Dans le concert des juges1 sur la question de la conservation des données de connexion, les notes se font discordantes, et dans l’exercice de mise en balance des impératifs d’efficacité des investigations et de protection des droits fondamentaux2, les juges nationaux et européens ne retiennent pas le même point d’équilibre.
L’arrêt VD et SR rendu par la grande chambre de la Cour de justice le 20 septembre 20223 en offre une nouvelle illustration. Plusieurs personnes, banquiers et hommes d’affaires, mises en examen en 2017 des chefs de délit d’initié, complicité et recel de ces délits et blanchiment à l’occasion de la préparation par une société française d’une offre publique d’acquisition sur les titres d’une société américaine, ont excipé de la non-conformité au droit de l’Union européenne des dispositions relatives à la conservation des données de connexion et à l’accès de ces données par les enquêteurs de l’AMF pour faire écarter des débats des données relatives à l’utilisation de lignes téléphoniques provenant d’une enquête de l’AMF.
C’est dans ce contexte que la chambre criminelle de la Cour de cassation a transmis à la Cour de justice plusieurs questions préjudicielles4 invitant celle-ci à nuancer sa jurisprudence pour admettre la conservation généralisée et indifférenciée des données lorsqu’elle a pour finalité la lutte contre des infractions reposant sur des échanges par définition secrets d’informations, comme en matière d’opérations d’initié, ou à tout le moins à suspendre l’effet d’éviction des dispositions non conformes, de manière à sauvegarder les mesures prises sur leur fondement et les sanctions déjà prononcées. Or entre la transmission des questions préjudicielles et le prononcé de l’arrêt de la Cour, celle-ci a rendu d’autres décisions5, tandis que le Conseil constitutionnel6, mais aussi le Conseil d’État7 et la Cour de cassation8 ont pris position à leur tour, ces deux dernières juridictions rappelant pour la forme le principe de primauté du droit de l’Union tout en se livrant à une interprétation audacieuse de la jurisprudence de la Cour de manière à « sauver » indirectement la conservation généralisée des données de connexion aux fins de lutte contre la criminalité grave.
Les données en cause sont les « métadonnées » de connexion, à savoir les informations relatives à l’identité civile de l’utilisateur, celles relatives à la source de la connexion et à l’équipement utilisé (adresse IP, etc.), les données de trafic, incluant l’identification du destinataire de la communication ainsi que la date et la durée de la correspondance, et, pour les communications effectuées au moyen de téléphones mobiles, les données de localisation, à l’exclusion du contenu des communications.
La directive vie privée et communications électroniques9 pose un principe d’effacement ou d’anonymisation de ces données, tout en autorisant les États membres à y apporter des limitations pour sauvegarder la sécurité nationale, la défense et la sécurité publique, ou assurer la prévention, la recherche, la détection et la poursuite d’infractions pénales10. Ce sont en droit français les dispositions de l’article L. 34-1 du code des postes et des communications électroniques (CPCE) qui imposent aux opérateurs de télécommunications de conserver les données de connexion pendant un certain délai, de manière à ce que les enquêteurs et les services de renseignement, habilités par d’autres dispositions, puissent ensuite puiser dans ce « lac de données »11 dans le cadre d’enquêtes pénales ou administratives ou dans celui de la lutte contre le terrorisme.
Dès lors que les évolutions technologiques permettent, à partir de ces données, de tirer « des conclusions très précises concernant la vie privée des personnes »12, la Cour de justice considère que les objectifs de sauvegarde de la sécurité nationale ou de lutte contre la criminalité, si légitimes fussent-ils, se heurtent à la « barrière infranchissable des droits fondamentaux des citoyens »13. Aussi la Cour retient-elle une interprétation stricte de cette exception et considère-t-elle que la directive, lue à la lumière des articles 7, 8, 11 et 52 § 1 de la Charte des droits fondamentaux de l’Union européenne, s’oppose en principe à une conservation généralisée et indifférenciée, à titre préventif, de l’ensemble des données relatives au trafic et des données de localisation de tous les abonnés et utilisateurs inscrits14. Elle a cependant précisé et nuancé sa position dans l’arrêt La Quadrature du Net du 6 octobre 202015, en établissant une gradation en fonction de l’objectif poursuivi, d’une part, et de la gravité de l’atteinte aux droits fondamentaux (elle-même fonction du type de données et du périmètre de la conservation, généralisée ou ciblée), d’autre part.
L’arrêt VD et SR vient, avec l’arrêt SpaceNet rendu le même jour16, confirmer la jurisprudence de la Cour et, en l’occurrence, son application en matière d’abus de marché. Après avoir relevé que la décision rendue entre-temps par le Conseil d’État ne rend pas sans objet les questions préjudicielles qui lui sont soumises dès lors qu’elles portent sur les dispositions dans leur version antérieure, applicable aux faits en cause17, la Cour juge que la directive et le règlement Abus de marché ne fondent pas une obligation autonome de conservation généralisée des données de connexion (I.) ; il convient donc d’appliquer la directive e-privacy telle qu’interprétée par la jurisprudence de la Cour (II.), sans possibilité de suspendre l’effet d’éviction frappant les dispositions nationales non conformes au droit de l’Union (III.).
La directive Abus de marché hier, le règlement Abus de marché aujourd’hui, imposent aux États membres de doter les autorités nationales compétentes de pouvoirs incluant celui d’exiger « des enregistrements téléphoniques et des données échangées existants », selon les termes de la première18, et de « se faire remettre, dans la mesure où le droit national l’autorise, les enregistrements existants de données relatives au trafic détenus par un opérateur de télécommunications, lorsqu’il existe des raisons de suspecter une violation et que de tels enregistrements peuvent se révéler pertinents pour l’enquête », selon le second19. S’appuyant sur la lettre des textes, qui se réfèrent aux enregistrements « existants » ou « détenus », à leur finalité ainsi qu’à leur contexte, la Cour de justice considère que ces dispositions se bornent à régir l’accès à des données dont la conservation n’est pas de leur ressort20. Cette interprétation est difficilement contestable au regard du champ d’application de ces textes et des objectifs qu’ils poursuivent. Ils n’ont pas pour sujets les opérateurs de télécommunications mais les opérateurs financiers, aussi ne peuvent-ils imposer une obligation de conservation qu’à ceux-ci, notamment aux entreprises d’investissement. On ne saurait y voir une habilitation implicite du législateur national pour instituer une obligation généralisée et indifférenciée de conservation à la charge des opérateurs de télécommunications comme le soutenait le gouvernement français21. Le caractère crucial des données de connexion pour les enquêtes en matière d’abus de marché n’y change rien. Comme l’expose l’avocat général dans ses conclusions, « Le silence de la directive 2003/6 et du règlement no 596/2014 quant à la conservation des données imposée aux opérateurs de communications électroniques est compréhensible, eu égard à la proximité temporelle de ces réglementations avec la directive 2002/58. Le législateur européen disposait déjà de cette dernière en tant que cadre de référence exhaustif pour tracer les contours de cette obligation (ainsi que ses dérogations), ce qui rendait inutile un régime propre de conservation afin de lutter contre les abus de marché »22. Au final, « ni la directive 2003/6 ni le règlement n° 596/2014 ne sauraient être interprétés comme pouvant constituer le fondement juridique d’une obligation générale de conservation des enregistrements de données relatives au trafic détenus par les opérateurs de services de communications électroniques aux fins de l’exercice des pouvoirs conférés à l’autorité compétente en matière financière au titre de la directive 2003/6 et du règlement n° 596/2014 »23.
Les données des opérateurs de télécommunication auxquelles les enquêteurs sont susceptibles d’accéder en matière d’abus de marché sont donc celles qui ont été conservées conformément à la directive e-privacy – qui constitue « l’acte de référence en matière de conservation »24 – telle qu’interprétée dans sa jurisprudence par la Cour25.
À cet égard, la Cour de Justice confirme dans l’arrêt SpaceNet rendu le même jour, la hiérarchie établie dans l’arrêt La Quadrature du Net26 en fonction de l’objectif poursuivi et de la gravité de l’atteinte aux droits fondamentaux, celle-ci devant être en relation avec celui-là : seule la sauvegarde de la sécurité nationale peut, dans des conditions strictement encadrées, justifier une injonction de conservation généralisée et indifférenciée des données relatives au trafic ; la lutte contre la criminalité grave permet la conservation généralisée des adresses IP, une conservation ciblée des données relatives au trafic délimitée en fonction de catégories de personnes concernées ou au moyen d’un critère géographique, ainsi que le recours à une injonction faite aux fournisseurs de services de communications électroniques de procéder, pour une durée déterminée, à la conservation rapide (quick freeze) des données relatives au trafic et des données de localisation ; la lutte contre la criminalité non grave autorise seulement la conservation généralisée des données relatives à l’identité civile des utilisateurs de moyens de communications électroniques. La Cour a par ailleurs précisé que la criminalité, même particulièrement grave, ne peut être assimilée à une menace pour la sécurité nationale27.
Dans l’arrêt VD et SR, la Cour examine le dispositif français à l’aune de cette grille d’analyse. Les dispositions des articles L. 34-1 et R. 10-13 du CPCE, dans leur ancienne rédaction, imposaient une conservation généralisée et indifférenciée des données de connexion par les opérateurs de télécommunications, avec entre autres finalités la recherche, la constatation et la poursuite des infractions pénales, y compris celles relatives aux abus de marché. Or, selon la jurisprudence de la Cour, une telle conservation ne peut être justifiée par de tels objectifs, de sorte « qu’une réglementation nationale, telle que celle en cause au principal, imposant aux opérateurs de services de communications électroniques de procéder, à titre préventif, aux fins de la lutte contre les infractions d’abus de marché, dont font partie les opérations d’initiés, une conservation généralisée et indifférenciée des données de trafic de l’ensemble des utilisateurs des moyens de communications électroniques, sans qu’aucune différenciation soit faite à cet égard ou que des exceptions soient prévues et sans que les rapports requis, au titre de la jurisprudence mentionnée au point précédent, entre les données à conserver et l’objectif poursuivi, soit établi, excède les limites du strict nécessaire et ne saurait être considérée comme étant justifiée, dans une société démocratique, ainsi que l’exige l’article 15, paragraphe 1, de la directive 2002/58, lu à la lumière des articles 7, 8 et 11 ainsi que de l’article 52, paragraphe 1, de la Charte »28.
La Cour ne dit pas en revanche ce qui serait justifié par une telle finalité, et n’aborde pas la question de savoir si les abus de marché sont susceptibles de relever de la criminalité grave. Cette notion n’étant pas définie en droit de l’Union, il appartient au législateur29 ou au juge national30 d’en délimiter le périmètre. Sans doute les abus de marché peuvent-ils être qualifiés d’infractions graves dans les cas les plus sévères31. L’enjeu est de taille, particulièrement au regard de l’interprétation de la jurisprudence de la Cour par les juridictions françaises.
En effet, dans l’arrêt French Data Network du 21 avril 2021, le Conseil d’État, usant d’une réserve de constitutionnalité, s’est écarté sur certains points de la position du juge de l’Union. Entre autres, la haute juridiction administrative souligne le caractère techniquement impraticable et juridiquement problématique – notamment au regard du principe d’égalité – ainsi que l’intérêt opérationnel incertain de la conservation ciblée préconisée par la Cour32. Suivant les préconisations du rapporteur public33, les juges du Palais Royal considèrent que pour garantir le respect des objectifs de valeur constitutionnelle de prévention des atteintes à l’ordre public, notamment celle des atteintes à la sécurité des personnes et des biens, ainsi que de recherche des auteurs d’infractions, il faut que la conservation rapide des données permette à l’autorité judiciaire ainsi qu’ « aux autorités administratives indépendantes disposant d’un droit d’accès aux données de connexion en vertu de la loi en vue de lutter contre les manquements graves aux règles dont elles ont la charge d’assurer le respect » d’accéder aux données initialement conservées aux fins de sauvegarde de la sécurité nationale34. Cette solution a été reprise dans la loi du 30 juillet 2021 relative à la prévention d’actes de terrorisme et au renseignement, qui a réécrit les dispositions de l’article L. 34-1 du CPCE35 : les données conservées par les opérateurs de communications électroniques en application de cet article – y compris donc les données de trafic et de localisation conservées sur injonction du Premier ministre pour des motifs tenant à la sauvegarde de la sécurité nationale, lorsqu’est constatée une menace grave, actuelle ou prévisible, contre cette dernière, en application du III36 – peuvent faire l’objet d’une injonction de conservation rapide par les autorités disposant, en application de la loi, d’un accès aux données de connexion à des fins de prévention et de répression de la criminalité, de la délinquance grave et des autres manquements graves aux règles dont elles ont la charge d’assurer le respect, afin d’accéder à ces données (art. L. 34-1, IIIbis).
Ce raisonnement a également été repris par la chambre criminelle de la Cour de cassation dans une série d’arrêts du 12 juillet 2022, qui n’hésitent pas à affirmer qu’il résulterait de la jurisprudence de la Cour de justice que la conservation rapide pourrait porter sur les données détenues par les opérateurs au titre d’une obligation de conservation imposée aux fins de sauvegarde de la sécurité nationale, au motif que la solution contraire priverait d’effet utile la finalité de la conservation rapide, qui est, selon la Haute juridiction, « de permettre aux autorités nationales, en matière de lutte contre la criminalité grave, d’accéder à des données qui n’ont pas été conservées dans ce but »37. Par un véritable tour de passe-passe, les magistrats du Quai de l’Horloge parviennent à juger conforme au droit de l’Union l’ancien dispositif de conservation des données susceptibles d’être utilisées ensuite dans le cadre d’une enquête pénale relative à des faits graves : bien que les dispositions du CPCE, dans leur ancienne rédaction, ne subordonnent pas l’obligation de conservation généralisée et indifférenciée à l’existence d’une menace grave, réelle et actuelle ou prévisible pour la sécurité nationale, l’obligation de conservation qu’elles édictent « vaut injonction » au sens où l’entend la CJUE en considération de la menace terroriste persistant en France depuis 199438 ; les dispositions du code de procédure pénale permettant d’obtenir la communication de ces données dans le cadre d’une enquête pénale, quant à elles, « doivent être analysées comme valant injonction de conservation rapide » ; de sorte que ces dispositions combinées peuvent être interprétées de façon conforme au droit de l’Union comme permettant, pour la lutte contre la criminalité grave, en vue de l’élucidation d’une infraction déterminée, la conservation rapide des données de connexion stockées, même conservées aux fins de sauvegarde de la sécurité nationale39. Tout dépend donc de la gravité des faits, qui doit être appréciée, selon la Cour de cassation, « au regard de la nature des agissements de la personne poursuivie, de l’importance du dommage qui en résulte, des circonstances de la commission des faits et de la durée de la peine encourue »40.
Cette interprétation, qui permet de greffer la conservation rapide aux fins de la lutte contre la criminalité grave sur la conservation généralisée aux fins de sauvegarde de la sécurité nationale, contredit directement la jurisprudence de la Cour de Justice. Pour celle-ci, l’accès à des données conservées « ne peut en principe être justifié que par l’objectif d’intérêt général pour lequel cette conservation a été imposée à ces fournisseurs. Il n’en va autrement que si l’importance de l’objectif poursuivi par l’accès dépasse celle de l’objectif ayant justifié la conservation ». Il s’ensuit que lorsque les données relatives au trafic et les données de localisation ont exceptionnellement été conservées de manière généralisée et indifférenciée à des fins de sauvegarde de la sécurité nationale, les autorités nationales compétentes en matière d’enquêtes pénales ne sauraient y accéder dans le cadre de poursuites pénales, « sous peine de priver de tout effet utile l’interdiction de procéder à une telle conservation aux fins de la lutte contre la criminalité grave »41. Il faut espérer que des décisions ultérieures permettent de résoudre cette contradiction, en attendant l’adoption du futur règlement « e-privacy »42 qui a vocation à remplacer la directive, mais dont les négociations avancent lentement.
Par deux des questions préjudicielles transmises, la Cour de cassation interrogeait la Cour de Justice sur la possibilité de suspendre l’effet d’éviction des dispositions non conformes, de manière à sauvegarder les mesures prises sur leur fondement.
D’une part, les anciennes dispositions du code monétaire et financier (anc. art. L. 621-10), qui ne soumettaient pas l’accès des enquêteurs de l’AMF aux données de connexion à un contrôle préalable par une juridiction ou une autre autorité administrative indépendante, ont été réécrites par la loi du 23 octobre 201843 à la suite de leur censure par le Conseil constitutionnel44. Elles ont également été jugées non conformes au droit de l’Union par la chambre criminelle en 202045. Les conséquences de l’inconstitutionnalité étant neutralisées pour la période considérée du fait du report dans le temps des effets de la décision du Conseil constitutionnel (« Compte tenu du report dans le temps des effets de la décision du Conseil constitutionnel, il y a lieu de considérer qu’aucune nullité ne peut être tirée de l’inconstitutionnalité des dispositions législatives applicables à l’époque des faits »46), la chambre criminelle a interrogé la Cour de justice sur « la possibilité de reporter dans le temps les conséquences de l’inconventionnalité de l’article L. 621-10 du code monétaire et financier »47.
D’autre part, les dispositions de l’article L. 34-1 du CPCE, depuis réécrites par la loi du 30 juillet 2021 relative à la prévention d’actes de terrorisme et au renseignement48, ont été, dans leur rédaction antérieure, déclarées inconstitutionnelles en ce qu’elles imposaient la conservation généralisée des données pour les besoins de la recherche, de la constatation et de la poursuite des infractions pénales. Le Conseil a toutefois précisé que les mesures prises en application de ces dispositions ne peuvent pas être contestées sur le fondement de cette inconstitutionnalité car cela méconnaîtrait les objectifs de valeur constitutionnelle de sauvegarde de l’ordre public et de recherche des auteurs d’infractions et aurait ainsi des conséquences manifestement excessives49.
Mais si le Conseil constitutionnel se montre attentif à la nécessité de préserver la validité des mesures qui ont pu être prises sur le fondement de dispositions ultérieurement déclarées inconstitutionnelles, le juge de l’Union l’admet avec beaucoup moins de facilité. Seule la Cour elle-même peut, à titre exceptionnel, suspendre provisoirement l’effet d’éviction de la loi nationale non conforme, découlant du principe de primauté du droit de l’Union, et ce seulement dans l’arrêt même qui statue sur l’interprétation sollicitée50. La Cour, qui ne l’a pas admis dans l’arrêt Digital Rights, ni dans les arrêts La Quadrature du Net ou Commissioner of An Garda Síochána e.a., ne l’admet pas davantage dans la présente décision.
Les effets de la déclaration d’invalidité des dispositions nationales non conformes ne peuvent donc être limités dans le temps par le juge national. Celui-ci retrouve toutefois une certaine marge de manœuvre s’agissant d’apprécier la recevabilité des preuves obtenues sur le fondement de ces dispositions. La Cour de justice rappelle que cette question relève du droit national, sous réserve du respect des principes d’équivalence et d’effectivité. Ce dernier impose au juge pénal national d’écarter de tels éléments de preuve « si [les personnes poursuivies] ne sont pas en mesure de commenter efficacement ces informations et ces éléments de preuve, provenant d’un domaine échappant à la connaissance des juges et qui sont susceptibles d’influencer de manière prépondérante l’appréciation des faits »51. C’est ainsi que dans les arrêts du 12 juillet 2022, la chambre criminelle de la Cour de cassation a pu considérer que les dispositions du code de procédure pénale, en permettant à la personne mise en examen ou poursuivie de solliciter une contre-expertise, lui offrent la possibilité de contester efficacement la pertinence des éléments de preuve résultant de l’exploitation des données de connexion52.
Pour en revenir aux abus de marché, les enjeux attachés à la qualification d’infraction grave sont considérables. Au regard de la jurisprudence de la Cour de justice, il en va de la possibilité de procéder à une conservation généralisée des adresses IP ainsi qu’à la conservation ciblée et/ou à la conservation rapide des données relatives au trafic et des données de localisation, encore que la conservation ciblée paraisse difficilement praticable dès lors que toute personne est susceptible de commettre un abus de marché, et que la conservation rapide, telle que la conçoit la Cour, présente un intérêt limité dès lors qu’elle ne permet pas d’accéder aux données passées. L’enjeu est plus grand encore au regard de la jurisprudence du Conseil d’État et de la Cour de cassation, puisqu’il en va alors de la possibilité, par le biais de la conservation rapide, de puiser dans le « lac de données » conservées aux fins de sauvegarde de la sécurité nationale. L’ampleur des enjeux fait ressortir les incertitudes relatives à la notion de gravité, qui ont conduit à ne pas l’ériger en critère de l’aiguillage lors de la réforme de la sanction des abus de marché opérée en 2016. Si le fait qu’un comportement constitue un délit pénal passible d’une peine d’emprisonnement est sans doute un indice de sa gravité, particulièrement lorsque la peine encourue – 5 ans en matière d’abus de marché –influe sur certaines règles de procédure, qu’en est-il lorsque cette peine n’est effectivement encourue qu’en fonction de l’aiguillage du dossier ? La mise en œuvre de ce critère risque de creuser l’écart entre la voie pénale et la voie administrative, alors même que la procédure d’aiguillage n’est pas assortie de toutes les garanties processuelles que l’on pourrait souhaiter. Sur le plan probatoire, les solutions retenues par le juge de l’Union risquent de compliquer dans une certaine mesure la tâche des autorités de poursuite en matière d’opérations d’initiés en les privant de l’accès à des données précieuses pour établir la circulation d’une information privilégiée. Mais le recours aux présomptions et à la méthode du faisceau d’indices est de nature à alléger la charge probatoire, d’autant que l’autorité de marché n’est pas tenue d’établir précisément les circonstances dans lesquelles l’information privilégiée est parvenue jusqu’à la personne qui l’a utilisée. n
