Corps de l’article

« Pour redessiner l’ordre mondial selon ses désirs et dans le but de se mettre en avant, la Russie essaie de fragiliser les plus fidèles partisans de l’ordre actuel à la fois en Europe et en Amérique du Nord, en cherchant à en déstabiliser les démocraties et, de fait, le concept même de démocratie libérale ». C’est en ces termes qu’un rapport de l’Assemblée parlementaire de l’Otan (2018) décrit la nature des rapports de force entre la Russie et le monde occidental dans le cyberespace. Ce rapport fait en effet suite à un certain nombre d’opérations de déstabilisation des démocraties occidentales par le biais d’opérations de cyber-désinformation, l’événement le plus marquant ayant été le piratage du Parti démocrate au cours des élections présidentielles américaines de 2016, qui a conduit à la divulgation de la correspondance de John Podesta, le directeur de campagne d’Hillary Clinton, avec d’autres membres du comité national du Parti démocrate.

Ces événements sont bien entendu de nature à troubler la paix internationale et à entraîner une escalade des tensions, comme en témoigne la réaction du sénateur américain John McCain qui a qualifié l’intrusion russe présumée dans les serveurs du Parti démocrate « d’acte de guerre » (Bannelier 2017 : 144). Cette problématique des opérations de désinformation et de propagande a pris un nouvel essor avec le développement récent des technologies de l’information. Elle représente en ce sens l’un des principaux enjeux de régulation du cyberespace, celui-ci étant au coeur d’une nouvelle lutte de pouvoir.

Le cyberespace est, selon le ministère des Armées français, « un domaine global constitué du réseau maillé des infrastructures des technologies de l’information (dont Internet), des réseaux de télécommunication, des systèmes informatiques, des processeurs et des mécanismes de contrôle intégrés. Il inclut l’information numérique transportée ainsi que les opérateurs de services en ligne » (Ministère des Armées 2018). De manière plus concrète, il est admis que le cyberespace est composé de trois, voire de quatre « couches », c’est à dire de différents niveaux d’infrastructures. La première couche dénommée « couche matérielle » est composée de l’ensemble des infrastructures physiques qui permettent le fonctionnement du réseau. La deuxième couche dite « cognitive » rassemble l’ensemble des logiciels, tandis que la troisième couche ou « couche sémantique » désigne l’information, les données qui sont finalement transmises grâce aux deux premières couches (Kempf et Mazzucchi 2015). La quatrième couche désignerait quant à elle les « individus et groupes impliqués dans des activités numériques » (Delerue 2017), autrement dit, elle dénote la dimension sociale du cyberespace. En définitive, le cyberespace n’est pas, contrairement à une croyance répandue, totalement dépourvu de frontières, puisqu’il repose sur des infrastructures physiques rattachées à une compétence étatique.

Il est évident que le développement d’un espace en partie intangible et interconnecté permettant de manière instantanée la diffusion d’informations partout dans le monde a été perçu comme un vecteur de puissance pour les États, qui ont investi ce nouveau terrain des relations internationales.

Si, dès le départ, les dirigeants politiques se sont emparés du sujet, c’était avant tout pour alerter l’opinion publique à propos de ce que le Secrétaire d’État américain à la Défense Leon Pannetta a appelé la possibilité d’un « cyber Pearl Harbor » (Bumiller et Shanker 2012). La même tendance a été observée chez les juristes, puisque les premiers auteurs s’étant intéressés à la question de la régulation du cyberespace ont envisagé avant tout l’application du droit de la guerre (jus contra bellum et jus in bello) aux hypothèses de conflit armé dans le cyberespace (Schmitt 2011, 2014). Le premier opus du Manuel de Tallinn (Schmitt 2013), qui a été rédigé par des experts de l’Otan pour rendre compte des normes applicables aux États dans le cadre de conflits dans le cyberespace, ne renferme que des normes de droit international relatives au droit de la guerre. À l’inverse, les cyberattaques de faible intensité, n’entraînant pas le déclenchement d’un conflit armé, n’ont que très peu été étudiées par les juristes internationalistes. Il est toutefois possible de noter l’initiative des experts du centre d’excellence de l’Otan, basé à Tallinn, qui ont pallié cette lacune en publiant le second opus du Manuel de Tallinn, qui tient compte notamment de l’applicabilité des principes de souveraineté et de non-intervention dans le cadre d’actions de faible intensité dans le cyberespace (Schmitt 2017).

Pourtant, si la perspective d’un conflit mondial dans le cyberespace est, bien entendu, source d’inquiétude, il n’en demeure pas moins que sa réalisation, est, pour l’heure, peu plausible. Au contraire, la qualification juridique des opérations dans le cyberespace n’atteignant pas le seuil du recours à la force prohibée en droit international[1] a fait l’objet de bien moins d’attention, alors même que ces actions constituent l’immense majorité des relations interétatiques considérées comme inamicales dans le cyberespace. Qu’il s’agisse d’opérations d’espionnage comme l’affaire Snowden (Norodom 2014), d’espionnage économique (Lotrionte 2015), d’opérations de désinformation (Kilovaty 2018 ; Hollis 2018 ; Tsagourias 2020) ou de propagande (Bradshaw et Howard 2019), les outils numériques sont utilisés à des fins de déstabilisation par les États, sans pour autant déclencher de conflits internationaux.

C’est précisément à la question de la nature des relations entre propagande numérique et droit international que cette contribution se propose de répondre. La propagande peut se définir de manière générique comme l’« [a]ction psychologique qui met en oeuvre tous les moyens d’information pour propager une doctrine, créer un mouvement d’opinion et susciter une décision » (cnrtl s.d.). En droit international, plus spécifiquement, la notion de propagande ne fait pas l’objet d’une définition incontestable ; elle renvoie « à l’effort conscient d’orienter l’esprit des hommes dans une direction particulière afin de produire un effet attendu »[2] (Whitton 1948 : 547). Autrement dit, la propagande a pour objet de façonner les esprits, les opinions publiques, afin de parvenir à un changement de comportement des individus et même de l’État qui en serait victime. La cyber-propagande désigne les actions de propagande qui sont réalisées dans le cyberespace, par le biais des outils informatiques. Toutes les opérations menées par des États dans le cyberespace et ayant pour but d’induire un changement de comportement des individus et du gouvernement d’un État tiers seront, pour les besoins de cette étude, considérées comme des opérations de propagande. Par ailleurs, cette étude se bornera à prendre en considération le phénomène de cyber-propagande en temps de paix.

Se pose la question, au vu de la récente ampleur qu’a pris ce phénomène de propagande dans les élections étrangères, de savoir si le droit international général est suffisamment adapté pour réguler ces nouvelles formes de propagande rendues possible par le développement des outils informatiques. Cet article se concentrera sur l’étude des normes de droit international général, car il n’existe pas, en dehors de la Convention de Budapest de 2001 adoptée dans le cadre du Conseil de l’Europe[3], de véritable droit du cyberespace. Il s’agira donc également d’envisager l’adoption de nouvelles normes qui seraient susceptibles de répondre aux défis que posent ces nouvelles formes de batailles informationnelles pour la paix et la stabilité internationales. Au vu de la conception terminologique retenue, il est clair que les fausses nouvelles disséminées ainsi que les autres opérations de désinformation destinées à orienter les opinions publiques entrent dans le champ d’étude de cette contribution.

Nous prendrons volontairement quelques libertés vis-à-vis du pur formalisme juridique afin de pouvoir rendre compte au mieux de la pluralité des visions qu’ont les États des comportements admissibles dans le cyberespace.

Il sera bien entendu uniquement question des opérations menées ou commanditées par les États et non de celles menées par des individus à des fins de cybercriminalité, ces derniers comportements pouvant, le cas échéant, entraîner des poursuites pénales dans l’État victime des cyberattaques controversées. Le droit de la responsabilité internationale ne peut en effet être mis en oeuvre que lorsqu’un comportement prohibé en droit international est imputable à un État. Ce principe induit qu’en matière de propagande, comme pour tout autre type de cyberattaque, l’enjeu de l’attribution sera d’une importance particulière.

Il s’agira ainsi de voir que le droit international général ne prohibe pas les actions de propagande en elles-mêmes (I), ce qui nous oblige à dresser le constat selon lequel le droit international est lacunaire et laisse bien trop souvent les actions de cyber-propagande impunies (II).

I – La qualification complexe de la propagande en droit international

Si la propagande ne fait pas, en tant que telle, l’objet d’une prohibition en droit international, les actes de propagande pourraient cependant constituer un acte international illégal au regard du principe de souveraineté (A) mais également sur le fondement du principe de non-intervention (B).

A – La propagande en tant qu’atteinte à la souveraineté de l’État

Il convient tout d’abord de rappeler une évidence, à savoir que les actions de propagande ne sont pas nées avec Internet. Les luttes de pouvoir, d’idéologies, existaient bien avant l’essor des outils numériques. Par conséquent, l’émergence d’Internet n’a rien de nouveau d’un point de vue juridique ; il convient ainsi de nuancer le phénomène de « révolution numérique », même s’il est indéniable que l’existence d’un réseau interconnecté permet une audience bien plus grande qu’un jet de prospectus par les airs ou même qu’une émission d’ondes radio. La propagande numérique n’est cependant pas de nature différente de la propagande écrite, la différence entre ces deux formes d’action étant plutôt une différence de degré, du fait de l’instantanéité de la transmission des informations et de l’absence de frontières physiques caractéristique du cyberespace (Limonier 2014). John Whitton, qui a écrit dès le milieu du 20e siècle sur la propagande au regard du droit international, exprimait déjà ses inquiétudes vis-à-vis des conséquences du progrès technologique sur les actions de propagande, notamment eu égard au développement de la radio (Whitton 1948 : 549). Ainsi, les questions qui se posent aujourd’hui aux juristes concernant l’ampleur de la propagande à l’heure du numérique s’étaient déjà posées par le passé, avec le développement des technologies de l’information et notamment de la radio.

À ce propos, Arrigo Cavaglieri, au cours des travaux de l’Institut du droit international, affirmait :

un État ne peut pas tolérer, sans que cela entraîne pour lui une responsabilité internationale bien grave, la transmission sur son territoire de dépêches qui contiennent des phrases offensantes pour un État étranger, pour son chef ou ses représentants ; ou qui se proposent comme objet une oeuvre de propagande, de fausses nouvelles, de diffamation contre d’autres gouvernements ; ou qui s’adressent aux citoyens mêmes d’un État quelconque pour les encourager à la révolution ».

Annuaire de l’Institut du droit international 1927 : 152

Les conclusions de Cavaglieri sont finalement assez similaires à celles auxquelles est parvenue l’Assemblée générale des Nations unies, reprenant à son compte les travaux du groupe d’experts gouvernementaux (gge) des Nations unies chargé d’examiner les progrès de la téléinformatique dans le contexte de la sécurité internationale. En effet, dans une de ses résolutions, l’Assemblée générale a été amenée à établir que « les États n’ont pas le droit de se livrer à des campagnes diffamatoires ou à des actes de dénigrement ou de propagande hostile aux fins d’intervenir ou de s’ingérer dans les affaires intérieures d’autres États » (Assemblée générale de l’Onu 2018). Ainsi l’on comprend que l’interdiction supposée de la propagande se fonde sur les principes de souveraineté et d’interdiction de l’ingérence dans les affaires intérieures de l’État. Toutefois, à ce stade de la réflexion, il convient de s’interroger sur la valeur juridique de tels principes.

Il est opportun de rappeler dans cette perspective que ni les travaux préparatoires de l’Institut de droit international, ni les résolutions de l’Assemblée générale des Nations unies, n’ont de caractère obligatoire. Par conséquent, il n’est pas possible de se fonder sur ces seules sources pour conclure de manière définitive à la prohibition de la propagande en droit international. En revanche, ces deux textes renvoient à des principes du droit international général que sont d’une part le principe de souveraineté et d’autre part le principe de non-ingérence.

Le principe de souveraineté est un principe fondateur du droit international public, et est contenu (entre autres) à l’article 2§1 de la Charte des Nations unies qui dispose que « [l]’Organisation est fondée sur le principe de l’égalité souveraine de tous ses Membres »[4]. La Cour internationale de Justice, dans son arrêt de 1949 relatif à l’affaire du détroit de Corfou, a rappelé le caractère obligatoire de cette norme. En effet, elle a établi le principe en vertu duquel « [e]ntre États indépendants, le respect de la souveraineté territoriale est l’une des bases essentielles des rapports internationaux » (Cour internationale de Justice 1949). Bien que cet arrêt semble ne laisser planer aucun doute sur la valeur juridique obligatoire du principe de souveraineté, celui-ci a été contesté par le passé, et continue de l’être dans le cadre des actions dans le cyberespace. En effet, tandis que certains États s’en tiennent à la lettre du principe tel qu’il a été précisé par la Cour internationale de Justice, d’autres États considèrent le principe de souveraineté comme un principe destiné à guider l’interprétation de l’ensemble des normes du droit international public. Dans cette perspective, le principe de souveraineté n’apparaît pas comme une véritable norme de droit international invocable devant le juge. C’est notamment l’interprétation qui a été faite par certains juristes proches des autorités américaines. En effet, Gary Corn et Robert Taylor considèrent que

les différences dans la façon dont la souveraineté est reflétée par le droit international en ce qui concerne les domaines de l’espace, de l’air et des mers montrent que la souveraineté est un principe, susceptible d’être ajusté en fonction du domaine et des impératifs pratiques des États, plutôt qu’une règle gravée dans le marbre.

Corn et Taylor 2017 : 210

C’est également le chemin qu’a décidé de prendre le Royaume-Uni, qui a fait savoir par l’intermédiaire du Procureur général Jeremy Wright que

la souveraineté est bien sûr au fondement du système juridique international. Mais je ne suis pas convaincu que nous puissions actuellement extrapoler, à partir de ce principe général, une règle spécifique ou une interdiction supplémentaire pour l’activité cyber qui n’aille pas au-delà d’une intervention prohibée. La position du gouvernement du Royaume-Uni est par conséquent qu’une telle règle n’existe pas en matière de droit international actuel.

Wright 2018

Par conséquent, il est difficile de conclure, en l’absence de consensus sur la question, à l’illégalité d’actions de propagande en raison d’une atteinte au principe de souveraineté.

Les experts chargés de rédiger le Manuel de Tallinn ont, à l’inverse, considéré que le principe de souveraineté avait vocation à s’appliquer dans le cyberespace lorsqu’une cyberattaque conduit à une altération des systèmes informatiques de l’État victime (Schmitt 2017 : 20-21). En l’absence de consensus sur la question, il est impossible de conclure de manière définitive que le principe de souveraineté s’applique dans le cyberespace, même si, à notre sens, cela devrait être le cas en l’absence de lex specialis contraire.

Enfin, il pourrait être pertinent d’évoquer le droit à l’autodétermination, en ce que celui-ci est susceptible de nous éclairer sur l’illégalité présumée des actions de propagande. Le droit à l’autodétermination (ou droit des peuples à disposer d’eux-mêmes) est contenu à la fois dans la Charte des Nations unies[5], dans le Pacte international relatif aux droits civils et politiques et dans le Pacte international relatif aux droits économiques, sociaux et culturels[6]. Si ce droit a pu être invoqué comme un droit à l’indépendance dans le contexte de la décolonisation, il est désormais admis qu’il consacre le droit pour tous les individus de participer à la vie démocratique de leur État, ce qui implique également la protection des minorités ethniques, culturelles, etc. (Christakis 1999 ; Pomerance 1982).

Ainsi, il pourrait être judicieux d’invoquer le respect de ce principe, de ce droit dont jouissent les peuples, afin d’interdire aux États de s’ingérer dans une campagne électorale à l’étranger. Cette solution est envisagée par Eric Talbot Jensen et Sean Watts, tous deux experts du droit international applicable dans le cyberespace, pour qui « on estime que les opérations cyber ont frappé au coeur la souveraineté de certains États, y compris les processus politiques d’autodétermination » (Talbot Jensen et Watts 2017 : 1556). Cette invocation semble assez logique et complémentaire du principe de souveraineté. En effet, dès lors que les individus voient leur droit de participer aux élections être reconnu, il semblerait illogique que ce droit puisse être violé par une puissance étrangère. C’est d’ailleurs ce qu’explique André Moine lorsqu’il écrit : « [l]e droit des peuples à disposer d’eux-mêmes est à la fois libre choix du peuple et non-ingérence extérieure des autres États, alors que ceux-ci sont souvent les seuls garants de l’effectivité et de la liberté du choix du peuple dans l’ordre interne » (Moine 1998 : 282).

L’invocabilité de ce principe est cependant contestée lorsqu’il s’agit de relations interétatiques. En effet, il est admis que les droits humains reconnus dans les conventions internationales sont invocables par les individus à l’égard de l’État qui exerce leur juridiction sur eux. Autrement dit, l’extraterritorialité des droits conférés par le biais de ces conventions est contestée (Kilovaty 2020 : 51). Seuls les États qui exercent leur contrôle sur un territoire peuvent prétendre y assurer le respect des droits de l’Homme. Prétendre que les États sont tenus de garantir les droits de l’Homme dans le cyberespace à l’égard de tous les internautes signifierait que chaque État jouirait d’une sorte de compétence universelle dans le cyberespace, ce qui est contestable dès lors que l’on admet l’existence de frontières dans le cyberespace. Ainsi ces différents développements démontrent que le droit international positif semble prévoir bien peu de remèdes aux actions de propagande dans le cyberespace, l’applicabilité des rares solutions existantes demeurant fortement controversée.

Enfin, il pourrait être intéressant de voir que l’interdiction de la propagande relève peut-être également du pan du droit des relations diplomatiques qui est, lui aussi, intimement lié à la souveraineté de l’État. Paul Behrens relève en ce sens que

c’est la loi coutumière internationale – c’est-à-dire l’exercice de l’État s’accompagnant de la croyance qu’il existe une justification ou une obligation à cet exercice – qui apparaît comme la source la plus prometteuse pour approcher le concept de l’ingérence diplomatique.

Behrens 2016 : 8

Une mission diplomatique installée à l’étranger serait par conséquent interdite de prendre ouvertement position pour favoriser un candidat à une élection dans ledit État. Cette obligation est également contenue dans la Convention de Vienne sur les relations diplomatiques de 1961 qui dispose quant à elle, à son article 41§1, que « [s]ans préjudice de leurs privilèges et immunités, toutes les personnes qui bénéficient de ces privilèges et immunités ont le devoir de respecter les lois et règlements de l’État accréditaire. Elles ont également le devoir de ne pas s’immiscer dans les affaires intérieures de cet État »[7]. Même si ces obligations ne pèsent que sur les personnels des missions diplomatiques, la logique qui sous-tend ces dispositions est que l’ensemble des États perçoit comme un acte inamical le fait pour les représentants d’un État de tenter d’influencer la vie démocratique d’un État tiers. Si le principe de non-ingérence n’a pas pénétré le champ de la lex lata (voir infra, partie I-B), il est indubitable que l’acte d’ingérence est en lui-même perçu comme un acte inamical.

B – La propagande au regard de la norme de non-intervention

Le principe de non-intervention est consacré à l’article 2§7 de la Charte des Nations unies, qui dispose qu’« [a]ucune disposition de la présente Charte n’autorise les Nations unies à intervenir dans des affaires qui relèvent essentiellement de la compétence nationale d’un État »[8]. Si ce principe a vocation à régir les relations entre l’Onu et les États, il est désormais admis que le principe de non-intervention s’applique dans le cadre de relations interétatiques[9], dans la mesure où il dérive du principe de souveraineté. Il faut une nouvelle fois se tourner vers la Cour internationale de Justice pour comprendre ce que recouvre la notion de non-intervention. Elle a conclu que

ce principe interdit à tout État ou groupe d’États d’intervenir directement ou indirectement dans les affaires intérieures ou extérieures d’un autre État. L’intervention interdite doit donc porter sur des matières à propos desquelles le principe de souveraineté des États permet à chacun d’entre eux de se décider librement. Il en est ainsi du choix du système politique, économique, social et culturel et de la formulation des relations extérieures. L’intervention est illicite lorsque à propos de ces choix, qui doivent demeurer libres, elle utilise des moyens de contrainte.

Cour internationale de Justice 1986 : §205

Le problème est que la propagande, par définition, agit sur les mentalités ; par conséquent l’élément de contrainte ne peut réellement être rempli. En effet, si l’on reprend l’exemple du piratage du Parti démocrate, certes Hillary Clinton a fait l’objet d’une campagne de désinformation visant à la décrédibiliser et à la faire passer pour souffrante, mais, dans le même temps, les électeurs n’ont pas été contraints par une force étrangère de voter pour Donald Trump, bien qu’ils y aient été incités. Le problème qui peut se poser est également d’ordre presque philosophique : d’aucuns pourraient considérer que le fait de divulguer des informations cachées au public permet d’éclairer le débat démocratique, même si ces informations ont été acquises puis révélées par une puissance étrangère, par le biais d’actes de piratage. À l’inverse, les actes de désinformation, les campagnes de fausses nouvelles, pourraient être considérées comme illégitimes. Quoi qu’il en soit, en ce qui concerne la légalité de telles actions, les experts se bornent à considérer les effets d’une cyberattaque afin de voir si celle-ci viole ou non les normes de droit international pertinentes (Delerue 2017 : 20).

Le critère de la contrainte pose donc des problématiques juridiques de qualification lorsqu’est en cause une opération de propagande à des fins électorales. Le débat concernant l’application du seuil de la contrainte aux actions de désinformation reste donc entier. C’est ce que relève Ido Kilovaty lorsqu’il écrit que

certains ont soutenu que les États qui se contentent de répandre de la désinformation ou des fausses nouvelles sur les médias sociaux pour influencer des électeurs potentiels sont engagés dans une ingérence coercitive, tandis que d’autres ignorent tout simplement la qualification de coercition, arguant que rien que l’usage de tactiques cyber non coercitives pour saper des fonctions souveraines contrevient à la norme de la non-intervention.

Kilovaty 2019 : 89

Nous pensons que le fait de consacrer une violation de la norme de non-intervention en cas d’actions de désinformation ou de propagande serait incorrect du point de vue du droit international, en ce sens que le critère de la contrainte doit s’entendre de manière restrictive, comme le fait de ne pas laisser le choix à un État, de l’obliger à agir ou à s’abstenir d’agir d’une certaine façon.

Tel serait le cas dans l’hypothèse d’un trucage des résultats d’une élection. C’est le scénario qui a failli se réaliser en 2014 en Ukraine puisque

un groupe de hackers pro-russes appelé CyberBerkut a compromis le site Internet de la Commission des élections centrales ukrainiennes. Ils ont modifié le site Internet pour déclarer que celui qui avait remporté l’élection était le candidat d’extrême-droite Dmytro Yarosh. La Commission des résultats s’est aperçue de la modification moins d’une heure avant l’horaire prévu pour la proclamation des résultats.

van de Velde 2017 : 14-15

Si les hackers étaient parvenus à truquer les résultats des élections, il n’aurait fait aucun doute que le critère de la contrainte aurait été rempli. C’est en tout cas l’avis, entre autres, de Gary Corn et Robert Taylor qui considèrent que

l’exemple par excellence de la violation du principe de non-intervention est celui d’un État s’ingérant de manière coercitive dans le processus politique interne d’un autre État, comme en modifiant les votes enregistrés, faussant ainsi les résultats d’une élection.

Corn et Taylor 2017 : 208

Le seuil de contrainte requis pour qualifier une opération de propagande de violation du principe de non-intervention est par conséquent relativement élevé et cadre mal avec le type d’opérations de désinformation visant à décrédibiliser certains candidats.

Si ces actions ne peuvent être considérées ni comme des violations de la souveraineté – faute de reconnaissance unanime de ce principe de droit international et de consensus autour de ce que cette notion recouvrerait dans le cyberespace ni de violation du principe de non-intervention, à cause du seuil de la contrainte, il reste à voir si un principe « intermédiaire » n’aurait pas vocation à combler ce vide juridique. Ce principe pourrait être le principe de non-ingérence, qui est fortement décrié en droit international.

En effet, tandis que les États occidentaux considèrent que l’ingérence, non assortie d’un élément de contrainte, n’est pas prohibée par le droit international, les États de l’ex-bloc soviétique, quant à eux, n’opèrent pas cette distinction et semblent considérer que toute intrusion dans la vie politique ou économique d’un État est prohibée. En effet, Denitsa Raynova explique que

le point de vue occidental a admis l’idée que l’intervention était interdite, mais que l’ingérence ne l’était pas. Cependant, dans la version en langue russe du Décalogue, le mot « невмешательство » véhicule un sens plus large, qui recouvre à la fois la non-intervention et la non-ingérence. Par conséquent, il véhicule une force d’interdiction plus grande et pourrait également être compris pour englober des actions non coercitives aussi bien que des menaces non exclusivement militaires.

Raynova 2017 : 2

Ainsi, et même si ce n’est pas pour l’heure l’interprétation majoritaire qui est faite du droit international, il serait possible de considérer toute atteinte aux éléments politiques ou économiques d’un État tiers comme une atteinte au principe de non-ingérence. Ce principe permet en effet d’établir un palier intermédiaire entre la simple violation de souveraineté et la violation du principe de non-intervention, dont l’application est rendue particulièrement difficile dans le cadre d’actions de propagande à cause du seuil élevé de reconnaissance du critère de la contrainte.

Cependant, si ce principe de non-ingérence nous semble véritablement adapté aux actions de propagande interétatique dans le cyberespace, il ne semble pas appartenir au champ de la lex lata. En ce sens, Ido Kilovaty explique que,

en général, l’interférence implique des activités qui, bien qu’elles s’immiscent dans certains aspects des affaires intérieures ou extérieures d’un État, ne sont pas injustifiées parce qu’elles n’impliquent pas, par exemple, la coercition ou la force militaire.

Kilovaty 2018 : 167

Ainsi, le droit positif distingue les termes « ingérence » et « intervention » ; c’est également la conclusion de Terry Gill qui estime que « l’intervention est généralement définie comme une ingérence “coercitive” ou “dictatoriale” ; elle n’inclut pas les actions qui se situent bien en-deçà de ce seuil » (Gill 2013 : 223).

Ainsi, le droit international positif est assez inadapté pour saisir le phénomène des actions de cyber-propagande. Par ailleurs les spécificités du cyberespace rendent la bonne application du droit international complexe.

II – Les carences du droit international face à l’émergence du phénomène de cyber-propagande

Du fait des spécificités du cyberespace, l’application du droit international est rendue difficile, car il existe un certain nombre d’obstacles techniques et juridiques pour attribuer un comportement répréhensible à un acteur étatique (A), ce qui conduit les États à délaisser le droit international au profit de leur droit interne pour sanctionner les actes de propagande (B).

A – Les obstacles à l’attribution d’un acte de propagande

Le problème principal qui se pose, quel que soit le niveau de gravité d’une cyberattaque, est celui de l’attribution. Pour que le droit de la responsabilité internationale s’applique, encore faut-il que l’action de propagande soit imputable à un État ; or le cyberespace permet l’utilisation d’un certain nombre d’outils, tels que les réseaux de botnets et l’usage de vpn permettant de brouiller l’origine d’une cyberattaque (Pihelgas 2013 : 55). Autrement dit, l’un des enjeux de l’attribution est la capacité technique d’identifier la source d’une cyberattaque, c’est-à-dire les infrastructures d’où sont partis les actes de propagande.

Même lorsque les infrastructures à l’origine de la cyberattaque sont localisées, il faut encore réussir à attribuer l’action de propagande à une institution étatique ; or, bien souvent, les États engagent pour ces actions d’espionnage ou de propagande des individus qui ne sont pas formellement des agents étatiques. Il existe également des cas où les individus vont mener de leur propre chef des actions profitables à leur État de nationalité. C’est notamment ce qu’il s’est passé en 2007 en Estonie où un certain nombre d’attaques ont été attribuées à des pirates informatiques qui agissaient pour des raisons politiques. Il est en effet reconnu aujourd’hui qu’un « groupe de hackers a perpétré des attaques pour une raison patriotique – afin de réagir à la relocalisation d’un mémorial de guerre soviétique en Estonie – sans aucune implication des institutions russes » (Couzigou 2018 : 52).

Il est très rare que les États reconnaissent publiquement leur implication dans des actions visant à influencer les opinions publiques étrangères. Ils essaient au contraire de dissimuler leurs actions par des biais techniques ou en niant une implication des autorités centrales. Ces difficultés liées à l’attribution sont peut-être encore plus importantes pour les actions dites de propagande. L’Otan a en effet publié un rapport sur les ingérences dans les processus électoraux des pays de l’alliance dans lequel elle reconnaît qu’« il est bien connu que des faits commis dans le cyberespace sont difficiles à attribuer. Cela est particulièrement vrai pour les opérations informationnelles, dont le but est de créer une atmosphère de doute, de défiance et de confusion » (Assemblée parlementaire de l’Otan 2018 : 4).

Les États sont par conséquent assez réticents à l’idée d’attribuer publiquement une cyberattaque alors qu’ils n’ont pas forcément les preuves suffisantes de l’implication d’autorités étatiques. Pour ne citer qu’un exemple, à la suite de la campagne de désinformation dont a été victime le candidat aux élections présidentielles françaises, Emmanuel Macron, « [l]a plupart des experts français en cybersécurité ont refusé d’attribuer officiellement cet incident à la Russie. Après l’élection, le chef de la cybersécurité du gouvernement français a indiqué qu’il n’existait pas suffisamment de preuves pour remonter jusqu’aux auteurs de l’attaque (Associated Press 2017) » (Assemblée parlementaire de l’Otan 2018 : 9).

Cependant il ne faut pas déduire de l’absence d’implication étatique une totale irresponsabilité théorique de l’État. En effet, un État peut être tenu responsable de faits imputables à des acteurs privés. En particulier, le projet d’articles sur la responsabilité de l’État pour fait internationalement illicite, rédigé par la Commission du droit international, prévoit, dans son article 8, que « [l]e comportement d’une personne ou d’un groupe de personnes est considéré comme un fait de l’État d’après le droit international si cette personne ou ce groupe de personnes, en adoptant ce comportement, agit en fait sur les instructions ou les directives ou sous le contrôle de cet État » (Assemblée générale de l’Onu 2002). Par conséquent, si un État a recours à des pirates informatiques afin de mener à bien une opération de propagande, et qu’il est avéré qu’il a exercé sur eux un contrôle effectif ou que ceux-ci ont agi sur ses instructions, l’État pourra être tenu responsable des agissements de ces personnes privées. Tel serait le cas par exemple d’un État demandant à des universitaires spécialistes en informatique de mener une cyber-attaque (Maçak 2016 : 415).

L’article 11 du projet d’articles de la Commission du droit international dispose qu’« [u]n comportement qui n’est pas attribuable à l’État […] est néanmoins considéré comme un fait de cet État d’après le droit international si, et dans la mesure où, cet État reconnaît et adopte ledit comportement comme sien » (Assemblée générale de l’Onu 2002). Cet article implique qu’un État, bien que n’ayant pas matériellement commis l’acte de propagande litigieux, peut voir sa responsabilité engagée s’il adopte les actions effectuées par des pirates comme étant les siennes. En réalité, l’effectivité de cet article est à nuancer car, bien souvent, les États, sans condamner fermement les actes de leurs ressortissants, vont s’en dissocier. Cela a été le cas pour le piratage du Parti démocrate puisque les autorités russes ont déclaré que « [c]e qui est important, c’est que ce contenu ait été diffusé auprès du public, […] estimant que les accusations contre Moscou visent à “détourner l’attention” du contenu des messages » (Ouest France 2016). Il est possible de comprendre à travers cette déclaration que les autorités russes souhaitent à la fois nier les accusations dont elles font l’objet tout en évitant de dénoncer les actions qui ont été menées, et qui, semble-t-il, auraient contribué à l’information des citoyens américains.

Enfin, il convient de mentionner le principe de due diligence (diligence raisonnable) qui peut permettre, à certains égards, de contourner les problèmes juridiques liés à l’attribution d’une action de cyber-propagande. En effet, le principe de due diligence permet de tenir un État responsable d’un comportement internationalement illicite commis par une personne privée dès lors que l’État en question était au courant ou aurait dû être au courant de ces comportements. Comme l’explique Robert Kolb,

le pont qu’il faut nécessairement jeter au-dessus du gouffre qui sépare les activités privées de l’action de l’État est le devoir de diligence raisonnable. L’État doit faire preuve de diligence raisonnable dans ce contexte, en empêchant que des torts soient causés à d’autres États par des personnes privées.

Kolb 2015 : 119

Dès lors qu’il n’y a plus besoin de constater l’implication d’un État dans une opération de cyber-propagande pour le tenir responsable d’une violation du droit international (dans l’hypothèse où les États sont tenus de ne pas s’adonner à des actes de propagande), le principe de due diligence permet de faciliter l’attribution, au sens juridique du terme. Ainsi, comme le reconnaissent certains spécialistes de la question de l’application du droit international, « le fait de reconnaître une obligation de diligence raisonnable en matière de cyberespace, afin de répondre à la perpétration des méfaits qui pourraient y être commis, pourrait atténuer le dilemme de l’attribution » (Talbot Jensen et Watts 2017 : 1558). Un exemple récent de l’application de ce principe de due diligence s’est matérialisé en France lorsque les gendarmes français ont anéanti un réseau de botnet situé en région parisienne, qui avait infecté des machines à travers le monde et notamment en Amérique du Sud (Adam 2019). Le comportement des gendarmes français a été conforme à ce devoir de due diligence, et l’on peut en déduire qu’en ayant eu connaissance de l’existence de ce réseau sur leur territoire, les autorités françaises se seraient rendues coupables d’une violation du droit international si elles s’étaient abstenues de prendre des mesures destinées à faire cesser l’utilisation d’infrastructures situées sur le territoire français à des fins malveillantes par des pirates informatiques.

Les effets de cette doctrine demeurent toutefois très limités dans la mesure où, pour l’instant, les États n’ont jamais été tenus responsables d’une violation du droit international à cause d’actions de propagande, qu’elles aient été commises directement par une agence étatique, ou par l’entremise de personnes privées. Reste à voir quels sont les remèdes qui sont effectivement mis en oeuvre par les États pour se prémunir contre des actions de propagande venant de l’étranger. À ce titre, il est possible de constater que la plupart des États préfèrent recourir à leur droit national.

B – Les remèdes nationaux aux actions de propagande d’origine étrangère

Les législations nationales évoluent de manière à tenir compte de cette nouvelle menace de propagande par les biais numériques. Cela s’est manifesté en France par l’adoption le 20 novembre 2018 de la loi contre la manipulation de l’information. Au cours des débats parlementaires, la ministre de la Culture, Françoise Nyssen, a déclaré que « [l]’enjeu est de protéger notre démocratie vis-à-vis des tentatives de déstabilisation provenant d’États étrangers. Celles-ci sont réelles : nous ne pouvons pas nous permettre, dans une naïveté coupable, de ne pas nous doter des outils nécessaires à notre défense » (Assemblée nationale 2018). Ainsi, les États adoptent dans leurs législations nationales des dispositions permettant de lutter contre ces formes de désinformation venant de l’étranger, faute d’un consensus international sur la question[10]. Ainsi, bien souvent l’origine étatique d’une action de propagande n’est pas avérée et ce sont les droits pénaux nationaux qui prennent la relève afin d’éviter que demeurent impunies les actions de propagande.

Cependant, la forte réprobation en droit interne des actions de propagande commises par des étrangers est de nature à laisser penser que la propagande est, en droit international, sinon interdite, du moins considérée comme inamicale. C’est ainsi que

l’application d’une condamnation criminelle par les États-Unis à l’encontre de citoyens russes impliqués dans l’opération d’influence, s’ajoutant à des sanctions diplomatiques […], semble effectivement indiquer une tendance à considérer que de telles opérations enfreignent tant les lois nationales qu’internationales, et un éloignement de la politique du silence et de l’ambiguïté s’agissant de la position des États quant au statut des opérations d’influence cyber dans le cadre du droit international.

Efrony et Shany 2018 : 642-643

En effet, à la suite des événements qui ont éclaboussé la campagne présidentielle américaine de 2016, le Procureur américain Robert Mueller a mis en examen « treize individus et trois entreprises associées aux opérations de trollage » (Schmitt 2018 : 36). Les liens entre ces pirates russes et le gouvernement russe font l’objet de controverses. Il est notamment dit à propos de ces pirates russes que « les agents du gru étaient à l’origine des fuites perpétrées par “DCLeaks” et “Guccifer 2.0.” […] Deux agents russes ont été mis en accusation pour avoir piraté des ordinateurs destinés à l’administration des élections de 2016 » (Efrony et Shany 2018 : 616). Autrement dit, si l’on reprend les critères de mise en oeuvre de la responsabilité internationale, il semblerait que ceux-ci soient réunis. D’après ce qui est allégué, les individus ayant piraté les serveurs du Parti démocrate feraient partie des services gouvernementaux russes. Dès lors que ces individus agissent en leur qualité d’agents du gouvernement, ces actes sont imputables à l’État. Cependant l’hésitation américaine à invoquer une violation du droit international est particulièrement intéressante. Comme nous l’avons dit, la question de savoir si une action de propagande est ou non constitutive d’une violation du droit international demeure sujette à débats. Par conséquent, les États victimes préfèrent poursuivre les personnes physiques qui se sont rendues coupables de tels actes, conformément aux dispositions de leur droit pénal interne, plutôt que d’invoquer une violation du droit international, sans être certains de la qualification juridique à retenir, et sans être en mesure de démontrer sans équivoque l’implication étatique.

Le problème d’un tel comportement est qu’il fait planer certaines incertitudes concernant le droit international applicable aux activités dans le cyberespace. Le corpus normatif du droit international paraît inadapté au nouveau phénomène des cyber-opérations de faible intensité, au premier rang desquelles se trouvent les actions de propagande. En effet, la question qui se pose au sujet de ces opérations déstabilisantes mais non coercitives est de savoir si elles sont considérées comme illégales ou simplement inamicales. Comme le soulignent Scott Shackelford, Scott Russell et Andreas Kuehn, « il existe un grand éventail de cyberactivités qui pourraient mettre à mal la souveraineté d’un État. Et il n’existe aucun profil clair de comportement qui serait acceptable au niveau international » (Shackelford, Russell et Kuehn 2016 : 12).

La solution pour mettre fin à ces incertitudes serait d’élaborer un traité du cyberespace qui régirait l’ensemble des comportements interétatiques dans le cyberespace, allant de la simple action de désinformation à l’agression armée. Nous pensons par conséquent, avec Mary Ellen O’Connell, que,

outre le fait qu’il établit des règles claires pour les droits et devoirs au niveau de la nation sur Internet, un traité peut clarifier ce qui est autorisé au niveau individuel. Un traité peut préciser le type de conduite que tous les États doivent réguler au moyen des institutions d’application des lois nationales et en coopération avec d’autres organismes nationaux et internationaux.

O’Connell 2012 : 206

En effet, même si la doctrine internationaliste en matière de cybersécurité est assez prolifique, les experts ne sont pas unanimes lorsqu’il s’agit de déterminer les normes de droit international applicables aux actions dans le cyberespace, et encore moins lorsqu’il s’agit de définir la façon dont elles doivent être appliquées. Les rapports du gge ainsi que le Manuel de Tallinn ont constitué une grande avancée ; cependant ils ne forment pas (encore) le droit positif en matière de relations interétatiques dans le cyberespace.

Les remèdes nationaux, quant à eux, ont un effet dissuasif assez réduit dans la mesure où l’effectivité de l’exécution de la peine dépendra, en définitive, des mécanismes de coopération judiciaire et policière en matière pénale qui restent, en l’état du développement de la communauté internationale, grandement insatisfaisants. Il nous semble donc indispensable de clarifier le contenu des normes de droit international applicables aux actions dans le cyberespace, en identifiant notamment les comportements qui sont susceptibles de fragiliser les relations internationales. Il est incontestable à cet égard que les actions de propagande représentent un danger, dans la mesure où elles ont vocation à atteindre le coeur même de ce qui fait un État démocratique, à savoir l’intégrité du processus de prise de décision.

Pourtant l’adoption d’un traité sur le cyberespace est en l’état très improbable. En effet, des visions antagonistes du cyberespace existent entre les États. Pour schématiser, tandis que les États occidentaux prônent l’existence d’un cyberespace multi-acteurs fondé sur la liberté d’expression, les États d’Europe de l’Est et la Chine ont une vision beaucoup plus stato-centrée et souverainiste du cyberespace[11]. Ces divergences de vision nous obligent à constater « les difficultés pratiques et politiques qui entourent l’élaboration de traités multilatéraux dans l’arène de la cybersécurité » (Shackelford et Russell 2016 : 9). Il est même possible de se demander si l’absence de normes claires à appliquer dans le cyberespace ne satisfait pas la majorité des États. À l’instar de l’espionnage qui n’est ni prohibé, ni autorisé en droit international (Navarrete 2016), il serait possible de dire que les actes de cyber-propagande ne sont ni formellement interdits, ni autorisés, et qu’ils relèvent plutôt de questions d’opportunité. Ce silence pourrait s’interpréter comme une volonté de ne pas vouloir contribuer à une inflation normative, tout en sachant qu’en cas de cyber-attaques particulièrement violentes, les normes de droit international général (non-intervention, interdiction du recours à la force) pourront toujours être invoquées. À l’inverse, les États profitent peut-être de l’absence de régulation de la cyber-propagande pour influer sur leurs partenaires et concurrents potentiels d’une manière qui serait inenvisageable dans l’hypothèse de l’adoption d’un traité international en matière de cybersécurité.

Conclusion

Les actions de propagande sont protéiformes et de plus en plus fréquentes. Elles ne sont pas réellement encadrées par le droit international dans la mesure où il n’existe pas de lex specialis du cyberespace et que le droit international existant est peu adapté à ces nouvelles formes d’ingérences étrangères. En effet, le principe de souveraineté n’est pas universellement reconnu comme une norme applicable aux actions dans le cyberespace. Le principe de non-intervention, quant à lui, est défini en droit international de manière restrictive, de telle manière qu’une action de propagande a peu de chance de répondre à cette qualification. Une solution intermédiaire serait de reconnaître l’existence d’un principe de non-ingérence, qui serait atteint dès lors qu’un État ferait l’objet d’une intervention non coercitive venant de l’étranger, cependant un tel principe n’est pas reconnu en l’état actuel du droit international. Les États, assez logiquement, se tournent vers leur droit interne afin de sanctionner ces actions de propagande. Cependant, nous sommes d’avis que seule l’adoption d’un traité du cyberespace, qui aurait vocation à réguler l’ensemble des rapports interétatiques dans le cyberespace, serait de nature à empêcher les actions de propagande et de désinformation de perdurer dans la société internationale.