Le procureur peut accéder aux données de connexion pour élucider un crime non grave

Publié le 08/10/2018 par Etienne Wery

Les infractions pénales qui ne sont pas d’une particulière gravité peuvent justifier un accès aux données à caractère personnel conservées par des fournisseurs de services de communications électroniques dès lors que cet accès ne porte pas une atteinte grave à la vie privée.

Les faits

Dans le cadre de l’enquête sur un vol avec violences d’un portefeuille et d’un téléphone mobile, la police judiciaire espagnole a demandé au juge d’instruction responsable de l’affaire de lui accorder l’accès aux données d’identification des utilisateurs des numéros de téléphone activés depuis le téléphone volé durant une période de douze jours à compter de la date du vol. Le juge d’instruction a rejeté cette demande au motif, notamment, que les faits à l’origine de l’enquête pénale n’auraient pas été constitutifs d’une infraction « grave » – c’est-à-dire, selon le droit espagnol, une infraction sanctionnée d’une peine de prison supérieure à cinq ans. En Espagne, l’accès aux données d’identification n’est en effet possible que pour ce type d’infractions. Le Ministerio Fiscal (ministère public espagnol) a interjeté appel de cette décision devant l’Audiencia Provincial de Tarragona (cour provinciale de Tarragone, Espagne).

Le cadre juridique

La directive vie privée et communications électroniques prévoit que les États membres peuvent restreindre les droits des citoyens lorsqu’une telle limitation constitue une mesure nécessaire, appropriée et proportionnée, au sein d’une société démocratique, pour sauvegarder la sécurité nationale, la défense et la sécurité publique ou assurer la prévention, la recherche, la détection et la poursuite d’infractions pénales ou d’utilisations non autorisées du système de communications électroniques.

L’Audiencia Provincial de Tarragona indique que, après l’adoption de la décision du juge d’instruction, le législateur espagnol a introduit deux critères alternatifs pour déterminer le degré de gravité d’une infraction à l’égard de laquelle la conservation et la communication des données personnelles sont autorisées :

• Le premier est un critère matériel, attaché à des infractions pénales spécifiques et graves qui sont particulièrement préjudiciables aux intérêts juridiques individuels et collectifs.
• Le second est un critère normatif formel, qui fixe un seuil minimal de trois ans d’emprisonnement, seuil couvrant la grande majorité des infractions.

En outre, la juridiction espagnole considère que l’intérêt de l’État à réprimer les comportements délictuels ne peut justifier des ingérences disproportionnées dans les droits fondamentaux consacrés par la charte des droits fondamentaux de l’Union européenne (ci-après la « Charte »).

L’Audiencia Provincial de Tarragona interroge donc la Cour de justice sur la fixation du seuil de gravité des infractions à partir duquel une ingérence dans les droits fondamentaux, telle que l’accès par les autorités nationales compétentes aux données à caractère personnel conservées par les fournisseurs de services de communications électroniques, peut être justifiée.

L’arrêt rendu

Par son arrêt, la Cour rappelle que l’accès d’autorités publiques à des données à caractère personnel conservées par les fournisseurs de services de communications électroniques, dans le cadre d’une procédure d’instruction pénale, relève du champ d’application de la directive. En outre, l’accès aux données visant à l’identification des titulaires des cartes SIM activées avec un téléphone mobile volé, telles que les nom, prénom et, le cas échéant, adresse de ces titulaires, constitue une ingérence dans les droits fondamentaux de ces derniers, consacrés dans la Charte. Toutefois, elle dit pour droit que cette ingérence ne présente pas une gravité telle que cet accès devrait être limité, en matière de prévention, de recherche, de détection et de poursuite d’infractions pénales, à la lutte contre la criminalité grave.

Il y a une ingérence …

La Cour signale que l’accès des autorités publiques à des données à caractère personnel conservées par les fournisseurs de services de communications électroniques est constitutif d’une ingérence dans les droits fondamentaux au respect de la vie privée et à la protection des données, consacrés dans la Charte, même en l’absence de circonstances permettant de qualifier cette ingérence de « grave » et sans qu’il importe que les informations relatives à la vie privée concernées présentent ou non un caractère sensible ou que les intéressés aient ou non subi d’éventuels inconvénients en raison de ladite ingérence.

L’ingérence peut être justifiée …

La directive énumère cependant des objectifs susceptibles de justifier une réglementation nationale régissant l’accès des autorités publiques à ces données et dérogeant, ainsi, au principe de confidentialité des communications électroniques. Cette énumération revêt un caractère exhaustif, de telle sorte que cet accès doit répondre effectivement et strictement à l’un de ces objectifs.

La Cour observe à cet égard que, s’agissant de l’objectif de prévention, de recherche, de détection et de poursuite d’infractions pénales, le libellé de la directive ne limite pas cet objectif à la lutte contre les seules infractions graves, mais vise les « infractions pénales » en général.

Dans son arrêt Tele2 Sverige, la Cour a jugé que seule la lutte contre la criminalité grave est susceptible de justifier un accès des autorités publiques à des données à caractère personnel conservées par les fournisseurs de services de communications qui, prises dans leur ensemble, permettent de tirer des conclusions précises concernant la vie privée des personnes dont les données sont concernées. Cette interprétation était toutefois motivée par le fait que l’objectif poursuivi par une réglementation régissant cet accès doit être en relation avec la gravité de l’ingérence dans les droits fondamentaux en cause que cette opération entraîne. En effet, conformément au principe de proportionnalité, une ingérence grave ne peut être justifiée dans ce domaine que par un objectif de lutte contre la criminalité devant également être qualifiée de « grave ».

En revanche, lorsque l’ingérence n’est pas grave, ledit accès est susceptible d’être justifié par un objectif de prévention, de recherche, de détection et de poursuite d’« infractions pénales » en général.

La Cour considère que l’accès aux seules données visées par la demande en cause ne saurait être qualifié d’ingérence « grave » dans les droits fondamentaux des personnes dont les données sont concernées, puisque ces données ne permettent pas de tirer de conclusions précises concernant leur vie privée. La Cour en conclut que l’ingérence que comporterait un accès à de telles données est donc susceptible d’être justifiée par l’objectif de prévention, de recherche, de détection et de poursuite d’« infractions pénales » en général, sans qu’il soit nécessaire que ces infractions soient qualifiées de « graves ».

Plus d’infos?

Conclusions de l’avocat général et arrêt rendu, sont en annexe.