Fadettes, pirouettes, cacahouètes…

Le 6 octobre 2020, la Cour de justice de l’Union européenne (CJUE) a tranché : la collecte et la conservation systématiques des métadonnées – toutes ces traces qu’on laisse sur Internet ou via notre smartphone – sont incompatibles avec les traités et la Charte des droits fondamentaux de l’Union européenne. Certains pourraient être tentés de dire qu’on n’en a rien à faire de cette Charte, sauf que, proclamée il y a vingt ans, à Nice, elle est juridiquement contraignante depuis l’entrée en vigueur du traité de Lisbonne, en 2009. En fait, pour ceux qui espèrent une Europe « plus humaine », il s’agit d’une avancée considérable. Et même si la route est longue, cette Charte est sans doute le premier pas vers une souveraineté européenne. Un projet porté pour la France par Emmanuel Macron, qui passe par le renforcement de l’État de droit au sein de l’UE et par l’adhésion de celle-ci à la Convention européenne des droits de l’homme.

Cela pour dire qu’on ne peut pas s’asseoir sur une décision de la CJUE : ce n’est pas un diktat, mais la simple application des traités que les 27 pays de l’Union ont voulus et signés. D’ailleurs, dans l’arrêt concernant les demandes de décision préjudicielle déposées par la France et la Belgique, la Cour s’est astreinte à trouver un compromis entre le souci affiché de renforcer les libertés publiques et les nécessités opérationnelles des services enquêteurs.

Toutefois, c’est un sérieux coup de frein aux méthodes d’investigation adoptées ces dernières années, tant par les services de renseignement que par les services d’enquête. Et cette décision risque fort de faire passer à la trappe le chantier (intellectuellement séduisant, mais combien dangereux) de l’enquête prédictive. Projet basé, pour ce que l’on en sait, sur la captation des données de chacun d’entre nous, afin de les passer à la moulinette de mystérieux algorithmes : on surveille tout le monde et un changement de comportement fait d’un innocent un suspect. Un projet pour lequel des entreprises privées ont déjà investi de gros moyens et qui nous mène tout droit vers une police de la pensée, telle qu’elle est imaginée par George Orwell – une police chérie de tous les césars aux petits pieds.

En deux mots, les services concernés vont donc devoir apprendre à travailler autrement, puisqu’aujourd’hui, la première démarche des enquêteurs consiste le plus souvent à « faire les fadettes » des suspects ou des victimes, s’il y en a, et ensuite à tracer leur Internet.

Pourtant, il ne faut pas faire celui qui tombe du placard. Déjà, en 2016, la CJUE avait jugé (arrêt Tele2) que les États membres de l’Union ne pouvaient pas imposer aux opérateurs de téléphonie et aux fournisseurs d’accès à Internet, l’obligation générale de conserver les données à caractère personnel de leurs clients. Dans son jugement du 6 octobre 2020, elle ne fait que confirmer sa position, mais en l’affinant, en réponse à différents pays, dont la France, qui défendent l’idée que la sécurité nationale est de la responsabilité de chaque État membre, comme le prévoit le traité de l’Union européenne. Une position qui contredit la volonté affichée d’une souveraineté européenne.

En apparence alambiquée, la réponse de principe est pourtant sans appel : les réglementations nationales qui imposent aux fournisseurs de services de communications électroniques de conserver des données relatives au trafic et à la localisation ou encore de transmettre ces données aux autorités relèvent du champ d’application de la directive « vie privée et communication électronique ». Or, cette directive n’autorise ni la transgression systématique de la confidentialité des communications ni le stockage à l’aveugle des données personnelles.

Autrement dit, ce type de surveillance est possible « dans le respect du principe de proportionnalité et des droits fondamentaux garantis par la Charte ».

Le principe – La Cour estime donc que la directive « vie privée et communication électronique » s’oppose aux mesures législatives qui imposent aux fournisseurs de services de communications électroniques – à titre préventif – une conservation généralisée et indifférenciée des données relatives au trafic et à la localisation. Comme c’est le cas en France.

La pirouette – Mais tout aussitôt, la Cour dit le contraire : si un État fait face à une menace grave pour la sécurité nationale, réelle et actuelle, ou prévisible, les opérateurs peuvent être enjoints de conserver les données relatives au trafic et à la localisation de manière généralisée et indifférenciée. Sous réserve d’un contrôle effectif d’une juridiction ou d’une autorité administrative indépendante, dont les décisions ne peuvent être contestées (pour la France, je cherche…). Cette mansuétude concerne également le traitement automatisé des données de l’ensemble des utilisateurs. Mais cette injonction aux opérateurs pour une conservation généralisée des données doit être limitée dans le temps, même si elle est renouvelable en cas de persistance de la menace.

Cette brèche dans le principe de base semble s’adresser essentiellement aux services de renseignement.

Les cacahouètes – Il s’agit des exceptions liées aux enquêtes dites traditionnelles qui relèvent soit de la lutte antiterroriste soit de la criminalité. Cela devient plus subtil. La Cour estime en effet qu’à « la lumière de la Charte » et en se basant sur des éléments objectifs et non discriminatoires, des mesures législatives peuvent permettre le recours à une conservation ciblée (mais limitée au temps strictement nécessaire) des données relatives au trafic et à la localisation.

Il serait néanmoins possible – par le biais d’une décision d’une autorité compétente soumise au contrôle d’un juge – et « sous réserve que les personnes concernées disposent de garanties effectives contre les risques d’abus », d’enjoindre – pour une durée limitée – les opérateurs à une conservation généralisée et indifférenciée des adresses IP et de l’état civil des utilisateurs de moyens de communication électronique.

Toutefois, le recours à une conservation des données serait possible au-delà des délais légaux aux fins d’élucidation d’infractions pénales graves ou d’atteintes à la sécurité nationale réelles ou soupçonnées.

En live – L’arrêt rend possible la surveillance en temps réel d’individus ciblés dans des affaires graves (peut-être limitées au terrorisme, ce n’est pas clair), à condition qu’il existe une raison valable de soupçonner qu’ils sont impliqués. Cette surveillance en live est soumise « à un contrôle préalable effectué, soit par une juridiction, soit par une entité administrative indépendante, dont la décision est dotée d’un effet contraignant… »

Le big bang avec notre code de procédure pénal – À la lecture des directives en vigueur et de la Charte des droits fondamentaux, le juge pénal national doit écarter les informations et les éléments de preuve obtenus par une conservation généralisée et indifférenciée des données de trafic et de localisation incompatible avec le droit de l’Union, comme c’est le cas actuellement. La Cour justifie cette position par le fait que ces informations et ces éléments de preuve, qui peuvent avoir un rôle prépondérant dans un procès pénal, ne peuvent être utilement commentés par les personnes ciblées (principe de l’égalité des armes) et proviennent d’un domaine « échappant à la compétence des juges ».

Avocats, à vos dossiers ! – Au ministère de la Justice, d’ailleurs, on craint le pire, en se souvenant que dix ans en arrière le droit européen avait tourneboulé la garde à vue « à la française » (voir sur ce blog : Meurtre de Léa, un suspect est arrêté, il ne sera peut-être pas jugé). On attend donc avec impatience la position du garde des Sceaux, alors qu’Éric Dupond-Moretti avait fustigé le PNF pour avoir osé éplucher ses fadettes ! « Je suis stupéfait, sidéré qu’on ait pu fouiller dans ma vie privée, dans ma vie intime, dans ma vie professionnelle, en épluchant des fadettes pendant quinze jours, en me géolocalisant », avait-il déclaré sur Franceinfo le 26 juin 2020.

Les deux arrêts du 6 octobre 2020, dont on peut trouver les liens sur le site du Défenseur des droits, qui concernent le traitement des données personnelles dans le secteur des communications électroniques, devraient entraîner des modifications importantes dans la recherche de renseignements et surtout dans les enquêtes au quotidien. Les magistrats et les officiers de police judiciaire vont devoir se défaire d’une certaine facilité consentie par la technique pour de nouveau « mouiller la chemise ».

Mais il sera bien difficile pour les enquêteurs de ne plus plonger dans ce réservoir des actes passés alimenté au fil des heures par notre sillage électronique.

Ceux qui feront la fine bouche devant les décisions de la CJUE devraient se pencher sur la Charte des droits fondamentaux de l’Union européenne, notamment sur l’article 6 : « Toute personne a droit à la liberté et à la sûreté ». Cette phrase est belle dans sa simplicité. Aucune hiérarchie entre ces deux droits. Fuyons ceux qui nous rabâchent que la première des libertés c’est la sécurité. Ils sont bourrés d’arrière-pensées. À mes yeux, dans le contexte politico-sécuritaire actuel, la Cour de justice de l’Union européenne nous donne à réfléchir : demain nous appartient.