Les données de connexion conservées par les opérateurs de télécommunications aux fins de la lutte contre le terrorisme peuvent-elles être consultées dans le cadre d’enquêtes pénales ou administratives et notamment en matière d’abus de marché ?
Le dialogue entre les juges français et le juge de l’Union sur la question de la conservation des données de connexion et de l’accès à ces données pour les besoins d’investigations pénales ou administratives s’avère jusqu’ici bien stérile. Les « métadonnées » de connexion, c’est-à-dire les informations relatives à l’identité civile de l’utilisateur, à la source de la connexion et à l’équipement utilisé (adresse IP, etc.), les données de trafic (identification du destinataire de la communication, date et durée de la correspondance) et, pour les communications effectuées au moyen de téléphones mobiles, les données de localisation, peuvent s’avérer cruciales pour établir la circulation d’une information privilégiée. Mais les évolutions technologiques permettent, à partir de ces données, de tirer des conclusions très précises concernant la vie privée des personnes1, en sorte que la conservation généralisée de ces données et leur consultation constituent des atteintes graves au droit au respect de la vie privée et doivent être strictement encadrées.
Tout est donc affaire d’équilibre. Or si la Cour de Justice de l’Union européenne (CJUE) considère que les objectifs de sauvegarde de la sécurité nationale ou de lutte contre la criminalité, si légitimes fussent-ils, doivent respecter la « barrière infranchissable des droits fondamentaux des citoyens »2, la Cour de cassation se montre, avec le Conseil d’État, bien plus soucieuse de préserver l’efficacité des investigations que le droit au respect de la vie privée.
On ne reviendra pas en détail sur les faits qui ont donné lieu aux arrêts commentés, lesquels viennent s’ajouter à la liste des décisions rendues dans la même affaire. Rappelons simplement que plusieurs personnes, mises en examen dans le cadre de l’une des plus importantes affaires d’initiés de la Place, ont excipé de la non-conformité au droit de l’Union européenne des dispositions relatives à la conservation des données de connexion et à l’accès à ces données par les enquêteurs de l’AMF pour faire écarter des débats des données relatives à l’utilisation de lignes téléphoniques provenant d’une enquête préalable de cette autorité.
C’est dans le cadre de cette affaire que les anciennes dispositions du Code monétaire et financier (anc. art. L. 621-10), qui ne soumettaient pas l’accès des enquêteurs de l’AMF aux données de connexion à un contrôle préalable par une juridiction ou une autre autorité administrative indépendante, ont été déclarées inconstitutionnelles en 20173, sans toutefois que les requérants n’en bénéficient puisque les effets de cette déclaration d’inconstitutionnalité ont été reportés dans le temps (dispositions réécrites par la loi du 23 octobre 20184). C’est dans cette affaire, ensuite, que la chambre criminelle de la Cour de cassation, par une série d’arrêts du 1er avril 20205, a jugé que ces mêmes dispositions n’étaient pas non plus conformes au droit de l’Union européenne et a transmis à la Cour de Justice plusieurs questions préjudicielles invitant celle-ci à nuancer sa jurisprudence pour admettre la conservation généralisée et indifférenciée des données lorsqu’elle a pour finalité la lutte contre des infractions reposant sur des échanges par définition secrets d’informations, comme en matière d’opérations d’initié.
La directive vie privée et communications électroniques6 pose en effet un principe d’effacement ou d’anonymisation des données de connexion, tout en autorisant les États membres à y apporter des limitations pour sauvegarder la sécurité nationale, la défense et la sécurité publique, ou assurer la prévention, la recherche, la détection et la poursuite d’infractions pénales7. C’est ainsi qu’en droit français, les dispositions de l’article L. 34-1 du Code des postes et des communications électroniques (CPCE) imposent aux opérateurs de télécommunications de conserver les données de connexion pendant un an, de manière à ce que les enquêteurs et les services de renseignement, habilités par d’autres dispositions, puissent ensuite puiser dans ce « lac de données »8 dans le cadre d’enquêtes pénales ou administratives ou pour les besoins de la lutte contre le terrorisme.
La Cour de Justice considère que la directive, lue à la lumière des articles 7, 8, 11 et 52 § 1 de la Charte des droits fondamentaux de l’Union européenne, s’oppose en principe à une conservation généralisée et indifférenciée, à titre préventif, de l’ensemble des données relatives au trafic et des données de localisation de tous les abonnés et utilisateurs inscrits9. Elle établit, depuis l’arrêt La Quadrature du Net du 6 octobre 202010, une hiérarchie en fonction de l’objectif poursuivi et de la gravité de l’atteinte aux droits fondamentaux, celle-ci devant être en relation avec celui-là. Seule la sauvegarde de la sécurité nationale peut, dans des conditions strictement encadrées, justifier une injonction de conservation généralisée et indifférenciée des données relatives au trafic. La lutte contre la criminalité grave permet la conservation généralisée des adresses IP ; une conservation ciblée des données relatives au trafic délimitée en fonction de catégories de personnes concernées ou au moyen d’un critère géographique ; ainsi que le recours à une injonction faite aux fournisseurs de services de communications électroniques de procéder, pour une durée déterminée, à la conservation rapide (quick freeze) des données relatives au trafic et des données de localisation. La lutte contre la criminalité non grave autorise seulement la conservation généralisée des données relatives à l’identité civile des utilisateurs de moyens de communications électroniques.
En réponse aux questions préjudicielles transmises par la chambre criminelle, la Cour de Justice, dans son arrêt VD et SR11, a confirmé sa jurisprudence et son application en matière d’abus de marché. Mais dans les décisions commentées, la Cour de cassation se livre à une interprétation très libre de la jurisprudence de la Cour de Justice de manière à maintenir indirectement la conservation généralisée des données de connexion aux fins de lutte contre la criminalité grave (I.). S’agissant de l’accès des enquêteurs de l’AMF à ces données, la Haute juridiction prend acte de la contrariété des anciennes dispositions au droit de l’Union tout en limitant fortement, dans le prolongement de précédentes décisions, la faculté d’invoquer la nullité des preuves ainsi recueillies (II.).
La chambre criminelle prend acte de la réponse apportée par la Cour de Justice dans l’arrêt VD et SR. La Cour a en effet jugé que le règlement Abus de marché, qui ne régit que l’accès aux données par les enquêteurs en matière d’abus de marché, ne fonde pas une obligation autonome de conservation généralisée des données de connexion. Les données des opérateurs de télécommunication auxquelles les enquêteurs sont susceptibles d’accéder en matière d’abus de marché sont donc celles qui ont été conservées conformément à la directive e-privacy – qui constitue « l’acte de référence en matière de conservation »12 – telle qu’interprétée par la Cour de Justice13.
La chambre criminelle en conclut que la conformité aux exigences du droit de l’Union européenne des dispositions permettant aux enquêteurs de l’AMF de recueillir, auprès des opérateurs de communications électroniques, des données de connexion conservées par ceux-ci doit être appréciée au regard des principes dégagés en application des dispositions de l’article 15 de la directive par... la Cour de cassation (sic) dans ses arrêts du 12 juillet 2022 (décision commentée, pt 10)14.
La Haute juridiction concède que les dispositions des articles L. 34-1, III, et R. 10-13 du Code des postes et communications électroniques, dans leur ancienne version, étaient contraires au droit de l’Union en tant qu’elles imposaient une conservation généralisée et indifférenciée des données de trafic et de localisation à titre préventif notamment aux fins de lutte contre les abus de marché, quel que soit leur degré de gravité.
La Cour juge en revanche que l’ancien dispositif était conforme au droit de l’Union en tant qu’il imposait la conservation de ces données susceptibles d’être utilisées ensuite dans le cadre d’une enquête pénale relative à des faits graves. Pour ce faire, les magistrats du Quai de l’Horloge recourent au tour de passe-passe déjà opéré dans les arrêts du 12 juillet 2022 et qui repose sur un raisonnement en deux temps.
Premier temps : « Le droit de l’Union européenne admet la conservation généralisée et indifférenciée des données de connexion aux fins de sauvegarde de la sécurité nationale ; l’obligation faite aux opérateurs de communications électroniques de conserver ces données de manière généralisée et indifférenciée en raison de la menace grave, réelle et actuelle ou prévisible à laquelle la France se trouve exposée depuis décembre 1994, du fait du terrorisme et de l’activité de groupes radicaux et extrémistes, est donc conforme au droit de l’Union » (décision commentée, pt 12). La Cour de Justice admet en effet la conservation généralisée et indifférenciée de ces données aux fins de sauvegarde de la sécurité nationale, mais en l’entourant de garanties procédurales, dont il n’est dit mot ici. La chambre criminelle avait pris la peine, dans les arrêts du 12 juillet 2022, de relever que bien que les dispositions du Code des postes et des communications électroniques, dans leur ancienne rédaction, ne subordonnassent pas l’obligation de conservation généralisée et indifférenciée à l’existence d’une menace grave, réelle et actuelle ou prévisible pour la sécurité nationale, l’obligation de conservation qu’elles édictaient « valait injonction » au sens où l’entend la CJUE en considération de la menace terroriste persistant en France depuis 199415. Ces précisions ne sont pas reprises ici.
Second temps : « le droit de l’Union européenne, qui autorise la délivrance d’une injonction tendant à la conservation rapide des données relatives au trafic et des données de localisation stockées par les opérateurs, soit pour leurs besoins propres, soit au titre d’une obligation de conservation imposée aux fins de sauvegarde de la sécurité nationale, permet d’accéder auxdites données pour l’élucidation d’une infraction pénale déterminée relevant de la criminalité grave » (décision commentée, pt 13). Il en résulte, selon la Haute juridiction, que les demandes adressées, en exécution des dispositions de l’article L. 621-10 du Code monétaire et financier, dans sa version applicable au litige, par les enquêteurs de l’AMF, pour les strictes nécessités d’une enquête déterminée portant sur un abus de marché relevant de la criminalité grave, aux opérateurs de communications électroniques, peuvent être interprétées comme valant injonction de conservation rapide (décision commentée, pt 14)16.
Là est le point de friction. Pour la Cour de Justice, la lutte contre la criminalité grave ne peut justifier la conservation indifférenciée et généralisée des données de trafic à titre préventif car l’atteinte aux droits fondamentaux est trop grave. Cet objectif permet seulement la conservation préventive mais ciblée des données (et non de celles de tous les utilisateurs), ou bien une injonction de conservation rapide permettant d’accéder aux données conservées à partir du moment où elle a été initiée. Or, comme l’ont souligné le Conseil d’État17 et la Cour de cassation18, ces outils sont d’une efficacité limitée. En matière d’abus de marché, la conservation ciblée n’est guère praticable dès lors que toute personne est susceptible de commettre un tel manquement ; la conservation rapide, telle que la conçoit la Cour, ne permet pas d’accéder aux données passées. D’où l’interprétation consistant à greffer la conservation rapide aux fins de la lutte contre la criminalité grave sur la conservation généralisée aux fins de sauvegarde de la sécurité nationale.
Cette interprétation va cependant à l’encontre de la jurisprudence de la Cour de Justice. Pour celle-ci, l’accès à des données conservées « ne peut en principe être justifié que par l’objectif d’intérêt général pour lequel cette conservation a été imposée à ces fournisseurs. Il n’en va autrement que si l’importance de l’objectif poursuivi par l’accès dépasse celle de l’objectif ayant justifié la conservation »19. Il s’ensuit que lorsque les données relatives au trafic et les données de localisation ont exceptionnellement été conservées de manière généralisée et indifférenciée à des fins de sauvegarde de la sécurité nationale (objectif d’importance supérieure), les autorités nationales compétentes en matière d’enquêtes pénales ne sauraient y accéder dans le cadre de poursuites pénales (objectif d’importance moindre), « sous peine de priver de tout effet utile l’interdiction de procéder à une telle conservation aux fins de la lutte contre la criminalité grave »20. En réponse aux arguments développés par le gouvernement danois, la Cour de Justice a confirmé sa jurisprudence sur ce point dans l’arrêt SpaceNet21 rendu le même jour que l’arrêt VD et SR.
Il est vrai qu’au plan probatoire, les solutions retenues par le juge de l’Union risquent de compliquer dans une certaine mesure la tâche des autorités de poursuite en matière d’opérations d’initiés en les privant de l’accès à des données précieuses pour établir la circulation d’une information privilégiée. Le recours aux présomptions et à la méthode du faisceau d’indices est toutefois de nature à alléger la charge probatoire et la jurisprudence récente relative aux documents et supports d’informations saisissables dans le cadre de visites domiciliaires vient renforcer les autres moyens d’investigation à la disposition des enquêteurs22. Quoi qu’il en soit, l’argument mis en avant selon lequel l’atteinte aux droits fondamentaux étant consommée (dès lors que les données sont conservées aux fins de sauvegarde de la sécurité nationale), autant permettre d’utiliser ces données également à d’autres fins, fait bien peu de cas du droit au respect de la vie privée. En outre, comme le relève la Cour de Justice, cela aboutit à faire dépendre les moyens d’enquête en matière de lutte contre la criminalité grave de l’existence d’une menace terroriste, aboutissant à des solutions différentes en fonction de l’existence ou non, dans l’État membre concerné, d’une menace grave pour la sécurité nationale23.
En ce qui concerne l’accès aux données de connexion par les enquêteurs de l’AMF, la chambre criminelle, qui a déjà constaté la non-conformité au droit de l’Union des anciennes dispositions de l’article L. 621-10 du Code monétaire et financier24, avait interrogé la Cour de Justice sur la possibilité de suspendre l’effet d’éviction des dispositions non conformes, de manière à sauvegarder les mesures prises sur leur fondement et les sanctions déjà prononcées. En effet, seule la Cour elle-même peut, à titre exceptionnel, suspendre provisoirement l’effet d’éviction de la loi nationale non conforme, découlant du principe de primauté du droit de l’Union, et ce seulement dans l’arrêt même qui statue sur l’interprétation sollicitée25. Elle a sans surprise refusé de le faire dans l’arrêt VD et SR comme dans les précédentes décisions rendues en matière de conservation des données de connexion26.
Si les effets de la déclaration d’invalidité des dispositions nationales non conformes ne peuvent être limités dans le temps par le juge national, celui-ci retrouve une certaine marge de manœuvre s’agissant d’apprécier la recevabilité des preuves obtenues sur le fondement de ces dispositions. Conformément au principe d’autonomie procédurale des États membres, cette question relève du droit national, sous réserve du respect des principes d’équivalence et d’effectivité. Or la chambre criminelle de la Cour de cassation n’admet que de manière très restrictive la nullité d’actes d’enquête, la nullité n’étant encourue que si le requérant établit que l’irrégularité procédurale lui a causé un grief27. Dans les décisions commentées, la chambre criminelle énonce ainsi que : « Il appartient alors à la juridiction saisie d’un moyen de nullité critiquant la régularité de l’accès des enquêteurs de l’AMF aux données de connexion, dans l’hypothèse où le requérant a intérêt et qualité pour agir, de vérifier l’existence du grief allégué, laquelle est établie lorsque les éléments de fait justifiant la nécessité d’une telle mesure d’investigation ne répondent pas à un critère de gravité suffisant ou lorsque la conservation rapide desdites données et l’accès à celles-ci excèdent les limites du strict nécessaire » (décision commentée, pt 1628). On peut relever un certain flou autour des notions de conservation rapide et d’accès aux données, que la Cour semble ici, à raison, distinguer, alors que le raisonnement qu’elle tient plus haut repose sur leur assimilation.
La gravité des faits apparaît ainsi comme un critère central : elle autorise, selon le raisonnement de la Cour de cassation comme celui du Conseil d’État, à puiser, par le biais de la conservation rapide, dans le « lac de données » conservées aux fins de sauvegarde de la sécurité nationale ; elle constitue également un paramètre pour apprécier l’existence du grief causé au requérant par l’accès irrégulier des enquêteurs aux données de connexion. La notion de criminalité grave n’étant pas définie en droit de l’Union, il appartient au législateur ou au juge national d’en délimiter le périmètre. Les abus de marché peuvent certainement être qualifiés d’infractions graves dans les cas les plus sévères29. Rappelons toutefois que le législateur français n’a pas voulu en faire le critère de l’aiguillage lors de la réforme de la sanction des abus de marché opérée en 2016, précisément en raison des incertitudes relatives à la notion de gravité. Celle-ci doit être appréciée, selon la Cour de cassation, « au regard de la nature des agissements de la personne concernée, de l’importance du dommage qui en résulte, des circonstances de la commission des faits et de la durée de la peine encourue » (décision commentée, pt 17)30. Le critère tenant à la durée de la peine encourue peut toutefois paraître délicat à mettre en œuvre en matière d’abus de marché, où précisément une peine d’emprisonnement n’est effectivement encourue qu’en fonction de l’aiguillage du dossier. La Cour ajoute que les juges peuvent se référer aux critères figurant au considérant 11 de la directive Abus de marché31, parmi lesquels l’incidence sur l’intégrité du marché, le bénéfice réel ou potentiel engrangé ou la perte évitée, l’importance du préjudice causé au marché ou la valeur globale des instruments financiers négociés, ainsi que la commission de l’infraction dans le cadre d’une organisation criminelle (décision commentée, pt 18). On peut se demander, avec d’autres auteurs, « s’il est juridiquement acceptable de conditionner l’ingérence dans un droit fondamental aussi essentiel que le droit à la vie privée à un critère aussi indéfini que la gravité de l’infraction »32.
Pour conclure, soulignons que ces questions sont loin d’être épuisées. D’une part, le raisonnement préconisé par le Conseil d’État et, ultérieurement, par la Cour de cassation, a été repris dans la loi du 30 juillet 2021 relative à la prévention d’actes de terrorisme et au renseignement, qui a réécrit les dispositions de l’article L. 34-1 du Code des postes et communications électroniques33 : les données conservées par les opérateurs de communications électroniques en application de cet article – y compris donc les données de trafic et de localisation conservées sur injonction du Premier ministre pour des motifs tenant à la sauvegarde de la sécurité nationale, lorsqu’est constatée une menace grave, actuelle ou prévisible, contre cette dernière, en application du III34 – peuvent faire l’objet d’une injonction de conservation rapide « par les autorités disposant, en application de la loi, d’un accès aux données de connexion à des fins de prévention et de répression de la criminalité, de la délinquance grave et des autres manquements graves aux règles dont elles ont la charge d’assurer le respect, afin d’accéder à ces données » (art. L. 34-1, IIIbis). On observera au passage que cette possibilité n’est pas réservée à la lutte contre la criminalité grave, de sorte que l’on peut doublement douter de la conformité de ces dispositions au droit de l’Union européenne. D’autre part, la question n’est en l’état pas réglée par le projet de règlement « e-privacy »35, sur lequel les États membres peinent du reste à trouver un accord depuis la présentation de la proposition de la Commission en 2017 et l’adoption d’une position de négociation par le Conseil en février 2021. n
