Voilà une décision qui ne passe pas inaperçu, un peu, d'ailleurs, à retardement.

En effet, répondant à une Question Prioritaire de Constitutionnalité (QPC), le Conseil Constitutionnel a jugé licite l'article 434-15-2 du Code Pénal, selon lequel:

 "Est puni de trois ans d'emprisonnement et de 270 000 € d'amende le fait, pour quiconque ayant connaissance de la convention secrète de déchiffrement d'un moyen de cryptologie susceptible d'avoir été utilisé pour préparer, faciliter ou commettre un crime ou un délit, de refuser de remettre ladite convention aux autorités judiciaires ou de la mettre en œuvre, sur les réquisitions de ces autorités délivrées en application des titres II et III du livre Ier du code de procédure pénale.

Si le refus est opposé alors que la remise ou la mise en œuvre de la convention aurait permis d'éviter la commission d'un crime ou d'un délit ou d'en limiter les effets, la peine est portée à cinq ans d'emprisonnement et à 450 000 € d'amende".

Donc, en garde à vue, on donne son code pin, ou le code de déverrouillage, ou schémas ou... n'importe quoi permettant aux enquêteurs d’accéder au support.

Récit

Pour être plus précis, il s'agit de la décision n°696 rendue le 30 mars 2018 par le Conseil Constitutionnel. De quoi s'agit-il?

Malek B. est placé en garde à vue par un service de police pour détention de produits stupéfiants. Au cours de cette garde à vue, les enquêteurs lui demandent le code pin de son téléphone; ce qu'il refuse. Le parquet est avisé du refus, et décide de poursuivre l’intéressé pour faire droit à l'article 434-15-2 du Code Pénal. A cette occasion, le requérant, par le biais de son avocat, a soulevé la QPC, transmise à la Cour de Cassation, laquelle a saisi le Conseil Constitutionnel, au motif

"en ce que l’article 434-15-2 du code pénal qui contraint, sous menace de sanctions pénales, une personne suspectée dans le cadre d’une procédure pénale, à remettre aux enquêteurs la convention secrète de déchiffrement d’un moyen de cryptologie susceptible d’avoir été utilisé pour préparer, faciliter ou commettre un crime ou un délit, pourrait porter atteinte au droit de ne pas faire de déclaration et à celui de ne pas contribuer à sa propre incrimination qui résultent des articles 9 et 16 de la Déclaration des droits de l’homme et du citoyen du 26 août 1789"

Pour comprendre, le requérant estime ici que l'obligation faite à son client de fournir les clés de décryptage irait à l'encontre du droit à ne pas s'auto-incriminer et, de fait, de son corollaire, le droit de garder le silence. Étant rappelé que, dans le cadre d'une mesure de garde à vue, ce droit est notifié à l’intéressé, lequel a le droit de ne pas répondre aux questions posées par les enquêteurs.

Si l'on peut faire un paralèle (c'est le Conseil Constitutionnel qui l'a fait), la même question, du droit à ne pas s'auto-incriminer, se pose également quant au prélèvement ADN, et le délit qui résulte de son refus. Le Conseil Constitutionnel avait alors admis ces dispositions, estimant que

" l’obligation pénalement sanctionnée de se soumettre au prélèvement, qui n’implique pas davantage de reconnaissance de culpabilité, n’est pas contraire à la règle selon laquelle nul n’est tenu de s’accuser"

Et d'ailleurs, il précisait également que le fait d'autoriser au prélèvement ADN pouvait AUSSI démontrer une preuve contraire à l'accusation initiale. Il en est de même pour le support informatique; téléphone portable, tablette ou ordinateur. Des éléments désincriminants peuvent également s'y trouver.

Enfin, le Conseil Constitutionnel a rappelé que le fait, pour l’intéressé, de fournir ces données

"... n’ont pas pour objet d’obtenir des aveux de sa part et n’emportent ni reconnaissance ni présomption de culpabilité mais permettent seulement le déchiffrement des données cryptées"

Logique. Il n'est pas question, en l’espèce, de faire parler le gardé à vue, de le faire avouer un crime ou un délit. Et même pas de poser des questions environnantes sur le sujet. Juste donner un code permettant l'accès aux données. Charge aux enquêteurs, ensuite, d'analyser le support, et de voir si certaines données intéressant l'enquête s'y trouvent.

Et Il n'y a pas de quoi s'étonner ! Certaines trouvent cela dérangeant, eu égard à la sensibilité des données personnelles que comporte le support. Et cela ajouté au fait que l'intrusion dans le téléphone se fasse sans décision judiciaire. Mais il n'y a qu'à regarder ce qu'il se passe avec les perquisitions. On entre DANS le domicile de la personne. On FOUILLE le domicile, intégralement au besoin. Et cela se fait SANS autorisation du magistrat (sauf en dehors des heures légales, entre 21h et 6h). Même si ce dernier contrôle les actes de police judiciaire, qu'il s'agisse du parquet ou du Juge d'Instruction. Et c'est heureux que cela se fasse de cette manière.

Les limites

L'arrêt, en lui-même, pose certaines limites, estimant que

"... En outre, l’enquête ou l’instruction doivent avoir permis d’identifier l’existence des données traitées par le moyen de cryptologie susceptible d’avoir été utilisé pour préparer, faciliter ou commettre un crime ou un délit"

Cela signifierait que l'enquête a dû, au préalable, démontrer, que le support a pu servir, ou peut renfermer des éléments en relation avec l'infraction. Dans le cas d’espèce de la détention de produits stupéfiants, le simple numéro de téléphone du fournisseur, par exemple.

Allons un peu plus loin, imaginons un malfaiteur qui dispose de deux téléphones portables. L'un pour son business, et l'autre pour contacter sa famille (fréquent pour les trafiquants). Si je suis le raisonnement, les enquêteurs ont démontré que leur cible utilisait un téléphone pour son trafic, et pourront donc l'obliger à donner les codes du téléphone pour déverrouiller celui-ci, lorsqu'il sera en garde à vue. Inversement, si l'autre téléphone est utilisé pour la famille (sans lien avec le trafic), il ne sera pas obligé de remettre les codes de celui-ci.

Bon, étant précisé qu'en pareille situation, des informations intéressantes, liées au trafic, peuvent se trouver sur l'autre support. Mais la question se pose.

Ensuite, il faut bien voir la limite posée par l'article créant l'infraction. 3 ans de prison (peine maximale risquée). Lorsqu'il est question d'investigations traitant de trafic de stupéfiants, de criminalité organisée, ou de terrorisme, l’intéressé pèsera lui-même l'intérêt de donner ses codes. S'il sait que son téléphone renferme des preuves de son implication, il risquera une condamnation bien plus lourde dans le cadre de l'affaire initiale, que cette peine de 3 ans. Inversement, s'il ne craint des données renfermées, probablement estimera-t-il qu'il ne risque rien à donner les codes de son téléphone.

Il existe aussi une limite dans la pratique. N'importe quelle garde à vue ne nécessite pas l'accès au téléphone portable. Le support qu'il a sur lui est intégré dans la fouille du gardé à vue, et jamais exploité. Quel intérêt, à priori, pour une affaire de conduite en état d'ivresse? D'outrage?

Enfin, le problème de l'accès aux données est un problème récurrent pour les enquêteurs, et de plus en plus important. Nombre de celles-ci sont chiffrées. Les investigations d'interception sont de plus en plus difficiles puisque, à ce jour, il n'est pas possible d'intercepter ces données chiffrées, ni même de les interpréter. Et l'accès à l'information est un outil indispensable pour les enquêtes. Pas le seul, certes, mais indispensable. Et les trafiquants ont bien compris cela. S'ils avaient, jusqu'alors, toujours une longueur d'avance sur l'enquête... ils en ont désormais quelques unes.

Et c'est un problème pour tous les types d'enquête. Qu'il s'agisse d'infractions de droit commun, mais aussi tout le prisme des crimes et délits, allant jusqu'au terrorisme. Il est tant que l'on aille de l'avant en ce sens, et que l'on nous donne les moyens de rattraper au moins une partie de ce retard.

L'enquêteur que je suis se demande aussi si le législateur ne pourrait pas, de la même manière, contraindre un constructeur? Avec, à la clé, non pas des peines de prison, mais des amendes importantes, pour chaque refus de donner des clés de cryptage.

Une question se pose encore, il me semble: un code PIN ou un code de verrouillage de téléphone sont-ils un moyen de cryptologie ? Au-delà même du chiffrage organisé par les constructeurs des appareils eux-même ?

Bref, tout n'est pas encore tranché... affaire à suivre.