MVNO ou MNO : qui est responsable de l'interception légale ?

Il est essentiel de bien comprendre les responsabilités des MVNO en matière d’interception légale avant de pénétrer un marché. L’une des questions les plus courantes — et les plus lourdes de conséquences — dans le modèle économique des MVNO est de savoir qui assume la responsabilité légale de l’interception légale. La réponse semble simple à première vue, mais dans la pratique, elle revêt une grande complexité. L’obligation légale, la capacité technique, les dispositions contractuelles et la mise en œuvre pratique impliquent souvent à la fois l’opérateur mobile virtuel (MVNO) et l’opérateur de réseau mobile hôte (MNO), et les limites entre leurs responsabilités respectives peuvent être floues, contestées ou tout simplement non abordées dans les accords commerciaux qui régissent leur relation.

Cet article propose une analyse détaillée des aspects juridiques, techniques et contractuels de la responsabilité en matière de LI dans le cadre de la relation entre MVNO et MNO, en s'appuyant sur les cadres réglementaires des principaux marchés européens et sur l'expérience pratique des opérateurs confrontés à ces enjeux.

Responsabilités des opérateurs de téléphonie mobile virtuels (MVNO) en matière d'interception légale

Under the European Electronic Communications Code, Member States can make lawful interception a condition of the general authorisation, but national law decides who must do what. Many countries oblige every provider of a public service; others, such as Germany, put the technical obligation on whoever operates the network installation and give pure service providers lighter duties.

For MVNOs that hold their own regulatory registration — which is the case for most MVNOs operating in European markets — this means that the MVNO carries LI duties of its own, which may or may not include the full technical obligation. The fact that the MVNO uses the MNO’s network infrastructure does not make compliance the MNO’s problem alone, but it also does not automatically move every obligation to the MVNO.

National rules differ on this point. In Germany, § 170(1) TKG obliges whoever operates the telecommunications installation used to provide the service. A reseller or light MVNO that relies on its host’s installation must, under § 170(2) TKG, make sure the host can implement interception orders and tell the Bundesnetzagentur who implements them. A full MVNO that runs its own core is itself an operator under § 170(1). In the Netherlands, the Telecommunicatiewet places the obligation on the provider of the public electronic communications service. In France, the CPCE requires operators declared with ARCEP to maintain interception capabilities. The specific language differs, and so does the outcome: depending on the country and on how much of the network the MVNO operates, the obligation may sit with the MVNO, with the host MNO, or with both.

Many jurisdictions allow or recognise arrangements where the MNO performs interception on behalf of the MVNO. Where the MVNO is itself the obliged party and the MNO only acts on its behalf, the MVNO stays responsible for the result (in Germany, an obliged party may use a contractor but must remain able to implement orders under its own responsibility, § 5(3) TKÜV). The MVNO cannot simply point to the MNO and claim that compliance is the MNO’s problem.

La réalité technique : c'est l'opérateur de réseau mobile qui détient les capacités

Whatever the legal split, the technical capability to intercept communications often resides with the host MNO. This is because the MVNO’s subscribers communicate over the MNO’s radio access network, and their traffic traverses the MNO’s core network infrastructure. The interception points — the network elements where traffic can be captured and duplicated — are typically within the MNO’s domain.

This creates a tension: the entity that holds the subscriber relationship (the MVNO) often lacks the capability, while the host MNO that has the capability may itself be obliged for traffic on its network, as in Germany. Resolving this tension requires either the MVNO to acquire its own technical capability (by deploying its own core network elements and interception infrastructure), or the MNO to provide interception services to the MVNO as part of the wholesale arrangement.

La solution appropriée dépend de l’architecture de l’opérateur mobile virtuel (MVNO). Les MVNO « complets », qui exploitent leur propre réseau central, exercent un contrôle direct sur les points d’interception et peuvent déployer leurs propres systèmes de LI. Les MVNO « allégés » et les revendeurs, qui s’appuient entièrement sur l’infrastructure de l’opérateur de réseau mobile (MNO), doivent compter sur ce dernier pour capacité d'interception, ce qui nécessite des accords officiels et des dispositions techniques.

La dimension contractuelle

Le contrat entre l'opérateur mobile virtuel (MVNO) et l'opérateur de réseau mobile (MNO) constitue le principal mécanisme permettant de concilier obligations et capacités. Un accord MVNO bien rédigé comprendra des dispositions spécifiques relatives à l’interception légale, couvrant les responsabilités de chaque partie, les services que l’opérateur de réseau mobile (MNO) fournira, les délais de réponse et les niveaux de service, les interfaces techniques et les formats de données, la répartition des coûts, ainsi que la responsabilité en cas de non-conformité.

Dans la pratique, de nombreux contrats de MVNO ne mentionnent pas l’interception légale ou n’en parlent qu’en termes généraux. Cela représente un risque important pour le MVNO. Si le contrat n’impose pas explicitement à l’opérateur de réseau mobile (MNO) de fournir des services d’interception, le MVNO pourrait se retrouver dans l’incapacité de respecter ses obligations légales et de contraindre le MNO à lui prêter main-forte. La négociation de dispositions claires et exhaustives en matière d’interception légale devrait constituer une priorité lors de toute négociation d’accord MVNO.

Les dispositions clés qui devraient figurer dans l'accord concernent le champ d'application des services d'interception fournis par l'opérateur de réseau mobile (MNO), les délais de mise en service conformes aux exigences réglementaires, les formats de données et les mécanismes de transmission des informations d'interception (IRI) et des communications captées (CC), les procédures de traitement des demandes d’interception urgentes et d’urgence, les obligations de confidentialité pour toutes les parties, les droits d’audit permettant à l’opérateur mobile virtuel (MVNO) de vérifier la conformité, la répartition des responsabilités en cas de défaillance du processus d’interception, ainsi que les procédures à suivre en cas de modifications réglementaires nécessitant une mise à jour de la capacité d’interception (LI).

Modèles de répartition des responsabilités en matière de LI

Dans la pratique, plusieurs modèles de répartition des responsabilités en matière d'interception entre l'opérateur virtuel (MVNO) et l'opérateur de réseau mobile (MNO) sont utilisés. Le premier est le modèle « pris en charge par l’opérateur de réseau mobile (MNO) », dans lequel ce dernier procède à l’interception pour le compte de l’opérateur mobile virtuel (MVNO). L’opérateur de réseau mobile reçoit l’ordonnance d’interception (soit directement des services de police, soit par l’intermédiaire de l’opérateur mobile virtuel), active l’interception sur son réseau et transmet les données interceptées aux services de police. L’opérateur mobile virtuel (MVNO) apporte un soutien administratif et assure la coordination avec les services de police. Ce modèle est courant chez les MVNO « légers » et les revendeurs ; il nécessite un accord complet avec l’opérateur de réseau mobile (MNO) ainsi que des dispositions techniques validées.

Le deuxième modèle est celui mis en œuvre par l’opérateur mobile virtuel (MVNO), dans lequel ce dernier déploie sa propre infrastructure d’interception locale (LI) — comprenant une fonction de médiation et des interfaces de transfert — et effectue l’interception de manière indépendante. Ce modèle exige que l’opérateur mobile virtuel dispose d’une infrastructure réseau suffisante (généralement ses propres éléments de réseau central) pour servir de points d’interception. Il confère à l’opérateur mobile virtuel un contrôle total sur le processus d’interception, mais nécessite un investissement technique important.

The third model is a hybrid approach, where certain aspects of interception are handled by the MNO and others by the MVNO. For example, the MNO might capture the content (CC) in its network, while the MVNO’s own core elements (such as its IMS) produce the event data (IRI); both streams must then carry the same correlation number so the agency can match them, and the MVNO delivers them to law enforcement through its own plateforme de médiation. Ce modèle nécessite une coordination technique étroite entre l'opérateur mobile virtuel (MVNO) et l'opérateur de réseau mobile (MNO), mais peut permettre d'atteindre un juste équilibre entre capacités et contrôle.

Exigences réglementaires et application de la réglementation

Les autorités de régulation à travers l'Europe accordent une attention croissante à la Conformité LI of MVNOs. As the MVNO market has grown and diversified, regulators have recognised that MVNOs cannot be overlooked in the enforcement of interception obligations. Some legislators address this directly: Germany’s TKG, for example, sets specific duties for providers that use another operator’s network (§ 170(2) TKG), making clear that the MVNO’s dependency on the MNO does not remove the MVNO’s own responsibilities.

Dans le cadre des mesures coercitives, les autorités de régulation et services chargés de l'application de la loi look at whoever holds the specific duty that was breached. In Germany, failing to maintain interception facilities is an administrative offence with fines of up to EUR 500,000 (§ 228 TKG). Contractual recourse against the MNO does not protect an MVNO from sanctions for its own duties.

Cela souligne l'importance de veiller à ce que l'accord entre l'opérateur mobile virtuel (MVNO) et l'opérateur de réseau mobile (MNO) en matière d'interception légale soit solide, testé et documenté. Un accord qui fonctionne sur le papier mais qui n'a pas été validé par des tests et l'expérience opérationnelle procure un faux sentiment de sécurité.

Recommandations pratiques

For MVNOs, the practical recommendations are clear. Establish which LI duties are yours under national law and your network architecture, and accept that you can outsource the work but not the responsibility. Review your wholesale agreement and ensure that LI is comprehensively addressed, with clear responsibilities, service levels, and technical specifications. If you rely on the MNO for interception, verify its capability before you sign (in Germany this check is a legal duty under § 170(2) TKG) and test the end-to-end process, including how orders for your subscribers reach the MNO. Maintain your own documentation, audit trails, and operational procedures, even if the MNO performs the technical interception. And invest in understanding the LI landscape in your market, so that you can engage knowledgeably with regulators, law enforcement, and your MNO partner.

Conclusion

The question of MVNO versus MNO responsibility for lawful interception has no single answer: it depends on national law and on which network elements the MVNO operates, and it is rarely as simple as the commercial agreement suggests. Bridging the gap between legal obligation and technical capability requires careful contractual arrangements, validated technical solutions, and proactive engagement with regulators. MVNOs that approach this challenge systematically, with clear agreements and tested infrastructure, will be well positioned to meet their obligations. Those that leave it unaddressed will discover the consequences at the worst possible time — when a law enforcement agency presents an interception order and expects it to be executed.

For MNOs that host MVNOs, the recommendation is equally straightforward: check whether you are yourself obliged for the MVNO traffic on your installation (as in Germany), recognise that your MVNO partners have duties that depend on your technical cooperation, and build this cooperation into your wholesale offering. Providing clear, well-defined LI services to your MVNO partners protects both parties — the MVNO can meet its legal obligations, and the MNO avoids the reputational and practical complications that arise when an MVNO on its network fails to comply with an interception order. A collaborative approach to LI compliance serves the interests of the entire ecosystem — operators, regulators, and law enforcement alike.

La question de la responsabilité des MVNO en matière d'interception légale relève en fin de compte du droit et varie selon les juridictions. Les opérateurs doivent obtenir des conseils juridiques clairs sur leurs obligations en matière d'interception légale en tant que MVNO sur chaque marché.

Articles connexes

Pour en savoir plus sur des sujets connexes, consultez les articles suivants :

Ressources externes

Les ressources externes suivantes fournissent un contexte supplémentaire et une documentation officielle :