Responsabilité des civils participant à des cyberopérations
De plus en plus, les États s'associent à des acteurs non étatiques pour assurer la défense de leurs intérêts dans le cyberespace. La compréhension du statut de ces acteurs, qui peuvent être appelés à réaliser des cyberopérations contre des acteurs étatiques étrangers, s'avère délicate.
Aux États-Unis, un certain nombre d'instruments, dont le 2022 National Defense Authorization Act et l'initiative Joint Cyber Defense Collaborative, dtémoignent de la prise en compte d'un besoin de renforcement de la coordination privé-public. La France a ouvert son campus cyber sous le patronage du Président de la République. La création de cette entité vise à renforcer la coopération entre les parties prenantes, à contribuer au développement de biens communs en matière de cybersécurité, à soutenir la recherche et l'innovation, et à développer les formations en cybersécurité. Le Royaume-Uni, dans saIntegrated Review of Security, Defence, Development and Foreign Policy.consacre également un rôle au secteur privé. Singapour a créé sa Cyber Security Agency ("CSA") en 2015, afin de renforcer la collaboration public-privé.
Ces entités jouent un rôle central dans la défense des intérêts des États et, en cas de conflit, elles peuvent prendre part à la défense des intérêts de l'État. En cas de conflit armé international, certaines des entreprises contribuant à ce type d'initiative de coordination et leurs employés peuvent donc participer à des opérations contribuant à un conflit armé.
Prenons un scénario simple : l'État Jaune a établi un partenariat avec une entreprise technologique jaune Y pour protéger ses intérêts dans le cyberespace, lorsqu'un conflit armé international éclate avec l'État Bleu. Jaune utilise Y pour mener des cyberopérations dans le cadre de son conflit armé international avec Bleu. Quel est le statut de Y et de ses opérateurs ?
La détermination de ce statut s'appuiera sur la distinction fondamentale du droit international humanitaire entre civils et combattants, et sur les implications qu'elle comporte. Dans un conflit armé international, les civils sont définis de manière négative comme toute personne qui n'est pas un combattant. Les combattants sont eux-mêmes définis par déduction des individus ayant droit au statut de prisonniers de guerre. Ils se composent en général de forces armées et de groupes rattachés. La détermination de leur statut entraîne des conséquences fondamentales sur le traitement auquel ils ont droit, et dicte principalement :
le traitement qu'ils recevront en cas de capture ;
- s'ils peuvent ou non être poursuivis pour leur participation ;
- s'ils peuvent être pris pour cible par les forces ennemies et de quelle manière.
Le Manuel de Tallinn a développé un cadre optant majoritairement pour la qualification des entreprises comme « groupe armé organisé appartenant à une partie », les prestataires individuels, pour leur part, devant être qualifiés de civils participant directement aux hostilités.
1. Responsabilité des entreprises
Le sort des entreprises et de leurs employés semble être assez simple. Le Manuel de Tallin révèle en effet que la majorité des experts ont estimé que l'entreprise « qui a été engagée par une partie au conflit pour effectuer des opérations militaires spécifiques telles que des cyberattaques contre l'ennemi » « peut être considérée comme un groupe armé organisé appartenant à une partie au conflit». Les employés seraient donc membres d'un groupe armé appartenant à une partie.
Tant l'entreprise que ses employés seraient donc qualifiés de combattants si, conformément à l'article 4A(2) de la troisième Convention de Genève, ils :
- sont sous le commandement d’un responsable ;
- portent une tenue ou des emblèmes qui permettent de les distinguer ;
- portent leurs armes ouvertement ; et
- mènent leurs opérations conformément au droit international humanitaire.
Cette détermination a trois effets principaux.
Traitement lors de la capture :
Les combattants bénéficient du statut de prisonnier de guerre dès leur capture. Ils doivent, par conséquent, être traités humainement et rapatriés avec diligence.
Immunité en cas de poursuites :
Les combattants bénéficient d'une immunité et ne peuvent donc pas être poursuivis pour leur participation à la guerre dans les limites du respect du droit des conflits armés.
Possibilité d’être ciblés de façon intentionnelle :
Les combattants sont, par principe, des cibles licites, sauf s'ils sont hors de combat. Le fait que les opérateurs participent d’un lieu géographique éloigné ne modifie pas leur statut de combattant. Ils peuvent être visés « par des moyens cybernétiques ou d'autres moyens licites », y compris des moyens létaux.
2. Responsabilité des individus
Les experts du Manuel de Tallin ont adopté une approche différente pour les « prestatires individuels » et ont estimé que ceux-ci ne bénéficieraient pas du statut de combattant. La formulation, et l'utilisation du terme « contractuels » en particulier, semble encadrer les individus qui passent un contrat avec un Etat pour l'exécution d'une mission. Compte tenu de l'ampleur des conséquences d'une telle distinction, et du peu de différence en termes pratiques entre un consultant et le salarié d'une entreprise, le constat peut paraître surprenant.
La participation d'un civil à des hostilités ne lui fait pas nécessairement perdre sa protection civile. Trois critères déterminent si les actes entrepris par les civils constituent une participation directe aux hostilités, entraînant la perte de la protection :
seuil de nuisance : « l'acte doit être susceptible d'affecter négativement les opérations militaires ou la capacité militaire d'une partie à un conflit armé ou, à défaut, d'infliger la mort, des blessures ou la destruction de personnes ou de biens protégés contre une attaque directe. » A cet égard, le Manuel de Tallinn donne comme exemple le cas où la cyber-opération « perturbe le réseau de commandement et de contrôle de l'ennemi » ou même, pour une minorité d'experts, « des actes qui renforcent sa propre capacité militaire », comme le « maintien de cyber-défenses passives de cyber-actifs militaires ».
causalité directe: « il doit exister un lien de causalité direct entre l'acte et le dommage susceptible de résulter soit de cet acte, soit d'une opération militaire coordonnée dont cet acte fait partie intégrante ».
lien avec le belligérant: l'acte doit être spécifiquement conçu pour causer directement le seuil de dommage requis en faveur d'une partie au conflit et au détriment d'une autre.
Si ces conditions étaient remplies, les civils seraient privés de protection « pendant le temps » où ils « participent directement aux hostilités ». Cette privation a trois effets principaux.
Traitement lors de la capture :
Les civils qui participent aux hostilités ne bénéficient pas du traitement auquel les prisonniers de guerre ont droit. Ils bénéficient néanmoins des garanties fondamentales de l'article 75 du Protocole additionnel I, qui sont devenues coutumières.
Immunité en cas de poursuites :
Les civils participant directement aux hostilités ne bénéficient pas de l'immunité des poursuites et peuvent être poursuivis en vertu du droit national pour les cyberopérations qu'ils mènent et qui enfreignent le droit national, même si celles-ci sont légales en vertu du droit des conflits armés.
Possibilité d’être ciblés de façon intentionnelle :
En raison de sa participation directe aux hostilités, un civil perd la protection contre les attaques « pour la durée » de sa participation directe. La période pendant laquelle le civil perd sa protection a fait l'objet d'un débat. Les experts du Manuel de Tallin, dans leur majorité, ont estimé que la durée de la participation directe d'un individu s'étend du début de son implication dans la planification de la mission jusqu'au moment où il cesse de jouer un rôle actif dans l'opération. Dans le cas d'une mission, composée de plusieurs opérations, les experts n'étaient pas d'accord sur la question de savoir si la période « pour la durée de » devait consister en la mission dans son ensemble, ou si chaque action devait être une participation distincte. Les enjeux sont importants : dans le premier cas, le civil ne serait une cible licite que pendant chaque opération, immédiatement avant et immédiatement après ; dans le second, le civil le deviendrait pendant une période de plusieurs jours, semaines ou mois pendant laquelle la mission durerait.
En outre, le Manuel de Tallinn prévoit qu'un civil participant directement aux hostilités peut « être attaqué par des moyens cyber ou tout autre moyen licite ». Un civil participant directement aux hostilités peut donc être visé dans la même mesure qu'un combattant. Il n'y a pas plus d'obligation reconnue, par exemple, de capturer un civil participant directement aux hostilités qu'il n'y en aurait une dans le cas d'un combattant, et il est légal pour les forces armées d’abattre un ennemi qui pourrait être capturé à la place, tant qu'il ne se rend pas. La théorie dite de Pictet, bien que débattue, n'a pas été intégrée au droit international humanitaire.
3. Conclusion
Il est essentiel qu'un civil engagé dans un conflit armé tienne compte des conséquences de l'atteinte du seuil de participation directe aux hostilités. Un civil ne peut devenir une cible légitime ou faire l'objet de poursuites tant qu'il n'atteint pas ce seuil. Dès que affectent négativement les opérations militaires ou la capacité militaire d'une partie à un conflit armé ou, à titre subsidiaire, infligent la mort, des blessures ou la destruction de personnes ou de biens protégés contre une attaque directe,ils deviennent en revanche une cible légitime, sans pour autant bénéficier du statut de combattant, et peuvent donc être poursuivis en vertu du droit interne de l'État ennemi. Dans cette situation, il peut être pertinent d'envisager de devenir combattant afin de bénéficier de l'immunité contre les poursuites, en particulier lorsque la participation s'étend sur une période prolongée pendant laquelle le civil peut être légalement intentionnellement ciblé. En effet, tant le combattant que le civil participant directement aux hostilités sont des cibles légitimes, mais seul le combattant bénéficie de l'immunité de poursuites. Il s'agit donc de reconnaître ce seuil et de déterminer quand il convient de devenir un combattant plutôt qu'un civil participant directement aux hostilités. En d'autres termes, lorsqu'on envisage de participer à des hostilités, en particulier sur une longue période, il est conseillé de rester en dessous du seuil de dangerosité afin de conserver un statut de civil, ou d'envisager son intégration dans les forces armées afin de bénéficier du statut de combattant.
Le critère distinctif, consistant à déterminer si la participation aux hostilités est individuelle – ce qui s'appliquerait à un consultant – ou a été menée en tant qu'employé d'une entreprise qualifiée de groupe armé organisé appartenant à une partie, semble abrupt, et pourrait gagner en granularité dans les prochaines éditions du Manuel de Tallin. Le raisonnement apparaît d'autant plus discutable que la détermination est lourde de conséquences pour les opérateurs.
Le développement rapide de l'utilisation par les États de civils dans leurs cyberactivités soulèvera d'autres questions dans un avenir proche. L'une d'elles est déjà la responsabilité des États ayant recours à des civils dans le conflit, certains auteurs allant jusqu'à affirmer que « les États qui emploient des civils pour remplir des fonctions de renseignement, exécuter des attaques ou toute autre opération essentielle à la réussite d'une attaque destructive de réseau informatique » violeraient le droit de la guerre. Il est également intéressant de noter que, si une entreprise contractante ne remplit pas les quatre critères précédemment cités pour être qualifiée de groupe armé appartenant à une partie, sa participation au conflit armé pourrait potentiellement donner lieu à un conflit armé non-international entre celle-ci, en tant que groupe armé non étatique, et un État. Enfin, ce sujet fait également écho au débat sur les assassinats ciblés. En effet, l'opérateur pouvant attaquer à distance, potentiellement depuis le territoire d'un État où aucune hostilité n'a lieu, le fait de le cibler intentionnellement, quoique légalement, peut s'apparenter à un assassinat. L'interdiction de la trahison en droit des conflits armés protégerait potentiellement les opérateurs, combattants ou civils, d'être légalement ciblés dans ces conditions, bien que cette règle ait été affaiblie par l'utilisation, entre autres, des frappes de drones par les Etats-Unis.