État d’urgence et perquisitions : comment la copie de données privées fera son retour

Mise à jour : le projet de loi a été publié. Lire ici notre analyse.

À la suite de l’attentat de Nice qui a coûté la vie à 84 personnes sur la promenade des Anglais, le président François Hollande a annoncé immédiatement que l’état d’urgence, qui devait être suspendu, serait finalement prolongé pour une période supplémentaire de trois mois. Mais il sera aussi enrichi.

Ainsi le Premier ministre Manuel Valls a annoncé lundi soir que le projet de loi sur l’état d’urgence qui sera présenté ce mardi en conseil des ministres prévoirait le retour des perquisitions administratives qui avaient été supprimées lors de la dernière prolongation, avec leur volet informatique. Le texte doit ainsi inclure « la définition d’un cadre qui permettra la saisie et l’exploitation de données contenues dans des ordinateurs ou des téléphones ».

La possibilité de saisir des ordinateurs et des téléphones sur place, lors de perquisitions réalisées et ordonnées par la police sans l’autorisation d’un juge, avait déjà été prévue lors de la première instauration de l’état d’urgence en novembre 2015, au lendemain des attentats contre le Bataclan et l’épicerie juive de la porte de Vincennes. Elle permettait même d’utiliser sur place les équipements de la personne perquisitionnée, pour accéder à toutes les données du cloud, donc par exemple d’utiliser les sessions ouvertes sur Facebook, WhatsApp, Google et bien d’autres applications, et pouvoir ainsi découvrir, non seulement les communications et archives en ligne du suspect, mais aussi celles de ses contacts.

Un pouvoir de saisie des données beaucoup trop large

Mais le Conseil constitutionnel avait censuré la disposition le 19 février 2016, en notant à juste titre qu’elle n’avait aucune limite et était rédigée avec une imprécision exemplaire. « Il peut être accédé, par un système informatique ou un équipement terminal présent sur les lieux où se déroule la perquisition, à des données stockées dans ledit système ou équipement ou dans un autre système informatique ou équipement terminal, dès lors que ces données sont accessibles à partir du système initial ou disponibles pour le système initial. Les données auxquelles il aura été possible d’accéder dans les conditions prévues par le présent article peuvent être copiées sur tout support », disait le texte. Rien n’était dit sur le sort des données copiées, et leur durée de conservation.

C’est toutefois pour d’autres raisons de fond que le Conseil avait censuré le dispositif en début d’année :

« S’agissant des dispositions qui permettent à l’autorité administrative de copier toutes les données informatiques auxquelles il aura été possible d’accéder au cours de la perquisition, le Conseil constitutionnel a relevé que cette mesure est assimilable à une saisie. Ni cette saisie ni l’exploitation des données ainsi collectées ne sont autorisées par un juge, y compris lorsque l’occupant du lieu perquisitionné ou le propriétaire des données s’y oppose et alors même qu’aucune infraction n’est constatée. Au demeurant peuvent être copiées des données dépourvues de lien avec la personne dont le comportement constitue une menace pour la sécurité et l’ordre publics ayant fréquenté le lieu où a été ordonnée la perquisition.

Le Conseil constitutionnel a jugé que, ce faisant, le législateur n’a pas prévu de garanties légales propres à assurer une conciliation équilibrée entre l’objectif de valeur constitutionnelle de sauvegarde de l’ordre public et le droit au respect de la vie privée. »

Plus concrètement

Dans son commentaire officiel de la décision (.pdf), le Conseil constitutionnel précise ses griefs à l’encontre du dispositif qui était prévu dans l’état d’urgence initial :

« Les pouvoirs reconnus ainsi à la police administrative, après intrusion dans le domicile, sont en pratique quasiment aussi étendus que si une saisie des supports informatiques eux-mêmes était autorisée. Les dispositions contestées permettaient donc à l’autorité administrative d’opérer ce qui s’apparente à des saisies hors de toute infraction.

Enfin, les garanties entourant cette possibilité de saisie étaient faibles.

Ainsi, l’accès aux données n’était nullement encadré dans son périmètre : l’autorité administrative pouvait prendre copie de toutes les données auxquelles elle peut accéder par le système informatique ; alors même que la personne qui occupe les locaux n’a commis aucune infraction, l’autorité administrative pouvait prendre copie de l’intégralité des données informatiques auxquelles elle peut accéder, y compris des éléments « intimes » qui sont dépourvus de tout lien avec la menace que représenterait l’intéressé.

L’atteinte était d’autant plus importante lorsque le lieu perquisitionné est seulement un lieu occupé par une personne tierce à la personne regardée comme constituant une menace. Ainsi, par exemple, dans l’hypothèse où aurait été perquisitionné le domicile de parents ou d’amis de la personne regardée comme constituant une menace, pouvaient être ainsi « saisies » l’ensemble des données personnelles des amis ou parents de cette personne figurant sur des supports informatiques.

Par ailleurs, le texte ne contenait aucune prévision s’agissant du sort de ces données, la mention dans les écritures du Premier ministre selon laquelle elles devaient être conservées via un traitement de données personnelles soumis à la loi de 1978 n’étant pas suffisante à cet égard (et confirmant que les données en question n’ont pas vocation à être détruites à l’issue de la période de l’état d’urgence mais peuvent être utilisées).

Enfin, était évoqué un simple contrôle a posteriori, et uniquement s’il est saisi à cette fin, par le juge. »

Ce que le gouvernement devra faire

Dès lors, pour faire son retour dans l’état d’urgence, la copie de données informatiques devra prévoir trois choses qui n’étaient pas prévues initialement :

• N’autoriser la copie que si une infraction est constatée lors de la perquisition administrative ;
• Limiter la copie aux données en lien avec l’infraction constatée ;
• Prévoir un cadre strict de conservation et d’exploitation des données saisies.
• Faire entrer le juge dans la boucle.

La deuxième préconisation sera la plus difficile à respecter puisque bien souvent, les fichiers ne sont pas analysés sur place, mais copiés dans le but d’en réaliser l’exploration en laboratoire. Il pourrait toutefois être prévu que dans les cas où le tri est difficilement réalisable sur place, un juge puisse être contacté pour donner l’autorisation de copier l’ensemble. C’est en tout cas le sens des orientations données par le Conseil constitutionnel.

Votre VPN préféré n'est pas celui que vous croyez Quel est le meilleur VPN en 2024 ? Notre comparatif Retrouvez notre comparateur pour choisir le meilleur VPN