Numéro 7 - Juillet 2022

Bulletin des arrêts de la chambre criminelle

UNION EUROPEENNE

Crim., 12 juillet 2022, n° 21-83.820, (B) (R), FS

Rejet

Données de connexion – Règles de conservation et d'accès aux données – Méconnaissance – Existence d'un grief – Conditions – Détermination

Une personne mise en examen n'est recevable à invoquer la violation des exigences de l'Union européenne en matière de conservation des données de connexion que si elle prétend être titulaire ou utilisatrice de l'une des lignes identifiées ou si elle établit qu'il aurait été porté atteinte à sa vie privée, à l'occasion des investigations litigieuses.

Données de connexion – Règles de conservation et d'accès aux données – Méconnaissance – Législation nationale – Applications diverses

Méconnaît les articles L. 34-1 du code des postes et des communications électroniques, dans sa version issue de la loi n° 2013-1168 du 18 décembre 2013, et R. 10-13 dudit code, tel qu'il résulte du décret n° 2012-436 du 30 mars 2012, la chambre de l'instruction qui, pour ne pas faire droit à la nullité de procès-verbaux d'exploitation de facturations détaillées et de données géolocalisées concernant le requérant, énonce que ces articles prévoient une conservation ciblée des données de connexion conforme au droit de l'Union européenne alors qu'une telle conservation n'existe pas en droit français.

Données de connexion – Règles de conservation et d'accès aux données – Conformité – Lutte contre la criminalité grave – Réquisitions aux opérateurs téléphoniques sur réquisitions du juge d'instruction – Données régulièrement conservées pour la sauvegarde de la sécurité nationale – Mesure nécessaire et proportionnelle

L'arrêt n'encourt néanmoins pas la censure dès lors que la chambre de l'instruction a, à juste titre, énoncé que les faits d'importation et d'exportation de plusieurs centaines de kilogrammes de cocaïne d'une grande pureté, en bande organisée, par une structure criminelle de dimension internationale, entrent dans le champ de la criminalité grave et a relevé que l'ingérence dans la vie privée du requérant constituée par les réquisitions aux opérateurs téléphoniques de ses données de trafic et de localisation apparaissait tout à la fois nécessaire et proportionnée à la poursuite d'infractions pénales relevant de la criminalité grave. Dès lors, agissant sur commission rogatoire du juge d'instruction, les enquêteurs pouvaient, sans méconnaître l'article 15, § 1, de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, lu à la lumière des articles 7, 8 et 11 ainsi que de l'article 52, § 1, de la Charte des droits fondamentaux de l'Union européenne et l'article 8 de la Convention de sauvegarde des droits de l'homme et des libertés fondamentales, accéder aux données de trafic et de localisation régulièrement conservées pour la finalité de la sauvegarde de la sécurité nationale.

M. [F] [U] a formé un pourvoi contre l'arrêt de la chambre de l'instruction de la cour d'appel de Fort-de-France, en date du 8 juin 2021, qui, dans l'information suivie contre lui des chefs d'importation et exportation de stupéfiants en bande organisée, infractions à la législation sur les stupéfiants, associations de malfaiteurs, a prononcé sur sa demande d'annulation de pièces de la procédure.

Par ordonnance en date du 13 septembre 2021, le président de la chambre criminelle a prescrit l'examen immédiat du pourvoi.

LA COUR,

Faits et procédure

1. Il résulte de l'arrêt attaqué et des pièces de la procédure ce qui suit.

2. A la suite de l'interception dans les eaux territoriales au large de la Martinique d'une embarcation dans laquelle étaient découvertes plusieurs dizaines de kilogrammes de cocaïne, une information judiciaire a été ouverte.

3. Le 6 novembre 2020, M. [F] [U] a été mis en examen des chefs précités.

4. Le 20 avril 2021, il a déposé une requête en nullité visant notamment les réquisitions des enquêteurs portant sur les données de trafic et de localisation de la téléphonie et les actes d'exploitation de ces données.

Examen des moyens

Sur les premier et deuxième moyens

5. Ils ne sont pas de nature à permettre l'admission du pourvoi au sens de l'article 567-1-1 du code de procédure pénale.

Sur le troisième moyen

Enoncé du moyen

6. Le moyen critique l'arrêt attaqué en ce qu'il a rejeté la requête en nullité portant sur les réquisitions des enquêteurs portant sur les données de trafic et de localisation de la téléphonie et des actes d'exploitation de ces données, alors :

« 1°/ que l'article 15, paragraphe 1 de la directive 2002/58/CE du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, lu à la lumière des articles 7, 8 et 11 ainsi que de l'article 52, paragraphe 1, de la Charte des droits fondamentaux de l'Union européenne, s'oppose à des mesures législatives prévoyant, aux fins de protection de la sécurité nationale ou de lutte contre les infractions graves, à titre préventif, la conservation généralisée et indifférenciée des données relatives au trafic et des données de localisation des communications par les fournisseurs des services de communication électronique ; que, dans son mémoire, le mis en examen invoquait la nullité de l'ensemble des opérations d'identification de personnes, dont lui-même, en lien avec les personnes soupçonnées par les enquêteurs d'avoir commis les infractions dont ils étaient saisis, par l'utilisation des données de trafic et de localisation des communications électroniques que les fournisseurs de services de communications électroniques, en l'espèce, les fournisseurs de téléphonie, sont tenus de conserver pendant un an, en application des articles L. 34-1 et R. 10-13 du code des postes et communications électroniques et des articles 6 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numériques imposant aux fournisseurs de communications électronique la conservations de toutes les données notamment de trafic et de localisation et l'article 1er du décret du 25 février 2011 pris pour son application, en ce que ces dispositions violaient le droit de l'Union européenne, et en particulier l'article 15 de la directive 2002/58/CE précitée ; qu'en considérant, pour rejeter le moyen de nullité, que le trafic de stupéfiants entrait dans la catégorie des infractions graves justifiant un stockage massif et indifférencié des données de trafic et de localisation gérées par les fournisseurs de communication électronique dans les conditions prévues par l'article 15 de la directive 2002/58, quand les dispositions légales et réglementaires précitées n'ont précisé ni quelles infractions graves justifiaient une obligation de conservation, ni les catégories de données à conserver, ni les personnes concernées, ni les autorités habilitées à définir les cas dans lesquels ce stockage s'impose, la chambre de l'instruction a méconnu l'article 15 de la directive 2002/58, lu à la lumière des articles 7, 8 et 11 ainsi que de l'article 52 de la Charte des droits fondamentaux de l'Union européenne et 88-1 de la Constitution ;

2°/ qu'en vertu de l'article 8, § 2, de la Convention de sauvegarde des droits de l'homme et des libertés fondamentales, il ne peut y avoir ingérence d'une autorité publique dans l'exercice du droit à la vie privée et au respect des correspondances que pour autant que cette ingérence est prévue par la loi et qu'elle constitue une mesure qui, dans une société démocratique, est nécessaire à la sécurité nationale, à la sûreté publique, au bien-être économique du pays, à la défense de l'ordre et à la prévention des infractions pénales, à la protection de la santé ou de la morale, ou à la protection des droits et libertés d'autrui ; qu'en estimant que la conservation en vue de leur exploitation dans le cadre des enquêtes pénales des données de trafic et de localisation des utilisateurs des moyens de communication électroniques étaient justifiées pour la recherche des infractions graves, quand le législateur n'a pas défini les catégories d'infractions graves justifiant une telle ingérence, ni l'autorité habilitée à se prononcer sur l'obligation de conserver de telles données, la cour d'appel a violé l'article 8, §2, de la Convention de sauvegarde des droits de l'homme et des libertés fondamentales ;

3°/ qu'en vertu de l'article 15 de la directive 2002/52/CE de la directive 2002/58/CE du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, les données de trafic et de localisation ne peuvent être exploitées que pour la fin qui a autorisé la conservation ; qu'en se référant à l'arrêt du Conseil d'Etat du 21 avril 2021, ayant jugé que l'obligation de conservation des données de connexion et de localisation pendant un an prévue par la législation et la réglementation nationale, était justifiée par les impératifs de protection de la sécurité nationale que constitue la lutte contre le terrorisme, conservation pourtant non subordonnée à une autorisation d'une juridiction ou d'une autorité indépendante, la chambre de l'instruction, qui a jugé que l'accès à ces données par les enquêteurs agissant sur commission rogatoire était justifié dans le cadre de la recherche des auteurs des infractions visées aux poursuites, pourtant sans lien avec le terrorisme, a violé l'article 15 de la directive 2002/58, lu à la lumière des articles 7, 8 et 11 ainsi que de l'article 52 de la Charte des droits fondamentaux de l'Union européenne ;

4°/ qu'en vertu de l'article 15 de la directive 2002/58/CE du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, l'accès des autorités nationales compétentes aux données de trafic et de localisation conservées est subordonné à un contrôle préalable effectué soit par une juridiction soit par une entité administrative, tiers par rapport à l'autorité de poursuite, et à la condition que la décision de cette juridiction ou de cette entité intervienne à la suite d'une demande motivée de cette autorité de poursuite ; que, par ailleurs, en vertu de l'article 8, paragraphe 2, de la Convention de sauvegarde des droits de l'homme et des libertés fondamentales, l'exploitation de données de trafic et de connexion pour les besoins d'une enquête répressive ne peut intervenir que sur décision d'un juge indépendant et impartial ; que, dans son mémoire, le mis en examen contestait l'accès par les enquêteurs, agissant sur commission rogatoire, aux données de trafic et de localisation concernant différentes personnes, conservées par les fournisseurs de communication électronique, en ce que cet accès n'avait pas été autorisé par une juridiction ; que la chambre de l'instruction qui ne s'est pas prononcée sur ce moyen de nullité, a privé sa décision de base légale en violation des articles 198 et 593 du code de procédure pénale. »

Réponse de la Cour

7. Par arrêt de ce jour, la Cour de cassation a énoncé les principes suivants (Crim., 12 juillet 2022, pourvoi n° 21-83.710, publié au Bulletin).

8. L'article L. 34-1, III, du code des postes et des communications électroniques, dans sa version issue de la loi n° 2013-1168 du 18 décembre 2013, mis en oeuvre par l'article R. 10-13 dudit code, tel qu'il résultait du décret n° 2012-436 du 30 mars 2012, est contraire au droit de l'Union européenne en ce qu'il imposait aux opérateurs de services de télécommunications électroniques, aux fins de lutte contre la criminalité, la conservation généralisée et indifférenciée des données de connexion, à l'exception des données relatives à l'identité civile, aux informations relatives aux comptes et aux paiements, ainsi qu'en matière de criminalité grave, de celles relatives aux adresses IP attribuées à la source d'une connexion.

9. En revanche, la France se trouvant exposée, depuis décembre 1994, à une menace grave et réelle, actuelle ou prévisible à la sécurité nationale, les textes précités de droit interne étaient conformes au droit de l'Union en ce qu'ils imposaient aux opérateurs de services de télécommunications électroniques de conserver de façon généralisée et indifférenciée les données de trafic et de localisation, aux fins de la recherche, de la constatation et de la poursuite des infractions portant atteinte aux intérêts fondamentaux de la Nation et des actes de terrorisme, incriminés aux articles 410-1 à 422-7 du code pénal.

10. Les articles 60-1 et 60-2, 77-1-1 et 77-1-2, 99-3 et 99-4 du code de procédure pénale, dans leur version antérieure à la loi n° 2022-299 du 2 mars 2022, lus en combinaison avec le sixième alinéa du paragraphe III de l'article préliminaire du code de procédure pénale, permettaient aux autorités compétentes, de façon conforme au droit de l'Union, pour la lutte contre la criminalité grave, en vue de l'élucidation d'une infraction déterminée, d'ordonner la conservation rapide, au sens de l'article 16 de la Convention de sauvegarde des droits de l'homme et des libertés fondamentales du Conseil de l'Europe sur la cybercriminalité du 23 novembre 2001, des données de connexion, même conservées aux fins de sauvegarde de la sécurité nationale.

11. Il appartient à la juridiction, lorsqu'elle est saisie d'un moyen en ce sens, de vérifier, d'une part, que les éléments de fait justifiant la nécessité d'une telle mesure d'investigation répondent à un critère de criminalité grave, dont l'appréciation relève du droit national, d'autre part, que la conservation rapide des données de trafic et de localisation et l'accès à celles-ci respectent les limites du strict nécessaire.

12. S'agissant de la gravité des faits, il appartient au juge de motiver sa décision au regard de la nature des agissements de la personne poursuivie, de l'importance du dommage qui en résulte, des circonstances de la commission des faits et de la durée de la peine encourue.

13. Les articles 60-1 et 60-2, 77-1-1 et 77-1-2 du code de procédure pénale sont contraires au droit de l'Union uniquement en ce qu'ils ne prévoient pas préalablement à l'accès aux données un contrôle par une juridiction ou une entité administrative indépendante.

En revanche, le juge d'instruction est habilité à contrôler l'accès aux données de connexion.

14. Une personne mise en examen n'est recevable à invoquer la violation de l'exigence précitée que si elle prétend être titulaire ou utilisatrice de l'une des lignes identifiées ou si elle établit qu'il aurait été porté atteinte à sa vie privée, à l'occasion des investigations litigieuses.

15. L'existence d'un grief pris de l'absence d'un tel contrôle est établie si l'accès aux données de trafic et de localisation a méconnu les conditions matérielles posées par le droit de l'Union. Tel est le cas si l'accès a porté sur des données irrégulièrement conservées, s'il a eu lieu, hors hypothèse de la conservation rapide, pour une finalité moins grave que celle ayant justifié la conservation, n'a pas été circonscrit à une procédure visant à lutter contre la criminalité grave et a excédé les limites du strict nécessaire.

16. En l'espèce, M. [U] ne justifie ni même n'allègue qu'il aurait été porté atteinte à sa vie privée par les réquisitions délivrées aux opérateurs durant l'enquête ou sur commission rogatoire et tendant à obtenir les facturations détaillées et les géolocalisations des lignes téléphoniques dont il n'était ni titulaire ni utilisateur. Il n'a dès lors pas qualité pour en solliciter la nullité.

17. En revanche, il est recevable à solliciter la nullité des réquisitions portant sur les lignes téléphoniques dont il était l'utilisateur, auxquelles les enquêteurs n'ont eu accès que sur commission rogatoire du juge d'instruction.

18. C'est à tort que, pour ne pas faire droit à la nullité des procès-verbaux d'exploitation de facturations détaillées et de données géolocalisées concernant le requérant, l'arrêt énonce en substance que les articles L. 34-1 et R. 10-13 du code des postes et des communications électroniques, dans leur version en vigueur au moment des faits, prévoyaient une conservation ciblée des données de connexion.

19. En effet, une telle conservation n'existait pas en droit français.

20. L'arrêt n'encourt néanmoins pas la censure pour les motifs qui suivent.

21. D'une part, la chambre de l'instruction a, à juste titre, énoncé que les faits d'importation et d'exportation de plusieurs centaines de kilogrammes de cocaïne d'une grande pureté, en bande organisée, par une structure criminelle de dimension internationale, entrent dans le champ de la criminalité grave.

22. D'autre part, elle a également relevé que l'ingérence dans la vie privée du requérant constituée par les réquisitions aux opérateurs téléphoniques et l'exploitation des données d'identité, de trafic et de géolocalisation apparaissait tout à la fois nécessaire et proportionnée à la poursuite d'infractions pénales relevant de la criminalité grave.

23. Il s'ensuit qu'agissant sur commission rogatoire du juge d'instruction, les enquêteurs pouvaient, sans méconnaître les dispositions conventionnelles invoquées au moyen, accéder aux données de trafic et de localisation régulièrement conservées pour la finalité de la sauvegarde de la sécurité nationale.

24. Le moyen ne peut dès lors être accueilli.

25. Par ailleurs l'arrêt est régulier en la forme.

PAR CES MOTIFS, la Cour :

REJETTE le pourvoi.

Arrêt rendu en formation de section.

- Président : M. Soulard - Rapporteur : Mme Labrousse - Avocat général : M. Petitprez - Avocat(s) : SCP Thouvenin, Coudray et Grévy -

Textes visés :

Articles 7, 8, 11 et 52, § 1, de la Charte des droits fondamentaux de l'Union européenne ; article 8 de la Convention de sauvegarde des droits de l'homme et des libertés fondamentales ; article 15 de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 ; articles 60-1, 60-2, 77-1-1, 77-1-2, 99-3, 99-4, 198 et 593 du code de procédure pénale ; articles L. 34-1 et R. 10-13 du code des postes et des communications électroniques.

Rapprochement(s) :

Crim., 12 juillet 2022, pourvoi n° 21-83.710, Bull. (rejet).

Crim., 12 juillet 2022, n° 21-84.096, (B) (R), FS

Rejet

Données de connexion – Règles de conservation et d'accès aux données – Méconnaissance – Existence d'un grief – Conditions – Détermination

Une personne mise en examen n'est recevable à invoquer la violation des exigences de l'Union européenne en matière de conservation des données de connexion que si elle prétend être titulaire ou utilisatrice de l'une des lignes identifiées ou si elle établit qu'il aurait été porté atteinte à sa vie privée, à l'occasion des investigations litigieuses.

Données de connexion – Règles de conservation et d'accès aux données – Méconnaissance – Conservation des données de trafic et de localisation aux fins de lutte contre la criminalité grave

Méconnaît l'article 15, § 1, de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, lu à la lumière des articles 7, 8 et 11 ainsi que de l'article 52, § 1, de la Charte des droits fondamentaux de l'Union européenne, la chambre de l'instruction qui, pour ne pas faire droit à la nullité prise de la conservation irrégulière des données de trafic et de localisation du requérant, énonce que la lutte contre la criminalité grave justifie l'ingérence dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel, sous réserve de proportionnalité au but poursuivi et que cette ingérence soit encadrée par la loi.

Données de connexion – Règles de conservation et d'accès aux données – Conformité – Lutte contre la criminalité grave – Réquisitions aux opérateurs téléphoniques sur réquisitions du juge d'instruction – Données régulièrement conservées pour la sauvegarde de la sécurité nationale – Mesure nécessaire et proportionnelle

L'arrêt n'encourt néanmoins pas la censure dès lors que, d'une part, les faits de trafic de stupéfiants, objets de l'information judiciaire, passibles d'une peine de dix ans d'emprisonnement, relevaient, par leur ampleur et leur structure, de la criminalité grave, d'autre part, la chambre de l'instruction a constaté que c'est exclusivement dans le cadre de l'enquête, dont l'objet était délimité précisément, que les enquêteurs ont sollicité, pour une période limitée, des informations alors détenues par les opérateurs de téléphonie concernant des lignes en lien direct avec les infractions motivant les investigations. Il s'ensuit qu'agissant sur commission rogatoire du juge d'instruction, les enquêteurs pouvaient accéder aux données de trafic et de localisation régulièrement conservées pour la finalité de la sauvegarde de la sécurité nationale.

MM. [R] [K] et [S] [M] ont formé des pourvois contre l'arrêt de la chambre de l'instruction de la cour d'appel de Lyon, en date du 20 mai 2021, qui, dans l'information suivie contre eux des chefs notamment d'infractions à la législation sur les stupéfiants, association de malfaiteurs, en récidive, a prononcé sur leur demande d'annulation de pièces de la procédure.

Par ordonnance en date du 13 septembre 2021, le président de la chambre criminelle a joint les pourvois et prescrit leur examen immédiat.

LA COUR,

Faits et procédure

1. Il résulte de l'arrêt attaqué et des pièces de la procédure ce qui suit.

2. Le 30 septembre 2019, une enquête préliminaire a été ouverte à la suite de la réception par un service de police d'une carte de visite portant l'inscription « Uber Green » et proposant un service de livraison d'herbe de cannabis, joignable chaque jour à un numéro indiqué.

3. Les investigations, notamment téléphoniques, sur le fondement de l'article 77-1-1 du code de procédure pénale, ainsi que les surveillances ont permis de confirmer l'existence d'un trafic de stupéfiants.

4. Le 14 novembre 2019, le procureur de la République a ouvert une information judiciaire contre personne non dénommée des chefs d'infractions à la législation sur les stupéfiants et association de malfaiteurs.

5. La poursuite des investigations, notamment des réquisitions aux opérateurs de télécommunications, a permis d'identifier MM. [S] [M] et [R] [K], qui ont été interpellés et mis en examen respectivement les 11 et 12 juin 2020.

6. Le 14 décembre 2020, ils ont présenté une requête conjointe en nullité de l'ensemble des réquisitions délivrées à ces opérateurs en exposant que tant la conservation des données de connexion que leur communication aux enquêteurs étaient contraires au droit de l'Union européenne.

Examen des moyens

Sur l'irrecevabilité du moyen en ce qu'il est proposé pour M. [M], relevée d'office et mise dans le débat

7. Il résulte des dispositions de l'article 173-1 du code de procédure pénale que, sous peine d'irrecevabilité, la personne mise en examen doit faire état des moyens pris de la nullité des actes accomplis avant son interrogatoire de première comparution dans un délai de six mois à compter de cet interrogatoire, sauf dans le cas où elle n'aurait pu les connaître.

8. En l'espèce, M. [M] a été mis en examen le 11 juin 2020 de sorte que le délai de forclusion, prévu à l'article précité, expirait le vendredi 11 décembre 2020.

9. C'est, dès lors, à tort que la chambre de l'instruction a déclaré recevable la requête en nullité de l'intéressé, en date du 14 décembre 2020, au visa de l'article 4 de l'ordonnance n° 2020-303 du 25 mars 2020 portant adaptation de règles de procédure pénale sur le fondement de la loi n° 2020-290 du 23 mars 2020 d'urgence pour faire face à l'épidémie de covid-19.

10. En effet, la Cour de cassation juge que le délai de six mois imparti par l'article 173-1 du code de procédure pénale à la personne mise en examen pour faire état des moyens pris de la nullité des actes accomplis avant son interrogatoire de première comparution ou de cet interrogatoire lui-même, à compter de la notification de sa mise en examen, ne s'interprète pas comme un délai de recours et n'entre pas dans les prévisions de cet article (Crim., 9 février 2021, pourvoi n° 20-84.939).

11. Il s'ensuit que le moyen, en ce qu'il est présenté par M. [M], doit être déclaré irrecevable.

Sur le moyen en ce qu'il est présenté pour M. [K]

Enoncé du moyen

12. Le moyen critique l'arrêt attaqué en ce qu'il a rejeté la requête en nullité tendant à l'annulation, d'une part, de l'ensemble des réquisitions portant sur les données à caractère personnel conservées par les opérateurs de communications électroniques, d'autre part, de l'ensemble des actes subséquents ayant trouvé leur support nécessaire dans ces actes irréguliers et a, en conséquence, ordonné le renvoi de la procédure au juge d'instruction, alors :

« 1°/ que le droit interne ne peut prévoir, aux fins de la lutte contre la criminalité grave et de la prévention des menaces graves contre la sécurité publique, qu'une conservation ciblée des données relatives au trafic et des données de localisation qui soit délimitée, sur la base d'éléments objectifs et non discriminatoires, en fonction de catégories de personnes concernées ou au moyen d'un critère géographique, pour une période temporellement limitée au strict nécessaire, ce qui exclut toute conservation généralisée et indifférenciée des données de trafic ou de localisation ; qu'en rejetant cependant la requête en nullité de M. [K], poursuivi des chefs de récidive de trafic de produits stupéfiants, d'association de malfaiteurs et de blanchiment, tendant à l'annulation des pièces obtenues au moyen de la conservation généralisée et indifférenciée de leurs données de trafic et de localisation, aux motifs que le droit de l'Union européenne ne s'opposait pas à cette conservation généralisée des données, la cour d'appel a violé l'article 15, § 1, de la directive 2002/58/CE du Parlement européen et du Conseil, du 12 juillet 2002, concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, telle que modifiée par la directive 2009/136/CE du Parlement européen et du Conseil, du 25 novembre 2009, ensemble l'article 23, § 1, du règlement 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, lu à la lumière des articles 7, 8 et 11 ainsi que de l'article 52, § 1, de la Charte des droits fondamentaux de l'Union européenne ;

2°/ que le droit interne ne peut prévoir, à des fins de lutte contre la criminalité, une conservation généralisée et indifférenciée de l'ensemble des données relatives au trafic et des données de localisation de tous les abonnés et utilisateurs inscrits concernant tous les moyens de communication électronique ; qu'en rejetant la requête en nullité de M. [K], poursuivi des chefs de récidive de trafic de produits stupéfiants, d'association de malfaiteurs et de blanchiment, tendant à l'annulation des pièces obtenues au moyen de la conservation généralisée et indifférenciée de ses données de trafic et de localisation, aux motifs que la conservation de l'ensemble de ses données ne portait pas une atteinte disproportionnée à son droit au respect de la vie privée ou à la protection de ses données personnelles, la cour d'appel a statué par des motifs tout à la fois impropres et inopérants à justifier son arrêt, violant ainsi l'article 15, § 1, de la directive 2002/58/CE du Parlement européen et du Conseil, du 12 juillet 2002, concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, telle que modifiée par la directive 2009/136/CE du Parlement européen et du Conseil, du 25 novembre 2009, ensemble l'article 23, § 1, du règlement 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, lu à la lumière des articles 7, 8 et 11 ainsi que de l'article 52, § 1, de la Charte des droits fondamentaux de l'Union européenne ;

3°/ que le ministère public, dont la mission est de diriger la procédure d'instruction pénale et d'exercer, le cas échéant, l'action publique lors d'une procédure ultérieure, n'est pas une autorité indépendante compétente pour autoriser l'accès d'une autorité publique aux données relatives au trafic et aux données de localisation aux fins d'une instruction pénale ; qu'en jugeant le contraire pour rejeter l' exception de nullité de M. [K], aux motifs que « l'autorité judiciaire (...) comprend à la fois les magistrats du siège et du parquet », la cour d'appel s'est fondée sur des motifs impropres et inopérants à justifier son arrêt, violant ainsi l'article 15, § 1, de la directive 2002/58/CE du Parlement européen et du Conseil, du 12 juillet 2002, concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, telle que modifiée par la directive 2009/136/CE du Parlement européen et du Conseil, du 25 novembre 2009, ensemble l'article 23, § 1, du règlement 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, lu à la lumière des articles 7, 8 et 11 ainsi que de l'article 52, § 1, de la Charte des droits fondamentaux de l'Union européenne ;

4°/ que le juge pénal doit écarter des informations et des éléments de preuve qui ont été obtenus par une conservation généralisée et indifférenciée des données relatives au trafic et des données de localisation incompatible avec le droit de l'Union, dans le cadre d'une procédure pénale ouverte à l'encontre de personnes soupçonnées d'actes de criminalité, dès lors que ces personnes ne sont pas en mesure de commenter efficacement ces informations et ces éléments de preuve, provenant d'un domaine échappant à la connaissance des juges et qui sont susceptibles d'influencer de manière prépondérante l'appréciation des faits ; qu'en rejetant cependant la requête en nullité de M. [K], poursuivi des chefs de récidive de trafic de produits stupéfiants, d'association de malfaiteurs et de blanchiment, tendant à l'annulation des pièces obtenues au moyen de la conservation généralisée et indifférenciée de ses données de trafic et de localisation, aux seuls motifs que le droit de l'Union européenne ne s'opposait pas à cette conservation généralisée des données et que la conservation de l'ensemble de ses données ne portait pas une atteinte disproportionnée à son droit au respect de la vie privée ou à la protection de ses données personnelles, d'une part, et, que les officiers de police judiciaire avaient agi sur l'autorisation et sous le contrôle du procureur de la République dans le cadre de l'enquête initiale (autorisation recueillie expressément le 30 septembre 2019), c'est-à-dire sur l'autorisation préalable et sous le contrôle permanent de l'autorité judiciaire « qui comprend à la fois les magistrats du siège et du parquet », d'autre part, sans rechercher si M. [K] était en mesure de commenter efficacement les informations et les éléments de preuve recueillis à son encontre, provenant d'un domaine échappant à la connaissance des juges et qui étaient susceptibles d'influencer de manière prépondérante l'appréciation des faits, la cour d'appel a privé sa décision de base légale au regard de l'article 15, § 1, de la directive 2002/58/CE du Parlement européen et du Conseil, du 12 juillet 2002, concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, telle que modifiée par la directive 2009/136/CE du Parlement européen et du Conseil, du 25 novembre 2009, ensemble l'article 23, § 1, du règlement 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, lu à la lumière des articles 7, 8 et 11 ainsi que de l'article 52, § 1, de la Charte des droits fondamentaux de l'Union européenne. »

Réponse de la Cour

13. Par arrêt de ce jour, la Cour de cassation a énoncé les principes suivants (Crim., 12 juillet 2022, pourvoi n° 21-83.710, publié au Bulletin).

14. L'article L. 34-1, III, du code des postes et des communications électroniques, dans sa version issue de la loi n° 2013-1168 du 18 décembre 2013, mis en oeuvre par l'article R. 10-13 dudit code, tel qu'il résultait du décret n° 2012-436 du 30 mars 2012, est contraire au droit de l'Union européenne en ce qu'il imposait aux opérateurs de services de télécommunications électroniques, aux fins de lutte contre la criminalité, la conservation généralisée et indifférenciée des données de connexion, à l'exception des données relatives à l'identité civile, aux informations relatives aux comptes et aux paiements, ainsi qu'en matière de criminalité grave, de celles relatives aux adresses IP attribuées à la source d'une connexion.

15. En revanche, la France se trouvant exposée, depuis décembre 1994, à une menace grave et réelle, actuelle ou prévisible à la sécurité nationale, les textes précités de droit interne étaient conformes au droit de l'Union en ce qu'ils imposaient aux opérateurs de services de télécommunications électroniques de conserver de façon généralisée et indifférenciée les données de trafic et de localisation, aux fins de la recherche, de la constatation et de la poursuite des infractions portant atteinte aux intérêts fondamentaux de la Nation et des actes de terrorisme, incriminés aux articles 410-1 à 422-7 du code pénal.

16. Les articles 60-1 et 60-2, 77-1-1 et 77-1-2, 99-3 et 99-4 du code de procédure pénale, dans leur version antérieure à la loi n° 2022-299 du 2 mars 2022, lus en combinaison avec le sixième alinéa du paragraphe III de l'article préliminaire du code de procédure pénale, permettaient aux autorités compétentes, de façon conforme au droit de l'Union, pour la lutte contre la criminalité grave, en vue de l'élucidation d'une infraction déterminée, d'ordonner la conservation rapide, au sens de l'article 16 de la Convention du Conseil de l'Europe sur la cybercriminalité du 23 novembre 2001, des données de connexion, même conservées aux fins de sauvegarde de la sécurité nationale.

17. Il appartient à la juridiction, lorsqu'elle est saisie d'un moyen en ce sens, de vérifier, d'une part, que les éléments de fait justifiant la nécessité d'une telle mesure d'investigation répondent à un critère de criminalité grave, dont l'appréciation relève du droit national, d'autre part, que la conservation rapide des données de trafic et de localisation et l'accès à celles-ci respectent les limites du strict nécessaire.

18. S'agissant de la gravité des faits, il appartient au juge de motiver sa décision au regard de la nature des agissements de la personne poursuivie, de l'importance du dommage qui en résulte, des circonstances de la commission des faits et de la durée de la peine encourue.

19. Les articles 60-1 et 60-2, 77-1-1 et 77-1-2 du code de procédure pénale sont contraires au droit de l'Union uniquement en ce qu'ils ne prévoient pas préalablement à l'accès aux données un contrôle par une juridiction ou une entité administrative indépendante.

En revanche, le juge d'instruction est habilité à contrôler l'accès aux données de connexion.

20. Une personne mise en examen n'est recevable à invoquer la violation de l'exigence précitée que si elle prétend être titulaire ou utilisatrice de l'une des lignes identifiées ou si elle établit qu'il aurait été porté atteinte à sa vie privée, à l'occasion des investigations litigieuses.

21. L'existence d'un grief pris de l'absence d'un tel contrôle est établie si l'accès aux données de trafic et de localisation a méconnu les conditions matérielles posées par le droit de l'Union. Tel est le cas si l'accès a porté sur des données irrégulièrement conservées, s'il a eu lieu, hors hypothèse de la conservation rapide, pour une finalité moins grave que celle ayant justifié la conservation, n'a pas été circonscrit à une procédure visant à lutter contre la criminalité grave et a excédé les limites du strict nécessaire.

22. En l'espèce, M. [K] ne justifie ni même n'allègue qu'il aurait été porté atteinte à sa vie privée par les réquisitions délivrées aux opérateurs téléphoniques tendant à obtenir les facturations détaillées et les géolocalisations de lignes téléphoniques dont il n'était ni le titulaire ni l'utilisateur. Il n'a dès lors pas qualité pour en solliciter la nullité.

23. En revanche, il est recevable à solliciter la nullité des investigations relatives aux données de connexion de la ligne dont il était l'utilisateur et auxquelles ont accédé les enquêteurs sur commission rogatoire du juge d'instruction.

24. C'est à tort, pour la raison exposée au paragraphe 14, que, pour ne pas faire droit à la nullité prise de la conservation irrégulière de ces données, l'arrêt énonce en substance que la lutte contre la criminalité grave justifie l'ingérence dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel, sous réserve de proportionnalité au but poursuivi et que cette ingérence soit encadrée par la loi.

25. L'arrêt n'encourt néanmoins pas la censure pour les raisons suivantes.

26. En premier lieu, la chambre de l'instruction a énoncé que les faits, passibles d'une peine de dix ans d'emprisonnement, relevaient, par leur ampleur et leur structure, de la criminalité organisée.

27. Dès lors, ils relevaient de la criminalité grave.

28. En second lieu, la chambre de l'instruction a constaté que c'est exclusivement dans le cadre de l'enquête, dont l'objet était délimité précisément, que les enquêteurs ont sollicité, pour une période limitée, des informations alors détenues par les opérateurs de téléphonie concernant des lignes en lien direct avec les infractions motivant les investigations.

29. Il s'ensuit qu'agissant sur commission rogatoire du juge d'instruction, les enquêteurs pouvaient, sans méconnaître les dispositions conventionnelles invoquées au moyen, accéder aux données de trafic et de localisation régulièrement conservées pour la finalité de la sauvegarde de la sécurité nationale.

30. Le moyen ne peut dès lors être accueilli.

31. Par ailleurs l'arrêt est régulier en la forme.

PAR CES MOTIFS, la Cour :

REJETTE les pourvois.

Arrêt rendu en formation de section.

- Président : M. Soulard - Rapporteur : Mme Labrousse - Avocat général : M. Petitprez - Avocat(s) : SCP Marlange et de La Burgade -

Textes visés :

Articles 7, 8, 11 et 52, § 1, de la Charte des droits fondamentaux de l'Union européenne ; article 15 de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 ; articles 60-1, 60-2, 77-1-1, 77-1-2, 99-3, 99-4, 198 et 593 du code de procédure pénale ; articles L. 34-1 et R. 10-13 du code des postes et des communications électroniques.

Rapprochement(s) :

Crim., 12 juillet 2022, pourvoi n° 21-83.710, Bull., (rejet).

Crim., 12 juillet 2022, n° 21-83.710, (B) (R), FS

Rejet

Principes de primauté et d'effectivité du droit de l'Union européenne – Effet – Inapplication des dispositions nationales contraires

Le principe de primauté du droit de l'Union européenne impose d'assurer le plein effet de ses dispositions en laissant, au besoin, inappliquée toute réglementation contraire de la législation nationale.

Données de connexion – Règles de conservation et d'accès aux données – Méconnaissance – Conservation généralisée et indifférenciée des données de connexion aux fins de lutte contre la criminalité

Doivent être écartés, comme contraires au droit de l'Union européenne, lequel s'oppose à une conservation généralisée et indifférenciée, à titre préventif, des données de trafic et de localisation aux fins de lutte contre la criminalité, quel que soit son degré de gravité, l'article L. 34-1, III, du code des postes et communications électroniques, dans sa version issue de la loi n° 2013-1168 du 18 décembre 2013, ainsi que l'article R. 10-13 dudit code, en ce qu'ils imposaient aux opérateurs de services de communications électroniques, aux fins de lutte contre la criminalité, la conservation généralisée et indifférenciée des données de connexion, à l'exception des données relatives à l'identité civile, aux informations relatives aux comptes et aux paiements, ainsi qu'en matière de criminalité grave, à celles relatives aux adresses IP attribuées à la source d'une connexion.

Données de connexion – Règles de conservation et d'accès aux données – Conformité – Conservation généralisée et indifférenciée des données de connexion aux fins de sauvegarde de la sécurité nationale

En revanche et dès lors que le droit de l'Union européenne admet la conservation généralisée et indifférenciée des données de connexion aux fins de sauvegarde de la sécurité nationale, est conforme au droit de l'Union l'obligation faite aux opérateurs de télécommunications électroniques de conserver ces données de manière généralisée et indifférenciée en raison de la menace grave, réelle et actuelle ou prévisible à laquelle la France se trouve exposée depuis décembre 1994, du fait du terrorisme et de l'activité de groupes radicaux et extrémistes.

Données de connexion – Règles de conservation et d'accès aux données – Injonction tendant à la conservation rapide des données – Conditions – Détermination

Par ailleurs, le droit de l'Union européenne, qui autorise la délivrance d'une injonction tendant à la conservation rapide des données relatives au trafic et des données de localisation stockées par les opérateurs, soit pour leurs besoins propres, soit au titre d'une obligation de conservation imposée aux fins de sauvegarde de la sécurité nationale, permet d'accéder auxdites données pour l'élucidation d'une infraction déterminée.

Données de connexion – Règles de conservation et d'accès aux données – Injonction tendant à la conservation rapide des données – Définition

A cet égard, les articles 60-1 et 60-2 applicables en enquête de flagrance, 77-1-1 et 77-1-2 relatifs aux enquêtes préliminaires, 99-3 et 99-4 concernant l'ouverture d'une information du code de procédure pénale, doivent être analysés comme valant injonction de conservation rapide.

Données de connexion – Règles de conservation et d'accès aux données – Injonction tendant à la conservation rapide des données – Conditions – Vérifications – Office du juge

Il appartient donc à la juridiction, saisie d'une contestation sur le recueil des données de connexion, de vérifier que, d'une part, la conservation rapide respecte les limites du strict nécessaire, d'autre part, les faits relèvent de la criminalité grave, au regard de la nature des agissements en cause, de l'importance du dommage qui en résulte, des circonstances de la commission des faits et de la durée de la peine encourue.

Données de connexion – Règles de conservation et d'accès aux données – Injonction tendant à la conservation rapide des données – Conditions – Contrôle par une juridiction ou une entité administrative indépendante – Exclusion – Ministère public

S'agissant de l'autorisation d'accéder aux données de connexion qui, selon la jurisprudence de la Cour de justice de l'Union européenne (CJUE), ne peut relever de la compétence du ministère public, ne sont pas conformes au droit de l'Union les articles 60-1, 60-2, 77-1-1 et 77-1-2 du code de procédure pénale, en ce qu'ils ne prévoient pas, préalablement à l'accès aux données, un contrôle par une juridiction ou une entité administrative indépendante. En revanche, le juge d'instruction, qui n'exerce pas l'action publique mais statue de façon impartiale sur le sort de celle-ci, est habilité à contrôler l'accès aux données de connexion.

Données de connexion – Règles de conservation et d'accès aux données – Méconnaissance – Contestation possible des éléments de preuve résultant de l'exploitation de ces données – Principe d'effectivité du droit de l'Union européenne – Compatibilité

En cas d'irrégularité affectant la conservation ou l'accès aux données de connexion, le principe d'effectivité posé par la Cour de justice de l'Union européenne (CJUE) est respecté, la législation française, et notamment les articles 156 et suivants du code de procédure pénale, offrant à toute personne mise en examen ou poursuivie la possibilité de contester efficacement la pertinence des éléments de preuve résultant de l'exploitation des données de connexion.

Données de connexion – Règles de conservation et d'accès aux données – Objet – Protection de la vie privée, du droit à la protection des données à caractère personnel et du droit à la liberté d'expression – Méconnaissance – Portée

Par ailleurs, dès lors que les modalités de conservation et d'accès aux données de connexion ont pour objet la protection du droit au respect de la vie privée, du droit à la protection des données à caractère personnel et du droit à la liberté d'expression, leur méconnaissance n'affecte qu'un intérêt privé, de sorte que le requérant à la nullité n'est recevable que s'il prétend être titulaire ou utilisateur de l'une des lignes identifiées ou s'il établit qu'il a été porté atteinte à sa vie privée.

Données de connexion – Règles de conservation et d'accès aux données – Injonction tendant à la conservation rapide des données – Conditions – Contrôle par une juridiction ou une entité administrative indépendante – Défaut – Existence d'un grief – Conditions – Détermination

L'existence d'un grief pris de l'absence de contrôle préalable par une juridiction ou une entité administrative indépendante n'est établie que lorsque l'accès a porté sur des données irrégulièrement conservées, pour une finalité moins grave que celle ayant justifié la conservation hors hypothèse de la conservation rapide, n'a pas été circonscrit à une procédure visant à la lutte contre la criminalité grave ou a excédé les limites du strict nécessaire.

M. [C] [L] [E] a formé un pourvoi contre l'arrêt de la chambre de l'instruction de la cour d'appel de Paris, 7e section, en date du 27 mai 2021, qui, dans l'information suivie contre lui, notamment, des chefs de meurtre et tentative, destruction de biens, en bande organisée, et association de malfaiteurs, a prononcé sur sa demande d'annulation de pièces de la procédure.

Par ordonnance en date du 23 septembre 2021, le président de la chambre criminelle a prescrit l'examen immédiat du pourvoi.

LA COUR,

Faits et procédure

1. Il résulte de l'arrêt attaqué et des pièces de la procédure ce qui suit.

2. À la suite d'une fusillade intervenue le 24 août 2019 au cours de laquelle [D] [P] a été tué, diverses investigations ont été effectuées par les enquêteurs sous le régime de la flagrance, puis une information a été ouverte des chefs susvisés, le 6 septembre suivant.

3. Interpellé le 23 juin 2020, M. [C] [L] [E] a été mis en examen le 26 juin et placé en détention provisoire.

4. Le 28 décembre 2020, il a déposé une requête en nullité.

Examen des moyens

Sur le premier moyen

Enoncé du moyen

5. Le moyen critique l'arrêt attaqué en ce qu'il a rejeté la requête en annulation de pièces présentées par M. [L] [E], alors « que par mémoire distinct, il est sollicité le renvoi au Conseil constitutionnel d'une question prioritaire de constitutionnalité portant sur la conformité aux droits et libertés que la Constitution garantit, et en particulier au droit au respect de la vie privée garanti par l'article 2 de la Déclaration des droits de l'homme et du citoyen de 1789, de l'article L. 34-1 du code des postes et des communications électroniques ; que l'abrogation de ce texte, en vertu duquel ont été recueillies, conservées et exploitées les données concernant M. [L] [E], entraînera la cassation de l'arrêt. »

Réponse de la Cour

6. Si le Conseil constitutionnel a, dans sa décision n° 2021-976/977 QPC du 25 février 2022, déclaré contraires à la Constitution certaines dispositions de l'article L. 34-1 du code des postes et des communications électroniques en ce qu'elles portent une atteinte disproportionnée au droit au respect de la vie privée, il a précisé que les mesures en cause ne peuvent être contestées sur le fondement de cette inconstitutionnalité.

7. Il s'ensuit que le moyen est devenu sans objet.

Sur les deuxième et troisième moyens

Enoncé des moyens

8. Le deuxième moyen critique l'arrêt attaqué en ce qu'il a rejeté la requête en annulation de pièces présentée par M. [L] [E], alors :

« 1°/ que viole l'article 15 de la directive 2002/58/CE du 12 juillet 2002 modifiée, lu à la lumière des articles 7, 8 et 11 ainsi que de l'article 52, paragraphe 1, de la Charte des droits fondamentaux de l'Union européenne la juridiction qui retient à l'encontre d'une personne des éléments de preuve obtenus par un recueil et une conservation préventifs, généralisés et indifférenciés des données relatives au trafic et des données de localisation incompatibles avec le droit de l'Union, notamment parce que ce recueil et cette conservation ne sont ni ciblés ni soumis à l'autorisation et au contrôle d'une autorité indépendante ; qu'au cas d'espèce, M. [L] [E] faisait valoir, pour solliciter l'annulation des données de trafic et de localisation requises, obtenues et exploitées à son encontre, que ces données avaient été conservées de façon préventive, généralisée et indifférenciée en violation des textes précités ; qu'en ne répondant pas à ce moyen opérant, la chambre de l'instruction a violé l'article 593 du code de procédure pénale ;

2°/ que viole l'article 15 de la directive 2002/58/CE du 12 juillet 2002 modifiée, lu à la lumière des articles 7, 8 et 11 ainsi que de l'article 52, paragraphe 1, de la Charte des droits fondamentaux de l'Union européenne la juridiction qui retient à l'encontre d'une personne des éléments de preuve obtenus par un recueil et une conservation préventifs, généralisés et indifférenciés des données relatives au trafic et des données de localisation incompatibles avec le droit de l'Union, notamment parce que ce recueil et cette conservation ne sont ni ciblés ni soumis à l'autorisation et au contrôle d'une autorité indépendante ; qu'au cas d'espèce, M. [L] [E] faisait valoir, pour solliciter l'annulation des données de trafic et de localisation requises, obtenues et exploitées à son encontre, que ces données avaient été conservées de façon préventive, généralisée et indifférenciée en violation des textes précités ; qu'en retenant, pour rejeter cette demande, que l'atteinte ainsi portée à la vie privée de M. [L] [E] était proportionnée à l'objectif poursuivi, la chambre de l'instruction a violé les articles 15 de la directive 2002/58/CE du 12 juillet 2002 modifiée, 7, 8 et 11 ainsi que de l'article 52, paragraphe 1, de la Charte des droits fondamentaux de l'Union européenne. »

9. Le troisième moyen critique l'arrêt attaqué en ce qu'il a rejeté la requête en annulation de pièces présentée par M. [L] [E], alors « que viole le droit à la vie privée garanti par l'article 8 de la Convention européenne des droits de l'homme la juridiction qui retient à l'encontre d'une personne des éléments de preuve obtenus par un recueil et une conservation des données relatives au trafic et des données de localisation préventifs, généralisés, indifférenciés et échappant à toute autorisation ou contrôle d'une autorité indépendante ; qu'au cas d'espèce, M. [L] [E] faisait valoir, pour solliciter l'annulation des données de trafic et de localisation requises, obtenues et exploitées à son encontre, qu'en violation du texte précité ces données avaient été conservées de façon préventive, généralisée et indifférenciée, et que leur recueil ne faisait l'objet ni d'une autorisation en amont ni d'un contrôle en aval par une autorité indépendante ; qu'en retenant, pour rejeter cette demande ; qu'il en déduisait que l'atteinte ainsi portée à sa vie privée était disproportionnée à l'objectif poursuivi ; qu'en retenant, pour rejeter la requête, que l'ingérence dans la vie privée de M. [L] [E] résultant du recueil et de l'exploitation de ces données était proportionnée au but légitime de poursuite des infractions pénales, la chambre de l'instruction a violé l'article 8 précité. »

Réponse de la Cour

10. Les moyens sont réunis.

11. Afin de garantir l'effectivité de l'ensemble des dispositions du droit de l'Union européenne, le principe de primauté impose aux juridictions nationales d'interpréter, dans toute la mesure du possible, leur droit interne de manière conforme au droit de l'Union. A défaut de pouvoir procéder à une telle interprétation, le juge national a l'obligation d'assurer le plein effet des dispositions du droit de l'Union en laissant au besoin inappliquée, de sa propre autorité, toute disposition contraire de la législation nationale, même postérieure, sans qu'il [L] à demander ou à attendre l'élimination préalable de celle-ci par voie législative ou par tout autre procédé constitutionnel (CJCE, arrêt du 9 mars 1978, Simmenthal, 106/77).

12. Il convient, dès lors, d'examiner si, à la date des réquisitions litigieuses, la réglementation française sur la conservation et l'accès aux données de connexion était conforme au droit de l'Union.

Sur la régularité de la conservation

Sur les exigences du droit de l'Union en matière de conservation générale et indifférenciée des données de connexion

13. La Cour de justice de l'Union européenne (CJUE) a dit pour droit qu'il résulte de l'article 15, paragraphe 1, de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, telle que modifiée par la directive 2009/136/CE du Parlement européen et du Conseil du 25 novembre 2009, lu à la lumière des articles 7, 8 et 11, ainsi que de l'article 52, paragraphe 1, de la Charte des droits fondamentaux de l'Union européenne, que le droit de l'Union européenne s'oppose à une conservation généralisée et indifférenciée, à titre préventif, des données de trafic et de localisation aux fins de lutte contre la criminalité, quel que soit son degré de gravité. Seule est admise une conservation généralisée et indifférenciée de ces données, en cas de menace grave, réelle et actuelle ou prévisible pour la sécurité nationale, sur injonction faite aux fournisseurs de services de télécommunications électroniques, pouvant faire l'objet d'un contrôle effectif par une juridiction ou une autorité administrative indépendante, dont la décision est dotée d'un effet contraignant, chargée de vérifier l'existence d'une telle menace et le respect des conditions et garanties devant être prévues, injonction ne pouvant être émise que pour une période limitée au strict nécessaire, mais renouvelable en cas de persistance de la menace.

14. En revanche, le droit de l'Union ne s'oppose pas à des mesures législatives prévoyant, aux fins de lutte contre la criminalité grave :

 - une conservation ciblée des données relatives au trafic et des données de localisation qui soit délimitée, sur la base d'éléments objectifs et non discriminatoires, en fonction de catégories de personnes concernées ou au moyen d'un critère géographique, pour une période temporellement limitée au strict nécessaire, mais renouvelable ;

 - une conservation généralisée et indifférenciée des adresses IP attribuées à la source d'une connexion, pour une période temporellement limitée au strict nécessaire ;

 - une conservation généralisée et indifférenciée des données relatives à l'identité civile, aux comptes et aux paiements des utilisateurs de moyens de communications électroniques ;

 - le recours à une injonction faite aux fournisseurs de services de communications électroniques, au moyen d'une décision de l'autorité compétente soumise à un contrôle juridictionnel effectif, de procéder, pour une durée déterminée, à la conservation rapide des données relatives au trafic et des données de localisation dont disposent ces fournisseurs de services, dès lors que ces mesures assurent, par des règles claires et précises, que la conservation des données en cause est subordonnée au respect des conditions matérielles et procédurales afférentes et que les personnes concernées disposent de garanties effectives contre les risques d'abus.

15. Cette conservation rapide a pour fondement l'article 16 de la Convention du Conseil de l'Europe sur la cyber-criminalité, signée à Budapest le 23 novembre 2001, les Etats membres pouvant prévoir dans leur législation qu'un accès aux données de trafic et de localisation peut avoir lieu à des fins de lutte contre la criminalité grave, en vue de l'élucidation d'une infraction déterminée, dans le respect des conditions matérielles et procédurales prévues en droit européen (CJUE, arrêt du 6 octobre 2020,

La Quadrature du Net e.a., [4] e.a., C-511/18, C-512/18, C-520/18).

16. Selon la CJUE, la conservation rapide et l'accès aux données ainsi conservées peuvent porter sur les données stockées par les fournisseurs de services de communications électroniques sur la base des articles 5, 6 et 9 de la directive 2002/58/CE ou sur celle des mesures législatives prises en vertu de l'article 15, paragraphe 1 (CJUE, arrêt La Quadrature du net, précité, points 160 et 167).

17. Cette position a été maintenue dans l'arrêt Commissioner of An Garda Siochana du 5 avril 2022 (C-140/20, points 85 et 87), la Cour ayant seulement écarté, à nouveau, la conservation généralisée et indifférenciée des données relatives au trafic et des données de localisation aux fins de lutte contre la criminalité grave pour répondre à une objection du gouvernement danois (même arrêt, points 96 à 100).

18. La conservation rapide peut donc porter sur les données que détiennent les opérateurs de télécommunications électroniques, soit pour leurs besoins propres, soit au titre d'une obligation de conservation imposée aux fins de sauvegarde de la sécurité nationale.

19. L'interprétation qui exclurait du champ d'application de la conservation rapide les données conservées aux fins de sauvegarde de la sécurité nationale priverait d'effet utile sa finalité, qui est de permettre aux autorités nationales, en matière de lutte contre la criminalité grave, d'accéder à des données qui n'ont pas été conservées dans ce but.

20. Par ailleurs, une telle mesure peut être étendue aux données relatives au trafic et aux données de localisation afférentes à des personnes autres que celles qui sont soupçonnées d'avoir projeté ou commis une infraction pénale grave, pour autant que ces données puissent, sur la base d'éléments objectifs et non discriminatoires, contribuer à l'élucidation d'une telle infraction, telles les données de la victime et celles de son entourage social ou professionnel (CJUE, arrêt Commissioner of An Garda Siochana, précité, point 88).

Sur la conservation généralisée et indifférenciée des données de connexion en droit français

21. L'article L. 34-1, III, du code des postes et des communications électroniques, dans sa version en vigueur à la date des faits, imposait aux opérateurs de services de télécommunications électroniques la conservation généralisée et indifférenciée, pour une durée maximale d'un an, des données de connexion énumérées à l'article R. 10-13 dudit code, pour les besoins de la recherche, de la constatation et de la poursuite des infractions pénales.

22. Ce dernier texte, dans sa version en vigueur à la date des faits, précisait que cette obligation de conservation, d'une durée d'un an, portait sur :

a) les informations permettant d'identifier l'utilisateur ;

b) les données relatives aux équipements terminaux de communication utilisés ;

c) les caractéristiques techniques ainsi que la date, l'horaire et la durée de chaque communication ;

d) les données relatives aux services complémentaires demandés ou utilisés et leurs fournisseurs ;

e) les données permettant d'identifier le ou les destinataires de la communication.

23. Il prévoyait également que, pour les activités de téléphonie, l'opérateur devait conserver les données relatives au trafic et, en outre, celles permettant d'identifier l'origine et la localisation de la communication.

Sur la conformité du droit français au droit européen s'agissant de la conservation généralisée et indifférenciée des données de connexion

24. Il résulte des principes rappelés aux paragraphes 13 et 14 qu'il convient d'écarter les textes précités de droit interne en ce qu'ils imposaient aux opérateurs de services de télécommunications électroniques, aux fins de lutte contre la criminalité, la conservation généralisée et indifférenciée des données de connexion, à l'exception des données relatives à l'identité civile et aux informations relatives aux comptes et aux paiements, ainsi que, dans le cadre de la recherche et la répression de la criminalité grave, aux adresses IP.

25. En revanche, l'obligation de conservation des données de trafic et de localisation imposée aux opérateurs par l'article L. 34-1, III, du code précité, mis en oeuvre par l'article R. 10-13 dudit code, en ce qu'elle permet notamment la recherche, la constatation et la poursuite des atteintes aux intérêts fondamentaux de la Nation et des actes de terrorisme, infractions incriminées aux articles 410-1 à 422-7 du code pénal, est conforme au droit de l'Union, comme poursuivant l'objectif de sauvegarde de la sécurité nationale.

26. La durée de conservation de ces données, pour une année, apparaît strictement nécessaire aux besoins de la sauvegarde de la sécurité nationale.

27. Pour autant, les dispositions des articles précités du code des postes et des communications électroniques ne subordonnent pas le maintien de cette obligation de conservation à un réexamen périodique de l'existence d'une menace grave, réelle et actuelle ou prévisible pour la sécurité nationale.

28. Il s'ensuit que cette obligation de conservation ne vaut injonction au sens où l'entend la CJUE et cette conservation n'est régulière que si le juge saisi du contentieux constate, sous le contrôle de la Cour de cassation, l'existence d'une menace présentant les caractéristiques précitées.

29. A cet égard, même en tenant compte de l'exigence du droit de l'Union selon laquelle cette conservation ne saurait présenter un caractère systémique (CJUE, arrêt La Quadrature du Net, précité, point 138), il résulte notamment des pièces régulièrement produites par le procureur général près la Cour de cassation relatives aux attentats commis en France depuis décembre 1994, soit antérieurement à la date des faits, que la France se trouve exposée, en raison du terrorisme et de l'activité de groupes radicaux et extrémistes, à une menace grave et réelle, actuelle ou prévisible à la sécurité nationale.

30. Dès lors, l'obligation faite aux opérateurs de télécommunications électroniques de conserver de façon généralisée et indifférenciée aux fins de sauvegarde de la sécurité nationale les données de connexion énumérées à l'article R. 10-13 du code précité, qui ont fait l'objet des réquisitions litigieuses, était conforme au droit de l'Union.

31. Le Conseil d'Etat n'a d'ailleurs déclaré illégales les dispositions de cet article qu'en ce qu'elles imposaient aux opérateurs de communications électroniques, aux fournisseurs d'accès à internet et aux hébergeurs la conservation généralisée et indifférenciée des données de connexion, autres que les données relatives à l'identité civile, aux adresses IP et aux informations relatives aux comptes et aux paiements, aux fins de lutte contre la criminalité et de prévention des menaces à l'ordre public et ne prévoyaient pas un réexamen périodique de l'existence d'une menace grave, réelle et actuelle ou prévisible pour la sécurité nationale (CE, 21 avril 2021, French Data Network, n° 393099, point 58).

Sur la conservation rapide en droit français

32. Il convient ensuite de rechercher s'il existait, à la date des faits, une réglementation conforme au droit de l'Union permettant la conservation rapide des données de trafic et de localisation. Une telle réglementation doit notamment préciser la ou les finalités pour laquelle ou lesquelles une conservation rapide peut être ordonnée (CJUE, arrêt La Quadrature du Net, précité, point 132).

33. A la date des faits, la communication des données de trafic ou de localisation conservées par les opérateurs de télécommunication pouvait faire l'objet de réquisitions lors d'une enquête de flagrance, en application des articles 60-1 et 60-2 du code de procédure pénale, par un officier de police judiciaire ou par un agent de police judiciaire agissant sous son contrôle, lors d'une enquête préliminaire, sur le fondement des articles 77-1-1 et 77-1-2 dudit code, sur autorisation du procureur de la République, enfin, en cas d'ouverture d'une information, en application des articles 99-3 et 99-4, de ce code, par un officier de police judiciaire autorisé par commission rogatoire du juge d'instruction.

La régularité de ces opérations peut être contestée devant la chambre de l'instruction ou la juridiction de jugement, sous le contrôle de la Cour de cassation.

34. Ces dispositions, qui prévoyaient la communication immédiate des données de connexion aux autorités nationales compétentes, doivent être analysées comme valant injonction de conservation rapide, au sens de la Convention de Budapest.

En effet, le rapport explicatif de celle-ci précise que l'injonction de conservation rapide peut résulter d'une injonction de produire.

35. En outre, aux termes du sixième alinéa du paragraphe III de l'article préliminaire du code de procédure pénale, les mesures portant atteinte à la vie privée d'une personne ne peuvent être prises, sur décision ou sous contrôle effectif de l'autorité judiciaire, que si elles sont, au regard des circonstances de l'espèce, nécessaires à la manifestation de la vérité et proportionnées à la gravité de l'infraction.

36. Il s'ensuit que les dispositions précitées combinées peuvent être interprétées de façon conforme au droit de l'Union comme permettant, pour la lutte contre la criminalité grave, en vue de l'élucidation d'une infraction déterminée, la conservation rapide des données de connexion stockées, même conservées aux fins de sauvegarde de la sécurité nationale.

37. Il appartient à la juridiction, lorsqu'elle est saisie d'un moyen en ce sens, de vérifier, d'une part, que les éléments de fait justifiant la nécessité d'une telle mesure d'investigation répondent à un critère de criminalité grave, dont l'appréciation relève du droit national, d'autre part, que la conservation rapide des données de trafic et de localisation et l'accès à celles-ci respectent les limites du strict nécessaire.

38. S'agissant de la gravité des faits, il appartient au juge de motiver sa décision au regard de la nature des agissements de la personne poursuivie, de l'importance du dommage qui en résulte, des circonstances de la commission des faits et de la durée de la peine encourue.

Sur l'accès aux données

Sur les exigences européennes en matière d'accès aux données

39. La CJUE a jugé (CJUE, arrêt du 2 mars 2021, H.K./Prokuratuur, C-746/18) que l'accès aux données de connexion ne peut être autorisé que :

 - si ces données ont été conservées conformément aux exigences du droit européen ;

 - s'il a eu lieu pour la finalité ayant justifié la conservation ou une finalité plus grave, sauf conservation rapide ;

 - s'il est limité au strict nécessaire ;

 - s'agissant des données de trafic et de localisation, s'il est circonscrit aux procédures visant à la lutte contre la criminalité grave ;

 - et s'il est soumis au contrôle préalable d'une juridiction ou d'une entité administrative indépendante.

Sur l'exigence d'un contrôle préalable

40. Il résulte de la jurisprudence de la CJUE que l'article 15, paragraphe 1, de la directive 2002/58/CE, lu à la lumière des articles 7, 8 et 11, ainsi que de l'article 52, paragraphe 1, de la Charte des droits fondamentaux, s'oppose à une réglementation nationale donnant compétence au ministère public, qui dirige la procédure d'enquête et exerce, le cas échéant, l'action publique, pour autoriser l'accès d'une autorité publique aux données relatives au trafic et à la localisation (CJUE, arrêt H.K./Prokuratuur, précité). Elle juge également qu'un fonctionnaire de police ne constitue pas une juridiction et ne présente pas toutes les garanties d'indépendance et d'impartialité requises (CJUE, arrêt Commissioner of An Garda Siochana, précité).

41. En effet, la CJUE rappelle qu'il est essentiel que l'accès des autorités nationales compétentes aux données conservées soit subordonné à un contrôle préalable effectué soit par une juridiction, soit par une entité administrative indépendante, susceptible d'assurer un juste équilibre entre, d'une part, les intérêts liés aux besoins de l'enquête dans le cadre de la lutte contre la criminalité grave, et, d'autre part, les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel.

42. Ainsi, les articles 60-1, 60-2, 77-1-1 et 77-1-2 du code de procédure pénale sont contraires au droit de l'Union uniquement en ce qu'ils ne prévoient pas un contrôle préalable par une juridiction ou une entité administrative indépendante.

43. En revanche, le juge d'instruction est habilité à contrôler l'accès aux données de connexion.

En effet, d'une part, il n'est pas une partie à la procédure mais une juridiction qui statue notamment sur les demandes d'actes d'investigation formées par les parties, lesquelles disposent d'un recours en cas de refus ; d'autre part, il n'exerce pas l'action publique mais statue de façon impartiale sur le sort de celle-ci, mise en mouvement par le ministère public ou, le cas échéant, la partie civile.

Sur les conséquences de la méconnaissance des exigences du droit de l'Union européenne

44. La CJUE juge qu'il appartient à l'ordre juridique interne de chaque État membre, en vertu du principe d'autonomie procédurale, de régler les modalités procédurales des recours en justice destinés à assurer la sauvegarde des droits que les justiciables tirent du droit de l'Union, à condition toutefois qu'elles ne soient pas moins favorables que celles régissant des situations similaires soumises au droit interne - principe d'équivalence - et qu'elles ne rendent pas impossible en pratique ou excessivement difficile l'exercice des droits conférés par le droit de l'Union - principe d'effectivité - (CJUE, arrêt La Quadrature du Net, précité, point 223).

45. Le principe d'effectivité impose au juge pénal national d'écarter des informations et des éléments de preuve qui ont été obtenus au moyen d'une conservation généralisée et indifférenciée des données relatives au trafic et des données de localisation incompatible avec le droit de l'Union ou encore au moyen d'un accès à ces données en violation de ce droit, à l'occasion d'une procédure pénale ouverte à l'encontre de personnes soupçonnées d'actes de criminalité, si celles-ci ne sont pas en mesure de commenter efficacement ces informations et ces éléments de preuve, provenant d'un domaine échappant à la connaissance des juges et qui sont susceptibles d'influencer de manière prépondérante l'appréciation des faits (CJUE, arrêt La Quadrature du Net, précité, points 226 et 227).

46. A cet égard, il résulte des articles 156 et suivants du code de procédure pénale que toute personne mise en examen peut solliciter du juge d'instruction une expertise et, le cas échéant, une contre-expertise, sous le contrôle de la chambre de l'instruction, lorsque se pose une question d'ordre technique. Il en est de même devant la juridiction de jugement.

47. Il s'ensuit que la législation française offre ainsi à toute personne mise en examen ou poursuivie la possibilité de contester efficacement la pertinence des éléments de preuve résultant de l'exploitation des données de connexion.

48. Le principe d'équivalence commande que l'ensemble des règles de procédure nationales s'applique indifféremment aux recours fondés sur la violation du droit de l'Union et aux recours fondés sur la méconnaissance du droit interne ayant un objet et une cause semblables.

49. Hors les cas de nullité d'ordre public, qui touchent à la bonne administration de la justice, la juridiction, saisie d'une requête ou d'une exception de nullité, doit d'abord rechercher si le requérant a intérêt à demander l'annulation de l'acte, puis, s'il a qualité pour la demander et, enfin, si l'irrégularité alléguée lui a causé un grief. Pour déterminer si le requérant a qualité pour agir en nullité, la juridiction doit examiner si la formalité substantielle ou prescrite à peine de nullité, dont la méconnaissance est alléguée, a pour objet de préserver un droit ou un intérêt qui lui est propre (Crim., 7 septembre 2021, pourvoi n° 21-80.642, publié au Bulletin).

50. Les exigences européennes en matière de conservation et d'accès aux données de connexion ont pour objet la protection du droit au respect de la vie privée, du droit à la protection des données à caractère personnel et du droit à la liberté d'expression (CJUE, arrêt La Quadrature du Net, précité), de sorte que leur méconnaissance n'affecte qu'un intérêt privé.

51. Il en est ainsi en particulier de l'exigence d'un contrôle préalable par une juridiction ou une entité administrative indépendante qui vise à garantir, en pratique, le plein respect des conditions d'accès aux données à caractère personnel, telles que précisées au paragraphe 39, et notamment que l'ingérence dans l'exercice des droits précités est limitée à ce qui est strictement nécessaire (CJUE, arrêt H.K./Prokuratuur précité, points 51 et 58 ; CJUE, arrêt Commissioner of An Garda Siochana précité, point 110).

52. Il s'ensuit qu'en application du principe d'équivalence, la personne mise en examen ou poursuivie n'est recevable à invoquer la violation de cette exigence en matière d'accès aux données de connexion que si elle prétend être titulaire ou utilisatrice de l'une des lignes identifiées ou si elle établit qu'il aurait été porté atteinte à sa vie privée, à l'occasion des investigations litigieuses (Crim., 6 février 2018, pourvoi n° 17-84.380, Bull. crim. 2018, n° 30).

53. Enfin, le juge pénal ne peut prononcer la nullité, en application des dispositions de l'article 802 du code de procédure pénale, que si l'irrégularité elle-même a occasionné un préjudice au requérant, lequel ne peut résulter de la seule mise en cause de celui-ci par l'acte critiqué (Crim., 7 septembre 2021, précité).

54. La Cour de cassation juge que l'irrégularité fait nécessairement grief au requérant, lorsque la méconnaissance de la règle a irrévocablement affecté les droits de celui-ci.

55. Tel est le cas lorsque l'acte attentatoire à la vie privée a été accompli par une autorité qui n'était pas compétente, à défaut d'y avoir été autorisée, conformément à la loi. Tel est également le cas lorsque l'acte n'a pas été motivé par l'autorité compétente pour l'ordonner alors qu'il devait l'être (Crim., 8 juillet 2015, pourvoi n° 15-81.731, Bull. crim. 2015, n° 174).

56. A défaut, il appartient au requérant de justifier d'une atteinte à ses intérêts.

La Cour de cassation juge qu'il en est ainsi notamment lorsque l'acte attentatoire à la vie privée a été accompli par un agent compétent mais sans le contrôle d'un tiers alors que celui-ci était prévu par la loi (Crim., 7 décembre 2021, pourvoi n° 20-82.733, publié au Bulletin). C'est le cas du procureur de la République ou de l'officier de police judiciaire compétent en vertu du droit national pour accéder aux données de connexion, mais qui agit sans le contrôle préalable d'une juridiction ou d'une entité administrative indépendante.

57. Il se déduit des principes énoncés ci-dessus aux paragraphes 50 et 51 que cette absence de contrôle indépendant préalable ne peut faire grief au requérant que s'il établit l'existence d'une ingérence injustifiée dans sa vie privée et dans ses données à caractère personnel, de sorte que cet accès aurait dû être prohibé.

58. Il appartient, dès lors, à la chambre de l'instruction de s'assurer du respect des quatre premières conditions énoncées au paragraphe 39 et notamment de ce que, d'une part, l'accès a porté sur des données régulièrement conservées, d'autre part, la ou les catégories de données visées, ainsi que la durée pour laquelle l'accès à celles-ci a eu lieu, étaient, au regard des circonstances de l'espèce, limitées à ce qui était strictement justifié par les nécessités de l'enquête.

59. En l'espèce, pour rejeter la demande de nullité résultant des modalités de conservation et d'accès aux données de connexion concernant M. [L] [E], la chambre de l'instruction énonce que les lignes téléphoniques utilisées par celui-ci ont été exploitées par les enquêteurs, suite à leur identification dans le cadre de l'exploitation du flux des bornes couvrant les lieux intéressant l'enquête, à savoir la scène de crime d'[Localité 2] au moment du meurtre, la scène de l'incendie du véhicule Mercedes des auteurs à [Localité 1] et le secteur du domicile de la victime, [D] [P], à [Localité 3], où était localisé de manière récurrente le véhicule utilisé par les tueurs.

60. Elle précise que l'obtention de ces données et leur exploitation ont permis de localiser l'intéressé à proximité des lieux où se trouvait [D] [P], d'en conclure qu'il surveillait ce dernier et de constater qu'il se trouvait encore aux abords de son domicile peu de temps avant son assassinat, de sorte qu'il a pu donner le signal du départ à un individu pour venir le rejoindre à cet endroit où la victime a été abattue peu de temps après.

61. Elle ajoute que M. [L] [E], mis en examen le 26 juin 2020, a eu accès à la procédure à partir de cette date et était donc, depuis lors, en mesure de commenter efficacement l'ensemble des éléments de la procédure qui caractérisait des indices graves ou concordants rendant vraisemblable son implication comme auteur ou complice des faits.

62. Elle conclut que l'ingérence alléguée dans la vie privée de M. [L] [E] du fait des réquisitions des enquêteurs aux opérateurs téléphoniques est prévue par la loi, qu'elle a eu un but légitime qui est celui de la recherche d'infractions pénales relevant de la criminalité grave, en l'espèce meurtre et tentative de meurtre en bande organisée, destruction par moyen dangereux en bande organisée, association de malfaiiteurs, recel en bande organisée, que cet objectif tendant à la recherche d'infractions pénales est nécessaire dans une société démocratique, et que cette ingérence apparaît proportionnée à la poursuite de l'objectif.

63. En l'état de ces motifs, dont il résulte que l'accès aux informations litigieuses a porté sur des données régulièrement conservées et qu'il a eu lieu en vue de la poursuite d'infractions relevant de la criminalité grave, dans des conditions limitant cet accès à ce qui était strictement justifié par les nécessités de l'enquête, la chambre de l'instruction n'a méconnu aucun des textes visés au moyen.

64. En conséquence, celui-ci doit être écarté.

65. Par ailleurs l'arrêt est régulier en la forme.

PAR CES MOTIFS, la Cour :

REJETTE le pourvoi.

Arrêt rendu en formation de section.

- Président : M. Soulard - Rapporteur : Mme Ménotti - Avocat général : M. Desportes (premier avocat général) - Avocat(s) : SCP Célice, Texidor, Périer -

Textes visés :

Articles 7, 8, 11 et 52, § 1, de la Charte des droits fondamentaux de l'Union européenne ; article 8 de la Convention de sauvegarde des droits de l'homme et des libertés fondamentales ; articles 5, 6, 9 et 15 de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 ; article 16 de la Convention du Conseil de l'Europe sur la cyber-criminalité, signée à Budapest le 23 novembre 2001 ; articles 60-1, 60-2, 77-1-1, 77-1-2, 99-3, 99-4, 593 et 802 du code de procédure pénale ; articles L. 34-1, III et R. 10-13 du code des postes et des communications électroniques.

Rapprochement(s) :

Sur l'obligation du juge national d'assurer l'effectivité du droit de l'Union européenne en laissant inappliquée toute disposition contraire de la législation nationale, Cf. : CJCE, arrêt du 9 mars 1978, Simmenthal, C-106/77. Sur les conditions de conservation et d'accès des autorités publiques aux données relatives au trafic et à la localisation, cf. : CJUE, arrêt du 6 octobre 2020, La Quadrature du Net e.a, French Data Network e.a, C- 511/18, C- 512/18, C- 520/18 ; CJUE, arrêt du 2 mars 2021, Prokuratuur, C-746/18 ; CE, 21 avril 2021, n° 393099, publié au Recueil Lebon ; CJUE, arrêt du 5 avril 2022, Commissioner of An Garda Siochana, C-140/20. Sur les conditions de recevabilité d'une requête ou d'une exception en nullité hors cas de nullité d'ordre publique, à rapprocher : Crim., 8 juillet 2015, pourvoi n° 15-81.731, Bull. crim. 2015, n° 174 (cassation partielle) ; Crim., 6 février 2018, pourvoi n° 17-84.380, Bull. crim. 2018, n° 30 (déchéance et rejet) ; Crim., 7 septembre 2021, pourvoi n° 21-80.642, Bull., (cassation) ; Crim., 7 décembre 2021, pourvoi n° 20-82.733, Bull., (rejet).

Crim., 12 juillet 2022, n° 20-86.652, (B), FS

Rejet

Principes de primauté et d'effectivité du droit de l'Union européenne – Juridictions nationales – Interprétation conforme du droit interne – Limites – Autonomie procédurale – Cas – Condition de recevabilité des moyens devant la Cour de cassation

Le principe de primauté impose aux juridictions nationales d'interpréter, dans toute la mesure du possible, leur droit interne de manière conforme au droit de l'Union européenne, lequel ne s'oppose pas à ce que les États membres, conformément au principe de l'autonomie procédurale, limitent ou soumettent à des conditions les moyens de droit tirés d'une règle communautaire contraignante susceptibles d'être invoqués dans les procédures de cassation, sous réserve du respect des principes d'effectivité et d'équivalence.

Données de connexion – Règles de conservation et d'accès aux données – Méconnaissance – Portée – Détermination

Les exigences européennes en matière de conservation et d'accès aux données de connexion ont pour objet la protection du droit au respect de la vie privée, du droit à la protection des données à caractère personnel et du droit à la liberté d'expression, de sorte que leur méconnaissance n'affecte qu'un intérêt privé.

M. [F] [H] a formé un pourvoi contre l'arrêt de la chambre de l'instruction de la cour d'appel d'Aix-en-Provence, en date du 16 novembre 2020, qui, dans l'information suivie contre lui des chefs d'enlèvement et séquestration en bande organisée et association de malfaiteurs, a prononcé sur sa demande d'annulation de pièces de la procédure.

Par ordonnance en date du 1er mars 2021, le président de la chambre criminelle a prescrit l'examen immédiat du pourvoi.

LA COUR,

Faits et procédure

1. Il résulte de l'arrêt attaqué et des pièces de la procédure ce qui suit.

2. M. [B] [Y] s'est présenté aux services de police le 22 décembre 2019 au matin, pour signaler l'enlèvement de son fils [V] [Y], âgé de 17 ans, survenu dans la nuit.

3. Il a expliqué aux enquêteurs qu'il conservait des stupéfiants dans son garage pour le compte de tiers et que, suite à la disparition de trente kilogrammes de résine de cannabis qui y étaient entreposés, les trafiquants avaient enlevé son fils qu'ils menaçaient de tuer s'il ne se rendait pas au rendez-vous qu'ils lui fixaient.

4. Un dispositif de surveillance a alors été mis en place vers 14 heures par la brigade de recherches et d'intervention dans le périmètre de géolocalisation de trois téléphones, deux utilisés par les ravisseurs et le troisième appartenant à la victime elle-même.

5. En présence constante d'un enquêteur, M. [B] [Y] a communiqué par téléphone avec les ravisseurs et s'est rendu au point de rendez-vous. Constatant la présence, vers 16 heures, de la victime accompagnée d'un jeune homme, identifié par la suite comme étant [N] [H], les policiers ont interpellé ce dernier et mis la victime en sécurité.

6. La poursuite de l'enquête a donné lieu à l'interpellation de plusieurs autres personnes dont M. [F] [H], oncle de [N] [H], et la mise en évidence d'un lien entre les téléphones utilisés par les ravisseurs et ceux qui ont été géolocalisés.

7. M. [F] [H] a été mis en examen le 26 décembre 2019.

8. Il a formé une requête en nullité de deux autorisations de géolocalisation des lignes téléphoniques et de tous les actes subséquents, critiquant l'insuffisance de leur motivation.

Examen des moyens

Sur le premier moyen

Enoncé du moyen

9. Le moyen critique l'arrêt attaqué en ce qu'il a rejeté le moyen tiré de la nullité des autorisations de géolocalisation des lignes téléphoniques n° [XXXXXXXX01] et n° [XXXXXXXX02], alors :

« 1°/ qu'en édictant les dispositions des articles 230-32 et 230-33 du code de procédure pénale - lesquelles autorisent, dans le cadre d'une enquête de flagrance, d'une enquête préliminaire ou d'une procédure prévue aux articles 74 à 74-2, le recours à tout moyen technique destiné à la localisation en temps réel d'une personne, à l'insu de celle-ci, d'un véhicule ou de tout autre objet, sans le consentement de son propriétaire ou de son possesseur, par décision du seul procureur de la République et sans contrôle préalable par une juridiction indépendante pour une durée maximale de quinze jours ou huit jours consécutifs selon les cas -, le législateur a, d'une part, porté une atteinte disproportionnée au droit au respect de la vie privée ainsi qu'aux droits de la défense et à un recours effectif et, d'autre part, méconnu sa propre compétence en affectant ces mêmes droits et libertés que la Constitution garantit ; qu'en l'espèce, la chambre de l'instruction a rejeté la demande d'annulation des autorisations de géolocalisation prises par le seul procureur de la République sur le fondement de ces textes ; que dès lors, l'arrêt attaqué se trouvera privé de base légale consécutivement à la déclaration d'inconstitutionnalité qui interviendra ;

2°/ que l'article 15, paragraphe 1, de la directive 2002/58 du Parlement et du Conseil du 12 juillet 2002, lu à la lumière des articles 7, 8 et 11 ainsi que de l'article 52, paragraphe 1, de la Charte, s'oppose à une réglementation nationale donnant compétence au ministère public, dont la mission est de diriger la procédure d'instruction pénale et d'exercer, le cas échéant, l'action publique lors d'une procédure ultérieure, pour autoriser l'accès d'une autorité publique aux données relatives au trafic et aux données de localisation aux fins d'une instruction pénale (CJUE, 2 mars 2021, H.K./Prokuratuur, Aff. C-746/18) ; que, dès lors, en refusant d'annuler les décisions d'autorisation de géolocalisation des lignes téléphoniques n° [XXXXXXXX01] et n° [XXXXXXXX02], prises par le seul procureur de la République sur le fondement des articles 230-32 et 230-33 du code de procédure pénale sans contrôle préalable effectué soit par une juridiction soit par une entité administrative indépendante, la chambre de l'instruction a violé les textes susvisés, ensemble le principe de primauté du droit de l'Union européenne ;

3°/ que toute ingérence dans le droit au respect de la vie privée doit être nécessaire et proportionnée, ce qui implique qu'elle soit entourée de garanties adéquates et suffisantes contre les abus ; qu'en refusant d'annuler les décisions d'autorisation de géolocalisation des lignes téléphoniques n° [XXXXXXXX01] et n° [XXXXXXXX02] prises par le seul procureur de la République, lorsque ce magistrat, qui dirige la procédure d'enquête et exerce l'action publique, est partie à la procédure et, par conséquent, ne présente pas les garanties d'impartialité et d'indépendance nécessaires pour apprécier la nécessité et la proportionnalité de l'ingérence dans le droit au respect de la vie privée que constituent les opérations de géolocalisation, la chambre de l'instruction a violé les articles 6 et 8 de la Convention européenne des droits de l'homme ».

Réponse de la Cour

Sur le moyen, pris en sa première branche

10. Par décision n° 2021-930 QPC du 23 septembre 2021, le Conseil constitutionnel a déclaré la première phrase du 1° de l'article 230-33 du code de procédure pénale, dans sa rédaction résultant de la loi n° 2019-222 du 23 mars 2019 de programmation 2018-2022 et de réforme pour la justice, conforme à la Constitution.

11. Dès lors, le grief devient sans objet.

Sur le moyen, pris en sa deuxième branche

12. Afin de garantir l'effectivité de l'ensemble des dispositions du droit de l'Union européenne, le principe de primauté impose aux juridictions nationales d'interpréter, dans toute la mesure du possible, leur droit interne de manière conforme au droit de l'Union. A défaut de pouvoir procéder à une telle interprétation, le juge national a l'obligation d'assurer le plein effet des dispositions du droit de l'Union en laissant au besoin inappliquée, de sa propre autorité, toute disposition contraire de la législation nationale, même postérieure, sans qu'il ait à demander ou à attendre l'élimination préalable de celle-ci par voie législative ou par tout autre procédé constitutionnel (CJCE, arrêt du 9 mars 1978, Simmenthal, 106/77).

13. La Cour de justice de l'Union européenne (CJUE) énonce que le droit communautaire n'impose pas aux juridictions nationales de soulever d'office un moyen tiré de la violation de dispositions communautaires, lorsque l'examen de ce moyen les obligerait à sortir des limites du litige tel qu'il a été circonscrit par les parties. Ces juridictions sont néanmoins tenues de soulever d'office les moyens de droit tirés d'une règle communautaire contraignante lorsque, en vertu du droit national, elles ont l'obligation ou la faculté de le faire par rapport à une règle contraignante de droit national (CJCE, arrêt du 14 décembre 1995,Van Schijndel et van Veen, C-430/93 et C-431/93, point 14 ; CJUE, arrêt du 12 février 2008, Kempter, C-2/06, point 45).

14. Plus particulièrement dans les procédures de cassation, la CJUE énonce que le droit de l'Union, en principe, ne s'oppose pas à ce que les États membres, conformément au principe de l'autonomie procédurale, limitent ou soumettent à des conditions les moyens susceptibles d'être invoqués dans ces procédures, sous réserve du respect des principes d'effectivité et d'équivalence (CJUE, arrêt du 17 mars 2016, Bensada Benallal, C-161/15, point 27).

15. Le principe d'équivalence commande que l'ensemble des règles de procédure nationales s'applique indifféremment aux recours fondés sur la violation du droit de l'Union et aux recours fondés sur la méconnaissance du droit interne ayant un objet et une cause semblables.

16. En droit national, le moyen présenté pour la première fois devant la Cour de cassation est nouveau, et, comme tel, irrecevable (Crim., 18 juin 1997, pourvoi n° 96-84.926, Bull. crim. 1997, n° 246), sauf s'il s'agit d'un moyen d'ordre public et de pur droit (Crim., 1er octobre 1987, pourvoi n° 86-96.148, Bull. crim. 1987, n° 323).

17. Par arrêt de ce jour (Crim., 12 juillet 2022, pourvoi n° 21-83.710, publié au Bulletin), la Cour de cassation a jugé que les exigences européennes en matière de conservation et d'accès aux données de connexion ont pour objet la protection du droit au respect de la vie privée, du droit à la protection des données à caractère personnel et du droit à la liberté d'expression (CJUE, arrêt du 6 octobre 2020, la Quadrature du Net e.a., French Data Network e.a., C-511/18, C-512/18, C-520/18), de sorte que leur méconnaissance n'affecte qu'un intérêt privé.

18. Dès lors, le moyen pris de la violation de l'article 15, paragraphe 1, de la directive 2002/58/CE du 12 juillet 2002, telle que modifiée par la directive 2009/136/CE du 25 novembre 2009, lu à la lumière des articles 7, 8 et 11 ainsi que de l'article 52, paragraphe 1, de la Charte des droits fondamentaux de l'Union européenne par la Cour de justice de l'Union européenne, n'est pas d'ordre public.

19. Il doit, par conséquent, avoir été préalablement soumis aux juges du fond pour être recevable devant la Cour de cassation.

20. Le principe d'effectivité impose, en outre, que les parties aient une véritable possibilité de soulever un moyen fondé sur le droit de l'Union européenne devant une juridiction nationale.

21. Au cas d'espèce, il convient de constater que le requérant a eu la possibilité de soulever, devant les juges du fond, le moyen pris de la violation de l'article 15, paragraphe 1, de la directive 2002/58/CE du 12 juillet 2002, telle que modifiée par la directive 2009/136/CE du 25 novembre 2009, lu à la lumière des articles 7, 8 et 11 ainsi que de l'article 52, paragraphe 1, de la Charte des droits fondamentaux de l'Union européenne par la Cour de justice de l'Union européenne.

22. Or, le requérant n'a pas soulevé ce moyen devant les juges du fond. Il a seulement invoqué l'insuffisance de la motivation des autorisations de géolocalisation.

23. En conséquence, le grief est irrecevable.

Sur le moyen, pris en sa troisième branche

24. Le grief, qui n'a pas été soumis à la juridiction du fond, n'est pas recevable devant la Cour de cassation.

25. Dès lors, le moyen doit être écarté.

Sur le second moyen

Enoncé du moyen

26. Le moyen critique l'arrêt attaqué en ce qu'il a rejeté le moyen tiré de la nullité des autorisations de géolocalisation des lignes téléphoniques n° [XXXXXXXX01] et n° [XXXXXXXX02], alors :

« 1°/ que la décision du procureur de la République autorisant, à l'occasion d'une enquête de flagrance, une opération de géolocalisation, doit être écrite et motivée par référence aux éléments de fait et de droit justifiant que cette opération est nécessaire ; que la chambre de l'instruction, saisie d'une requête en annulation de cette décision prise par le procureur de la République, au motif du défaut de motivation de cette dernière conformément aux exigences légales, ne peut substituer sa propre motivation à celle de ce magistrat ; qu'en l'espèce, par une décision écrite prise au visa de « l'enquête de flagrance conduite sur des faits d'enlèvement, séquestration en bande organisée », le procureur de la République a autorisé la géolocalisation de la ligne téléphonique n° [XXXXXXXX01] aux seuls motifs que « les nécessités de l'enquête exigent qu'il soit procédé à des réquisitions aux fins de géolocalisation en temps réel » de cette ligne téléphonique « utilisée par un des ravisseurs » ; qu'en écartant la demande d'annulation de cette autorisation, motifs pris que celle-ci « expose explicitement les éléments de fait rendant ces opérations aussi nécessaires qu'éminemment urgentes, à savoir l'utilisation de cette ligne téléphonique par l'un des auteurs des faits d'enlèvement et de séquestration en cours au moment où l'autorisation critiquée a été sollicitée et accordée, faits susceptibles d'exposer leur auteur à des peines criminelles et aussi d'aboutir à des conséquences extrêmes pour la victime, conséquences dont il existait alors des raisons plausibles de penser que seule une réaction rapide et efficace des autorités publiques pouvait permettre de les limiter », lorsque la décision du procureur de la République n'exposait aucun élément factuel susceptible d'établir l'existence d'un lien entre les ravisseurs et la ligne téléphonique dont elle autorisait la géolocalisation et qu'elle ne mentionnait ni ne caractérisait l'existence d'une quelconque urgence, la chambre de l'instruction, qui ne pouvait substituer ses propres motifs à ceux de la décision du procureur de la République, a violé les articles préliminaire, 230-32 et 230-33 du code de procédure pénale, ensemble l'article 8 de la Convention européenne des droits de l'homme ;

2°/ que la décision du procureur de la République autorisant, à l'occasion d'une enquête de flagrance, une opération de géolocalisation, doit être écrite et motivée par référence aux éléments de fait et de droit justifiant que cette opération est nécessaire ; que la chambre de l'instruction, saisie d'une requête en annulation de cette décision prise par le procureur de la République, au motif du défaut de motivation de cette dernière conformément aux exigences légales, ne peut substituer sa propre motivation à celle de ce magistrat ; qu'en l'espèce, par une décision écrite prise au visa de « l'enquête de flagrance diligentée (…) sur des faits d'enlèvement et séquestration sans libération volontaire en bande organisée », le procureur de la République a autorisé la géolocalisation de la ligne téléphonique n° [XXXXXXXX02] aux motifs que « les nécessités de l'enquête exigent qu'il soit procédé à des réquisitions aux fins de géolocalisation en temps réel » de cette ligne téléphonique « non identifiée à ce jour mais susceptible d'être utilisée par l'un des auteurs des faits » ; qu'en écartant la demande d'annulation de cette autorisation, motifs pris que celle-ci « expose explicitement les éléments de fait rendant ces opérations aussi nécessaires qu'éminemment urgentes, à savoir l'utilisation de cette ligne téléphonique par l'un des auteurs des faits d'enlèvement et de séquestration en cours au moment où l'autorisation critiquée a été sollicitée et accordée, faits susceptibles d'exposer leur auteur à des peines criminelles et aussi d'aboutir à des conséquences extrêmes pour la victime, conséquences dont il existait alors des raisons plausibles de penser que seule une réaction rapide et efficace des autorités publiques pouvait permettre de les limiter », lorsque la décision du procureur de la République n'exposait aucun élément factuel susceptible d'établir l'existence d'un lien entre les ravisseurs et la ligne téléphonique dont elle autorisait la géolocalisation et qu'elle ne mentionnait ni ne caractérisait l'existence d'une quelconque urgence, la chambre de l'instruction, qui ne pouvait substituer ses propres motifs à ceux de la décision du procureur de la République, a violé les articles préliminaire, 230-32 et 230-33 du code de procédure pénale, ensemble l'article 8 de la Convention européenne des droits de l'homme ».

Réponse de la Cour

27. Pour rejeter le moyen de nullité tiré de l'irrégularité de la géolocalisation en temps réel des deux lignes téléphoniques utilisées par les personnes soupçonnées d'être les ravisseurs de la victime, l'arrêt attaqué relève qu'elle a été autorisée dans le cadre d'une enquête portant sur des faits susceptibles de qualification criminelle, que cette autorisation a été accordée par le procureur de la République compétent, à l'occasion d'une enquête de flagrance et que cette décision est écrite et motivée par référence aux éléments de fait et de droit justifiant que ces opérations sont nécessaires.

28. Les juges énoncent, en effet, que la motivation, aussi succincte soit-elle, est pleinement suffisante dans la mesure où elle expose explicitement les éléments de fait rendant ces opérations aussi nécessaires qu'éminemment urgentes, à savoir l'utilisation de cette ligne téléphonique par l'un des potentiels auteurs des faits d'enlèvement et de séquestration en cours au moment où l'autorisation critiquée a été sollicitée et accordée, faits susceptibles d'exposer leur auteur à des peines criminelles et aussi d'aboutir à des conséquences extrêmes pour la victime, conséquences dont il existait alors des raisons plausibles de penser que seule une réaction rapide et efficace des autorités publiques pouvait permettre de les limiter.

29. En statuant ainsi, la chambre de l'instruction, qui n'a pas substitué ses motifs à ceux du procureur de la République qui a autorisé la géolocalisation mais en a précisé le contexte, n'a pas méconnu les textes visés au moyen.

30. Dès lors, celui-ci doit être écarté.

31. Par ailleurs l'arrêt est régulier en la forme.

PAR CES MOTIFS, la Cour :

REJETTE le pourvoi.

Arrêt rendu en formation de section.

- Président : M. Soulard - Rapporteur : Mme Barbé - Avocat général : M. Valat - Avocat(s) : SCP Spinosi -

Textes visés :

Principe de primauté et d'effectivité du droit de l'Union ; articles 7, 8, 11 et 52, § 1, de la Charte des droits fondamentaux de l'Union européenne ; article 15, § 1, de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002, telle que modifiée par la directive 2009/136/CE du Parlement européen et du Conseil du 25 novembre 2009.

Rapprochement(s) :

Sur la primauté du droit de l'Union, cf. : CJUE, arrêt du 17 mars 2016, Abdelhafid Bensada Benallal, C-161/15. Sur les conditions d'accès des autorités publiques aux données relatives au trafic et à la localisation, cf. : CJUE, arrêt du 6 octobre 2020, La Quadrature du Net e.a, French Data Network e.a, C- 511/18, C- 512/18, C- 520/18 ; CJUE, arrêt du 2 mars 2021, Prokuratuur, C-746/18. Sur la recevabilité du moyen présenté pour la première fois devant la Cour de cassation : Crim., 1er octobre 1987, pourvoi n° 86-96.148, Bull. crim. 1987, n° 323 (cassation) ; Crim., 18 juin 1997, pourvoi n° 96-84.926, Bull. crim. 1997, n° 246 (rejet).

Vous devez être connecté pour gérer vos abonnements.

Vous devez être connecté pour ajouter cette page à vos favoris.

Vous devez être connecté pour ajouter une note.