Surveillance de sécurité : le Royaume-Uni condamné pour son système d’interception et d’obtention de données

Au lendemain des révélations faites par Edward Snowden quant à l’existence de programmes de surveillance et de partage de renseignements (PRISM, Upstream et TEMPORA) utilisés par les services de renseignements américains et britanniques, plusieurs organisations ou personnes exerçant la profession de journaliste ou militant pour la défense des libertés se plaignirent de ce que leurs communications électroniques et leurs données de communication aient pu être interceptées ou recueillies par les services de renseignements britanniques. Certaines d’entre elles s’adressèrent à la Commission des pouvoirs d’enquête, organe spécialement chargé de l’examen des plaintes pour ingérence illicite des services de sécurité dans les communications, d’autres non. Toutes saisirent la Cour européenne des droits de l’homme (CEDH), par le biais de trois requêtes, jointes par la Cour de Strasbourg pour leur examen, alléguant une violation des articles 8 (respect de la vie privée), 10 (liberté d’expression) mais également 6 (droit à un procès équitable) et 14 (interdiction de la discrimination) de la Convention européenne.

Concernant l’article 8, d’abord, qui garantit le droit au respect de la vie privée, la CEDH a été amenée à examiner trois points distincts : le système d’interception de communications, le partage de renseignements avec les États étrangers et l’obtention de données de communication auprès de fournisseurs de services de communication. Sur le premier point, la CEDH rappelle que, dans sa jurisprudence relative aux interceptions judiciaires de communications, elle a défini six critères devant figurer dans la loi pour éviter les abus (la nature des infractions pouvant donner lieu à une décision d’interception ; une définition des catégories de personnes susceptibles de voir leurs communications interceptées ; une limite sur la durée de l’interception ; la procédure à suivre pour examiner, utiliser et stocker les données obtenues ; les précautions à prendre lors de la communication des données à d’autres parties ; et les circonstances dans lesquelles les données interceptées peuvent ou doivent être effacées ou détruites ; v. CEDH 4 avr. 1990, Huvig c. France, n° 11105/84, RFDA 1991. 101, chron. V. Berger, H. Labayle et F. Sudre ; RSC 1990. 615, obs. L.-E. Pettiti ), qui s’appliquent également aux interceptions opérées pour des raisons de sécurité nationale (CEDH, gr. ch., 4 déc. 2015, Roman Zakharov c. Russie, n° 47143/06, § 231, Dalloz actualité, 23 déc. 2015, obs. T. Soudain isset(node/176339) ? node/176339 : NULL, 'fragment' => isset() ? : NULL, 'absolute' => )) .'"'>176339), la Cour européenne étant aussi amenée à apprécier, dans ce dernier cas, les dispositions prises pour superviser la mise en œuvre des mesures de surveillance secrète ainsi que les mécanismes de notification et les recours prévus par la loi.

En l’espèce, elle confirme que la décision de recourir à un régime d’interception massive de communications (tel que prévu par la section 8[4] du Regulation of Investigatory Powers Act 2000) relève de la marge nationale d’appréciation (§ 387) et constate qu’au regard des organes de contrôle existant et des enquêtes ayant suivi les révélations d’Edward Snowden, les services secrets britanniques prennent au sérieux leurs engagements au regard de la Convention européenne et n’abusent pas des pouvoirs qui leur sont conférés par la loi (§ 387 : « the Court considers that the decision to operate a bulk interception regime was one which fell within the wide margin of appreciation afforded to the Contracting State. Furthermore, in view of the independent oversight provided by the Interception of Communications Commissioner and the IPT, and the extensive independent investigations which followed the Edward Snowden revelations, it is satisfied that the intelligence services of the United Kingdom take their Convention obligations seriously and are not abusing their powers under section 8[4] of RIPA »). Pour autant, la CEDH identifie deux sujets de préoccupation – le manque de surveillance quant au choix des « porteurs » internet et des communications interceptées et l’absence totale de garanties quant à la sélection des communications examinées – qui l’amènent à constater la violation de l’article 8 dès lors que le régime en cause ne satisfait pas à l’exigence de « qualité de la loi » et est incapable de maintenir l’« ingérence » dans ce que qui est « nécessaire dans une société démocratique » et constate une violation de l’article 8 (§ 388).

S’agissant du partage de renseignements avec les États étrangers, la Cour européenne aboutit au constat de non-violation, et ce alors même qu’elle se prononçait pour la première fois sur une telle problématique (§ 416). Pour ce faire, elle note que le droit interne indique avec suffisamment de clarté la procédure à suivre pour demander soit l’interception, soit le transfert de données provenant d’agences de renseignement étrangères (§ 447), et que la preuve de lacunes importantes dans l’application et le fonctionnement du régime n’a pas été rapportée (§ 447).

Sur l’obtention de données auprès de fournisseurs de services de communication, la CEDH rappelle qu’elle s’est récemment prononcée sur la conventionnalité d’un régime de réquisitions judiciaires avec l’arrêt Ben Faiza contre France (CEDH 8 févr. 2018, n° 31446/12, Dalloz actualité, 6 mars 2018, obs. N. Nalepa ; comp. cité par la Cour, CEDH 2 sept. 2010, Uzun c. Allemagne, n° 35623/05, Dalloz actualité, 20 sept. 2010, obs. S. Lavric , note H. Matsopoulou ; RSC 2011. 217, obs. D. Roets ). Et elle constate par ailleurs que le gouvernement britannique a reconnu, après intervention de la Cour de justice de l’Union européenne (CJUE 21 déc. 2016, Secretary of State for the Home Department v. Watson and Others, aff. C-698/15, RTD eur. 2017. 884, obs. M. Benlolo Carabot ; ibid. 2018. 461, obs. F. Benoît-Rohmer ), que la législation nationale était incompatible avec les droits fondamentaux du droit de l’Union, l’accès aux données conservées n’étant pas limité à la lutte contre les « infractions graves » et ne faisant l’objet d’aucun examen préalable par un tribunal ou un organe administratif indépendant, conduisant la High Court à exiger une réforme avant le 1^er novembre 2018. La CEDH en déduit logiquement que les dispositions en cause (issues du chap. II du RIPA) ne peuvent être conformes à la loi au sens de l’article 8 de la Convention européenne.

S’ajoute au double constat de violation de l’article 8 une violation de l’article 10 dès lors qu’aucune disposition de la section 8(4) du RIPA ne limite le pouvoir des services de renseignement de rechercher des éléments normalement protégés par le secret des sources des journalistes (§ 493). De même, le chapitre II du RIPA contient des dispositions protectrices mais qui s’appliquent uniquement lorsque l’objet de la demande est d’identifier une source. Pour la CEDH, ce régime ne peut pas être « conforme à la loi » au sens de l’article 10 (§ 499).

Pour finir, on signalera que les griefs tirés des articles 6 et 14, jugés manifestement mal fondés, sont rejetés, la Cour européenne des droits de l’homme rappelant que l’article 6, § 1, par principe, n’est pas applicable aux procédures décidant du placement d’une personne sous surveillance (§ 506 ; v. cités par la Cour, CEDH 6 sept. 1978, Klass et a. c. Allemagne, n° 5029/71, § 57‑61 ; 28 juin 2007, Association pour l’intégration européenne et les droits de l’homme et Ekimdzhiev c. Bulgarie, n° 62540/00, § 106) et estimant que toute différence de traitement fondée sur l’emplacement géographique était ici justifiée (§ 518).