Les nouvelles technologies, si elles permettent aux enquêteurs de recourir à des procédés de plus en plus élaborés pour déjouer les ruses de la délinquance organisée, perturbent néanmoins la matière pénale, et surtout la procédure pénale. En matière de techniques d’investigation — keylogger, IMSI‑catcher, captation d’images par drone, activation à distance d’un appareil électronique, etc. — les réformes qui se succèdent à un rythme effréné invitent à un constat : la consécration d’un nouvel acte d’enquête entraîne l’édification d’un régime juridique autonome qui contribue à la complexification de notre procédure pénale. En témoigne la question de la conservation des données de connexions et de leur accès qui a déjà fait l’objet d’un contentieux nourri, notamment devant la Cour de justice de l’Union européenne (CJUE) qui avait imposé, au fur et à mesure de ses arrêts, des exigences quant à la conservation des données de connexions et l’accès à celles‑ci. Elle le fit notamment dans un arrêt du 6 octobre 20201 au sein duquel elle a retenu que le droit de l’Union s’oppose « à une conservation généralisée et indifférenciée, à titre préventif, des données de trafic et de localisation aux fins de lutte contre la criminalité, quel que soit son degré de gravité ». Elle exposait à cette occasion les mesures de conservation possibles aux fins de sauvegarde de la sécurité nationale, de prévention de menaces graves contre la sécurité publique et de lutte contre la criminalité. L’analyse de la jurisprudence de la CJUE montre qu’elle fait du droit au respect de la vie privée un véritable écueil aux moyens classiques d’investigations pénales. Cela se vérifie dans sa jurisprudence sur l’accessibilité aux données. Dans un arrêt rendu le 2 mars 20212, la CJUE a affirmé que l’accès aux données de connexions ne peut être autorisé qu’aux conditions suivantes : « si ces données ont été conservées conformément aux exigences du droit européen ; s’il a eu lieu pour la finalité ayant justifié la conservation ou une finalité plus grave, sauf conservation rapide ; s’il est limité au strict nécessaire ; et s’agissant des données de trafic et de localisation, s’il est circonscrit aux procédures visant à la lutte contre la criminalité grave ; et s’il est soumis au contrôle préalable d’une juridiction ou d’une autorité administrative indépendante. » S’agissant précisément du dernier critère relatif au contrôle préalable, la CJUE a précisé, outre son caractère essentiel, que le droit de l’Union s’oppose à une réglementation nationale donnant compétence au ministère public, qui dirige la procédure d’enquête et exerce, le cas échéant, l’action publique, pour autoriser l’accès d’une autorité publique aux données relatives au trafic et aux données de localisation. Il en est de même pour un fonctionnaire de police, qui ne constitue pas une juridiction et ne présente pas toutes les garanties d’indépendance et d’impartialité requises3. En droit interne, la Cour de cassation a fort logiquement déduit de cet arrêt de la CJUE que les articles 60‑1, 60‑2, 77‑1‑1 et 77‑1‑2 du Code de procédure pénale sont contraires au droit de l’Union uniquement en ce qu’ils ne prévoient pas un contrôle préalable par une juridiction ou une entité administrative indépendante4. Dans un arrêt rendu le 4 juillet 2024, la chambre des appels correctionnels a fait application de cette solution jurisprudentielle dans une affaire dans laquelle l’annulation d’une mesure de géolocalisation à temps différé portant sur la ligne téléphonique d’un suspect, qui avait été autorisée par le parquet sur le fondement des articles 77‑1‑1et 77‑1‑2 du Code de procédure pénale, était sollicitée.
En l’espèce‚ une femme était alertée au milieu de la nuit par des voisins que son véhicule brûlait sur le parking de sa résidence. Des gendarmes étaient alors requis pour constater l’incendie du véhicule, et lors de son dépôt de plainte le lendemain matin, la victime indiquait suspecter l’ex‑compagne de son fils en raison d’un différend qui aurait eu lieu la veille au téléphone relatif à la garde de leur fille. La victime indiquait que son fils utilisait régulièrement son véhicule et qu’il avait du matériel professionnel à l’intérieur. Entendue dans le cadre d’une audition libre, l’ex‑compagne déclarait effectivement avoir été présente lors de l’incendie, mais ne pas y avoir pris part. Elle indiquait aux enquêteurs s’être rendue, avec un ami dont elle donnait l’identité, dans une station‑service afin d’y prendre de l’essence, et précisait que l’incendie avait été causé par cet ami qui était en possession à ce moment‑là de son téléphone portable. Une réquisition à l’opérateur téléphonique de la ligne utilisée par le suspect sur une période d’un mois, autorisée par le procureur de la République, était établie aux fins de géolocalisation à temps différé pour reconstitution ultérieure du parcours du suspect sur le fondement des articles 77‑1‑1 et 77‑1‑2 du Code de procédure pénale.
Poursuivi pour délit de destruction, dégradation ou détérioration d’un bien appartenant à autrui par l’effet d’une substance explosive, d’un incendie ou de tout autre moyen de nature à créer un danger pour les personnes5, le prévenu soulevait la nullité de la mesure de géolocalisation de son téléphone et de tous les actes qui en découlaient, au motif que les articles 60‑1, 60‑2, 77‑1‑1 et 77‑1‑2 du Code de procédure pénale sont contraires au droit de l’Union en ce qu’ils ne prévoient pas un contrôle préalable par une juridiction ou une entité administrative indépendante. Par jugement du 30 novembre 2023, le tribunal correctionnel a rejeté l’exception de nullité, et relaxé le prévenu des fins de la poursuite. Le parquet a interjeté appel principal de ce jugement.
Devant la chambre des appels correctionnels, la défense a déposé des conclusions de nullité in limine litis aux fins d’annulation de la réquisition prise sur le fondement des articles 77‑1‑1 et 77‑1‑2 du Code de procédure pénale et de tous les actes qui en ont découlé, en se fondant sur l’arrêt no 21‑83.710 du 12 juillet 2022 rendu par la chambre criminelle de la Cour de cassation6, dans lequel elle a jugé que les articles 60‑1, 60‑2, 77‑1‑1 et 77‑1‑2 du Code de procédure pénale étaient contraires au droit de l’Union uniquement en ce qu’ils ne prévoient pas un contrôle préalable par une juridiction ou une entité administrative indépendante. Se fondant sur cet arrêt, la défense arguait, d’une part, que l’application des articles 77‑1‑1 et 77‑1‑2 du Code de procédure mis en œuvre dans le cadre de la procédure devait être écartée, et entraîner la nullité de la réquisition prise sur ce fondement, ainsi que celle de tous les actes qui en avaient découlé ; d’autre part, que la géolocalisation du téléphone du prévenu était injustifiée et disproportionnée au regard de la faible gravité des faits et qu’il s’agissait en tout état de cause d’une mesure non nécessaire et disproportionnée, enfin que la géolocalisation du téléphone du prévenu lui ayant nécessairement fait grief en raison de l’atteinte à son droit au respect de sa vie privée et à la protection de ses données, c’est l’annulation de l’ensemble de la procédure qui était sollicitée.
Se fondant sur la directive 2002/58/CE et la jurisprudence de la CJUE, ainsi que l’arrêt no 21‑83.710 du 12 juillet 2022 de la Cour de cassation, la chambre des appels correctionnels estime, pour infirmer le jugement sur le rejet des conclusions en nullité, qu’en l’espèce, la réquisition à l’opérateur téléphonique aux fins de se faire communiquer les données de géolocalisation de la ligne téléphonique du prévenu ayant été établie par un officier de police judiciaire avec l’autorisation au procureur de la république, elle n’a donc pas été établie ou autorisée par un juge ou une autorité administrative indépendante, ce qui fait grief au requérant.
1. L’irrégularité de la géolocalisation du téléphone du suspect autorisée par le parquet
L’arrêt rendu le 4 juillet 2024 par la chambre des appels correctionnels permet de faire le point sur les règles applicables en matière de géolocalisation. L’article 230‑32 du Code de procédure pénale est plutôt discret sur les technologies utilisées et se contente d’évoquer « tout moyen technique destiné à la localisation en temps réel ». En pratique, il en existe deux en réalité. La première doit permettre le suivi en temps réel d’une personne grâce à la pose de balises (pour le suivi des véhicules par exemple) ou le suivi d’un dispositif de téléphonie mobile grâce à un dispositif espion qui permet d’obtenir des données de localisation en temps réel, tandis que la seconde doit permettre, en raison de l’obligation qu’ont les opérateurs de téléphonie de conserver les données de localisation de leurs clients7, de retrouver le positionnement passé d’un utilisateur grâce à un relevé des différentes bornes téléphoniques en lien avec l’appareil. Jusqu’à très récemment, il pouvait être considéré que, dans le cas de la géolocalisation d’un téléphone portable en temps réel, les enquêteurs n’ayant pas besoin de recourir aux services d’un fournisseur de téléphonie, il n’y avait donc pas lieu d’appliquer la directive 2002/58/CE du 12 juillet 2002, ni la jurisprudence Prokuratuur, et qu’il suffisait finalement de se référer aux articles 230‑32 et suivants du Code de procédure pénale qui permettent incontestablement au procureur de la République d’autoriser une telle mesure. Tel n’est plus le cas depuis un arrêt rendu le 27 février 2024 par la Cour de cassation au sein duquel la chambre criminelle a affirmé que les articles 230‑32 et suivants du Code de procédure pénale sont contraires au droit de l’Union en ce qu’ils autorisent le procureur de la République à ordonner une mesure de géolocalisation d’une ligne téléphonique qui permet à des enquêteurs d’accéder en temps réel aux données de localisation de celle‑ci, sans contrôle préalable par une juridiction ou une entité administrative indépendante8. La seconde forme de géolocalisation, dite « en temps différé », ne relève pas des articles 230‑32 et suivants du Code de procédure pénale9. Dans cette hypothèse, parce qu’il s’agit de réquisitions de données de localisation à un opérateur de téléphonie, elles entrent donc bien dans le champ d’application de la directive 2002/58/CE du 12 juillet 2002, et il est donc logique, dans l’espèce commenté, que la chambre des appels correctionnels applique à cette situation la solution jurisprudentielle retenue dans les arrêts du 12 juillet 2022 rendus par la Cour de cassation : à savoir qu’en dépit des prévisions de l’article 77‑1‑1 du Code de procédure pénale, le droit européen s’oppose à ce que le procureur de la République autorise les réquisitions de données de localisation10. Parce qu’elle avait précisément été autorisée par le parquet, la réquisition à l’opérateur de téléphonie du suspect était donc, dans l’arrêt commenté, indéniablement irrégulière.
2. Les conséquences de l’irrégularité
Il faut se souvenir que la Cour de cassation a tiré, dans les quatre arrêts rendus le 12 juillet 2022, les conséquences de la non‑conformité des dispositions du Code de procédure pénale au droit de l’Union eu égard au principe de l’autonomie procédurale qui lui permet de régler les modalités de recours destinées à assurer la sauvegarde des droits que les justiciables tirent du droit de l’Union, ces dernières ne devant pas être moins favorables que celles régissant les situations similaires en droit interne (principe d’équivalence) et qu’elles ne corrompent pas l’exercice des droits en cause (principe d’effectivité). La Cour de cassation rappelait alors que, hors les cas de nullité d’ordre public qui touchent à la bonne administration de la justice, la juridiction, saisie d’une requête ou d’une exception de nullité, doit d’abord rechercher si le requérant a intérêt à demander l’annulation de l’acte, puis, s’il a qualité pour la demander et, enfin, si l’irrégularité alléguée lui a causé un grief. Pour déterminer si le requérant a qualité pour agir en nullité, la juridiction doit examiner si la formalité substantielle ou prescrite à peine de nullité, dont la méconnaissance est alléguée, a pour objet de préserver un droit ou un intérêt qui lui est propre11. La Haute juridiction faisait ainsi le constat que les exigences européennes en matière de conservation et d’accès aux données de connexion ont pour objet la protection du droit au respect de la vie privée, du droit à la protection des données à caractère personnel et du droit à la liberté d’expression, de sorte que leur méconnaissance n’affecte qu’un intérêt privé. En application du principe d’équivalence, elle avait alors considéré que la personne mise en examen ou poursuivie n’est recevable à invoquer la violation de cette exigence en matière d’accès aux données de connexion que si elle prétend être titulaire ou utilisatrice de l’une des lignes identifiées ou si elle établit qu’il aurait été porté atteinte à sa vie privée, à l’occasion des investigations litigieuses12. Le juge pénal ne pouvant prononcer la nullité d’un acte de procédure, en application de l’article 802 du Code de procédure pénale, que si l’irrégularité elle‑même a occasionné un préjudice au requérant, lequel ne peut résulter de la seule mise en cause de celui‑ci par l’acte critiqué, la Cour de cassation affirmait que l’irrégularité fait nécessairement grief au requérant, lorsque la méconnaissance de la règle a irrévocablement affecté les droits de celui‑ci. Tel est le cas lorsque l’acte qui porte atteinte à la vie privée a été accompli par une autorité qui n’était pas compétente, à défaut d’y avoir été autorisée, conformément à la loi. Tel est également le cas lorsque l’acte n’a pas été motivé par l’autorité compétente pour l’ordonner alors qu’il devait l’être13. À défaut, il appartient au requérant de justifier d’une atteinte à ses intérêts. Sur ce point encore, la chambre des appels correctionnels fait une exacte application de la solution retenue par la Cour de cassation qu’elle reprend in extenso dans son arrêt rendu le 4 juillet 2024, pour affirmer que l’irrégularité de la réquisition à l’opérateur téléphonique aux fins de se faire communiquer les données de géolocalisation de la ligne téléphonique du prévenu, établie par un officier de police judiciaire, avec l’autorisation au procureur de la république, « fait nécessairement grief au requérant ». Toutefois, un infléchissement de cette jurisprudence est peut‑être à l’œuvre puisque, dans deux arrêts récents, la chambre criminelle de la Cour de cassation n’a pas hésité à valider le raisonnement des juges du fond qui avaient considéré que « si le parquet n’est pas une juridiction ou une autorité administrative indépendante de l’enquête pouvant exercer un contrôle préalable de l’accès aux données de connexion, les nullités de procédure qui pourraient en résulter ne peuvent être admises que si le requérant auxdites nullités justifie d’un grief », sans même prendre la peine de rappeler qu’il s’agit là d’une exigence impérative14.
