25 October 2022
Cour de cassation
Pourvoi n°
21-87.397
Chambre criminelle - Formation restreinte hors RNSM/NA
Publié au Bulletin
ECLI:FR:CCASS:2022:CR01315
Titres et sommaires
UNION EUROPEENNE - Données de connexion - Règles de conservation et d'accès aux données - Injonction tendant à la conservation rapide des données - Conditions - Contrôle par une juridiction ou une entité administrative indépendante - Juge d'instruction - Contrôle effectif de la durée et du périmètre de l'accès aux données - Nécessité
Il se déduit de l'article 15, § 1, de la directive 2002/58/CE du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications, telle que modifiée par la directive 2009/136/CE du Parlement européen et du Conseil du 25 novembre 2009, lu à la lumière des articles 7, 8 et 11, ainsi que de l'article 52, § 1, de la Charte des droits fondamentaux de l'Union européenne, que si le juge d'instruction est habilité à contrôler l'accès par les enquêteurs aux données de trafic et de localisation régulièrement conservées par les opérateurs de télécommunications, il doit résulter des pièces de l'information que cet accès a été réalisé sous le contrôle effectif de ce magistrat et selon les modalités qu'il a autorisées, s'agissant de la durée et du périmètre de celui-ci. Encourt dès lors la cassation l'arrêt qui écarte la nullité des réquisitions délivrées par les enquêteurs alors que la Cour de cassation est en mesure de s'assurer, par l'examen de la procédure dont elle a le contrôle, qu'il ne résulte d'aucune pièce que le magistrat instructeur, qui a délivré une commission rogatoire rédigée en des termes généraux, ait autorisé les officiers de police judiciaire à procéder aux réquisitions adressées aux opérateurs de télécommunications
Texte de la décision
N° F 21-87.397 F-B
N° 01315
ODVS
25 OCTOBRE 2022
CASSATION
M. BONNAL président,
R É P U B L I Q U E F R A N Ç A I S E
________________________________________
AU NOM DU PEUPLE FRANÇAIS
_________________________
ARRÊT DE LA COUR DE CASSATION, CHAMBRE CRIMINELLE,
DU 25 OCTOBRE 2022
M. [S] [R] a formé un pourvoi contre l'arrêt de la chambre de l'instruction de la cour d'appel de Paris, 6e section, en date du 2 décembre 2021, qui, dans l'information suivie contre lui des chefs de blanchiment aggravé, associations de malfaiteurs, recel en bande organisée, non justification de ressources, a prononcé sur sa demande d'annulation de pièces de la procédure.
Par ordonnance en date du 21 mars 2022, le président de la chambre criminelle a prescrit l'examen immédiat du pourvoi.
Un mémoire a été produit.
Sur le rapport de Mme Labrousse, conseiller, les observations de la SCP Thouvenin, Coudray et Grévy, avocat de M. [S] [R], et les conclusions de M. Croizier, avocat général, après débats en l'audience publique du 27 septembre 2022 où étaient présents M. Bonnal, président, Mme Labrousse, conseiller rapporteur, Mme Ménotti, conseiller de la chambre, M. Croizier, avocat général, et Mme Dang Van Sung, greffier de chambre,
la chambre criminelle de la Cour de cassation, composée en application de l'article 567-1-1 du code de procédure pénale, des président et conseillers précités, après en avoir délibéré conformément à la loi, a rendu le présent arrêt.
Faits et procédure
1. Il résulte de l'arrêt attaqué et des pièces de la procédure ce qui suit.
2. Le 9 mars 2020, une information judiciaire portant sur un trafic de véhicules frauduleusement radiés du fichier des objets et véhicules volés (FOVeS) a été ouverte des chefs de vols, recel, modification frauduleuse des données d'un système de traitement automatisé mis en oeuvre par l'Etat, en bande organisée, et associations de malfaiteurs.
3. Les investigations réalisées ont mis en évidence que la société [1] avait, en quelques mois, procédé à plusieurs déclarations d'achat d'un véhicule initialement inscrit au FOVeS.
4. L'adresse IP associée à cette société a conduit à l'identification de M. [S] [R]. Ses données de trafic et de localisation ont été exploitées par les enquêteurs.
5. Le 11 décembre 2020, M. [R] a été mis en examen des chefs précités.
6. Le 10 juin 2021, il a saisi la chambre de l'instruction d'une requête en annulation des procès-verbaux d'exploitation de ses données de connexion.
Examen du moyen
Sur le moyen, pris en ses sixième et septième branches
7. Les griefs ne sont pas de nature à permettre l'admission du pourvoi au sens de l'article 567-1-1 du code de procédure pénale.
Mais sur le moyen, pris en ses première, deuxième, troisième, quatrième, cinquième et huitième branches
Enoncé du moyen
8. Le moyen critique l'arrêt attaqué en ce qu'il a dit n'y avoir lieu à annulation d'un acte ou d'une pièce de la procédure, alors :
« 1°/ qu'en vertu de l'article 15, § 1 de la directive 2002/58/CE du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, lu à la lumière des articles 7, 8 et 11 ainsi que de l'article 52, § 1, de la Charte des droits fondamentaux, telle qu'interprétée par la Cour de justice de l'Union européenne, la conservation généralisée des adresses IP ne peut être autorisée qu'aux fins de recherche des infractions graves ; qu'en vertu des mêmes dispositions, la conservation ciblée des données de trafic et de localisation par les fournisseurs de communication électronique, dont les fournisseurs de téléphonie, ne peut-être permise qu'aux fins de recherche des infractions graves ; qu'il appartient au seul législateur de définir celles des infractions qui doivent être considérées comme suffisamment graves pour justifier de telles mesures de conservation de données personnelles ; que M. [R], mis en examen pour blanchiment, association de malfaiteurs, recel et non-justification de ressources, a soutenu l'irrégularité de la législation et de la règlementation applicable à de telles opérations et contesté les conditions dans lesquelles les adresses IP et les données de connexion et de localisation qui lui étaient attribuées avaient été conservées et exploitées par les enquêteurs ; que la chambre de l'instruction a estimé que la conservation généralisée des adresses IP et des données de trafic et de localisation pendant un an prévue par l'article L. 34-1 du code des postes et communications pour « les besoins de la lutte contre la criminalité et la délinquance grave, de la prévention des menaces graves contre la sécurité publique et de la sauvegarde de la sécurité nationale », était justifiée au regard de la gravité des infractions reprochées au mis en examen ; qu'en ne laissant pas inappliqué l'article L. 34-1 précité, qui ne précisait pourtant pas quelles infractions devaient être considérées comme graves, quand les infractions contre les biens reprochées au mis en examen ne pouvant être considérées comme suffisamment graves pour justifier l'atteinte au respect de la vie privée et à la liberté d'expression voulue par la directive précitée, la chambre de l'instruction a méconnu les articles 5, 6, 8, 9 et 15 de la directive précitée, lus à la lumière des articles 7, 8 et 11 ainsi que de l'article 52 de la Charte des droits fondamentaux de l'Union européenne ;
2°/ qu'en vertu de l'article 15, § 1 de la directive 2002/58/CE du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, lu à la lumière des articles 7, 8 et 11 ainsi que de l'article 52, § 1, de la Charte des droits fondamentaux, la conservation de telles données n'est permise que sur autorisation d'une autorité judiciaire ou d'une autorité administrative indépendante à même d'en apprécier la nécessité ; qu'en ne prenant pas en considération cette condition de régularité de la conservation par les opérateurs de téléphonie de ces données, la chambre de l'instruction a méconnu les articles 5, 6, 8, 9 et 15 de la directive précitée, lus à la lumière des articles 7, 8 et 11 ainsi que de l'article 52 de la Charte des droits fondamentaux de l'Union européenne ;
3°/ que le juge répressif a compétence pour apprécier la légalité des actes réglementaires ; que, pour rejeter la requête en nullité invoquant l'inconventionnalité de l'article R. 10-13 du code des postes et des communications électroniques fondant la conservation des données, la chambre de l'instruction a estimé que « les diligences télématiques effectuées sur le fondement de [ce texte], l'ont été conformément au droit en vigueur au moment de leur réalisation, alors que leur modification a été reportée d'un délai de 6 mois à compter du mois d'avril 2021, selon les énonciations de la décision « French Data Network » rendue par le Conseil d'Etat le 21 avril 2020; que dès lors il n'a été fait qu'application du droit positif, sans aucune violation de principes ou conventions internationales supérieures » ; qu'en refusant de se prononcer sur la conformité au droit de l'Union européenne de cette disposition comme elle en avait le devoir, la décision du Conseil d'Etat n'ayant aucune autorité de la chose jugée sur cette question, la chambre de l'instruction a méconnu l'article 111-5 du code pénal ;
4°/ qu'en vertu du principe de primauté du droit de l'Union européenne, à défaut de pouvoir procéder à une interprétation de la réglementation nationale conforme aux exigences du droit de l'Union, le juge national a l'obligation d'assurer le plein effet de celles-ci en laissant au besoin la réglementation nationale inappliquée, peu important que des décisions antérieures en aient admis la légalité et la conventionnalité ; que, dès lors, faute d'avoir constaté l'inopposabilité de la décision du Conseil d'Etat du 21 avril 2020, en tant que l'article R 10-13 du code des postes et communications électroniques n'était pas conforme au droit de l'Union européenne tel qu'interprété par la Cour de justice de l'Union européenne qui a estimé que la conservation des adresses IP et des données de trafic et de localisation devait être limitée aux infractions graves, que la conservation des données de trafic et de localisation devait être subordonnée à l'autorisation d'une autorité judiciaire ou d'une autorité administrative indépendante et qu'elle était seule compétente pour autoriser le maintien provisoire en vigueur d'une législation nationale non conforme à ces exigences, la chambre de l'instruction, qui a estimé que le maintien en vigueur de l'article R.10-13 du code des postes et communications électronique pendant six mois décidé par le Conseil d'Etat s'imposait à elle, a méconnu le principe de primauté du droit de l'Union européenne, en violation de l'article 88-1 de la Constitution ;
5°/ qu'en vertu de l'article 15, § 1 de la directive 2002/58/CE du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, lu à la lumière des articles 7, 8 et 11 ainsi que de l'article 52, § 1, de la Charte des droits fondamentaux, les enquêteurs ne peuvent accéder aux adresses IP et aux données de connexion et de localisation que sur l'autorisation d'une autorité judiciaire ou d'une autorité administrative indépendante, distincte de celle sous l'autorité de laquelle les enquêteurs agissent : que, pour dire régulières l'obtention et l'exploitation par la police des données concernant le mis en examen, la chambre de l'instruction a considéré que « s'agissant des données liées à ces lignes téléphoniques, il apparait que les réquisitions réalisées par les enquêteurs pour obtenir les données critiquées, ainsi que toutes leurs exploitations, l'ont été, conformément, et dans le respect de la législation française en vigueur, et sur autorisation et sous le contrôle de l'autorité judiciaire, en l'espèce le juge d'instruction, magistrat disposant d'un statut d'indépendance garantie par la Constitution » ; qu'en ne s'expliquant pas sur cette autorisation, quand l'exposant soutenait que les policiers avaient agi sur le seul fondement d'une commission rogatoire prescrivant de rechercher les auteurs des infractions poursuivies, sans autoriser spécifiquement l'accès aux données concernant les personnes soupçonnées, la chambre de l'instruction n'a pas justifié sa décision au regard des articles 5, 6, 8, 9 et 15 de la directive précitée, lus à la lumière des articles 7, 8 et 11 ainsi que de l'article 52 de la Charte des droits fondamentaux de l'Union européenne ;
8°/ qu'il appartient à l'ordre juridique interne de chaque État membre, en vertu du principe d'autonomie procédurale, de régler les modalités procédurales des recours en justice destinés à assurer la sauvegarde des droits que les justiciables tirent du droit de l'Union, à condition toutefois qu'elles ne soient pas moins favorables que celles régissant des situations similaires soumises au droit interne et qu'elles ne rendent pas impossible en pratique ou excessivement difficile l'exercice des droits conférés par le droit de l'Union ; que, pour rejeter la requête en nullité, la chambre de l'instruction a estimé que « la question envisagée ici n'est pas celle de la nullité d'un procès-verbal établi conformément à la loi, mais plutôt celle de la valeur probante qui pourra lui être attachée, question dont sera saisie le cas échéant la juridiction du fond » ; qu'en statuant ainsi, quand la conservation et l'exploitation des données procédaient d'une méconnaissance des exigences de l'article 15 de la directive 2002/58/CE, prise notamment pour assurer la protection de la vie privée, quand la méconnaissance des dispositions nationales destinées à assurer la protection d'un tel droit est sanctionnée en principe par l'annulation de tels actes et quand la loi n° 2022-299 du 2 mars 2022 a créé un article 60-1-2 du code de procédure pénale disposant que le non-respect des nouvelles dispositions en matière d'accès aux données de connexion et de localisation fait encourir la nullité, la chambre de l'instruction qui a refusé d'annuler les procès-verbaux établis sur le fondement des données recueillies a violé l'article 173 du code de procédure pénale, ensemble le principe d'équivalence des garanties, tel qu'imposé par l'intégration du droit de l'Union européenne et l'article 88-1 de la Constitution. »
Réponse de la Cour
Vu l'article 15 de la directive 2002/58/CE du 12 juillet 2002 modifiée, lu à la lumière des articles 7, 8 et 11, ainsi que de l'article 52, paragraphe 1, de la Charte des droits fondamentaux de l'Union européenne :
9. Par arrêt en date du 12 juillet 2022, la Cour de cassation a énoncé les principes suivants (Crim., 12 juillet 2022, pourvoi n° 21-83.710, publié au Bulletin).
10. L'article L. 34-1, III, du code des postes et des communications électroniques, dans sa version issue de la loi n° 2013-1168 du 18 décembre 2013, mis en oeuvre par l'article R. 10-13 dudit code, tel qu'il résultait du décret n° 2012-436 du 30 mars 2012, est contraire au droit de l'Union européenne en ce qu'il imposait aux opérateurs de services de télécommunications électroniques, aux fins de lutte contre la criminalité, la conservation généralisée et indifférenciée des données de connexion, à l'exception des données relatives à l'identité civile, aux informations relatives aux comptes et aux paiements, ainsi qu'en matière de criminalité grave, de celles relatives aux adresses IP attribuées à la source d'une connexion.
11. En revanche, la France se trouvant exposée, depuis décembre 1994, à une menace grave et réelle, actuelle ou prévisible à la sécurité nationale, les textes précités de droit interne étaient conformes au droit de l'Union en ce qu'ils imposaient aux opérateurs de services de télécommunications électroniques de conserver de façon généralisée et indifférenciée les données de trafic et de localisation, aux fins de la recherche, de la constatation et de la poursuite des infractions portant atteinte aux intérêts fondamentaux de la Nation et des actes de terrorisme, incriminés aux articles 410-1 à 422-7 du code pénal.
12. Les articles 60-1 et 60-2, 77-1-1 et 77-1-2, 99-3 et 99-4 du code de procédure pénale, dans leur version antérieure à la loi n° 2022-299 du 2 mars 2022, lus en combinaison avec le sixième alinéa du paragraphe III de l'article préliminaire du code de procédure pénale, permettaient aux autorités compétentes, de façon conforme au droit de l'Union, pour la lutte contre la criminalité grave, en vue de l'élucidation d'une infraction déterminée, d'ordonner la conservation rapide, au sens de l'article 16 de la Convention du Conseil de l'Europe sur la cybercriminalité du 23 novembre 2001, des données de connexion, même conservées aux fins de sauvegarde de la sécurité nationale.
13. Il appartient à la juridiction, lorsqu'elle est saisie d'un moyen en ce sens, de vérifier, d'une part, que les éléments de fait justifiant la nécessité d'une telle mesure d'investigation répondent à un critère de criminalité grave, dont l'appréciation relève du droit national, d'autre part, que la conservation rapide des données de trafic et de localisation et l'accès à celles-ci respectent les limites du strict nécessaire.
14. S'agissant de la gravité des faits, il appartient au juge de motiver sa décision au regard de la nature des agissements de la personne poursuivie, de l'importance du dommage qui en résulte, des circonstances de la commission des faits et de la durée de la peine encourue.
15. Enfin, l'existence d'un grief pris de l'absence de contrôle préalable par une juridiction ou une entité administrative indépendante n'est établie que lorsque l'accès a porté sur des données irrégulièrement conservées, pour une finalité moins grave que celle ayant justifié la conservation hors hypothèse de la conservation rapide, n'a pas été circonscrit à une procédure visant à la lutte contre la criminalité grave ou a excédé les limites du strict nécessaire.
16. Il s'ensuit que la Cour de cassation, ayant jugé par l'arrêt précité du 12 juillet 2022, que le droit interne français ne pouvait continuer à s'appliquer que dans les limites et sous les conditions précitées, conformément au principe de la primauté du droit de l'Union européenne, il n'y a pas lieu de transmettre à la Cour de justice de l'Union européenne la question préjudicielle posée.
17. En l'espèce, pour écarter la nullité des réquisitions litigieuses, prise de la non-conformité du droit français aux exigences européennes en matière de conservation des données de connexion, l'arrêt attaqué énonce que la jurisprudence européenne admet la conservation généralisée et indifférenciée des adresses IP aux fins de lutte contre la criminalité grave, catégorie à laquelle, à l'évidence, appartiennent les crimes et délits pour lesquels M. [R] est mis en examen.
18. Les juges ajoutent que, s'agissant des données liées aux lignes téléphoniques du requérant, il apparaît que les réquisitions des enquêteurs pour obtenir les données critiquées ont été réalisées conformément à la législation française en vigueur, et sur autorisation et sous le contrôle de l'autorité judiciaire, en l'espèce le juge d'instruction, magistrat disposant d'un statut d'indépendance garanti par la Constitution.
19. Ils énoncent également que l'affirmation que les dispositions de l'article R. 10-13 du code des postes et des communications électroniques ne seraient pas conformes aux engagements européens de la France ne justifie pas de prononcer la nullité des procès-verbaux établis selon le droit français, en un moment où il était applicable, la modification du droit interne ayant été reportée de six mois par l'arrêt du Conseil d'Etat « French Data Network » en date du 21 avril 2021, et ce à compter dudit arrêt.
20. Ils en déduisent qu'il a été ainsi fait application du droit positif sans aucune violation de principes ou de conventions internationales supérieures.
21. En prononçant ainsi, la chambre de l'instruction a méconnu les textes susvisés et les principes susénoncés pour les raisons suivantes.
22. En premier lieu, saisi d'un moyen pris de l'illégalité des dispositions de l'article R. 10-13 du code des postes et des communications comme contraire aux exigences de l'Union européenne, il lui appartenait, en application de l'article 111-5 du code pénal, d'en apprécier la pertinence, le principe de primauté du droit de l'Union lui imposant d'assurer le plein effet de ses dispositions en laissant, au besoin, inappliquée toute réglementation contraire de la législation nationale.
23. Dès lors, la chambre de l'instruction ne pouvait, pour refuser d'examiner la conventionnalité de l'article R. 10-13 du code des postes et des communications électroniques, constater que le Conseil d'Etat avait, par la décision précitée du 21 avril 2021, enjoint au Premier ministre, dans un délai de six mois, à compter de celle-ci, de procéder à l'abrogation dudit article, en ce qu'il ne limitait pas les finalités de l'obligation de conservation généralisée et indifférenciée des données de trafic et de localisation autres que les données d'identité civile, les coordonnées de contact et de paiement, les données relatives aux contrats et aux comptes et les adresses IP, à la sauvegarde de la sécurité nationale.
24. En deuxième lieu, s'agissant de la conservation de l'adresse IP du requérant, ainsi que de ses données de trafic et de localisation, il lui appartenait de vérifier que les faits, objets de la présente procédure, relevaient de la criminalité grave, au regard de la nature des agissements en cause, de l'importance du dommage en résultant, des circonstances de la commission des faits et de la durée de la peine encourue, sans limiter son analyse aux seules qualifications retenues à l'encontre de celui-ci.
25. En outre, et s'agissant de la conservation des données de trafic et de localisation, elle devait également s'assurer que leur conservation rapide et l'accès à celles-ci respectaient les limites du strict nécessaire.
26. En troisième lieu, la Cour de cassation est en mesure de s'assurer, par l'examen de la procédure, dont elle a le contrôle, qu'il ne résulte d'aucune pièce que le magistrat instructeur, qui a délivré une commission rogatoire rédigée en des termes généraux, ait autorisé les officiers de police judiciaire à procéder aux réquisitions adressées aux opérateurs de télécommunications, en en fixant la durée et le périmètre.
27. Il s'ensuit que l'accès aux données de connexion n'a pas été réalisé de façon conforme au droit de l'Union européenne. Une telle irrégularité n'est de nature à entraîner la nullité que si l'existence d'un grief est établie, conformément au paragraphe 15 de cet arrêt.
28. Enfin, la chambre de l'instruction ne pouvait, sans méconnaître le principe d'équivalence du droit européen, énoncer qu'en cas de méconnaissance de celui-ci, il appartiendrait à la juridiction de jugement d'apprécier la valeur probante des procès-verbaux dressés, mais devait rechercher si un grief était établi, conformément au paragraphe 15 de ce arrêt et, en ce cas, prononcer la nullité des actes litigieux.
29. La cassation est dès lors encourue de ces chefs.
PAR CES MOTIFS,
CASSE et ANNULE, en toutes ses dispositions, l'arrêt susvisé de la chambre de l'instruction de la cour d'appel de Paris, en date du 2 décembre 2021, et pour qu'il soit à nouveau jugé, conformément à la loi ;
RENVOIE la cause et les parties devant la chambre de l'instruction de la cour d'appel de Paris, autrement composée, à ce désignée par délibération spéciale prise en chambre du conseil ;
ORDONNE l'impression du présent arrêt, sa transcription sur les registres du greffe de la chambre de l'instruction de la cour d'appel de Paris, et sa mention en marge ou à la suite de l'arrêt annulé ;
Ainsi fait et jugé par la Cour de cassation, chambre criminelle, et prononcé par le président le vingt-cinq octobre deux mille vingt-deux.