[Brèves] Données de connexion : la Chambre criminelle applique son mode d’emploi

► La personne mise en examen n’est recevable à invoquer la violation des exigences en matière de conservation des données de connexion que si elle est titulaire ou utilisatrice de l’une des lignes ou si elle établit que les investigations en cause auraient porté atteinte à sa vie privée ;

Lorsqu’il est saisi d’une contestation sur le recueil des données de connexion, le juge du fond doit vérifier que la conservation rapide respecte les limites du strict nécessaire et que les faits relèvent de la criminalité grave, au regard de la nature des agissements, de l’importance du dommage qui en résulte, des circonstances de la commission des faits et de la durée de la peine encourue ;

Les procès-verbaux dressés dans le cadre de l’enquête préliminaire à l’occasion de l’accès au fichier LAPI doivent permettre de s’assurer que cet accès a été réalisé par un agent habilité par le Code de la sécurité intérieure, soit par un enquêteur autorisé par le procureur de la République, pour les besoins d’une procédure pénale, en vertu d’une réquisition prise à cette fin.

Rappel des faits. Le 30 août 2019, les services de police ont appris de source confidentielle que plusieurs personnes se rendaient très régulièrement en Espagne, au Maroc et aux Pays-Bas afin de s’approvisionner en résine de cannabis et en héroïne.

L’enquête préliminaire a abouti à la mise en cause d’un individu intervenu en amont et en aval dans un rôle vraisemblable de superviseur. Dans le cadre de l’information ouverte contre personne non dénommée, le superviseur présumé a été interpellé puis mis en examen des chefs d’importation de stupéfiants, infractions à la législation sur les stupéfiants et sur les armes et association de malfaiteurs.

Les avocats de l’intéressé ont déposé deux requêtes en nullité lesquelles ont été jointes.

En cause d’appel. La chambre de l’instruction a, au nom du principe de sécurité juridique et au motif que les investigations avaient été régulièrement effectuées à l’époque, écarté le moyen de nullité visant des réquisitions et fondé sur la non-conformité du droit français aux exigences européennes en matière de conservation des données de connexion. La chambre de l’instruction estimait que la loi n° 2021-998, du 30 juillet 2021, relative à la prévention d'actes de terrorisme et au renseignement N° Lexbase : L3896L7G, portant modification de l'article L. 34-1 du Code des postes et télécommunications N° Lexbase : L4175L7R, avait adapté le droit français aux nouvelles exigences de l'Union. S’agissant de dispositions relevant de la procédure, elles ne devaient toutefois rétroagir et invalider les investigations effectuées antérieurement à leur entrée en vigueur.

La juridiction d’appel a également écarté le moyen tiré de l’absence de précision permettant de s’assurer de l’habilitation des agents ayant consulté le fichier de lecture automatisée des plaques d’immatriculation dit « LAPI » au motif qu’aucune disposition n’exige la rédaction de procès-verbaux en exécution desdites réquisitions et que les habilitations en cause sont des habilitations administratives lesquelles n’ont pas à figurer en procédure.

Le mis en examen a formé un pourvoi contre l’arrêt de la chambre de l’instruction.

Moyens du pourvoi. Il était fait grief à l’arrêt d’appel d’avoir rejeté le moyen d’annulation fondé sur l’exception d’inconventionnalité de l’article L. 34-1 du Code des postes et communications électroniques et ses textes réglementaires d’application, dans leur version en vigueur du 20 décembre 2013 au 31 juillet 2021.

Il était également faire grief à la chambre de l’instruction d’avoir rejeté la requête en nullité de la consultation du fichier LAPI.

Décision. La Cour de cassation casse les dispositions relatives au système LAPI ainsi que celle concernant les données de connexion.

Dans un premier temps, la Chambre criminelle censure l’arrêt de la chambre de l’instruction au visa de l’article 15 de la Directive (CE) 2022/58 modifiée du Parlement européen et du Conseil du 12 juillet 2022 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, lu à la lumière des articles 7, 8 et 11 ainsi que de l’article 52, § A de la Charte des droits fondamentaux de l’Union européenne.

La Haute juridiction rappelle les principes dégagés par la Chambre criminelle le 12 juillet 2022 (Cass. crim., 12 juillet 2022, n° 21-83.710, FS-B N° Lexbase : A84348AM).

À la lumière de la jurisprudence de la CJUE, la Cour de cassation avait notamment jugé que :

• les articles 60-1 N° Lexbase : L7995MBQ, 60-2 N° Lexbase : L7998MBT, 77-1-2 N° Lexbase : L8000MBW et 99-4 N° Lexbase : L0976DYS relatifs aux injonctions de conservation rapide permettant aux autorités compétentes, pour la lutte contre la criminalité grave, en vue de l’élucidation d’une infraction déterminée, d’ordonner la conservation rapide de données de connexion pouvaient être interprétés de façon conforme au droit de l’Union européenne comme permettant, pour la lutte contre la criminalité grave, en vue de l'élucidation d'une infraction déterminée, la conservation rapide des données de connexion stockées, même conservées aux fins de sauvegarde de la sécurité nationale ;
• l’obligation faite, par l’article L. 34-1, III du Code des postes et des communications électroniques, aux opérateurs de télécommunications électroniques de conserver de façon généralisée et indifférenciée aux fins de sauvegarde de la sécurité nationale les données de connexion énumérées à l’article R. 10-13 du même Code N° Lexbase : L6329L8W était conforme au droit de l’Union dans un contexte de menace grave et réelle, actuelle ou prévisible à la sécurité nationale.

Forte des enseignements tirés de l’étude de ces dispositions, la Haute juridiction avait dégagé plusieurs principes quant aux contestations invoquant la violation des exigences européennes en matière de conservation des données :

• la personne mise en examen n’est recevable à invoquer la violation des exigences en matière de conservation des données de connexion que si elle est titulaire ou utilisatrice de l’une des lignes ou si elle établit que les investigations en cause auraient porté atteinte à sa vie privée ;
• lorsqu’il est saisi d’une contestation sur le recueil des données de connexion, le juge du fond doit vérifier que :

- la conservation rapide respecte les limites du strict nécessaire,

- les faits relèvent de la criminalité grave. Cette appréciation doit être motivée au regard de la nature des agissements, de l’importance du dommage qui en résulte, des circonstances de la commission des faits et de la durée de la peine encourue.

En l’espèce, la Chambre criminelle estime que la juridiction d’appel a méconnu les textes et principes précités en fondant sa décision sur l’absence de rétroactivité des modifications apportées à l’article L. 34-1 du Code des postes et des communications électroniques.

Il appartenait à la chambre de l’instruction de rechercher pour quelle réquisition le mis en examen avait invoqué la violation des exigences de l’Union européenne et de procéder aux vérifications précitées. De plus, l’accès aux données conservées n’ayant  pas été soumis aux juges du fond et ce grief n’étant pas d’ordre public, la Chambre criminelle ne statue pas dessus (Cass. crim., 12 juillet 2022, n° 20-86.652, FS-B N° Lexbase : A84358AN).

Enfin, jugeant que les conditions d’application du droit de l’Union européenne sont suffisamment claires et précises, la Cour décide de ne pas renvoyer la question préjudicielle formulée par le demandeur.

Dans un second temps, la Chambre criminelle censure l’arrêt d’appel au visa des articles L. 233-1 du Code de la sécurité intérieure N° Lexbase : L4931K87, ensemble L. 233-2 du même Code N° Lexbase : L1593LK9, 5 de l'arrêté du 18 mai 2009 portant création d'un traitement automatisé de contrôle des données signalétiques des véhicules N° Lexbase : O4466ACE et 593 du Code de procédure pénale N° Lexbase : L3977AZC, ensemble 171 N° Lexbase : L3540AZ7 et 802 N° Lexbase : L4265AZY du même Code, dont il résulte que seuls les agents des services de police et de gendarmerie nationales ainsi que des douanes, individuellement désignés et dûment habilités par leur chef de service, peuvent accéder au traitement automatisé de contrôle des données signalétiques des véhicules collectées par les dispositifs fixes ou mobiles mis en œuvre en application de ces textes.

La Haute juridiction relève que deux procès-verbaux dressés dans le cadre de l’enquête préliminaire ne permettent pas de s’assurer que l’accès au fichier LAPI a été réalisé par un agent habilité par le Code de la sécurité intérieure, soit par un enquêteur autorisé par le procureur de la République, pour les besoins d’une procédure pénale, en vertu d’une réquisition prise à cette fin.

© Reproduction interdite, sauf autorisation écrite préalable