En matière de violation du droit des données de connexion par une personne mise en examen, par arrêt du 12 juillet 2022, la Cour de cassation a énoncé les principes applicables (Crim., 12 juillet 2022, pourvoi n° 21-83.710, publié au Bulletin).

La recevabilité de l’action 

La personne mise en examen n’est recevable à invoquer la violation des exigences en matière de conservation des données de connexion que si elle prétend être titulaire ou utilisatrice de l’une des lignes identifiées ou si elle établit qu’il aurait été porté atteinte à sa vie privée, à l’occasion des investigations litigieuses.

Sanction de la collecte généralisée des données de connexion  

L’article L. 34-1, III, du code des postes et des communications électroniques, dans sa version issue de la loi n° 2013-1168 du 18 décembre 2013, mis en oeuvre par l’article R. 10-13 dudit code, tel qu’il résultait du décret n° 2012-436 du 30 mars 2012, a été jugé  contraire au droit de l’Union européenne en ce qu’il imposait aux opérateurs de services de télécommunications électroniques, aux fins de lutte contre la criminalité, la conservation généralisée et indifférenciée des données de connexion , à l’exception des données relatives à l’identité civile, aux informations relatives aux comptes et aux paiements, ainsi qu’en matière de criminalité grave, de celles relatives aux adresses IP attribuées à la source d’une connexion.

En revanche, la France se trouvant exposée, depuis décembre 1994, à une menace grave et réelle, actuelle ou prévisible à la sécurité nationale, les textes précités de droit interne étaient conformes au droit de l’Union en ce qu’ils imposaient aux opérateurs de services de télécommunications électroniques de conserver de façon généralisée et indifférenciée les données de trafic et de localisation, aux fins de la recherche, de la constatation et de la poursuite des infractions portant atteinte aux intérêts fondamentaux de la Nation et des actes de terrorisme, incriminés aux articles 410-1 à 422-7 du code pénal.

Les articles 60-1 et 60-2, 77-1-1 et 77-1-2, 99-3 et 99-4 du code de procédure pénale, dans leur version antérieure à la loi n° 2022-299 du 2 mars 2022, lus en combinaison avec le sixième alinéa du paragraphe III de l’article préliminaire du code de procédure pénale, permettaient aux autorités compétentes, de façon conforme au droit de l’Union, pour la lutte contre la criminalité grave, en vue de l’élucidation d’une infraction déterminée, d’ordonner la conservation rapide, au sens de l’article 16 de la Convention du Conseil de l’Europe sur la cybercriminalité du 23 novembre 2001, des données de connexion , même conservées aux fins de sauvegarde de la sécurité nationale.

Contestation sur le recueil des données de connexion

Il appartient dès lors à la juridiction, lorsqu’elle est saisie d’une contestation sur le recueil des données de connexion, de vérifier que, d’une part, la conservation rapide respecte les limites du strict nécessaire, d’autre part, les faits relèvent de la criminalité grave, au regard de la nature des agissements en cause, de l’importance du dommage qui en résulte, des circonstances de la commission des faits et de la durée de la peine encourue.

Censure de la Cour de cassation 

La Cour de cassation a fait droit à la nullité de la procédure soulevée par une personne mise en examen pour traffic de stupéfiants au titre de la non-conformité du droit français aux exigences européennes en matière de conservation des données de connexion. 

L’arrêt attaqué, après avoir rappelé la jurisprudence de la Cour de justice de l’Union européenne, a retenu à tort que le requérant ne rapportait pas la preuve de ce que les données obtenues par les enquêteurs, et dont il sollicitait l’annulation, relevaient des données relatives au trafic obtenues au moyen d’une conservation généralisée et indifférenciée et entraient dans les catégories de celles déclarées contraires au droit de l’Union européenne.

Il appartient à la chambre de l’instruction de rechercher, pour quelles réquisitions le mis en examen avait qualité à invoquer la violation des exigences de l’Union européenne en matière de conservation des données de connexion. 

R É P U B L I Q U E F R A N Ç A I S E

________________________________________

AU NOM DU PEUPLE FRANÇAIS

_________________________

N° G 22-80.641 F-D

N° 01391

GM

15 NOVEMBRE 2022

CASSATION PARTIELLE

M. BONNAL président,

ARRÊT DE LA COUR DE CASSATION, CHAMBRE CRIMINELLE,

DU 15 NOVEMBRE 2022

M. [Y] [M] a formé un pourvoi contre l’arrêt de la chambre de l’instruction de la cour d’appel de Riom, en date du 21 décembre 2021, qui, dans l’information judiciaire suivie contre lui des chefs d’infractions à la législation sur les stupéfiants, blanchiment aggravé, infractions à la législation sur les armes, a prononcé sur sa demande en nullité de pièces de la procédure.

Par ordonnance en date du 21 mars 2022, le président de la chambre criminelle a prescrit l’examen immédiat du pourvoi.

Un mémoire a été produit.

Sur le rapport de Mme Labrousse, conseiller, les observations de la SCP Spinosi, avocat de M. [Y] [M], et les conclusions de M. Aldebert, avocat général, après débats en l’audience publique du 11 octobre 2022 où étaient présents M. Bonnal, président, Mme Labrousse, conseiller rapporteur, Mme Ménotti, conseiller de la chambre, et M. Maréville, greffier de chambre,

la chambre criminelle de la Cour de cassation, composée en application de l’article 567-1-1 du code de procédure pénale, des président et conseillers précités, après en avoir délibéré conformément à la loi, a rendu le présent arrêt.

Faits et procédure

1. Il résulte de l’arrêt attaqué et des pièces de la procédure ce qui suit.

2. Au cours d’une enquête préliminaire du chef de trafic de stupéfiants, une vidéosurveillance sur la voie publique, à proximité d’un lieu de revente, a été installée par les enquêteurs. Cette mesure a permis l’identification de M. [Y] [M].

3. Une information judiciaire des chefs d’infractions à la législation sur les stupéfiants a été ouverte le 24 septembre 2020, dans le cadre de laquelle le juge d’instruction a ordonné des mesures d’interceptions téléphoniques et de géolocalisations.

4. M. [M] a été interpellé et mis en examen le 5 mars 2021.

5. Le 6 septembre suivant, il a déposé une requête en nullité de différents actes de la procédure.

Examen des moyens

Sur les premier et deuxième moyens et sur le quatrième moyen, pris en sa seconde branche

6. Ils ne sont pas de nature à permettre l’admission du pourvoi au sens de l’article 567-1-1 du code de procédure pénale.

Mais sur le troisième moyen

Enoncé du moyen

7. Le moyen critique l’arrêt attaqué en ce qu’il a rejeté le moyen de nullité tiré de de l’irrégularité des commissions rogatoires sur lesquelles se sont fondés les services d’enquête pour procéder à la mise en place d’un dispositif de géolocalisation, alors « que la décision par laquelle le magistrat instructeur autorise la mise en place d’un moyen technique de géolocalisation doit être motivée par référence aux éléments de fait et de droit justifiant que ces opérations sont nécessaires ; qu’en rejetant le moyen de nullité tiré de l’insuffisance de motivation des commissions rogatoires techniques sur lesquelles se sont fondés les services d’enquête pour procéder à la mise en place d’un dispositif de géolocalisation, lorsqu’il ressortait de ses propres constatations que celles-ci se bornaient à autoriser la mise en place d’un dispositif d’interception et d’enregistrement de correspondances téléphoniques, et ne comprenaient strictement aucune mention relative à une mesure de géolocalisation, la chambre de l’instruction a violé les articles 230-32, 230-33, 591 et 593 du code de procédure pénale. »

Réponse de la Cour

Vu l’article 230-33, alinéa 5, du code de procédure pénale :

8. Il résulte de ce texte que la décision du juge d’instruction autorisant une mesure de géolocalisation doit être motivée par référence aux éléments de fait et de droit justifiant que cette opération est nécessaire. L’absence d’une telle motivation, qui interdit tout contrôle réel et effectif de la mesure, fait nécessairement grief aux intérêts de la personne concernée.

9. Pour ne pas faire droit à la nullité des opérations de géolocalisation du véhicule de M. [M] et des deux lignes dont il reconnaît être l’utilisateur, prise de ce que les décisions les autorisant mentionnent que les nécessités de l’information justifient que soit mis en place « un dispositif ayant pour objet sans le consentement des intéressés l’interception, l’enregistrement et la transcription des correspondances émises par la voie d’une ligne », l’arrêt énonce notamment que l’exigence de motivation de celles-ci n’est pas prescrite à peine de nullité et que le mis en examen ne peut justifier d’aucune atteinte à ses droits ni d’aucun grief.

10. En prononçant ainsi, la chambre de l’instruction a méconnu le texte susvisé et le principe susénoncé.

11. En effet, dès lors qu’elles articulent une motivation relative à la mise en place d’interceptions téléphoniques et non de mesures de géolocalisation, les décisions attaquées doivent être analysées comme étant dépourvues de toute motivation.

12. La cassation est dès lors encourue de ce chef.

Et sur le quatrième moyen, pris en sa première branche

Enoncé du moyen

13. Le moyen critique l’arrêt attaqué en ce qu’il a rejeté le moyen de nullité tiré de de l’irrégularité des éléments de preuve obtenus par une conservation généralisée et indifférenciée des données relatives au trafic et des données de localisation, ainsi que des réquisitions adressées, sur la seule autorisation du procureur de la République, aux opérateurs de téléphonie aux fins de communications de ces données, alors « que l’article 15, paragraphe 1, de la directive 2002/58 du Parlement et du Conseil du 12 juillet 2002, lu à la lumière des articles 7, 8, 11 et 52, paragraphe 1, de la Charte, et du principe d’effectivité, s’oppose à une réglementation nationale permettant à titre préventif la conservation généralisée et indifférenciée des données relatives au trafic et des données de localisation ; qu’en se bornant, pour refuser d’annuler les éléments de procédure dont il ressort de ses propres constatation qu’ils résultaient de l’exploitation de données ayant fait l’objet d’une telle conservation, à invoquer des circonstances alternativement inopérantes et erronées en droit, tenant à l’antériorité des investigations par rapport aux arrêts de la CJUE évoqués, à la prétendue possibilité de procéder à une telle conservation aux fins de prévention des menaces à la sécurité publique, de recherche, de détection et de poursuite des infractions pénales en général et de sauvegarde de la sécurité nationale, et à la remise en cause du caractère déterminant des données litigieuses, la chambre de l’instruction n’a pas justifié sa décision et violé les textes susvisés, ensemble le principe de primauté du droit de l’Union européenne. »

Réponse de la Cour

Vu l’article 15 de la directive 2002/58/CE modifiée du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, lu à la lumière des articles 7, 8 et 11 ainsi que de l’article 52, paragraphe 1, de la Charte des droits fondamentaux de l’Union européenne :

14. Par arrêt en date du 12 juillet 2022, la Cour de cassation a énoncé les principes suivants (Crim., 12 juillet 2022, pourvoi n° 21-83.710, publié au Bulletin).

15. La personne mise en examen n’est recevable à invoquer la violation des exigences en matière de conservation des données de connexion que si elle prétend être titulaire ou utilisatrice de l’une des lignes identifiées ou si elle établit qu’il aurait été porté atteinte à sa vie privée, à l’occasion des investigations litigieuses.

16. L’article L. 34-1, III, du code des postes et des communications électroniques, dans sa version issue de la loi n° 2013-1168 du 18 décembre 2013, mis en oeuvre par l’article R. 10-13 dudit code, tel qu’il résultait du décret n° 2012-436 du 30 mars 2012, est contraire au droit de l’Union européenne en ce qu’il imposait aux opérateurs de services de télécommunications électroniques, aux fins de lutte contre la criminalité, la conservation généralisée et indifférenciée des données de connexion , à l’exception des données relatives à l’identité civile, aux informations relatives aux comptes et aux paiements, ainsi qu’en matière de criminalité grave, de celles relatives aux adresses IP attribuées à la source d’une connexion.

17. En revanche, la France se trouvant exposée, depuis décembre 1994, à une menace grave et réelle, actuelle ou prévisible à la sécurité nationale, les textes précités de droit interne étaient conformes au droit de l’Union en ce qu’ils imposaient aux opérateurs de services de télécommunications électroniques de conserver de façon généralisée et indifférenciée les données de trafic et de localisation, aux fins de la recherche, de la constatation et de la poursuite des infractions portant atteinte aux intérêts fondamentaux de la Nation et des actes de terrorisme, incriminés aux articles 410-1 à 422-7 du code pénal.

18. Les articles 60-1 et 60-2, 77-1-1 et 77-1-2, 99-3 et 99-4 du code de procédure pénale, dans leur version antérieure à la loi n° 2022-299 du 2 mars 2022, lus en combinaison avec le sixième alinéa du paragraphe III de l’article préliminaire du code de procédure pénale, permettaient aux autorités compétentes, de façon conforme au droit de l’Union, pour la lutte contre la criminalité grave, en vue de l’élucidation d’une infraction déterminée, d’ordonner la conservation rapide, au sens de l’article 16 de la Convention du Conseil de l’Europe sur la cybercriminalité du 23 novembre 2001, des données de connexion , même conservées aux fins de sauvegarde de la sécurité nationale.

19. Il appartient à la juridiction, lorsqu’elle est saisie d’une contestation sur le recueil des données de connexion, de vérifier que, d’une part, la conservation rapide respecte les limites du strict nécessaire, d’autre part, les faits relèvent de la criminalité grave, au regard de la nature des agissements en cause, de l’importance du dommage qui en résulte, des circonstances de la commission des faits et de la durée de la peine encourue.

20. En l’espèce, pour écarter la nullité des éléments d’enquête résultant de l’exploitation des données de connexion, notamment de l’une des lignes de M. [M], prise de la non-conformité du droit français aux exigences européennes en matière de conservation de celles-ci, l’arrêt attaqué, après avoir rappelé la jurisprudence de la Cour de justice de l’Union européenne, énonce que le requérant ne rapporte pas la preuve de ce que les données obtenues par les enquêteurs, et dont il sollicite l’annulation, relèvent de données relatives au trafic obtenues au moyen d’une conservation généralisée et indifférenciée et entrent dans les catégories de celles déclarées contraires au droit de l’Union européenne.

21. Les juges ajoutent que le droit européen n’impose pas au juge pénal national d’écarter, de manière systématique, des informations et des éléments de preuve qui ont été obtenus au moyen d’une conservation généralisée et indifférenciée des données relatives au trafic et des données de localisation incompatible avec le droit de l’Union.

22. Ils précisent, à cet égard, qu’il faut encore que les personnes ne soient pas en mesure de commenter efficacement ces informations et ces éléments de preuve, provenant d’un domaine échappant à la connaissance des juges et qui sont susceptibles d’influencer de manière prépondérante l’appréciation des faits, conditions qui ne sont manifestement pas réunies en l’espèce.

23. Ils ajoutent qu’il résulte de l’arrêt du Conseil d’Etat du 21 avril 2021 (CE, 21 avril 2011, n° 393099) que l’état des menaces pesant sur la sécurité nationale justifie légalement que soit imposée aux opérateurs la conservation générale et indifférenciée des données et que l’autorité judiciaire est en mesure d’accéder aux données nécessaires à la poursuite et à la recherche des auteurs d’infractions pénales dont la gravité le justifie.

24. En statuant ainsi, la chambre de l’instruction a méconnu les textes précités et les principes susénoncés.

25. En effet, il lui appartenait de rechercher, comme précisé au paragraphe 15, pour quelles réquisitions M. [M] avait qualité à invoquer la violation des exigences de l’Union européenne en matière de conservation des données de connexion, puis, en second lieu, de procéder ainsi qu’il est exposé au paragraphe 19.

26. La cassation est par conséquent également encourue de ce chef.

PAR CES MOTIFS, la Cour :

CASSE et ANNULE l’arrêt susvisé de la chambre de l’instruction de la cour d’appel de Riom, en date du 21 décembre 2021, mais en ses seules dispositions ayant prononcé sur les moyens de nullité pris, d’une part, de la géolocalisation, d’autre part, de l’exploitation des éléments résultant de la conservation des données de connexion, toutes autres dispositions étant expressément maintenues ;

Et pour qu’il soit à nouveau statué, conformément à la loi, dans les limites de la cassation ainsi prononcée,

RENVOIE la cause et les parties devant la chambre de l’instruction de la cour d’appel de Lyon, à ce désignée par délibération spéciale prise en chambre du conseil ;

ORDONNE l’impression du présent arrêt, sa transcription sur les registres du greffe de la chambre de l’instruction de la cour d’appel de Riom et sa mention en marge ou à la suite de l’arrêt partiellement annulé ;

Ainsi fait et jugé par la Cour de cassation, chambre criminelle, et prononcé par le président le quinze novembre deux mille vingt-deux.