Le scandale Pegasus en Pologne ne porte pas seulement sur les personnes surveillées sous les gouvernements du parti Droit et Justice (PiS). Il révèle aussi une faille plus discrète : l’entreprise étrangère qui avait conçu le logiciel disposait d’un accès technique aux données recueillies par les autorités.
Les résultats d’une enquête rendus publics le 14 octobre 2026 indiquent que les informations transitaient par des serveurs contrôlés par NSO Group, le fabricant israélien de Pegasus. Ils ne prouvent pas que l’entreprise a effectivement récupéré les éléments issus d’opérations précises. Mais ils montrent que le Bureau central anticorruption polonais ne maîtrisait pas entièrement l’outil utilisé pour des opérations particulièrement sensibles.
Une possibilité d’accès, sans preuve de transfert
Le point décisif tient à l’architecture du système. Pegasus n’était pas exploité comme une infrastructure totalement isolée, administrée à chaque étape par les seules autorités polonaises. Les données produites lors de la surveillance étaient transmises par l’intermédiaire de serveurs placés sous le contrôle de NSO Group. Cette configuration donnait au fabricant une possibilité d’accès technique aux informations.
Cette possibilité ne doit pas être confondue avec une exfiltration démontrée. L’enquête n’a pas établi que NSO Group avait obtenu le contenu de conversations, de messages ou de dossiers provenant d’opérations déterminées. Aucun élément fourni ne permet donc d’affirmer que le fabricant a effectivement consulté ou conservé des données précises recueillies contre une personne donnée.
La distinction est essentielle, mais elle ne rend pas le problème théorique. Dans un dispositif destiné à recueillir des informations confidentielles, le contrôle des serveurs et des flux de données fait partie de la sécurité elle-même. Même en l’absence de preuve d’un transfert concret, l’intervention technique d’un fournisseur extérieur peut exposer les informations sur les cibles, les enquêtes en cours, les méthodes employées et les opérations des services.
La vulnérabilité révélée par l’enquête est donc structurelle. Elle ne repose pas sur la démonstration d’un vol précis, mais sur le fait qu’un État utilisait un instrument de surveillance dont il ne contrôlait pas complètement l’environnement technique.
Un outil de surveillance au cœur d’un conflit politique
Pegasus avait été employé pendant la période où le PiS dirigeait le gouvernement pour surveiller des responsables de l’opposition ainsi que d’autres citoyens. La découverte concernant les serveurs de NSO Group ajoute un enjeu de sécurité des données à une controverse déjà profondément politique : celle de l’utilisation possible des moyens de l’État dans la lutte contre des adversaires du pouvoir.
Les éléments disponibles ne permettent pas de conclure que chaque opération de surveillance répondait à une motivation politique. Ils placent cependant les autorités de l’époque face à deux questions distinctes. La première concerne la justification, la cible et le contrôle démocratique des opérations menées avec Pegasus. La seconde porte sur les garanties techniques entourant les informations ainsi collectées.
Pour les personnes surveillées, l’enjeu est direct : leurs communications et leurs données personnelles pouvaient être prises dans un système dont la chaîne technique dépassait les institutions polonaises. Pour l’État, le risque allait au-delà de la vie privée des individus. Les informations sur les cibles, les procédures, les méthodes d’enquête ou les opérations en préparation peuvent elles-mêmes relever de la sécurité nationale.
Le rôle de membres du PiS dans la mise en place de cet accès technique alourdit la portée politique du dossier. Il ne constitue toutefois pas, à lui seul, la preuve que des services étrangers ont reçu les données de surveillance. Le fait solidement établi par les résultats rapportés est la coexistence de deux éléments : un usage très contesté de Pegasus contre des opposants et une maîtrise incomplète, par les autorités polonaises, de l’infrastructure qui traitait les informations.
La frontière incertaine entre fournisseur et appareil d’État
Le 14 octobre 2026, le média spécialisé The Record a mis en lumière cette dimension technique de l’affaire. Jusqu’alors, l’attention se concentrait surtout sur les personnes visées par la surveillance et sur la légalité de l’emploi de Pegasus. Le nouveau volet déplace le centre de gravité du dossier : il s’agit désormais aussi de comprendre dans quelles conditions une entreprise étrangère a été intégrée à un dispositif étatique de collecte de données.
Cette dépendance modifie la notion même de contrôle. Une administration peut décider qui surveiller, autoriser une opération et conserver les données sur ses propres systèmes tout en restant dépendante d’un prestataire pour le fonctionnement concret de l’outil. La souveraineté ne se mesure alors plus seulement à l’autorité juridique exercée sur le dispositif, mais aussi à la capacité de vérifier ses composants, ses flux et les accès qu’ils permettent.
Dans le cas de Pegasus, cette question est d’autant plus sensible que le logiciel était conçu pour pénétrer les appareils ciblés et en extraire des informations. Lorsque les données collectées passent ensuite par une infrastructure accessible au fabricant, le risque ne concerne pas uniquement les personnes espionnées. Il peut également toucher les secrets opérationnels de l’organisme qui mène la surveillance.
Le Premier ministre Donald Tusk a qualifié l’affaire de l’un des plus grands scandales de l’histoire de la Pologne depuis la chute du régime communiste. Cette déclaration souligne la portée politique du dossier, mais ne tranche pas la question factuelle la plus importante : des données concrètes provenant d’opérations déterminées ont-elles effectivement quitté le périmètre des autorités polonaises ?
Les résultats rendus publics établissent une possibilité d’accès et une faille de contrôle, non une transmission prouvée. C’est précisément ce qui donne à l’affaire sa portée durable : pour les instruments de surveillance les plus sensibles, l’État doit pouvoir démontrer non seulement qu’il décide de leur emploi, mais aussi qu’il conserve la maîtrise complète des informations qu’ils produisent.
