Abdullah Bozkurt/Stockholm

La Turquie a transféré des pouvoirs considérables en matière d’écoutes téléphoniques, d’accès à Internet, d’infrastructures de communication, de censure en ligne et de trafic numérique du régulateur des télécommunications du pays à la Présidence de la cybersécurité (Siber Güvenlik Başkanlığ), une restructuration radicale conçue pour renforcer encore le président Recep Tayyip Erdogan et institutionnaliser la censure et la surveillance numérique sous couvert de sécurité nationale.

Les modifications ont été adoptées en toute hâte au Parlement et noyées dans un vaste projet de loi omnibus, la loi n° 7590, qui regroupait un large éventail de mesures sans lien entre elles, relevant de domaines politiques totalement différents. La loi a été adoptée le 24 juillet 2026 et publiée au Journal officiel le 31 juillet. Outre des dispositions traitant de sujets aussi disparates que la fiscalité, l’énergie nucléaire, l’éducation, les transports et les services postaux, la législation restructure fondamentalement l’architecture par laquelle le gouvernement turc gère et contrôle l’Internet, les infrastructures de communication et les autorités liées aux écoutes téléphoniques.

Au cœur de cette refonte se trouve un transfert des pouvoirs clés précédemment exercés par l’Autorité des technologies de l’information et de la communication (Bilgi Teknolojileri ve İletişim Kurumu, BTK), un organe de régulation, vers la Présidence de la cybersécurité, une institution directement intégrée à l’appareil de sécurité nationale centré sur l’exécutif depuis sa création en janvier 2025 par un décret d’Erdogan lui-même.

La justification parlementaire du gouvernement ne laisse guère de doute sur l’ampleur du changement. Elle décrit la cybersécurité non plus comme une simple question technique mais comme une question de « souveraineté numérique » et affirme que les pouvoirs concernant la gestion des noms de domaine et des infrastructures Internet ainsi que la détection et l’analyse des communications doivent être concentrés sous l’égide de la Présidence de la cybersécurité. Selon cette justification, cette consolidation vise à réunir sous un même toit les capacités techniques, le renseignement sur les cybermenaces et les fonctions réglementaires.

Ce langage va bien au-delà de la tâche conventionnelle de protection des réseaux informatiques contre les pirates. Dans le cadre du nouveau dispositif, une agence créée pour contrer les cybermenaces acquiert simultanément des pouvoirs importants affectant les procédures judiciaires, les enquêtes du parquet, l’accès à Internet dans le pays, les décisions de censure, l’analyse des communications et l’infrastructure technique utilisée pour les interceptions et les écoutes téléphoniques.

Un nouvel article 60/A de la loi sur les communications électroniques autorise la Présidence de la cybersécurité à déterminer des « mesures » dans les cas urgents et lui permet d’agir soit de sa propre initiative, soit à la demande des agences de sécurité ou de renseignement turques.

 

Texte de la nouvelle loi qui accorde à la Présidence de la cybersécurité des pouvoirs étendus sur l’accès des citoyens aux sites Internet, la surveillance numérique et les écoutes téléphoniques :

 

Une fois l’ordre émis, les opérateurs de télécommunications, les fournisseurs d’accès à Internet, les centres de données, les fournisseurs de contenu et les sociétés d’hébergement sont tenus de s’y conformer immédiatement et au plus tard deux heures après la notification.

La décision est ensuite soumise à un juge dans les 24 heures. Le juge dispose de 48 heures supplémentaires pour statuer, faute de quoi la mesure administrative expire automatiquement. Le système permet donc au gouvernement d’imposer d’abord la restriction et d’obtenir l’autorisation judiciaire ensuite.

Une affaire de corruption, une campagne d’opposition, un rapport d’enquête ou un message politique sensible sur les réseaux sociaux peut perdre l’essentiel de son impact public pendant la période où la restriction administrative reste en vigueur. Une décision de justice rendue après le cycle médiatique peut être incapable de réparer le préjudice.

Compte tenu du contrôle étendu du gouvernement Erdogan sur le pouvoir judiciaire, il y a peu de chances que ces mesures administratives soient soumises à un contrôle judiciaire véritablement indépendant. Dans la pratique, les juges turcs ont systématiquement approuvé des restrictions gouvernementales similaires par le passé, ce qui soulève de sérieux doutes quant à la capacité de l’exigence nominale d’un contrôle judiciaire ultérieur à constituer une garantie efficace contre les abus.

L’ambiguïté juridique la plus importante réside dans l’utilisation par la législation du mot « mesure ». La loi ne définit pas de manière exhaustive les interventions que la Présidence de la cybersécurité peut ordonner dans ce cadre. Elle n’énumère pas clairement les mesures techniques disponibles ni n’en précise la portée ou les limites.

Cette omission est particulièrement importante car les restrictions aux droits constitutionnels sont normalement censées être prévisibles. Les citoyens, les journalistes, les éditeurs et les entreprises de communication devraient pouvoir déterminer à partir de la législation ce que l’État est autorisé à faire et dans quelles circonstances.

Au lieu de cela, l’administration dispose d’une discrétion substantielle pour déterminer à la fois quand une intervention est nécessaire et quelle forme cette intervention doit prendre. Ces préoccupations ont été explicitement consignées dans le rapport de la commission parlementaire turque lors de l’examen du projet de loi le 14 juillet, mais elles n’ont pas donné lieu à des amendements significatifs visant à restreindre les pouvoirs ou à introduire des garanties supplémentaires avant l’adoption de la législation.

 

 

Le rapport indique que la portée et les limites des mesures envisagées devraient être plus clairement établies et que les critères précisant le type et le cadre de l’intervention autorisée devraient être concrètement inscrits dans la loi conformément au principe de sécurité juridique.

Plus significatif encore, le rapport a consigné la préoccupation que le gouvernement éliminait la base juridique existante pour la limitation de bande passante et la remplaçait par un pouvoir défini de manière large et potentiellement illimitée.

Selon le rapport, l’abolition de la base légale existante pour la limitation de bande passante et son remplacement par une mesure dont les contours étaient flous pourraient affaiblir la liberté d’expression et de communication ainsi que les garanties de contrôle judiciaire. Il a donc déclaré que les critères selon lesquels les droits fondamentaux pouvaient être restreints devraient être explicitement établis dans la législation.

Dans le cadre précédent, la limitation de bande passante avait une base légale identifiable. La législation supprime cette disposition tout en confiant à la Présidence de la cybersécurité un pouvoir non spécifié pour déterminer les mesures.

La description du changement par le gouvernement comme une réorganisation de la cybersécurité minimise également l’éventail des fonctions concernées. Le rapport parlementaire indique clairement que le transfert va bien au-delà de la gestion des noms de domaine ou de la protection des réseaux critiques.

Parmi les fonctions transférées du BTK à la Présidence de la cybersécurité figurent les responsabilités de mise en œuvre des décisions de blocage d’accès, d’exécution des ordres de retrait de contenu, de traitement des procédures impliquant des crimes catalogués désignés et des violations de la vie privée, et de fourniture de la capacité technique requise pour l’interception et l’intervention légalement autorisées — en termes pratiques, les capacités d’écoute téléphonique et d’interception de communications utilisées dans les enquêtes pénales.

Ces fonctions, ainsi que les systèmes informatiques, centres de données, infrastructures et personnels correspondants, sont transférées du régulateur des télécommunications à l’agence de cybersécurité. Le transfert crée donc une institution positionnée à l’intersection de la cyberdéfense, de la censure, des infrastructures de télécommunications, de l’analyse des communications et des capacités de surveillance.

 

Il ne s’agit pas simplement d’une réaffectation bureaucratique du personnel de cybersécurité, comme le gouvernement l’a présenté. Il s’agit plutôt de transférer certains des pouvoirs les plus importants de l’État sur l’environnement numérique national d’une institution formellement établie comme régulateur des télécommunications à un organe orienté vers la sécurité avec un mandat de sécurité nationale beaucoup plus large.

La distinction entre cybersécurité et surveillance devient donc de plus en plus floue. La législation modifie séparément la définition des informations de trafic Internet. Auparavant, elle faisait référence aux « informations de port », la définition est élargie pour préciser les informations de port source et de destination. Les informations de port ne divulguent pas en elles-mêmes le contenu de la communication d’une personne, mais elles fournissent des métadonnées plus granulaires concernant la manière dont un appareil communique avec des services numériques particuliers.

Lorsqu’elles sont combinées à d’autres enregistrements d’identification et de connexion, ces métadonnées peuvent potentiellement fournir un aperçu détaillé de l’activité en ligne des utilisateurs. L’importance des métadonnées est souvent sous-estimée précisément parce qu’elles ne contiennent pas le message, l’article ou la conversation elle-même.

Les informations de connexion agrégées peuvent néanmoins révéler quels services une personne utilise, quand les connexions ont eu lieu et comment différentes activités en ligne sont liées les unes aux autres. La préoccupation n’est donc pas seulement de savoir si l’État peut lire ce qu’une personne dit, mais dans quelle mesure il peut reconstituer la trace numérique entourant les activités de cette personne.

 

 

Le rapport parlementaire indique en outre que la responsabilité de fournir les moyens techniques nécessaires à l’interception et à l’intervention légales — communément appelées écoutes téléphoniques — fait partie des fonctions transférées du BTK à la Présidence de la cybersécurité.

Cela signifie que la même présidence combinera de plus en plus le renseignement en matière de cybersécurité, les infrastructures liées aux communications, la mise en œuvre des restrictions Internet et les capacités techniques soutenant l’interception légale. Une telle concentration de fonctions crée une structure centralisée puissante avec une visibilité et un levier sans précédent sur l’écosystème des communications numériques de la Turquie.

Ce n’est pas la première fois qu’Erdogan tente de contrôler les autorités d’écoute. La Turquie a déjà utilisé la Présidence des communications par télécommunications (Telekomünikasyon İletişim Başkanlığı, TİB) comme intermédiaire technique spécialisé pour les demandes d’interception. La police, l’Organisation nationale de renseignement (MİT) et la gendarmerie obtenaient d’abord l’autorisation requise des tribunaux, puis s’appuyaient sur l’infrastructure technique contrôlée par le TİB pour mettre en œuvre l’interception.

Le TİB vérifiait auparavant si un mandat existait et était conforme aux lois applicables avant d’autoriser l’utilisation de son infrastructure pour les écoutes téléphoniques dans le cadre d’une enquête pénale. Cependant, après qu’Erdogan a été incriminé dans d’énormes scandales de corruption en 2013 avec les membres de sa famille et ses associés politiques et commerciaux, il a dissous le TİB et l’a remplacé par le BTK, plaçant un homme de confiance à la tête du BTK afin d’empêcher les enquêtes confidentielles sur sa conduite illégale.

Néanmoins, le BTK est resté institutionnellement séparé de la présidence, et les forces de l’ordre et les services de renseignement peuvent encore utiliser indépendamment le BTK pour mettre sur écoute des cibles. La dernière restructuration supprime ce rôle d’intermédiaire du BTK et place les fonctions concernées au sein de la Présidence de la cybersécurité, qui est directement liée à la hiérarchie présidentielle.

La portée est donc plus large qu’un changement dans lequel un bureau gouvernemental entretient des équipements de télécommunications. Dans ce nouvel environnement, la police, le MİT et la gendarmerie peuvent toujours lancer des enquêtes et obtenir l’autorisation légale nécessaire, mais la mise en œuvre technique de l’interception dépendra désormais d’une infrastructure contrôlée par une institution relevant de la présidence.

Cet arrangement soulève une préoccupation supplémentaire qui va au-delà des questions de vie privée ordinaires : le fait d’acheminer l’interception technique via une institution contrôlée par la présidence pourrait donner à la hiérarchie présidentielle une visibilité sur les cibles de surveillance recherchées par la police, la gendarmerie et même le MİT. Si tel est le cas, les enquêtes impliquant des personnalités politiquement puissantes pourraient être connues en dehors de la chaîne d’enquête avant ou pendant leur déroulement. Cela affaiblit l’autonomie opérationnelle des institutions de sécurité lorsque les enquêtes impliquent des membres de l’élite dirigeante.

En d’autres termes, l’acheminement de l’infrastructure de surveillance via une institution contrôlée par Erdogan réduirait considérablement la capacité des procureurs, de la police et des responsables du renseignement à lancer ou à poursuivre des enquêtes sensibles sans que la présidence en ait connaissance. Cela créerait effectivement un système d’alerte précoce pour Erdogan, lui permettant de savoir qui est enquêté et pour quelle raison, même dans des provinces reculées, et donnant à l’appareil présidentiel une opportunité précoce d’intervenir, d’entraver, de rediriger ou de façonner autrement une enquête en fonction des priorités politiques.

 

L’identité du fonctionnaire placé au centre de la nouvelle structure ajoute une autre dimension politique. Le président de la cybersécurité, Ümit Önal, a bâti l’essentiel de sa carrière dans les secteurs des médias et des télécommunications, notamment à la tête du réseau islamiste radical Kanal 7 et de la chaîne ATV, propriété de la famille Erdogan. Lorsque le gouvernement a saisi le groupe de médias Koza İpek, alors l’un des plus grands conglomérats médiatiques de Turquie, en 2015, pour des accusations que les critiques ont qualifiées de fabriquées, Önal faisait partie des administrateurs nommés par le gouvernement pour prendre le contrôle de l’empire médiatique.

La restructuration implique donc non seulement un changement institutionnel profond, mais aussi des choix de personnel qui reflètent l’emprise de plus en plus serrée qu’Erdogan a établie sur les capacités de surveillance, de contrôle des communications et d’écoute du gouvernement.

Avec cette nouvelle loi, les systèmes et infrastructures existants liés à la cybersécurité du BTK, d’une valeur d’environ 30 milliards de livres turques, seront transférés à la nouvelle présidence. En conséquence, la Présidence de la cybersécurité hérite d’une infrastructure étatique substantielle déjà développée pour gérer et surveiller l’environnement des télécommunications et d’Internet en Turquie. La législation prévoit le transfert des systèmes d’information, des centres de données, des équipements, des biens et du personnel concerné.

Mais ce transfert ne s’applique pas au personnel. La nouvelle législation note que le personnel du BTK n’est pas automatiquement transféré. Les employés existants peuvent demander une réaffectation, mais la Présidence de la cybersécurité doit les approuver. Elle précise également que la nouvelle présidence peut employer des experts contractuels en nombre déterminé par le président, avec des conditions de qualification et de nomination fixées par le Conseil de cybersécurité, ce qui signifie que la nouvelle agence sélectionnera un personnel nouveau et politiquement fiable plutôt que d’hériter simplement de la main-d’œuvre établie du BTK.

Les critiques ont également contesté la manière dont ces changements conséquents ont été légiférés. Les dispositions relatives à la cybersécurité ont été insérées dans un vaste ensemble omnibus impliquant de nombreux sujets sans rapport, allant des retraites et des écoles privées au tourisme, aux postiers, à l’aviation, aux impôts et à l’énergie nucléaire. Le rapport de la commission parlementaire lui-même consigne les plaintes selon lesquelles le fait de regrouper des mesures impliquant plusieurs domaines spécialisés dans le même projet de loi a compromis l’efficacité et la qualité de l’examen législatif.

Il note spécifiquement que les sujets nécessitant une expertise spécialisée, y compris la cybersécurité, auraient bénéficié d’être d’abord examinés par les commissions parlementaires spécialisées compétentes. L’opposition a fait valoir que le fait de combiner des sujets sans rapport affaiblissait la spécialisation parlementaire et réduisait la capacité des législateurs et des commissions spécialisées à examiner correctement une législation complexe.

Au lieu de cela, le projet de loi n’a été débattu qu’à la Commission de la planification et du budget, les motions de l’opposition visant à renvoyer les dispositions spécialisées à la commission compétente pour un examen plus approfondi ayant été rejetées par le bloc au pouvoir d’Erdogan.

La Turquie a désormais transformé la cybersécurité d’un bouclier contre les menaces extérieures en un instrument de plus en plus puissant pour contrôler l’espace numérique occupé par ses propres citoyens et exercer une influence indue sur les enquêtes pénales dans lesquelles les écoutes téléphoniques, l’interception de communications et la surveillance numérique sont utilisées comme outils d’investigation.

Abdullah Bozkurt/Stockholm

La Turquie a transféré des pouvoirs considérables en matière d’écoutes téléphoniques, d’accès à Internet, d’infrastructures de communication, de censure en ligne et de trafic numérique du régulateur des télécommunications du pays à la Présidence de la cybersécurité (Siber Güvenlik Başkanlığ), une restructuration radicale conçue pour renforcer encore le président Recep Tayyip Erdogan et institutionnaliser la censure et la surveillance numérique sous couvert de sécurité nationale.

Les modifications ont été adoptées en toute hâte au Parlement et noyées dans un vaste projet de loi omnibus, la loi n° 7590, qui regroupait un large éventail de mesures sans lien entre elles, relevant de domaines politiques totalement différents. La loi a été adoptée le 24 juillet 2026 et publiée au Journal officiel le 31 juillet. Outre des dispositions traitant de sujets aussi disparates que la fiscalité, l’énergie nucléaire, l’éducation, les transports et les services postaux, la législation restructure fondamentalement l’architecture par laquelle le gouvernement turc gère et contrôle l’Internet, les infrastructures de communication et les autorités liées aux écoutes téléphoniques.

Au cœur de cette refonte se trouve un transfert des pouvoirs clés précédemment exercés par l’Autorité des technologies de l’information et de la communication (Bilgi Teknolojileri ve İletişim Kurumu, BTK), un organe de régulation, vers la Présidence de la cybersécurité, une institution directement intégrée à l’appareil de sécurité nationale centré sur l’exécutif depuis sa création en janvier 2025 par un décret d’Erdogan lui-même.

La justification parlementaire du gouvernement ne laisse guère de doute sur l’ampleur du changement. Elle décrit la cybersécurité non plus comme une simple question technique mais comme une question de « souveraineté numérique » et affirme que les pouvoirs concernant la gestion des noms de domaine et des infrastructures Internet ainsi que la détection et l’analyse des communications doivent être concentrés sous l’égide de la Présidence de la cybersécurité. Selon cette justification, cette consolidation vise à réunir sous un même toit les capacités techniques, le renseignement sur les cybermenaces et les fonctions réglementaires.

Ce langage va bien au-delà de la tâche conventionnelle de protection des réseaux informatiques contre les pirates. Dans le cadre du nouveau dispositif, une agence créée pour contrer les cybermenaces acquiert simultanément des pouvoirs importants affectant les procédures judiciaires, les enquêtes du parquet, l’accès à Internet dans le pays, les décisions de censure, l’analyse des communications et l’infrastructure technique utilisée pour les interceptions et les écoutes téléphoniques.

Un nouvel article 60/A de la loi sur les communications électroniques autorise la Présidence de la cybersécurité à déterminer des « mesures » dans les cas urgents et lui permet d’agir soit de sa propre initiative, soit à la demande des agences de sécurité ou de renseignement turques.

 

Texte de la nouvelle loi qui accorde à la Présidence de la cybersécurité des pouvoirs étendus sur l’accès des citoyens aux sites Internet, la surveillance numérique et les écoutes téléphoniques :

 

Une fois l’ordre émis, les opérateurs de télécommunications, les fournisseurs d’accès à Internet, les centres de données, les fournisseurs de contenu et les sociétés d’hébergement sont tenus de s’y conformer immédiatement et au plus tard deux heures après la notification.

La décision est ensuite soumise à un juge dans les 24 heures. Le juge dispose de 48 heures supplémentaires pour statuer, faute de quoi la mesure administrative expire automatiquement. Le système permet donc au gouvernement d’imposer d’abord la restriction et d’obtenir l’autorisation judiciaire ensuite.

Une affaire de corruption, une campagne d’opposition, un rapport d’enquête ou un message politique sensible sur les réseaux sociaux peut perdre l’essentiel de son impact public pendant la période où la restriction administrative reste en vigueur. Une décision de justice rendue après le cycle médiatique peut être incapable de réparer le préjudice.

Compte tenu du contrôle étendu du gouvernement Erdogan sur le pouvoir judiciaire, il y a peu de chances que ces mesures administratives soient soumises à un contrôle judiciaire véritablement indépendant. Dans la pratique, les juges turcs ont systématiquement approuvé des restrictions gouvernementales similaires par le passé, ce qui soulève de sérieux doutes quant à la capacité de l’exigence nominale d’un contrôle judiciaire ultérieur à constituer une garantie efficace contre les abus.

L’ambiguïté juridique la plus importante réside dans l’utilisation par la législation du mot « mesure ». La loi ne définit pas de manière exhaustive les interventions que la Présidence de la cybersécurité peut ordonner dans ce cadre. Elle n’énumère pas clairement les mesures techniques disponibles ni n’en précise la portée ou les limites.

Cette omission est particulièrement importante car les restrictions aux droits constitutionnels sont normalement censées être prévisibles. Les citoyens, les journalistes, les éditeurs et les entreprises de communication devraient pouvoir déterminer à partir de la législation ce que l’État est autorisé à faire et dans quelles circonstances.

Au lieu de cela, l’administration dispose d’une discrétion substantielle pour déterminer à la fois quand une intervention est nécessaire et quelle forme cette intervention doit prendre. Ces préoccupations ont été explicitement consignées dans le rapport de la commission parlementaire turque lors de l’examen du projet de loi le 14 juillet, mais elles n’ont pas donné lieu à des amendements significatifs visant à restreindre les pouvoirs ou à introduire des garanties supplémentaires avant l’adoption de la législation.

 

 

Le rapport indique que la portée et les limites des mesures envisagées devraient être plus clairement établies et que les critères précisant le type et le cadre de l’intervention autorisée devraient être concrètement inscrits dans la loi conformément au principe de sécurité juridique.

Plus significatif encore, le rapport a consigné la préoccupation que le gouvernement éliminait la base juridique existante pour la limitation de bande passante et la remplaçait par un pouvoir défini de manière large et potentiellement illimitée.

Selon le rapport, l’abolition de la base légale existante pour la limitation de bande passante et son remplacement par une mesure dont les contours étaient flous pourraient affaiblir la liberté d’expression et de communication ainsi que les garanties de contrôle judiciaire. Il a donc déclaré que les critères selon lesquels les droits fondamentaux pouvaient être restreints devraient être explicitement établis dans la législation.

Dans le cadre précédent, la limitation de bande passante avait une base légale identifiable. La législation supprime cette disposition tout en confiant à la Présidence de la cybersécurité un pouvoir non spécifié pour déterminer les mesures.

La description du changement par le gouvernement comme une réorganisation de la cybersécurité minimise également l’éventail des fonctions concernées. Le rapport parlementaire indique clairement que le transfert va bien au-delà de la gestion des noms de domaine ou de la protection des réseaux critiques.

Parmi les fonctions transférées du BTK à la Présidence de la cybersécurité figurent les responsabilités de mise en œuvre des décisions de blocage d’accès, d’exécution des ordres de retrait de contenu, de traitement des procédures impliquant des crimes catalogués désignés et des violations de la vie privée, et de fourniture de la capacité technique requise pour l’interception et l’intervention légalement autorisées — en termes pratiques, les capacités d’écoute téléphonique et d’interception de communications utilisées dans les enquêtes pénales.

Ces fonctions, ainsi que les systèmes informatiques, centres de données, infrastructures et personnels correspondants, sont transférées du régulateur des télécommunications à l’agence de cybersécurité. Le transfert crée donc une institution positionnée à l’intersection de la cyberdéfense, de la censure, des infrastructures de télécommunications, de l’analyse des communications et des capacités de surveillance.

 

Il ne s’agit pas simplement d’une réaffectation bureaucratique du personnel de cybersécurité, comme le gouvernement l’a présenté. Il s’agit plutôt de transférer certains des pouvoirs les plus importants de l’État sur l’environnement numérique national d’une institution formellement établie comme régulateur des télécommunications à un organe orienté vers la sécurité avec un mandat de sécurité nationale beaucoup plus large.

La distinction entre cybersécurité et surveillance devient donc de plus en plus floue. La législation modifie séparément la définition des informations de trafic Internet. Auparavant, elle faisait référence aux « informations de port », la définition est élargie pour préciser les informations de port source et de destination. Les informations de port ne divulguent pas en elles-mêmes le contenu de la communication d’une personne, mais elles fournissent des métadonnées plus granulaires concernant la manière dont un appareil communique avec des services numériques particuliers.

Lorsqu’elles sont combinées à d’autres enregistrements d’identification et de connexion, ces métadonnées peuvent potentiellement fournir un aperçu détaillé de l’activité en ligne des utilisateurs. L’importance des métadonnées est souvent sous-estimée précisément parce qu’elles ne contiennent pas le message, l’article ou la conversation elle-même.

Les informations de connexion agrégées peuvent néanmoins révéler quels services une personne utilise, quand les connexions ont eu lieu et comment différentes activités en ligne sont liées les unes aux autres. La préoccupation n’est donc pas seulement de savoir si l’État peut lire ce qu’une personne dit, mais dans quelle mesure il peut reconstituer la trace numérique entourant les activités de cette personne.

 

 

Le rapport parlementaire indique en outre que la responsabilité de fournir les moyens techniques nécessaires à l’interception et à l’intervention légales — communément appelées écoutes téléphoniques — fait partie des fonctions transférées du BTK à la Présidence de la cybersécurité.

Cela signifie que la même présidence combinera de plus en plus le renseignement en matière de cybersécurité, les infrastructures liées aux communications, la mise en œuvre des restrictions Internet et les capacités techniques soutenant l’interception légale. Une telle concentration de fonctions crée une structure centralisée puissante avec une visibilité et un levier sans précédent sur l’écosystème des communications numériques de la Turquie.

Ce n’est pas la première fois qu’Erdogan tente de contrôler les autorités d’écoute. La Turquie a déjà utilisé la Présidence des communications par télécommunications (Telekomünikasyon İletişim Başkanlığı, TİB) comme intermédiaire technique spécialisé pour les demandes d’interception. La police, l’Organisation nationale de renseignement (MİT) et la gendarmerie obtenaient d’abord l’autorisation requise des tribunaux, puis s’appuyaient sur l’infrastructure technique contrôlée par le TİB pour mettre en œuvre l’interception.

Le TİB vérifiait auparavant si un mandat existait et était conforme aux lois applicables avant d’autoriser l’utilisation de son infrastructure pour les écoutes téléphoniques dans le cadre d’une enquête pénale. Cependant, après qu’Erdogan a été incriminé dans d’énormes scandales de corruption en 2013 avec les membres de sa famille et ses associés politiques et commerciaux, il a dissous le TİB et l’a remplacé par le BTK, plaçant un homme de confiance à la tête du BTK afin d’empêcher les enquêtes confidentielles sur sa conduite illégale.

Néanmoins, le BTK est resté institutionnellement séparé de la présidence, et les forces de l’ordre et les services de renseignement peuvent encore utiliser indépendamment le BTK pour mettre sur écoute des cibles. La dernière restructuration supprime ce rôle d’intermédiaire du BTK et place les fonctions concernées au sein de la Présidence de la cybersécurité, qui est directement liée à la hiérarchie présidentielle.

La portée est donc plus large qu’un changement dans lequel un bureau gouvernemental entretient des équipements de télécommunications. Dans ce nouvel environnement, la police, le MİT et la gendarmerie peuvent toujours lancer des enquêtes et obtenir l’autorisation légale nécessaire, mais la mise en œuvre technique de l’interception dépendra désormais d’une infrastructure contrôlée par une institution relevant de la présidence.

Cet arrangement soulève une préoccupation supplémentaire qui va au-delà des questions de vie privée ordinaires : le fait d’acheminer l’interception technique via une institution contrôlée par la présidence pourrait donner à la hiérarchie présidentielle une visibilité sur les cibles de surveillance recherchées par la police, la gendarmerie et même le MİT. Si tel est le cas, les enquêtes impliquant des personnalités politiquement puissantes pourraient être connues en dehors de la chaîne d’enquête avant ou pendant leur déroulement. Cela affaiblit l’autonomie opérationnelle des institutions de sécurité lorsque les enquêtes impliquent des membres de l’élite dirigeante.

En d’autres termes, l’acheminement de l’infrastructure de surveillance via une institution contrôlée par Erdogan réduirait considérablement la capacité des procureurs, de la police et des responsables du renseignement à lancer ou à poursuivre des enquêtes sensibles sans que la présidence en ait connaissance. Cela créerait effectivement un système d’alerte précoce pour Erdogan, lui permettant de savoir qui est enquêté et pour quelle raison, même dans des provinces reculées, et donnant à l’appareil présidentiel une opportunité précoce d’intervenir, d’entraver, de rediriger ou de façonner autrement une enquête en fonction des priorités politiques.

 

L’identité du fonctionnaire placé au centre de la nouvelle structure ajoute une autre dimension politique. Le président de la cybersécurité, Ümit Önal, a bâti l’essentiel de sa carrière dans les secteurs des médias et des télécommunications, notamment à la tête du réseau islamiste radical Kanal 7 et de la chaîne ATV, propriété de la famille Erdogan. Lorsque le gouvernement a saisi le groupe de médias Koza İpek, alors l’un des plus grands conglomérats médiatiques de Turquie, en 2015, pour des accusations que les critiques ont qualifiées de fabriquées, Önal faisait partie des administrateurs nommés par le gouvernement pour prendre le contrôle de l’empire médiatique.

La restructuration implique donc non seulement un changement institutionnel profond, mais aussi des choix de personnel qui reflètent l’emprise de plus en plus serrée qu’Erdogan a établie sur les capacités de surveillance, de contrôle des communications et d’écoute du gouvernement.

Avec cette nouvelle loi, les systèmes et infrastructures existants liés à la cybersécurité du BTK, d’une valeur d’environ 30 milliards de livres turques, seront transférés à la nouvelle présidence. En conséquence, la Présidence de la cybersécurité hérite d’une infrastructure étatique substantielle déjà développée pour gérer et surveiller l’environnement des télécommunications et d’Internet en Turquie. La législation prévoit le transfert des systèmes d’information, des centres de données, des équipements, des biens et du personnel concerné.

Mais ce transfert ne s’applique pas au personnel. La nouvelle législation note que le personnel du BTK n’est pas automatiquement transféré. Les employés existants peuvent demander une réaffectation, mais la Présidence de la cybersécurité doit les approuver. Elle précise également que la nouvelle présidence peut employer des experts contractuels en nombre déterminé par le président, avec des conditions de qualification et de nomination fixées par le Conseil de cybersécurité, ce qui signifie que la nouvelle agence sélectionnera un personnel nouveau et politiquement fiable plutôt que d’hériter simplement de la main-d’œuvre établie du BTK.

Les critiques ont également contesté la manière dont ces changements conséquents ont été légiférés. Les dispositions relatives à la cybersécurité ont été insérées dans un vaste ensemble omnibus impliquant de nombreux sujets sans rapport, allant des retraites et des écoles privées au tourisme, aux postiers, à l’aviation, aux impôts et à l’énergie nucléaire. Le rapport de la commission parlementaire lui-même consigne les plaintes selon lesquelles le fait de regrouper des mesures impliquant plusieurs domaines spécialisés dans le même projet de loi a compromis l’efficacité et la qualité de l’examen législatif.

Il note spécifiquement que les sujets nécessitant une expertise spécialisée, y compris la cybersécurité, auraient bénéficié d’être d’abord examinés par les commissions parlementaires spécialisées compétentes. L’opposition a fait valoir que le fait de combiner des sujets sans rapport affaiblissait la spécialisation parlementaire et réduisait la capacité des législateurs et des commissions spécialisées à examiner correctement une législation complexe.

Au lieu de cela, le projet de loi n’a été débattu qu’à la Commission de la planification et du budget, les motions de l’opposition visant à renvoyer les dispositions spécialisées à la commission compétente pour un examen plus approfondi ayant été rejetées par le bloc au pouvoir d’Erdogan.

La Turquie a désormais transformé la cybersécurité d’un bouclier contre les menaces extérieures en un instrument de plus en plus puissant pour contrôler l’espace numérique occupé par ses propres citoyens et exercer une influence indue sur les enquêtes pénales dans lesquelles les écoutes téléphoniques, l’interception de communications et la surveillance numérique sont utilisées comme outils d’investigation.