—

vu le traité sur l’Union européenne (traité UE), et notamment ses articles 2, 4, 6 et 21,

—

vu les articles 16, 223, 225 et 226 du traité sur le fonctionnement de l’Union européenne (traité FUE),

—

vu la charte des droits fondamentaux de l’Union européenne (ci-après dénommée «charte»), et notamment ses articles 7, 8, 11, 17, 21, 41, 42 et 47,

—

vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (1) (directive «vie privée et communications électroniques»),

—

vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (2),

—

vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (3),

—

vu la directive 2013/40/UE du Parlement européen et du Conseil du 12 août 2013 relative aux attaques contre les systèmes d’information et remplaçant la décision-cadre 2005/222/JAI du Conseil (4) (la «directive sur la cybercriminalité»),

—

vu le règlement (UE) 2021/821 du Parlement européen et du Conseil du 20 mai 2021 instituant un régime de l’Union de contrôle des exportations, du courtage, de l’assistance technique, du transit et des transferts en ce qui concerne les biens à double usage (5) (le «règlement sur les biens à double usage»),

—

vu la décision (PESC) 2019/797 du Conseil du 17 mai 2019 concernant des mesures restrictives contre les cyberattaques qui menacent l’Union ou ses États membres (6), telle que modifiée par la décision (PESC) 2021/796 du Conseil du 17 mai 2021  (7),

—

vu l’acte portant élection des membres du Parlement européen au suffrage universel direct (8),

—

vu la décision 95/167/CE, Euratom, CECA du Parlement européen, du Conseil et de la Commission du 6 mars 1995 portant modalités d’exercice du droit d’enquête du Parlement européen (9),

—

vu la décision (UE) 2022/480 du Parlement européen du 10 mars 2022 sur la constitution, l’objet de l’enquête, les compétences, la composition numérique et la durée du mandat de la commission d’enquête chargée d’enquêter sur l’utilisation de Pegasus et de logiciels espions de surveillance équivalents (10),

—

vu la directive (UE) 2018/843 du Parlement européen et du Conseil du 30 mai 2018 modifiant la directive (UE) 2015/849 relative à la prévention de l’utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme, ainsi que les directives 2009/138/CE et 2013/36/UE (11) (la «directive anti-blanchiment»),

—

vu la proposition de règlement du Parlement européen et du Conseil du 16 septembre 2022 établissant un cadre commun pour les services de médias dans le marché intérieur (législation européenne sur la liberté des médias) et modifiant la directive 2010/13/UE (COM(2022)0457),

—

vu l’article 12 de la déclaration universelle des droits de l’homme,

—

vu l’arrêt de la Cour de justice de l’Union européenne (CJUE) dans l’affaire C-37/20 (12) sur la directive anti-blanchiment établissant que la disposition prévoyant que les informations sur les bénéficiaires effectifs des sociétés constituées sur le territoire des États membres soient accessibles dans tous les cas à tout membre du grand public est invalide,

—

vu l’article 17 du pacte international relatif aux droits civils et politiques,

—

vu la charte des Nations unies et les principes directeurs relatifs aux entreprises et aux droits de l’homme des Nations unies (13),

—

vu la déclaration de la Haute-Commissaire des Nations unies aux droits de l’homme, Michelle Bachelet, du 19 juillet 2022 sur «l’utilisation de logiciels espions pour surveiller les journalistes et les défenseurs des droits de l’homme»,

—

vu le commentaire de la Commissaire aux droits de l’homme du Conseil de l’Europe, Dunja Mijatovic, du 27 janvier 2023 intitulé «Des logiciels espions très intrusifs menacent l’essence des droits humains»  (14),

—

vu les remarques préliminaires du 15 février 2022 du Contrôleur européen de la protection des données sur les logiciels espions modernes (15),

—

vu la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, et notamment ses articles 8, 10, 13, 14 et 17, ainsi que ses protocoles,

—

vu l’évaluation, réalisée par Europol pour 2021, de la menace que représente la grande criminalité organisée dans l’Union européenne et intitulée «A Corrupting Influence: The infiltration and undermining of Europe’s economy and society by organised crimes» (Économie et société européennes sous influence: l’insidieux travail de sape de la criminalité organisée),

—

vu le rapport 2017 de l’Agence des droits fondamentaux de l’Union européenne (FRA) intitulé «Surveillance par les services de renseignement: protection des droits fondamentaux et voies de recours dans l’Union européenne», et les mises à jour présentées le 28 février 2023 à la commission d’enquête chargée d’enquêter sur l’utilisation de Pegasus et de logiciels espions de surveillance équivalents (PEGA),

—

vu sa résolution du 12 mars 2014 sur le programme de surveillance de la NSA, les organismes de surveillance dans divers États membres et les incidences sur les droits fondamentaux des citoyens européens et sur la coopération transatlantique en matière de justice et d’affaires intérieures (16) et, en particulier, les recommandations qu’elle contient sur le renforcement de la sécurité informatique dans les institutions, organes et agences de l’Union,

—

vu l’avis 24/2022 du CEPD du 11 novembre 2022 sur la législation européenne sur la liberté des médias,

—

vu le glossaire relatif aux logiciels malveillants et aux logiciels espions élaboré par l’Agence de l’Union européenne pour la cybersécurité (ENISA),

—

vu la décision du Médiateur européen sur la manière dont la Commission européenne a évalué les incidences en matière de droits de l’homme avant d’aider les pays africains à développer leurs capacités de surveillance (affaire 1904/2021/MHZ),

—

vu la déclaration du 2 février 2023 de Mme Irene Kahn, rapporteure spéciale des Nations unies sur la promotion et la protection du droit à la liberté d’opinion et d’expression, et de M. Fernand de Varennes, rapporteur spécial des Nations unies sur les questions relatives aux minorités, exigeant une enquête sur les allégations relatives à un programme d’espionnage ciblant des dirigeants catalans (17),

—

vu le rapport de la Commission européenne pour la démocratie par le droit (Commission de Venise) sur le contrôle démocratique des services de sécurité (18) et à son avis intitulé «Pologne: avis relatif à la loi du 15 janvier 2016 portant modification de la loi sur la police et de certaines autres lois»  (19),

—

vu le rapport de la commission d’enquête chargée d’enquêter sur l’utilisation de Pegasus et de logiciels espions de surveillance équivalents (A9-0189/2023),

—

vu l’article 208, paragraphe 12, de son règlement intérieur,

A.

considérant que, grâce aux efforts de CitizenLab et d’Amnesty Tech ainsi que de nombreux journalistes d’investigation, il a été démontré que les pouvoirs publics de plusieurs pays, des États membres comme des pays tiers, ont utilisé Pegasus et d’autres logiciels espions de surveillance équivalents contre des journalistes, des responsables politiques, des agents des services de répression, des diplomates, des avocats et des acteurs du monde des affaires et de la société civile, entre autres, à des fins politiques, voire criminelles; que de telles pratiques sont extrêmement préoccupantes et témoignent du risque d’utilisation abusive de technologies de surveillance en vue de porter atteinte aux droits de l’homme fondamentaux, aux processus électoraux et à la démocratie;

B.

considérant que chaque fois que le terme «logiciel espion» est mentionné dans le rapport, il signifie «Pegasus et logiciels espions de surveillance équivalents» au sens de la décision du Parlement instituant la commission PEGA;

C.

considérant qu’il a été constaté que des acteurs institutionnels ont délibérément utilisé des logiciels espions de manière trompeuse en ayant recours à des logiciels espions qui peuvent se faire passer pour un programme, un fichier ou un contenu inoffensif («cheval de Troie»), comme un faux message émanant d’institutions publiques; que, dans certains cas, les autorités publiques ont utilisé des opérateurs de téléphonie pour transférer des contenus malveillants sur l’appareil des personnes prises pour cible; que les logiciels espions peuvent être déployés en exploitant des vulnérabilités «jour zéro» sans interaction de la cible avec du contenu infecté, et qu’ils peuvent effacer toute trace de leur présence après avoir été désinstallés et anonymiser le lien entre des opérateurs à distance et un serveur;

D.

considérant qu’aux débuts des communications mobiles, l’écoute clandestine passait par l’interception d’appels et, plus tard, de SMS dans leur format brut;

E.

considérant que l’apparition des applications de communication mobile chiffrée a alimenté l’émergence d’une industrie du logiciel espion qui exploite les vulnérabilités des systèmes d’exploitation des smartphones pour y installer des logiciels capables d’importer des logiciels espions, notamment au moyen d’attaques dites «zéro clic», qui sont exécutées à l’insu de l’utilisateur et ne nécessitent aucune intervention de sa part, et pour permettre ainsi l’extraction de données avant le chiffrement; que, du fait même de la conception de tels logiciels espions «zéro clic», leur utilisation est extrêmement difficile à contrôler efficacement dans la pratique;

F.

considérant que l’échange d’informations sur les vulnérabilités de systèmes logiciels fait l’objet d’un commerce direct entre différentes parties ou est facilité par des intermédiaires; que ce commerce implique aussi des acteurs non étatiques et des organisations criminelles;

G.

considérant que l’acquisition, le commerce et l’accumulation de vulnérabilités «jour zéro» compromettent les fondements mêmes de l’intégrité et de la sécurité des communications des citoyens de l’Union et leur cybersécurité;

H.

considérant que la surveillance par logiciel espion devrait rester exceptionnelle et toujours être subordonnée à une autorisation judiciaire préalable effective, contraignante et pertinente accordée par une autorité judiciaire impartiale et indépendante, qui doit garantir que la mesure est nécessaire, proportionnée et strictement limitée aux cas touchant à la sécurité nationale, au terrorisme et aux formes graves de criminalité; que les techniques de surveillance risquent d’être utilisées de manière abusive dans les environnements dépourvus de réels contre-pouvoirs;

I.

considérant que toute surveillance par logiciel espion doit faire l’objet d’un examen ex post par une autorité de contrôle indépendante qui doit s’assurer que toute activité de surveillance autorisée est exécutée dans le respect des droits fondamentaux et conformément aux conditions fixées par la CJUE, la Cour européenne des droits de l’homme (CEDH) et la Commission de Venise; que cette autorité de contrôle chargée de l’examen ex post devrait immédiatement mettre fin à la surveillance s’il est établi que celle-ci est incompatible avec les droits et les conditions susmentionnés;

J.

considérant que toute surveillance par logiciel espion non conforme aux conditions fixées par le droit de l’Union et la jurisprudence de la CJUE et de la CEDH est contraire aux valeurs consacrées par l’article 2 du traité UE et aux droits fondamentaux consacrés par la charte, notamment par ses articles 7, 8, 11, 17, 21 et 47, qui soulignent les droits, qui reconnaissent des droits, libertés et principes spécifiques tels que le respect de la vie privée et familiale, la protection des données à caractère personnel, la liberté d’expression et d’information, le droit à la propriété, le droit à la non-discrimination, ainsi que le droit à un recours effectif et le droit d’accéder à un tribunal impartial, et la présomption d’innocence;

K.

considérant que les droits des personnes prises pour cible sont inscrits dans la charte et les conventions internationales, notamment le droit à la vie privée et le droit à accéder à un tribunal impartial, ainsi que dans les réglementations de l’Union relatives aux droits des suspects et des accusés; que ces droits ont été confirmés par la jurisprudence de la CJUE et de la Cour européenne des droits de l’homme;

L.

considérant que la surveillance ciblée des femmes peut avoir des répercussions particulièrement graves, car les autorités peuvent exploiter le contrôle social accru dont les femmes font l’objet pour transformer en armes les données privées et intimes extraites au moyen de logiciels espions à des fins de diffamation;

M.

considérant qu’il ressort des témoignages de personnes ciblées que même s’il existe des voies de recours et des droits civils en théorie, celles-ci sont généralement vidées de leur substance par le fait que des organes des pouvoirs publics font obstruction, que le droit des personnes ciblées d’être informées n’est pas appliqué et que les personnes ciblées doivent surmonter l’obstacle administratif que constitue l’obligation de prouver qu’ils ont été pris pour cible; que, même dans les systèmes dotés procédures rapides et transparentes, il est très difficile, en raison de la nature même des logiciels espions, de prouver qui est l’auteur de l’attaque et de déterminer la nature et l’ampleur de celle-ci;

N.

considérant que les tribunaux n’ont pas accepté les preuves scientifiques apportées par des experts indépendants, mais uniquement des preuves fondées sur un examen des autorités ou des services de sécurité ou de répression qui seraient à l’origine d’une attaque; que les personnes ciblées par une attaque se trouvent ainsi dans une situation paradoxale qui ne leur laisse aucune option effective pour prouver une infection par des logiciels espions;

O.

considérant que le gouvernement polonais a affaibli ou supprimé des garanties institutionnelles et juridiques, dont des procédures de contrôle et de surveillance appropriées, laissant de fait les personnes prises pour cible sans aucun moyen de recours effectif; que le logiciel espion de surveillance Pegasus a été déployé illégalement à des fins politiques pour espionner des journalistes, des responsables politiques, des avocats, des procureurs et des acteurs de la société civile;

P.

considérant que le gouvernement hongrois a affaibli ou supprimé des garanties institutionnelles et juridiques, dont des procédures de contrôle et de surveillance appropriées, laissant de fait les personnes prises pour cible sans aucun moyen de recours effectif; que le logiciel espion de surveillance Pegasus a été déployé illégalement à des fins politiques pour espionner des journalistes, des responsables de l’opposition, des avocats et des acteurs de la société civile;

Q.

considérant qu’il a été confirmé de source officielle qu’un député au Parlement européen pour la Grèce et un journaliste grec ont été mis sur écoute par le service de renseignement national grec (EYP) et ciblés par le logiciel espion Predator; qu’un ancien employé gréco-américain de Meta a été mis sur écoute par l’EYP et ciblé par le logiciel espion Predator, dont l’utilisation est illégale en vertu de la législation grecque; que, selon les médias, des députés de l’opposition et du parti au gouvernement, des militants politiques et des journalistes auraient également été la cible du logiciel espion Predator et/ou d’écoutes téléphoniques classiques par l’EYP; que le gouvernement grec nie avoir acheté ou utilisé le logiciel Predator, mais qu’il est très probable que ce dernier ait été utilisé par des personnes très proches du bureau du Premier ministre ou pour leur compte; que le gouvernement grec a admis avoir accordé des licences d’exportation à Intellexa pour la vente du logiciel espion Predator à des gouvernements répressifs, comme à Madagascar ou au Soudan; que le gouvernement a répondu au scandale par des modifications de la législation qui ont réduit davantage encore le droit des personnes ciblées d’être informées après le terme de la surveillance, et en entravant davantage encore le travail des autorités indépendantes;

R.

considérant les révélations concernant deux catégories de cibles de logiciels espions en Espagne; considérant que la première catégorie comprend le premier ministre et le ministre de la défense, le ministre de l’intérieur et d’autres hauts fonctionnaires qui seraient espionnés par le Maroc; que la seconde catégorie relève de ce que l’organisation Citizen Lab appelle le «CatalanGate» et comprend 65 personnes ciblées, dont des personnalités politiques du gouvernement régional de Catalogne, des membres du mouvement d’indépendance pro-catalan, des députés au Parlement européen, des juristes, des universitaires et des acteurs de la société civile; considérant qu’en mai 2022, les autorités espagnoles ont admis qu’elles surveillaient 18 personnes avec une autorisation judiciaire, bien qu’elles n’aient présenté aucun mandat ni d’autres informations, et que, sommées de s’expliquer sur l’utilisation de logiciels espions de surveillance en Espagne, elles ont invoqué la sécurité nationale; considérant que 47 autres personnes auraient également été ciblées, mais n’auraient reçu aucune information autre que celles provenant de Citizen Lab;

S.

considérant qu’aucune allégation d’infection par des logiciels espions n’a été confirmée à Chypre; que Chypre est un important pôle d’exportation à l’échelle européenne pour le secteur de la surveillance et jouit d’une situation attractive pour les entreprises qui vendent des technologies de surveillance;

T.

considérant que tout porte à croire que les gouvernements du Maroc et du Rwanda, entre autres, ont pris pour cible des personnalités de l’Union à l’aide de logiciels espions, notamment le président français, le premier ministre, le ministre de la défense et le ministre de l’intérieur espagnols, le premier ministre belge d’alors, l’ancien président de la Commission et l’ancien premier ministre italien, ainsi que Carine Kanimba, la fille de Paul Rusesabagina;

U.

considérant qu’il est permis de supposer sans risque que tous les États membres ont acheté ou utilisé au moins un système d’espionnage; que la plupart des gouvernements de l’Union européenne s’abstiennent d’utiliser des logiciels espions de manière illégale, mais que le risque d’abus est très concret en l’absence d’un cadre juridique solide assorti de garanties et de contrôles et compte tenu des difficultés techniques liées à la détection et à l’imputation des infections;

V.

considérant que les gouvernements et les parlements des États membres n’ont pas communiqué d’informations utiles au Parlement européen sur les cadres juridiques régissant l’utilisation de logiciels espions au-delà des informations déjà de notoriété publique, et ce en dépit de l’obligation qui leur incombe en vertu de l’article 3, paragraphe 4, de la décision du Parlement européen, du Conseil et de la Commission du 6 mars 1995 portant modalités d’exercice du droit d’enquête du Parlement européen; qu’il est difficile d’évaluer le respect de la législation de l’Union ainsi que la mise en œuvre des garanties, contrôles et voies de recours et que, partant, les droits fondamentaux des citoyens ne peuvent être protégés de manière satisfaisante;

W.

considérant que l’article 4, paragraphe 3, du traité sur l’Union européenne (TUE) dispose qu’«en vertu du principe de coopération loyale, l’Union et les États membres se respectent et s’assistent mutuellement dans l’accomplissement des missions découlant des traités»;

X.

considérant que plusieurs acteurs majeurs du secteur des logiciels espions ont obtenu la citoyenneté maltaise, ce qui facilite leurs activités dans et depuis l’Union;

Y.

considérant que de nombreux développeurs et fournisseurs de logiciels espions sont ou ont été enregistrés dans un ou plusieurs États membres; que l’on peut citer, par exemple, le groupe NSO, dont des entreprises sont implantées au Luxembourg, à Chypre, aux Pays-Bas et en Bulgarie, Thalestris Limited, la société mère d’Intellexa, implantée en Irlande, en Grèce, en Suisse et à Chypre, DSIRF, présente en Autriche, QuaDream à Chypre; Amesys et Nexa Technologies, en France, Tykelab et RCS Lab, en Italie; et FinFisher (aujourd’hui disparue) en Allemagne;

Z.

considérant que l’Union européenne ne participe pas à l’arrangement de Wassenaar relatif au contrôle des exportations des armes conventionnelles et des biens et technologies à double usage; que tous les États membres y participent, à l’exception de Chypre, qui a toutefois présenté une demande d’adhésion à l’arrangement il y a longtemps; que Chypre est liée par le règlement sur les biens à double usage;

AA.

considérant que le régime d’Israël en matière d’exportation (20) s’applique en principe à tous les citoyens israéliens, même lorsqu’ils opèrent depuis l’Union européenne; qu’Israël ne participe pas à l’arrangement de Wassenaar, mais affirme néanmoins en respecter les normes;

AB.

considérant que l’exportation de logiciels espions de l’Union vers des pays tiers est régie par le règlement sur les biens à double usage, révisé en 2021; que la Commission a publié son premier rapport sur l’application de celui-ci en septembre 2022 (21);

AC.

considérant que les éditeurs de logiciels espions exportant vers des pays tiers s’établissent au sein de l’Union afin d’acquérir une certaine respectabilité tout en faisant commerce de logiciels espions avec des régimes répressifs; que des exportations de l’Union vers des régimes répressifs ou des acteurs non étatiques ont lieu en violation des réglementations de l’Union en matière d’exportation;

AD.

considérant que les sociétés Amesys et Nexa Technologies sont actuellement poursuivies en France pour avoir exporté des technologies de surveillance vers la Libye, l’Égypte et l’Arabie Saoudite; que des sociétés d’Intellexa, implantées en Grèce, auraient exporté leurs produits vers le Bangladesh, le Soudan, Madagascar et au moins un pays arabe; que le logiciel de FinFisher est utilisé par des dizaines de pays dans le monde entier, dont l’Angola, l’Arabie saoudite, le Bahreïn, le Bangladesh, l’Égypte, l’Éthiopie, le Gabon, la Jordanie, le Kazakhstan, le Myanmar, Oman, le Qatar et la Turquie, ainsi que par les services de renseignement du Maroc, qui ont été accusés par Amnesty International et le consortium Forbidden Stories d’utiliser le logiciel espion Pegasus contre des journalistes, des défenseurs des droits de l’homme, des acteurs de la société civile et des responsables politiques; que l’on ignore si des licences d’exportation ont été accordées pour l’exportation de logiciels espions vers tous ces pays; que d’anciens dirigeants de FinFisher ont été inculpés par le ministère public de Munich pour avoir exporté des technologies de surveillance vers la Turquie sans licence d’exportation;

AE.

considérant que l’on constate, au regard du nombre de participants aux salons de l’armement et au salon ISS World commercialisant des logiciels espions, que les fournisseurs de logiciels espions et de produits et services connexes proviennent très majoritairement de pays tiers, que nombre d’entre eux ont leur siège en Israël (par exemple, NSO Group, Wintego, Quadream et Cellebrite), et que des acteurs majeurs du secteur sont implantés en Inde (ClearTrail), au Royaume-Uni (BAE Systems et Black Cube) et aux Émirats arabes unis (DarkMatter); que la liste noire des développeurs de logiciels espions dressée par les États-Unis («Entity list»), qui recense des entités en Israël (NSO Group et Candiru), en Russie (Positive Technologies) et à Singapour (Computer Security Initiative Consultancy PTE LTD.), met davantage encore l’accent sur la provenance diversifiée des éditeurs de logiciels espions; que le salon compte également parmi ses visiteurs un large éventail d’autorités publiques de l’Union, y compris les forces de police locales;

AF.

considérant que l’article 4, paragraphe 2, du traité UE dispose que la sécurité nationale relève de la seule responsabilité des États membres;

AG.

considérant que la CJUE a toutefois conclu, dans l’affaire C-623/17, que «bien qu’il appartienne aux États membres de définir leurs intérêts essentiels de sécurité et d’arrêter les mesures propres à assurer leur sécurité intérieure et extérieure, le seul fait qu’une mesure nationale a été prise aux fins de la protection de la sécurité nationale ne saurait entraîner l’inapplicabilité du droit de l’Union et dispenser les États membres du respect nécessaire de ce droit»;

AH.

considérant que la CJUE a conclu, dans l’affaire C-203/15, que «[l]’article 15, paragraphe 1, de la directive 2002/58/CE du Parlement européen et du Conseil, du 12 juillet 2002, concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques), telle que modifiée par la directive 2009/136/CE du Parlement européen et du Conseil, du 25 novembre 2009, lu à la lumière des articles 7, 8 et 11 ainsi que de l’article 52, paragraphe 1, de la charte des droits fondamentaux de l’Union européenne, doit être interprété en ce sens qu’il s’oppose à une réglementation nationale prévoyant, à des fins de lutte contre la criminalité, une conservation généralisée et indifférenciée de l’ensemble des données relatives au trafic et des données de localisation de tous les abonnés et utilisateurs inscrits concernant tous les moyens de communication électronique»;

AI.

considérant que la CJUE a conclu, dans l’affaire C-203/15, que «[l]’article 15, paragraphe 1, de la directive 2002/58/CE, telle que modifiée par la directive 2009/136/CE, lu à la lumière des articles 7, 8 et 11 ainsi que de l’article 52, paragraphe 1, de la charte des droits fondamentaux, doit être interprété en ce sens qu’il s’oppose à une réglementation nationale régissant la protection et la sécurité des données relatives au trafic et des données de localisation, en particulier l’accès des autorités nationales compétentes aux données conservées, sans limiter, dans le cadre de la lutte contre la criminalité, cet accès aux seules fins de lutte contre la criminalité grave, sans soumettre ledit accès à un contrôle préalable par un tribunal ou une autorité administrative indépendante, et sans demander à ce que les données en cause soient conservées sur le territoire de l’Union»;

AJ.

considérant que la jurisprudence de la CEDH dit clairement que toute surveillance doit respecter la législation, servir un objectif légitime et être nécessaire et proportionnée; qu’en outre, le cadre juridique doit prévoir des garanties précises, efficaces et complètes en ce qui concerne la prescription et l’exécution de mesures de surveillance ainsi que les moyens de recours y afférents, qui doivent faire l’objet d’un contrôle juridictionnel effectif (22);

AK.

considérant que la convention du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel (convention 108), qui a été récemment mise à jour et s’appelle désormais convention 108+, s’applique au traitement des données à caractère personnel à des fins de la sécurité de l’État (nationale), y compris la défense; que tous les États membres de l’UE sont parties à cette convention;

AL.

considérant que des aspects importants de l’utilisation de logiciels espions de surveillance pour la prévention et la détection d’infractions pénales, les enquêtes et les poursuites en la matière et l’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces, relèvent du droit de l’Union;

AM.

que la charte établit les conditions relatives à la limitation de l’exercice des droits fondamentaux, qui imposent que celle-ci doit être prévue par la loi, respecter le contenu essentiel des droits et libertés concernés, respecter le principe de proportionnalité et être imposée uniquement si elle est nécessaire et répond effectivement à des objectifs d’intérêt général reconnus par l’Union ou au besoin de protéger les droits et libertés d’autrui; que, lorsque des logiciels espions sont utilisés, le niveau d’ingérence dans le droit à la vie privée peut être d’une gravité telle que la personne en est en réalité privée et que cette utilisation ne peut être considérée comme proportionnée, indépendamment du fait que la mesure puisse être jugée nécessaire afin de réaliser les objectifs légitimes d’un État démocratique;

AN.

considérant que la directive vie privée et communications électroniques prévoit que les États membres soient tenus de garantir la confidentialité des communications; que le déploiement d’outils de surveillance constitue une restriction du droit à la protection des équipements de terminaux prévu par la directive vie privée et communications électroniques; que de telles restrictions placeraient les législations nationales relatives aux logiciels espions dans le champ d’application de la directive vie privée et communications électroniques, à l’instar des législations nationales sur la conservation des données; que le déploiement régulier de technologies d’espionnage intrusives serait incompatible avec l’ordre juridique de l’Union;

AO.

considérant qu’en vertu du droit international, un État peut uniquement enquêter sur des infractions potentielles relevant de sa compétence et doit s’en remettre à l’assistance d’autres États pour enquêter sur le territoire de ces derniers, sauf s’il peut invoquer pour ce faire un accord international ou, dans le cas des États membres, le droit de l’Union;

AP.

considérant que l’infection d’un appareil par des logiciels espions et la collecte ultérieure de données se font par l’intermédiaire des serveurs de fournisseurs de services mobiles; que, du fait qu’en raison de l’itinérance gratuite au sein de l’Union, des particuliers souscrivent parfois des contrats de téléphonie mobile dans des États membres autres que celui où ils résident, il n’existe actuellement aucune base juridique dans le droit de l’Union pour la collecte de données dans l’autre État membre au moyen de logiciels espions;

AQ.

considérant que David Kaye, l’ancien rapporteur spécial des Nations unies sur la promotion et la protection du droit à la liberté d’opinion et d’expression (23), et Irene Khan, l’actuelle titulaire de ce mandat (24), appellent de leurs vœux un moratoire immédiat sur l’utilisation, le transfert et la vente d’outils de surveillance jusqu’à ce que des mesures strictes de protection des droits de l’homme soient mises en place pour réglementer les pratiques et garantir que les gouvernements et les acteurs non étatiques utilisent ces outils de façon légitime;

AR.

considérant que, dans certains cas, des entreprises du secteur du logiciel espion, en particulier Intellexa, ont vendu non seulement la technologie d’interception et d’extraction elle-même, mais aussi l’ensemble du service, également appelé «piratage à la demande» ou «cyber-renseignement actif», qui englobe un arsenal de techniques de surveillance et d’interception, ainsi que la formation du personnel et un soutien technique, opérationnel et méthodologique; que ce service pourrait permettre à l’entreprise de contrôler l’ensemble de l’opération de surveillance et d’agréger les données de surveillance; que cette pratique est presque impossible à surveiller et à contrôler pour les autorités compétentes; que cela rend difficile le respect des principes de proportionnalité, de nécessité, de légitimité, de légalité et d’adéquation; que ce service n’est pas autorisé par l’agence israélienne des exportations dans le secteur de la défense (DECA); que Chypre a été utilisée pour contourner les limitations établies par la législation israélienne afin de fournir un service de piratage;

AS.

considérant que les États membres doivent se conformer à la directive 2014/24/UE et à la directive 2009/81/CE sur les marchés publics et les marchés dans le domaine de la défense, respectivement; que les États membres doivent dûment justifier les dérogations au titre de l’article 346, paragraphe 1, point b), du traité FUE, étant donné que la directive 2009/81/CE tient explicitement compte du caractère sensible de la passation de marchés dans le domaine de la défense, et respecter l’accord de l’Organisation mondiale du commerce (OMC) relatif aux marchés publics tel que modifié le 30 mars 2012 (25) s’ils y sont parties;

AT.

considérant que le CEPD a souligné que les États membres doivent respecter la convention européenne des droits de l’homme et la jurisprudence de la CEDH, qui fixe des limites aux activités de surveillance aux fins de la sécurité nationale; qu’en outre, lorsqu’elle est utilisée à des fins de répression, la surveillance doit être conforme au droit de l’Union, notamment à la charte ainsi qu’aux directives européennes telles que la directive relative à la vie privée et aux communications électroniques et la directive en matière de protection des données dans le domaine répressif;

AU.

considérant que, selon certaines sources, de grandes institutions financières ont tenté d’encourager les éditeurs de logiciels espions à ignorer les normes applicables en matière de droits de l’homme ainsi que le devoir de vigilance et à continuer de vendre des logiciels espions à des régimes répressifs;

AV.

considérant que, dans le programme Horizon 2020, Israël occupe le troisième rang parmi les pays associés au regard de la participation globale au programme; considérant que l’accord conclu avec Israël dans le cadre d’Horizon Europe est doté de 95,5 milliards d’euros (26) au total pour la période 2021-2027; que des fonds ont été mis à la disposition d’entreprises israéliennes intervenant dans le domaine militaire et le domaine de la sécurité par l’intermédiaire de ces programmes de l’Union (27);

AW.

considérant que le principal instrument législatif pour les politiques de développement de l’Union est le règlement (UE) 2021/947 (28) (le règlement «Europe dans le monde») et que l’Union peut apporter des financements par l’intermédiaire des types de financement prévus par le règlement financier; que l’aide peut être suspendue en cas de dégradation de la situation en matière de démocratie, de droits de l’homme ou d’état de droit dans les pays tiers;