Sur la base des travaux de recherche du Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann

Le 24 décembre 2024, l'Assemblée générale des Nations Unies a adopté un texte historique : la première convention mondiale contre la cybercriminalité. Il s'agit du premier traité universel de droit international qui définit les infractions commises dans et par le cyberespace, crée des pouvoirs d'enquête transfrontaliers et vise à faciliter la coopération judiciaire mondiale. Pour les entreprises actives à l'international, qui traitent des données ou utilisent des services cloud, ce traité a des conséquences pratiques concrètes. Teichmann a analysé en détail la convention et ses implications (Teichmann, VN-Konvention gegen Cyberkriminalität und universeller Menschenrechtsschutz, Archiv des Völkerrechts 2026 ; id., UN-Konvention gegen Cyberkriminalität und universeller Menschenrechtsschutz, Jusletter, 6 octobre 2025).

Ce que réglemente la convention – et pourquoi elle a vu le jour

La convention des Nations Unies contre la cybercriminalité est le premier accord multilatéral de droit pénal depuis plus de deux décennies. Elle comble une lacune de longue date : des États clés tels que la Russie, la Chine et l'Inde n'avaient jamais adhéré à la convention de Budapest du Conseil de l'Europe de 2001. À l'initiative de la Russie, un comité d'experts ad hoc de l'ONU a été mis en place en 2019. Après de laborieuses négociations, le comité est parvenu à un accord en août 2024. La convention est ouverte à la signature à Hanoï depuis début 2025 et entrera en vigueur 90 jours après la 40e ratification (Teichmann, Archiv des Völkerrechts 2026).

Sur le fond, la convention définit les infractions cybernétiques, crée des pouvoirs d'enquête transfrontaliers – notamment pour exiger et sécuriser des preuves électroniques au-delà des frontières nationales – et établit des mécanismes d'entraide judiciaire internationale.

Le côté positif : une meilleure poursuite des cybercriminels

L'un des plus grands défis pratiques dans la lutte contre la cybercriminalité réside dans le caractère international des auteurs : les groupes de rançongiciels et les bandes de phishing opèrent souvent depuis des États qui ne coopèrent pas avec les autorités des pays des victimes. Les poursuites judiciaires n'aboutissent généralement pas. C'est précisément là que la convention de l'ONU intervient : elle crée un cadre de coopération plus large, y compris avec les États restés en marge de la convention de Budapest. Théoriquement, cela signifie une coopération accrue entre les pays, des enquêtes transfrontalières facilitées et une probabilité plus élevée de voir les coupables traduits en justice (Teichmann, Archiv des Völkerrechts 2026).

Le côté problématique : surveillance et droits de l'homme

Toutefois, l'analyse de Teichmann met également en évidence les aspects sombres. Une alliance inédite d'organisations de défense des droits de l'homme, du Haut-Commissariat des Nations Unies aux droits de l'homme et de certains acteurs du secteur technologique met en garde contre des pouvoirs de surveillance étendus et un manque de garanties contraignantes liées à l'État de droit.

Le problème central : la convention instaure de larges pouvoirs d'enquête extraterritoriaux – par exemple pour la réquisition transfrontalière de données et la surveillance – sans mécanismes de protection de la vie privée suffisamment robustes. Pour les entreprises, cela signifie concrètement que les autorités de différents États pourraient, en vertu de la convention, exiger l'accès à des données d'entreprise, y compris celles stockées dans d'autres pays. Les normes de protection, telles que celles offertes par le RGPD en Europe, pourraient ainsi se retrouver sous pression (Teichmann, Archiv des Völkerrechts 2026).

Le problème de la fragmentation

Avec la convention de l'ONU, deux cadres réglementaires parallèles coexisteront à l'avenir : la convention de Budapest et la nouvelle convention de l'ONU. La plupart des États occidentaux devraient être parties aux deux, tandis que d'autres ne rejoindront que la convention de l'ONU. Cette coexistence comporte le risque de voir émerger des normes divergentes. Teichmann formule la question fondamentale de manière percutante : l'espace numérique sera-t-il régi à l'avenir par des principes fondamentaux communs ou par un patchwork d'approches nationales ? Son constat est lucide : la convention renvoie fortement au droit national, reflétant ainsi un paysage normatif fragmenté (Teichmann, Archiv des Völkerrechts 2026).

Ce que cela signifie concrètement pour les entreprises

Les entreprises doivent comprendre précisément où leurs données sont stockées et à quelles juridictions elles sont ainsi potentiellement soumises. La convention pourrait faciliter l'accès des autorités étrangères aux données – un facteur à prendre en compte lors du choix des fournisseurs de cloud et de l'emplacement des centres de données. La conformité au RGPD reste inchangée. De plus, il conviendra de suivre l'évolution de la convention : quels États y adhèrent et comment les pouvoirs d'enquête seront concrètement mis en œuvre ?

Les victimes d'une cyberattaque doivent également connaître ces mécanismes de coopération améliorés. Un dépôt de plainte peut, dans le cadre de la convention, potentiellement déboucher sur des enquêtes transfrontalières qui n'auraient pas été possibles auparavant.

Conclusion : une arme à double tranchant

La convention de l'ONU contre la cybercriminalité est un jalon politique majeur – mais elle ne constitue pas un progrès univoque. D'un côté, elle améliore la coopération internationale pour poursuivre les cybercriminels. De l'autre, elle instaure de vastes pouvoirs de surveillance avec des garanties insuffisantes pour les droits de l'homme, et accentue la fragmentation du droit international de la cybersécurité. Pour les entreprises, elle ne représente ni une simple menace ni une simple opportunité, mais bien les deux (Teichmann, Archiv des Völkerrechts 2026).

Toutes les références renvoient à des publications scientifiques du Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann. La bibliographie complète est documentée dans la liste des publications (en date de mai 2026).