Le rapport analyse le contrôle des exportations de technologies de cybersurveillance et l’application pratique du règlement (UE) 2021/821. La question centrale consiste à déterminer quelle capacité technique est réellement transférée à un utilisateur donné, si cette opération relève du contrôle des exportations et quels éléments doivent être examinés lorsqu’une technologie risque d’être utilisée à des fins de répression interne ou de violations graves des droits humains ou du droit international humanitaire.

L’étude distingue deux mécanismes principaux. Pour les biens figurant à l’annexe I, le point de départ est une classification technique précise. Pour les moyens de cybersurveillance non inscrits sur cette liste, l’article 5 prévoit un mécanisme spécifique lié à certaines utilisations particulièrement sensibles. L’absence d’un produit à l’annexe I ne suffit donc pas à mettre fin à l’analyse. À l’inverse, le simple fait qu’un logiciel puisse théoriquement être détourné à des fins de surveillance ne crée pas automatiquement une obligation d’autorisation. Les fonctions réelles de la version fournie, le circuit de transfert, l’utilisateur final et l’usage prévu doivent être examinés ensemble.

Une partie importante du rapport est consacrée à la vérification de l’utilisation finale. L’analyse distingue l’acheteur, le destinataire, l’opérateur du système et l’autorité qui décide des personnes à surveiller. Elle couvre également les intermédiaires, l’accès à distance et dans le cloud, les mises à jour logicielles, l’assistance technique ainsi que les changements d’utilisateur ou de pays après l’autorisation initiale. Les différents seuils de l’article 5 sont étudiés séparément afin de ne pas confondre notification d’une autorité, connaissance par l’exportateur d’un usage sensible et éventuelles règles nationales fondées sur l’existence de soupçons.

ARGA propose une organisation pratique fondée sur une fiche fonctionnelle du produit, un dossier structuré pour chaque opération, un registre des questions non résolues, des conditions de licence précises, des garanties contractuelles et techniques, un réexamen déclenché par des événements après la livraison et un mécanisme sécurisé de signalement des abus. Le rapport insiste particulièrement sur la qualité de la preuve : établir la présence d’un outil, identifier son opérateur et démontrer une utilisation illégale constituent trois conclusions différentes.

La position d’ARGA repose ainsi sur un contrôle ciblé permettant de prévenir les abus graves tout en maintenant une sécurité juridique pour les activités légitimes de cybersécurité, de recherche et de commerce. Le standard pratique proposé consiste à pouvoir répondre à cinq questions : quelle capacité a été transférée, à qui, pourquoi l’opération était admissible, quels faits pourraient modifier cette décision et comment l’organisation en serait informée.