La question de la collecte des données nominatives lors de mesure d’enquête administrative ou d’enquête préliminaire a déjà été signalée ici à propos de l’HADOPI et de la collecte massive et préalable de données auprès des opérateurs de téléphonies.

La Cour de justice s’est également prononcée sur cette question plus récemment par une décision du 5 avril 2022.

Les dispositions contestées de la loi française: 

2. L’article 77-1-1 du code de procédure pénale, dans sa rédaction résultant de la loi 24 décembre 2020, prévoit :
   « Le procureur de la République ou, sur autorisation de celui-ci, l’officier ou l’agent de police judiciaire, peut, par tout moyen, requérir de toute personne, de tout établissement ou organisme privé ou public ou de toute administration publique qui sont susceptibles de détenir des informations intéressant l’enquête, y compris celles issues d’un système informatique ou d’un traitement de données nominatives, de lui remettre ces informations, notamment sous forme numérique, le cas échéant selon des normes fixées par voie réglementaire, sans que puisse lui être opposée, sans motif légitime, l’obligation au secret professionnel. Lorsque les réquisitions concernent des personnes mentionnées aux articles 56-1 à 56-5, la remise des informations ne peut intervenir qu’avec leur accord.
   « En cas d’absence de réponse de la personne aux réquisitions, les dispositions du second alinéa de l’article 60-1 sont applicables.
   « Le dernier alinéa de l’article 60-1 est également applicable.
   « Le procureur de la République peut, par la voie d’instructions générales prises en application de l’article 39-3, autoriser les officiers ou agents de police judiciaire, pour des catégories d’infractions qu’il détermine, à requérir de toute personne, de tout établissement ou organisme privé ou public ou de toute administration publique, de leur remettre des informations intéressant l’enquête qui sont issues d’un système de vidéoprotection. Le procureur est avisé sans délai de ces réquisitions. Ces instructions générales ont une durée qui ne peut excéder six mois. Elles peuvent être renouvelées ».
3. L’article 77-1-2 du même code, dans sa rédaction résultant de la loi du 23 mars 2019, prévoit :
   « Sur autorisation du procureur de la République, l’officier ou l’agent de police judiciaire peut procéder aux réquisitions prévues par le premier alinéa de l’article 60-2.
   « Sur autorisation du juge des libertés et de la détention saisi à cette fin par le procureur de la République, l’officier ou l’agent de police peut procéder aux réquisitions prévues par le deuxième alinéa de l’article 60-2.
   « Les organismes ou personnes concernés mettent à disposition les informations requises par voie télématique ou informatique dans les meilleurs délais.
   « Le fait de refuser de répondre sans motif légitime à ces réquisitions est puni conformément aux dispositions du quatrième alinéa de l’article 60-2 ».

Le 3 décembre 2021, le Conseil constitutionnel s’est prononcé sur la compatibilité de ces dispositions :

• Qui permettent « au procureur de la République d’autoriser, sans contrôle préalable d’une juridiction indépendante, la réquisition d’informations issues d’un système informatique ou d’un traitement de données nominatives, qui comprennent les données de connexion. »
• Au regard du droit de l’Union européenne et, d’autre part, du droit au respect de la vie privée, ainsi que des droits de la défense et du droit à un recours juridictionnel effectif.

Ce que dit le Conseil Constitutionnel.

• Sur le droit de l’Union invoqué :

….sans qu’il soit besoin de se prononcer ni sur le grief tiré de la méconnaissance du droit de l’Union européenne qu’il n’appartient pas, au demeurant, au Conseil constitutionnel d’examiner..

• Au regard des dispositions nationales :

D’une part, les données de connexion comportent notamment les données relatives à l’identification des personnes, à leur localisation et à leurs contacts téléphoniques et numériques ainsi qu’aux services de communication au public en ligne qu’elles consultent. Compte tenu de leur nature, de leur diversité et des traitements dont elles peuvent faire l’objet, les données de connexion fournissent sur les personnes en cause ainsi que, le cas échéant, sur des tiers, des informations nombreuses et précises, particulièrement attentatoires à leur vie privée.

D’autre part, en application des dispositions contestées, la réquisition de ces données est autorisée dans le cadre d’une enquête préliminaire qui peut porter sur tout type d’infraction et qui n’est pas justifiée par l’urgence ni limitée dans le temps.

Si ces réquisitions sont soumises à l’autorisation du procureur de la République, magistrat de l’ordre judiciaire auquel il revient, en application de l’article 39-3 du code de procédure pénale, de contrôler la légalité des moyens mis en œuvre par les enquêteurs et la proportionnalité des actes d’investigation au regard de la nature et de la gravité des faits, le législateur n’a assorti le recours aux réquisitions de données de connexion d’aucune autre garantie.

Les termes visés par la décision d’inconstitutionnalité.

 Article 1^er. – Les mots «, y compris celles issues d’un système informatique ou d’un traitement de données nominatives, » figurant à la première phrase du premier alinéa de l’article 77-1-1 du code de procédure pénale, dans sa rédaction résultant de la loi n° 2020-1672 du 24 décembre 2020 relative au Parquet européen, à la justice environnementale et à la justice pénale spécialisée, et « aux réquisitions prévues par le premier alinéa de l’article 60-2 » figurant au premier alinéa de l’article 77-1-2 du même code, dans sa rédaction résultant de la loi n° 2019-222 du 23 mars 2019 de programmation 2018-2022 et de réforme pour la justice, sont contraires à la Constitution.

Article 2. – La déclaration d’inconstitutionnalité de l’article 1^er prend effet dans les conditions fixées au paragraphe 17 de cette décision. [31 décembre 2022]

Une clarification favorable au responsable du traitement

Qui a condamné WhatsApp à 225 millions d’euros d’amende en 2021 ?

Données personnelles. Leurs collectes et conservations de manière généralisée et indifférenciée, les précisions apportées par la Cour de Justice le 5 avril 2022.

Données personnelles de connexion : un contrôle préalable par une juridiction ou une autorité indépendante à l’accès par les agents de l’HADOPI  

CNIL : les critères de détermination du responsable de traitement, une question à 400 000 €

Sanction contre l’éditeur du site pour des cookies déposés pas des sociétés tierces

Une législation nationale peut-elle interdire la diffusion mondiale d’une information que son juge qualifie d’illicite car diffamatoire ?

l’accès aux données statiques et dynamiques sur les déplacements et la circulation

Moteur de recherche et territoires face aux demandes de déférencement

L’accès selon la loi du 6 janvier 1978 aux données personnelles du défunt ne bénéficie pas aux ayants droits.

L’article Données personnelles : à propos des réquisitions des données de connexion et autres données informatique portant sur des données nominatives. est apparu en premier sur Philippe Schmitt Avocats.