Ce Que la Cour Suprême a Vraiment Décidé le 27 Juillet
Le 27 juillet 2026, un banc de cinq juges de la Cour suprême du Royaume-Uni s'est divisé par 3 voix contre 2 dans Kingdom of Bahrain v Shehabi and another, cité comme [2026] UKSC 25. Lord Lloyd-Jones, Lord Hamblen et Lady Simler ont formé la majorité; Lord Leggatt et Lord Burrows ont exprimé leur désaccord. L'affaire avait atteint la plus haute juridiction du pays après que la High Court, puis la Cour d'appel, dans [2024] EWCA Civ 1158, ont toutes deux rejeté la demande d'immunité d'État du Bahreïn.
La majorité de la Cour suprême a jugé qu'un État étranger n'a pas droit à l'immunité dans une procédure civile lorsque ses agents installent un logiciel espion sur un ordinateur situé au Royaume-Uni et que cela cause un préjudice psychiatrique, même si les agents de l'État ne sont jamais entrés physiquement dans le pays. Cela ouvre la voie à un procès complet devant la High Court, où l'implication réelle du Bahreïn et d'éventuels dommages et intérêts seront tranchés sur la base des faits.
L'Infection par FinSpy à l'Origine de l'Affaire
Le docteur Saeed Shehabi et Moosa Mohammed sont des militants bahreïnis pro-démocratie qui vivent à Londres depuis des années. Ils affirment que, à partir d'environ septembre 2011, des agents agissant pour le compte du Royaume de Bahreïn ont infecté leurs ordinateurs avec le logiciel espion FinSpy, un outil de surveillance capable de collecter des fichiers, des communications et des frappes de clavier depuis un appareil infecté. Selon le résumé de l'affaire établi par la Cour suprême, les deux militants affirment avoir découvert l'intrusion vers août 2014, grâce à des révélations liées à WikiLeaks et au groupe de recherche Bahrain Watch, et que le fait de découvrir qu'ils étaient surveillés depuis des années leur a causé un préjudice psychiatrique durable.
La défense du Bahreïn tout au long du contentieux n'était pas de nier que le piratage avait eu lieu, mais de soutenir qu'en tant qu'État souverain, il ne pouvait tout simplement pas être poursuivi à ce sujet devant un tribunal britannique. C'est cet argument d'immunité, et non les faits sous-jacents du piratage, que la Cour suprême vient de rejeter.
Pourquoi le Lieu a Constitué Toute la Bataille Juridique
La section 5 du State Immunity Act de 1978 lève l'immunité d'un État étranger pour les procédures relatives à des dommages corporels causés par un acte ou une omission commis au Royaume-Uni. Le litige porté devant cinq juges de la Cour suprême ne portait pas sur la question de savoir si Shehabi et Mohammed avaient subi un préjudice, mais si un logiciel espion actionné depuis le Bahreïn et visant des ordinateurs situés à Londres constituait bel et bien un acte commis au Royaume-Uni.
La majorité a estimé que la conduite juridiquement pertinente est le lieu où l'opération est menée contre sa cible, de sorte qu'un acte peut être territorial même lorsque la personne qui le dirige ne franchit elle-même jamais de frontière; l'arrêt aurait établi, selon ce qui a été rapporté, une comparaison avec une frappe de drone ou une attaque à distance contre des systèmes du NHS, des cas où personne ne soutiendrait sérieusement que le préjudice n'est survenu que là où se trouvait la console de l'opérateur. Lord Leggatt et Lord Burrows ont exprimé leur désaccord précisément sur ce point, estimant qu'un agent qui pilote un logiciel espion depuis le Bahreïn agit au Bahreïn, et que le Royaume-Uni est simplement l'endroit où les conséquences se sont fait sentir, et non l'endroit où l'acte lui-même s'est produit.
Thèse Originale : Le Logiciel Espion N'a Jamais Été une Importation Étrangère
La plupart des commentaires sur cet arrêt se sont concentrés sur ce qu'il signifie pour la portée de l'immunité d'État dans les opérations cybernétiques. Le détail qui change la donne pour la politique britannique est l'origine réelle de FinFisher, également commercialisé sous le nom de FinSpy. Selon le contentieux que Privacy International a engagé contre les autorités britanniques en matière d'exportations et des recherches publiées par Citizen Lab, le logiciel espion a été développé et vendu par Gamma International, une entreprise enregistrée à Andover, au Royaume-Uni, qui opère aux côtés d'une société sœur basée à Munich.
Cela signifie que ce n'est pas simplement un précédent sur des États étrangers qui agissent sur la Grande-Bretagne depuis l'extérieur. C'est un précédent qui retombe sur une chaîne d'approvisionnement commerciale basée au Royaume-Uni, une chaîne déjà soumise depuis des années à un examen distinct sur la question de savoir si ses licences d'exportation vers des acheteurs autoritaires respectaient le droit britannique. Un outil conçu et commercialisé sur le sol britannique, une fois revendu à un gouvernement étranger, a désormais produit un arrêt qui expose ce gouvernement à une action en justice britannique précisément pour l'usage qui a été fait de l'outil, ce qui accroît le risque pour tout fournisseur de surveillance domicilié au Royaume-Uni qui vend à des marchés ayant un bilan faible en matière de droits humains : la conduite ultérieure de l'acheteur peut désormais revenir par le biais d'un tribunal britannique, ce qui attire aussi une attention gênante sur le lieu où l'outil a été fabriqué.
Ce Qui Se Passe Maintenant, et Ce Que Cet Arrêt Ne Fait Pas
La Cour suprême n'a pas jugé que le Bahreïn avait effectivement autorisé le piratage, et elle n'a fixé aucun montant de dommages et intérêts. Ce qu'elle a décidé est plus étroit et, en pratique, plus lourd de conséquences : le Bahreïn ne peut pas utiliser l'immunité d'État pour tenir l'affaire à l'écart d'un tribunal britannique. La demande retourne désormais devant la High Court pour un procès complet sur le fond, où Shehabi et Mohammed devront prouver l'implication du Bahreïn et l'ampleur de leur préjudice psychiatrique.
Pour tout gouvernement étranger qui mène, ou envisage de mener, une opération de surveillance contre une personne physiquement présente au Royaume-Uni, l'immunité n'est plus un bouclier automatique dès lors qu'un tribunal britannique est saisi de la demande. Et pour toute entreprise basée au Royaume-Uni qui fabrique des outils rendant ce type d'opération possible, cet arrêt rappelle que l'exposition ne s'arrête pas à la licence d'exportation; elle peut resurgir des années plus tard sous la forme d'une action en justice nationale portant sur ce qu'un client étranger a fait de ce qu'il a acheté.
À lire ensuite: Un journal de 1947 fixe la règle des VPN en Europe | Un arrêt Meta touche toute plateforme au UK
