SignalTrace : l'Europe exporte la surveillance qu'elle ne s'autorise pas

Tue, 01 Sep 2026 00:00:00 +0000

Une berline grise passe sous un portique d’autoroute à 110 km/h. La caméra fixée au mât lit la plaque, l’horodate, l’enregistre. Rien de nouveau : ce dispositif existe depuis vingt ans, déployé par dizaines de milliers d’exemplaires en Amérique du Nord comme en Europe.

Mais si ce portique a reçu le boîtier que le groupe italien Leonardo commercialise depuis juin 2026, il vient d’enregistrer autre chose. L’iPhone du conducteur. Les écouteurs sans fil de la passagère. La montre connectée sur le tableau de bord. L’autoradio. Le porte-clés connecté dans la boîte à gants. Les capteurs de pression des quatre pneus. Le badge d’accès resté dans une veste. Et, si un chien dort à l’arrière, sa puce d’identification.

Une dizaine d’identifiants, une plaque, une position, une heure. Répétez à chaque portique du réseau et vous ne suivez plus une voiture : vous suivez des personnes, et vous savez avec qui elles se déplacent.

Ce que fait réellement le dispositif

Le produit s’appelle SignalTrace. Vendu par Leonardo US Cyber and Security Solutions, il complète la gamme ELSAG, une des lignes de lecteurs automatisés de plaques les plus répandues sur le marché américain. Son existence a été révélée le 8 juin 2026 par Joseph Cox dans 404 Media , à partir d’une fiche produit du constructeur.

Le point décisif tient en une phrase : il ne s’agit pas de nouvelles caméras. SignalTrace est un capteur radio ajouté aux lecteurs de plaques déjà installés. Le mât ne change pas, l’emplacement ne change pas, la silhouette du matériel au bord de la route ne change pas. Ce qui change, c’est ce que l’équipement écoute.

Le capteur enregistre les identifiants diffusés en clair par les protocoles Bluetooth, Wi-Fi et RFID des appareils présents dans le véhicule. Point technique souvent mal compris : aucun appareil n’est piraté et aucune faille n’est exploitée. Un appareil Bluetooth ou Wi-Fi émet en permanence des trames de découverte, parce que ces protocoles ont été conçus ainsi. Vos écouteurs annoncent leur présence pour être retrouvés par votre téléphone, qui interroge lui-même l’air ambiant pour retrouver les réseaux qu’il connaît. Ces émissions sont publiques par construction, et n’importe quel récepteur à portée les entend.

Leonardo précise d’ailleurs que le système fonctionne avec ou sans lecteur de plaques , y compris en intérieur, et reconnaît un véhicule dont la plaque est maquillée ou retirée.

Le rétrofit est le vrai sujet politique. Installer un nouveau réseau de caméras déclenche un vote, une délibération, parfois un contentieux. Ajouter une carte électronique dans un boîtier déjà validé ne déclenche rien. La capacité de surveillance change de nature sans débat public, parce qu’il n’y a matériellement rien de nouveau à voir.

Du véhicule à la personne, et de la personne au groupe

Un lecteur de plaques répond à une question : où était ce véhicule. SignalTrace en ajoute deux : qui s’y trouvait, et avec qui.

Leonardo ne s’en cache pas, c’est l’argument de vente. Le système constitue ce que la documentation appelle une empreinte électronique, un ensemble d’identifiants « fréquemment émis ensemble ». L’exemple du constructeur est explicite : dans une ville entière, un seul véhicule associera un iPhone 13rev2, un autoradio Audi, un casque Bose, une montre Garmin, un traqueur de clés et la plaque ABC-1234.

Le produit ne se contente pas de suivre des véhicules. Il produit automatiquement un graphe de relations entre personnes, sans que quiconque ait eu à formuler le moindre soupçon.

C’est là que se joue le saut qualitatif. En corrélant les appareils qui voyagent régulièrement ensemble, le système construit mécaniquement un graphe social. Deux téléphones qui se retrouvent chaque matin dans la même voiture sont un covoiturage, ou une relation qu’aucun des deux ne souhaite rendre publique. Cinquante appareils captés au même endroit à la même heure sont un rassemblement : une manifestation, un office religieux, une réunion syndicale ou une file d’attente devant une clinique.

Aucune de ces conclusions ne demande d’accéder au contenu d’une communication. Elle se déduit d’une table de proximité, par défaut, sur toute la population circulante et non sur des cibles désignées. C’est de la culpabilité par association, produite industriellement, en amont de toute enquête. Tom Bowman, juriste au Center for Democracy & Technology , résume le problème dans les colonnes de TechNewsWorld : ce qui rend l’outil utile pour suivre un vrai suspect le rend tout aussi capable de suivre tous les autres automobilistes, dont aucun n’a consenti à ce que ses appareils soient enregistrés.

Leonardo oppose deux arguments : le système ne déchiffre ni ne lit le contenu des communications, et il n’identifie pas les personnes par lui-même. Les deux affirmations sont exactes, et les deux sont hors sujet. Le renseignement recherché n’a jamais été le contenu, il est dans la métadonnée de position, plus révélatrice qu’un message. Quant à l’identification, le constructeur reconnaît lui-même qu’un enquêteur peut relier une signature électronique à une plaque, puis remonter au titulaire par les fichiers d’immatriculation.

Un droit américain écrit pour autre chose

Aux États-Unis, les lois d’État encadrant les lecteurs de plaques existent, et certaines sont exigeantes sur les durées de conservation et les finalités d’accès. Mais toutes ont été rédigées autour d’un objet précis : l’image d’une plaque d’immatriculation. Aucune n’anticipe la captation d’identifiants d’appareils personnels par le même équipement.

Ce décalage ne crée pas une illégalité mais une zone grise, plus commode pour le vendeur. Un service de police peut soutenir, sans mentir, que son programme de lecteurs de plaques est autorisé et conforme, tout en collectant désormais sous le même régime des données d’une nature entièrement différente. Leonardo dispose en outre de contrats fédéraux, auprès du Special Operations Command et de la General Services Administration, soit une voie d’achat qui contourne largement les validations locales.

Le débat constitutionnel, lui, vient de bouger, et il faut être précis car l’état du droit a changé cet été. En janvier 2026, un tribunal fédéral de Virginie a jugé, dans l’affaire Schmidt v. City of Norfolk, que le réseau de caméras Flock de la ville ne constituait pas une fouille au sens du quatrième amendement, faute de couvrir l’intégralité des déplacements des habitants. La décision est en appel devant le quatrième circuit, où l’ACLU est intervenue.

Puis, le 29 juin 2026, la Cour suprême a rendu Chatrie v. United States . Par cinq voix contre quatre, sous la plume de la juge Kagan, elle a jugé que l’obtention par la police des données de localisation d’un téléphone constituait une fouille, un individu conservant une attente raisonnable de vie privée sur ces données même détenues par un tiers et sur une durée courte. L’arrêt prolonge Carpenter v. United States de 2018 et affaiblit la doctrine du tiers détenteur, comme l’a relevé le CDT .

La portée exacte de Chatrie sur SignalTrace n’est pas tranchée, et il serait imprudent d’affirmer le contraire : l’arrêt porte sur des données réclamées à Google, pas sur une captation directe par un capteur policier dans l’espace public. Mais il installe le raisonnement qui compte, à savoir que la sensibilité d’une donnée de localisation ne dépend pas de qui la détient.

La question européenne, qui est la vraie question

Voilà où le dossier devient inconfortable pour l’Europe. Leonardo n’est pas un fournisseur américain, mais un groupe italien coté à Milan dont le premier actionnaire est le ministère italien de l’Économie et des Finances, à hauteur d’environ 30 % du capital, avec le pouvoir de désigner la majorité du conseil d’administration. L’État italien n’est pas un actionnaire passif de ce produit.

Le point technique, d’abord

En droit européen, un identifiant d’appareil est une donnée à caractère personnel. Ce n’est pas une opinion doctrinale mais la position constante des autorités. La CNIL traite explicitement l’adresse MAC comme telle dans sa doctrine sur les dispositifs de mesure de fréquentation , et n’admet leur collecte dans l’espace public que sous conditions étroites : anonymisation en quelques minutes avec un taux de collision élevé entre individus, ou pseudonymisation fiable suivie d’une destruction sous vingt-quatre heures, faute de quoi le consentement devient obligatoire. La même doctrine précise qu’inviter les gens à couper leur Wi-Fi n’est pas une modalité d’opposition acceptable.

La Cour de justice de l’Union européenne a précisé le 4 septembre 2025, dans l’affaire CEPD contre CRU (C-413/23 P), que le caractère personnel d’une donnée pseudonymisée s’apprécie au regard des moyens de réidentification raisonnablement mobilisables. Or ici le détenteur est une autorité de police, qui dispose des fichiers d’immatriculation. Les moyens de réidentification ne sont pas hypothétiques, ils sont dans le bureau d’à côté.

La nuance qui change tout

Il serait faux d’écrire que SignalTrace « serait illégal en Europe », et un lecteur juriste le relèverait immédiatement. Un traitement mis en œuvre par une autorité compétente à des fins de prévention et de répression pénale ne relève pas du RGPD. Il relève de la directive (UE) 2016/680 , dite directive Police-Justice, transposée séparément par chaque État membre, en France au titre III de la loi Informatique et Libertés. La CNIL rappelle que ce régime est autonome, avec ses propres bases de licéité et ses propres droits.

La bonne question n’est donc pas celle de la légalité abstraite, mais celle des conditions. Sous ce régime, un tel dispositif supposerait une base légale nationale expresse, des finalités déterminées, une nécessité démontrée, une durée de conservation bornée, une analyse d’impact et un contrôle indépendant. En France, les lecteurs de plaques sont encadrés ainsi : les articles L233-1 et L233-1-1 du code de la sécurité intérieure fixent une liste limitative d’infractions ouvrant droit à leur usage, et la conservation reste parmi les plus courtes de l’Union, quinze jours en principe, même si une proposition de loi sénatoriale cherche à l’allonger.

C’est la différence de fond avec la situation américaine. Aux États-Unis, la loi encadre un objet, la plaque, et le silence sur les identifiants d’appareils vaut permission. En Europe, la loi encadre des finalités et des catégories de données, et ce silence vaut plutôt interdiction, faute de base légale expresse. Le vide constaté outre-Atlantique n’existe pas ici sous la même forme. Non que l’Europe soit plus vertueuse : sa technique juridique est inverse.

Ce que vaut alors la protection

Reste la question qui fait cet article. Que vaut une protection réglementaire européenne quand une entreprise européenne, contrôlée par un État membre, vend hors d’Europe une capacité qu’elle ne pourrait pas déployer chez elle sans une loi nouvelle ?

Les objections méritent d’être prises au sérieux. Un industriel n’est pas responsable du cadre légal de son client : c’est aux autorités américaines de décider ce qu’elles autorisent chez elles. Le produit n’est pas vendu à une dictature mais à un État de droit doté d’une cour suprême active, comme Chatrie vient de le rappeler. Et l’argument de souveraineté industrielle est légitime : si les groupes européens s’interdisent ces marchés, ils seront pris par des fournisseurs israéliens, américains ou chinois, sans que la surveillance recule d’un mètre, et l’Europe y perdra sa base technologique.

Ces arguments sont recevables. Ils ne répondent pas au problème.

D’abord parce que l’Union a déjà reconnu que l’exportation de moyens de surveillance n’était pas un commerce comme un autre. Le règlement (UE) 2021/821 sur les biens à double usage a introduit à son article 5 une clause attrape-tout visant les biens de cybersurveillance, parce que le législateur a admis qu’un outil légal à fabriquer peut être illégitime à destination. Sa limite est instructive : il se déclenche sur un risque de répression interne ou de violations graves des droits humains, catégories pensées pour des régimes autoritaires. Une vente à une police municipale américaine n’y entre pas. La grille européenne examine la moralité du client, jamais la nature de la capacité vendue.

Ensuite parce qu’un tel produit n’est pas un stock qu’on écoule, mais une capacité qui s’entretient : elle finance de la recherche, forme des ingénieurs, accumule du savoir-faire et crée une base installée. Le jour où un attentat majeur poussera un État membre à réclamer cette capacité, le débat ne portera plus sur l’opportunité de la construire. Elle existera, elle sera européenne, elle sera mature, et son fournisseur sera partiellement public. L’argument du « nous ne faisons que suivre le marché » devient alors circulaire, puisque le marché domestique aura été préparé par l’exportation.

Voilà ce que vaut une protection réglementaire dans ce scénario : elle protège les Européens contre les usages, pas contre l’existence des moyens. Elle règle la question de savoir qui a le droit d’appuyer sur le bouton, et laisse l’industrie le construire, le vendre, l’améliorer, puis attendre.

Ce que l’on peut faire, sans se raconter d’histoires

La première réponse évoquée est toujours la randomisation d’adresse MAC. Elle mérite un examen honnête, ni promotion ni dénigrement. Elle est réelle et elle fonctionne.

Android depuis la version 10 et iOS depuis la version 14 randomisent par défaut l’adresse MAC utilisée en Wi-Fi, avec une adresse distincte par réseau. En Bluetooth Low Energy, les appareils modernes diffusent des adresses privées résolvables, qui changent périodiquement et ne peuvent être rattachées à l’appareil réel que par un correspondant détenant la clé de résolution.

Ses limites sont tout aussi réelles.

L’appairage rouvre la porte. La clé de résolution est transmise lors de l’appairage. Un appareil déjà appairé, ou explicitement approuvé, retrouve l’identité stable derrière l’adresse tournante. Le mécanisme est conçu pour cela.
Beaucoup d’objets ne randomisent rien. Capteurs de pression des pneus, badges RFID, puces d’identification animale, autoradios et périphériques bon marché émettent des identifiants fixes. La fiche produit de Leonardo mentionne exactement ces catégories, ce qui n’est pas un hasard.
La randomisation se désactive. Elle se coupe réseau par réseau, et l’est souvent par commodité, pour du filtrage MAC sur un routeur domestique ou par politique d’entreprise.
Le groupe survit à la rotation des identifiants. C’est le point le moins intuitif et le plus important. SignalTrace ne cherche pas un identifiant, il cherche un ensemble d’appareils voyageant ensemble. Si un seul membre du groupe émet un identifiant stable, l’ensemble reste rattachable, quelle que soit la discipline des autres.

La mesure la plus efficace reste la plus ennuyeuse : ne pas émettre. Cela suppose de désactiver Bluetooth et Wi-Fi au niveau du système, dans les réglages, et non depuis le panneau de raccourcis. La distinction n’est pas cosmétique, nous l’avions détaillée dans notre article sur la géolocalisation permanente du téléphone : sur la plupart des systèmes grand public, le bouton du panneau rapide coupe l’appairage visible mais laisse la pile logicielle vivante, et les analyses de proximité continuent. Cet article décrivait le balayage Bluetooth comme un vecteur théorique. SignalTrace en est le produit commercial, catalogué et livrable.

Il faut rester honnête sur le résultat : ces mesures réduisent la surface d’exposition, elles ne l’annulent pas. Un véhicule reste une plaque, et une plaque reste lisible. Le seul moyen de ne rien émettre est de ne rien porter, ce qui n’est pas une politique publique.

Ce que cela dit de nos choix de conception

Chez Arpokrat, c’est ce raisonnement qui nous a conduits à traiter le Bluetooth au niveau du Core d’ArpokratOS plutôt qu’au niveau des réglages. Un interrupteur dans une interface est une préférence utilisateur : une mise à jour, une application système ou un service de localisation peuvent la contourner ou la réactiver, sans que l’utilisateur le sache. Une pile absente ne se réactive pas.

Face à une captation comme celle de SignalTrace, cela ne rend évidemment pas un appareil indétectable, et nous ne le prétendons pas : un téléphone reste sur un réseau mobile, et les autres objets d’un véhicule émettent pour leur propre compte. Ce que cela garantit, c’est qu’un vecteur d’émission précis est absent par construction plutôt que désactivé par confiance. C’est la thèse que nous défendions à propos de la 5G et de l’erreur de cible du droit : la protection juridique se concentre sur l’accès aux données alors qu’elle devrait porter sur l’existence même de l’infrastructure qui les produit. SignalTrace en est l’illustration, à ceci près que cette infrastructure est construite en Europe.

Conclusion

Le plus frappant dans ce dossier n’est pas la capacité technique, que des chercheurs décrivaient depuis des années. C’est la méthode de déploiement.

Il n’y aura pas de nouveau réseau de caméras à inaugurer, pas de délibération municipale à contester, pas de marché public identifiable comme un changement de nature. Il y aura des boîtiers ajoutés à des mâts existants, sous des contrats existants, dans des programmes déjà autorisés. Le jour où le débat public s’ouvrira, l’infrastructure sera installée, amortie et intégrée aux procédures d’enquête. Le débat portera alors sur les conditions d’accès à une base qui existe, jamais sur l’opportunité de l’avoir constituée.

C’est l’ordre habituel des choses en matière de surveillance, et il n’est pas accidentel. Reste à savoir si l’Europe estime avoir quelque chose à dire lorsque ses propres industriels, adossés à ses propres États, construisent cette infrastructure pour d’autres. Le droit européen a soigneusement organisé la réponse à la question de savoir qui peut consulter ces données chez nous. Il n’a jamais posé celle de savoir qui a le droit de fabriquer la machine.

Bluetooth on Arpokrat