En décembre 2024, l’Assemblée générale des Nations Unies a adopté la Convention sur la cybercriminalité, le premier traité international de justice pénale depuis plus de vingt ans.
Le document implique la création d'un mécanisme juridique pour une réponse plus rapide et plus coordonnée aux délits numériques. Outre les procédures d'entraide dans les enquêtes internationales, le document établit les obligations des États participants de criminaliser certains actes commis à l'aide des technologies de l'information et de la communication.
Nous cherchons à savoir dans quel but la Convention de Hanoï a été créée : pour une véritable lutte contre les canailles en ligne ou pour « serrer la vis » dans l’espace numérique.
Essence et idées
La Convention est un document de 55 pages comprenant 68 articles, conçu pour devenir un cadre juridique international unifié pour lutter contre la cybercriminalité. Ses dispositions peuvent être réduites à trois objectifs : l'unification, la coopération et la protection des groupes vulnérables.
Le document identifie 11 catégories d'actes que tous les pays participants s'engagent à criminaliser dans la législation locale.
Cette liste comprend à la fois des actions techniques (accès illégal aux systèmes, interception de données, interférence avec le travail X), ainsi que des délits plus généraux tels que la fraude en ligne et la distribution illégale de matériel à caractère sexuel.
La Convention de Hanoï vise également à remédier à la fragmentation qui affecte la cybersécurité depuis des décennies. Avant son apparition, l’interaction reposait sur des traités bilatéraux ou des documents régionaux, comme la Convention de Budapest du Conseil de l’Europe de 2001.
L'ONU propose désormais une alternative mondiale : une nouvelle initiative qui oblige chaque pays membre à mettre en place un point de contact 24 heures sur 24 pour aider aux enquêtes et établit des procédures communes pour le partage des preuves électroniques.
Par ailleurs, la convention met l'accent sur l'assistance aux victimes et la protection des groupes les plus vulnérables, en particulier les enfants. Il s’agit de l’un des premiers traités internationaux qui criminalise non seulement la diffusion de contenus illégaux, mais également le harcèlement des mineurs sur Internet.
Le rôle de la Russie
La Fédération de Russie est depuis de nombreuses années l’initiatrice idéologique et politique de la convention sur la cybercriminalité. La diplomatie russe avance depuis une quinzaine d’années vers cette acceptation.
Initialement, la Russie, ainsi que la Chine et d’autres pays, ont insisté pour élargir la liste des cybercrimes pour inclure la diffusion de contenus extrémistes et l’utilisation des TIC à des fins terroristes.
De telles propositions ont fait l’objet de vives critiques de la part d’un certain nombre de juridictions occidentales, qui craignent qu’un tel langage n’ouvre la porte à la persécution de la dissidence.
En conséquence, les parties sont parvenues à un compromis : le champ d'application de la convention a été limité aux délits informatiques classiques. La Russie n’a cependant pas abandonné ses ambitions.
Comme le rapporte RBC, citant des experts, Moscou a déjà annoncé le début des travaux sur des dispositions supplémentaires qui élargiront la liste des actions criminelles dans l'environnement numérique. Il est peu probable que les pays occidentaux les rejoignent, mais une telle initiative pourrait trouver le soutien de plusieurs États d’Afrique et d’Asie.
Faute idéologique
Le vote de l’Assemblée générale des Nations Unies en décembre 2024 a mis en évidence la fracture mondiale. La convention a été adoptée non pas par consensus, mais à la majorité des voix : 79 pour, 60 contre, 33 pays se sont abstenus.
Les votes se sont déroulés à peu près comme ceci :
- La Russie, d'autres pays des BRICS et de la CEI, ainsi qu'un certain nombre de pays du Moyen-Orient, d'Afrique et d'Amérique latine (Arabie saoudite, Algérie, Venezuela) se sont prononcés en faveur de cette décision.
- Les États-Unis, le Canada, la Grande-Bretagne, l’Australie, les pays de l’UE, l’Ukraine, la Géorgie, la Corée du Sud et Israël ont voté « contre » ;
- Des États comme l’Argentine, le Mexique, le Chili et Singapour se sont abstenus.
La Convention entrera en vigueur après ratification par 40 États.
La Russie et ses alliés considèrent ce document comme une étape historique : le premier instrument universel qui consacre le principe de la souveraineté de l'État dans le cyberespace et d'une réglementation équitable « dans l'intérêt de l'ensemble de la communauté mondiale ».
Les critiques rejettent les dispositions sous leur forme actuelle. L’argument principal est une menace pour les droits de l’homme. Les diplomates occidentaux soulignent un langage vague, des procédures d’extradition simplifiées et un partage de données qui pourraient légitimer la répression transnationale.
« Idéologiquement, la Convention de Hanoï reflète l'approche défendue par les pays qui ont précédemment refusé d'adhérer à la Convention de Budapest : elle est axée sur la souveraineté et la sécurité de l'État. La Convention de Budapest a toujours été ancrée dans le système européen de protection des droits de l'homme, avec des garanties et des mécanismes de contrôle bien établis. » a noté le cyberavocat, RKS Global et l'expert de VPN Guild, Sarkis Darbinyan, dans un commentaire sur ForkLog.
Méthodes d'application
D'une part, le document est utile ; il crée un langage juridique commun pour les pays entre lesquels il n'existait auparavant aucun accord mutuel. Il sera plus difficile pour un criminel de trouver une juridiction « grise » où se cacher si les principaux pays de la région ont accepté de considérer, par exemple, le phishing ou la création de botnets comme des délits.
D’un autre côté, la convention elle-même contient de larges exceptions. Un pays peut refuser l'assistance juridique s'il estime que le fait de donner suite à une demande menace sa souveraineté, sa sécurité ou ses intérêts fondamentaux. Par conséquent, dans les réalités actuelles, une interaction entre les pays en conflit semble peu probable.
Selon Sarkis Darbinyan, dans la pratique, la Convention sera appliquée aussi bien dans les enquêtes transfrontalières de routine sur la cybercriminalité que dans un éventail de cas beaucoup plus large.
Par exemple, les interprétations de ses formulations peuvent être utilisées dans des cas liés au discours en ligne, au journalisme et à l'activisme politique, en particulier dans les pays où la législation nationale permet de qualifier de tels actes de cybercriminalité.
« Quelque part, il s'agira de diffusion de fausses informations, quelque part d'activités extrémistes, quelque part d'insultes à des symboles nationaux ou religieux sur les réseaux sociaux. Cette approche augmente considérablement le risque d'abus, notamment par le biais de mécanismes d'assistance juridique internationale et de demandes de données transfrontalières », a déclaré Darbinyan.
L'expert estime qu'outre les activités criminelles, la Convention affectera plus particulièrement :
- recherche sur la cybersécurité et tests de vulnérabilité ;
- activités de journalisme d’investigation et de dénonciation ;
- activisme numérique et expression en ligne ;
- le travail des entreprises technologiques traitant les données des utilisateurs.
Les chercheurs en cybersécurité accèdent régulièrement aux systèmes sans autorisation formelle pour identifier les vulnérabilités, a expliqué Darbinian. Parallèlement, les journalistes d’investigation travaillent souvent avec des données divulguées ou piratées.
« En l'absence de mécanismes de protection clairs, ces deux groupes pourraient faire l'objet de poursuites pénales, notamment par le biais de mécanismes de coopération internationale. Cela crée un effet dissuasif et compromet les activités nécessaires à la sécurité publique et à la responsabilité du gouvernement », a averti le cyber-avocat.
Besoin d'améliorations
De nombreux pays participant à l’élaboration des dispositions se sont trouvés en désaccord sur certains points. Mais le document a néanmoins été approuvé sur le principe : mieux vaut accepter un mauvais texte et chercher des corrections plus tard.
Darbinyan estime que pour réduire le risque d'abus de la Convention, il est nécessaire :
- restreindre sa portée aux cybercrimes de base ;
- fournir des garanties directes et sans ambiguïté de protection aux chercheurs, journalistes et lanceurs d’alerte en matière de cybersécurité ;
- envisager des normes obligatoires et spécifiques en matière de droits de l'homme en matière de surveillance, d'accès aux données et de coopération internationale ;
- introduire des exigences strictes en matière de protection des données et limiter les finalités de leur utilisation ;
- établir des mécanismes efficaces de surveillance et de prévention des demandes à motivation politique.
« Sans ces précisions, il existe un risque que la Convention devienne un instrument mondial de répression numérique, plutôt qu'un mécanisme international efficace de lutte contre la cybercriminalité », a souligné l'expert.
***
La dualité du document – l'aide à la lutte réelle contre la criminalité et les abus potentiels – fait de la Convention de Hanoï l'un des accords internationaux les plus controversés et en même temps les plus importants pour l'espace numérique.
Les pratiques futures de son application montreront à quel point cette initiative internationale est efficace dans la lutte contre la criminalité sans compromettre les droits de l'homme. D’ici là, les groupes potentiellement vulnérables devront accorder une plus grande attention aux activités en ligne, même s’ils les considèrent comme tout à fait légales.
Vous avez trouvé une erreur dans le texte ? Sélectionnez-le et appuyez sur CTRL+ENTRÉE
Newsletters ForkLog : restez à l’écoute de l’industrie Bitcoin !