Syrie : pourquoi Qosmos a bénéficié d’un non-lieu

Les dirigeants et employés de Qosmos avaient « conscience » de pouvoir être accusés de « complicité de crimes contre l'humanité » pour avoir vendu du matériel de surveillance de masse à la Syrie. Qosmos n'en a pas moins bénéficié d'un non-lieu fin décembre. Nous nous sommes procurés l'ordonnance. Explications.

Le 25 juillet 2012, le pôle crimes contre l'humanité, crimes et délits de guerre du Parquet de Paris était saisi d'une « dénonciation » (sic) de « complicité d'actes de tortures et de crimes contre l‘humanité, faits commis entre courant 2010 et courant 2012 », rappelle Claire Thépaut, vice-présidente chargée de l'instruction au Tribunal judiciaire de Paris. Elle émanait de la Fédération internationale des droits de l'homme (FIDH) et de la Ligue des droits de l'homme (LDH), qui se sont depuis constituées parties civiles.

Les ONG accusaient la société française Qosmos (rachetée en 2016 par le suédois Enea) d'avoir participé à un consortium mené par la société italienne Area Spa en vue d'installer un « vaste centre d'écoute de la population syrienne ».

Qosmos aurait plus précisément fourni les sondes nécessaires à l‘écoute du trafic Internet, et aurait également fourni une assistance technique sur les moyens d‘utilisation du matériel vendu pour la surveillance des internautes, facilitant ainsi l‘identification des dissidents.

À l'époque, Qosmos avait porté plainte contre les deux ONG pour « dénonciation calomnieuse », plainte dont ni la LDH ni la FIDH n'avaient été tenues informées un an après. En 2015, l'entreprise avait été placée sous le statut de témoin assisté (à mi-chemin entre celui de simple témoin et de mis en examen). 

Au total, 62 témoins, employés des entreprises partenaires, ainsi que plusieurs victimes de torture en Syrie, ont été entendus soit par les juges d'instructions, soit par les gendarmes de l'Office central de lutte contre les crimes contre l'humanité (OCLCH), pour certains en présence d'experts en informatique.

À titre liminaire, Claire Thépaut commence par préciser que s‘agissant du cadre juridique applicable à l‘exportation de tels matériels, des vérifications avaient été menées auprès de la Direction générale de la mondialisation, en charge du soutien au secteur stratégique du ministère des affaires étrangères.

Il en ressortait que « ces matériels n‘étaient ni classifiés "Armement", ni "Double-Usage" et ne nécessitaient par conséquent aucune autorisation avant leur mise sur le marché national ou à l‘export ».

Une analyse confirmée par des vérifications auprès du sous-directeur de la gestion des procédures de contrôle du service des procédures d'exportation de la direction générale de l‘armement.

Le contrôle à l'exportation de tels systèmes de surveillance a depuis été mis à jour et renforcé depuis, tant en France qu'à l'international, mais à l'époque, rien n'interdisait aux entreprises françaises ou européennes d'exporter des systèmes de surveillance de masse, même et y compris de les développer à l'intention de régimes totalitaires.

L'interception ? Une idée de la DGSE

Les membres fondateurs de Qosmos indiquaient pour leur part qu'à l'origine la société visait à comprendre et analyser les flux de réseau dans l'optique d‘améliorer la connexion internet des entreprises, centres de recherches et universités.

L'un d'entre eux précisait en effet qu’à l'époque Internet n‘allait pas aussi vite qu'aujourd‘hui et qu‘il fallait pouvoir donner la priorité à certains flux et donc à des outils mesurant la Quality of Service (QOS), la qualité du service et le Mean Opinion Score (MOS), un indicateur de qualité de la voix sur internet.

Créée en l’an 2000 par des membres du LIP6, un laboratoire de recherche en informatique sous tutelle de l’université Pierre & Marie Curie et du CNRS, Qosmos était alors devenue un des leaders du Deep Packet Inspection (DPI, ou inspection en profondeur des paquets en français). Elle se targuait alors de pouvoir reconnaître plus de 1 300 protocoles différents, et d’être capables d’extraire plus de 6 000 types de métadonnées.

A la suite d'une invitation au salon MILIPOL en 2005 et de la rencontre avec des fonctionnaires de la DGSE, précise Claire Thépaut, la société Qosmos « constatait que l'interception légale constituait un marché potentiel », au point de devenir « centrale pour la société ».

Certains des membres fondateurs s‘accordaient d'ailleurs à dire qu'à son arrivée en 2007, Thibault Bechetoille, le PDG de la société, « avait clairement positionné Qosmos sur ce marché jusqu'à ce qu'elle représente 20% du chiffre d'affaires ».

Eric Horlait, l'un des anciens membres de Qosmos qui « rapportait avoir quitté la société en 2007 pour des raisons éthiques », expliquait de son côté que « les événements du 11 septembre avaient entraîné de la part de l‘administration américaine une demande de renforcement des écoutes, notamment sur internet et qu‘il s‘agissait d‘un des éléments qui avait fait que Qosmos était passé des entreprises aux opérateurs ».

Le directeur technique de l'entreprise expliquait pour sa part que Qosmos vendait des composants de DPI mais pas une solution globale, pouvant servir à de multiples applications dont l'optimisation de trafic sur réseaux mobiles, de cyber-sécurité, des analyses de trafic et de l‘interception légale de donnée en respect des normes ETSI (European Telecommunication Standard Institute).

Une « surveillance massive »

Le premier système d'interception légale que Qosmos avait mis en place en 2007 était le projet EAGLE pour la Libye de Kadhafi, développé pour le compte de la société I2E/Amesys avant qu'elle ne rachète Bull, qui s'en débarrassera en refilant ses technologies de surveillance et d'interception à une spin off, Nexa Technologies. De nombreux éléments d'EAGLE furent ensuite réutilisés dans le projet destiné à la Syrie.

En 2009, l‘activité était classée « confidentiel défense » et, en 2011, le Fond Stratégique d‘Investissement (FSI) apportait 10 millions d‘euros à l‘entreprise.

La gamme dédiée aux interceptions légales se dénommait IX Machine LI Edition (pour Legal Interception). En sus des fonctionnalités proposées par Qosmos, elle proposait un module complémentaire doté de systèmes de filtre de recherche et de sélection (mots clés, identification et isolation de flux, régions, codes utilisées...), de reconnaissance de l‘identité (« y compris lorsque furtive et/ou cachée »), et la détection des applications utilisant le même protocole ou signature.

Tous les ingénieurs Qosmos confirmaient que, compte tenu de la technicité impliquée, les moteurs d'analyse nécessitaient des mises à jour régulières pour fonctionner correctement, mais également d'une maintenance sur le matériel et le logiciel qui ne pouvait être effectuée que par le détenteur des codes sources, et qu‘à défaut le système deviendrait à moyen terme obsolète.

Le projet ASFADOR, du nom d'un responsable technique arménien travaillant pour la société syrienne KANAANCO dont le gérant serait proche de Bachar Al Assad, débuta lorsque celui-ci contacta la société italienne Area en 2008 pour leur faire part d‘un appel d'offres qui pourrait les intéresser. Peu après, Area concluait un contrat avec la société de télécom syrienne liée au service de renseignement de la branche 225, la Syrian Telecommunication Establishement (STE) le 16 mars 2010.

Le 16 novembre 2009, les sociétés Utimaco en Allemagne et Qosmos en France signaient un contrat de distribution permettant à Utimaco de commander et distribuer les produits Qosmos. Il s‘agissait dès lors de « doter le gouvernement des moyens permettant une surveillance massive des activités sur le réseau en général et d'individus en particulier et du contenu de toutes leurs communications », précise Claire Thépaut.

Le 16 mars 2010, Area signait un contrat avec STE afin de mettre en place un système de surveillance en temps réel du réseau syrien. Area fournissait une solution complète comprenant un centre de surveillance et des serveurs reliés à un système de médiation d'Utimaco, lui-même composé de sondes multi-services destinées à différentes tâches d‘interception légale fournies par Qosmos.

La Syrie a payé la R&D

Le bon de commande concernait un produit (Ix Machine LI Edition) qui n'existait alors pas encore dans le catalogue de Qosmos, mais qu‘ils acceptaient de développer avec le financement du projet ASFADOR. Dans le cadre du contrat de distribution, les sondes étaient « en marque blanche », signifiant que le nom de Qosmos en était absent.

Par ailleurs, le nom de Qosmos n'apparaissait pas non plus sur les demandes d'autorisation d'importation de marchandises faites par Area au gouvernement syrien concernant les différents constructeurs de hardware du projet. Seul Utimaco était mentionné.

De 2010 à Octobre 2011, le produit était donc développé par une équipe d'environ 10 salariés de Qosmos, « à la fois en laboratoire et à partir de l‘été 2011 avec des sondes en Syrie » et ce, alors que le printemps arabe avait déjà fait plus de 2 000 victimes dans le pays, dont plus de trois quart civiles.

L'un des ingénieurs interrogés complétait qu'en 2010 Qosmos avait souhaité développer sa gamme d‘interception pour la VoIP, les chats Messenger et e-mails, la recherche de mots clés, etc. et que le projet ASFADOR avait « permis de payer le développement du logiciel ». Il précisait que LI Edition n‘avait été utilisé en 2010 que pour ASFADOR mais qu‘en 2011 « d'autres projets l'avait également utilisé comme les renseignements marocains ».

Après des discussions liées aux événements se déroulant en Syrie pendant l'été 2011, la décision de Qosmos d‘arrêter le projet ASFADOR était annoncée le 17 octobre 2011, notifiée à Utimaco en novembre 2011 et la résiliation du contrat de distribution faite le 2 mai 2012 avec effet le 16 novembre 2012.

Claire Thépaut relève cela dit qu'un témoin qui affirmait avoir utilisé des échantillons de trafic réseau prélevés par un ingénieur de Qosmos en Syrie en janvier 2011 « aurait été recruté en novembre 2011, soit après la fin déclarée du projet ASFADOR. Il pouvait être étonnant d'utiliser des traces en trafic réel extraites d'un réseau syrien s'il n'y avait plus de projet en Syrie à ce moment-là. L‘information judiciaire ne permettait pas d‘aller plus loin sur ce point ».

En outre, un rapport d‘expert questionnait de son côté le fait qu‘on ne retrouve aucun document faisant état des résultats de ces travaux ni des spécificités éventuelles des protocoles qui auraient été effectivement utilisés en Syrie. Le rapport « mettait sérieusement en question la pertinence des affirmations » de l'ingénieur envoyé en Syrie quant à l’objet de son déplacement, « sans que l‘information judiciaire ne puisse apporter aucun autre élément ».

Dysfonctionnels, mais livrés

Qosmos livra de neuf à douze sondes à Area pour le compte d'Utimaco. Le matériel était livré par bateau entre fin mars et début avril 2011 en Syrie par Area et installé pendant l‘été 2011. Les vérifications, le déballage, l'installation, etc. se poursuivaient de mai à fin septembre 2011 lorsque le personnel d'Area était parti. Selon un informaticien d'Utimaco, « la totalité du hardware et environ 60 à 70% des logiciels avaient été livrés ».

D‘après deux témoins français et italiens, les sondes et le matériel étaient envoyés en Syrie « malgré leurs dysfonctionnements afin de toucher une part du paiement du contrat (20% de 15 millions d‘euros) qui était conditionné par la seule réception du matériel ».

Le directeur financier de Qosmos expliquait pour sa part qu'il avait mis en place en juin 2013 un protocole pour solder le litige avec Utimaco, incluant le versement de 125 000 euros en contrepartie de l‘abandon des poursuites. Area obtenait de son côté un crédit de 650 000 euros auprès d‘Utimaco pour 48 mois. Le protocole précisait que les 125 000 euros avaient été absorbés en trésorerie et que les 326 845,74 euros de facture impayées par Utimaco totalisaient un préjudice d‘environ 450 000 euros.

« Il pouvait sembler étonnant que Qosmos paie à Area la somme de 125 000 euros alors que rien ne les liait contractuellement », relève à ce titre Claire Thépaut. « Ce point demeurait non résolu par l'information judiciaire, mais permettait d'inviter à la réflexion quant à la conscience de la société de la situation problématique du contrat ASFADOR ».

Des réseaux sociaux débloqués peu avant le Printemps arabe

Évoquant la responsabilité de la société Qosmos, la juge note de façon liminaire une montée en puissance des services de renseignement (Mukhabarat) comme « outil de gouvernance permettant une gestion sécuritaire accrue de la société et de ses membres dans tous ses aspects ». Au point que les effectifs de ces services avaient atteint un agent pour 275 habitants dans les années 2000.

Les arrestations arbitraires, tortures et disparitions forcées d‘opposants politiques étaient depuis longtemps largement pratiquées par les différents services de renseignement. Dans les années 2000, ces derniers s'étaient en effet mis à utiliser les espaces de liberté que représentaient Internet, l‘accès aux chaînes de télévision ou la multiplication des téléphones portables comme nouveaux outils de surveillance.

Il ressortait en outre des documents trouvés en source ouverte que le régime syrien avait changé de stratégie concernant l‘accès aux réseaux de télécommunicafion en 2010. Alors qu‘auparavant la plupart des sites de réseaux sociaux (plus particulièrement Facebook et Youtube) étaient bloqués, leur accès aurait été autorisé de manière concomitante.

D'aucuns s'étaient interrogés sur la signification de cette libéralisation du régime, soupçonnant la mise en place de contrôle et de surveillance des utilisateurs de ces sites. D‘autant plus que cette ouverture apparente du réseau syrien correspond à une modernisation des infiastructures du régime.

Alors que les manifestations et rassemblements initiés en mars 2011 dans plusieurs villes de Syrie s'étaient rapidement soldés par une répression violente de la part des forces de sécurité, de l'armée et des services de renseignements, le gouvernement syrien montait en puissance dans sa capacité à contrôler le réseau.

Pendant les six premiers mois de la crise, sans doute par stratégie, les services de renseignement n‘avaient procédé à aucune arrestation de cyber-activistes. Néanmoins, à partir d‘octobre 2011, la seconde phase avait consisté à arrêter la totalité des cyber-activistes qui avaient été identifiés.

Les réseaux sociaux avaient en effet été essentiels à la coordination du mouvement et assez naïvement, les opposants s‘étaient mis totalement à découvert en utilisant ces voies de communication. Elles s‘étaient révélées à l‘origine de la terrible répression qui s'est abattue sur eux à partir de septembre-octobre 2011. De plus, quand les gens étaient arrêtés, la première chose que la police leur demandait était d'accéder à leurs portables et d‘ouvrir leurs pages Facebook.

Les témoins entendus témoignaient de leur côté que lors de leurs interrogatoires, les différents services de renseignement syriens leur avaient demandé leurs identifiants et mots de passes de leurs comptes sur les réseaux sociaux ou de leurs boîtes e-mail, ou présenté des contenus récupérés à travers Facebook, des SMS et appels envoyés et reçus et la retranscription des conversations tenues, des listes de contact, des retranscriptions de conversations téléphoniques et discussions Skype et de Gmail.

Les sondes fonctionnaient en laboratoire

Claire Thépaut souligne à ce titre qu'« à l'exclusion de la téléphonie qui ne faisait pas partie de l‘éventail prévu par l'interception et de Skype qui semble n‘avoir jamais été décrypté les autres éléments pourraient tout à fait avoir été interceptés par le système déployé avec les sondes Qosmos si ces dernières étaient fonctionnelles ».

Il ressortaît de la totalité des témoignages que Qosmos n‘avait envoyé qu‘une seule fois l‘un de ses ingénieurs en Syrie, en janvier 2011, mais également que « les sondes fournies par Qosmos fonctionnaient en laboratoire ».

Les témoins italiens confirmaient pour leur part que le matériel avait été envoyé par cargo (via la société SEBI) fin février 2011 et que le personnel d'Area s‘était rendu en Syrie à partir de mai 2011 pour installer les différentes composantes dans les lieux déterminés. L'installation et le paramétrage s'étaient poursuivis jusqu‘à fin septembre/octobre 2011, le système d‘écoute étant établi en trois endroits distincts, avec un coeur à Damas, dans un immeuble abritant également les services de sécurité syrien et un à Alep.

Cependant tous les témoins avec une connaissance technique évoquaient « une très grande instabilité du système en situation réelle ». Les problèmes évoqués étaient les crash (arrêt forcé), la gestion des volumes (les flux trop importants) et la mémoire. La portée des bugs et le caractère bloquant de ceux-ci différaient selon les interlocuteurs. Certains parlaient d‘une instabilité telle qu‘aucune interception n‘aurait été possible, d‘autres, des mauvais fonctionnements ne permettant pas au système de marcher plus d‘une journée à la fois.

Enfin, certains évoquaient un fonctionnement partiel permettant d'intercepter certains paquets de données tout en en manquant d‘autres. Il ressortait néanmoins de manière certaine qu'au moins deux ingénieurs de Qosmos avaient pu se connecter à au moins une sonde installée sur le réseau syrien, laquelle présentait les problèmes énoncés ci-dessus.

Un système inefficace et instable

La question de l’intégration des sondes Qosmos dans la solution Utimaco/Area demeurait également incertaine. En effet, tous les témoins s‘accordaient à dire que sans cette intégration, même si les sondes marchaient, elles ne seraient d'aucune utilité pour les services de renseignements syrien qui ne pourraient pas extraire ou analyser les données ainsi extraites par les sondes Qosmos.

En effet, les solutions développées par Area et Utimaco permettaient de « lire » les données interceptées et donc de les exploiter. Il semblerait cependant que techniquement les sondes auraient pu être intégrées et mises en route et ainsi paramétrées sans l‘assistance de Qosmos, par les ingénieurs d‘Utimaco ou d'Area.

Des témoignages des personnels d'Area avancent en outre que les ingénieurs syriens sur place étaient « dans une logique d’apprentissage », alors qu'Area avait installé et intégré au moins une partie du matériel, même si l'un d'entre eux estimait qu’ils n'en étaient pas capables.

La société Qosmos était de son côté satisfaite des tests en laboratoire auxquels avait été soumis son logiciel de sonde. Le logiciel Ix Machine LI Edition dans une version aboutie, ou du moins dont les bugs n'empêchaient pas le fonctionnement, a été livré à Utimaco.

Un test d'acceptation était à ce titre prévu « dans quelques semaines » au moment où le scandale éclata en octobre, raison pour laquelle il n'eut pas lieu. Un premier test effectué en septembre 2011 à Milan n'avait par ailleurs pas obtenu satisfaction.

Un email envoyé par Qosmos à Utimaco en date du 4 novembre 2011 évoquait la livraison d'une version mise à jour et censée résoudre la totalité des bugs existants à une exception près (paltalk protocol), pour le 18 novembre 2011, mais cette dernière n'aurait jamais été livrée.

« Il n'était pas permis de comprendre au regard des éléments recueillis au cours de l’information judiciaire si les mises à jour du système Ix Machine LI Edition qui se poursuivaient dans le cadre d’autres projets, avaient pu bénéficier au projet ASFADOR après l'arrêt de celui-ci », relève Claire Thépaut.

Le rapport d‘expert démontrait par ailleurs que le logiciel avait été livré par Utimaco à Area qui avait procédé à l'intégration des solutions à Milan. Les sondes étaient connectées en Syrie et Area était ainsi capable de mettre en place le système sans Qosmos chez le client final.

En outre, le système d'échange des sondes Qosmos avec un système tiers (centre de médiation) était vraisemblablement opérationnel (démarrage de la sonde, approvisionnement des requêtes, récupération des données) notamment du fait que deux ingénieurs Qosmos avaient pu s'y connecter.

Le rapport ainsi que la plupart des ingénieurs interrogés sur la fonctionnalité du système évoquaient également le fait que les anomalies remontées étaient majoritairement relatives à des problèmes de volumétrie, de stockage des données ou d'évolution de protocoles. Le système pouvait, semble-t-il, fonctionner de façon temporaire avant de s‘arrêter (crasher) de façon aléatoire le laissant dans un état instable nécessitant souvent son redémarrage.

Pendant son fonctionnement, il était capable de récupérer les données et de les transmettre au centre de médiation permettant ainsi d'envisager des investigations plus classiques (récupération des adresses IP et mail, etc).

La fonctionnalité des sondes installées par Qosmos « était donc sujette à de nombreuses interrogations, sans qu‘il ait pu être démontré leur efficacité dans la captation et l'analyse de données qui auraient pu être interceptées », conclut Claire Thépaut. « Les éléments ressortant des investigations laissaient plutôt penser que le système n’était pas encore réellement efficace et stable ».

Au moins trois autres projets

Dans ce contexte, l'arrêt du projet ASFADOR à destination de la Syrie « constituait un élément crucial de la question de la responsabilité » de la société, souligne la juge. Pour autant, il ne signifiait pas l‘arrêt du produit Ix Machine LI Edition, ni l'arrêt des autres projets en cours avec Utimaco, à mesure que « l‘argent touché pour le projet ASFADOR permettait à Qosmos de développer un produit et concomitamment de le vendre dans le cas d‘autres projets, tel que le permettait le contrat cadre signé avec Utimaco ».

Il ressortait en effet des pièces du dossier qu'au moins trois autres projets, en plus d‘ASFADOR, étaient traités avec Utimaco : pour l'opérateur télécom suisse Sunrise, un client canadien et un client équipementier chinois, HUAWEI, lequel aurait utilisé des sondes multiples similaires à ASFADOR à la différence des deux autres qui nécessitaient des sondes simples.

Par ailleurs, d‘autres clients tels que Trovicor ou Charly utilisaient des sondes multiples telles que celles employées pour ASFADOR. Ainsi, malgré l‘arrêt du projet, le contrat-cadre avec Utimaco s‘était poursuivi jusqu'en 2012 pour les autres projets et certaines mises à jour étaient effectuées sur les programmes utilisés pour ASFADOR. Ces dernières n'auraient toutefois été destinées qu‘aux autres projets de Qosmos cités plus haut.

Les témoignages divergeaient toutefois sur les conséquences de la vente des codes sources de Ix Machine LI Edition à la société Trovicor un an après les faits. Pour certains, le développement et la mise à jour des systèmes d'écoutes déjà mis en place n‘étaient pas possibles, compte tenu des compétences nécessaires et de l'investissement financier qu'une telle reprise entraînerait. Pour d'autres, celle-ci était tout à fait envisageable.

Les codes-sources de Ix Engine étaient par ailleurs vendus aux sociétés SS8 et Ercom, mais les témoignages semblaient s'accorder sur le fait que si ces derniers pouvaient concevoir leurs propres produits d'interception légale et avoir un effet similaire à celui prévu par le projet ASFADOR, il s’agissait finalement d‘un projet distinct.

Plusieurs témoignages avancent en outre que Qosmos avait arrêté le produit Ix Machine Edition dans sa dernière version en décembre 2012.

Du point de vue des mises à jour, les témoignages divergeaient également quant aux conséquences liées à l‘absence de mises à jour des logiciels d'interception. Pour certains, ceux-ci deviendraient obsolètes en quelques jours, rendant impossible toute captation. Pour d'autres, le processus prendrait d'une part plus de temps, et d'autre part ne toucherait pas la totalité des cibles ou des systèmes surveillés (les clients IMAP pour les boites e-mail à la différence des services Webmail ou applications avec protocoles standards).

« L‘hypothèse selon laquelle Utimaco aurait livré, postérieurement au mois de novembre 2011, le logiciel dans une version supérieure qui aurait été utilisée par Area dans le cadre du projet ASFADOR, ne pouvait toutefois pas être exclue mais n'engageait pas directement la société Qosmos de manière démontrée », conclut Claire Thépaut.

Des démissions « éthiques »

La juge n'en souligne pas moins « la pleine connaissance de la finalité du produit par la société Qosmos et l'ensemble de ses dirigeants et personnels du client final et de l'utilisation du système d'écoute par le consortium ».

Les auditions de plusieurs anciens collaborateurs et fondateurs de Qosmos indiquent à ce titre qu'ils s'étaient écartés de la société « notamment en raison de la nouvelle politique tournée vers le marché de l'interception de données menée par la nouvelle direction incarnée par Thibault Bechetoille » :

« En effet le projet EAGLE développé en collaboration avec Amesys, les discussions autour de l'éthique initiées par certains employés de Qosmos de même que les évènements des Printemps arabes et les premiers articles sur Qosmos par le magazine Reflets ne laissaient que peu de doutes quant à la connaissance de l‘utilisation potentielle qui pouvait être faite de la technologie de Qosmos. »

L’un des ingénieurs témoigna du fait qu’ils avaient tendance à fermer les yeux sur le côté négatif de leurs activités, « mais que c'était très gênant de savoir que ce produit pouvait être utilisé pour arrêter des dissidents du régime syrien », avant de quitter l'entreprise en septembre 2011. Un autre était parti pour des raisons éthiques, un troisième pour être « tranquille avec sa conscience ».

Thibault Bechetoille expliqua pour sa part qu‘en mai 2010 le régime syrien de Bachar el Assad était en discussion avec la France pour encourager des partenariats avec des sociétés françaises. Le directeur commercial de la région concernée rappela pour sa part qu'en juillet 2010, tandis que Qosmos signait la proposition commerciale avec Utimaco sachant que le client final était la Syrie, Bachar El Assad était invité par le président Sarkozy pour le défilé du 14 juillet.

Du côté d'Area, le chargé de projet ASFADOR, qui s'était rendu plusieurs fois en Syrie, rapporta que son interlocuteur syrien, Firas, l‘avait incité à réaliser rapidement le centre de monitoring en disant « avec tout ce qui se passe en Égypte, en Tunisie et en Lybie, nous devons être prêts à intercepter quand cela va se passer aussi chez nous ».

Le témoin expliquait avoir cessé de travailler chez Area à l'échéance de son contrat et refusé l'offre d'un nouveau poste pour des raisons éthiques, car en désaccord avec la réalisation du système de surveillance en faveur de la Syrie. Il indiquait avoir fait état de ses désapprobations à Andrea Formenti, le PDG d'Area, qui lui aurait répondu « business is business », affirmant que l'entreprise n‘était pas responsable de l‘usage qui était fait du système de surveillance et d'interception.

Formenti aurait affirmé à cette occasion que « Area, c‘est comme une usine de couteaux. Les couteaux peuvent être utilisés aussi bien à la cuisine que pour tuer des gens. Area n'en est pas responsable. »

La tentative de complicité n’est pas punissable en droit français

Claire Thépaut rappelle que l’article 121-7 du code pénal dispose qu’« est complice d'un crime ou d‘un délit la personne qui sciemment, par aide ou assistance, en a facilité la préparation ou la consommation ».

Mais également qu'en vertu de l’arrêt rendu le 23 janvier 1997 par la chambre criminelle de la cour de Cassation dans l’affaire Maurice Papon, il n'est pas exigé que « le complice de crimes contre l'humanité ait adhéré à la politique d‘hégémonie idéologique des auteurs principaux, ni qu'il ait appartenu à une des organisations déclarées criminelles par le tribunal de Nuremberg ».

Elle relève cela dit qu'« il est établi par la procédure que les autorités syriennes se livraient au moment des faits à des actes de torture au sein des services de renseignement et de sécurité, très largement documentés et organisés, et que dès 2011, ces actes de torture se sont inscrits dans le cadre d‘attaques généralisées et systématiques de la population civile, en exécution d'un plan concerté, très largement organisé et codifié, constituant ainsi des crimes contre l'humanité à compter de mars 2011 et le début de la répression généralisée de la population civile ».

Dès lors, « le fait pour la société Qosmos d’apporter son concours, par aide ou assistance, en fournissant les sondes utiles à la surveillance et à l’arrestation de personnes par la suite torturées par le régime syrien, en toute connaissance de cause, serait suffisant à constituer les faits de complicité de crime contre l’humanité ».

En revanche, « le seul fait de vouloir apporter son concours sans y parvenir n’est pas incriminé par la loi : la tentative de complicité n’est pas punissable en droit français ».

En tout état de cause, la société Qosmos « ne pouvait ignorer la finalité du produit et son utilisation potentiellement criminelle par un régime surveillant et réprimant notament ses opposants s’exprimant sur internet », ce qui « est établi par les démissions de certains de ses salariés incapables d‘assumer de tels faits, le déplacement en Syrie et les liens avec la STE, les échanges de courriels, et la publicité des actes commis par le régime des le début de l'année 2011, désignés comme crimes contre l’humanité dès 2011, les déclarations du dirigeant lui-même et la rapidité de la décision européenne d‘embargo en décembre 2011, dont les discussions étaient connues bien auparavant ».

Aucune victime de torture ne permet de relier les faits à Qosmos

Toutefois, « plusieurs interrogations demeurent, d’une part, quant au fonctionnement effectif de ces sondes et du système d’interception légal vendu au régime syrien par le consortium dont faisait partie la société Qosmos, et d’autre part quant au lien de causalité entre ces interceptions, si elles ont bien eu lieu, et des arrestations suivies de torture, Les dysfonctionnements des sondes sont rapportés par de nombreux témoins ».

En outre, « aucun témoignage de victimes de torture ne permet de relier les faits subis à une interception par le système d‘interception vendu par Qosmos et ses partenaires commerciaux, d’autant qu’aucun logo ne figurait sur le produit ».

Dans leurs observations, les parties civiles font valoir que selon plusieurs témoins et les experts, les sondes étaient au moins partiellement fonctionnelles, permettant la captation de données pendant quelques heures, les dysfonctionnements constatés ne remettant pas en cause le fonctionnement global du système.

S'il est exact que certains témoins expliquent ou n'excluent pas que le système ait pu fonctionner par intermittence, ces dysfonctionnements avérés, ce fonctionnement partiel et intermittent, « rendent néanmoins incertaine l’effectivité des interceptions réalisées et la réalité d’arrestations opérées sur leur fondement de personnes amenées à être torturées ».

Et ce, d'autant que « la Syrie faisait plus que probablement appel en 2011 à d'autres systèmes de surveillance du réseau Internet, plusieurs acteurs semblant avoir été impliqués dans la facilitation de cette surveillance tels que Blue Coat, l‘Iran et éventuellement d'autres sociétés telles que Netapp, Fortinet ou encore Sofrecom, une filiale d'Orange ».

Fort probable, mais contestable

Les parties civiles ont certes fait valoir que « la complicité est établie dés lors que les faits incriminés entrent dans les prévisions de l'article 121-7 du code pénal, sans que, de surcroît, il soit besoin d'établir qu’ils étaient indispensables à la commission de l‘infraction reprochée à l‘auteur principal ».

« Cela toutefois ne dispense pas d’établir le lien de causalité entre les actes de complicité et l’infraction principale », estime la juge. « Le fait que d'autres systèmes de surveillance aient pu être utilisés concomitamment par les autorités syriennes nous amène à envisager que des victimes de torture aient pu être arrêtées sur la base d’interceptions réalisées grâce à d‘autres moyens que ceux fournis par la société Qosmos ».

Les parties civiles ont avancé qu'il « paraît invraisemblable » que le régime syrien ne se soit pas servi immédiatement de ces sondes dans son plan de répression de la population civile, qu’il est « fort probable » malgré les dysfonctionnements, que certaines des sondes vendues ont effectivement permis au régime d’obtenir des données sur les dissidents politiques, et qu’il « paraît inconcevable » que les autorités syriennes aient payé un tel prix pour un produit inexploitable.

Pour autant, « les incriminations et les règles de la responsabilité en matière pénale sont d’interprétation restrictive ». Or, le renvoi devant une Cour d’assises d’une personne, physique ou morale « nécessite des indices probants, des charges non sérieusement contestables » :

« S'il on peut avancer qu'il est tout à fait possible que les sondes vendues par Qosmos aient servi au gouvernement syrien dans sa politique de répression violente de sa population civile, et que la société Qosmos avait bien conscience de cette possibilité, il n’en demeure pas moins que les éléments recueillis au cours de la procédure n’ont pas permis d’apporter la preuve du fonctionnement effectif de ces sondes d’une part, et de leur usage dans des arrestations ayant mené à des tortures ».

De plus, « les investigations n’ont pas non plus permis de démontrer que le projet vers la Syrie avait pu se poursuivre au-delà de la fin de l‘année 2011, même si cela ne peut être exclu ».

En outre, la société Qosmos a procédé à la cession des codes sources du logiciel Ix Machine LI Edition à la société Trovicor en décembre 2012 après en avoir corrigé les dysfonctionnements et avoir formé certains de ses employés.

Disposant de ses codes sources, Trovicor a certes pu maintenir et faire évoluer le logiciel acquis et potentiellement le projet ASFADOR. Toutefois, si la plupart des témoins ingénieurs interrogés ont pu juger que c'était possible en théorie, la plupart ont déclaré que cela aurait demandé un certain temps (entre 3 et 6 mois), beaucoup de ressources humaines et techniques et que d'un point de vue commercial l'investissement n‘en aurait pas valu la peine.

« Qosmos n’a pu qu’avoir conscience » des actes de torture 

Claire Thépaut précise enfin que les autorités italiennes ont classé leur enquête suivie du chef d'exportation illégale concernant la société italienne Area et qu’aucune enquête n'a par ailleurs été diligentée en Allemagne concernant la société allemande Utimaco :

« Au total, si les investigations particulièrement importantes diligentées dans le cadre de la présente instruction ne permettent pas d’exclure que le logiciel fourni par la société Qosmos ait pu effectivement être au moins partiellement opérationnel et servir, en connaissance de cause, à l'interception de communications en Syrie, à un moment où des actes de torture et crimes contre l‘humanité étaient commis dans ce pays, comme cela résulte de plusieurs rapports documentés et publics, aucun élément n'a pu être recueilli permettant d‘établir que de tels crimes aient pu être commis sur la base d'interceptions réalisées grâce au logiciel vendu par Qosmos, étant précisé que l‘État syrien disposait, avant d‘acheter cette technologie européenne, d‘autres moyens de surveillance des communications.

Quand bien même il peut être constaté que la société Qosmos n’a pu qu’avoir conscience qu’elle prenait le risque évident d’apporter son aide à une politique répressive violente constitutive de crimes contre l’humanité et d’actes de torture, l’information judiciaire n’a pas permis de démontrer de lien de causalité entre les sondes vendues par la société Qosmos, dysfonctionnelles, et les tortures et crimes contre l’humanité imputables à son client, le gouvernement syrien. »

Dès lors, conclut la juge, « il ne résulte pas de l’information des charges suffisantes contre la SA Qosmos d‘avoir commis les infractions de complicité d'actes de torture [ni de] crimes contre l'humanité » qui lui ont été reprochées.