RejetPublié au BulletinFormation : Formation de section

Cour de cassation, chambre criminelle (Formation de section), 12 juillet 2022, n° 21-84.096

ECLI:FR:CCASS:2022:CR00772

La Cour rejette le pourvoi : la décision attaquée est maintenue

Sommaire de la Cour

Une personne mise en examen n'est recevable à invoquer la violation des exigences de l'Union européenne en matière de conservation des données de connexion que si elle prétend être titulaire ou utilisatrice de l'une des lignes identifiées ou si elle établit qu'il aurait été porté atteinte à sa vie privée, à l'occasion des investigations litigieuses

Articles du code de procédure pénale visés

L'arrêt, étape par étape

Texte de la Cour, cité mot pour mot. Les noms sont remplacés par des initiales par la Cour elle-même.

Les faits et la procédure

1Il résulte de l'arrêt attaqué et des pièces de la procédure ce qui suit.

2Le 30 septembre 2019, une enquête préliminaire a été ouverte à la suite de la réception par un service de police d'une carte de visite portant l'inscription « Uber Green » et proposant un service de livraison d'herbe de cannabis, joignable chaque jour à un numéro indiqué.

3Les investigations, notamment téléphoniques, sur le fondement de l'article 77-1-1 du code de procédure pénale, ainsi que les surveillances ont permis de confirmer l'existence d'un trafic de stupéfiants.

4Le 14 novembre 2019, le procureur de la République a ouvert une information judiciaire contre personne non dénommée des chefs d'infractions à la législation sur les stupéfiants et association de malfaiteurs.

5La poursuite des investigations, notamment des réquisitions aux opérateurs de télécommunications, a permis d'identifier MM. [S] [M] et [R] [K], qui ont été interpellés et mis en examen respectivement les 11 et 12 juin 2020.

6Le 14 décembre 2020, ils ont présenté une requête conjointe en nullité de l'ensemble des réquisitions délivrées à ces opérateurs en exposant que tant la conservation des données de connexion que leur communication aux enquêteurs étaient contraires au droit de l'Union européenne.

Les questions examinées par la Cour

Sur l'irrecevabilité du moyen en ce qu'il est proposé pour M. [M], relevée d'office et mise dans le débat

Réponse de la Cour

7Il résulte des dispositions de l'article 173-1 du code de procédure pénale que, sous peine d'irrecevabilité, la personne mise en examen doit faire état des moyens pris de la nullité des actes accomplis avant son interrogatoire de première comparution dans un délai de six mois à compter de cet interrogatoire, sauf dans le cas où elle n'aurait pu les connaître.

8En l'espèce, M. [M] a été mis en examen le 11 juin 2020 de sorte que le délai de forclusion, prévu à l'article précité, expirait le vendredi 11 décembre 2020.

9C'est, dès lors, à tort que la chambre de l'instruction a déclaré recevable la requête en nullité de l'intéressé, en date du 14 décembre 2020, au visa de l'article 4 de l'ordonnance n° 2020-303 du 25 mars 2020 portant adaptation de règles de procédure pénale sur le fondement de la loi n° 2020-290 du 23 mars 2020 d'urgence pour faire face à l'épidémie de covid-19.

10En effet, la Cour de cassation juge que le délai de six mois imparti par l'article 173-1 du code de procédure pénale à la personne mise en examen pour faire état des moyens pris de la nullité des actes accomplis avant son interrogatoire de première comparution ou de cet interrogatoire lui-même, à compter de la notification de sa mise en examen, ne s'interprète pas comme un délai de recours et n'entre pas dans les prévisions de cet article (Crim., 9 février 2021, pourvoi n° 20-84.939).

11Il s'ensuit que le moyen, en ce qu'il est présenté par M. [M], doit être déclaré irrecevable.

Sur le moyen en ce qu'il est présenté pour M. [K]

Ce que soutenait le demandeur

12Le moyen critique l'arrêt attaqué en ce qu'il a rejeté la requête en nullité tendant à l'annulation, d'une part, de l'ensemble des réquisitions portant sur les données à caractère personnel conservées par les opérateurs de communications électroniques, d'autre part, de l'ensemble des actes subséquents ayant trouvé leur support nécessaire dans ces actes irréguliers et a, en conséquence, ordonné le renvoi de la procédure au juge d'instruction, alors :

« 1°/ que le droit interne ne peut prévoir, aux fins de la lutte contre la criminalité grave et de la prévention des menaces graves contre la sécurité publique, qu'une conservation ciblée des données relatives au trafic et des données de localisation qui soit délimitée, sur la base d'éléments objectifs et non discriminatoires, en fonction de catégories de personnes concernées ou au moyen d'un critère géographique, pour une période temporellement limitée au strict nécessaire, ce qui exclut toute conservation généralisée et indifférenciée des données de trafic ou de localisation ; qu'en rejetant cependant la requête en nullité de M. [K], poursuivi des chefs de récidive de trafic de produits stupéfiants, d'association de malfaiteurs et de blanchiment, tendant à l'annulation des pièces obtenues au moyen de la conservation généralisée et indifférenciée de leurs données de trafic et de localisation, aux motifs que le droit de l'Union européenne ne s'opposait pas à cette conservation généralisée des données, la cour d'appel a violé l'article 15, § 1er, de la directive 2002/58/CE du Parlement européen et du Conseil, du 12 juillet 2002, concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, telle que modifiée par la directive 2009/136/CE du Parlement européen et du Conseil, du 25 novembre 2009, ensemble l'article 23, § 1er, du règlement 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, lu à la lumière des articles 7, 8 et 11 ainsi que de l'article 52, § 1er, de la Charte des droits fondamentaux de l'Union européenne ;

2°/ que le droit interne ne peut prévoir, à des fins de lutte contre la criminalité, une conservation généralisée et indifférenciée de l'ensemble des données relatives au trafic et des données de localisation de tous les abonnés et utilisateurs inscrits concernant tous les moyens de communication électronique ; qu'en rejetant la requête en nullité de M. [K], poursuivi des chefs de récidive de trafic de produits stupéfiants, d'association de malfaiteurs et de blanchiment, tendant à l'annulation des pièces obtenues au moyen de la conservation généralisée et indifférenciée de ses données de trafic et de localisation, aux motifs que la conservation de l'ensemble de ses données ne portait pas une atteinte disproportionnée à son droit au respect de la vie privée ou à la protection de ses données personnelles, la cour d'appel a statué par des motifs tout à la fois impropres et inopérants à justifier son arrêt, violant ainsi l'article 15, § 1er, de la directive 2002/58/CE du Parlement européen et du Conseil, du 12 juillet 2002, concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, telle que modifiée par la directive 2009/136/CE du Parlement européen et du Conseil, du 25 novembre 2009, ensemble l'article 23, § 1er, du règlement 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, lu à la lumière des articles 7, 8 et 11 ainsi que de l'article 52, § 1er, de la Charte des droits fondamentaux de l'Union européenne ;

3°/ que le ministère public, dont la mission est de diriger la procédure d'instruction pénale et d'exercer, le cas échéant, l'action publique lors d'une procédure ultérieure, n'est pas une autorité indépendante compétente pour autoriser l'accès d'une autorité publique aux données relatives au trafic et aux données de localisation aux fins d'une instruction pénale ; qu'en jugeant le contraire pour rejeter l' exception de nullité de M. [K], aux motifs que « l'autorité judiciaire () comprend à la fois les magistrats du siège et du parquet », la cour d'appel s'est fondée sur des motifs impropres et inopérants à justifier son arrêt, violant ainsi l'article 15, § 1er, de la directive 2002/58/CE du Parlement européen et du Conseil, du 12 juillet 2002, concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, telle que modifiée par la directive 2009/136/CE du Parlement européen et du Conseil, du 25 novembre 2009, ensemble l'article 23, § 1er, du règlement 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, lu à la lumière des articles 7, 8 et 11 ainsi que de l'article 52, § 1er, de la Charte des droits fondamentaux de l'Union européenne ;

4°/ que le juge pénal doit écarter des informations et des éléments de preuve qui ont été obtenus par une conservation généralisée et indifférenciée des données relatives au trafic et des données de localisation incompatible avec le droit de l'Union, dans le cadre d'une procédure pénale ouverte à l'encontre de personnes soupçonnées d'actes de criminalité, dès lors que ces personnes ne sont pas en mesure de commenter efficacement ces informations et ces éléments de preuve, provenant d'un domaine échappant à la connaissance des juges et qui sont susceptibles d'influencer de manière prépondérante l'appréciation des faits ; qu'en rejetant cependant la requête en nullité de M. [K], poursuivi des chefs de récidive de trafic de produits stupéfiants, d'association de malfaiteurs et de blanchiment, tendant à l'annulation des pièces obtenues au moyen de la conservation généralisée et indifférenciée de ses données de trafic et de localisation, aux seuls motifs que le droit de l'Union européenne ne s'opposait pas à cette conservation généralisée des données et que la conservation de l'ensemble de ses données ne portait pas une atteinte disproportionnée à son droit au respect de la vie privée ou à la protection de ses données personnelles, d'une part, et, que les officiers de police judiciaire avaient agi sur l'autorisation et sous le contrôle du procureur de la République dans le cadre de l'enquête initiale (autorisation recueillie expressément le 30 septembre 2019), c'est-à-dire sur l'autorisation préalable et sous le contrôle permanent de l'autorité judiciaire « qui comprend à la fois les magistrats du siège et du parquet », d'autre part, sans rechercher si M. [K] était en mesure de commenter efficacement les informations et les éléments de preuve recueillis à son encontre, provenant d'un domaine échappant à la connaissance des juges et qui étaient susceptibles d'influencer de manière prépondérante l'appréciation des faits, la cour d'appel a privé sa décision de base légale au regard de l'article 15, § 1er, de la directive 2002/58/CE du Parlement européen et du Conseil, du 12 juillet 2002, concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, telle que modifiée par la directive 2009/136/CE du Parlement européen et du Conseil, du 25 novembre 2009, ensemble l'article 23, § 1er , du règlement 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, lu à la lumière des articles 7, 8 et 11 ainsi que de l'article 52, § 1er, de la Charte des droits fondamentaux de l'Union européenne. »

Réponse de la Cour

13Par arrêt de ce jour, la Cour de cassation a énoncé les principes suivants (Crim., 12 juillet 2022, pourvoi n° 21-83.710, publié au Bulletin).

14L'article L. 34-1, III, du code des postes et des communications électroniques, dans sa version issue de la loi n° 2013-1168 du 18 décembre 2013, mis en oeuvre par l'article R. 10-13 dudit code, tel qu'il résultait du décret n° 2012-436 du 30 mars 2012, est contraire au droit de l'Union européenne en ce qu'il imposait aux opérateurs de services de télécommunications électroniques, aux fins de lutte contre la criminalité, la conservation généralisée et indifférenciée des données de connexion, à l'exception des données relatives à l'identité civile, aux informations relatives aux comptes et aux paiements, ainsi qu'en matière de criminalité grave, de celles relatives aux adresses IP attribuées à la source d'une connexion.

15En revanche, la France se trouvant exposée, depuis décembre 1994, à une menace grave et réelle, actuelle ou prévisible à la sécurité nationale, les textes précités de droit interne étaient conformes au droit de l'Union en ce qu'ils imposaient aux opérateurs de services de télécommunications électroniques de conserver de façon généralisée et indifférenciée les données de trafic et de localisation, aux fins de la recherche, de la constatation et de la poursuite des infractions portant atteinte aux intérêts fondamentaux de la Nation et des actes de terrorisme, incriminés aux articles 410-1 à 422-7 du code pénal.

16Les articles 60-1 et 60-2, 77-1-1 et 77-1-2, 99-3 et 99-4 du code de procédure pénale, dans leur version antérieure à la loi n° 2022-299 du 2 mars 2022, lus en combinaison avec le sixième alinéa du paragraphe III de l'article préliminaire du code de procédure pénale, permettaient aux autorités compétentes, de façon conforme au droit de l'Union, pour la lutte contre la criminalité grave, en vue de l'élucidation d'une infraction déterminée, d'ordonner la conservation rapide, au sens de l'article 16 de la Convention du Conseil de l'Europe sur la cybercriminalité du 23 novembre 2001, des données de connexion, même conservées aux fins de sauvegarde de la sécurité nationale.

17Il appartient à la juridiction, lorsqu'elle est saisie d'un moyen en ce sens, de vérifier, d'une part, que les éléments de fait justifiant la nécessité d'une telle mesure d'investigation répondent à un critère de criminalité grave, dont l'appréciation relève du droit national, d'autre part, que la conservation rapide des données de trafic et de localisation et l'accès à celles-ci respectent les limites du strict nécessaire.

18S'agissant de la gravité des faits, il appartient au juge de motiver sa décision au regard de la nature des agissements de la personne poursuivie, de l'importance du dommage qui en résulte, des circonstances de la commission des faits et de la durée de la peine encourue.

19Les articles 60-1 et 60-2, 77-1-1 et 77-1-2 du code de procédure pénale sont contraires au droit de l'Union uniquement en ce qu'ils ne prévoient pas préalablement à l'accès aux données un contrôle par une juridiction ou une entité administrative indépendante. En revanche, le juge d'instruction est habilité à contrôler l'accès aux données de connexion.

20Une personne mise en examen n'est recevable à invoquer la violation de l'exigence précitée que si elle prétend être titulaire ou utilisatrice de l'une des lignes identifiées ou si elle établit qu'il aurait été porté atteinte à sa vie privée, à l'occasion des investigations litigieuses.

21L'existence d'un grief pris de l'absence d'un tel contrôle est établie si l'accès aux données de trafic et de localisation a méconnu les conditions matérielles posées par le droit de l'Union. Tel est le cas si l'accès a porté sur des données irrégulièrement conservées, s'il a eu lieu, hors hypothèse de la conservation rapide, pour une finalité moins grave que celle ayant justifié la conservation, n'a pas été circonscrit à une procédure visant à lutter contre la criminalité grave et a excédé les limites du strict nécessaire.

22En l'espèce, M. [K] ne justifie ni même n'allègue qu'il aurait été porté atteinte à sa vie privée par les réquisitions délivrées aux opérateurs téléphoniques tendant à obtenir les facturations détaillées et les géolocalisations de lignes téléphoniques dont il n'était ni le titulaire ni l'utilisateur. Il n'a dès lors pas qualité pour en solliciter la nullité.

23En revanche, il est recevable à solliciter la nullité des investigations relatives aux données de connexion de la ligne dont il était l'utilisateur et auxquelles ont accédé les enquêteurs sur commission rogatoire du juge d'instruction.

24C'est à tort, pour la raison exposée au paragraphe 14, que, pour ne pas faire droit à la nullité prise de la conservation irrégulière de ces données, l'arrêt énonce en substance que la lutte contre la criminalité grave justifie l'ingérence dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel, sous réserve de proportionnalité au but poursuivi et que cette ingérence soit encadrée par la loi.

25L'arrêt n'encourt néanmoins pas la censure pour les raisons suivantes.

26En premier lieu, la chambre de l'instruction a énoncé que les faits, passibles d'une peine de dix ans d'emprisonnement, relevaient, par leur ampleur et leur structure, de la criminalité organisée.

27Dès lors, ils relevaient de la criminalité grave.

28En second lieu, la chambre de l'instruction a constaté que c'est exclusivement dans le cadre de l'enquête, dont l'objet était délimité précisément, que les enquêteurs ont sollicité, pour une période limitée, des informations alors détenues par les opérateurs de téléphonie concernant des lignes en lien direct avec les infractions motivant les investigations.

29Il s'ensuit qu'agissant sur commission rogatoire du juge d'instruction, les enquêteurs pouvaient, sans méconnaître les dispositions conventionnelles invoquées au moyen, accéder aux données de trafic et de localisation régulièrement conservées pour la finalité de la sauvegarde de la sécurité nationale.

30Le moyen ne peut dès lors être accueilli.

31Par ailleurs l'arrêt est régulier en la forme.

La décision

REJETTE les pourvois ;

Suivre la jurisprudence sur ces articles

Un e-mail dès qu'une nouvelle décision de la Cour de cassation vise un article choisi. Gratuit, sans compte.

Votre adresse ne sert qu'à cette alerte. Arrêt en un clic dans chaque e-mail. Voir notre politique de confidentialité.

Lire l'arrêt sur courdecassation.fr Explorer le code de procédure pénale

Et pour votre situation ?

Une décision de justice ne dit jamais tout d'un cas particulier. Voici par où commencer.

Interrogez toute la jurisprudence et tous les codes depuis ClaudeDécisions de la Cour de cassation, articles du Code du travail, du Code civil et des autres codes, citations vérifiées. Gratuit : 20 requêtes par jour avec un compte Legitym.

Créer un compte gratuit pour garder vos documents, suivre vos échéances et retrouver vos analyses.