art. 706-102-1 — captation de données informatiques « sans le consentement des intéressés » ; seconde phrase du second alinéa : le procureur ou le juge d'instruction « peut également prescrire le recours aux moyens de l'État soumis au secret de la défense nationale »art. 706-95-11 et s. — techniques spéciales d'enquête en matière de criminalité organisée ; art. 706-95-18 — placement sous scellés des données captéesart. 230-1 à 230-5 — mise au clair des données chiffrées : réquisition à un organisme technique désigné par décret (230-2) ; retour des résultats accompagnés des indications techniques utiles « sous réserve des obligations découlant du secret de la défense nationale » et d'une attestation certifiant la sincérité des résultats (230-3) ; décisions dépourvues de caractère juridictionnel et insusceptibles de recours (230-4)art. L. 2312-4 à L. 2312-8 — saisine de la Commission du secret de la défense nationale et procédure de déclassification à la demande d'une juridictionart. 16 — droits de la défense et principe du contradictoireart. 6 (conditions d'émission), art. 31 (notification à l'État membre sur le territoire duquel se trouve la personne interceptée)art. 47 et 48 — procès équitable et droits de la défenseLe 2 juillet 2020, Europol et Eurojust annonçaient le démantèlement d'EncroChat, réseau de « cryptophones » Android revendus environ 1 000 € plus abonnement, utilisé par 60 000 clients. Le bilan publié par Europol en 2023 fait état de 6 558 arrestations, dont 197 cibles de haute valeur, de près de 900 millions d'euros saisis ou gelés et de centaines de tonnes de stupéfiants. En France, la gendarmerie avait reconnu avoir eu recours à trois « dispositifs techniques », dont deux couverts par le secret de la défense nationale.
Un utilisateur mis en cause a contesté ce dispositif par une question prioritaire de constitutionnalité, renvoyée par la chambre criminelle le 1er février 2022 (pourvoi n° 21-85.148). Son grief : le recours à des moyens couverts par le secret défense soustrait au débat contradictoire les informations permettant de vérifier la régularité de l'opération. Par la décision n° 2022-987 QPC du 8 avril 2022, le Conseil constitutionnel a rejeté le grief et déclaré le texte conforme, au terme d'un raisonnement en quatre temps : la mesure poursuit l'objectif de valeur constitutionnelle de recherche des auteurs d'infractions « sans pour autant fragiliser l'action des services de renseignement en divulguant les techniques qu'ils utilisent » ; elle suppose l'autorisation d'un juge (JLD ou juge d'instruction) pour des infractions d'une particulière gravité ; l'ordonnance motivée, les procès-verbaux de mise en place et de réception et l'attestation de sincérité restent versés au dossier ; et la juridiction peut demander la déclassification. Conciliation jugée équilibrée.
Le 20 août 2026, une enquête de Computer Weekly (Bill Goodwin et Duncan Campbell), relayée en France par Next, a apporté un élément nouveau : à la demande de la justice britannique, une société de cybersécurité tchèque a reconstitué par rétro-ingénierie le logiciel espion, attribué au STNCJ, service à compétence nationale rattaché au directeur technique de la DGSI et créé par arrêté du 9 mai 2018. Selon ces révélations, l'implant n'aurait rien d'un outil hors de portée : il aurait été assemblé à partir de logiciels et d'un exploit disponibles publiquement sur GitHub, et se serait appuyé sur une vulnérabilité Binder d'Android identifiée dès 2019 par le Project Zero de Google comme exploitée par le logiciel espion Pegasus de NSO — les terminaux EncroChat saisis en 2020 tournant encore sur une version d'Android de novembre 2018. Le 23 août 2026, quatre chercheurs en cryptographie (Martin R. Albrecht, Sunoo Park, Michael A. Specter, Douglas Stebila) ont mis en ligne un preprint, « A Real-World Law-Enforcement Hack: The Case of EncroChat », présenté comme le compte rendu public le plus détaillé à ce jour de l'infrastructure d'EncroChat et de sa compromission.
Aucune juridiction n'a, à ce jour, tiré de conséquence de ces révélations sur la validité des procédures françaises, et les personnes mises en examen dans ce dossier — dont le fondateur présumé du service, extradé en France en février 2024 — bénéficient de la présomption d'innocence. Le point juridique reste entier : la conciliation validée en 2022 reposait sur l'idée que dévoiler l'outil fragiliserait les services. Si l'outil est un assemblage de code public, l'équilibre mérite d'être rediscuté — devant le juge, pas dans un communiqué.
Le régime français repose sur une substitution : à défaut de pouvoir examiner l'outil, la défense reçoit un document qui en garantit le résultat. C'est l'attestation de sincérité de l'article 230-3 du code de procédure pénale, visée par le responsable de l'organisme technique. Juridiquement, c'est un acte dont l'article 230-4 précise qu'il n'a « pas de caractère juridictionnel » et n'est « susceptible d'aucun recours ». Techniquement, c'est une assertion sans artefact vérifiable : elle affirme que les résultats transmis sont sincères, sans permettre de contrôler la chaîne qui les a produits. Tout le débat tient dans cet écart — et il ne se joue pas sur le terrain de la confiance dans les services, mais sur celui de l'égalité des armes.
Le Conseil constitutionnel n'a pas ignoré la difficulté : il l'a résolue en énumérant ce qui reste au dossier (ordonnance motivée à peine de nullité, description des systèmes visés, durée autorisée, procès-verbaux, attestation) et en rappelant la soupape de la déclassification. Mais cette soupape est étroite : la juridiction demande, la Commission du secret de la défense nationale rend un avis, et l'autorité administrative décide. Une défense ne peut donc pas exiger le code ; elle peut demander qu'on demande.
Le droit de l'Union a ajouté, depuis, une contrainte que le droit interne ne connaît pas. Dans M.N. (EncroChat), la Cour de justice a jugé, le 30 avril 2024, qu'une décision d'enquête européenne portant sur des preuves déjà détenues par l'État d'exécution peut être émise par un procureur, aux mêmes conditions de fond que dans une affaire purement interne, mais qu'un contrôle juridictionnel du respect des droits fondamentaux doit rester possible ; qu'une mesure d'infiltration de terminaux située sur le territoire d'un autre État membre doit lui être notifiée en temps utile, l'autorité notifiée pouvant s'y opposer ; et, surtout, que le juge pénal national est tenu d'écarter les éléments de preuve lorsque la personne poursuivie « n'est pas en mesure de commenter efficacement » ces éléments et qu'ils sont susceptibles d'influencer de manière prépondérante les constatations de fait. Ce dernier point ne se confond pas avec le raisonnement constitutionnel français : il déplace la question du contenu du dossier vers l'effet de la preuve sur la décision.
Pour un praticien de la sécurité, la révélation d'août 2026 est surtout une leçon d'ordre de grandeur. La chaîne d'attaque décrite est classique : un canal de mise à jour non authentifié de manière robuste, une base Android figée deux ans en arrière, une vulnérabilité publiquement documentée, un implant dérivé de code ouvert. Autrement dit, le secret ne protégeait pas une capacité rare — il protégeait une méthode ordinaire appliquée à une cible mal maintenue. Cela intéresse trois métiers d'un coup : l'auditeur, qui y lit une attaque de la chaîne d'approvisionnement logicielle menée par un canal légitime ; le défenseur, qui y voit la valeur d'une vérification de signature et d'une politique de mise à jour contrôlée par l'utilisateur ; le juriste, qui y trouve l'argument que la conciliation de 2022 supposait précisément l'inverse. Et cela pose une question de méthode plus large : quand la preuve pénale est produite par du logiciel, la reproductibilité — journaux d'exécution, versions, empreintes, chaîne de conservation — devient la seule forme de contradiction réellement disponible. Un dossier qui n'en contient pas ne peut être discuté que par la parole.