Dans un arrêt, la Cour de justice de l'Union européenne (CJUE) s'est prononcée sur la possibilité, dans l'UE, pour les juridictions étatiques, de permettre à la police d'accéder aux données contenues dans un téléphone portable en essayant de le déverrouiller. Elle considère que le droit européen ne les limite pas « nécessairement » à la lutte contre la criminalité grave, mais rappelle l'obligation d'une proportionnalité et l'autorisation préalable par une juridiction ou une autorité indépendante.

Saisie par le tribunal administratif régional du Tyrol en Autriche, la CJUE s'est prononcée à propos d'un cas opposant la police autrichienne et le destinataire d'un colis contenant 85 grammes de cannabis qui avait été saisi par les douaniers autrichiens lors d'un contrôle en février 2021.

La Cour explique, dans le résumé de sa décision, que suite à cette saisie, la police autrichienne a perquisitionné le domicile du destinataire. Celui-ci a refusé de « donner aux agents de police accès aux données de connexion de son téléphone portable », précise la CJUE. Ils l'ont donc saisi et différents agents ont ensuite tenté vainement de le déverrouiller.

C'est seulement après la restitution du téléphone, suite à l'introduction d'un recours devant la justice, que la personne a été informée des « tentatives d'exploitation de son téléphone ».

Tension entre droits fondamentaux et intérêt général

La juridiction de renvoi autrichienne, en saisissant la CJUE, cherche à savoir si au regard de la directive « vie privée et communications électroniques », « un accès complet et non contrôlé à l’ensemble des données contenues dans un téléphone portable constitue une ingérence tellement grave dans les droits fondamentaux que cet accès doit être limité à la lutte contre les infractions graves ».

Lui répondant, la Cour rappelle d'abord qu' « une tentative d’accès aux données à caractère personnel contenues dans un téléphone portable directement par les autorités de police sans aucune intervention d’un fournisseur de services de communications électroniques » comme celle-ci ne relève pas de la directive visée par la juridiction. La CJUE pointe que la question relève de la directive de 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes.

Ensuite, elle souligne l'obligation de ces autorités de respecter le principe de proportionnalité, lors de ce genre d'accès. Les policiers ne doivent tenter d'accéder à ces données que si c'est nécessaire et que ça répond « effectivement à des objectifs d’intérêt général reconnus par l’Union ». En l'occurrence, la Cour constate que le cas instruit « doit être considéré, en principe, comme répondant effectivement à un objectif d’intérêt général reconnu par l’Union ».

Une proportionnalité décidée par le législateur national

Mais elle juge qu'elle ne peut « considérer que seule la lutte contre la criminalité grave est susceptible de justifier l’accès à de telles données ». Elle reporte, par contre, sur le législateur national la définition de la gravité de l’infraction pour répondre au principe de proportionnalité. Il doit « définir de manière suffisamment précise les éléments, notamment la nature ou les catégories des infractions concernées ».

Un contrôle par une juridiction ou une entité administrative indépendante

Enfin, pour s'assurer du respect de ce principe de proportionnalité, « cet accès doit être subordonné à un contrôle préalable effectué par une juridiction ou par une entité administrative indépendante », explique la CJUE.

Enfin, concernant l'information du fameux destinataire du colis contenant 85 grammes de cannabis, la CJUE a d'abord constaté que l'accès aux données de son téléphone par police autrichienne a été autorisé par un juge ou une entité administrative indépendante. Mais la directive de 2015 prévoit que cette autorité doit informer les personnes concernées des motifs sur lesquels cette autorisation repose.

En l’occurrence, la Cour constate que cette personne aurait dû être informée au préalable des tentatives d’accès aux données contenues dans son téléphone portable. « En effet, le téléphone portable [du destinataire du colis] ayant déjà été saisi au moment des tentatives de déverrouillage des autorités de police, il n’apparaît pas que l’informer de ces tentatives d’accès était susceptible de nuire à l’enquête », affirme la CJUE.

« Dans la continuité de la jurisprudence de la Cour sur l'accès aux données de connexion, c'est à nouveau une évolution majeure de la procédure pénale française qui doit être envisagée pour les enquêtes », souligne Matthieu Audibert, officier de gendarmerie et doctorant en droit privé et sciences criminelles.

ON NE DONNE PLUS SON CODE DE DÉVERROUILLAGE EN GARDE À VUE SANS EN AVOIR ÉTÉ REQUIS PAR UNE JURIDICTION
(Le procureur n’est PAS une juridiction. L’OPJ n’est PAS une juridiction. Le juge d’instruction EST une juridiction — mais il y a d’autres arguments à faire valoir). https://t.co/Bng9Z2rNDJ

— Maitre Eolas (@Maitre_Eolas) October 4, 2024