Cryptologie : l’incrimination du refus de remettre la convention de déchiffrement est constitutionnelle

L’article 434-15-2 du code pénal est un texte méconnu relatif à la « science du secret » qui a reçu peu d’applications depuis son introduction dans le code pénal par la loi du 15 novembre 2001 relative à la sécurité quotidienne. L’article 29 de la loi du 21 juin 2004 pour la confiance dans l’économie numérique définit la cryptologie comme « tout matériel ou logiciel conçu ou modifié pour transformer des données, qu’il s’agisse d’informations ou de signaux, à l’aide de conventions secrètes ou pour réaliser l’opération inverse avec ou sans convention secrète. Ces moyens de cryptologie ont principalement pour objet de garantir la sécurité du stockage ou de la transmission de données, en permettant d’assurer leur confidentialité, leur authentification ou le contrôle de leur intégrité ». Précisément, l’intérêt de l’article 434-15-2 du code pénal est de pénaliser le refus de remettre aux autorités judiciaires la convention secrète de déchiffrement d’un moyen de cryptologie. Selon cet article, est puni de trois ans d’emprisonnement et de 270 000 € d’amende le fait, pour quiconque ayant connaissance de la convention secrète de déchiffrement d’un moyen de cryptologie susceptible d’avoir été utilisé pour préparer, faciliter ou commettre un crime ou un délit, de refuser de la remettre aux autorités judiciaires ou de la mettre en œuvre, sur les réquisitions de ces autorités délivrées en application des titres II et III du livre I^er du code de procédure pénale.

Créé peu après les attentats du 11 septembre 2001, cet article était, dès l’origine, présenté comme un outil de « lutte contre l’usage frauduleux de moyens de cryptologie qui interviennent dans la commission d’infractions particulièrement graves liées à des actes de terrorisme ou de grande criminalité » (v. Rep. pén, v° Cybercriminalité, par F. Chopin). La matérialité de cette infraction est constituée par le refus de communiquer une clé de déchiffrement aux autorités judiciaires ou de la mettre en œuvre, à la suite de réquisitions en ce sens des autorités. En d’autres termes, cette infraction sanctionne un comportement négatif. En parallèle, pour que le dispositif soit efficace, le législateur a utilement prévu à l’article 230-1 du code de procédure pénale que lorsqu’il apparaît que des données saisies ou obtenues au cours de l’enquête ou de l’instruction ont fait l’objet d’opérations de transformation empêchant d’accéder aux informations en clair qu’elles contiennent ou de les comprendre, ou que ces données sont protégées par un mécanisme d’authentification, le procureur de la République, la juridiction d’instruction, l’officier de police judiciaire, sur autorisation du procureur de la République ou du juge d’instruction, ou la juridiction de jugement saisie de l’affaire peuvent désigner toute personne physique ou morale qualifiée, en vue d’effectuer les opérations techniques permettant d’obtenir l’accès à ces informations, leur version en clair, ainsi que, dans le cas où un moyen de cryptologie a été utilisé, la convention secrète de déchiffrement, si cela apparaît nécessaire.

En filigrane de cette QPC, il faut relever qu’il résulte de l’emploi du terme quiconque par l’article 434-15-2 que cette infraction s’applique non seulement aux personnes fournissant un moyen de cryptologie susceptible d’aider à la commission d’une infraction, mais aussi à toute personne utilisant un tel moyen de cryptologie, y compris la personne suspectée d’être l’auteur de l’infraction commise à l’aide de celui-ci. Cette dernière hypothèse était précisément celle au cœur de l’affaire qui nous intéresse. Simples, les faits à l’origine de cette QPC sont en effet relatifs à un individu interpellé et placé en garde à vue pour détention d’un produit stupéfiant. Au cours de sa garde à vue, l’intéressé a refusé de remettre les codes de déverrouillage des téléphones qu’il possédait. Le requérant soutient que l’article 434-15-2 du code pénal, en sanctionnant le refus pour une personne suspectée d’une infraction de remettre aux autorités judiciaires ou de mettre en œuvre à leur demande, une clé de déchiffrement susceptible d’avoir été utilisée pour commettre cette infraction, porte atteinte au droit au silence et au droit de ne pas contribuer à sa propre incrimination. Les dispositions contestées seraient donc, selon lui, contraires au droit à une procédure juste et équitable garanti par l’article 16 de la Déclaration des droits de l’homme et du citoyen de 1789 et au principe de présomption d’innocence garanti par l’article 9 de cette même déclaration. Elles violeraient également le droit au respect de la vie privée et, selon l’une des parties intervenantes, le secret des correspondances, les droits de la défense, le principe de proportionnalité des peines et la liberté d’expression. Ces griefs sont cependant tous rejetés par le Conseil constitutionnel qui considère que la disposition contestée est conforme à la Constitution.

Pour aboutir à ce résultat, les Sages avancent deux arguments. Premièrement, ils relèvent qu’en imposant à la personne ayant connaissance d’une convention secrète de déchiffrement d’un moyen de cryptologie de remettre cette convention aux autorités judiciaires ou de la mettre en œuvre uniquement si ce moyen de cryptologie est susceptible d’avoir été utilisé pour préparer, faciliter ou commettre un crime ou un délit et uniquement si la demande émane d’une autorité judiciaire, le législateur a poursuivi les objectifs de valeur constitutionnelle de prévention des infractions et de recherche des auteurs d’infractions, tous deux nécessaires à la sauvegarde de droits et de principes de valeur constitutionnelle (paragraphe 7). Deuxièmement, le Conseil constitutionnel souligne que constitue un moyen de cryptologie « tout matériel ou logiciel conçu ou modifié pour transformer des données, qu’il s’agisse d’informations ou de signaux, à l’aide de conventions secrètes ou pour réaliser l’opération inverse avec ou sans convention secrète ». En l’espèce, les dispositions critiquées n’imposent à la personne suspectée d’avoir commis une infraction, en utilisant un moyen de cryptologie, de délivrer ou de mettre en œuvre la convention secrète de déchiffrement que s’il est établi qu’elle en a connaissance. Cette précision est intéressante car les Sages en déduisent que les dispositions contestées n’ont pas pour objet d’obtenir des aveux de sa part et n’emportent ni reconnaissance ni présomption de culpabilité mais permettent seulement le déchiffrement des données cryptées (§ 8).

En conséquence, le Conseil constitutionnel déclare le premier alinéa de l’article 434-15-2 du code pénal conforme à la Constitution.