Sommaire
Une personne mise en examen n'est recevable à invoquer la violation des exigences de l'Union européenne en matière de conservation des données de connexion que si elle prétend être titulaire ou utilisatrice de l'une des lignes identifiées ou si elle établit qu'il aurait été porté atteinte à sa vie privée, à l'occasion des investigations litigieuses
En-tête
N° T 21-84.096 FS-B N° 00772 GM 12 JUILLET 2022 REJET M. SOULARD président, R É P U B L I Q U E F R A N Ç A I S E ________________________________________ AU NOM DU PEUPLE FRANÇAIS _________________________ ARRÊT DE LA COUR DE CASSATION, CHAMBRE CRIMINELLE, DU 12 JUILLET 2022 MM. [R] [K] et [S] [M] ont formé des pourvois contre l'arrêt de la chambre de l'instruction de la cour d'appel de Lyon, en date du 20 mai 2021, qui, dans l'information suivie contre eux des chefs notamment d'infractions à la législation sur les stupéfiants, association de malfaiteurs, en récidive, a prononcé sur leur demande d'annulation de pièces de la procédure. Par ordonnance en date du 13 septembre 2021, le président de la chambre criminelle a joint les pourvois et prescrit leur examen immédiat. Un mémoire, commun aux demandeurs, a été produit. Sur le rapport de Mme Labrousse, conseiller, les observations de la SCP Marlange et de La Burgade, avocat de MM. [K] et [M], et les conclusions de M. Petitprez, avocat général, après débats en l'audience publique du 19 mai 2022 où étaient présents M. Soulard, président, Mme Labrousse, conseiller rapporteur, M. Bonnal, M. de Larosière de Champfeu, Mme Ménotti, Mme Leprieur, Mme Sudre, M. Maziau, Mme Issenjou, M. Turbeaux, M. Seys, M. Dary, Mme Thomas, M. Laurent, conseillers de la chambre, Mme Barbé, M. Violeau, M. Mallard, Mme Guerrini, M. Michon, conseillers référendaires, M. Petitprez, avocat général, et M. Maréville, greffier de chambre, la chambre criminelle de la Cour de cassation, composée des président et conseillers précités, après en avoir délibéré conformément à la loi, a rendu le présent arrêt.
Faits et procédure
Faits et procédure 1. Il résulte de l'arrêt attaqué et des pièces de la procédure ce qui suit. 2. Le 30 septembre 2019, une enquête préliminaire a été ouverte à la suite de la réception par un service de police d'une carte de visite portant l'inscription « Uber Green » et proposant un service de livraison d'herbe de cannabis, joignable chaque jour à un numéro indiqué. 3. Les investigations, notamment téléphoniques, sur le fondement de l'article 77-1-1 du code de procédure pénale, ainsi que les surveillances ont permis de confirmer l'existence d'un trafic de stupéfiants. 4. Le 14 novembre 2019, le procureur de la République a ouvert une information judiciaire contre personne non dénommée des chefs d'infractions à la législation sur les stupéfiants et association de malfaiteurs. 5. La poursuite des investigations, notamment des réquisitions aux opérateurs de télécommunications, a permis d'identifier MM. [S] [M] et [R] [K], qui ont été interpellés et mis en examen respectivement les 11 et 12 juin 2020. 6. Le 14 décembre 2020, ils ont présenté une requête conjointe en nullité de l'ensemble des réquisitions délivrées à ces opérateurs en exposant que tant la conservation des données de connexion que leur communication aux enquêteurs étaient contraires au droit de l'Union européenne.
Moyens
Examen des moyens Sur l'irrecevabilité du moyen en ce qu'il est proposé pour M. [M], relevée d'office et mise dans le débat
Motivation
7. Il résulte des dispositions de l'article 173-1 du code de procédure pénale que, sous peine d'irrecevabilité, la personne mise en examen doit faire état des moyens pris de la nullité des actes accomplis avant son interrogatoire de première comparution dans un délai de six mois à compter de cet interrogatoire, sauf dans le cas où elle n'aurait pu les connaître. 8. En l'espèce, M. [M] a été mis en examen le 11 juin 2020 de sorte que le délai de forclusion, prévu à l'article précité, expirait le vendredi 11 décembre 2020. 9. C'est, dès lors, à tort que la chambre de l'instruction a déclaré recevable la requête en nullité de l'intéressé, en date du 14 décembre 2020, au visa de l'article 4 de l'ordonnance n° 2020-303 du 25 mars 2020 portant adaptation de règles de procédure pénale sur le fondement de la loi n° 2020-290 du 23 mars 2020 d'urgence pour faire face à l'épidémie de covid-19. 10. En effet, la Cour de cassation juge que le délai de six mois imparti par l'article 173-1 du code de procédure pénale à la personne mise en examen pour faire état des moyens pris de la nullité des actes accomplis avant son interrogatoire de première comparution ou de cet interrogatoire lui-même, à compter de la notification de sa mise en examen, ne s'interprète pas comme un délai de recours et n'entre pas dans les prévisions de cet article (Crim., 9 février 2021, pourvoi n° 20-84.939). 11. Il s'ensuit que le moyen, en ce qu'il est présenté par M. [M], doit être déclaré irrecevable.
Moyens
Sur le moyen en ce qu'il est présenté pour M. [K] Enoncé du moyen 12. Le moyen critique l'arrêt attaqué en ce qu'il a rejeté la requête en nullité tendant à l'annulation, d'une part, de l'ensemble des réquisitions portant sur les données à caractère personnel conservées par les opérateurs de communications électroniques, d'autre part, de l'ensemble des actes subséquents ayant trouvé leur support nécessaire dans ces actes irréguliers et a, en conséquence, ordonné le renvoi de la procédure au juge d'instruction, alors : « 1°/ que le droit interne ne peut prévoir, aux fins de la lutte contre la criminalité grave et de la prévention des menaces graves contre la sécurité publique, qu'une conservation ciblée des données relatives au trafic et des données de localisation qui soit délimitée, sur la base d'éléments objectifs et non discriminatoires, en fonction de catégories de personnes concernées ou au moyen d'un critère géographique, pour une période temporellement limitée au strict nécessaire, ce qui exclut toute conservation généralisée et indifférenciée des données de trafic ou de localisation ; qu'en rejetant cependant la requête en nullité de M. [K], poursuivi des chefs de récidive de trafic de produits stupéfiants, d'association de malfaiteurs et de blanchiment, tendant à l'annulation des pièces obtenues au moyen de la conservation généralisée et indifférenciée de leurs données de trafic et de localisation, aux motifs que le droit de l'Union européenne ne s'opposait pas à cette conservation généralisée des données, la cour d'appel a violé l'article 15, § 1er, de la directive 2002/58/CE du Parlement européen et du Conseil, du 12 juillet 2002, concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, telle que modifiée par la directive 2009/136/CE du Parlement européen et du Conseil, du 25 novembre 2009, ensemble l'article 23, § 1er, du règlement 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, lu à la lumière des articles 7, 8 et 11 ainsi que de l'article 52, § 1er, de la Charte des droits fondamentaux de l'Union européenne ; 2°/ que le droit interne ne peut prévoir, à des fins de lutte contre la criminalité, une conservation généralisée et indifférenciée de l'ensemble des données relatives au trafic et des données de localisation de tous les abonnés et utilisateurs inscrits concernant tous les moyens de communication électronique ; qu'en rejetant la requête en nullité de M. [K], poursuivi des chefs de récidive de trafic de produits stupéfiants, d'association de malfaiteurs et de blanchiment, tendant à l'annulation des pièces obtenues au moyen de la conservation généralisée et indifférenciée de ses données de trafic et de localisation, aux motifs que la conservation de l'ensemble de ses données ne portait pas une atteinte disproportionnée à son droit au respect de la vie privée ou à la protection de ses données personnelles, la cour d'appel a statué par des motifs tout à la fois impropres et inopérants à justifier son arrêt, violant ainsi l'article 15, § 1er, de la directive 2002/58/CE du Parlement européen et du Conseil, du 12 juillet 2002, concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, telle que modifiée par la directive 2009/136/CE du Parlement européen et du Conseil, du 25 novembre 2009, ensemble l'article 23, § 1er, du règlement 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, lu à la lumière des articles 7, 8 et 11 ainsi que de l'article 52, § 1er, de la Charte des droits fondamentaux de l'Union européenne ; 3°/ que le ministère public, dont la mission est de diriger la procédure d'instruction pénale et d'exercer, le cas échéant, l'action publique lors d'une procédure ultérieure, n'est pas une autorité indépendante compétente pour autoriser l'accès d'une autorité publique aux données relatives au trafic et aux données de localisation aux fins d'une instruction pénale ; qu'en jugeant le contraire pour rejeter l' exception de nullité de M. [K], aux motifs que « l'autorité judiciaire ( ) comprend à la fois les magistrats du siège et du parquet », la cour d'appel s'est fondée sur des motifs impropres et inopérants à justifier son arrêt, violant ainsi l'article 15, § 1er, de la directive 2002/58/CE du Parlement européen et du Conseil, du 12 juillet 2002, concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, telle que modifiée par la directive 2009/136/CE du Parlement européen et du Conseil, du 25 novembre 2009, ensemble l'article 23, § 1er, du règlement 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, lu à la lumière des articles 7, 8 et 11 ainsi que de l'article 52, § 1er, de la Charte des droits fondamentaux de l'Union européenne ; 4°/ que le juge pénal doit écarter des informations et des éléments de preuve qui ont été obtenus par une conservation généralisée et indifférenciée des données relatives au trafic et des données de localisation incompatible avec le droit de l'Union, dans le cadre d'une procédure pénale ouverte à l'encontre de personnes soupçonnées d'actes de criminalité, dès lors que ces personnes ne sont pas en mesure de commenter efficacement ces informations et ces éléments de preuve, provenant d'un domaine échappant à la connaissance des juges et qui sont susceptibles d'influencer de manière prépondérante l'appréciation des faits ; qu'en rejetant cependant la requête en nullité de M. [K], poursuivi des chefs de récidive de trafic de produits stupéfiants, d'association de malfaiteurs et de blanchiment, tendant à l'annulation des pièces obtenues au moyen de la conservation généralisée et indifférenciée de ses données de trafic et de localisation, aux seuls motifs que le droit de l'Union européenne ne s'opposait pas à cette conservation généralisée des données et que la conservation de l'ensemble de ses données ne portait pas une atteinte disproportionnée à son droit au respect de la vie privée ou à la protection de ses données personnelles, d'une part, et, que les officiers de police judiciaire avaient agi sur l'autorisation et sous le contrôle du procureur de la République dans le cadre de l'enquête initiale (autorisation recueillie expressément le 30 septembre 2019), c'est-à-dire sur l'autorisation préalable et sous le contrôle permanent de l'autorité judiciaire « qui comprend à la fois les magistrats du siège et du parquet », d'autre part, sans rechercher si M. [K] était en mesure de commenter efficacement les informations et les éléments de preuve recueillis à son encontre, provenant d'un domaine échappant à la connaissance des juges et qui étaient susceptibles d'influencer de manière prépondérante l'appréciation des faits, la cour d'appel a privé sa décision de base légale au regard de l'article 15, § 1er, de la directive 2002/58/CE du Parlement européen et du Conseil, du 12 juillet 2002, concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, telle que modifiée par la directive 2009/136/CE du Parlement européen et du Conseil, du 25 novembre 2009, ensemble l'article 23, § 1er , du règlement 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, lu à la lumière des articles 7, 8 et 11 ainsi que de l'article 52, § 1er, de la Charte des droits fondamentaux de l'Union européenne. »
Motivation
Réponse de la Cour 13. Par arrêt de ce jour, la Cour de cassation a énoncé les principes suivants (Crim., 12 juillet 2022, pourvoi n° 21-83.710, publié au Bulletin). 14. L'article L. 34-1, III, du code des postes et des communications électroniques, dans sa version issue de la loi n° 2013-1168 du 18 décembre 2013, mis en oeuvre par l'article R. 10-13 dudit code, tel qu'il résultait du décret n° 2012-436 du 30 mars 2012, est contraire au droit de l'Union européenne en ce qu'il imposait aux opérateurs de services de télécommunications électroniques, aux fins de lutte contre la criminalité, la conservation généralisée et indifférenciée des données de connexion, à l'exception des données relatives à l'identité civile, aux informations relatives aux comptes et aux paiements, ainsi qu'en matière de criminalité grave, de celles relatives aux adresses IP attribuées à la source d'une connexion. 15. En revanche, la France se trouvant exposée, depuis décembre 1994, à une menace grave et réelle, actuelle ou prévisible à la sécurité nationale, les textes précités de droit interne étaient conformes au droit de l'Union en ce qu'ils imposaient aux opérateurs de services de télécommunications électroniques de conserver de façon généralisée et indifférenciée les données de trafic et de localisation, aux fins de la recherche, de la constatation et de la poursuite des infractions portant atteinte aux intérêts fondamentaux de la Nation et des actes de terrorisme, incriminés aux articles 410-1 à 422-7 du code pénal. 16. Les articles 60-1 et 60-2, 77-1-1 et 77-1-2, 99-3 et 99-4 du code de procédure pénale, dans leur version antérieure à la loi n° 2022-299 du 2 mars 2022, lus en combinaison avec le sixième alinéa du paragraphe III de l'article préliminaire du code de procédure pénale, permettaient aux autorités compétentes, de façon conforme au droit de l'Union, pour la lutte contre la criminalité grave, en vue de l'élucidation d'une infraction déterminée, d'ordonner la conservation rapide, au sens de l'article 16 de la Convention du Conseil de l'Europe sur la cybercriminalité du 23 novembre 2001, des données de connexion, même conservées aux fins de sauvegarde de la sécurité nationale. 17. Il appartient à la juridiction, lorsqu'elle est saisie d'un moyen en ce sens, de vérifier, d'une part, que les éléments de fait justifiant la nécessité d'une telle mesure d'investigation répondent à un critère de criminalité grave, dont l'appréciation relève du droit national, d'autre part, que la conservation rapide des données de trafic et de localisation et l'accès à celles-ci respectent les limites du strict nécessaire. 18. S'agissant de la gravité des faits, il appartient au juge de motiver sa décision au regard de la nature des agissements de la personne poursuivie, de l'importance du dommage qui en résulte, des circonstances de la commission des faits et de la durée de la peine encourue. 19. Les articles 60-1 et 60-2, 77-1-1 et 77-1-2 du code de procédure pénale sont contraires au droit de l'Union uniquement en ce qu'ils ne prévoient pas préalablement à l'accès aux données un contrôle par une juridiction ou une entité administrative indépendante. En revanche, le juge d'instruction est habilité à contrôler l'accès aux données de connexion. 20. Une personne mise en examen n'est recevable à invoquer la violation de l'exigence précitée que si elle prétend être titulaire ou utilisatrice de l'une des lignes identifiées ou si elle établit qu'il aurait été porté atteinte à sa vie privée, à l'occasion des investigations litigieuses. 21. L'existence d'un grief pris de l'absence d'un tel contrôle est établie si l'accès aux données de trafic et de localisation a méconnu les conditions matérielles posées par le droit de l'Union. Tel est le cas si l'accès a porté sur des données irrégulièrement conservées, s'il a eu lieu, hors hypothèse de la conservation rapide, pour une finalité moins grave que celle ayant justifié la conservation, n'a pas été circonscrit à une procédure visant à lutter contre la criminalité grave et a excédé les limites du strict nécessaire. 22. En l'espèce, M. [K] ne justifie ni même n'allègue qu'il aurait été porté atteinte à sa vie privée par les réquisitions délivrées aux opérateurs téléphoniques tendant à obtenir les facturations détaillées et les géolocalisations de lignes téléphoniques dont il n'était ni le titulaire ni l'utilisateur. Il n'a dès lors pas qualité pour en solliciter la nullité. 23. En revanche, il est recevable à solliciter la nullité des investigations relatives aux données de connexion de la ligne dont il était l'utilisateur et auxquelles ont accédé les enquêteurs sur commission rogatoire du juge d'instruction. 24. C'est à tort, pour la raison exposée au paragraphe 14, que, pour ne pas faire droit à la nullité prise de la conservation irrégulière de ces données, l'arrêt énonce en substance que la lutte contre la criminalité grave justifie l'ingérence dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel, sous réserve de proportionnalité au but poursuivi et que cette ingérence soit encadrée par la loi. 25. L'arrêt n'encourt néanmoins pas la censure pour les raisons suivantes. 26. En premier lieu, la chambre de l'instruction a énoncé que les faits, passibles d'une peine de dix ans d'emprisonnement, relevaient, par leur ampleur et leur structure, de la criminalité organisée. 27. Dès lors, ils relevaient de la criminalité grave. 28. En second lieu, la chambre de l'instruction a constaté que c'est exclusivement dans le cadre de l'enquête, dont l'objet était délimité précisément, que les enquêteurs ont sollicité, pour une période limitée, des informations alors détenues par les opérateurs de téléphonie concernant des lignes en lien direct avec les infractions motivant les investigations. 29. Il s'ensuit qu'agissant sur commission rogatoire du juge d'instruction, les enquêteurs pouvaient, sans méconnaître les dispositions conventionnelles invoquées au moyen, accéder aux données de trafic et de localisation régulièrement conservées pour la finalité de la sauvegarde de la sécurité nationale. 30. Le moyen ne peut dès lors être accueilli. 31. Par ailleurs l'arrêt est régulier en la forme.
Dispositif
PAR CES MOTIFS, la Cour : REJETTE les pourvois ; Ainsi fait et jugé par la Cour de cassation, chambre criminelle, et prononcé par le président le douze juillet deux mille vingt-deux.