La troisième section de la Cour suprême a renvoyé aux sections unies les questions concernant les règles applicables à l’acquisition de chats cryptés depuis l’étranger (Sky-ECC) et la nécessité d’une vérification de la légitimité de cette acquisition par l’autorité judiciaire italienne.
Ordonnance no. 47798 du 30.11.2023
Comme le rappelle l’ordonnance, les problèmes concernant la plateforme Sky-ECC découlent de l’opération conjointe des polices française, belge et néerlandaise qui a permis d’accéder aux chats de plus de 70 000 utilisateurs de différents pays et de les décrypter en 2021.
En particulier, la Cour a observé que, d’une part, il existe de nombreux arrêts de légitimité[1] qui ont confirmé la possibilité d’acquérir des chats cryptés en vertu de l’art. 234 bis du code de procédure pénale (qui permet l’acquisition de documents et de données informatiques stockés à l’étranger), établissant une distinction entre les écoutes téléphoniques, d’une part, et l’acquisition et le décryptage de données de communication, d’autre part.
Cette orientation distingue en effet l’opération de capture du message crypté en transit vers le destinataire des opérations d’acquisition et de décryptage du contenu transmis, en considérant que la discipline des écoutes téléphoniques ne s’applique qu’au premier cas, en tant que flux de communications conformément à l’article 266 bis du code de procédure pénale[2]. Les messages envoyés et reçus aujourd’hui représenteraient donc une simple documentation de ces flux de communication, qui peut être utilisée comme preuve lorsque la clé cryptographique est disponible pour déchiffrer leur contenu.
Sur la base de cette distinction entre les données “en cours” et les données cristallisées sur la mémoire d’un appareil, la jurisprudence susmentionnée considère que l’acquisition de ces dernières par le biais d’une décision d’enquête européenne déclenchée par le ministère public est possible. En effet, l’art. 234 bis c.p.c. constituerait la règle interne accordant le pouvoir nécessaire pour procéder à l’OIE, qui ne peut être utilisée que si les mêmes actes d’enquête demandés“auraient pu être délivrés dans une affaire interne similaire“[3].
En outre, en ce qui concerne la deuxième question soumise aux sections unies, la jurisprudence en question a maintenu qu’aucun contrôle ne doit être effectué par le juge italien en ce qui concerne les preuves acquises dans le cadre de la procédure judiciaire étrangère ; ceci sur la base de l’hypothèse que l’activité d’acquisition est et doit être effectuée conformément à la législation de l’État étranger, puisqu’elle est effectuée de sa propre initiative et non pas à la demande du procureur italien. Par conséquent, la protection judiciaire relative à cette activité ne peut être trouvée que dans le système juridique étranger.
Toutefois, deux arrêts récents de la Cour suprême de cassation ont mis en lumière une orientation différente.
En particulier, le premier (n° 44154 du 02.11.2023) a soutenu que l’acquisition en vertu de l’article 234 bis du Code de procédure pénale est justifiée dans le cas de “.les éléments d’information “dématérialisés”, qui préexistaient au moment où les autorités judiciaires françaises ont commencé leurs investigations ou qui ont été constitués en dehors de ces investigations“Ce n’était pas le cas au moment de la demande et de la transmission des données en question.
Selon la Cour, une telle acquisition devrait autrement être encadrée par les règles relatives aux perquisitions et saisies (notamment l’article 254 bis du code de procédure pénale).
En outre, et en ce qui concerne la question relative à l’OIE, la Cour a estimé qu’il était nécessaire de vérifier “aux fins de l’exploitabilité des données d’information acquises, concernant les communications dans la phase “statique”, si les conditions initiales d’admissibilité en justice des activités d’enquête pertinentes couvertes par les ordonnances européennes étaient réunies”.
Cette orientation rappelle d’ailleurs les récents arrêts de la Cour européenne des droits de l’homme[4] qui ont étendu la protection de l’article 8 de la CEDH (droit au respect de la vie privée et familiale)[5] aux messages envoyés et reçus via l’internet et l’arrêt de la Cour constitutionnelle no. 170/2023 en ce qui concerne l’extension des garanties de l’art. 15 de la Constitution en ce qui concerne toutes les formes de communication[6].
En outre, il renforce l’introduction des dispositions de l’art. 132 Code de la protection de la vie privée (d.l. 132/2021, converti en l. 178/2021), par lequel le législateur a récemment choisi de juridictionnaliser la procédure d’acquisition des données relatives au trafic téléphonique et télématique externe dans le cadre d’une procédure pénale, qui nécessite désormais une ordonnance d’autorisation motivée du juge.
En revanche, deux arrêts récents[7], publiés au cours de la rédaction des motifs de l’ordonnance commentée, ont constitué une dernière ligne directrice. À la lumière de l’arrêt 170/2023 de la Cour constitutionnelle, il a été soutenu, tout récemment, que la nature de correspondance des messages informatiques (même lorsqu’ils sont conservés après leur réception) exclurait l’applicabilité de l’article. 234 bis du code de procédure pénale, relevant plutôt de l’acquisition de preuves documentaires conformément à l’article 234 du code de procédure pénale.
Les enjeux
À la lumière de cette incertitude interprétative, la Cour a posé les questions suivantes aux États-Unis :
“(a) En ce qui concerne la question de la preuve, l’acquisition de messages sur des chats de groupe échangés au moyen d’un système crypté, au moyen du site [Sky-ECC] du service répressif étranger qui a procédé au décryptage, constitue-t-elle l’acquisition de “documents et données informatiques” au sens de l’article 234-bis Code de procédure civile. Le Conseil de l’Union européenne a adopté une résolution sur l’acquisition de documents informatiques et de données stockées à l’étranger, selon laquelle “l’acquisition de documents informatiques et de données stockées à l’étranger est toujours autorisée, même s’ils ne sont pas accessibles au public, sous réserve du consentement, dans ce dernier cas, du détenteur légitime” ou de documents en vertu de l’article 234 du code de procédure pénale. ou relève d’une autre discipline relative à l’obtention de preuves.
(b) En outre, cette acquisition doit-elle être soumise, aux fins de l’utilisation des données ainsi divulguées, à un contrôle juridictionnel préalable ou ultérieur de sa légalité par le juge national?
Références
[1] Cass. sez. 4, n° 37503 du 30/05/2023 n.m. ; sez. IV du 16/05/2023 n° 38002/23 n.m. ; sez. 4, n° 16345 du 05/04/2023, Liguori et autres, non mass. ; Sez. 4 -, n° 16347 du 05/04/2023 Rv. 284563 – 01 ; Sez. 1 -, n° 6364 du 13/10/2022 (dép. 15/02/2023) Rv. 283998 – 01 😉
[2] “1. Dans les procédures relatives aux infractions visées à l’article 266, ainsi qu’à celles commises au moyen de technologies informatiques ou télématiques, l’interception du flux de communications relatives à des systèmes informatiques ou télématiques ou entre plusieurs systèmes est autorisée.
[3] Directive 2014/41/UE du Parlement européen et du Conseil du 03.04.2014.[4] Cour des droits de l’homme, arrêt. 5/09/2017, Barbulescu c. Roumanie, § 72 ; Cour européenne des droits de l’homme, arrêt. 3/04/2007, Copland c. Royaume-Uni, § 41 ; Cour européenne des droits de l’homme, arrêt. 17/12/2020, Saber c. Norvège, § 48.
[5] “1. Toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance.
2. Il ne peut y avoir d’ingérence d’une autorité publique dans l’exercice de ce droit que pour autant que cette ingérence est prévue par la loi et qu’elle constitue une mesure qui, dans une société démocratique, est nécessaire à la sécurité nationale, à l’ordre public, au bien-être économique du pays, à la prévention des infractions pénales, à la protection de la santé ou de la morale, ou à la protection des droits et libertés d’autrui”.
[6] “La liberté et le secret de la correspondance et de toute autre forme de communication sont inviolables.
Elles ne peuvent être restreintes que par un acte motivé de l’autorité judiciaire avec les garanties établies par la loi“.
[7] Cass. Sec. VI non. 46482 du 17.11.2023 ; Sec. VI non. 46833 du 21.11.2023).
