Il est des règles dont on ne soupçonne parfois pas l’existence et qui, soudain, comme revenues d’un long sommeil, font une entrée remarquée dans le débat. Il en va ainsi de l’article 434-15-2 du code pénal, dont l’usage a notamment été largement commenté durant l’automne 2020.
Cette disposition punit « de trois ans d’emprisonnement et de 270 000 € d’amende le fait, pour quiconque ayant connaissance de la convention secrète de déchiffrement d’un moyen de cryptologie susceptible d’avoir été utilisé pour préparer, faciliter ou commettre un crime ou un délit, de refuser de remettre ladite convention aux autorités judiciaires ou de la mettre en œuvre, sur les réquisitions de ces autorités délivrées en application des titres II et III du livre Ier du code de procédure pénale ». Elle hisse la peine à cinq ans d’emprisonnement et 450 000 € d’amende si « le refus est opposé alors que la remise ou la mise en œuvre de la convention aurait permis d’éviter la commission d’un crime ou d’un délit ».
La notion de « convention secrète de déchiffrement d’un moyen de cryptologie » peut sembler abstraite à nombre d’entre nous. Elle trouve un début d’explication dans le code de la sécurité intérieure, qui nous apprend que les « conventions permettant le déchiffrement des données transformées au moyen de prestations [de cryptologie] »1 s’entendent des « clés cryptographiques ainsi que de tout moyen logiciel ou de toute autre information permettant la mise au clair de ces données »2. Codifiées au livre VIII consacré au renseignement, ces prévisions sont logées sous le titre VII, qui encadre les obligations des opérateurs et prestataires de services.
Spontanément, à la lecture de ces textes, le téléphone mobile n’est pas la première chose qui vient à l’esprit. C’est pourtant précisément cet objet, réplique miniature des aspects les plus intimes de nos vies, qui a fait émerger la question de l’application de l’article 434-15-2 du code pénal, cette disposition fondant, semble-t-il, une obligation, notamment durant la garde à vue, de communiquer aux enquêteurs le code de déverrouillage de son téléphone.
Progressivement, un régime se dessine quant aux conditions dans lesquelles il peut être recouru à l’article 434-15-2 du code pénal ; ce cadre a d’ailleurs été récemment précisé3. Il n’en reste pas moins que l’utilisation de cette disposition pour obtenir le code permettant de déverrouiller le téléphone portable d’un gardé à vue est critiquable à plus d’un titre.
Un régime en voie de clarification
Peu d’arrêts ont été rendus par la Cour de cassation au visa de l’article 434-15-2 du code pénal. Depuis son renvoi d’une question prioritaire de constitutionnalité (QPC) portant sur cette disposition4, la Cour en a essentiellement fait trois applications.
Dans la première5, elle écarte la violation du droit de ne pas s’incriminer soi-même au motif que celui-ci ne s’étend pas aux données que l’on peut obtenir en recourant à des pouvoirs coercitifs mais qui existent indépendamment de la volonté de l’intéressé ; elle admet également l’application du texte au code de déverrouillage d’un téléphone mobile.
Dans la deuxième6, à la motivation plus dense, la Cour se prononce successivement sur les conditions de mise en œuvre de l’article et sur la notion de convention secrète de déchiffrement appliquée au code de déverrouillage d’un téléphone portable :
• la réquisition de communication de la convention secrète de déchiffrement peut ainsi être valablement faite par un officier de police judiciaire agissant sous le contrôle de l’autorité judiciaire, mais ne peut se limiter à une simple demande formulée au cours d’une audition, sans avertissement que le refus d’y déférer est susceptible de constituer une infraction pénale ;
• quant au code de déverrouillage du téléphone, celui-ci « peut constituer une convention secrète de déchiffrement lorsque ledit téléphone est équipé d’un moyen de cryptologie, ce qui peut se déduire des caractéristiques de l’appareil ou des logiciels qui l’équipent ainsi que par les résultats d’exploitation des téléphones au moyen d’outils techniques, utilisés notamment par les personnes qualifiées requises ou experts désignés à cette fin, portés, le cas échéant, à la connaissance de la personne concernée ». La notion de téléphone portable « d’usage courant », à laquelle les juges du fond s’étaient référés, est écartée.
Dans la troisième7, l’exigence d’une analyse casuistique posée par la haute juridiction est confirmée et précisée. En l’espèce, la cour d’appel de Toulouse avait condamné un individu interpellé dans le cadre d’une manifestation des Gilets jaunes qui s’était opposé à communiquer aux enquêteurs le code secret permettant de déverrouiller son téléphone. Les seconds juges avaient en effet considéré que le code du téléphone mobile, qui a pour objet de garantir la sécurité du stockage ou de la transmission des données contenues dans le téléphone et d’assurer leur confidentialité, est un moyen de cryptologie au sens de l’article 434-15-2 du code pénal.
La déclaration de culpabilité du chef du refus est cassée par la Cour de cassation.
Dans son arrêt, la Cour s’attarde sur la motivation de la décision qui lui est soumise et en relève l’insuffisance : en se bornant à énoncer que le code du téléphone mobile, « qui a pour objet de garantir la sécurité du stockage ou de la transmission des données contenues dans le téléphone et d’assurer leur confidentialité est un moyen de cryptologie », la cour d’appel s’est déterminée par un « motif d’ordre général ». Or, pour entrer en voie de condamnation, il eût fallu qu’il soit constaté « que le téléphone du prévenu était équipé d’un moyen de cryptologie et que le code de déverrouillage permettait de mettre au clair les données qu’il contient ».
En somme, ce n’est pas sur la base d’une considération générale mais, in concreto, au regard de l’appareil en cause, que doit être opérée la constatation du fait que celui-ci est équipé d’un moyen de cryptologie et que le code de déverrouillage permet de mettre au clair les données qu’il contient.
Parce qu’il tend à éviter une application extensive d’une disposition dont le caractère intrusif est difficilement contestable, ce récent arrêt est à saluer. Il ne purge cependant pas ce régime naissant des nombreuses critiques qui peuvent lui être adressées.
Un régime en l’état insatisfaisant
L’application de l’article 434-15-2 du code pénal à la communication du code de déverrouillage du téléphone portable durant la garde à vue soulève une foule de difficultés aux allures de boîte de Pandore : comment déterminer si le téléphone est équipé d’un moyen de cryptologie ; si, selon toute vraisemblance, les téléphones cryptés (PGP) sont concernés et les téléphones plus anciens dont le code PIN verrouille l’écran sont exclus, quid de la majorité des smartphones aujourd’hui en circulation ; la présence d’applications utilisant des techniques de chiffrement suffit-elle, étant entendu que l’usage de celles-ci est désormais généralisé ; comment s’en assurer avant le déverrouillage ; la communication du code implique-t-elle ipso facto un accès illimité pour les enquêteurs à l’intégralité des données contenues dans le téléphone ?
Mais, en amont même de ces interrogations, c’est la question des droits fondamentaux qui se pose.
Créé peu après les attentats du 11 septembre 2001 par la loi du 15 novembre 20018, l’article 434-15-2 du code pénal avait vocation à lutter contre « l’usage frauduleux de moyens de cryptologie qui interviennent dans la commission d’infractions particulièrement graves liées […] à des actes de terrorisme ou de grande criminalité »9. Jusqu’en 2016, aucune condamnation n’avait été prononcée à son fondement10.
C’est plus d’une décennie et demie après avoir été envisagée par le législateur que la disposition a trouvé à s’appliquer, non seulement dans un contexte technologique sensiblement différent de celui qui l’a vue naître, mais également pour des faits éloignés de ceux qui en ont justifié la genèse.
Cet usage interroge, tant au regard de l’intention du législateur qu’à l’aune du principe d’application stricte de la loi pénale. Il fait également écho à un mouvement tendant à voir des normes initialement prévues pour des circonstances exceptionnelles prendre progressivement place dans le quotidien.
Certes, la disposition a été déclarée conforme à la Constitution11. De même, elle ne serait pas contraire à la jurisprudence de la Cour européenne des droits de l’homme, cette dernière ayant considéré que « le droit de ne pas s’incriminer soi-même ne s’étend pas à l’usage, dans une procédure pénale, de données que l’on peut obtenir de l’accusé en recourant à des pouvoirs coercitifs mais qui existent indépendamment de la volonté du suspect »12.
Mais ces éléments ne suffisent pas à convaincre du recours à l’article 434-15-2 du code pénal pour obtenir le déverrouillage du téléphone du gardé à vue.
En effet, l’absence de violation du droit de ne pas s’incriminer soi-même est loin d’être certaine. L’arrêt Saunders13 énumère des exemples des données qui existent indépendamment de la volonté du suspect : « les documents recueillis en vertu d’un mandat, les prélèvements d’haleine, de sang et d’urine ainsi que de tissus corporels en vue d’une analyse de l’ADN ». Dans chacun de ces cas, la participation de l’intéressé ne change rien à la nature des données : l’ADN, le sang, etc., sont les mêmes indépendamment de son intervention. Ce n’est pas le cas s’agissant des données se trouvant sur un téléphone, notamment dans les applications utilisant des techniques de chiffrement.
La communication du code de déverrouillage se décompose en réalité en deux opérations : l’accès aux données, d’une part, et leur transformation en données intelligibles pour l’enquêteur, d’autre part. En communiquant son code, le suspect ne se fait pas seulement passeur des données, il en devient mécaniquement l’interprète. Au moins sur ce second volet, le droit de ne pas s’incriminer soi-même est méconnu.
En droit comparé, la position de la Cour suprême des États-Unis offre un éclairage intéressant. Dans l’arrêt Riley14 rendu à l’unanimité de ses membres, la Cour suprême opère une distinction entre le téléphone pris comme objet physique et les données qu’il contient. Le régime n’est pas le même dans un cas et dans l’autre : l’examen des caractéristiques physiques de l’objet peut être opéré librement par l’agent procédant à l’arrestation, notamment pour s’assurer qu’il ne peut être utilisé comme une arme ; en revanche, les données contenues dans le téléphone bénéficient d’une protection accrue, un warrant (mandat) étant exigé pour y accéder.
L’opinion de la Cour, rédigée par le juge John G. Roberts Jr., mérite d’être citée : « [l]es téléphones modernes ne sont pas seulement une avancée technologique. Avec tout ce qu’ils contiennent et tout ce qu’ils révèlent, ils détiennent pour beaucoup d’Américains “les secrets d’une vie”. Le fait que la technologie permette à un individu de transporter autant d’informations ne rend pas ces dernières moins méritantes de la protection pour laquelle nos pères fondateurs se sont battus. Notre réponse à la question de savoir ce que la police doit faire avant de fouiller un téléphone est donc simple : demandez un mandat ».
Par ailleurs, l’application de l’article 434-15-2 du code pénal à la communication du code de déverrouillage du téléphone durant la garde à vue est susceptible de modifier la nature même de celle-ci : mesure de contrainte portant essentiellement sur le corps, sur la personne elle-même, la garde à vue se mue en une passerelle permettant l’accès à une infinité d’informations et jusqu’aux plus intimes, rendu aisé par le fait que celles-ci soient toujours, au sens propre, à portée de main de l’intéressé.
Enfin, l’articulation du droit de se taire en garde à vue et de la demande de communication du code de déverrouillage relève de l’équation insoluble. Rappelons en effet que la personne placée en garde à vue bénéficie du droit, « lors des auditions, après avoir décliné son identité, de faire des déclarations, de répondre aux questions qui lui sont posées ou de se taire »15. Dès lors, de deux choses l’une : soit le gardé à vue fait usage de son droit de se taire, auquel cas il est automatiquement en infraction au titre de l’article 434-15-2 du code pénal ; soit il communique son code secret, et alors son droit de demeurer muet est réduit à néant.
Un simple ajustement des conditions d’usage de l’article 434-15-2 du code pénal en garde à vue ne semble pas suffisant. C’est le principe même du recours à ses prévisions dans ce cadre qui appelle à être réévalué : édictée par le législateur en et pour d’autres circonstances, cette disposition ne doit pas être détournée de sa finalité à la seule faveur des évolutions technologiques.
Notes
1. CSI, art. L. 871-1.
2. CSI, art. R. 871-3.
3. Crim. 3 mars 2021, n° 19-86.757.
4. Crim. 10 janv. 2018, n° 17-90.019.
5. Crim. 10 déc. 2019, n° 18-86.878, D. 2019. 2410 
; AJ pénal 2020. 33, obs. I. Bello ; Dalloz IP/IT 2020. 193, obs. M. Quéméner .
6. Crim. 13 oct. 2020, n° 20-80.150, Dalloz actualité, 20 oct. 2020, obs. S. Fucini ; D. 2021. 609 , note S. Vergnolle ; AJ pénal 2020. 587, obs. P. de Combles de Nayves ; Dalloz IP/IT 2021. 54, obs. M. Quéméner .
7. Crim. 3 mars 2021, n° 19-86.757, préc.
8. L. n° 2001-1062, 15 nov. 2001, relative à la sécurité quotidienne.
9. Mme Marylise Lebranchu, garde des Sceaux, Sénat, compte-rendu de séance, 17 oct. 2020.
10. Rapport n° 491 de M. Michel Mercier, sénateur, au nom de la commission des lois, 23 mars 2016.
11. Cons. const. 30 mars 2018, n° 2018-696 QPC, Dalloz actualité, 19 avr. 2018, obs; D. Goetz ; D. 2018. 723, et les obs. ; AJ pénal 2018. 257, obs. M. Lacaze ; Dalloz IP/IT 2018. 514, obs. M. Quéméner ; Constitutions 2018. 192, Décision .
12. CEDH 17 déc. 1996, req. n° 19187/91, Saunders c. Royaume-Uni, AJDA 1995. 212, chron. J.-F. Flauss .
13. Ibid.
14. Cour suprême des États-Unis, Riley v. California, 134 S.Ct. 2473, 2493, 2014.
15. C. pr. pén., art. 63-1.
