Coup de tonnerre, rue de Montpensier. Les Neuf Sages jugent inconstitutionnelle la réquisition des données de connexion par le Procureur de la République dans le cadre d’une enquête préliminaire. La décision reporte néanmoins l’abrogation au 31 décembre 2022. Ce qui ne désarme pas pour autant les avocats.

Le 21 septembre dernier, la chambre criminelle de la Cour de cassation transmettait au Conseil constitutionnel une question prioritaire de constitutionnalité. L’affaire concernait une procédure visant une personne depuis condamnée pour plusieurs infractions à la législation sur les stupéfiants (voir cet article de la Voix du Nord).

En amont, avaient été mis en œuvre les moyens prévus par les articles 77-1-1 et 77-1-2 du Code de procédure pénale, que cette personne avait contesté dans le cadre d'une question prioritaire de constitutionnalité (QPC).

Ces articles autorisent la réquisition des données informatiques par le procureur de la République dans le cadre d’une enquête préliminaire. Une telle réquisition permet de glaner les données de trafic ou FADET (FActures DEtaillées des dates, heures et destinations des appels) et les données d’identité (nom, numéro de téléphone, adresses IP, etc. des utilisateurs de communications électroniques) dans un grand nombre de cas.

Les données de connexion et le Code de procédure pénale

Ainsi, en vertu de l'article 77-1-1 du Code de procédure pénale, « le procureur de la République ou, sur autorisation de celui-ci, l'officier ou l'agent de police judiciaire, peut, par tout moyen, requérir de toute personne, de tout établissement ou organisme privé ou public ou de toute administration publique », les informations intéressant l'enquête, y compris celles issues d'un système informatique ou d'un traitement de données nominatives.

L'obligation de secret professionnel ne peut être opposée, sauf motif légitime. Quand la procédure vise un avocat, un médecin, un notaire, un journaliste ou encore un magistrat, l’accord de l’intéressé est nécessaire.

Selon l'article 77-1-2, l'officier ou l'agent de police judiciaire peut requérir par « voie télématique ou informatique », sur autorisation du procureur de la République, « la mise à disposition d'informations non protégées par un secret prévu par la loi, contenues dans un système informatique ou un traitement de données nominatives ».

En somme, la première disposition permet au procureur de se faire communiquer des données de connexion, quand la seconde lui permet d’y avoir accès.

Droit à l’intimité de la vie privée et jurisprudence européenne

Lors de l’audience QPC au Conseil constitutionnel le 23 novembre dernier, Me Patrice Spinosi avait dénoncé « une mesure intrusive qui porte atteinte aux métadonnées qui sont protégées par le droit à l’intimité de la vie privée » et fustigé l’insuffisance du contrôle puisque le procureur de la République n’a pas « un statut suffisant pour pouvoir le faire ».

Et pour cause, ces dispositions permettent finalement au seul procureur d'autoriser ces atteintes à la vie privée, sans le contrôle préalable d'une juridiction indépendante.

Ses arguments s’inspirent de la jurisprudence européenne et en dernier lieu d’un arrêt de grande chambre rendu par la Cour de justice de l’UE le 2 mars 2021. C’est l’arrêt Prokuratuur.

La Cour de Luxembourg avait jugé contraire au droit européen une législation nationale « donnant compétence au ministère public, dont la mission est de diriger la procédure d’instruction pénale et d’exercer (…) l’action publique lors d’une procédure ultérieure, pour autoriser l’accès d’une autorité publique aux données relatives au trafic et aux données de localisation aux fins d’une instruction pénale ».

Des enjeux « similaires » à l’affaire en cours, pour Me Spinosi. Devant les neuf Sages, l’avocat craignait toutefois une réplique de leur décision portant sur la géolocalisation. 

La crainte d'une réplique de la décision Géolocalisation

Le 23 septembre 2021, le Conseil constitutionnel avait cette fois validé le recours à la géolocalisation sur autorisation du procureur de la République, sans visiblement faire grand cas de cette jurisprudence européenne.

Plus exactement, pour accorder son feu vert, il avait pris soin de noter que le suivi par géolocalisation était limité : 15 jours dans le cadre d'une procédure de recherche ou d'une enquête pour une infraction relevant de la criminalité organisée, huit jours dans les autres cas.

« Vous êtes entrés dans le couloir du contrôle du droit constitutionnel en laissant totalement et entièrement à l’écart le droit de l’Union » a regretté l’avocat, dénonçant « un danger considérable à creuser le sillon que vous avez initié ».

À ses yeux, cette mise à l’écart du droit européen n’est désormais plus supportable d’autant que l’article 88 - 1 de la Constitution (« la République participe à l'Union européenne ») impose au législateur français le respect du droit de l’Union. « Et il vous appartient donc d’assurer la cohérence entre votre jurisprudence et celle de la Cour de justice de l’Union ».

Anticipant cette possible réplique, il devinait « un choix schizophrénique » pour les juridictions de fond, prises dans un étau, entre la décision du Conseil et la jurisprudence de la CJUE. « Au final, c’est évidemment le justiciable lui-même qui fera lui-même les frais de ces incertitudes en ne sachant plus à quel juge il est susceptible de se vouer ».

Plutôt qu’une nouvelle confrontation, il a plaidé pour « une harmonie » entre les deux cours. Un dialogue « qui doit vous emmener à abroger les dispositions aujourd’hui contestées devant vous ».

Une légère atteinte à la vie privée, pour le gouvernement

Devant les mêmes Sages, le 23 novembre, le représentant du Premier ministre avait au contraire souligné que le contrôle du Conseil constitutionnel ne s’étend pas à la compatibilité des engagements internationaux de la France. « Dans ces conditions, l’invocation d’une directive telle qu’interprétée par la Cour de justice de l’Union européenne est par nature inopérante dans le cadre d’une question prioritaire de constitutionnalité ».

Sur le fond, la thèse du gouvernement fut de défendre la parfaite compatibilité des articles en cause avec les normes de référence. « L’atteinte à la vie privée est moindre que celle résultante d’autres dispositifs d’investigation » comme le recueil des données de connexion en temps réel ou la captation des données informatiques.

En outre, il n’y a pas d’interception de correspondance ou de saisies… Les données ne concernent que les métadonnées. Et, ajoute le représentant du gouvernement, elles ne permettent ni de géolocaliser ni de connaitre le contenu des échanges. L’atteinte à la vie privée serait proportionnée et elle ne porte pas atteinte au droit à un recours effectif.

Des données de connexion particulièrement attentatoires

Ce 3 décembre, le Conseil constitutionnel va au contraire considérer que les données de connexion « fournissent sur les personnes en cause ainsi que, le cas échéant, sur des tiers, des informations nombreuses et précises, particulièrement attentatoires à leur vie privée ».

Et celui-ci de détailler : identification des personnes, localisation et contacts téléphoniques et numériques, mais aussi les « services de communication au public en ligne qu'elles consultent ».

De plus, la réquisition de ces données est autorisée dans le cadre d'une enquête préliminaire « qui peut porter sur tout type d'infraction et qui n'est pas justifiée par l'urgence ni limitée dans le temps », contrairement en particulier à la géolocalisation.

Censure pour défaut de garanties, une abrogation reportée fin 2022

« Si ces réquisitions sont soumises à l'autorisation du procureur de la République, magistrat de l'ordre judiciaire auquel il revient (…) de contrôler la légalité des moyens mis en œuvre par les enquêteurs et la proportionnalité des actes d'investigation au regard de la nature et de la gravité des faits, le législateur n'a assorti le recours aux réquisitions de données de connexion d'aucune autre garantie ».

En conséquence, le Conseil constitutionnel a déclaré contraire à la constitution plusieurs bouts des deux dispositions contestées. Non sans préciser qu’il ne lui appartient pas d’examiner la méconnaissance du droit de l'Union européenne.

En principe une abrogation est immédiate, cependant, au regard des conséquences manifestement excessives qu’entraînerait un tel effet, le juge a préféré reporter la date d’abrogation au 31 décembre 2022. D’ici là, le législateur pourra patcher les textes sans faire tomber l’ensemble des procédures actuelles.

Nécessité de budgéter rapidement des postes de magistrats

Le député Philippe Latombe rappelle que « depuis les arrêts Télé 2 puis Quadrature du Net et enfin Prokuratuur de la CJUE, j'alertais régulièrement le gouvernement et singulièrement la Chancellerie sur les conséquences en droit français, notamment constitutionnel, de ces décisions. Pas vraiment écouté... dommage. »

Avec une telle décision, « il va nous falloir légiférer rapidement, mais certainement pas dans l'urgence du début de la prochaine mandature ! Légiférer sur ce sujet nécessite de se poser, comparer les solutions, budgéter des postes de magistrats des libertés et de la détention pour 2023 sans doute, et faire un processus législatif ouvert, écoutant les professionnels du droit et les oppositions notamment sénatoriales, car c’est un pan essentiel des procédures à venir qui est à écrire ! »

Ce déport dans le temps sera « une belle occasion de mieux respecter le droit européen... » commente le juriste Nicolas Hervieu, enseignant à Sciences Politique et à l'UNiversité d'Evry.

Pour Matthieu Audibert, officier de gendarmerie et doctorant en droit privé et sciences criminelles , « d'ici un an maximum, nous ne pourrons plus requérir, en enquête préliminaire, les opérateurs pour obtenir des fadettes (données de connexion) sans l'autorisation préalable d'un magistrat indépendant. Du fait de la durée de l'enquête préliminaire, il faut renforcer le contrôle de proportionnalité dans l'atteinte au droit à la vie privée, renforcement qui ne peut être envisagé que par le recours à un juge des libertés et de la détention » (JLD).

Soit, « un beau bouleversement de la procédure pénale à venir et il va falloir beaucoup, beaucoup de JLD » et ce, d'autant que l’article 77-1-1 parle d’informations issues d'un système informatique ou d'un traitement de données nominatives, et donc aussi des réquisitions aux impôts, à la Caf, la sécu, la Sncf, la Ratp, les banques, etc.

Une bombe à fragmentation, pour Me Spinosi

Comme la décision repousse les effets de la censure à la fin de l’année prochaine, elle n’aura pas de conséquence directe sur les affaires en cours, dont celles visant l’ancien président de la République. En ce sens, le Conseil constitutionnel a tenté de trouver un arbitrage entre respect et sauvegarde de la vie privée.

Une décision immédiate aurait eu un effet domino, puisqu’elle aurait été générale et abstraite. D’ici le 31 décembre 2022, toutefois, les avocats pourront toujours invoquer l’arrêt Prokuratuur pour faire juger que la réquisition de fadettes est inconventionnelle, dans le cas d’un dossier concret et particulier.

« Cette décision est la reconnaissance par le Conseil constitutionnel que la loi telle qu’elle existe actuellement n’est pas conforme aux libertés fondamentales. Le Conseil constitutionnel a la possibilité de moduler dans le temps l’effet de ses décisions, mais un juge qui aura à connaître et le droit de l’UE et la CEDH, ne le peut pas », nous commente Me Spinosi.

Pour les prochaines étapes, l’avocat au Conseil imagine le même scénario s’agissant des règles relatives à la présence ou non d’un avocat lors d’une garde à vue. Si le Conseil constitutionnel avait à l'époque reporté la déclaration d’inconstitutionnalité, la Cour de cassation a bien été obligée de faire une application immédiate des garanties issues de la Convention européenne des droits de l’Homme. Et ce qui vaut pour la CEDH, vaut a fortiori pour l’arrêt de la CJUE.

« Cette décision est une bombe à fragmentation » estime Me Spinosi, joint par Next Inpact. « Pour le moment, elle aboutit à une réforme nécessaire, mais au-delà, la question est de voir maintenant comment les juridictions vont la décliner sur ses aspects relatif au droit européen et à la CEDH. C’est donc loin d’être fini. Nous sommes dans l’impact de l’arrêt de la jurisprudence Prokuratuur qui est en train de se diffuser dans l’ensemble des juridictions ».

« C’est la logique constante du Conseil constitutionnel, la volonté de ne pas se mettre en opposition frontale avec d’autres jurisprudences tout en restant dans son domaine de compétence. Mais il ne faut pas se tromper, la cause réelle, c’est bien la pression intervenue du fait de l’arrêt de la Cour de justice de l’UE » ajoute l’avocat. « Que les motifs soient constitutionnels et qu’il n’y ait pas de référence explicite, c’est de bonne guerre, mais la décision a l’immense mérite de ne pas remettre en cause l’arrêt Prokuratuur ».