L’affaire Pegasus en Pologne a ouvert un nouveau front : non seulement sur les personnes qui ont été surveillées durant le mandat du parti Droit et Justice (PiS), mais aussi sur qui pourrait accéder aux informations collectées. Les résultats publiés le 14 octobre 2026 indiquent que le groupe NSO, l’entreprise israélienne derrière le logiciel espion, avait un accès technique aux données recueillies lors de la surveillance de politiciens de l’opposition et d’autres citoyens.
Les conclusions ne prouvent pas que le groupe NSO ait obtenu des éléments provenant d’opérations de surveillance spécifiques. Elles montrent cependant que les informations circulaient à travers des serveurs contrôlés par le fabricant, tandis que le Bureau central de lutte contre la corruption de Pologne n’avait pas un contrôle complet sur le fonctionnement du système. Cette situation a créé un risque potentiel d’exposition d’informations hautement sensibles en dehors de la portée directe des autorités polonaises.
Le Premier ministre Donald Tusk a qualifié cette affaire de l’un des plus grands scandales de l’histoire de la Pologne depuis la chute du communisme. Son importance réside dans la combinaison de deux préoccupations distinctes : l’utilisation d’un outil de surveillance puissant dans un contexte politiquement chargé et la dépendance d’une institution de sécurité de l’État à une infrastructure technique contrôlée par des étrangers.
L’accès était possible ; un transfert n’a pas été prouvé
La découverte centrale concerne la manière dont Pegasus était configuré. Le système n’était pas géré comme un environnement complètement isolé, contrôlé à chaque étape par des responsables polonais. Les données collectées lors de la surveillance passaient par des serveurs contrôlés par le groupe NSO, donnant à l’entreprise un accès technique aux informations circulant dans le système.
Cette possibilité n’est pas équivalente à une preuve que l’entreprise a effectivement pris ou examiné des données provenant d’opérations particulières. Les résultats rapportés ne confirment pas que le groupe NSO a reçu des conversations spécifiques, des messages, des dossiers d’enquête ou d’autres éléments collectés auprès de cibles identifiées. Ils établissent une faiblesse dans la chaîne de contrôle, et non un acte prouvé d’extraction de données.
Cette distinction est importante, mais elle ne rend pas la question simplement théorique. Dans un système de surveillance, le contrôle des serveurs et des flux de données fait partie de l’architecture de sécurité. Si un fournisseur externe peut techniquement accéder à l’infrastructure, des informations sur les individus surveillés, les enquêtes en cours, les méthodes opérationnelles et les actions prévues peuvent être exposées, même lorsqu’aucune fuite concrète n’a été démontrée.
La vulnérabilité, en d’autres termes, est structurelle. Elle découle du fait qu’un fabricant étranger était intégré dans le fonctionnement d’un système utilisé pour recueillir des informations confidentielles, tandis que l’agence polonaise l’utilisant ne conservait pas un contrôle complet sur le fonctionnement du système.
Un outil de surveillance au cœur d’un conflit politique
Pegasus a été utilisé durant la période où le PiS dirigeait le gouvernement polonais pour surveiller des politiciens de l’opposition et d’autres citoyens. Les nouvelles découvertes techniques ajoutent une dimension de sécurité à une question politique déjà controversée : les pouvoirs de surveillance de l’État ont-ils été utilisés dans la lutte contre des opposants politiques ?
Les résultats disponibles ne prouvent pas en eux-mêmes que chaque opération de surveillance était motivée politiquement. Ils affinent cependant les questions sur qui a autorisé l’utilisation de Pegasus, comment les cibles ont été sélectionnées et quel contrôle existait sur les agences qui l’opéraient.
Pour ceux qui ont été surveillés, les préoccupations immédiates concernent la vie privée et la protection des communications. Pour l’État polonais, les enjeux vont plus loin. Les informations sur les cibles de surveillance, les procédures d’enquête et les méthodes utilisées par les services de sécurité peuvent elles-mêmes constituer des informations sensibles pour l’État. Si ces informations sont gérées au sein d’une infrastructure accessible à un fournisseur étranger, la sécurité nationale dépend non seulement des décisions des responsables polonais, mais aussi de la conception et de la gouvernance du système du fournisseur.
Le rapport d’implication de membres du PiS dans l’organisation de l’accès technique ajoute un poids politique à la question. Cela ne prouve pas, à lui seul, qu’un service ou une entreprise étrangère a reçu des fichiers de surveillance. La conclusion la plus solidement étayée est plus étroite : un programme de surveillance d’État contesté a fonctionné à travers une infrastructure que les autorités polonaises ne contrôlaient pas entièrement.
Le problème de souveraineté au sein du logiciel
Les rapports publiés le 14 octobre, y compris la couverture par le média spécialisé The Record, déplacent le centre de gravité de la controverse autour de Pegasus. L’attention antérieure était principalement centrée sur les personnes ciblées et la légalité de la surveillance. Les nouvelles découvertes soulèvent une question supplémentaire : dans quelles conditions une entreprise technologique étrangère peut-elle être intégrée dans un système d’État conçu pour collecter des données exceptionnellement sensibles ?
Un gouvernement peut décider qui surveiller, approuver une opération et conserver une responsabilité légale formelle pour les résultats tout en s’appuyant sur une entreprise extérieure pour l’exploitation technique du système. Cela crée un fossé entre l’autorité institutionnelle et le contrôle pratique. L’État peut posséder l’opération en droit sans contrôler chaque composant par lequel les informations passent.
Ce fossé est particulièrement significatif pour Pegasus, un logiciel conçu pour pénétrer des dispositifs ciblés et en collecter des informations. Les risques ne concernent pas seulement la vie privée des personnes dont les téléphones ont été surveillés. Ils peuvent également impliquer la connaissance des priorités d’enquête, des capacités de surveillance et du fonctionnement interne des agences utilisant l’outil.
À ce stade, les résultats rapportés montrent la possibilité d’accès et un échec du contrôle total de l’État, et non un transfert confirmé de données de surveillance spécifiques au groupe NSO. Reste à savoir si d’autres enquêtes établiront que des éléments d’opérations individuelles ont effectivement quitté le contrôle des autorités polonaises.
Ce qui est déjà clair, c’est que la sécurité d’un système de surveillance d’État ne peut être mesurée uniquement par qui est autorisé à l’utiliser. Elle dépend également de qui contrôle ses serveurs, son logiciel et ses routes de données. Dans le cas de Pegasus en Pologne, cette frontière était moins fermement maintenue que la sensibilité des informations requises.
affaire Pegasus Pologne, surveillance politique, sécurité nationale, NSO Group, vie privée, infrastructure technique, contrôle de l’État
