Votre banque reçoit un courrier d’un officier de police judiciaire qui réclame vos relevés des six derniers mois. Doit-elle vous prévenir ? Peut-elle refuser ? Et votre opérateur, que transmet-il quand on l’interroge sur vos appels ?
Ces questions agitaient déjà les juristes en septembre 2002. La loi d’orientation et de programmation pour la sécurité intérieure du 29 août 2002 annonçait un texte permettant aux enquêteurs d’accéder directement, et à distance, aux fichiers informatiques des banques, des opérateurs et des administrations. Beaucoup y voyaient une menace pour la confidentialité des données.
Plus de vingt ans après, ce texte existe. Il a été complété plusieurs fois, et le droit européen l’a sérieusement encadré. Faisons le point sur ce que la police peut réellement obtenir aujourd’hui, et sur les garde-fous qui vous protègent.
De l’annonce de 2002 au Code de procédure pénale
L’annexe de la loi de 2002 partait d’un constat simple. Trop d’enquêtes s’enlisaient parce que les organismes interrogés mettaient des semaines à répondre aux réquisitions. Le gouvernement promettait donc un accès direct aux fichiers, sur autorisation d’un magistrat.
La promesse a été tenue dès la loi pour la sécurité intérieure du 18 mars 2003, qui a inscrit dans le Code de procédure pénale les articles 60-1 et 60-2. Les critiques de l’époque portaient sur la sécurité des systèmes et sur le coût du dispositif pour les entreprises. Elles n’ont pas disparu, mais le débat s’est déplacé vers la protection de la vie privée, face à des volumes de données sans commune mesure avec ceux de 2002.
Le sujet reste l’un des plus sensibles du droit des technologies de l’information.
La réquisition judiciaire, outil quotidien des enquêteurs
Une réquisition est une demande adressée par un officier de police judiciaire, un procureur ou un juge d’instruction à une personne qui détient une information utile à l’enquête. Banque, opérateur télécom, hébergeur, employeur, administration, commerçant : presque tout le monde peut en recevoir une.
Le cadre varie selon le stade de la procédure :
- en enquête de flagrance, l’officier de police judiciaire peut requérir directement (article 60-1 du Code de procédure pénale)
- en enquête préliminaire, il lui faut l’autorisation du procureur de la République (article 77-1-1)
- pendant une information judiciaire, c’est le juge d’instruction qui ordonne ou autorise la réquisition
La personne requise ne peut pas opposer le secret professionnel sans motif légitime. Si elle s’abstient de répondre, elle s’expose à une amende pénale. Certaines professions bénéficient d’une protection renforcée (avocats, médecins, journalistes notamment) : la remise d’informations les concernant suppose leur accord.
L’article 60-2 va plus loin. Il correspond à ce qui était annoncé en 2002 : l’enquêteur peut obtenir, par voie télématique ou informatique, la mise à disposition des informations contenues dans les systèmes d’un organisme public ou privé, sauf si elles sont couvertes par un secret protégé par la loi. Un décret en Conseil d’État encadre les organismes concernés et les modalités techniques, ce qui répondait en partie à la crainte d’un « piratage » des bases de données par la police.
Données de connexion : le coup de frein européen
Les réquisitions les plus fréquentes visent les données de connexion. Qui a appelé qui, à quelle heure, depuis quelle antenne relais, quelle adresse IP se cachait derrière un message. Les opérateurs et les fournisseurs d’accès à Internet doivent conserver certaines de ces données en vertu de l’article L34-1 du Code des postes et des communications électroniques.
La Cour de justice de l’Union européenne a jugé, notamment dans ses arrêts La Quadrature du Net (octobre 2020) et Prokuratuur (mars 2021), qu’une conservation généralisée de ces données et un accès trop large contrevenaient à la directive vie privée et communications électroniques. L’accès doit être réservé à la criminalité grave et soumis au contrôle d’une juridiction ou d’une autorité indépendante.
La France a dû s’adapter. Le Conseil d’État s’est prononcé en avril 2021 dans l’affaire French Data Network, puis le législateur a réécrit l’article L34-1. Depuis la loi du 2 mars 2022, l’article 60-1-2 du Code de procédure pénale limite les réquisitions de données de connexion aux procédures portant sur un crime ou un délit puni d’au moins trois ans d’emprisonnement, avec quelques exceptions (certains délits commis en ligne ou la recherche d’une personne disparue, par exemple).
Franchement, ce n’est pas un détail de procédure. La Cour de cassation a admis en juillet 2022 qu’une personne poursuivie puisse contester un accès à ses données réalisé sans contrôle suffisant, à condition de démontrer une atteinte à sa vie privée.
Perquisition informatique et captation à distance
Lors d’une perquisition, les enquêteurs peuvent consulter les données de l’ordinateur ou du téléphone présent sur place. Ils peuvent aussi accéder à celles qui sont accessibles depuis cet appareil, par exemple sur un service en ligne (article 57-1 du Code de procédure pénale).
Pour la criminalité et la délinquance organisées, la loi autorise en plus la captation de données informatiques à distance, grâce à un dispositif installé sur l’appareil visé. C’est la technique la plus intrusive de toutes. Elle suppose l’autorisation d’un juge et reste limitée à une liste d’infractions graves.
Et si vos données sont chiffrées ? Refuser de remettre à l’autorité judiciaire la convention secrète de déchiffrement d’un moyen de cryptologie susceptible d’avoir servi à une infraction est un délit (article 434-15-2 du Code pénal). En novembre 2022, la Cour de cassation réunie en assemblée plénière a admis que le code de déverrouillage d’un téléphone pouvait constituer une telle convention, selon les caractéristiques de l’appareil. La liberté de crypter se discute donc aujourd’hui en termes très concrets.
Quels garde-fous pour vos données ?
Le RGPD ne s’applique pas aux traitements réalisés par la police et la justice pour rechercher les infractions. Ceux-ci relèvent d’une directive européenne de 2016, transposée dans la loi Informatique et libertés. Vos données à caractère personnel restent protégées, selon des règles adaptées aux besoins de l’enquête.
| Mesure | Texte principal | Point de vigilance |
|---|---|---|
| Réquisition en flagrance | Article 60-1 CPP | Secret professionnel opposable seulement avec un motif légitime |
| Réquisition en enquête préliminaire | Article 77-1-1 CPP | Autorisation du procureur obligatoire |
| Accès télématique aux fichiers | Article 60-2 CPP | Exclut les informations couvertes par un secret légal |
| Données de connexion | Article 60-1-2 CPP et L34-1 CPCE | Réservé aux infractions d’une certaine gravité |
| Perquisition informatique | Article 57-1 CPP | Peut s’étendre aux données accessibles en ligne |
| Code de déverrouillage | Article 434-15-2 du Code pénal | Le refus peut être sanctionné |
Plusieurs protections jouent en pratique :
- la nullité des actes irréguliers, que votre avocat peut soulever devant la juridiction
- le contrôle du juge sur les mesures les plus intrusives
- les secrets protégés par la loi, comme le secret professionnel de l’avocat ou le secret des sources des journalistes
- le droit d’accès indirect à certains fichiers de police, exercé par l’intermédiaire de la CNIL
Mon conseil : si vous apprenez qu’une enquête vous concerne et que vos données ont été réquisitionnées, notez les dates et les organismes en cause, puis consultez un avocat pénaliste. La régularité d’une réquisition se discute pièce par pièce, et seul l’accès au dossier permet d’en juger.
Pour reprendre les bases, la notion d’infraction pénale et ses trois catégories conditionnent beaucoup de ces règles.
Questions fréquentes sur les réquisitions judiciaires
Ma banque doit-elle me prévenir d’une réquisition judiciaire ?
Non. La banque répond à l’autorité judiciaire sans avoir l’obligation de vous informer, et elle ne peut pas lui opposer le secret bancaire. Vous découvrez en général la réquisition en consultant le dossier de la procédure.
La police peut-elle lire mes e-mails sans juge ?
L’interception de correspondances en cours de transmission relève du juge d’instruction ou, pour certaines infractions graves, du juge des libertés et de la détention. Les messages déjà stockés sur un appareil peuvent en revanche être consultés lors d’une perquisition informatique, dans le cadre légal de l’enquête.
Combien de temps les opérateurs gardent-ils mes données de connexion ?
La durée dépend de la catégorie de données et des règles de l’article L34-1 du Code des postes et des communications électroniques, réécrit en 2021. Les données d’identification sont conservées plus longtemps que les données de trafic, dont la conservation généralisée n’est admise qu’en cas de menace grave pour la sécurité nationale.
Puis-je refuser de donner le code de mon téléphone aux enquêteurs ?
Le refus peut constituer un délit si le téléphone est équipé d’un moyen de cryptologie et que le code est demandé par une autorité judiciaire. La Cour de cassation l’a admis en 2022. Faites-vous conseiller par un avocat, car la réponse dépend de l’appareil et du cadre de la demande.
