plume de la juge Kagan, elle a jugé que l’obtention par la police des données de localisation d’un téléphone constituait une fouille, un individu conservant une attente raisonnable de vie privée sur ces données même détenues par un tiers et sur une durée courte. L’arrêt prolonge Carpenter v. United States de 2018 et affaiblit la doctrine du tiers détenteur, comme l’a relevé le CDT.

La portée exacte de Chatrie sur SignalTrace n’est pas tranchée, et il serait imprudent d’affirmer le contraire : l’arrêt porte sur des données réclamées à Google, pas sur une captation directe par un capteur policier dans l’espace public. Mais il installe le raisonnement qui compte, à savoir que la sensibilité d’une donnée de localisation ne dépend pas de qui la détient.

La question européenne, qui est la vraie question

Voilà où le dossier devient inconfortable pour l’Europe. Leonardo n’est pas un fournisseur américain, mais un groupe italien coté à Milan dont le premier actionnaire est le ministère italien de l’Économie et des Finances, à hauteur d’environ 30 % du capital, avec le pouvoir de désigner la majorité du conseil d’administration. L’État italien n’est pas un actionnaire passif de ce produit.

Le point technique, d’abord

En droit européen, un identifiant d’appareil est une donnée à caractère personnel. Ce n’est pas une opinion doctrinale mais la position constante des autorités. La CNIL traite explicitement l’adresse MAC comme telle dans sa doctrine sur les dispositifs de mesure de fréquentation, et n’admet leur collecte dans l’espace public que sous conditions étroites : anonymisation en quelques minutes avec un taux de collision élevé entre individus, ou pseudonymisation fiable suivie d’une destruction sous vingt-quatre heures, faute de quoi le consentement devient obligatoire. La même doctrine précise qu’inviter les gens à couper leur Wi-Fi n’est pas une modalité d’opposition acceptable.

La Cour de justice de l’Union européenne a précisé le 4 septembre 2025, dans l’affaire CEPD contre CRU (C-413/23 P), que le caractère personnel d’une donnée pseudonymisée s’apprécie au regard des moyens de réidentification raisonnablement mobilisables. Or ici le détenteur est une autorité de police, qui dispose des fichiers d’immatriculation. Les moyens de réidentification ne sont pas hypothétiques, ils sont dans le bureau d’à côté.

La nuance qui change tout

Il serait faux d’écrire que SignalTrace « serait illégal en Europe », et un lecteur juriste le relèverait immédiatement. Un traitement mis en œuvre par une autorité compétente à des fins de prévention et de répression pénale ne relève pas du RGPD. Il relève de la directive (UE) 2016/680, dite directive Police-Justice, transposée séparément par chaque État membre, en France au titre III de la loi Informatique et Libertés. La CNIL rappelle que ce régime est autonome, avec ses propres bases de licéité et ses propres droits.

La bonne question n’est donc pas celle de la légalité abstraite, mais celle des conditions. Sous ce régime, un tel dispositif supposerait une base légale nationale expresse, des finalités déterminées, une nécessité démontrée, une durée de conservation bornée, une analyse d’impact et un contrôle indépendant. En France, les lecteurs de plaques sont encadrés ainsi : les articles L233-1 et L233-1-1 du code de la sécurité intérieure fixent une liste limitative d’infractions ouvrant droit à leur usage, et la conservation reste parmi les plus courtes de l’Union, quinze jours en principe, même si une proposition de loi sénatoriale cherche à l’allonger.

C’est la différence de fond avec la situation américaine. Aux États-Unis, la loi encadre un objet, la plaque, et le silence sur les identifiants d’appareils vaut permission. En Europe, la loi encadre des finalités et des catégories de données, et ce silence vaut plutôt interdiction, faute de base légale expresse. Le vide constaté outre-Atlantique n’existe pas ici sous la même forme. Non que l’Europe soit plus vertueuse : sa technique juridique est inverse.

Ce que vaut alors la protection

Reste la question qui fait cet article. Que vaut une protection réglementaire européenne quand une entreprise européenne, contrôlée par un État membre, vend hors d’Europe une capacité qu’elle ne pourrait pas déployer chez elle sans une loi nouvelle ?

Les objections méritent d’être prises au sérieux. Un industriel n’est pas responsable du cadre légal de son client : c’est aux autorités américaines de décider ce qu’elles autorisent chez elles. Le produit n’est pas vendu à une dictature mais à un État de droit doté d’une cour suprême active, comme Chatrie vient de le rappeler. Et l’argument de souveraineté industrielle est légitime : si les groupes européens s’interdisent ces marchés, ils seront pris par des fournisseurs israéliens, américains ou chinois, sans que la surveillance recule d’un mètre, et l’Europe y perdra sa base technologique.

Ces arguments sont recevables. Ils ne répondent pas au problème.

D’abord parce que l’Union a déjà reconnu que l’exportation de moyens de surveillance n’était pas un commerce comme un autre. Le règlement (UE) 2021/821 sur les biens à double usage a introduit à son article 5 une clause attrape-tout visant les biens de cybersurveillance, parce que le législateur a admis qu’un outil légal à fabriquer peut être illégitime à destination. Sa limite est instructive : il se déclenche sur un risque de répression interne ou de violations graves des droits humains, catégories pensées pour des régimes autoritaires. Une vente à une police municipale américaine n’y entre pas. La grille européenne examine la moralité du client, jamais la nature de la capacité vendue.

Ensuite parce qu’un tel produit n’est pas un stock qu’on écoule, mais une capacité qui s’entretient : elle finance de la recherche, forme des ingénieurs, accumule du savoir-faire et crée une base installée. Le jour où un attentat majeur poussera un État membre à réclamer cette capacité, le débat ne portera plus sur l’opportunité de la construire. Elle existera, elle sera européenne, elle sera mature, et son fournisseur sera partiellement public. L’argument du « nous ne faisons que suivre le marché » devient alors circulaire, puisque le marché domestique aura été préparé par l’exportation.

Voilà ce que vaut une protection réglementaire dans ce scénario : elle protège les Européens contre les usages, pas contre l’existence des moyens. Elle règle la question de savoir qui a le droit d’appuyer sur le bouton, et laisse l’industrie le construire, le vendre, l’améliorer, puis attendre.

Ce que l’on peut faire, sans se raconter d’histoires

La première réponse évoquée est toujours la randomisation d’adresse MAC. Elle mérite un examen honnête, ni promotion ni dénigrement. Elle est réelle et elle fonctionne.

Android depuis la version 10 et iOS depuis la version 14 randomisent par défaut l’adresse MAC utilisée en Wi-Fi, avec une adresse distincte par réseau. En Bluetooth Low Energy, les appareils modernes diffusent des adresses privées résolvables, qui changent périodiquement et ne peuvent être rattachées à l’appareil réel que par un correspondant détenant la clé de résolution.

Ses limites sont tout aussi réelles.

L’appairage rouvre la porte. La clé de résolution est transmise lors de l’appairage. Un appareil déjà appairé, ou explicitement approuvé, retrouve l’identité stable derrière l’adresse tournante. Le mécanisme est conçu pour cela.
Beaucoup d’objets ne randomisent rien. Capteurs de pression des pneus, badges RFID, puces d’identification animale, autoradios et périphériques bon marché émettent des identifiants fixes. La fiche produit de Leonardo mentionne exactement ces catégories, ce qui n’est pas un hasard.
La randomisation se désactive. Elle se coupe réseau par réseau, et l’est souvent par commodité, pour du filtrage MAC sur un routeur domestique ou par politique d’entreprise.
Le groupe survit à la rotation des identifiants. C’est le point le moins intuitif et le plus important. SignalTrace ne cherche pas un identifiant, il cherche un ensemble d’appareils voyageant ensemble. Si un seul membre du groupe émet un identifiant stable, l’ensemble reste rattachable, quelle que soit la discipline des autres.

La mesure la plus efficace reste la plus ennuyeuse : ne pas émettre. Cela suppose de désactiver Bluetooth et Wi-Fi au niveau du système, dans les réglages, et non depuis le panneau de raccourcis. La distinction n’est pas cosmétique, nous l’avions détaillée dans notre article sur la géolocalisation permanente du téléphone : sur la plupart des systèmes grand public, le bouton du panneau rapide coupe l’appairage visible mais laisse la pile logicielle vivante, et les analyses de proximité continuent. Cet article décrivait le balayage Bluetooth comme un vecteur théorique. SignalTrace en est le produit commercial, catalogué et livrable.

Il faut rester honnête sur le résultat : ces mesures réduisent la surface d’exposition, elles ne l’annulent pas. Un véhicule reste une plaque, et une plaque reste lisible. Le seul moyen de ne rien émettre est de ne rien porter, ce qui n’est pas une politique publique.

Ce que cela dit de nos choix de conception

Chez Arpokrat, c’est ce raisonnement qui nous a conduits à traiter le Bluetooth au niveau du Core d’ArpokratOS plutôt qu’au niveau des réglages. Un interrupteur dans une interface est une préférence utilisateur : une mise à jour, une application système ou un service de localisation peuvent la contourner ou la réactiver, sans que l’utilisateur le sache. Une pile absente ne se réactive pas.

Face à une captation comme celle de SignalTrace, cela ne rend évidemment pas un appareil indétectable, et nous ne le prétendons pas : un téléphone reste sur un réseau mobile, et les autres objets d’un véhicule émettent pour leur propre compte. Ce que cela garantit, c’est qu’un vecteur d’émission précis est absent par construction plutôt que désactivé par confiance. C’est la thèse que nous défendions à propos de la 5G et de l’erreur de cible du droit : la protection juridique se concentre sur l’accès aux données alors qu’elle devrait porter sur l’existence même de l’infrastructure qui les produit. SignalTrace en est l’illustration, à ceci près que cette infrastructure est construite en Europe.

Conclusion

Le plus frappant dans ce dossier n’est pas la capacité technique, que des chercheurs décrivaient depuis des années. C’est la méthode de déploiement.

Il n’y aura pas de nouveau réseau de caméras à inaugurer, pas de délibération municipale à contester, pas de marché public identifiable comme un changement de nature. Il y aura des boîtiers ajoutés à des mâts existants, sous des contrats existants, dans des programmes déjà autorisés. Le jour où le débat public s’ouvrira, l’infrastructure sera installée, amortie et intégrée aux procédures d’enquête. Le débat portera alors sur les conditions d’accès à une base qui existe, jamais sur l’opportunité de l’avoir constituée.

C’est l’ordre habituel des choses en matière de surveillance, et il n’est pas accidentel. Reste à savoir si l’Europe estime avoir quelque chose à dire lorsque ses propres industriels, adossés à ses propres États, construisent cette infrastructure pour d’autres. Le droit européen a soigneusement organisé la réponse à la question de savoir qui peut consulter ces données chez nous. Il n’a jamais posé celle de savoir qui a le droit de fabriquer la machine.

La 5G, la localisation et l'erreur de cible du droit

Tue, 18 Aug 2026 00:00:00 +0000

En 2011, la police de Detroit a demandé à un opérateur mobile l’historique de rattachement du téléphone de Timothy Carpenter. Elle a obtenu 12 898 points de localisation étalés sur 127 jours, environ cent par jour. Sept ans plus tard, la Cour suprême des États-Unis a jugé que cette demande constituait une perquisition et exigeait un mandat.

Ces 12 898 points provenaient d’antennes de quatrième génération, dont chacune couvrait un rayon de plusieurs kilomètres. La même requête, adressée aujourd’hui à un réseau 5G urbain, ne renverrait pas cent points par jour à quelques kilomètres près. Elle renverrait un volume bien supérieur, à quelques dizaines de mètres près.

La technologie a changé d’échelle. Le raisonnement juridique, lui, est resté au même endroit de la chaîne.

Un bien juridique que les juges reconnaissent des deux côtés de l’Atlantique

Il existe un intérêt que presque tout le monde admet et que presque aucun texte ne protège efficacement : le droit de se trouver quelque part sans que ce fait soit enregistré.

La jurisprudence européenne l’a établi sans ambiguïté. Dans Digital Rights Ireland (affaires jointes C-293/12 et C-594/12, 8 avril 2014), puis dans Tele2 Sverige et Watson (affaires jointes C-203/15 et C-698/15, grande chambre, 21 décembre 2016), la Cour de justice de l’Union européenne a jugé que ces données, prises dans leur ensemble, permettent de tirer des conclusions très précises concernant la vie privée des personnes : habitudes de la vie quotidienne, lieux de séjour, déplacements, activités exercées et relations sociales.

La Cour suprême des États-Unis est parvenue à une conclusion voisine dans Carpenter v. United States, 585 U.S. 296 (2018). Elle a insisté sur un point que la doctrine américaine a beaucoup commenté : le caractère inéluctable et automatique de cette collecte. On ne consent pas à être rattaché à une antenne, on l’est parce qu’on possède un téléphone allumé.

Le bien juridique existe donc, et il est reconnu par les deux juridictions qui comptent en la matière. Le problème est ailleurs.

Ce que la 5G a réellement changé

Une confusion courante consiste à traiter la localisation comme une donnée que le téléphone transmet, au même titre qu’un message ou une photo. Ce n’est pas le cas. La localisation est une conséquence physique du fonctionnement du réseau. L’opérateur sait à quelle antenne l’appareil est rattaché parce qu’il doit le savoir pour acheminer un appel. Il n’existe aucune clé permettant de chiffrer cette information, puisqu’il ne s’agit pas d’un contenu mais d’une propriété de la connexion elle-même.

C’est précisément ce qui rend la 5G significative sur le plan juridique, et non sur le plan technique.

Les architectures antérieures reposaient sur des cellules larges. Une antenne 4G dessert couramment un rayon de plusieurs kilomètres, et la position déduite du seul rattachement se comptait en centaines de mètres en ville, parfois en dizaines de kilomètres en zone rurale. La 5G repose sur une densification massive : les cellules urbaines couvrent typiquement quelques centaines de mètres, et la littérature d’ingénierie table sur des densités de l’ordre de quarante à cinquante stations de base au kilomètre carré, contre quatre ou cinq à l’époque de la 3G.

La conséquence est mécanique. Selon le livre blanc d’Ericsson sur le positionnement 5G, l’infrastructure déployée pour la seule connectivité atteint une précision de vingt à cinquante mètres en extérieur et de un à trois mètres en intérieur, et descend sous le mètre en conditions urbaines favorables. Il ne s’agit pas d’une fonction de localisation activée quelque part, mais de ce que le réseau sait par construction, sans qu’aucune application soit installée ni aucune permission accordée. Nous avons détaillé l’ensemble de ces mécanismes, ainsi que les contre-mesures qui fonctionnent réellement, dans notre article sur la géolocalisation permanente du téléphone.

L’intrusion a donc augmenté de plusieurs ordres de grandeur. Le cadre juridique applicable, lui, reste celui pensé pour la 2G et la 3G. Aucune adaptation normative n’a accompagné ce changement d’échelle.

Le droit protège l’accès, pas la génération

Le droit européen encadre soigneusement qui peut accéder aux données de localisation, à quelles conditions et sous quel contrôle. La directive 2002/58/CE pose le principe de confidentialité des communications, et la Cour de justice a jugé, dans La Quadrature du Net (affaires jointes C-511/18, C-512/18 et C-520/18, grande chambre, 6 octobre 2020), que l’article 15, paragraphe 1, de cette directive, lu à la lumière des articles 7, 8, 11 et 52, paragraphe 1, de la Charte, s’oppose à une conservation généralisée et indifférenciée des données de trafic et de localisation à titre préventif. La Cour a toutefois admis des dérogations encadrées lorsqu’un État membre fait face à une menace grave pour la sécurité nationale qui s’avère réelle et actuelle ou prévisible, sous réserve d’un contrôle effectif.

Ce sont des protections réelles, et il serait absurde de les minorer. Mais elles interviennent toutes après coup. Elles présupposent que la donnée existe, qu’elle est conservée, et organisent ensuite les conditions de son exploitation.

Or si la localisation est un sous-produit inévitable du fonctionnement du réseau, le point d’intervention pertinent n’est pas la confidentialité. C’est la persistance.

Une position instantanée, nécessaire à l’acheminement d’une communication et effacée aussitôt après, n’est pas un instrument de surveillance. Un historique de positions conservé pendant des mois en est un, quelles que soient les garanties d’accès qui l’entourent.

La différence entre les deux n’est pas juridique, elle est architecturale. Et le calendrier européen rend la question urgente plutôt que théorique. La Commission a retiré la proposition de règlement ePrivacy en 2025, faute d’accord entre colégislateurs. Elle travaille depuis à un instrument distinct sur la conservation des données à des fins pénales, annoncé pour 2026 et destiné à harmoniser des régimes nationaux devenus disparates depuis l’annulation de la directive de 2006. Autrement dit, le texte qui fixera pour une décennie le régime des métadonnées de localisation s’écrit en ce moment, sur la base d’un raisonnement conçu à l’époque des cellules kilométriques.

Le précédent que la 5G a créé elle-même

L’aspect le plus intéressant du dossier est que la bonne réponse figure déjà dans la norme technique, mais appliquée à un autre objet.

Jusqu’à la 4G, l’identifiant permanent de l’abonné, l’IMSI, circulait en clair sur l’interface radio lors de l’attachement. C’est ce qui a rendu possibles les IMSI catchers, ces fausses stations de base qui, selon la description de référence de l’Electronic Frontier Foundation, émettent plus fort que les antennes légitimes pour attirer les terminaux et capter leur identifiant.

Depuis la Release 15 des spécifications 3GPP, publiée en 2019, la 5G apporte une réponse élégante. L’identifiant permanent, désormais appelé SUPI, peut être remplacé sur l’interface radio par le SUCI, un identifiant dissimulé obtenu en chiffrant la partie propre à l’abonné au moyen de la cryptographie sur courbes elliptiques, avec la clé publique de l’opérateur d’origine. Seul le réseau d’origine, qui détient la clé privée correspondante, peut le déchiffrer. Le résultat est unique à chaque calcul, ce qui empêche la corrélation d’une session à l’autre.

La logique retenue mérite d’être soulignée, parce qu’elle est exactement celle qui devrait guider le législateur : on ne chiffre pas la position, ce qui serait techniquement impossible, on chiffre l’identité. Une position dépourvue d’identité rattachable a une valeur très limitée à des fins de surveillance individualisée.

La faille : une protection facultative

Il existe cependant une réserve considérable, et c’est à notre sens le point d’intervention le plus concret de tout le dossier.

Le livre blanc NIST CSWP 36A, publié en mars 2026 par le National Institute of Standards and Technology, l’énonce sans détour. Les terminaux et les fonctions réseau conformes à la Release 15 ou postérieure sont tenus de prendre en charge le SUCI, mais son activation reste facultative pour l’opérateur. Trois conditions doivent être réunies : l’équipementier doit le supporter, l’opérateur doit l’activer sur son réseau, et la carte SIM doit porter les éléments nécessaires au calcul.

S’y ajoute un piège de configuration. La norme prévoit un schéma de protection nul, dans lequel le format SUCI est formellement employé mais sans chiffrement effectif, si bien que l’identifiant circule en clair. Le NIST écrit qu’il est nécessaire que l’opérateur configure son réseau avec un schéma de protection non nul, et rappelle qu’un rapport du CSRIC, l’organe consultatif de la Federal Communications Commission, recommandait dès 2021 de réserver le schéma nul aux seuls appels d’urgence émis par un terminal inconnu du réseau.

La formulation vaut d’être posée telle quelle. La meilleure protection disponible contre le suivi des terminaux mobiles existe dans la norme technique depuis 2019. Elle repose sur un choix de configuration laissé à la discrétion de l’opérateur. Une agence fédérale américaine juge utile de publier un document en 2026 pour rappeler qu’il faudrait l’activer. Et aucun instrument juridique européen ne l’impose.

Il faut ajouter que le SUCI ne clôt pas le sujet. Les travaux présentés sous le titre 5G SUCI-catchers: still catching them all? documentent des attaques de liaison permettant de recorréler des sessions malgré le chiffrement, et la protection tombe entièrement si l’attaquant force le terminal à basculer vers une génération antérieure. Une obligation juridique ne réglerait donc pas tout. Elle supprimerait néanmoins un écart qui n’a aucune justification défendable : celui entre ce que la norme permet et ce que les réseaux commerciaux font.

Trois interventions cohérentes

Si l’on prend au sérieux l’idée que la localisation doit être minimisée par conception plutôt que protégée après coup, trois mesures s’imposent logiquement.

Rendre obligatoire la dissimulation effective de l’identifiant. Imposer l’activation du SUCI et interdire les schémas de protection nuls sur les réseaux commerciaux, hors le cas résiduel des appels d’urgence. Il ne s’agit pas de prescrire une technologie nouvelle, ni de financer un déploiement, mais d’exiger l’activation d’une fonction normalisée depuis sept ans et déjà présente dans les équipements.
Traiter la conservation comme l’exception, non comme le défaut. La position nécessaire à l’acheminement d’une communication devrait être effacée dès cette fonction accomplie. La constitution d’un historique devrait appeler une justification spécifique. C’est la différence entre un réseau qui sait où vous êtes et un réseau qui se souvient où vous avez été.
Faire de la garde de la clé le facteur de rattachement pertinent. La localisation des serveurs dans l’Union ne signifie pas grand-chose si les clés permettant de rendre les données intelligibles se trouvent ailleurs. Le critère juridiquement significatif devrait être la maîtrise effective des moyens de déchiffrement, question que nous avons examinée en détail à propos du conflit entre Data Act et CLOUD Act.

L’angle que suit Arpokrat

Ce raisonnement n’est pas propre au droit des télécommunications. C’est celui que nous appliquons à nos propres choix d’architecture, et il tient en une phrase : ce qui n’a pas été produit n’a pas besoin d’être protégé.

C’est la raison pour laquelle ArpokratOS retire le GPS, le Bluetooth et le NFC au niveau du noyau plutôt que de les désactiver dans un menu. Un interrupteur est une politique : il peut être contourné par un composant privilégié, réactivé par une mise à jour, ignoré par un système compromis. Retirer le chemin de code supprime la question. C’est la transposition, à l’échelle d’un appareil, du même déplacement que nous appelons de nos vœux à l’échelle du droit : intervenir sur la génération plutôt que sur l’accès.

Il faut dire aussitôt ce que cela ne fait pas. Aucun système d’exploitation ne soustrait un terminal à la géométrie du réseau. Tant qu’une carte SIM est active, l’opérateur connaît la cellule de rattachement, et le routage intégral du trafic par Tor n’y change rien, puisqu’il protège le contenu et la destination, pas la couche radio. C’est justement pour cette raison que le sujet est juridique. Il existe une catégorie de risques qu’aucune configuration individuelle ne réduit, et pour laquelle la seule variable disponible est la règle applicable à l’opérateur.

Le même souci gouverne le reste de notre travail. Une donnée qui n’existe pas ne peut être ni réquisitionnée, ni revendue, ni exfiltrée, ni déchiffrée dans dix ans par une machine dont personne ne dispose aujourd’hui, question que nous avons traitée sous l’angle du chiffrement récolté maintenant et cassé plus tard.

Conclusion

Le débat public sur la surveillance mobile se concentre presque exclusivement sur l’accès : qui peut consulter les données, sur quel fondement, avec quelle autorisation. Ce débat est légitime, et les décisions rendues depuis 2014 par la Cour de justice ont produit des effets tangibles. Mais il intervient trop tard dans la chaîne.

La question antérieure, et plus déterminante, est de savoir si l’historique doit exister. Une base constituée aujourd’hui pour un motif légitime reste disponible demain pour un autre, et les garanties qui l’entourent dépendent de décisions politiques ultérieures que personne ne maîtrise au moment de la collecte. C’est un pari sur la stabilité des institutions, formulé pour une durée que nul ne fixe.

La 5G a multiplié la résolution de cette information sans qu’aucune adaptation normative n’intervienne. Elle a simultanément démontré, par le mécanisme du SUCI, que la voie praticable consiste à dissocier la position de l’identité plutôt qu’à tenter de chiffrer une propriété physique du réseau. La norme technique a fourni la réponse sept ans avant que le droit ne pose la question.

Le texte européen sur la conservation des données s’écrit maintenant. Il portera sur les métadonnées, donc sur la localisation, donc sur ce que la 5G produit désormais avec une finesse que ses rédacteurs n’ont pas connue. Savoir s’il se contentera d’organiser l’accès à un historique tenu pour acquis, ou s’il ose interroger la nécessité de cet historique, est probablement la question de vie privée la plus importante des prochaines années en Europe. Et c’est une question que le secteur technique, pour une fois, a déjà tranchée dans le bon sens.

Sources

Cour de justice de l’Union européenne, Digital Rights Ireland, affaires jointes C-293/12 et C-594/12, 8 avril 2014
Cour de justice de l’Union européenne, Tele2 Sverige et Watson, affaires jointes C-203/15 et C-698/15, grande chambre, 21 décembre 2016
Cour de justice de l’Union européenne, La Quadrature du Net e.a., affaires jointes C-511/18, C-512/18 et C-520/18, grande chambre, 6 octobre 2020
Supreme Court of the United States, Carpenter v. United States, 585 U.S. 296, 2018
National Institute of Standards and Technology, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI), NIST CSWP 36A, mars 2026
Ericsson, 5G positioning: Locating devices anywhere
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
Electronic Frontier Foundation, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026

Data Act vs CLOUD Act : qui contrôle vraiment vos données dans le cloud ?

Fri, 19 Jun 2026 00:00:00 +0000

Pendant des années, le monde a fonctionné sur une hypothèse simple : les données ont un lieu de résidence physique. Si elles se trouvaient sur un serveur à Dublin, elles relevaient du droit irlandais et européen. Cette hypothèse s’est effondrée en 2018, lorsque les États Unis ont adopté le CLOUD Act, une loi qui donne aux autorités américaines un accès aux données contrôlées par des entreprises américaines, peu importe où ces données sont physiquement stockées dans le monde. Plusieurs années plus tard, Bruxelles a répondu avec son propre dispositif de protection : le Data Act, désormais pleinement applicable, qui tente de limiter l’accès extraterritorial des autorités de pays tiers aux données détenues dans l’Union européenne.

Voici ce que prévoient réellement ces deux textes, où ils entrent en collision, et pourquoi la seule protection véritablement robuste face à ce conflit reste l’impossibilité technique d’accès.

Le CLOUD Act américain : un accès fondé sur le contrôle, pas sur la localisation

Le CLOUD Act (Clarifying Lawful Overseas Use of Data Act), adopté en mars 2018, a modifié le droit américain en y ajoutant l’article 18 U.S. Code § 2713. Ce texte impose à tout fournisseur de service de communication électronique ou de traitement informatique à distance de préserver, sauvegarder ou divulguer le contenu d’une communication ou tout enregistrement s’y rapportant, dès lors que ces données sont en sa possession, sous sa garde ou sous son contrôle, indépendamment du fait que ces données se trouvent à l’intérieur ou à l’extérieur des États Unis.

C’est précisément cette dernière clause qui change tout. Le critère retenu n’est plus la localisation physique du serveur, mais le contrôle exercé par la société mère sur ses filiales. Une entreprise américaine opérant des centres de données en Europe reste donc soumise aux réquisitions américaines, même pour des données stockées intégralement sur le sol européen.

Le Data Act européen : une barrière juridique à l’accès extraterritorial

Le Règlement (UE) 2023/2854, dit Data Act, est entré en vigueur le 11 janvier 2024 et s’applique pleinement depuis le 12 septembre 2025, certaines dispositions étant échelonnées jusqu’en 2026 et 2027. Son article 32 encadre directement la question de l’accès gouvernemental international aux données.

Le texte établit une règle claire : toute décision ou tout jugement d’une juridiction ou d’une autorité administrative d’un pays tiers exigeant d’un fournisseur de services de traitement de données qu’il transfère ou donne accès à des données non personnelles détenues dans l’Union européenne n’est reconnu et exécutoire que s’il repose sur un accord international, tel qu’un traité d’entraide judiciaire (MLA), en vigueur entre le pays demandeur et l’Union, ou entre ce pays et l’État membre concerné.

En l’absence d’un tel accord, l’article 32 prévoit une seconde voie, mais strictement encadrée : la décision étrangère ne peut être exécutée que si le système juridique du pays tiers exige que la demande soit motivée, proportionnée, et suffisamment spécifique, par exemple en établissant un lien clair avec des personnes ou des infractions précises, et si l’objection motivée du destinataire peut être soumise au contrôle d’une juridiction compétente de ce pays tiers.

Une collision juridique directe

Le problème est immédiat : le CLOUD Act exige une divulgation fondée sur le contrôle exercé par l’entreprise mère, sans condition de proportionnalité comparable à celle exigée par le droit européen. Le Data Act, à l’inverse, subordonne la reconnaissance d’une telle demande à l’existence d’un accord international ou à des garanties procédurales précises. Une entreprise américaine opérant en Europe, sommée par une autorité américaine de transmettre des données hébergées dans l’Union, se retrouve donc prise entre deux obligations légales contradictoires : se conformer au mandat américain en violant le droit de l’Union, ou respecter le Data Act en s’exposant aux conséquences d’un refus aux États Unis.

Cette tension n’est pas théorique. Elle a déjà été documentée par la Cour de justice de l’Union européenne (CJUE) dans deux décisions majeures, Schrems I (2015) et Schrems II (2020). Dans l’arrêt Schrems II, la CJUE a jugé que la surveillance américaine menée au titre de la Section 702 du FISA (Foreign Intelligence Surveillance Act) et de l’Executive Order 12333 ne respecte pas les garanties minimales exigées par le droit de l’Union au titre du principe de proportionnalité, et ne peut donc pas être considérée comme limitée à ce qui est strictement nécessaire. La Cour a également relevé l’absence de voie de recours juridictionnel effective pour les personnes concernées de l’Union, en violation de l’article 47 de la Charte des droits fondamentaux. Cette décision a invalidé le cadre du Privacy Shield, qui organisait jusque là les transferts de données entre l’UE et les États Unis.

Le risque structurel : Harvest Now, Decrypt Later

Au delà du conflit de juridictions, une menace plus insidieuse pèse sur les données hébergées dans des infrastructures soumises au droit américain : la stratégie dite Harvest Now, Decrypt Later (HNDL). Le principe consiste, pour un service de renseignement ou un acteur étatique hostile, à intercepter et stocker dès aujourd’hui des données chiffrées, dans l’attente de capacités de calcul quantique suffisantes pour les déchiffrer dans le futur.

Cette stratégie transforme toute dépendance prolongée envers une infrastructure cloud américaine en une dette de sécurité différée : ce qui est confidentiel aujourd’hui peut devenir lisible dans dix ou quinze ans, sans qu’aucune action supplémentaire ne soit nécessaire de la part de l’attaquant, seulement le temps et la patience.

Pourquoi seule l’impossibilité technique constitue une vraie garantie

L’analyse juridique converge vers un constat partagé par de nombreux experts en conformité : aussi solide soit le cadre légal du Data Act, il reste un texte que les rapports de force géopolitiques et les pressions diplomatiques peuvent contourner, retarder ou réinterpréter. La seule protection qui ne dépend d’aucune négociation future est l’impossibilité technique d’exécution.

Une architecture zero knowledge, où le prestataire ne détient ni la possession ni la garde des clés de déchiffrement, rend une réquisition matériellement inopérante. On ne peut pas être contraint de remettre ce que l’on ne possède jamais.

C’est la logique qui structure des écosystèmes comme Arpokrat :

Neutralisation juridictionnelle : l’infrastructure est hébergée en Suisse, sous le régime de la loi fédérale sur la protection des données (LPD/FADP), hors du champ d’application directe de l’extraterritorialité du CLOUD Act
Absence de garde : l’architecture zero knowledge prive le prestataire de toute capacité à remettre des clés ou des contenus qu’il ne détient jamais
Réduction de l’empreinte identitaire : en supprimant l’obligation d’inscription par numéro de téléphone ou adresse e-mail, des identifiants que la surveillance fondée sur la Section 702 du FISA peut suivre aisément, l’utilisateur cesse d’être un abonné identifiable pour devenir une clé cryptographique anonyme

La chaîne de garde ne s’arrête pas au chiffrement des messages

Un point souvent sous-estimé dans les analyses de conformité : il ne suffit pas de chiffrer le contenu d’une communication si le système d’exploitation sous jacent, qu’il s’agisse d’Android ou d’iOS, continue de capturer des métadonnées ou de la télémétrie au niveau du noyau, à destination de serveurs relevant de la juridiction américaine. La protection du secret exige une fermeture complète de la chaîne de garde, du contenu jusqu’à l’infrastructure matérielle elle même.

C’est pour cette raison que la souveraineté numérique implique aussi une réflexion sur le système d’exploitation utilisé, pas seulement sur les applications de messagerie. Des systèmes dégooglisés, où des modules comme le Bluetooth ou la géolocalisation GNSS peuvent être désactivés directement au niveau du noyau, éliminent des vecteurs d’attaque physiques qu’aucun chiffrement applicatif ne peut compenser.

La cryptographie post quantique, un horizon déjà engagé

Face à la menace que représente la stratégie HNDL, l’adoption de standards de cryptographie post quantique (PQC) devient une nécessité pour quiconque souhaite garantir la confidentialité de données sensibles sur le long terme, qu’il s’agisse de secrets d’affaires, de correspondances professionnelles ou de données de santé. Un chiffrement jugé robuste aujourd’hui selon les standards classiques ne garantit pas qu’il résistera aux capacités de calcul quantique attendues dans les quinze prochaines années.

Le conflit entre le Data Act et le CLOUD Act illustre une réalité plus large : la souveraineté numérique ne peut plus se construire uniquement sur des textes de loi, aussi solides soient ils. Elle exige une fermeture de la chaîne de garde à chaque niveau, du protocole de chiffrement jusqu’à la juridiction d’hébergement, en passant par le système d’exploitation lui même. C’est cette approche par couches, plutôt qu’une confiance reposant sur un seul cadre réglementaire, qui définit aujourd’hui une véritable souveraineté numérique par conception.

La fin de la confidentialité ? Backdoors, Online Safety Act et la réponse des écosystèmes souverains

Wed, 10 Jun 2026 00:00:00 +0000

Londres est devenue l’épicentre d’une bataille mondiale pour l’avenir de la vie privée numérique. Avec l’adoption de l’Online Safety Act 2023 (OSA) et les récentes propositions de révision de l’Investigatory Powers Act (IPA) — surnommé par ses détracteurs la « Charte des espions » —, le gouvernement britannique s’arroge le droit d’imposer des obligations de surveillance au cœur même des communications privées. Le point de rupture est le pouvoir conféré au régulateur OFCOM pour exiger que les plateformes déploient une « technologie accréditée » afin de détecter les contenus d’abus sexuels sur mineurs (CSEA) ou de terrorisme, y compris dans les communications chiffrées de bout en bout.

Pour les grandes plateformes numériques, le message de Westminster est sans ambiguïté : soit elles ménagent un accès étatique à leurs infrastructures, soit elles s’exposent à des amendes pouvant atteindre 10 % de leur chiffre d’affaires mondial. La réponse a été immédiate : des services comme Signal et WhatsApp ont publiquement menacé de se retirer du marché britannique, refusant de compromettre la sécurité de leurs utilisateurs pour satisfaire une seule juridiction. L’argument technique est difficilement contestable : il n’existe pas de clé maîtresse réservée aux seuls acteurs légitimes. Une porte ouverte pour les forces de l’ordre est, par construction, une porte ouverte pour les cybercriminels et les services de renseignement étrangers.

Le modèle économique des grandes plateformes : un obstacle structurel au Zero-Knowledge

La résistance des grandes plateformes à l’adoption du chiffrement de type Zero-Knowledge ne s’explique pas par une incapacité technique, mais par une incompatibilité économique fondamentale. Des entreprises comme Alphabet et Meta reposent sur des modèles de monétisation fondés sur la collecte systématique de données comportementales. Ce modèle est d’ailleurs implicitement reconnu par le Règlement sur les marchés numériques (DMA) de l’Union européenne, qui qualifie ces « contrôleurs d’accès » (gatekeepers) d’entités dont la position dominante est précisément alimentée par l’accumulation de données à une échelle sans équivalent. Pour ces acteurs, adopter une architecture Zero-Knowledge reviendrait à priver leurs systèmes publicitaires de l’identification continue des utilisateurs qui en constitue le carburant. Il ne s’agit donc pas d’un choix technique, mais d’un arbitrage entre la confidentialité des utilisateurs et la viabilité de leur modèle d’affaires.

Le risque stratégique : la menace « Harvest Now, Decrypt Later »

Au-delà du débat sur la vie privée, l’affaiblissement du chiffrement soulève une question de sécurité nationale d’une tout autre portée. La stratégie dite Harvest Now, Decrypt Later (HNDL) consiste, pour des adversaires étatiques, à intercepter et stocker aujourd’hui des volumes massifs de communications chiffrées, dans l’attente de capacités de déchiffrement quantique futures. En fragilisant les standards de chiffrement actuels, le cadre législatif britannique facilite objectivement ce type d’opérations contre des communications gouvernementales, diplomatiques ou industrielles.

C’est précisément dans ce contexte de déficit de confiance que des écosystèmes comme celui d’Arpokrat acquièrent une pertinence opérationnelle. En opérant sous le régime de la Loi fédérale sur la protection des données (LPD/FADP) suisse, avec une architecture ne collectant aucun identifiant civil, Arpokrat offre une rupture technique d’avec les infrastructures soumises à la juridiction britannique — garantissant que le système reste inaudible face aux injonctions prévues par l’OSA.

Le conflit de normes : OSA et IPA contre le droit européen

L’analyse juridique des nouvelles prérogatives étatiques britanniques révèle une collision directe avec les fondements du droit européen à la protection des données et à la confidentialité des communications.

OSA contre l’interdiction de surveillance généralisée

L’article 121 de l’OSA introduit la possibilité pour OFCOM d’émettre des injonctions contraignant les plateformes à mettre en œuvre un balayage côté client (client-side scanning). Cette mesure contrevient frontalement au principe, issu du droit européen et repris dans la jurisprudence de la CJUE, interdisant les obligations générales de surveillance. En imposant une « vulnérabilité par conception », elle place également les entreprises dans une situation de double contrainte : en affaiblissant leur sécurité pour se conformer à un mandat étatique, elles manquent à leur obligation de garantir un niveau de sécurité approprié au traitement, consacrée par l’article 32 du RGPD.

La Directive ePrivacy et la confidentialité des communications

Le balayage des messages privés entre en contradiction directe avec l’article 5, paragraphe 1, de la Directive 2002/58/CE (ePrivacy), qui oblige les États membres à garantir la confidentialité des communications électroniques et interdit toute forme d’interception ou de surveillance sans le consentement explicite des utilisateurs concernés.

Les Technical Capability Notices et le blocage des mises à jour de sécurité

Sous le régime de l’IPA 2016, le gouvernement britannique entend désormais utiliser les Technical Capability Notices (TCN) pour s’opposer à des mises à jour de sécurité avant leur déploiement. Ce mécanisme crée un conflit insoluble avec l’obligation, posée par l’article 32 du RGPD, d’assurer en continu la sécurité des systèmes de traitement — une obligation qui exige précisément la capacité d’appliquer des correctifs sans délai ni interférence extérieure.

Risques de conformité pour les entreprises opérant en Europe

Les révisions de l’IPA visent à contraindre les entreprises à notifier le gouvernement britannique de toute modification technique affectant la sécurité, avant sa mise en œuvre, lui conférant ainsi un droit de veto sur l’évolution des produits. Cette ingérence crée une insécurité juridique considérable pour les fournisseurs opérant sur le marché européen : l’adéquation britannique au droit européen — déjà fragile — pourrait être remise en cause si le Royaume-Uni ne garantit plus une protection substantiellement équivalente à celle du RGPD. Les transferts de données vers le Royaume-Uni dans ce nouveau cadre seraient dès lors susceptibles d’exposer les entreprises à des sanctions au titre du RGPD.

La défense par l’impossibilité technique : le principe Zero-Knowledge comme bouclier juridique

La jurisprudence internationale, consolidée par les arrêts Schrems I et Schrems II de la CJUE, a établi un principe déterminant : la seule sauvegarde robuste contre une surveillance disproportionnée est l’impossibilité technique d’y accéder. Des architectures Zero-Knowledge déclinent ce principe en trois couches de protection :

Absence de garde : la plateforme ne détenant pas les clés de déchiffrement, toute injonction de balayage des messages est techniquement inopérante ;
Souveraineté du système d’exploitation : le contrôle d’ArpokratOS supprime la télémétrie qui alimente la collecte de renseignements au niveau du terminal ;
Ancrage juridictionnel suisse : en hébergeant son infrastructure en Suisse, Arpokrat opère sous un régime légal exigeant des demandes d’entraide judiciaire individualisées et motivées, neutralisant l’exécution automatisée des balayages de masse prévus par l’OSA.

Conclusion

Les dispositions de l’OSA et les révisions de l’IPA ne constituent pas seulement une menace pour la vie privée des individus : elles représentent une rupture de la sécurité juridique pour l’ensemble des données européennes transitant par des infrastructures soumises à la juridiction britannique. En légitimant la fragilisation du chiffrement au nom de la sécurité publique, Londres expose paradoxalement ses alliés et partenaires commerciaux à des risques d’espionnage industriel et étatique que les architectures Zero-Knowledge sont précisément conçues pour prévenir.

L’intégrité des communications professionnelles et institutionnelles exige désormais une réponse structurelle : la migration vers des écosystèmes décentralisés garantissant la souveraineté numérique, du niveau du code jusqu’à l’ancrage juridictionnel.

La Bombe à Retardement : Collecter maintenant, déchiffrer plus tard et l'Impératif Zero-Knowledge

Tue, 26 May 2026 00:00:00 +0000

La dépendance des gouvernements européens aux infrastructures cloud américaines ne pose pas seulement un problème d’interception immédiate. La grande révélation, la menace la plus dévastatrice pour les décennies à venir, est ce que les spécialistes du renseignement appellent la stratégie HNDL : « Harvest Now, Decrypt Later » (Collecter maintenant, déchiffrer plus tard).

Il ne s’agit pas d’une intrusion frontale, mais d’un vol silencieux. Les agences de renseignement et les adversaires étatiques interceptent et stockent aujourd’hui d’immenses quantités de données chiffrées, simplement parce que le coût du stockage est devenu dérisoire.

Ils attendent patiemment le moment où les bonds technologiques et l’évolution imprévisible de la puissance de calcul rendront les clés cryptographiques actuelles obsolètes. Ce qui constitue un secret d’État protégé en 2026 pourrait devenir un livre ouvert dans quinze ou vingt ans.

La Responsabilité Rétroactive et le Risque Temporel

Le modèle HNDL introduit une notion inédite : le préjudice juridique différé. Traditionnellement, une violation du secret est un événement statique. Avec la collecte massive de données en vue d’un déchiffrement futur, la confidentialité devient une variable dépendante du temps.

Pour quantifier ce risque, le modèle scientifique HNDL définit que la confidentialité échoue inévitablement lorsque la durée de vie nécessaire du secret dépasse l’horizon de déchiffrement de l’adversaire. Les secteurs d’exposition critique — comme le renseignement d’État, le secret industriel et les dossiers médicaux dont la conservation dépasse souvent 30 ans — se trouvent aujourd’hui dans un état de vulnérabilité latente.

Si un État ou une organisation ne garantit pas la souveraineté absolue de son infrastructure matérielle, il est, en pratique, en train de signer une renonciation à la confidentialité à long terme de ses citoyens et de ses institutions.

L’interception d’aujourd’hui est la compromission de demain. Transformer la dépendance au cloud en une dette de sécurité nationale est un pari impossible à rembourser.

L’Antithèse Arpokrat : L’Impossibilité Juridique par le Code

Face à cette vulnérabilité, l’industrie répond par la création d’écosystèmes de souveraineté numérique radicaux. Le modèle Arpokrat apparaît comme l’antithèse parfaite des messageries centralisées : au lieu de « maquiller » la sécurité sur des serveurs étrangers soumis au CLOUD Act, cette architecture fonctionne sur un réseau décentralisé, protégé par la très stricte Loi fédérale sur la protection des données (nLPD / FADP) en Suisse.

La logique centrale est celle d’une Privacy by Design absolue. En supprimant la nécessité de fournir un numéro de téléphone ou un e-mail, l’utilisateur devient une simple clé cryptographique, dénuée d’identité physique.

Sur le plan juridique, cela modifie drastiquement les règles du jeu. Un tribunal américain peut ordonner la remise de données à une entreprise relevant de sa juridiction, mais si l’architecture est fondamentalement Zero-Knowledge et non-custodiale, l’entreprise se retrouve face à une impossibilité technique d’exécution.

Il ne s’agit pas de désobéissance civile face aux lois extraterritoriales, mais d’une sauvegarde mathématique et juridique imparable : ce que l’on ne détient pas ne peut pas être divulgué.

Au-delà du Chiffrement : Dévaluer la Donnée Cible

Face à l’imprévisibilité des avancées technologiques des prochaines décennies, prétendre au “risque zéro” est une illusion. La véritable réponse, intégrée nativement dans l’application de messagerie Arpokrat, ne consiste pas à parier sur des mathématiques éternelles, mais à dévaluer la donnée elle-même.

Si un adversaire parvient un jour à briser les algorithmes grâce à une puissance de calcul inédite, notre architecture garantit qu’il ne trouvera qu’un réseau de communications anonymes. Sans métadonnées centrales, sans numéros de téléphone et sans historiques d’adresses IP pour relier un message à un individu physique, le contenu chiffré perd sa valeur stratégique car il devient inattribuable.

Cependant, le logiciel seul ne peut rien si le matériel le trahit en amont.

En dernière analyse, la sécurité au XXIᵉ siècle exige l’indépendance de la machine elle-même. L’utilisation de systèmes d’exploitation dégooglisés — avec une protection blindée au niveau du noyau (kernel) et l’élimination totale de la télémétrie étrangère — ne relève plus du militantisme de niche. Déployer un OS souverain est devenu une exigence de survie absolue pour quiconque manipule des secrets professionnels, industriels ou étatiques.