Position juridique
Le fondement juridique de Sovryk
Sovryk n'est pas conçu pour aider qui que ce soit à enfreindre la loi. Il est conçu pour que les avocats, les médecins, les comptables et les entreprises puissent respecter des obligations de confidentialité que la loi leur impose déjà, sous peine de sanction. Cette page expose notre position en termes clairs, avec les sources juridiques qui la fondent.
Cette page est une déclaration de position et une information générale, pas un conseil juridique.
En un paragraphe
Nous fournissons messagerie, appels et partage de fichiers chiffrés de bout en bout à des clients identifiés et facturés. Nous publions nos conditions, notre politique d'usage acceptable et un contact pour les autorités. Nous répondons aux réquisitions valides et nous remettons tout ce que nous détenons. Le contenu des messages n'en fait pas partie, par construction, et c'est précisément la conception que la Cour européenne des droits de l'homme a jugé devoir être protégée. Nous ne vendons ni anonymat ni impunité.
1. La confidentialité que nous protégeons est exigée par la loi
Ici, le chiffrement n'est pas une préférence de style. Pour la plupart de nos clients, c'est la façon de respecter une obligation dont la violation entraîne une sanction pénale ou financière.
- Secret professionnel de l'avocat. En Roumanie, où notre société est établie, la loi 51/1995, art. 35 al. 2, prévoit que les communications professionnelles de l'avocat ne peuvent être interceptées ou enregistrées que dans les conditions et selon la procédure prévues par la loi, et l'al. 3 protège la relation avocat-client de la surveillance technique, sauf si l'avocat est lui-même soupçonné. La Cour européenne des droits de l'homme a jugé à plusieurs reprises que l'article 8 protège la correspondance entre l'avocat et son client, notamment dans Pruteanu c. Roumanie et Michaud c. France.
- Secret médical. La loi roumaine 46/2003, art. 21 à 25, rend confidentielles toutes les informations relatives au patient, y compris après son décès. La divulgation sans droit par une personne tenue au secret est une infraction en vertu de l'art. 227 du code pénal roumain, punie de trois mois à trois ans d'emprisonnement ou d'une amende. Dans le RGPD, les données de santé relèvent de la catégorie particulière de l'art. 9.
- Secrets d'affaires. Selon la directive (UE) 2016/943, transposée en Roumanie par l'ordonnance d'urgence 25/2019, une information ne constitue un secret d'affaires protégé que si trois conditions sont réunies cumulativement, et la troisième est que le détenteur ait pris des mesures raisonnables pour en préserver le secret. Une entreprise qui discute d'un projet confidentiel sur un canal non protégé peut perdre entièrement la protection juridique de ce secret.
- Sécurité du traitement. L'art. 32 du RGPD cite explicitement le chiffrement comme mesure technique appropriée. La directive NIS2, transposée en Roumanie par l'ordonnance d'urgence 155/2024 et étendue par la loi 124/2025, exige cryptographie et authentification multifacteur lorsque cela est approprié, avec des amendes pouvant atteindre 10 millions d'euros ou 2 pour cent du chiffre d'affaires mondial pour les entités essentielles.
2. Ce qu'est Sovryk du point de vue réglementaire
Sovryk est un service de communications interpersonnelles non fondé sur la numérotation. Nous n'attribuons pas de numéros de téléphone, nous n'acheminons pas de trafic vers le réseau téléphonique public et nous n'exploitons pas de réseau public de communications électroniques. C'est la même catégorie réglementaire que Signal ou Wire, et le code des communications électroniques européen la traite différemment des opérateurs télécoms classiques.
Nous le disons clairement pour qu'aucune autorité n'ait à deviner ce que nous sommes, et pour être réglementés correctement plutôt que par analogie.
3. Ce que nous faisons quand une autorité demande
- Nous répondons aux réquisitions valides. Décisions de justice, mandats et, à compter du 18 août 2026, injonctions européennes de production et de conservation au titre du règlement (UE) 2023/1543, dans les délais qu'il fixe.
- Nous publions un canal. Un contact juridique dédié, une personne responsable nommément désignée et une procédure interne écrite, afin qu'une demande légale rencontre un processus et non le vide.
- Nous remettons tout ce que nous détenons. Ni plus, ni moins, avec une trace écrite de ce qui a été fourni.
- Nous conservons. Dès que nous sommes informés d'une demande, la suppression automatique est suspendue pour les données concernées. Détruire des preuves est une infraction. Chiffrer ne l'est pas.
- Nous tenons un registre et nous publions. Chaque demande est consignée, et nous entendons publier périodiquement un rapport de transparence.
- Nous appliquons notre politique d'usage acceptable. L'usage illicite est interdit et un signalement d'abus fondé conduit à la suspension ou à la résiliation.
La procédure complète figure dans nos lignes directrices pour les autorités.
4. Ce que nous ne pouvons pas faire, et pourquoi c'est licite
Le contenu est chiffré de bout en bout. Les clés n'existent que sur les appareils des utilisateurs. Il n'y a ni séquestre de clés côté serveur, ni clé maîtresse, ni voie de récupération du contenu des messages. Quand nous disons que nous ne pouvons pas produire le contenu, c'est un constat d'architecture et non un refus.
Cela compte juridiquement. Les obligations de production portent sur ce qu'un fournisseur détient ou contrôle. Et dans Podchasov c. Russie, arrêt du 13 février 2024, la Cour européenne des droits de l'homme a jugé qu'imposer à un fournisseur de permettre le déchiffrement de communications chiffrées de bout en bout est une mesure disproportionnée qui viole l'article 8 de la Convention, parce qu'une porte dérobée construite pour les autorités est une porte dérobée ouverte à tous.
Un fournisseur qui ne peut pas lire vos messages ne peut pas les divulguer, ne peut pas être contraint de les vendre et ne peut pas les perdre dans une brèche. C'est tout l'intérêt de cette conception.
5. Ce que nous ne faisons pas
- Nous ne nous adressons pas à ceux qui veulent dissimuler une activité criminelle, et nous ne vendons pas par des canaux informels ou anonymes.
- Nous ne proposons pas l'effacement à distance à la demande comme moyen de détruire des preuves.
- Nous ne modifions pas le matériel pour désactiver caméras, micros ou géolocalisation.
- Nous ne promettons pas l'anonymat face à une enquête légale. Le chiffrement protège le contenu, pas l'identité.
- Nous ne prétendons pas être hors de toute juridiction. Nous sommes une société européenne et nous le disons.
6. Chat Control, énoncé avec exactitude
Nous pensons que le débat européen sur l'analyse des messages est une mauvaise politique publique, et nous le disons. Nous en énonçons aussi l'état exact, car une entreprise de confidentialité qui exagère le droit ne mérite la confiance de personne.
En juillet 2026, la dérogation temporaire autorisant l'analyse volontaire des communications non chiffrées a été rétablie par le Conseil le 2 juillet 2026 et a survécu à une motion de rejet du Parlement européen le 9 juillet 2026, jusqu'en avril 2028. Le règlement CSA permanent, celui qui rendrait obligatoires les injonctions de détection, n'est pas en vigueur : le cinquième trilogue s'est achevé sans accord le 29 juin 2026 et les négociations se poursuivent. Par ailleurs, la feuille de route ProtectEU de la Commission sur l'accès licite aux données chiffrées est attendue au deuxième trimestre 2026.
Rien de ce qui est en vigueur aujourd'hui ne nous oblige à analyser quoi que ce soit, et nous ne le faisons pas.
7. La liste complète des fondements juridiques
L'ordre est le vrai : droit primaire de l'Union d'abord, puis la Convention et sa jurisprudence, puis le droit roumain. L'Union européenne n'a pas de constitution (le traité constitutionnel a été rejeté en 2005), mais elle a un équivalent doté de la même force juridique : la Charte des droits fondamentaux, qui, en vertu de l'article 6, paragraphe 1, du traité sur l'Union européenne, a la même valeur juridique que les traités.
| Source juridique | Ce qu'elle dit | Ce que cela signifie pour Sovryk |
|---|---|---|
| Charte des droits fondamentaux de l'UE, art. 7 | Toute personne a droit au respect de sa vie privée et familiale, de son domicile et de ses communications. | La confidentialité des communications est un droit fondamental européen, pas une préférence commerciale. |
| Charte des droits fondamentaux de l'UE, art. 8 | Les données à caractère personnel sont traitées loyalement, à des fins déterminées, sous le contrôle d'une autorité indépendante. | Le fondement de notre politique de données minimales. |
| Charte des droits fondamentaux de l'UE, art. 52 par. 1 | Toute limitation doit être prévue par la loi, respecter le contenu essentiel du droit, être nécessaire et proportionnée. | Une obligation générale d'analyse atteint le contenu essentiel du droit, pas seulement ses marges. |
| TUE art. 6 par. 1 et TFUE art. 16 | La Charte a la même valeur juridique que les traités, et la protection des données est un droit du traité. | C'est du droit primaire de l'Union, pas une déclaration politique. |
| Directive 2002/58/CE (ePrivacy), art. 5 par. 1 | Les États membres garantissent la confidentialité des communications et interdisent l'interception ou la surveillance sans consentement. | La confidentialité est la règle européenne. L'analyse est l'exception qui doit se justifier. |
| CJUE, Digital Rights Ireland, C-293/12, 8 avril 2014 | Annule la directive de 2006 sur la conservation des données : lutter contre la criminalité grave ne justifie pas une conservation généralisée et indifférenciée. | Le fondement européen de notre journalisation minimale. |
| CJUE, Tele2 et Watson, C-203/15 et C-698/15 | Les États membres ne peuvent imposer aux fournisseurs une obligation générale de conserver les métadonnées de tous les utilisateurs. | Aucune autorité ne peut légalement nous imposer une conservation généralisée. |
| CJUE, Commissioner of An Garda Síochána, C-140/20, 5 avril 2022 | Confirme l'interdiction de la conservation généralisée et exige que l'accès des autorités aux données conservées soit soumis au contrôle préalable d'une juridiction ou d'une autorité indépendante. | Quand nous exigeons un mandat, nous appliquons le droit de l'Union, nous n'obstruons pas. |
| Constitution roumaine, art. 26, 28 et 53 | La vie privée et le secret de la correspondance sont inviolables. Toute restriction doit être prévue par la loi, nécessaire et proportionnée, sans atteindre l'existence du droit. | Le fondement constitutionnel du produit. |
| CEDH art. 8, Podchasov c. Russie, 13 février 2024 | Imposer à un fournisseur de permettre le déchiffrement des communications de bout en bout est disproportionné et viole l'art. 8. | Nous ne pouvons pas être légalement contraints de construire une porte dérobée. |
| Constitution roumaine, art. 20 al. 2 | Les traités relatifs aux droits de l'homme priment sur le droit interne. | L'arrêt Podchasov s'applique en Roumanie. |
| Loi 51/1995, art. 35 al. 2 et 3 | Les communications professionnelles de l'avocat ne peuvent être interceptées que dans les conditions de la loi, et la relation avocat-client est protégée de la surveillance technique. | Nos clients avocats détiennent un droit protégé que le produit sert. |
| Loi 46/2003, art. 21 à 25, et code pénal art. 227 | Toutes les informations sur le patient sont confidentielles. La divulgation sans droit est punie de trois mois à trois ans ou d'une amende. | Nos clients médecins ont une obligation pénale que le produit sert. |
| Directive (UE) 2016/943 et ordonnance d'urgence 25/2019 | Une information n'est un secret d'affaires protégé que si le détenteur a pris des mesures raisonnables de préservation. | Sans canal protégé, l'entreprise perd la protection juridique de son secret devant le juge. |
| RGPD, art. 32 et art. 9 | Le chiffrement est cité explicitement comme mesure technique appropriée. Les données de santé sont une catégorie particulière. | Le produit est une mesure de conformité au RGPD, pas un moyen de le contourner. |
| NIS2, transposée par l'ordonnance d'urgence 155/2024 et la loi 124/2025 | Cryptographie et authentification multifacteur lorsque approprié, avec des amendes jusqu'à 10 millions d'euros ou 2 pour cent du chiffre d'affaires mondial. | L'État exige de nos clients exactement ce que nous leur vendons. |
| Code pénal, art. 48 et art. 16 al. 6 | La complicité suppose l'intention. Le fait commis par négligence n'est punissable que si la loi le prévoit expressément. | Vendre publiquement un produit de sécurité à usage général est un acte neutre. |
| Code de procédure pénale, art. 142 et art. 170 | Les fournisseurs collaborent à l'exécution du mandat et remettent les données qu'ils détiennent ou contrôlent. | Nous remettons tout ce que nous détenons. Le contenu n'est pas en notre possession. |
| Loi 198/2022, code des communications électroniques européen | Les services de communications interpersonnelles non fondés sur la numérotation sont traités distinctement des opérateurs télécoms. | Notre catégorie réglementaire, déclarée ouvertement plutôt que supposée. |
| Décisions de la Cour constitutionnelle 1258/2009 et 440 du 8 juillet 2014 | Les deux lois roumaines de conservation des données ont été déclarées inconstitutionnelles. | Aucune obligation de conservation. La journalisation minimale est conforme à cette jurisprudence. |
| Loi 535/2004, art. 9 | Toute personne morale qui apprend des données relatives à la commission, au soutien ou au financement d'actes de terrorisme doit saisir sans délai les autorités et apporter son concours. | Nous avons une procédure interne écrite pour exactement cette obligation. |
| Règlement (UE) 2023/1543 et directive (UE) 2023/1544 | Injonctions européennes de production et de conservation à partir du 18 août 2026, plus l'obligation de désigner un représentant légal dans l'UE. | Nous avons un canal publié, une personne désignée et la capacité de répondre dans les délais. |
| Règlement (UE) 2021/821, note cryptographie, note 3 de la catégorie 5 partie 2 | Les produits cryptographiques de grande consommation sont exemptés du contrôle des exportations. | La distribution du produit est licite, sans licence d'exportation. |
| Loi 51/1991, art. 3 et art. 13 | Énumère les menaces à la sécurité nationale et les méthodes de renseignement, qui exigent une autorisation judiciaire. | Fournir des communications chiffrées ne figure pas parmi les menaces énumérées. |
Sovryk aide-t-il des gens à échapper à la loi ?
Non. Nous fournissons un outil de communication à des clients identifiés selon des conditions publiées, nous interdisons l'usage illicite et nous répondons aux réquisitions valides. En droit pénal roumain, la complicité suppose l'intention (code pénal art. 48). Vendre publiquement un produit de sécurité à usage général est un acte neutre, et nous conduisons notre activité pour qu'il le reste.
Donnerez-vous mes messages à la police si on vous le demande ?
Nous ne le pouvons pas. Le contenu est chiffré de bout en bout et les clés se trouvent uniquement sur les appareils des utilisateurs. Face à une injonction valide, nous remettons les données de compte limitées que nous détenons réellement, et nous disons clairement ce que nous n'avons pas.
Le chiffrement de bout en bout est-il légal dans l'UE ?
Oui. Aucun texte européen ni roumain n'interdit de fournir ou d'utiliser le chiffrement de bout en bout. Plusieurs textes, dont l'art. 32 du RGPD et NIS2, exigent au contraire le chiffrement comme mesure de sécurité.
Où est la société et où sont les serveurs ?
La société est européenne. Les serveurs sont hébergés en Islande, qui est hors de l'Union européenne mais à l'intérieur de l'Espace économique européen, donc à l'intérieur du RGPD. Nous ne prétendons pas être au-delà de toute juridiction.
Conservez-vous des journaux ?
Nous conservons le minimum nécessaire au fonctionnement du service. La Roumanie n'a plus de loi de conservation des données en vigueur depuis que la Cour constitutionnelle a annulé la loi 82/2012 par la décision 440 du 8 juillet 2014, après la décision 1258/2009 sur la loi précédente. Notre journalisation minimale est cohérente avec cette jurisprudence.
Il vous le faut par écrit pour votre dossier de conformité ? Nous fournissons sur demande aux clients professionnels notre déclaration de position juridique, un accord de traitement des données RGPD et notre documentation de sécurité.