Le fait

Le 16 juillet 2026, le Canada a signé la Convention des Nations Unies contre la cybercriminalité. Rien d’anodin. Le Canada avait combattu le lancement même de ces négociations, et il était absent de la cérémonie d’ouverture à Hanoï, en octobre 2025. Le revirement est complet, et il est passé quasiment inaperçu.

Petit rappel de calendrier, parce qu’il change tout. La Convention a été adoptée par l’Assemblée générale de l’ONU en décembre 2024, ouverte à la signature en octobre 2025, et le Canada vient d’y apposer son paraphe. Or signer n’est pas ratifier. Le texte compte aujourd’hui plus de 70 signataires, mais une poignée de ratifications seulement, et il n’entrera en vigueur que 90 jours après le 40e instrument de ratification déposé. Autrement dit, rien n’est encore opérationnel. Ce qui se joue, c’est la trajectoire.

Et elle mérite qu’on s’y arrête. Derrière le nom rassurant de « convention contre la cybercriminalité » se cache un accord de partage transfrontalier de preuves dont la portée dépasse très largement le piratage.

Pourquoi ça compte pour toi

Commençons par ce qui est écrit noir sur blanc. Les pouvoirs d’enquête du traité ne visent pas que les infractions « cyber » : ils couvrent la preuve électronique de n’importe quelle infraction. La coopération internationale, elle, s’étend à tout « serious crime », défini comme une infraction punie d’au moins quatre ans de prison en droit interne.

Traduction : un État répressif qui a criminalisé le journalisme, le militantisme ou l’homosexualité pourrait convertir ses propres lois en déclencheurs de collecte de preuves à l’autre bout du monde, une fois le traité en vigueur.

Vient ensuite l’angle qui fait mal. Selon l’analyse de Kate Robertson, du Citizen Lab, portant sur le projet de texte, les articles 46 à 48 organisent des canaux de partage qu’elle qualifie de « secretive », sans restriction sur l’origine territoriale des données et, surtout, sans aucune interdiction de partager des données obtenues par spyware.

L’article 40 impose l’entraide « la plus large possible », et les articles 47 et 48 autorisent une coopération policière directe et des enquêtes conjointes qui invitent au forum shopping, ce magasinage entre juridictions, vers les plus complaisantes avec le spyware.

Le point à bien tenir : rien dans le texte n’exige qu’une preuve ait été obtenue légalement pour circuler. C’est un fait établi, pas une supputation. Le risque, lui, est projeté mais argumenté : une fois ratifié, ce traité peut servir à faire entrer par la grande porte des données qu’un spyware a volées par la fenêtre. Robertson le dit sans détour, ce texte est « en passe de devenir un vecteur de complicité dans le commerce mondial de l’espionnage illégal ». Blanchiment n’est pas un gros mot ici, c’est la mécanique.

C’est exactement la logique de Chat Control / CSAR, dont on a suivi le trilogue final, vue sous un autre angle. L’UE veut forcer le scan de tes messages côté client, avant chiffrement. L’ONU, elle, ne touche pas à ta crypto : elle légalise la circulation des preuves une fois qu’elles existent, quelle qu’en soit la provenance. Deux bouts du même tuyau. Et ce traité n’est pas un cas isolé, c’est la 20e pièce de la convergence des textes mondiaux qu’on suit depuis des mois, après les 19 déjà recensés.

Le vrai piège n’est pas la compétence des tribunaux, c’est la portée extraterritoriale de la coopération. Robertson prévient que « la portée excessive du traité et sa compétence extraterritoriale vont accroître encore les risques pour les chercheurs en sécurité ». Michael Geist, lui, parle d’un traité de surveillance déguisé et cite une lettre de vingt organisations canadiennes alertant sur « un canal permanent de répression transnationale » visant les diasporas. Et plus de 120 experts en sécurité redoutent de voir la recherche de bonne foi criminalisée.

Soyons complets : le traité a ses défenseurs, INTERPOL a salué son adoption, et l’idée de coopérer contre la vraie cybercriminalité n’est pas illégitime. Le problème, c’est l’absence quasi totale de garde-fous. Pas de contrôle judiciaire indépendant obligatoire, autorisation laissée au droit interne, gag orders autorisés (ces injonctions de silence qui interdisent de révéler qu’une demande a même eu lieu), aucune exception d’infraction politique, aucun mécanisme pour suspendre un État qui piétine les droits humains. Les protections restent largement facultatives.

Ce que tu fais maintenant

Rien à installer, rien à corriger : le traité n’est pas en vigueur, et ce n’est pas une faille produit. C’est une trajectoire réglementaire, et une trajectoire, ça se surveille. Si tu es journaliste, chercheur en sécurité, lanceur d’alerte ou membre d’une diaspora exposée, c’est toi que la portée extraterritoriale vise en premier.

1. Surveille la ratification, pas la signature. Le compteur qui compte, c’est celui des 40 ratifications : tant qu’il n’est pas atteint, le texte n’a aucun effet.

2. Exige de tes élus une réserve explicite sur l’origine des preuves. Un traité se ratifie avec des garanties nationales : c’est là, dans les lois de mise en œuvre, que se gagne ou se perd le vrai combat.

3. Chiffre par défaut et cloisonne. Ce que Signal, Proton et une bonne hygiène de données ne produisent pas, personne ne pourra le partager. Le meilleur rempart contre un canal de preuves, c’est encore de ne pas générer la preuve.

La bonne nouvelle, c’est qu’un texte pas encore ratifié reste un texte qu’on peut border. La mauvaise, c’est que presque personne ne regarde. Fais partie des rares qui regardent.

Sources

• Citizen Lab (citizenlab.ca), le laboratoire de la Munk School à Toronto : Kate Robertson y décortique les risques de la signature canadienne (source primaire).
• Kate Robertson, Lawfare, l’analyse de fond article par article du projet de convention.
• Michael Geist (michaelgeist.ca), juriste canadien de référence sur le numérique, pour l’angle Canada et la lettre des vingt organisations.
• EFF (eff.org), déclaration conjointe de Hanoï sur le partage de preuves et l’absence de mécanisme de suspension.
• Gouvernement du Canada (canada.ca), le communiqué officiel de la signature du 16 juillet 2026.
• ONUDC (unodc.org), le texte de la Convention et l’état des signatures et ratifications.