En 2011, la police de Detroit a demandé à un opérateur mobile l’historique de rattachement du téléphone de Timothy Carpenter. Elle a obtenu 12 898 points de localisation étalés sur 127 jours, environ cent par jour. Sept ans plus tard, la Cour suprême des États-Unis a jugé que cette demande constituait une perquisition et exigeait un mandat.
Ces 12 898 points provenaient d’antennes de quatrième génération, dont chacune couvrait un rayon de plusieurs kilomètres. La même requête, adressée aujourd’hui à un réseau 5G urbain, ne renverrait pas cent points par jour à quelques kilomètres près. Elle renverrait un volume bien supérieur, à quelques dizaines de mètres près.
La technologie a changé d’échelle. Le raisonnement juridique, lui, est resté au même endroit de la chaîne.
Un bien juridique que les juges reconnaissent des deux côtés de l’Atlantique
Il existe un intérêt que presque tout le monde admet et que presque aucun texte ne protège efficacement : le droit de se trouver quelque part sans que ce fait soit enregistré.
La jurisprudence européenne l’a établi sans ambiguïté. Dans Digital Rights Ireland (affaires jointes C-293/12 et C-594/12, 8 avril 2014), puis dans Tele2 Sverige et Watson (affaires jointes C-203/15 et C-698/15, grande chambre, 21 décembre 2016), la Cour de justice de l’Union européenne a jugé que ces données, prises dans leur ensemble, permettent de tirer des conclusions très précises concernant la vie privée des personnes : habitudes de la vie quotidienne, lieux de séjour, déplacements, activités exercées et relations sociales.
La Cour suprême des États-Unis est parvenue à une conclusion voisine dans Carpenter v. United States , 585 U.S. 296 (2018). Elle a insisté sur un point que la doctrine américaine a beaucoup commenté : le caractère inéluctable et automatique de cette collecte. On ne consent pas à être rattaché à une antenne, on l’est parce qu’on possède un téléphone allumé.
Le bien juridique existe donc, et il est reconnu par les deux juridictions qui comptent en la matière. Le problème est ailleurs.
Ce que la 5G a réellement changé
Une confusion courante consiste à traiter la localisation comme une donnée que le téléphone transmet, au même titre qu’un message ou une photo. Ce n’est pas le cas. La localisation est une conséquence physique du fonctionnement du réseau. L’opérateur sait à quelle antenne l’appareil est rattaché parce qu’il doit le savoir pour acheminer un appel. Il n’existe aucune clé permettant de chiffrer cette information, puisqu’il ne s’agit pas d’un contenu mais d’une propriété de la connexion elle-même.
C’est précisément ce qui rend la 5G significative sur le plan juridique, et non sur le plan technique.
Les architectures antérieures reposaient sur des cellules larges. Une antenne 4G dessert couramment un rayon de plusieurs kilomètres, et la position déduite du seul rattachement se comptait en centaines de mètres en ville, parfois en dizaines de kilomètres en zone rurale. La 5G repose sur une densification massive : les cellules urbaines couvrent typiquement quelques centaines de mètres, et la littérature d’ingénierie table sur des densités de l’ordre de quarante à cinquante stations de base au kilomètre carré, contre quatre ou cinq à l’époque de la 3G.
La conséquence est mécanique. Selon le livre blanc d’Ericsson sur le positionnement 5G , l’infrastructure déployée pour la seule connectivité atteint une précision de vingt à cinquante mètres en extérieur et de un à trois mètres en intérieur, et descend sous le mètre en conditions urbaines favorables. Il ne s’agit pas d’une fonction de localisation activée quelque part, mais de ce que le réseau sait par construction, sans qu’aucune application soit installée ni aucune permission accordée. Nous avons détaillé l’ensemble de ces mécanismes, ainsi que les contre-mesures qui fonctionnent réellement, dans notre article sur la géolocalisation permanente du téléphone .
L’intrusion a donc augmenté de plusieurs ordres de grandeur. Le cadre juridique applicable, lui, reste celui pensé pour la 2G et la 3G. Aucune adaptation normative n’a accompagné ce changement d’échelle.
Le droit protège l’accès, pas la génération
Le droit européen encadre soigneusement qui peut accéder aux données de localisation, à quelles conditions et sous quel contrôle. La directive 2002/58/CE pose le principe de confidentialité des communications, et la Cour de justice a jugé, dans La Quadrature du Net (affaires jointes C-511/18, C-512/18 et C-520/18, grande chambre, 6 octobre 2020), que l’article 15, paragraphe 1, de cette directive, lu à la lumière des articles 7, 8, 11 et 52, paragraphe 1, de la Charte, s’oppose à une conservation généralisée et indifférenciée des données de trafic et de localisation à titre préventif. La Cour a toutefois admis des dérogations encadrées lorsqu’un État membre fait face à une menace grave pour la sécurité nationale qui s’avère réelle et actuelle ou prévisible, sous réserve d’un contrôle effectif.
Ce sont des protections réelles, et il serait absurde de les minorer. Mais elles interviennent toutes après coup. Elles présupposent que la donnée existe, qu’elle est conservée, et organisent ensuite les conditions de son exploitation.
Or si la localisation est un sous-produit inévitable du fonctionnement du réseau, le point d’intervention pertinent n’est pas la confidentialité. C’est la persistance.
Une position instantanée, nécessaire à l’acheminement d’une communication et effacée aussitôt après, n’est pas un instrument de surveillance. Un historique de positions conservé pendant des mois en est un, quelles que soient les garanties d’accès qui l’entourent.
La différence entre les deux n’est pas juridique, elle est architecturale. Et le calendrier européen rend la question urgente plutôt que théorique. La Commission a retiré la proposition de règlement ePrivacy en 2025, faute d’accord entre colégislateurs. Elle travaille depuis à un instrument distinct sur la conservation des données à des fins pénales, annoncé pour 2026 et destiné à harmoniser des régimes nationaux devenus disparates depuis l’annulation de la directive de 2006. Autrement dit, le texte qui fixera pour une décennie le régime des métadonnées de localisation s’écrit en ce moment, sur la base d’un raisonnement conçu à l’époque des cellules kilométriques.
Le précédent que la 5G a créé elle-même
L’aspect le plus intéressant du dossier est que la bonne réponse figure déjà dans la norme technique, mais appliquée à un autre objet.
Jusqu’à la 4G, l’identifiant permanent de l’abonné, l’IMSI, circulait en clair sur l’interface radio lors de l’attachement. C’est ce qui a rendu possibles les IMSI catchers, ces fausses stations de base qui, selon la description de référence de l’Electronic Frontier Foundation , émettent plus fort que les antennes légitimes pour attirer les terminaux et capter leur identifiant.
Depuis la Release 15 des spécifications 3GPP, publiée en 2019, la 5G apporte une réponse élégante. L’identifiant permanent, désormais appelé SUPI, peut être remplacé sur l’interface radio par le SUCI, un identifiant dissimulé obtenu en chiffrant la partie propre à l’abonné au moyen de la cryptographie sur courbes elliptiques, avec la clé publique de l’opérateur d’origine. Seul le réseau d’origine, qui détient la clé privée correspondante, peut le déchiffrer. Le résultat est unique à chaque calcul, ce qui empêche la corrélation d’une session à l’autre.
La logique retenue mérite d’être soulignée, parce qu’elle est exactement celle qui devrait guider le législateur : on ne chiffre pas la position, ce qui serait techniquement impossible, on chiffre l’identité. Une position dépourvue d’identité rattachable a une valeur très limitée à des fins de surveillance individualisée.
La faille : une protection facultative
Il existe cependant une réserve considérable, et c’est à notre sens le point d’intervention le plus concret de tout le dossier.
Le livre blanc NIST CSWP 36A , publié en mars 2026 par le National Institute of Standards and Technology, l’énonce sans détour. Les terminaux et les fonctions réseau conformes à la Release 15 ou postérieure sont tenus de prendre en charge le SUCI, mais son activation reste facultative pour l’opérateur. Trois conditions doivent être réunies : l’équipementier doit le supporter, l’opérateur doit l’activer sur son réseau, et la carte SIM doit porter les éléments nécessaires au calcul.
S’y ajoute un piège de configuration. La norme prévoit un schéma de protection nul, dans lequel le format SUCI est formellement employé mais sans chiffrement effectif, si bien que l’identifiant circule en clair. Le NIST écrit qu’il est nécessaire que l’opérateur configure son réseau avec un schéma de protection non nul, et rappelle qu’un rapport du CSRIC, l’organe consultatif de la Federal Communications Commission, recommandait dès 2021 de réserver le schéma nul aux seuls appels d’urgence émis par un terminal inconnu du réseau.
La formulation vaut d’être posée telle quelle. La meilleure protection disponible contre le suivi des terminaux mobiles existe dans la norme technique depuis 2019. Elle repose sur un choix de configuration laissé à la discrétion de l’opérateur. Une agence fédérale américaine juge utile de publier un document en 2026 pour rappeler qu’il faudrait l’activer. Et aucun instrument juridique européen ne l’impose.
Il faut ajouter que le SUCI ne clôt pas le sujet. Les travaux présentés sous le titre 5G SUCI-catchers: still catching them all? documentent des attaques de liaison permettant de recorréler des sessions malgré le chiffrement, et la protection tombe entièrement si l’attaquant force le terminal à basculer vers une génération antérieure. Une obligation juridique ne réglerait donc pas tout. Elle supprimerait néanmoins un écart qui n’a aucune justification défendable : celui entre ce que la norme permet et ce que les réseaux commerciaux font.
Trois interventions cohérentes
Si l’on prend au sérieux l’idée que la localisation doit être minimisée par conception plutôt que protégée après coup, trois mesures s’imposent logiquement.
- Rendre obligatoire la dissimulation effective de l’identifiant. Imposer l’activation du SUCI et interdire les schémas de protection nuls sur les réseaux commerciaux, hors le cas résiduel des appels d’urgence. Il ne s’agit pas de prescrire une technologie nouvelle, ni de financer un déploiement, mais d’exiger l’activation d’une fonction normalisée depuis sept ans et déjà présente dans les équipements.
- Traiter la conservation comme l’exception, non comme le défaut. La position nécessaire à l’acheminement d’une communication devrait être effacée dès cette fonction accomplie. La constitution d’un historique devrait appeler une justification spécifique. C’est la différence entre un réseau qui sait où vous êtes et un réseau qui se souvient où vous avez été.
- Faire de la garde de la clé le facteur de rattachement pertinent. La localisation des serveurs dans l’Union ne signifie pas grand-chose si les clés permettant de rendre les données intelligibles se trouvent ailleurs. Le critère juridiquement significatif devrait être la maîtrise effective des moyens de déchiffrement, question que nous avons examinée en détail à propos du conflit entre Data Act et CLOUD Act .
L’angle que suit Arpokrat
Ce raisonnement n’est pas propre au droit des télécommunications. C’est celui que nous appliquons à nos propres choix d’architecture, et il tient en une phrase : ce qui n’a pas été produit n’a pas besoin d’être protégé.
C’est la raison pour laquelle ArpokratOS retire le GPS, le Bluetooth et le NFC au niveau du noyau plutôt que de les désactiver dans un menu. Un interrupteur est une politique : il peut être contourné par un composant privilégié, réactivé par une mise à jour, ignoré par un système compromis. Retirer le chemin de code supprime la question. C’est la transposition, à l’échelle d’un appareil, du même déplacement que nous appelons de nos vœux à l’échelle du droit : intervenir sur la génération plutôt que sur l’accès.
Il faut dire aussitôt ce que cela ne fait pas. Aucun système d’exploitation ne soustrait un terminal à la géométrie du réseau. Tant qu’une carte SIM est active, l’opérateur connaît la cellule de rattachement, et le routage intégral du trafic par Tor n’y change rien, puisqu’il protège le contenu et la destination, pas la couche radio. C’est justement pour cette raison que le sujet est juridique. Il existe une catégorie de risques qu’aucune configuration individuelle ne réduit, et pour laquelle la seule variable disponible est la règle applicable à l’opérateur.
Le même souci gouverne le reste de notre travail. Une donnée qui n’existe pas ne peut être ni réquisitionnée, ni revendue, ni exfiltrée, ni déchiffrée dans dix ans par une machine dont personne ne dispose aujourd’hui, question que nous avons traitée sous l’angle du chiffrement récolté maintenant et cassé plus tard .
Conclusion
Le débat public sur la surveillance mobile se concentre presque exclusivement sur l’accès : qui peut consulter les données, sur quel fondement, avec quelle autorisation. Ce débat est légitime, et les décisions rendues depuis 2014 par la Cour de justice ont produit des effets tangibles. Mais il intervient trop tard dans la chaîne.
La question antérieure, et plus déterminante, est de savoir si l’historique doit exister. Une base constituée aujourd’hui pour un motif légitime reste disponible demain pour un autre, et les garanties qui l’entourent dépendent de décisions politiques ultérieures que personne ne maîtrise au moment de la collecte. C’est un pari sur la stabilité des institutions, formulé pour une durée que nul ne fixe.
La 5G a multiplié la résolution de cette information sans qu’aucune adaptation normative n’intervienne. Elle a simultanément démontré, par le mécanisme du SUCI, que la voie praticable consiste à dissocier la position de l’identité plutôt qu’à tenter de chiffrer une propriété physique du réseau. La norme technique a fourni la réponse sept ans avant que le droit ne pose la question.
Le texte européen sur la conservation des données s’écrit maintenant. Il portera sur les métadonnées, donc sur la localisation, donc sur ce que la 5G produit désormais avec une finesse que ses rédacteurs n’ont pas connue. Savoir s’il se contentera d’organiser l’accès à un historique tenu pour acquis, ou s’il ose interroger la nécessité de cet historique, est probablement la question de vie privée la plus importante des prochaines années en Europe. Et c’est une question que le secteur technique, pour une fois, a déjà tranchée dans le bon sens.
Sources
- Cour de justice de l’Union européenne, Digital Rights Ireland , affaires jointes C-293/12 et C-594/12, 8 avril 2014
- Cour de justice de l’Union européenne, Tele2 Sverige et Watson , affaires jointes C-203/15 et C-698/15, grande chambre, 21 décembre 2016
- Cour de justice de l’Union européenne, La Quadrature du Net e.a. , affaires jointes C-511/18, C-512/18 et C-520/18, grande chambre, 6 octobre 2020
- Supreme Court of the United States, Carpenter v. United States , 585 U.S. 296, 2018
- National Institute of Standards and Technology, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI) , NIST CSWP 36A, mars 2026
- Ericsson, 5G positioning: Locating devices anywhere
- Merlin Chlosta et al., 5G SUCI-catchers: still catching them all? , ACM WiSec, 2021
- Electronic Frontier Foundation, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
- European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
- heise online, Data Retention: Commission to present proposal by mid-2026