« Le droit d’avoir des droits. »

— Hannah Arendt, Les origines du totalitarisme (1951)

Le Pacte européen sur la migration et l’asile est applicable depuis le 12 juin 2026. Il renforce les contrôles aux frontières extérieures de l’UE, dans un contexte où le contrôle migratoire ne se fait plus seulement à la frontière physique. Il s’appuie aussi sur des technologies numériques : reconnaissance faciale, bases de données biométriques, surveillance des réseaux sociaux, drones. Selon Privacy International, ces outils peuvent porter atteinte à la vie privée, à la liberté de circulation et au droit à une procédure équitable.

Ces technologies sont souvent déployées avec des États tiers, qui reçoivent des équipements, des financements ou une coopération technique de l’UE ou de ses États membres. On parle alors d’« externalisation numérique » du contrôle migratoire. Cette situation soulève une question juridique simple : quand un migrant voit ses droits violés par un dispositif de ce type, l’UE peut-elle en être tenue responsable ?

L’analyse suit deux étapes. Elle commence par cadrer le sujet : de quelle externalisation parle-t-on, et quels droits fondamentaux sont menacés (I) ? Elle examine ensuite si l’UE peut en répondre devant un juge, en partant des arrêts récents de la CJUE avant d’en mesurer les limites (II)

Le champ de l’étude est volontairement limité. L’article porte sur la responsabilité de l’UE et de son agence Frontex, et non sur celle des États tiers. Il se concentre sur deux droits : le droit à la vie privée et à la protection des données, et le principe de non-refoulement.

Une externalisation numérique aux contours encore flous

De quoi parle-t-on ?

Il n’existe pas de définition juridique unique de l’externalisation numérique. On peut la décrire ainsi : l’UE ou ses États membres déplacent une partie du contrôle migratoire hors de leur territoire, en utilisant des outils numériques fournis, financés ou coordonnés avec des pays tiers.

Plusieurs instruments rendent cette pratique possible. Le règlement 2019/1896 a fortement élargi le mandat de Frontex, notamment dans le domaine du contrôle des frontières extérieures. L’agence peut aussi coopérer avec des pays tiers, par exemple par des arrangements de travail. La doctrine distingue l’externalisation menée par l’UE elle-même de celle menée par les États membres, ce qui compte pour déterminer qui est responsable.

Un rapport d’Euromed Rights décrit, à la frontière entre l’Espagne et le Maroc, l’usage de drones, de caméras thermiques et de systèmes de reconnaissance faciale. Un rapport de novembre 2024 sur la surveillance de masse au Maghreb et au Machrek conclut que ces technologies touchent de façon disproportionnée les migrants.

Les droits fondamentaux en jeu

Trois droits sont principalement concernés.

• Droit à la vie privée et à la protection des données. Les articles 7 et 8 de la Charte des droits fondamentaux de l’UE protègent ces droits. Pour les institutions et agences de l’UE, les règles applicables à la protection des données figurent dans le règlement 2018/1725.
• Le principe de non-refoulement. Il interdit de renvoyer une personne vers un pays où elle risque de graves atteintes. Il découle de la Convention de Genève (art. 33), de la CEDH (art. 3) et de la Charte (art. 19, § 2).
• Droit à un recours effectif. L’article 47 de la Charte garantit à toute personne le droit de contester une atteinte à ses droits.

Les risques sont liés entre eux. Des données collectées ou partagées sans garanties suffisantes peuvent servir à repérer et à intercepter des personnes avant même qu’elles ne puissent demander l’asile. Le risque est plus fort quand le pays partenaire a une protection des données fragile : selon une analyse de TIMEP de 2025, le cadre juridique tunisien, établi en 2004, ne répond plus aux standards actuels de sécurité des données. Ce raisonnement est une analyse de l’auteur, qui reste à illustrer par des cas précis.

Une responsabilité de l’Union en construction

Ce que le droit établit déjà

La Charte lie les institutions et les agences de l’UE, donc Frontex. Quand un particulier subit un dommage du fait d’une institution ou d’un agent de l’Union, l’article 340 du Traité sur le fonctionnement de l’UE (TFUE) prévoit une responsabilité extracontractuelle. Elle suppose en principe un comportement illicite, un dommage et un lien de causalité entre les deux.

Le 18 décembre 2025, la CJUE a rendu en grande chambre deux arrêts de principe sur ce point : W.S. e.a. c. Frontex (C-679/23 P) et Alaa Hamoudi c. Frontex (C-136/24 P). Des demandeurs d’asile y reprochaient à Frontex un refoulement illégal et demandaient réparation. La Cour a jugé que Frontex doit protéger les droits fondamentaux des demandeurs d’asile pendant les opérations de retour. Elle a aussi estimé que le Tribunal avait eu tort de considérer que Frontex apporte seulement une aide technique et opérationnelle aux États membres, sans avoir à vérifier si une décision de retour existe. Enfin, elle a aménagé la charge de la preuve en faveur des requérants : le Tribunal aurait dû obtenir de Frontex les informations dont l’agence dispose. La doctrine y voit « la fin d’une ère d’impunité » (Desguin).

Ces arrêts répondent à une difficulté bien connue : l’agence coopère avec les États membres, ce qui rendait difficile de lui attribuer la faute. Ils confirment qu’elle a une responsabilité propre.

La CEDH fournit un second repère. Dans l’arrêt Hirsi Jamaa c. Italie (2012), la Cour a retenu la juridiction de l’État sur des migrants interceptés en mer. Dans N.D. et N.T. c. Espagne (2020), elle a au contraire jugé qu’il n’y avait pas de violation dans une affaire de renvois à la frontière de Melilla, en tenant compte du comportement des requérants. Ces deux arrêts montrent que la protection varie selon les circonstances.

Les limites et les pistes

Ces acquis ne suffisent pas pour répondre pleinement à la question posée. Trois limites apparaissent.

Première limite : l’objet des arrêts. Les arrêts de 2025 portent sur des opérations de retour menées avec des États membres. Ils ne concernent ni des outils numériques, ni des opérations menées sur le territoire d’États tiers.

Deuxième limite : le lien de causalité. Quand ce sont les autorités d’un État tiers qui utilisent les équipements ou les données, il est difficile de montrer que le dommage vient de l’UE. Un article publié dans European Papers souligne qu’il sera très difficile de clarifier le rôle de Frontex dans d’éventuelles violations commises lors d’opérations sur le territoire d’États tiers.

Troisième limite : la preuve. Les migrants ont peu d’accès aux informations sur les dispositifs qui les concernent. L’aménagement de la charge de la preuve décidé en 2025 aide, mais il n’a pas été conçu pour ces situations.

Face à ces limites, deux pistes méritent d’être discutées. Il s’agit ici d’:

• Une extension par analogie. Si Frontex doit protéger les droits fondamentaux dans les opérations de retour, on peut soutenir qu’elle ou l’UE doit aussi le faire quand elle fournit ou coordonne des outils numériques dans des pays tiers. Les juges devraient confirmer cette extension.
• Une obligation de précaution avant tout transfert. Une évaluation préalable de l’impact sur les droits fondamentaux, avant tout transfert de technologie ou de données à un État tiers, rendrait la faute plus facile à établir et le risque plus facile à prévenir.

Au terme de cette analyse, l’étude montre que la responsabilité de l’UE en matière d’externalisation numérique est encore incomplète. La CJUE a posé un premier jalon en décembre 2025 : Frontex répond de ses propres actes, même lorsqu’elle agit avec les États membres. Mais cette protection ne s’étend pas, à ce jour, aux outils numériques utilisés par des États tiers avec le soutien de l’UE, pour lesquels le lien de causalité et la preuve posent encore problème.

Ce constat doit être nuancé. Peu de décisions s’appliquent directement au numérique, et les constats des ONG mériteraient d’être confirmés par des enquêtes officielles. Il reste à savoir si les juges étendront les solutions de 2025 à ces situations. Deux recherches seraient utiles : examiner des transferts concrets de technologies vers le Maghreb, et suivre la mise en œuvre du Pacte depuis juin 2026.

Au-delà du cas de Frontex, l’enjeu est celui d’une protection des droits qui accompagne la personne tout au long de son parcours, du lieu où elle est contrôlée jusqu’à celui où elle s’installe. Un ordre juridique juste ne peut pas laisser le contrôle migratoire, même numérique et même exercé hors de son territoire, devenir une zone sans responsable. C’est à cette condition que la dignité humaine reste universelle, au-delà des frontières et des nationalités.

Références

Jurisprudence

• CJUE, gr. ch., 18 décembre 2025, W.S. e.a. c. Frontex, C-679/23 P, EU :C :2025 :976.
• CJUE, gr. ch., 18 décembre 2025, Alaa Hamoudi c. Frontex, C-136/24 P, EU :C :2025 :977.
• Cour EDH, gr. ch., 23 février 2012, Hirsi Jamaa et autres c. Italie.
• Cour EDH, gr. ch., 13 février 2020, N.D. et N.T. c. Espagne.

Textes

• Charte des droits fondamentaux de l’Union européenne, art. 7, 8, 19 § 2 et 47.
• Traité sur le fonctionnement de l’Union européenne, art. 340.
• Règlement (UE) 2019/1896 relatif au corps européen de garde-frontières et de garde-côtes.
• Règlement (UE) 2018/1725 relatif à la protection des données par les institutions et organes de l’Union.
• Convention de Genève de 1951, art. 33 ; Convention européenne des droits de l’homme, art. 3.