Retour vers le futur du traitement des données de connexion

Mon article sur le traitement des données de connexion, suite à la jurisprudence de la Cour de justice de l’Union européenne (CJUE) du 06/10/2020, justifie quelques développements complémentaires pour essayer de comprendre le sens et la portée des décisions rendues ce jour-là.

 

« La Cour dit que : »

La réalité c’est que l’on n’est pas sûr de comprendre ce que dit la Cour…

Le 06/10/2020, quatre décisions ont été rendues (C-623/17, C-511/18, C-512/18 et C-520/18), dans deux arrêts, puisque les trois dernières affaires ont été jointes et tranchées par un seul et même arrêt. Cette façon de procéder ne contribue pas à la clarté de la décision.

 

Premier arrêt

L’affaire C-623/17 concerne les services de renseignement britanniques (MI5 et MI6) et n’entre pas dans le champ de la procédure pénale qui nous intéresse ici. Indiquons simplement que cet arrêt considère que la directive « vie privée et communications électroniques » (2002/58/CE) permet « à une autorité étatique d’imposer aux fournisseurs de services de communications électroniques de transmettre aux services de sécurité et de renseignement des données relatives au trafic et des données de localisation aux fins de la sauvegarde de la sécurité nationale » mais « s’oppose à une réglementation nationale permettant à une autorité étatique d’imposer, aux fins de la sauvegarde de la sécurité nationale, aux fournisseurs de services de communications électroniques la transmission généralisée et indifférenciée des données relatives au trafic et des données de localisation aux services de sécurité et de renseignement ».

 

Second arrêt 

Pour la Cour, le même jour et dans la même composition, à propos des trois autres affaires (C-511/18, C-512/18 et C-520/18) qui ont été jointes, la  même « directive vie privée et communications électroniques » s’oppose à des mesures législatives prévoyant, à titre préventif « une conservation généralisée et indifférenciée des données relatives au trafic et des données de localisation »

 

sauf :

  • « dans des situations où l’État membre concerné fait face à une menace grave pour la sécurité nationale qui s’avère réelle et actuelle ou prévisible, la décision prévoyant cette injonction pouvant faire l’objet d’un contrôle effectif, soit par une juridiction, soit par une entité administrative indépendante, dont la décision est dotée d’un effet contraignant, visant à vérifier l’existence d’une de ces situations ainsi que le respect des conditions et des garanties devant être prévues, et ladite injonction ne pouvant être émise que pour une période temporellement limitée au strict nécessaire, mais renouvelable en cas de persistance de cette menace». 
  • « aux fins de la sauvegarde de la sécurité nationale, de la lutte contre la criminalité grave et de la prévention des menaces graves contre la sécurité publique, une conservation ciblée des données relatives au trafic et des données de localisation qui soit délimitée, sur la base d’éléments objectifs et non discriminatoires, en fonction de catégories de personnes concernées ou au moyen d’un critère géographique, pour une période temporellement limitée au strict nécessaire, mais renouvelable;
  • «  aux (mêmes) fins (…) une conservation généralisée et indifférenciée des adresses IP attribuées à la source d’une connexion, pour une période temporellement limitée au strict nécessaire; 
  • «  aux (mêmes) fins (…) une conservation généralisée et indifférenciée des données relatives à l’identité civile des utilisateurs de moyens de communications électroniques, et
  • aux fins de la lutte contre la criminalité grave et, a fortiori, de la sauvegarde de la sécurité nationale (…) par le biais d’une décision de l’autorité compétente soumise à un contrôle juridictionnel effectif, de procéder, pour une durée déterminée, à la conservation rapide des données relatives au trafic et des données de localisation dont disposent ces fournisseurs de services,

dès lors que ces mesures assurent, par des règles claires et précises, que la conservation des données en cause est subordonnée au respect des conditions matérielles et procédurales y afférentes et que les personnes concernées disposent de garanties effectives contre les risques d’abus ».

La même directive « ne s’oppose pas (…) à l’analyse automatisée ainsi qu’au recueil en temps réel, notamment, des données relatives au trafic et des données de localisation (…) (lorsque)  le recours à l’analyse automatisée est limité à des situations (de) menace grave pour la sécurité nationale qui s’avère réelle et actuelle ou prévisible, le recours à cette analyse pouvant faire l’objet d’un contrôle effectif, soit par une juridiction, soit par une entité administrative indépendante, dont la décision est dotée d’un effet contraignant, visant à vérifier l’existence d’une situation justifiant ladite mesure ainsi que le respect des conditions et des garanties devant être prévues, (ou) est limité aux personnes à l’égard desquelles il existe une raison valable de soupçonner qu’elles sont impliquées d’une manière ou d’une autre dans des activités de terrorisme et est soumis à un contrôle préalable, effectué, soit par une juridiction, soit par une entité administrative indépendante, dont la décision est dotée d’un effet contraignant, afin de s’assurer qu’un tel recueil en temps réel n’est autorisé que dans la limite de ce qui est strictement nécessaire. En cas d’urgence dûment justifiée, le contrôle doit intervenir dans de brefs délais ».

Le poète François ANDRIEUX, au XIX ème siècle, met en vers l’histoire du roi de Prusse et du meunier. Frédéric II, pour agrandir son palais d’été, le château Sans-Souci, voulait acheter un moulin voisin que le meunier ne voulait pas vendre. L’histoire aurait pu mal finir :

 

Les rois malaisément souffrent qu’on leur résiste.
Frédéric, un bon moment par l’humeur emporté :
« Parbleu, de ton moulin c’est bien être entêté ;
Je suis bon de vouloir t’engager à le vendre !
Sais-tu que sans payer je pourrais bien le prendre ?
Je suis le maître – Vous !… de prendre mon moulin ?
Oui, si nous n’avions des juges à Berlin »
Le monarque, à ce mot, revient de son caprice.
Charmé que sous son règne on crût à la justice,
Il rit, et se tournant vers quelques courtisans :
« Ma foi, messieurs, je crois qu’il faut changer nos plans.
Voisin, garde ton bien ; j’aime fort ta réplique ».

 

 

Aujourd’hui, le meunier du Sans-Souci se sentirait-il protégé, dans sa sécurité quotidienne, par ces décisions rendues par la CJEU en matière de protection de sa vie privée ? Je ne suis pas certain qu’il invoquerait la protection des juges de Luxembourg. Peut-être irait-il à la source de ce droit européen en s’écriant : Oui, si nous n’avions des parlementaires à Strasbourg.

Quand plus par plus égale moins…

Lorsque la combinaison de deux moyens d’enquête légaux devient illégale 

Depuis Brahmagupta, mathématicien indien qui a énoncé les règles de multiplication des signes en 628, il était clair que « plus par plus donne plus ». En 2015, pour l’Assemblée plénière de la Cour de cassation, c’est-à-dire la réunion des plus hauts magistrats chargés de dire le droit, la combinaison, dans une enquête pénale, de deux moyens parfaitement légaux, la garde à vue et la sonorisation d’un local en matière de crime organisé, devient un procédé interdit car déloyal. Pour revenir aux mathématiques « plus par plus égale moins ».

Le cas était le suivant : après un vol avec arme dans une bijouterie, l’enquête de police permettait d’identifier, grâce à l’ADN, l’un des braqueurs qui se trouvait incarcéré car arrêté ensuite dans une affaire de stupéfiants. Dans son entourage, un homme correspondait au signalement d’un des auteurs.

Sur autorisation du juge d’instruction, la police judiciaire, comme la loi le permet en matière de criminalité organisée, sonorisait les geôles du commissariat avant de placer en garde à vue celui qui était extrait de sa prison et celui qui était interpellé chez lui. Le premier reconnaissait sa participation mais refusait de dévoiler le nom de ses complices. Le second niait les faits comme cela était prévisible. Tous les deux, lors des périodes de repos dans les cellules, discutaient de cette affaire et évoquaient même le rôle de deux autres complices. Tout cela était, bien sûr, enregistré et exploité.

La Cour de cassation a annulé les éléments ainsi obtenus estimant que la recherche de ces preuves n’était pas loyale. La combinaison de deux moyens parfaitement légaux pris individuellement et mis en œuvre dans le parfait respect des règles strictes propres à chacun de ces moyens constitue un stratagème devant conduire à écarter les preuves ainsi obtenues : « au cours d’une mesure de garde à vue, le placement, durant les périodes de repos séparant les auditions, de deux personnes retenues dans des cellules contiguës préalablement sonorisées, de manière à susciter des échanges verbaux qui seraient enregistrés à leur insu pour être utilisés comme preuve, constitue un procédé déloyal d’enquête mettant en échec le droit de se taire et celui de ne pas s’incriminer soi-même et port(e) atteinte au droit à un procès équitable» [Ass.plén.06/03/2015 N°14-84.339].

Hervé BAZIN a écrit un poème sur la règle de multiplication des signes en remplaçant « + » par « amis » et «-» par « ennemis » et donc « plus par plus donne plus » car « les amis de mes amis sont mes amis ». Il a aussi écrit « La tête contre les murs »…

Défense et illustration du traitement des données de connexion

La Cour de justice de l’Union européenne, basée à Luxembourg, chargée d’interpréter la législation européenne pour en garantir une application uniforme, a rendu un arrêt, le 06/10/2020, qui précise que le droit de l’Union s’oppose à une réglementation nationale imposant aux opérateurs de téléphonie et aux fournisseurs d’accès à Internet de conserver les données relatives au trafic et à la localisation et de les transmettre à des fins de lutte contre les infractions en général ou la sauvegarde de la sécurité nationale.

L’absence de réaction officielle des ministères concernés s’explique peut-être par la difficulté à comprendre la portée de cet arrêt en raison dela qualité de sa rédaction. Je ne vais donc pas commenter ce que des spécialistes de ces questions n’osent pas faire.

Je vais simplement vous parler d’une affaire criminelle pour montrer comment seule l’étude des données de connexion a permis sa résolution.

Un homme est découvert mort, en bordure de sous-bois, par un promeneur. Les premiers éléments de l’enquête permettent de l’identifier grâce à son ADN, car il est connu de la police et d’établir qu’il a été tué par balle.

L’affaire se résume à ces éléments. Elle sera élucidée par les données de connexion en matière de téléphonie qui seront croisées avec les images de vidéosurveillance de gares SNCF (la victime a emprunté un train), de franchissement de barrières de péage et de circulation en ville (vers la gare d’arrivée) d’un véhicule qui sera détecté comme en lien avec les faits.

Si le téléphone de la victime était connu, les téléphones utilisés par les protagonistes étaient des TOC (téléphones occultes, ouverts sous de faux noms, dont on sait qu’il n’est pas possible d’identifier les utisateurs) qui fonctionnaient en réseau fermé.

La recherche, dans l’ensemble des données de connexion, des téléphones ayant en commun de se trouver, le jour des faits, sur les secteurs desservant la gare d’arrivée et le lieu de découverte du corps permet d’isoler, dans l’ensemble du trafic de la journée, deux lignes, achetées en même temps, dans le même bar-tabac, quelques heures avant les faits et activées à quelques minutes d’intervalle, sur le même relais. Elles ne seront plus jamais utilisées par la suite.

Ces deux lignes, sur leur courte période d’activité, n’échangeaient qu’entre elles.
Le bornage de l’une d’elle montrait un déplacement correspondant à un trajet autoroutier. La recherche d’un véhicule ayant pu emprunter cette autoroute dans le créneau horaire concerné permettait d’isoler un véhicule puis de remonter à son utilsateur en croisant la géolocalisation du téléphone et le passage des péages.

Evidemment cette enquête a nécessité le traitement, de façon anonyme, de milliers de données de connexion de centaines de personnes qui n’en ont jamais rien su. Ils avaient tous en commun d’avoir transité, dans les lieux ciblés, dans les plages horaires concernées comme des centaines d’automobilistes dont les voitures avaient été filmées aux péages ou dans la ville. Et ils ont tous été exclus de la liste des suspects. Faut-il s’en inquiéter ? Faudra-t-il désormais renoncer à ces enquêtes ?

« Prions »

Rassurez-vous, pas d’entorse à la laïcité avec cette apostrophe dont la formule complète est : « Prions et, au besoin, requérons ». Il s’agit ici de la question des réquisitions utilisées par les officiers de police judiciaire qui doivent solliciter un concours extérieur pour leurs enquêtes.

En enquête préliminaire les réquisitions, contrairement au cas de la flagrance, nécessitent une autorisation préalable du procureur de la République. La chambre criminelle de la Cour de cassation l’a rappelé récemment en annulant des procédures.

A Lyon, une enquête est ouverte à la suite de saisies de produits stupéfiants découverts dans les parties communes d’un immeuble. Des recherches ADN et papillaires sont effectuées, sur un emballage, par le laboratoire de police scientifique. Les empreintes d’un homme sont découvertes qui conteste sa participation et demande que soient annulées les réquisitions effectuées, en enquête préliminaire, par l’officier de police judiciaire qui n’avait pas été autorisé pour cela par le procureur de la République. La cour d’appel avait refusé d’annuler cette expertise en estimant que l’intéressé n’avait aucun droit sur l’emballage jeté, ni sur le lieu de sa découverte (par l’application de la « théorie des droits propres »). Mais pour la juridiction suprême « l’absence d’une telle autorisation peut être invoquée par toute partie y ayant intérêt » [Crim.18/06/2019 N°19-80.105].

Toujours à Lyon, quelques mois plus tard, mais sans rapport avec les faits précédents, au cours d’un vol avec arme, un des malfaiteurs est identifié grâce à une trace de sang prélevée sur les lieux. Dans le cadre de l’enquête préliminaire, l’officier de police judiciaire saisit le laboratoire de police scientifique en visant, cette fois, une autorisation écrite et permanente du procureur de la République pour analyser les prélèvements réalisés sur les scènes de crime. Mais la Cour de cassation a estimé que « l’autorisation donnée par le procureur de la République aux officiers de police judiciaire de faire procéder à des examens techniques ou scientifiques doit être donnée dans le cadre de la procédure d’enquête préliminaire en cours et non par voie d’autorisation générale et permanente préalable » [Crim.17/12/2019 N°83.574].

On comprend mal cette exigence et surtout la différence faite avec l’enquête de flagrance. Moins de huit jours après la découverte des stupéfiants ou la commission du hold-up il n’y avait pas besoin d’autorisation préalable pour demander les analyses. Dans le cadre d’une simplification de la procédure, et parce qu’il n’y a aucune incidence sur les garanties procédurales, il faudrait unifier les régimes d’enquête. C’est un souhait, pas une prière.