Un rapport d'Europol confirme le fait que les policiers sont plutôt très satisfaits de sa plateforme SIRIUS d'accès aux preuves électroniques pour les enquêtes sur Internet. La France et l'Allemagne en sont (et de loin) les principaux utilisateurs, Facebook et Google les principaux fournisseurs (et, là aussi, de loin).

65,9 % des policiers européens interrogés se disent satisfaits (49 %), très satisfaits (14,9 %) voire extrêmement satisfaits (1,9 %) de leur coopération avec les plateformes en ligne situées à l'étranger. Cela représente une baisse de 2,3 % par rapport à l'an passé, mais au vu du contexte et des problèmes causés par la pandémie, le taux reste « remarquablement élevé ».

• 68 % des policiers européens satisfaits de la coopération des plateformes

Les chiffres ont été rendus publics dans la troisième édition annuelle du rapport SIRIUS sur la situation des preuves numériques de l'Union européenne, publié fin novembre par Europol, Eurojust et le Réseau judiciaire européen.

Le projet SIRIUS a été créé par Europol en octobre 2017 en réponse au besoin croissant des services répressifs de l'UE d'accéder à des preuves électroniques pour les enquêtes sur Internet, « car plus de la moitié de toutes les enquêtes pénales incluent aujourd'hui une demande d'accès transfrontalière des preuves électroniques (telles que des SMS, des e-mails ou des applications de messagerie) ».

Il propose une variété de services, tels que des directives, des formations et des outils, pour faciliter l'accès aux données détenues par les fournisseurs de services en ligne, et est utilisé par les autorités compétentes de 44 pays, représentant les 28 États membres de l'UE et un nombre croissant de pays tiers ayant des accords avec Europol.

Le rapport repose sur les informations détaillées recueillies auprès de plus de 250 fonctionnaires interrogés des autorités répressives et judiciaires des États membres de l'UE, ainsi que des contributions pertinentes provenant d'une douzaine de grands fournisseurs de services en ligne.

Alors que la pandémie a contribué à augmenter les activités de cybercriminalité comme les campagnes de phishing, les ransomwares ou les ventes de produits contrefaits, « près de la moitié des policiers interrogés ont déclaré que leur besoin de preuves électroniques avait augmenté » :

« Pour la première fois, la plate-forme SIRIUS, hébergée sur la plate-forme d'experts d'Europol, est la principale source d'informations pour les praticiens de l'application des lois à la recherche d'une assistance concernant les demandes de données dans le cadre de la coopération volontaire. Il a été sélectionné avant les guichets uniques et les unités nationales, et cimente le projet SIRIUS en tant que centre de référence dans le domaine de la preuve électronique. »

25 % ont cela dit déclaré que leur capacité à demander des preuves électroniques avait diminué, probablement en raison de la transition vers le travail à distance. De même, les mesures de distanciation sociale et les confinements ont eu un impact sur le travail quotidien des autorités judiciaires : 35 % des personnes interrogées ont signalé des retards dans les procédures.

Le volume de demandes transfrontalières soumises par les autorités de l'UE aux huit principaux fournisseurs de services en ligne a augmenté de 27 % en 2020 par rapport à l'année précédente, avec une grande majorité d'entre elles émises par l'Allemagne et la France, et principalement vers Facebook et Google. Il y a eu une augmentation très significative de 112 % des demandes de divulgation d'urgence en 2020 par rapport à 2019, Facebook en recevant la plupart.

L’épine de la conservation des données de connexion

Près de la moitié des officiers notent que leur besoin de preuves électroniques s'est accru en 2020, mais également avoir subi des délais rallongés avant d'obtenir des réponses à leurs requêtes. 25 % reconnaissent avoir eux-mêmes été entravés du fait des mesures de distanciation sociale, et du fait d'avoir dû travailler en distanciel, les empêchant de pouvoir accéder à leurs outils de travail habituels.

Les données de connexion représentent la majorité (53,4 %) des données réclamées. Les policiers interrogés pouvant cumuler jusqu'à 3 réponses, y figurent ensuite les adresses IP utilisées pour s'enregistrer (35,1 %), les noms (33,7 %), numéros de téléphone (31,3 %), adresse email (30,3 %), moyens de paiement (27,4 %), les contenus ne représentant que 20,2 % des demandes, la géolocalisation des terminaux 17,3 %, les coordonnées postales ou géographiques 14,4 %, années de naissance 13,9 % et ports sources 8,2 %.

La majorité des agents indiquent par ailleurs qu'il ne leur a jamais été demandé de fournir des informations supplémentaires ou que cela n'est arrivé que dans moins d'un quart de leurs demandes. 2020 a aussi enregistré « une légère diminution » du nombre d'agents indiquant que nombre de leurs demandes ont été rejetées : 11,5 % répondent « jamais », 45,7 % « jusqu'à 25 % » du nombre de requêtes (contre 41,4 % en 2019), 13,5 « de 25 à 50 % » (contre 16,4 % en 2019) et 6,7 % « plus de 50 % » (contre 7,7 % en 2019).

Les principaux obstacles en matière de recueil de preuves électroniques restent la durée de la procédure en matière d'assistance légale (48,6 %), l'absence de standardisation des process en fonction des opérateurs de télécommunications (43,8 %, les policiers pouvant là aussi indiquer jusqu'à 3 réponses différentes), les délais de réponses des compagnies privées (33,7 %), les réponses partielles (33,2 %), et la difficulté à identifier le bon correspondant (22,6 %).

Le fait que les données de connexion ne seraient pas conservées suffisamment longtemps ne représente que 17,3 % des réponses recensées, 7,2 % déplorant que les requêtes ne seraient acceptées qu'en anglais, et seulement 5,8 % les changements de process ou de formats des réponses du côté des opérateurs.

À ce titre, l'absence de régime unifié de conservation des données de communication électronique, résultant de l'annulation de la directive sur la conservation des données par la CJUE, « pose des problèmes aux enquêtes transfrontalières impliquant des preuves électroniques ».

Et ce, alors que la croissance du volume des données personnelles disponibles « a été accélérée par l'utilisation intensive des médias sociaux et la prolifération des appareils connectés, ce qui entraîne des préoccupations accrues en matière de protection de la vie privée et des données ».

25 % des pays européens n'auraient ainsi pas mis en place de régulation spécifique à la rétention des données de connexion, ou l'auraient annulée du fait des arrêts de la CJUE, tels la Belgique et l'Allemagne. D'autres, tels que l'Estonie, la France ou le Luxembourg, doivent encore l'amender.

Google et Microsoft offrent la meilleure interaction

Si le recours à des plateformes de jeux à l'occasion d'enquêtes criminelles a été qualifié de « très important » par 16,3 % des répondants (contre 7 % seulement en 2019), ils ne sont que 23,6 % à en avoir eu besoin en 2020 (contre 29,6 % en 2019).

Le rapport relève cela dit que certaines grandes entreprises de jeux vidéo, telles que Sony, Roblox et Ubisoft, ne disposent pas de lignes directrices accessibles au public consacrées aux demandes de preuves électroniques émanant des services répressifs, à l'instar des plateformes d'autres secteurs.

Un nombre croissant d'enquêtes et de poursuites pénales dépendent de l'efficacité de la collecte d'informations électroniques, qui représentent, dans certains cas, les meilleures voir les seules preuves disponibles, relève le rapport.

Dès lors, « la coopération avec le secteur privé est vitale, tant au niveau national qu'international ». De fait, « la majorité des cas de réussite décrivent la coopération et la contribution du secteur privé comme la seule solution, vitale, excellente, rapide, utile, complète et très bonne », comme le soulignent plusieurs témoignages recueillis par Europol :

« En général, toute demande d'information faite à Facebook ou Instagram reçoit une réponse rapide, avec toutes les données supplémentaires demandées également.

Je pense vraiment que Google et Microsoft offrent la meilleure interaction avec les forces de l'ordre. »

Interrogés au sujet des trois principaux prestataires contactés en 2020, les policiers répondent, sans surprise, Facebook à 65 %, Google (53 %), Microsoft (24 %), Twitter (6 %), Verizon (4 %), les autres (Paypal, Apple, Rakuten, etc.) ne représentant que 24 %.

Les effets positifs du Covid-19

Le recours croissant aux outils numériques et aux procédures dématérialisées, du fait de la pandémie de Covid-19, aurait même eu des effets bénéfiques en la matière, dans plusieurs pays.

Certains n'acceptaient en effet jusqu'alors que des demandes au format papier, d'autres ont accéléré les procédures grâce au mail, ainsi qu'aux échanges via Zoom ou Teams.

A contrario, 34,7 % se plaignent du fait que les procédures ont pris plus de temps, du fait du télétravail ou des confinements, et des problèmes que cela pouvait poser, tant du côté des policiers que des salariés des entreprises privées.

Les rapports de transparence d'Airbnb, Facebook, Google, Microsoft, Snap, TikTok, Twitter et Verizon Media révèlent que, de 2019 à 2020, le volume des demandes de données d'utilisateurs soumises par les autorités a augmenté de 27,1 % dans l'UE, pour atteindre prés de 163 000 demandes en 2020, contre 128 000 en 2019 (+ 27 %), et 105 000 en 2018 (+ 22 %).

65,5 % du total émanent de deux pays : l'Allemagne et la France. Certains États membres ont cela dit observé une forte augmentation de leur volume par rapport à l'année précédente. L'Irlande, où sont basées dans l'UE sept des huit entreprises analysées, a ainsi connu une augmentation de 157 % du volume de demandes soumises, tandis que Malte a enregistré une progression de 99,4 % et le Danemark 73,8 %.

À eux seuls, Facebook et Google ont reçu 79 % du total de ces requêtes, Snapchat et TikTok étant ceux ayant enregistré la plus forte progression entre 2019 et 2020, Airbnb étant, a contrario, celui ayant connu la plus forte baisse, probablement du fait de la pandémie.

Le taux de réponses positives, passé de 57,7 % en 2018 à 62,6 % en 2019, puis 66 % en 2020 en moyenne, montre que les opérateurs refusent de moins en moins de répondre. Seule la Hongrie (46 %) enregistre un nombre de refus supérieur à 50 %, 10 pays enregistrant un taux supérieur à cette moyenne de 66 %, dont la France (75 %), les Pays-Bas (76%), la Belgique (79 %) et la Finlande (82 %).

76 % des demandes soumises par les autorités de l'UE à Google ont abouti en 2020, contre 66 % pour Facebook, 55 % du côté de Microsoft et 54 % chez Twitter. Les taux de réussite les plus faibles sont signalés par Airbnb (37 %), Verizon Media (34 %) et Snapchat (29 %), ces deux derniers n'acceptant pas « les demandes au titre de la coopération volontaire dans des circonstances non urgentes » émises par la plupart des États membres.

Les principales raisons justifiant des refus, ou des demandes d'informations ou de délais supplémentaires, relèvent de l'absence de base légale (et/ou « incorrecte »), le fait de ne pas les avoir adressées à la bonne entité légale (tel qu'à une filiale plutôt qu'à la maison mère), de ne pas respecter scrupuleusement la procédure formelle, d'être « trop large », ou de porter sur des données inexistantes, ou insuffisantes :

« 30 % des plateformes indiquent en 2021 que le manque d'informations sur la nature de l'affaire est l'un des principaux problèmes qui entraînent des retards et des rejets dans le traitement des demandes [et] qu'il est fréquent qu'ils doivent réclamer des informations supplémentaires, ce qui entraîne souvent des retards dans le traitement des demandes et peut même entraîner le rejet de la demande lorsque ces informations ne sont pas fournies en temps voulu. »

Divulgations d'urgence :+ 112 %, dont 58 % par la France

Le volume des demandes de divulgation d'urgence soumises par les autorités de l'UE a de son côté connu une augmentation de 112,1 % : 13 416 en 2020, contre 6 325 en 2019, et 2 931 en 2018.

Elle serait « spécifiquement portée » par celles soumises par la France à Facebook, qui ont représenté 58,1 % du total des huit opérateurs analysés, avec 8 393 requêtes, contre 2 310 pour l'Allemagne, 1 124 pour la Pologne, 290 pour les Pays-Bas et 246 pour l'Italie.

Le rapport précise qu'il convient de noter que Facebook a une définition très restrictive de la notion d'« urgence », qui se limite à une « question impliquant un préjudice imminent pour un enfant ou un risque de mort ou de blessure physique grave pour toute personne et nécessitant la divulgation d'informations sans délai ». Dans l'ensemble, la France a soumis 62,6 % de tous les CED et l'Allemagne 17,2 %.

Seuls 2 % des répondants ont indiqué que, dans le cadre de leurs enquêtes en 2020, des prestataires privés ou autorités étrangères leur avaient adressé une demande de remboursement des coûts :

« L'analyse comparative des réactions reçues à ce sujet montre que la majorité des États membres de l'UE interrogés n'ont pas mis en place de système de remboursement des coûts (68,2 %) et que la grande majorité (98 %) des répondants ont déclaré n'avoir jamais reçu de demande de compensation des coûts associés à la réponse à une injonction de produire dans le cadre de leurs enquêtes en 2020. »

Le rapport ne s'épanche pas à ce sujet, mais reconnaît cela dit que « bien que le système de remboursement des coûts ne soit pas encore apparu comme ayant un impact significatif sur l'accès aux données numériques, il a un énorme potentiel pour se transformer en une tendance future croissante ayant un impact plus important sur le processus d'acquisition des données ».