technique d'enquête s'applique aux enquêtes et instructions relatives à un crime ou un délit punit d'au moins trois ans d'emprisonnement.

182. **Les cyberpatrouilles.** Cette technique numérique d'enquête est prévue à l'article 230-46 du Code de procédure pénale. Elle permet notamment aux enquêteurs de participer à des échanges électroniques, y compris avec les personnes susceptibles d'être les auteurs de ces infractions ou d'extraire ou conserver par ce moyen des données sur ces personnes. En permettant aux enquêteurs de communiquer avec des auteurs potentiels en utilisant un pseudonyme, les cyberpatrouilles permettent d'intercepter directement des données de contenu<fnref n="320" />. Elles peuvent être diligentées pour un crime ou délit punis d'une peine d'emprisonnement, sans seuil minimal, commis par voie de communication électronique.

183. **Une peine d'emprisonnement.** On remarque que pour diligenter ces deux techniques d'enquête numériques, il faut à minima que la peine encourue soit une peine d'emprisonnement. Toutefois, l'utilisation des drones requiert à minima une peine de trois ans d'emprisonnement. Ce seuil minimal n'est pas anodin et résulte de l'influence de la Cour de justice de l'Union européenne<fnref n="321" />. À côté de ces techniques, il y a les techniques d'enquête relevant de la criminalité organisée.

## 2) Les techniques d'enquête numériques relevant de la criminalité organisée

184. **Les sonorisations et captation d'images.** Elles sont prévues à l'article 706-96 du Code de procédure pénale. Elles permettent de capter, fixer, transmettre et enregistrer les paroles d'un individu prononcées dans un cadre privé. En effet, ces paroles peuvent être prononcées à « titre privé ou confidentiel, dans des lieux ou véhicules privés ou publics ». Cette technique rend aussi possible l'obtention d'images d'une ou de plusieurs personnes se trouvant dans un lieu privé.

185. **Les IMSI-catcher.** Il s'agit d'un dispositif se comportant comme une antenne-relais téléphonique fictive, qui capte les données techniques de connexion émises par les téléphones en activité dans son périmètre d'action. Certains dispositifs peuvent

<footnote n="320">³²⁰ J. Buisson, « Preuve » in *Répertoire de droit pénal et de procédure pénale*, Dalloz, v°, 2020, n°193.</footnote>

<footnote n="321">³²¹ *V. Infra*.</footnote>
géolocaliser les terminaux de télécommunication et intercepter des communications<fnref n="322" />. L'utilisation des IMSI-Catcher est prévue à l'article 706-95-20 du Code de procédure pénale, elle ne peut se faire qu'en matière de criminalité ou délinquance organisée. Elle permet donc d'intercepter des données de contenu ainsi que des données de connexion.

**186. La captation de données informatiques.** Cette interception s'effectue par « la mise en place un dispositif technique ayant pour objet, sans le consentement des intéressés, d'accéder, en tous lieux, à des données informatiques, de les enregistrer, de les conserver et de les transmettre, telles qu'elles sont stockées dans un système informatique, telles qu'elles s'affichent sur un écran pour l'utilisateur d'un système de traitement automatisé de données »<fnref n="323" />. Cette captation consiste aussi bien en un recueil qu'une interception de données. Elle permet la récupération de plusieurs types de données telles que les données de contenu, les données de connexion ainsi que des données d'identité<fnref n="324" />. À côté de cette technique, il y a des techniques qui visent exclusivement l'extraction de données.

## B) Les techniques d'extraction

**187. Une technique de fouille.** Ces techniques d'enquête numériques impliquent de « s'introduire dans un ordinateur pour en fouiller le contenu et extraire toute information utile »<fnref n="325" />. Ces techniques permettent de recueillir les données en différé. « Elles conduisent à rechercher activement des indices dans un espace numérique clos et privé »<fnref n="326" />.

**188. Les saisies et perquisitions informatiques.** Elles sont prévues par les articles 57-1 en enquête de flagrance, 76-3 en enquête préliminaire et 97-1 dans le cadre de l'information judiciaire du Code de procédure pénale. La perquisition informatique regroupe plusieurs réalités<fnref n="327" />. En effet, il peut s'agir de la perquisition effectuée et au cours de laquelle les services enquêteurs accèdent à un système informatique implanté

<footnote n="322">³²² M-P. Bagnéris, « L'office du juge des libertés et de la détention pour l'obtention de preuves numériques en matière pénale, Compte rendu d'entretien avec Frédérique Dalle », *Revue Justice actualités*, n°21, juin 2019, p. 121.</footnote>

<footnote n="323">³²³ Art. 706-102-1 du Code de procédure pénale.</footnote>

<footnote n="324">³²⁴ A. Mornet, « Vers un droit commun de la preuve numérique ? », *Lexbase Pénal*, 8 mars 2023.</footnote>

<footnote n="325">³²⁵ O. Décima, « Du piratage informatique aux perquisitions et saisies numériques », *AJ Pénal*, 2017, p. 315.</footnote>

<footnote n="326">³²⁶ *Ibid.*, p. 315.</footnote>

<footnote n="327">³²⁷ S. Sontag-Koenig, « La transformation des actes d'enquête : de la perquisition (informatique) aux autres techniques de captation », *AJ Pénal*, 2023, p. 486.</footnote>
sur les lieux et procèdent à la saisie de son contenu. Il peut également s'agir d'une
perquisition effectuée depuis les locaux des services enquêteurs, ils accèdent alors
immatériellement à un autre système informatique pour en récupérer les données. Ces
perquisitions nécessitent une recherche active des enquêteurs. Ils peuvent, par ce moyen
d'enquête, recueillir des données relatives au contenu, mais pas seulement. C'est aussi
le cas de la mise en clair de données.

**189. La mise au clair de données.** Cette technique résulte de l'article 203-1 du Code de procédure pénale. Lorsque les données saisies sont chiffrées ou font l'objet de mécanismes d'authentification, la mise en clair permet de les rendre accessibles. Tout comme les saisies et perquisitions informatiques, cette technique ne nécessite aucune condition de gravité<fnref n="328" />, c'est-à-dire qu'elle peut être utilisée en dehors de la criminalité organisée ou de l'instruction. Enfin, la mise au clair de données chiffrées permet de recueillir plusieurs types de données, dont des données de contenu.

**190. L'accès aux correspondances stockées.** Cette technique complète les deux précédentes. Mais elle ne concerne que la criminalité organisée. En effet, elle permet « l'accès, à distance et à l'insu de la personne visée, aux correspondances stockées par la voie des communications électroniques accessibles au moyen d'un identifiant informatique »<fnref n="329" />. Elles ne concernent que les données de contenu.

**191. Les atteintes aux droits fondamentaux.** Le fait d'accéder à des données permettant de connaitre le contenu de communications électroniques porte atteinte à la vie privée ainsi qu'à la protection des données personnelles<fnref n="330" />. Ainsi, la limitation du champ d'infractionnel de l'obtention des données de contenu se comprend aisément. C'est aussi pour cela que ces données ne peuvent être collectées qu'aux moyens de techniques attentatoires à ces droits fondamentaux. Coexistent, à côté, des données de contenu d'autres données comme les données de connexion et d'identité, qui jouissent d'un traitement commun.

**Section 2 : Le traitement conjoint des données de connexion et d'identité**

<footnote n="328">³²⁸ A. Mornet, « Vers un droit commun de la preuve numérique ? », *Lexbase Pénal*, 8 mars 2023.</footnote>

<footnote n="329">³²⁹ Art. 706-95-1 du Code de procédure pénale.</footnote>

<footnote n="330">³³⁰ A. Mornet, « Vers un droit commun de la preuve numérique ? », *Lexbase Pénal*, 8 mars 2023.</footnote>
192. Une diversité traitée communément. Outre les données de contenu, les données de connexion et d'identité constituent des preuves électroniques. Ces données sont appréhendées à la fois par le Code de procédure pénale et le Code des postes et des communications électroniques. Ces deux codes posent une classification et un traitement de ces données à la française, plus ou moins conforme à la jurisprudence de la CJUE. À la faveur d'une réforme de 2021, les données de connexion et d'identité sont désormais distinguées au sein de l'article L.34-1 du Code des postes et des communications électroniques. La diversité des données est enfin respectée par le législateur (I), mais les données de connexion et d'identité sont toujours traitées de manière communes (II).

I/ La diversité des données de connexion et d'identité

193. Des données distinctes. À la faveur de l'arrêt French Data Network du Conseil d'État<fnref n="331" />, l'article L.34-1 du Code des postes et des communications électronique a été refondu. Il impose désormais une classification des données inspirée de la jurisprudence de la CJUE<fnref n="332" />. Il distingue ainsi différentes catégories de données de connexion (A) et plusieurs types de données d'identité (B).

A) Les différentes données de connexion

194. La définition des données de connexion. Traditionnellement, la doctrine considère que les données de connexion correspondent à des métadonnées<fnref n="333" />. Les métadonnées, littéralement « données sur les données », fournissent des informations sur d'autres données<fnref n="334" />. Dès lors, ces métadonnées ou données de connexion désignent « l'ensemble de données techniques liées à l'utilisation d'un terminal numérique connecté à un réseau de communication électronique ou à un fournisseur d'accès à internet »<fnref n="335" />. Ces données techniques sont générées à chaque communication. Les

<footnote n="331">³³¹ CE, Ass., 21 avr. 2021, n° 393099, 394922, 397844, 397851, 424717 et 424718, *French Data Network et a*.</footnote>

<footnote n="332">³³² *V. Infra.*</footnote>

<footnote n="333">³³³ M. Audibert, « L'accès aux données de trafic et de localisation dans le cadre d'une enquête judiciaire », *Lexbase Pénal*, août 2022.</footnote>

<footnote n="334">³³⁴ CNIL, IA : Tenir compte de la protection des données dans la collecte et la gestion des données, Commission Nationale de l'Informatique et des Libertés, 8 avril 2024, www.cnil.fr. Consulté le 5 juin 2024.</footnote>

<footnote n="335">³³⁵ M. Audibert, « L'accès aux données de trafic et de localisation dans le cadre d'une enquête judiciaire », *Lexbase Pénal*, août 2022.</footnote>
données de connexion regroupent deux sous-catégories de données : les données de localisation (1) et les données de trafic (2).

## 1) Les données de localisation

195. **La consistance des données de localisation.** Ces données correspondent à la situation géographique d'un équipement. C'est-à-dire « aux zones d'émission et de réception d'une communication, la liste des appels ayant transité par une antenne-relais, la localisation des téléphones portables en veille grâce aux déclenchements des relais téléphoniques »<fnref n="336" />.

## 2) Les données de trafic

196. **La teneur des données de trafic.** Elles « permettent de renseigner sur l'utilisation technique du support numérique ainsi connecté à un réseau »<fnref n="337" />. Concrètement, ces données donnent accès à l'historique d'envoi et de réception des courriels, ainsi qu'aux factures détaillées<fnref n="338" />, à la liste des contacts appelés ou encore la date, l'horaire et la durée des appels<fnref n="339" />. À côté des données de connexion, il y a des données qui sont hybrides à la catégorie des données d'identité et de connexion pouvant ainsi appartenir aux deux catégories.

197. **Des données hybrides.** Les données d'identification numérique correspondent aux données techniques permettant d'identifier la source de la connexion ou celles relatives aux équipements terminaux utilisés. Autrement dit, il s'agit de données techniques qui constituent des données de connexion regroupant toutes les « informations produites ou nécessitées par l'utilisation des réseaux de communications électroniques »<fnref n="340" />. Ces données sont notamment les adresses IP<fnref n="341" />. Ces données ont un caractère hybride<fnref n="342" />. En effet, elles peuvent constituer à la fois des données de

<footnote n="336">³³⁶ M. Audibert, « L'accès aux données de trafic et de localisation dans le cadre d'une enquête judiciaire », *Lexbase Pénal*, août 2022.</footnote>

<footnote n="337">³³⁷ *Ibid*.</footnote>

<footnote n="338">³³⁸ Également appelées « fadettes », elles correspondent aux relevé des appels téléphoniques transmis par les opérateurs de téléphonie mobile. V. sur ce point, M. Quéméner, *La preuve numérique dans un cadre pénal*, *JurisClasseur Communication*, Fasc. 1105.</footnote>

<footnote n="339">³³⁹ M. Audibert, « L'accès aux données de trafic et de localisation dans le cadre d'une enquête judiciaire », *Lexbase Pénal*, août 2022.</footnote>

<footnote n="340">³⁴⁰ J. Bossan, « Les réquisitions judiciaires relatives aux données de connexion : suite... et fin ? », * Droit pénal*, n° 7-8, juillet-août 2022, étude 17, p. 11.</footnote>

<footnote n="341">³⁴¹ A. Mornet, « Vers un droit commun de la preuve numérique ? », *Lexbase Pénal*, 8 mars 2023.</footnote>

<footnote n="342">³⁴² Cette particularité est d'abord née dans la jurisprudence de la CJUE. *V. Infra*.</footnote>
connexion et des données d'identité. Elles entrent dans la qualification de données de connexion en ce qu'elles permettent d'établir la source de la connexion. Elles constituent aussi des données d'identité, car en identifiant cette source il est possible de remonter jusqu'à une personne, qui peut alors être identifiée.

## B) Les différentes données d'identité

198. Les données administratives. Les données d'identité relèvent de l'article L.34-1 du Code des postes et des communications électroniques. Elles regroupent trois types de données. Il y a ainsi : les données d'identité civile, les informations relatives à la souscription d'un contrat et enfin celles relatives au paiement.

199. Les données d'identité civile. Elles relèvent de l'article L.34-1 II bis 1° du Code des postes et des communications électroniques. Elles correspondent au nom et prénom, à la date et le lieu de naissance ou la raison sociale, ainsi que les nom et prénom, date et lieu de naissance de la personne agissant en son nom lorsque le compte est ouvert au nom d'une personne morale. Il s'agit aussi des adresses postales associées, des adresses mail, et du numéro de téléphone<fnref n="343" />. Toutes ces informations constituent des données classiques d'identification.

200. Les données relatives aux contrats et aux paiements. Elles sont prévues par l'article L.34-1 II bis 2° du Code des postes et des communications électroniques. Il s'agit « des autres informations fournies par l'utilisateur lors de la souscription d'un contrat ou de la création d'un compte ainsi que les informations relatives au paiement ». Elles constituent aussi des données d'identité.

201. Un traitement commun. Même si les données de connexion et d'identité sont des données différentes et regroupent des sous-catégories de données également différentes, elles font toutes l'objet d'un traitement commun au sein de la procédure pénale française.

<footnote n="343">³⁴³ Art. 2 du décret n°2021-1362 du 20 octobre 2021 relatif à la conservation des données permettant d'identifier toute personne ayant contribué à la création d'un contenu mis en ligne, pris en application du II de l'article 6 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique.</footnote>
## II/ L'utilisation commune des données de connexion et d'identité

202. **Deux possibilités.** Certaines techniques numériques d'enquête permettent de récolter des données de connexion et d'identité<fnref n="344" />. Outre ces techniques, ces deux catégories de données font l'objet d'une même mesure, qui sont les réquisitions. Elles permettent de solliciter l'assistance ou la contribution d'un tiers afin d'obtenir (A) ou de conserver (B) ces données.

### A) Les réquisitions aux fins de communication

203. **La mise à disposition.** Les autorités compétentes peuvent se faire remettre des données de connexion et d'identité. En effet, les services d'enquête ou le procureur peuvent solliciter le concours de tiers, afin que ces derniers leur communiquent des données de connexion ou d'identité.

204. **La remise de données de connexion.** La communication de données de connexion est prévue à l'article 60-1-2 et 77-1-1 du Code de procédure pénale. Ces articles régissent l'obtention de données techniques permettant d'identifier la source de la connexion ou celles relatives aux équipements terminaux ou encore de données de trafic et de localisation, sous réserve ces données soient nécessaires à l'enquête. Les données de connexion et d'identité sont donc appréhendées au travers du même acte d'enquête. Il convient de préciser que les données d'identification numériques sont appréhendées au regard des données de connexion, ce qui confirme leur caractère hybride.

205. **Les informations intéressant l'enquête.** Les articles 60-1 et 77-1-1 permettent de « requérir de toute personne, de tout établissement ou organisme privé ou public ou de toute administration publique qui sont susceptibles de détenir des informations intéressant l'enquête, y compris, sous réserve de l'article 60-1-2, celles issues d'un système informatique ou d'un traitement de données nominatives, de lui remettre ces informations ». Ils n'indiquent pas exactement ce que recouvre la notion « d'information intéressant l'enquête ». On ne sait pas avec précision si ces informations sont des données d'identité exclusivement ou si des données de connexion peuvent aussi

<footnote n="344">³⁴⁴ V. Supra.</footnote>
être appréhendées par ces dispositions. Toutefois, il semble que ces informations
regroupent ces deux catégories de données.

**206. D'autres réquisitions.** Les données de connexion et d'identité bénéficient ainsi d'un traitement commun, en ce qu'elles peuvent toutes faire l'objet de réquisitions aux fins de remise. D'autres types de réquisitions peuvent être prises, c'est le cas de celles permettant la conservation de ces données.

B) **Les réquisitions aux fins de conservation**

**207. La préservation des données.** Les articles 60-2 et 77-1-2 du Code de procédure pénale régissent la mise à disposition « des informations utiles à la manifestation de la vérité [...] contenues dans le ou les systèmes informatiques ou traitements de données nominatives qu'ils administrent ». Cette mise à disposition correspond à la conservation des données<fnref n="345" /> et incombe à toute personne publique ou privée. Cependant, cette obligation de mise à disposition par réquisitions ne s'applique pas à une fondation, une association ou tout autre organisme à but non lucratif et poursuivant une finalité politique, philosophique, religieuse ou syndicale<fnref n="346" /> ou encore à un journaliste<fnref n="347" />. Également, cette mise à disposition ne concerne pas les informations protégées par un secret prévu par la loi. Ces informations peuvent ainsi être des données d'identité ou de connexion.

**208. Une catégorisation venue de l'Union européenne.** L'Union européenne a progressivement établi et imposé sa propre classification des données constituant des données numériques.

Chapitre 2 : Une catégorisation progressivement imposée

**209. Une catégorisation européenne.** L'Union européenne a progressivement imposé sa propre classification des données numériques, constituant des preuves électroniques. Cette classification a d'abord été construite par la CJUE, au travers de sa

<footnote n="345">³⁴⁵ A. Mornet, « Vers un droit commun de la preuve numérique ? », Lexbase Pénal, 8 mars 2023.</footnote>

<footnote n="346">346 Règlement UE 2016/679 du 27 avril 2016, art. 9 §2 d.</footnote>

<footnote n="347">³⁴⁷ Loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, art. 80 2°.</footnote>
jurisprudence (**Section 1**), avant d'être entérinée par le règlement *e-evidence* (**Section 2**).

***Section 1 : Une catégorisation imposée par la jurisprudence de la CJUE***

**210. Des distinctions et des rapprochements.** Au terme d'une jurisprudence riche et intense en matière de conservation généralisée et indifférenciée de données personnelles, la CJUE a progressivement défini les contours de cette conservation ainsi que les conditions d'accès dans le cadre des procédures pénales. Pour imposer une conservation conforme au droit de l'Union européenne, elle a établi au fil des arrêts ses propres distinctions et rapprochements entre les différentes notions en jeu. Au sein de cette classification, elle distingue les données de trafic et de localisation des données de contenu (I), et elle rapproche l'adresse IP des données relatives à l'identité (II).

**I/ La distinction des données de trafic et de localisation des données de contenu**

**211. Les données de trafic et de localisation.** Au fil des arrêts, la CJUE distingue les données de contenu des données de trafic et de localisation. Elle précise que ces dernières permettent « de retrouver et d'identifier la source d'une communication et la destination de celle-ci, de déterminer la date, l'heure, la durée et le type d'une communication, le matériel de communication des utilisateurs, ainsi que de localiser le matériel de communication mobile »<fnref n="348" />. Ces données correspondent notamment au nom à l'adresse de l'abonné ou de l'utilisateur inscrit, au numéro de téléphone de l'appelant et au numéro appelé ainsi qu'à une adresse IP pour les services Internet<fnref n="349" />. De cette définition des données de localisation et de trafic, la Cour indique que la conservation de ces données est attentatoire à la vie privée et familiale.

**212. Des ingérences dans les droits fondamentaux.** La Cour affirme dès l'arrêt *Digital Rights* de 2014 que les données de localisation et de trafic « prises dans leur ensemble, sont susceptibles de permettre de tirer des conclusions très précises concernant la vie privée des personnes dont les données ont été conservées, telles que les habitudes de la vie quotidienne, les lieux de séjour permanents ou temporaires, les déplacements journaliers ou autres, les activités exercées, les relations sociales de ces

<footnote n="348">³⁴⁸ CJUE, gde ch., 21 décembre 2016, aff. C-203/15 et C-698/15, *Tele2 Sverige AB c/ Post-och telestyrelsen et Secretary of State for the Home Department c/ Tom Watson e. a.*, §98.</footnote>

<footnote n="349">³⁴⁹ Ibid.</footnote>
personnes et les milieux sociaux fréquentés par celles-ci »<fnref n="350" />. En outre, ces données permettent de révéler « des informations sensibles, telles que l'orientation sexuelle, les opinions politiques, les convictions religieuses, philosophiques, sociétales ou autres ainsi que l'état de santé, alors que de telles données jouissent, par ailleurs, d'une protection particulière en droit de l'Union »<fnref n="351" />. Cette conservation généralisée et indifférenciée pourrait avoir une « incidence sur l'utilisation des moyens de communication électronique et, en conséquence, sur l'exercice par les utilisateurs de ces moyens de leur liberté d'expression »<fnref n="352" />. En ce sens, la conservation des données de trafic et de localisation constitue une ingérence grave dans les droits fondamentaux, car cette conservation est « susceptible de générer dans l'esprit des personnes concernées le sentiment que leur vie privée fait l'objet d'une surveillance constante »<fnref n="353" />. Ainsi, la conservation des données de trafic et de localisation porte atteinte au droit à la vie privée et familiale. Néanmoins, cette atteinte ne concerne pas les données de contenu.

**213. L'absence d'incidence sur les données de contenu.** La CJUE, par sa jurisprudence, souligne que les atteintes générées par les données de trafic et de localisation ne concernent en aucun cas le contenu des communications électroniques effectuées. En effet, elle précise que la conservation des données de localisation et de trafic ne porte aucunement atteinte au contenu même des communications électroniques, et ce, même si ces informations permettent d'établir le profil des utilisateurs<fnref n="354" />. La Cour établit ainsi une distinction entre les données relatives au contenu et les données relatives au trafic et de localisation. Ce qui ne l'empêche pas d'affirmer le caractère tout aussi sensible des données de trafic et de localisation et des données de contenu<fnref n="355" />. Par ailleurs, la CJUE n'est pas la seule à faire cette distinction.

**214. La position de la CEDH<fnref n="356" />.** La Cour de Strasbourg opère la même distinction que la CJUE dans son arrêt *Centrum för Rättvisa*. En effet, le contenu d'une communication peut ne pas révéler d'éléments permettant l'identification de l'expéditeur ou le destinataire. En revanche, toutes les données de communication

<footnote n="350">³⁵⁰ CJUE, gde ch., 8 avril 2014, aff. C-293/12 et C-594/12, *Digital Rights Ireland*, §27.</footnote>

<footnote n="351">³⁵¹ CJUE, gde ch., 6 octobre 2020, aff. C-511/18, C-512/18 et C-520/18, *La Quadrature du Net et a*, § 117.</footnote>

<footnote n="352">³⁵² CJUE, gde ch., 21 décembre 2016, aff. C-203/15 et C-698/15, *Tele2 Sverige AB c/ Post-och telestyrelsen et Secretary of State for the Home Department c/ Tom Watson e. a*, §101.</footnote>

<footnote n="353">³⁵³ *Ibid.*, §100.</footnote>

<footnote n="354">³⁵⁴ *Ibid.*, §101.</footnote>

<footnote n="355">³⁵⁵ CJUE, gde ch., 6 octobre 2020, aff. C-511/18, C-512/18 et C-520/18, *La Quadrature du Net et a*, § 117.</footnote>

<footnote n="356">³⁵⁶ Acronyme de Cour européenne des droits de l'homme.</footnote>
associées peuvent révéler des informations personnelles sur l'expéditeur ou le destinataire permettant ainsi de brosser un portrait intime<fnref n="357" />. Elle admet que les données de contenu sont plus sensibles que les données relatives au trafic et de localisation. Effectivement, « la Cour n'est pas convaincue que l'acquisition des données de communication associées dans le cadre d'une interception en masse soit nécessairement moins intrusive que l'acquisition du contenu des communications »<fnref n="358" />. De cette différence de sensibilité entre les données en cause peut naître un régime juridique différent.

**215. Un rapprochement de données.** Ainsi, la CJUE distingue les données de contenu d'autres données, tout en reconnaissant le caractère sensible des données de localisation et de trafic. La Cour de Luxembourg procède à une autre classification des données concernant les adresses IP.

## II/ Le rapprochement de l'adresse IP des données relatives à l'identité

**216. L'adresse IP et les données de localisation et de trafic.** Au départ, la CJUE classifiait les adresses IP dans les données de connexion, c'est-à-dire avec les données de localisation et de trafic. Les adresses IP permettent d'identifier une connexion Internet et sa localisation approximative<fnref n="359" />. Elles rejoignent alors les fonctions des données de trafic et de localisation. La Cour de justice identifie d'abord les adresses IP aux données de connexion. C'est effectivement ce qu'elle fait dans l'arrêt *Tele2 Sverige AB*<fnref n="360" />. Cependant, au fil de sa jurisprudence, elle va associer ces adresses à des données d'identité.

**217. L'adresse IP et les données d'identité.** Ce rapprochement débute avec l'arrêt *La Quadrature du Net*. En effet, la CJUE relève que « que les adresses IP, quoique faisant partie des données relatives au trafic, sont générées sans être rattachées à une communication déterminée et servent principalement à identifier [...] la personne physique propriétaire d'un équipement terminal à partir duquel une communication au

<footnote n="357">³⁵⁷ CEDH, 25 mai 2021, Req. 35252/08, *Centrum för Rättvisa c/ Suède*, § 256.</footnote>

<footnote n="358">³⁵⁸ *Ibid.*, § 277.</footnote>

<footnote n="359">³⁵⁹ CNIL, Nouvelles méthodes de traçage en ligne : quelles solutions pour se protéger ?, 1er février 2022, www.cnil.fr. Consulté le 7 juin 2024.</footnote>

<footnote n="360">³⁶⁰ CJUE, gde ch., 21 décembre 2016, aff. C-203/15 et C-698/15, *Tele2 Sverige AB c/ Post-och telestyrelsen et Secretary of State for the Home Department c/ Tom Watson e. a*, §98.</footnote>
moyen de l'Internet est effectuée »<fnref n="361" />. En ce sens, les adresses IP auraient « un statut à part »<fnref n="362" />, constituant à la fois des données de trafic et un moyen d'identifier un utilisateur<fnref n="363" />. Ce qui les rapproche des données d'identité. C'est ce que confirme plus tard la CJUE dans l'arrêt G.D. c/ Commissioner of An Garda Síochána. Dans cet arrêt, la Cour autorise la conservation généralisée et indifférenciée des seules adresses IP attribuées à la source d'une connexion, car ce n'est pas, en principe, contraire à la Charte. Toutefois, elle conditionne cette conservation au strict respect de conditions matérielles et procédurales<fnref n="364" />. Ainsi, en autorisant la conservation généralisée et indifférenciée des adresses IP, la Cour affirme qu'elles constituent bel et bien des données d'identité.

**218. Des données à la sensibilité moindre.** En assimilant les adresses IP aux données d'identité civile, on en déduit qu'elles sont peu sensibles au regard des droits fondamentaux. Effectivement, les données d'identité civile permettent de connaitre seulement les coordonnées des utilisateurs comme leurs adresses. Elles ne fournissent aucune information sur les communications effectuées, et par voie de conséquence, sur leur vie privée<fnref n="365" />. Cette sensibilité moindre des données d'identité s'illustre notamment avec l'arrêt *Minsiterio Fiscal*<fnref n="366" />. Dans cet arrêt, la CJUE précise que le fait pour la police d'accéder aux numéros de téléphone correspondant à des cartes SIM et aux données d'identité civile des titulaires de ces cartes, telles que leurs nom, prénom ou adresse, ne constitue pas une ingérence grave.

**219. Une catégorisation confirmée.** Au fil des arrêts rendus par la CJUE, celle-ci fait naître sa propre classification des données numériques constituant des preuves électroniques. Elle distingue ainsi les données de contenu des données de localisation et de trafic, et classifie les adresses IP au titre des données d'identité civile, en raison de leur faible sensibilité. Cette classification, établie par la jurisprudence de la Cour de Luxembourg, a été confirmée par le règlement *e-evidence*.

<footnote n="361">³⁶¹ CJUE, gde ch., 6 octobre 2020, aff. C-511/18, C-512/18 et C-520/18, *La Quadrature du Net et a*, § 152.</footnote>

<footnote n="362">³⁶² J. Bossan, « Les réquisitions judiciaires relatives aux données de connexion : suite... et fin ? », * Droit pénal*, n° 7-8, juillet-août 2022, étude 17, p. 13.</footnote>

<footnote n="363">³⁶³ *V. Supra*.</footnote>

<footnote n="364">³⁶⁴ CJUE, gde ch., 5 avril 2022, aff. C-140/20, G.D. c/ Commissioner of An Garda Síochána e. a, § 73 et 74. *V. Infra*.</footnote>

<footnote n="365">³⁶⁵ CJUE, gde ch., 6 octobre 2020, aff. C-511/18, C-512/18 et C-520/18, *La Quadrature du Net et a*, § 157.</footnote>

<footnote n="366">³⁶⁶ CJUE, gde ch., 2 oct. 2018, Aff. C-207/16, *Ministerio Fiscal*, § 59-61.</footnote>
## Section 2 : Une catégorisation entérinée par le règlement e-evidence

**220. Une classification officialisée.** Le règlement e-evidence reprend et officialise la jurisprudence de la CJUE concernant les données numériques constituant des preuves électroniques. Il identifie quatre catégories de données : celles relatives aux abonnés, celles demandées à la seule fin d'identifier l'utilisateur, celles relatives au trafic et enfin celles relatives au contenu. Bien que ces données soient différentes, il est possible de les regrouper en deux catégories en fonction de leur rôle dans les procédures pénales. Ainsi, les deux premières catégories de données visent à identifier l'utilisateur (I), tandis que les deux dernières catégories de données permettent de prouver d'autres éléments que l'identité de l'utilisateur, et ont ainsi une valeur probante (II).

### I/ Les données aux fins d'identification

**221. Deux types de données.** Parmi les données numériques constituant des preuves électroniques intégrées dans le règlement e-evidence, il y a les données d'abonnés (A) et les données qui visent exclusivement l'identification des utilisateurs (B). Toutes ces données visent l'identification de l'utilisateur.

#### A) La détermination des données d'abonnés

**222. Les informations personnelles du client.** Le règlement e-evidence précise ce que recouvrent les données d'abonnés. Il s'agit d'abord de « toutes données détenues par un fournisseur de services concernant l'abonnement à ses services »<fnref n="367" />. Ces données concernent d'une part « l'identité d'un abonné ou d'un client » comme le nom, la date de naissance, l'adresse postale ou géographique, le numéro de téléphone ou l'adresse électronique fournis au fournisseur de services. Également, les données relatives aux abonnés comprennent les données de paiement. En effet, elles regroupent les données de facturation et de paiement. Les données d'abonnés correspondent alors aux informations personnelles données par le client lors de la souscription d'un contrat auprès du fournisseur de services. Ces données englobent d'autres données.

**223. Les informations concernant le service.** Constituent des données d'abonnés, les informations concernant le service fournis par le fournisseur ainsi que les modalités

<footnote n="367">³⁶⁷ Règlement UE 2023/1543 du 12 juillet 2023, art. 3 § 9 a.</footnote>
d'utilisation de celui-ci. Ces données correspondent aussi au type de service, à sa durée, avec les données techniques et les données identifiant les mesures techniques connexes. Entrent dans cette catégorie de données, « les interfaces utilisées ou fournies par l'abonné ou le client au moment du premier enregistrement ou de la première activation ainsi que les données relatives à la validation de l'utilisation du service, à l'exclusion des mots de passe ou autres moyens d'authentification utilisés à la place d'un mot de passe qui sont fournis par un utilisateur ou créés à la demande d'un utilisateur »<fnref n="368" />.

**224. Les données d'abonnés et les données d'identité.** On remarque que les données d'abonnés correspondent aux données d'identité. Cette assimilation de données issue de la jurisprudence de la CJUE, et est connue en droit français. Ces données ne sont pas les seules à permettre d'identifier un utilisateur.

## B) La consistance des données aux fins exclusives d'identification

**225. Les données aux seules fins d'identification et les adresses IP.** Ces données correspondent aux adresses IP. Plus exactement, elles englobent les adresses IP, les ports de provenance et l'horodatage comme la date et l'heure ainsi que les équivalents techniques de ces identifiants ou les informations connexes<fnref n="369" />. Ces données ne peuvent être demandées que pour identifier une personne. Elles sont très utiles pour débuter une enquête. En effet, elles constituent un « point de départ essentiel pour les enquêtes pénales dans lesquelles l'identité d'un suspect n'est pas connue »<fnref n="370" />.

**226. Le caractère hybride de l'adresse IP.** Le règlement reprend la jurisprudence de la CJUE en ce qu'il souligne le caractère particulier des adresses IP. Effectivement, lorsque les adresses IP, les numéros d'accès ainsi que les informations connexes sont demandés par une autorité judiciaire dans le seul but d'identifier un individu, elles constituent des données d'identité. Autrement dit, elles correspondent aux données<fnref n="371" /> d'abonnés au sens du règlement. En conséquence, les adresses IP, peu sensibles suivent le même régime juridique que les données relatives aux abonnés. En revanche, lorsqu'elles sont demandées pour d'autres motifs, les adresses IP constituent des

<footnote n="368">³⁶⁸ Règlement UE 2023/1543 du 12 juillet 2023, art. 3 §9 b.</footnote>

<footnote n="369">³⁶⁹ *Ibid.*, art. 3 § 10.</footnote>

<footnote n="370">³⁷⁰ *Ibid.*, consid. 32.</footnote>

<footnote n="371">³⁷¹ *Ibid.*, consid. 36.</footnote>
données relatives au trafic. Elles sont alors soumises au même régime juridique que les données de contenu<fnref n="372" />.

227. **Un objectif l'identification.** Les données relatives aux abonnés et les données aux fins seules d'identifier un utilisateur ne permettent que d'identifier un individu. Le règlement respecte le caractère hybride des adresses IP en les assimilant aux données d'abonnés. Lorsque ces adresses ne sont pas demandées pour connaitre l'identité d'un individu, elles constituent des données de trafic, qui sont des données ayant une valeur probante différente de celles-ci.

## II/ Les données aux fins de valeur probante

228. **Une fonction de preuve.** Les données relatives au trafic (A) et les données relatives au contenu (B) permettent d'éclairer les enquêteurs et de prouver des éléments différents de ceux relatifs à l'identité. En ce sens, elles ont une valeur probante, celle-ci n'est pas moindre que les données d'abonnés ou des données aux seules fins d'identifier l'utilisateur. Cette valeur est seulement différente.

### A) Les données relatives au trafic

229. **Les informations contextuelles.** Les données de trafic concernent les « données relatives à la fourniture d'un service proposé par un fournisseur de services qui servent à fournir des informations contextuelles ou supplémentaires sur ce service ». Ces informations sont générées ou traitées par un système d'information du fournisseur comme la source et la destination d'un message, l'emplacement du dispositif, la date, l'heure, la durée, la taille, le routage, le format, et le protocole utilisé<fnref n="373" />. En permettant de connaitre, l'emplacement du dispositif, les données de trafic englobent les données de localisation.

230. **Des métadonnées.** Les données de trafic correspondent aussi à des « métadonnées de communications électroniques et des données, autres que les données relatives aux abonnés, relatives au début et à la fin d'une session d'accès d'un utilisateur à un service, telles que la date et l'heure d'utilisation, la connexion et la déconnexion

<footnote n="372">³⁷² Règlement UE 2023/1543 du 12 juillet 2023, consid. 32 et 33.</footnote>

<footnote n="373">³⁷³ *Ibid.*, art. 3 § 11.</footnote>
du service »$^{374}$. En ce sens, et conformément à la jurisprudence de la Cour de justice, les données de trafic sont des données de connexion.

**231. Élément de preuve.** Les données de trafic ont une valeur probante différente des données d'abonnés ou des données aux seules fins d'identification. Les données de trafic en comprenant les données de localisation, permettent d'apporter des éléments objectifs sur la présence ou l'absence d'une personne à un endroit précis, ou encore elles permettent d'établir l'utilisation de services précis comme la consultation de sites pédopornographiques par exemple.

**232. Un régime juridique similaire aux données de contenu.** Le règlement tire les conséquences de la sensibilité des données de trafic$^{375}$. Pour être en conformité avec la jurisprudence de la CJUE, il joint le régime juridique de ces données à celui des données de contenu.

## B) Les données relatives au contenu

**233. Définition négative et positive.** Le règlement indique ce que ne sont pas les données de connexion. Négativement, il s'agit de toutes autres données que celles relatives aux abonnés ou celles relatives au trafic. À l'inverse, de manière positive, les données relatives au contenu correspondent à « toutes données dans un format numérique telles que du texte, de la voix, des vidéos, des images et du son »$^{376}$. Elles correspondent au contenu des communications électroniques.

**234. Valeur probante.** Ces données permettent par exemple d'établir l'intention d'une personne quant à la commission d'une infraction, de connaitre la présence d'autres témoins.

**235. Des données sensibles.** Il est indéniable que la conservation ou l'accès à des données de contenu est attentatoire aux droits fondamentaux. Du fait de ces ingérences dans ces droits, la jurisprudence a établi des « garde-fou » justifiant ainsi l'atteinte

<footnote>$^{374}$ Règlement UE 2023/1543 du 12 juillet 2023, art. 3 § 11.</footnote>

<footnote>$^{375}$ Ibid. consid. 36.</footnote>

<footnote>$^{376}$ Ibid., art. 3 § 12.</footnote>
générée. Le règlement reprend ces conditions faisant ainsi naitre un nouvel encadrement
des réquisitions françaises.

Titre 2 : Un nouvel encadrement des réquisitions

**236. De nouvelles conditions.** Le règlement *e-evidence* assujettit les injonctions européennes à des conditions d'émission strictes et conformes à la jurisprudence de la CJUE, afin de garantir la protection des droits fondamentaux. Ces conditions amènent à la création d'un nouvel encadrement des réquisitions. Pour garantir la protection des droits fondamentaux, le règlement impose d'une part une condition de gravité se traduisant par le respect d'un quantum minimal d'emprisonnement (**Chapitre 1**) et d'autre part, l'intervention d'une autorité judiciaire pour émettre les injonctions (**Chapitre 2**).

Chapitre 1 : Les réquisitions encadrées par un quantum minimal
d'emprisonnement

**237. Une condition de gravité imposée.** Le quantum minimal d'emprisonnement correspond à un seuil d'emprisonnement en dessous duquel une injonction ne peut être émise. Il limite son utilisation aux infractions punies d'une certaine durée d'incarcération. Cela permet, en théorie, de réserver les injonctions aux infractions graves. Ce seuil minimal existait déjà en droit français (**Section 1**), et le règlement récent ne fait que l'entériner (**Section 2**).

***Section 1 : Un seuil préexistant en droit français***

**238. Une adoption influencée.** Avant l'adoption du règlement *e-evidence*, le droit français a instauré un seuil minimal d'emprisonnement dans sa procédure pénale avec la création de l'article 60-1-2 (II). Cette adoption ne s'est pas faite seule. Elle résulte de l'influence de la jurisprudence de la CJUE (I).

I/ <u>L'influence de la jurisprudence de la CJUE</u>

**239. La conservation et l'accès.** L'influence de la CJUE s'effectue à l'égard de deux actions possibles en matière de données numériques. En effet, elle pose une condition
de gravité s'agissant de la conservation des données numériques (A) et concernant
l'accès à ces données (B).

A) La condition de gravité en matière de conservation des données

240. **Un principe de prohibition.** En principe, la CJUE interdit, à titre préventif, la conservation généralisée et indifférenciée des données de connexion. En effet, depuis l'arrêt *Digital Rights* de 2014, la Cour prohibe la conservation de toutes les données de trafic et de localisation de tous les utilisateurs issues de tous les moyens de communications électroniques, sans aucune différenciation<fnref n="377" />. Au fil des arrêts, elle précise les exceptions à ce principe d'interdiction, permettant de justifier une ingérence grave dans les droits fondamentaux prévus à l'article 7, 8 et 11 de la Charte<fnref n="378" />. La Cour opère ainsi un contrôle de proportionnalité, « entre, d'une part, la gravité de l'ingérence dans les droits fondamentaux et, d'autre part, l'objectif d'intérêt général poursuivi »<fnref n="379" />. À ce titre, elle pose notamment une condition de gravité.

241. **L'essor de la condition de gravité.** Dans son arrêt *Tele2 Sverige*, la Cour indique que le droit de l'Union « s'oppose à une réglementation nationale prévoyant, à des fins de lutte contre la criminalité, une conservation généralisée et indifférenciée de l'ensemble des données relatives au trafic et des données de localisation de tous les abonnés et utilisateurs inscrits concernant tous les moyens de communication électronique »<fnref n="380" />. La lutte contre la criminalité est donc insuffisante pour justifier une telle ingérence dans les droits fondamentaux. De ce fait, seule la criminalité grave, comme la criminalité organisée et le terrorisme, est susceptible de justifier une telle conservation. Toutefois, « un tel objectif d'intérêt général, pour fondamental qu'il soit, ne saurait à lui seul justifier »<fnref n="381" /> une telle conservation. La CJUE précise les hypothèses dans lesquelles la conservation des données de trafic et de localisation est possible.

242. **Les conditions de conservation.** Dans l'arrêt *La Quadrature du Net*, la Cour pose les conditions matérielles et procédurales de conservation des données de trafic et

<footnote n="377">³⁷⁷ CJUE, gde ch., 8 avril 2014, aff. C-293/12 et C-594/12, *Digital Rights Ireland*, §57.</footnote>

<footnote n="378">³⁷⁸ C'est-à-dire avec le droit à la vie privée et familiale (art. 7), le droit à la protection des données personnelles (art. 8) et la liberté d'expression et d'information (art. 11).</footnote>

<footnote n="379">³⁷⁹ M. Audibert, « La conservation et l'accès aux métadonnées dans le cadre des enquêtes judiciaires : vers un bouleversement dans la procédure pénale française ? », *Lexbase Pénal*, mars 2021.</footnote>

<footnote n="380">³⁸⁰ CJUE, gde ch., 21 décembre 2016, aff. C-203/15 et C-698/15, *Tele2 Sverige AB c/ Post-och telestyrelsen et Secretary of State for the Home Department c/ Tom Watson e. a.*, §112.</footnote>

<footnote n="381">³⁸¹ *Ibid.*, §102 et 103.</footnote>
de localisation. Pour la sauvegarde de la sécurité nationale, c'est-à-dire pour protéger les fonctions essentielles de l'État et les intérêts fondamentaux de la société, notamment contre des activités graves comme le terrorisme, qui menacent les structures constitutionnelles, politiques, économiques ou sociales du pays<fnref n="382" />, les fournisseurs de services peuvent conserver de manière généralisée et indifférenciée des données relatives au trafic et des données de localisation. En cas de menace grave pour la sécurité nationale, cette conservation peut avoir lieu, d'une part, à condition que cette menace soit réelle, actuelle ou prévisible, et d'autre part, que la décision prévoyant cette injonction fasse l'objet d'un contrôle effectif, soit par une juridiction, soit par une entité administrative indépendante dont la décision est dotée d'un effet contraignant. Également, pour la sauvegarde de la sécurité nationale, la lutte contre la criminalité grave et la prévention des menaces graves contre la sécurité publique, une conservation ciblée des données est possible. Cette conservation s'effectue en fonction de catégories de personnes concernées ou au moyen d'un critère géographique, pour une période temporelle limitée au strict nécessaire<fnref n="383" />. De plus, pour la lutte contre la criminalité grave et, a fortiori, de la sauvegarde de la sécurité nationale, il est possible d'enjoindre aux fournisseurs de services de procéder à la conservation rapide des données de connexion. La conservation rapide sert « lorsqu'il y a des raisons de penser que ces données sont susceptibles de perte ou de modification »<fnref n="384" />. La Cour précise également les conditions de conservation d'autres catégories de données.

243. **La conservation des données d'identité.** Pour la sauvegarde de la sécurité nationale, de la lutte contre la criminalité grave et de la prévention des menaces graves contre la sécurité publique, la conservation généralisée et indifférenciée des adresses IP et des données d'identité civile est licite, pour une période temporellement limitée<fnref n="385" />. Dans l'arrêt G.D. c/ Commissioner of An Garda Síochána, la Cour indique que le droit de l'Union ne « s'oppose pas, aux fins de la lutte contre la criminalité en général, à la conservation généralisée des données relatives à l'identité civile »<fnref n="386" />.

244. **Une conservation pour les infractions graves.** Finalement, la CJUE autorise, au fils des arrêts, la conservation des données de trafic et de localisation, en encadrant

<footnote n="382">³⁸² CJUE, gde ch., 6 octobre 2020, aff. C-511/18, C-512/18 et C-520/18, *La Quadrature du Net et a*, § 135.</footnote>

<footnote n="383">³⁸³ *Ibid.*, § 168.</footnote>

<footnote n="384">³⁸⁴ *Ibid.* §162.</footnote>

<footnote n="385">³⁸⁵ *Ibidem*.</footnote>

<footnote n="386">³⁸⁶ CJUE, gde ch., 5 avril 2022, aff. C-140/20, G.D. c/ Commissioner of An Garda Síochána e. a, §72.</footnote>
fortement celle-ci. Cette conservation n'est possible que pour des infractions graves,
c'est-à-dire relevant de la sauvegarde de la sécurité nationale, de la menace grave à la
sécurité publique ou de la criminalité grave. Toutefois, cette condition de gravité est
moindre concernant les données d'identité civile et les adresses IP, car la conservation
de ces données peut avoir lieu pour la criminalité en général. La CJUE impose
également une condition de gravité pour l'accès des autorités aux données numériques.

B) La condition de gravité en matière d'accès aux données

**245. La gravité comme limite de communication.** La condition de gravité appliquée par la Cour en matière de conservation des données de trafic et de localisation s'applique aussi en matière d'accès à celles-ci. Autrement dit, le droit de l'Union permet l'accès à ces données seulement dans le cadre de la lutte contre la criminalité grave et en soumettant ledit accès à un contrôle préalable par une juridiction ou une autorité administrative indépendante<fnref n="387" />. Restreindre l'accès des autorités nationales compétentes à la criminalité grave, permet de limiter l'accès aux données conservées.

**246. Une conservation et un accès licite.** L'accès aux données ne peut s'effectuer que si la conservation est elle-même licite. Cet accès est soumis aux mêmes conditions matérielles et procédurales que la conservation des données de connexion<fnref n="388" />. En d'autres termes, la CJUE « autorise l'accès, dans le cadre des enquêtes judiciaires, aux métadonnées, [...] des personnes visées par les investigations, que dans le cadre de la lutte contre la criminalité grave ou pour prévenir des menaces graves contre la sécurité publique »<fnref n="389" />. La Cour est obligée d'appliquer les mêmes conditions, notamment de gravité, à la conservation et l'accès aux données de connexion, « sous peine de priver de tout effet utile l'interdiction de procéder à une telle conservation aux fins de la lutte contre la criminalité grave »<fnref n="390" />. Il en va ainsi pour les données de trafic et de localisation.

**247. L'absence de seuil.** La CJUE impose ainsi une condition tenant à la gravité des infractions aussi bien pour la conservation que l'accès aux données de connexion. Cependant, cette condition n'est pas un seuil minimal d'emprisonnement. La Cour ne

<footnote n="387">³⁸⁷ V. Infra.</footnote>

<footnote n="388">³⁸⁸ CJUE, gde ch., 6 octobre 2020, aff. C-511/18, C-512/18 et C-520/18, *La Quadrature du Net et a*, § 167.</footnote>

<footnote n="389">³⁸⁹ M. Audibert, « La conservation et l'accès aux métadonnées dans le cadre des enquêtes judiciaires : vers un bouleversement dans la procédure pénale française ? », *Lexbase Pénal*, mars 2021.</footnote>

<footnote n="390">³⁹⁰ CJUE, gde ch., 5 avril 2022, aff. C-140/20, G.D. c/ Commissioner of An Garda Síochána e. a, §100.</footnote>
pose, d'ailleurs, aucun seuil, et ce, même s'il s'agissait de la question qui lui était posée dans l'arrêt *Ministerio Fiscal*. Pour ce faire, « les arrêts successifs de la CJUE ne proposent pas de délimitation, mais utilisent une formule récurrente, celle de « la lutte contre la criminalité grave, notamment contre la criminalité organisée et le terrorisme » »<fnref n="391" />. En ce sens, le « critère de la gravité est d'une très grande vacuité », en « l'absence de prise de conscience de ce qui constitue la « criminalité grave » »<fnref n="392" />. Même si la CJUE n'impose pas de seuil précis et limite l'accès ainsi que la conservation aux cas de criminalité grave. Ce qui a inspiré le législateur français à exiger un quantum minimal d'emprisonnement.

## II/ L'adoption française d'un seuil minimal

**248. Une adoption sous l'effet de condamnations.** Les arrêts rendus par la CJUE, qu'ils aient ou non directement concernés la France, participent à l'essor d'un seuil d'emprisonnement minimal. La jurisprudence de la Cour de Luxembourg a eu un écho, d'abord, sur les juridictions nationales (A) et enfin, sur le législateur français (B).

### A) L'effet de la jurisprudence nationale

**249. La position du Conseil d'État.** La Haute juridiction administrative est la première à s'être prononcée après les divers arrêts rendus par la CJUE, notamment parce que la Cour avait répondu à ses questions préjudiciales<fnref n="393" />. Le Conseil d'État, dans son arrêt *French Data Network*, effectue son contrôle de conventionnalité concernant les dispositions françaises de conservation des données de connexion. Conformément à l'arrêt *La Quadrature du Net* de la Cour, il précise que la conservation généralisée et indifférenciée des données d'identité civile, pour toute infraction pénale et pendant un délai d'un an est conforme au droit de l'Union<fnref n="394" />. Également, les adresses IP peuvent être conservées de manière généralisée et indifférenciée, pour la lutte contre la criminalité grave, pendant un an. Il relève précisément que le législateur n'est pas tenu de préciser les infractions relevant de la criminalité grave. Il revient ainsi au juge pénal d'apprécier de « façon concrète [...] au regard de la nature de l'infraction commise et de

<footnote n="391">³⁹¹ J. Bossan, « Les réquisitions judiciaires relatives aux données de connexion : suite... et fin ? », *Droit pénal*, n° 7-8, juillet-août 2022, étude 17, p. 12.</footnote>

<footnote n="392">³⁹² *Ibid*.</footnote>

<footnote n="393">³⁹³ CJUE, gde ch., 6 octobre 2020, aff. C-511/18, C-512/18 et C-520/18, *La Quadrature du Net et a*.</footnote>

<footnote n="394">³⁹⁴ CE, Ass., 21 avr. 2021, n° 393099, 394922, 397844, 397851, 424717 et 424718, *French Data Network et a*, consid. 34-36.</footnote>
l'ensemble des faits de l'espèce » si l'infraction relève de la criminalité grave<fnref n="395" />. Enfin, pour les données de connexion, le Conseil d'État relève l'illégalité de l'article R.10-13, I et II du Code des postes et des communications électroniques, ainsi que du décret du 25 février 2011, article 1er, 1° et 2°, en ce que ces dispositions prévoient une obligation de conservation pour d'autres finalités que la sauvegarde de la sécurité nationale. Pour ce faire, « il note que la méthode de « conservation rapide » autorisée par le droit européen (et prévue à l'article 60-2 du Code de procédure pénale) peut à ce jour s'appuyer sur le stock de données conservées de façon généralisée pour les besoins de la sécurité nationale, et peut être utilisée pour la poursuite des infractions pénales »<fnref n="396" />. Ainsi, le Conseil d'État reprend dans les grandes lignes l'exigence de gravité posée par la CJUE, sans pour autant indiquer un seuil de peine minimale.

**250. La position du Conseil constitutionnel.** Dans plusieurs questions prioritaires de constitutionnalité<fnref n="397" />, le Conseil constitutionnel a été amené à se prononcer sur la conformité de dispositions relatives à l'accès des données numériques. C'est le cas notamment dans la QPC *Omar Y* du 3 décembre 2021. Dans cette QPC, le Conseil que les articles 77-1-1 et 77-1-2 du Code de procédure pénale, dans leur version issue de la loi du 23 mars 2019 sont inconstitutionnels. Ces deux articles concernent les réquisitions de données de connexion en enquête préliminaire. Il relève, conformément à la CJUE, que « les données de connexion fournissent sur les personnes en cause ainsi que, le cas échéant, sur des tiers, des informations nombreuses et précises, particulièrement attentatoires à leur vie privée »<fnref n="398" />. D'autre part, le Conseil constitutionnel précise que « la réquisition de ces données est autorisée dans le cadre d'une enquête préliminaire qui peut porter sur tout type d'infraction et qui n'est pas justifiée par l'urgence ni limitée dans le temps »<fnref n="399" />. Avec cette QPC, le Conseil constitutionnel ne pose pas de seuil minimal de peine, mais précise que notamment l'absence de critère de gravité pour ces réquisitions participe à l'absence « de garanties propres à assurer une conciliation équilibrée entre, d'une part, le droit au respect de la vie privée et, d'autre part, la

<footnote n="395">³⁹⁵ CE, Ass., 21 avr. 2021, n° 393099, 394922, 397844, 397851, 424717 et 424718, *French Data Network et a.*, consid. 37-38.</footnote>

<footnote n="396">³⁹⁶ A. Archambault, « Le Conseil d'État sauve les enquêtes judiciaires en encadrant l'accès aux données de connexion », *AJ Pénal*, 2021 p. 309.</footnote>

<footnote n="397">³⁹⁷ Ci-après QPC.</footnote>

<footnote n="398">³⁹⁸ Cons. const., décision n° 2021-952 QPC, 3 décembre 2021, *M. Omar Y*, consid. 11.</footnote>

<footnote n="399">³⁹⁹ *Ibid.*, consid 12.</footnote>
recherche des auteurs d'infractions »<fnref n="400" />. C'est pour cela que le législateur va préciser un
quantum minimal.

B) L'adoption d'un seuil par le législateur

251. **L'absence d'un seuil de principe.** Après les arrêts de la CJUE, l'arrêt du Conseil d'État et la censure du Conseil constitutionnel de 2021, le législateur a adopté la loi du 2 mars 2022⁴⁰¹. Ce cavalier législatif<fnref n="402" /> réforme les articles 60-1, 60-1-1, 77-1-1, 77-1-2 et 99-3 du Code de procédure pénale, et crée l'article 60-1-2 au même code. Ces articles n'imposent, en principe, aucune condition de gravité<fnref n="403" />. Toutefois, la loi du 2 mars 2022 a modifié ces articles en ajoutant « sous réserve de l'article 60-1-2 du Code de procédure pénale ». C'est cet article qui impose un quantum minimal d'emprisonnement en matière de réquisition de données de connexion.

252. **Un seuil de principe.** L'article 60-1-2 du Code de procédure pénale crée un régime spécifique pour les données de connexion. Cet article impose deux conditions. D'une part, la réquisition doit résulter « des nécessités de la procédure », afin de « s'assurer de la pertinence de la réquisition et de contrôler l'opportunité » de la mesure<fnref n="404" />. D'autre part, le texte impose « quatre cas qui sont en réalité une règle de principe »<fnref n="405" />. Tout d'abord, les réquisitions de données de connexion, c'est-à-dire de « données techniques permettant d'identifier la source de la connexion ou celles relatives aux équipements terminaux »<fnref n="406" />, ne peuvent être émises que pour une infraction punie d'au moins trois ans d'emprisonnement. Ce seuil est applicable aux réquisitions de données de connexion dans n'importe quel cadre d'enquête, qu'il s'agisse d'une enquête préliminaire, d'une enquête de flagrance ou encore d'une information judiciaire. Cependant, même si le seuil de trois ans d'emprisonnement est le principe, il existe des exceptions.

<footnote n="400">⁴⁰⁰ Cons. const., décision n° 2021-952 QPC, du 3 décembre 2021, *M. Omar Y*, consid. 11., consid. 14.</footnote>

<footnote n="401">⁴⁰¹ Loi n° 2022-299 du 2 mars 2022 visant à combattre le harcèlement scolaire.</footnote>

<footnote n="402">⁴⁰² J. Bossan, « Les réquisitions judiciaires relatives aux données de connexion : suite... et fin ? », *Droit pénal*, n° 7-8, juillet-août 2022, étude 17, p. 9.</footnote>

<footnote n="403">⁴⁰³ A. Mornet, « Vers un droit commun de la preuve numérique ? », *Lexbase Pénal*, 8 mars 2023.</footnote>

<footnote n="404">⁴⁰⁴ J. Bossan, « Les réquisitions judiciaires relatives aux données de connexion : suite... et fin ? », *Droit pénal*, n° 7-8, juillet-août 2022, étude 17, p. 11.</footnote>

<footnote n="405">⁴⁰⁵ *Ibid*.</footnote>

<footnote n="406">⁴⁰⁶ Art. 60-1-2 du Code de procédure pénale.</footnote>
253. **Les exceptions au seuil de principe.** L'article 60-1-2 prévoit une exception concernant la cybercriminalité. Effectivement, le seuil minimal est alors abaissé à un an lorsque le délit est « commis par l'utilisation d'un réseau de communications électroniques et ces réquisitions ont pour seul objet d'identifier l'auteur de l'infraction »<fnref n="407" />. La diminution du quantum permet d'émettre de telles réquisitions pour des infractions punies d'une peine inférieure à trois ans. C'est le cas notamment de « pornodivulgation, l'usurpation d'identité, le délit de montage, la proposition sexuelle faite par un majeur à un mineur de moins de quinze ans sans rencontre, la provocation à la discrimination, à la haine ou à la violence, les diffamations et injures discriminatoires, le négationnisme et le harcèlement »<fnref n="408" />. Une autre exception est lorsque la victime consent aux réquisitions, elles ne peuvent alors être émises que si le délit est puni au minimum d'une peine d'emprisonnement<fnref n="409" />. Enfin, la dernière exception prévue est lorsque les réquisitions tendent à retrouver une personne disparue<fnref n="410" />.

254. **Critiques du seuil de principe.** Le seuil de trois ans permet de limiter les réquisitions à certaines infractions. En principe, seules les infractions les plus graves sont concernées. Cependant, ce seuil n'étant « pas particulièrement élevé », il permet « de viser une très grande diversité de comportements »<fnref n="411" />. En outre, ce seuil est « déjà majoritairement imposé »<fnref n="412" /> en matière de techniques numériques d'enquête et permet un peu plus de cohérence en la matière. Finalement, le législateur français a adopté une conception différente de la gravité que la CJUE ou que les juridictions internes. Cependant, rien ne permet d'affirmer que ce seuil est conforme pour la CJUE<fnref n="413" />. Toutefois, cela n'a pas empêché la Commission de reprendre ce seuil et d'en faire une condition d'émission des injonctions européennes dans le règlement e-evidence.

**Section 2 : Un seuil confirmé par le règlement e-evidence**

<footnote n="407">⁴⁰⁷ Art. 60-1-2 2° du Code de procédure pénale.</footnote>

<footnote n="408">⁴⁰⁸ J. Bossan, « Les réquisitions judiciaires relatives aux données de connexion : suite... et fin ? », *Droit pénal*, n° 7-8, juillet-août 2022, étude 17, p. 11.</footnote>

<footnote n="409">⁴⁰⁹ Art. 60-1-2 3° du Code de procédure pénale.</footnote>

<footnote n="410">⁴¹⁰ *Ibid.*, 4°.</footnote>

<footnote n="411">⁴¹¹ J. Bossan, « Les réquisitions judiciaires relatives aux données de connexion : suite... et fin ? », *Droit pénal*, n° 7-8, juillet-août 2022, étude 17, p. 11.</footnote>

<footnote n="412">⁴¹² A. Mornet, « Vers un droit commun de la preuve numérique ? », *Lexbase Pénal*, 8 mars 2023.</footnote>

<footnote n="413">⁴¹³ *Ibid*.</footnote>
**255. Deux quantums distincts.** Le règlement e-evidence s'applique aussi bien à des enquêtes pénales transnationales qu'à l'exécution de mesures privatives de liberté. À ce titre, il encadre les injonctions par deux seuils minimaux. Il y a d'un côté un quantum minimal applicable aux mesures privatives de liberté, qui concernent tous les types d'injonction (I). Et de l'autre côté, il y a un quantum minimal, applicable aux enquêtes, spécifique aux injonctions de production (II).

**I/ Un quantum minimal applicable à toutes les injonctions**

**256. L'exécution d'une mesure.** Outre la poursuite d'infractions, le règlement est applicable à « l'exécution d'une peine ou d'une mesure de sûreté privatives de liberté »<fnref n="414" />. Autrement dit, les injonctions peuvent être mobilisées afin de retrouver un condamné ou une personne devant respecter une mesure de sûreté. Une telle mesure constitue une mesure de précaution, fondée sur la dangerosité d'un individu<fnref n="415" />. Elle permet d'empêcher la commission de nouvelles infractions. Le règlement e-evidence permet de participer à l'exécution de ces deux types de mesures, cependant, elles doivent répondre à certaines conditions pour entrer dans le champ d'application du règlement.

**257. Une mesure conditionnée.** Pour que l'exécution d'une peine ou d'une mesure de sûreté privative de liberté puisse bénéficier des injonctions européennes, il faut qu'elle soit d'une durée minimum de quatre mois. Ce qui veut dire qu'une telle mesure prononcée pour une durée inférieure à quatre mois ne peut pas faire l'objet d'une injonction européenne. Ainsi, le règlement pose un quantum minimal. Également, cette mesure doit avoir été prononcée à l'issue d'une procédure pénale, par une décision qui n'a pas été rendue par défaut et lorsque la personne condamnée s'est soustraite à la justice<fnref n="416" />. Si ces conditions sont satisfaites, il est possible d'émettre n'importe quel type d'injonction.

**258. Un seuil minimal applicable à toutes les injonctions.** Dans ce contexte, le quantum de quatre mois est applicable à toutes les injonctions. En effet, il concerne aussi bien une injonction de production que de conservation. Ce quantum s'applique aux

<footnote n="414">⁴¹⁴ Règlement UE 2023/1543 du 12 juillet 2023, art. 2 §2.</footnote>

<footnote n="415">⁴¹⁵ « Mesure de sûreté », in G. Cornu (dir.), *Vocabulaire juridique*, ed. Association Henri Capitant, Paris, PUF, 2018.</footnote>

<footnote n="416">⁴¹⁶ Règlement UE 2023/1543 du 12 juillet 2023, art. 2 §2.</footnote>
injonctions de conservation et constitue l'une des conditions d'émission, puisque ces injonctions peuvent être émises pour toutes les infractions. Également, les injonctions de production peuvent être émises, pour l'exécution d'une peine ou d'une mesure de sûreté privatives de liberté, concernant des données d'abonnés ou à des données aux seules fins d'identifier un utilisateur. En outre, ces injonctions peuvent aussi être émises pour des données de contenu et de trafic. Toutefois, s'agissant des injonctions de production, il convient de préciser qu'elles sont limitées à certaines infractions, parfois punies d'un certain quantum minimal.

## II/ Un quantum minimal spécifique aux injonctions de production

259. **Un seuil pour la production de données sensibles.** Le règlement e-evidence, pour respecter le principe de proportionnalité<fnref n="417" />, a adopté un seuil minimal de peine, en dessous duquel une injonction de production ne peut être émise. Ce seuil minimal est de trois ans d'emprisonnement, comme en France. Il s'applique à toutes les injonctions de production concernant les données de trafic et de contenu<fnref n="418" />. Il s'agit donc d'une condition d'émission supplémentaire concernant les injonctions de production des données les plus sensibles traitées par le règlement<fnref n="419" />. Ainsi, le règlement entérine le seuil de trois ans, précédemment instauré en droit français, alors que la CJUE ne pose pas une telle condition. Si le règlement se veut garant des droits fondamentaux, il n'oublie pas pour autant d'être efficace. Il instaure alors des exceptions à ce quantum minimal.

260. **Les exceptions au quantum minimal.** Le règlement se veut efficace<fnref n="420" />. En effet, « un tel seuil ne devrait pas limiter l'efficacité du présent règlement ni son utilisation par les praticiens »<fnref n="421" />. « Cette limitation exclurait du champ d'application du présent règlement un nombre significatif d'infractions »<fnref n="422" />. De ce fait, le règlement indique deux exceptions à ce seuil, dans lesquelles il est alors inapplicable. Il y a d'abord les infractions relatives à la cybercriminalité réprimée par le droit de l'Union. Elles doivent avoir été commises totalement ou au moins partiellement aux moyens d'un

<footnote n="417">⁴¹⁷ Proposition de Règlement COM (2018) 225 final du Parlement européen et du Conseil relatif aux injonctions européennes de production et de conservation de preuves électroniques en matière pénale.</footnote>

<footnote n="418">⁴¹⁸ Règlement UE 2023/1543 du 12 juillet 2023, art. 5 §4 a.</footnote>

<footnote n="419">⁴¹⁹ *Ibid.*, consid. 40.</footnote>

<footnote n="420">⁴²⁰ *V. Supra*.</footnote>

<footnote n="421">⁴²¹ Règlement UE 2023/1543 du 12 juillet 2023. consid. 40.</footnote>

<footnote n="422">⁴²² *Ibid*.</footnote>
système d'information. À cet effet, le règlement vise plusieurs directives comme la directive (UE) 2019/713<sup>423</sup>, la directive 2011/93/UE<sup>424</sup>, et la directive 2013/40/UE<sup>425</sup>. Également, une autre exception à l'application du seuil de trois ans d'emprisonnement sont les infractions relatives au terrorisme<sup>426</sup>. Dès lors que les infractions relèvent de la cybercriminalité ou du terrorisme existantes en droit de l'Union européenne, aucun seuil ne s'applique. Ces exceptions se comprennent aisément, puisque ces infractions sont considérées comme graves. Par ailleurs, le règlement justifie l'absence de seuil s'agissant des infractions relavant de la cybercriminalité en précisant que ces infractions peuvent être considérées comme peu graves avec un préjudice individuel faible, mais qu'au regard de leur nombre le préjudice global est élevé<sup>427</sup>.

**261. L'encadrement de l'organe compétent.** Comme le droit français, le règlement impose un quantum minimal d'emprisonnement aux réquisitions et aux injonctions européennes. Le seuil est le même, les exceptions sont les mêmes notamment concernant la cybercriminalité. Le règlement *e-evidence* va plus loin en encadrant la compétence de l'autorité d'émission.

## Chapitre 2 : Les réquisitions encadrées par la compétence de l'autorité judiciaire

**262. Une aversion pour le parquet.** Certains États membres, dont la France, ont comme autorités intervenant, dans les procédures pénales, un ministère public. Le ministère public ou aussi appelé le procureur composent le parquet. Le procureur est chargé de représenter la société et a la charge de l'exercice de l'action publique. À ce titre, il peut diriger des enquêtes pénales et notamment émettre des réquisitions. Au fur et à mesure des arrêts rendus, la Cour de Luxembourg a eu l'occasion de s'exprimer sur la compétence du procureur et plus largement du parquet. Elle n'est, d'ailleurs, pas

<footnote n="423"><sup>423</sup> Directive UE 2019/713 du Parlement européen et du Conseil du 17 avril 2019 concernant la lutte contre la fraude et la contrefaçon des moyens de paiement autres que les espèces et remplaçant la décision-cadre 2001/413/JAI du Conseil.</footnote>

<footnote n="424"><sup>424</sup> Directive 2011/93/UE du Parlement européen et du Conseil du 13 décembre 2011 relative à la lutte contre les abus sexuels et l'exploitation sexuelle des enfants, ainsi que la pédopornographie et remplaçant la décision-cadre 2004/68/JAI du Conseil.</footnote>

<footnote n="425"><sup>425</sup> Directive 2013/40/UE du Parlement européen et du Conseil du 12 août 2013 relative aux attaques contre les systèmes d'information et remplaçant la décision-cadre 2005/222/JAI du Conseil.</footnote>

<footnote n="426"><sup>426</sup> Directive UE 2017/541 du Parlement européen et du Conseil du 15 mars 2017 relative à la lutte contre le terrorisme et remplaçant la décision-cadre 2002/475/JAI du Conseil et modifiant la décision 2005/671/JAI du Conseil.</footnote>

<footnote n="427"><sup>427</sup> Règlement UE 2023/1543 du 12 juillet 2023, consid. 41.</footnote>
favorable au rôle joué par le procureur (Section 1). Cette défaveur voire cette défiance
à l'égard des parquetiers est reprise et entérinée par le règlement e-evidence (Section
2).

Section 1 : La défiance de la CJUE pour le parquet français

263. Les effets de la défiance de la CJUE. La Cour de Luxembourg est défavorable au rôle du procureur de la République française, celui-ci n'étant pas conforme aux exigences du droit de l'Union européenne (I). Ce manque de conformité à l'échelle de l'Union, née de la jurisprudence de la Cour de justice, a été repris par les juridictions internes (II).

I/ <u>Le parquet ne remplissant pas les conditions nécessaires</u>

264. **Un double manque.** Au travers de sa jurisprudence concernant les données numériques constituant des preuves électroniques, la CJUE a eu l'occasion de s'exprimer sur les conditions entourant l'accès à ces données. Elle impose la réalisation d'un contrôle préalable à l'accès aux données de connexion (A) par une autorité indépendante (B). Cependant, ce n'est pas le cas en droit français.

A) <u>Le manque d'un contrôle préalable</u>

265. Une exigence ancienne. La CJUE impose depuis 2016 la condition d'un contrôle préalable à l'accès aux données de connexion. En effet, « il est essentiel que l'accès des autorités nationales compétentes aux données conservées soit, en principe, sauf cas d'urgence dûment justifiés, subordonné à un contrôle préalable »<fnref n="428" />. Depuis lors, la Cour ne cesse de répéter l'exigence de ce contrôle préalable, puisqu'elle réitère sa position dans les arrêts *La Quadrature du Net*<fnref n="429" />, *Prokuratuur*<fnref n="430" /> ou encore dans l'arrêt G.D. c/ *Commissioner of An Garda Síochána*<fnref n="431" />.

<footnote n="428">⁴²⁸ CJUE, gde ch., 21 décembre 2016, aff. C-203/15 et C-698/15, *Tele2 Sverige AB c/ Post-och telestyrelsen et Secretary of State for the Home Department c/ Tom Watson e. a*, § 120.</footnote>

<footnote n="429">⁴²⁹ CJUE, gde ch., 6 octobre 2020, aff. C-511/18, C-512/18 et C-520/18, *La Quadrature du Net et a*, § 189.</footnote>

<footnote n="430">⁴³⁰ CJUE, gde ch., 2 mars 2021, aff. C-746/18, *Prokuratuur*, § 51.</footnote>

<footnote n="431">⁴³¹ CJUE, gde ch., 5 avril 2022, aff. C-140/20, G.D. c/ *Commissioner of An Garda Síochána* e. a, § 105.</footnote>
266. **L'absence de contrôle en droit français.** Ce contrôle préalable constitue un contrôle de proportionnalité et de légalité avant que l'autorité n'accède aux données<fnref n="432" />. Ce contrôle préalable est quasiment inexistant dans la procédure pénale française. En effet, en enquête de flagrance, les réquisitions de données de connexion sont initiées par le procureur de la République, par un officier de police judiciaire et sous le contrôle de ce dernier un agent de police judiciaire<fnref n="433" />. En revanche, il existe dans ce cadre d'enquête lorsque les réquisitions concernent les données de connexion d'un avocat<fnref n="434" />. Effectivement, dans ce cas, c'est le juge des libertés et de la détention<fnref n="435" /> qui autorise la mesure. Également, en enquête préliminaire, il existe un contrôle préalable à l'accès aux données, puisque les réquisitions ne peuvent être effectuées sans l'accord du procureur de la République<fnref n="436" />. Cependant, si ce contrôle existe de manière partielle, celui-ci demeure non conforme au droit de l'Union européenne, car la CJUE impose qu'il soit effectué par une autorité indépendante.

## B) Le manque d'indépendance

267. **La nécessité d'une autorité indépendante.** Dans quasiment tous les arrêts portant sur les données numériques, la Cour précise que le contrôle préalable à l'accès doit être effectué par une autorité indépendante. Ce contrôle est effectué « soit par une juridiction soit par une entité administrative indépendante ». En outre, la décision de cette juridiction ou de cette entité doit intervenir à la suite d'une demande motivée de des autorités voulant accéder aux données<fnref n="437" />. Ces deux entités doivent présenter toutes les attributions ainsi que toutes les garanties nécessaires en vue d'assurer une conciliation des différents intérêts et droits en cause. C'est-à-dire qu'elles doivent être capables d'assurer un juste équilibre entre l'intérêt de l'enquête pénale et les droits fondamentaux tels que le droit à la vie privée et le droit à la protection des données personnelles<fnref n="438" />. S'agissant de l'entité administrative, celle-ci doit « jouir d'un statut lui

<footnote n="432">⁴³² M. Audibert, « L'accès aux données de trafic et de localisation dans le cadre d'une enquête judiciaire », Lexbase Pénal, août 2022.</footnote>

<footnote n="433">⁴³³ Art. 60-1 et 60-2 du Code de procédure pénale.</footnote>

<footnote n="434">⁴³⁴ *Ibid.*, art. 60-1-1.</footnote>

<footnote n="435">⁴³⁵ Ci-après JLD.</footnote>

<footnote n="436">⁴³⁶ Art. 77-1-1 et 77-1-2 du Code de procédure pénale.</footnote>

<footnote n="437">⁴³⁷ CJUE, gde ch., 21 décembre 2016, aff. C-203/15 et C-698/15, Tele2 Sverige AB c/ Post-och telestyrelsen et Secretary of State for the Home Department c/ Tom Watson e. a, § 120. V. aussi CJUE, gde ch., 6 octobre 2020, aff. C-511/18, C-512/18 et C-520/18, La Quadrature du Net et a, § 189 ; CJUE, gde ch., 2 mars 2021, aff. C-746/18, Prokuratuur, § 51 ; CJUE, gde ch., 5 avril 2022, aff. C-140/20, G.D. c/ Commissioner of An Garda Síochána e. a, § 105.</footnote>

<footnote n="438">⁴³⁸ CJUE, gde ch., 2 mars 2021, aff. C-746/18, Prokuratuur, § 52.</footnote>
permettant d'agir lors de l'exercice de ses missions de manière objective et impartiale ».

Ce qui doit la préserver de toute influence extérieure<fnref n="439" />. Ce qui signifie que ces deux entités ne peuvent pas être impliquées dans la procédure pénale.

268. **L'incompétence du ministère public.** Dans l'arrêt *Prokuratuur*, la CJUE s'exprime sur la compétence du ministère public estonien. Elle précise notamment que ce ministère public ne peut pas exercer un contrôle préalable à l'accès aux données de connexion. En effet, la Cour indique, d'une part, que l'autorité chargée de ce contrôle doit être neutre à l'égard des parties présentent à la procédure, et d'autre part, elle ne doit pas être impliquée dans la procédure<fnref n="440" />. Cependant, « tel n'est pas le cas d'un ministère public qui dirige la procédure d'enquête et exerce, le cas échéant, l'action publique. En effet, le ministère public a pour mission non pas de trancher en toute indépendance un litige, mais de le soumettre, le cas échéant, à la juridiction compétente, en tant que partie au procès exerçant l'action pénale »<fnref n="441" />. Cette solution est applicable au droit interne.

269. **Une solution applicable au droit français.** Même si la solution de l'arrêt *Prokuratuur* concerne le ministère public estonien, elle est applicable au procureur français. En France, le parquet est organisé de manière hiérarchique. Il est directement soumis à l'autorité du ministère de la Justice<fnref n="442" />. Effectivement, le procureur met en œuvre la politique pénale définie par le Gouvernement<fnref n="443" />. En outre, le procureur dirige la police judiciaire<fnref n="444" />. À ce titre, il a la charge de l'exercice de l'action publique et dispose de l'opportunité des poursuites<fnref n="445" />. Il est alors libre de diligenter ou non une enquête pour des faits délictueux dont il a connaissance. En vertu de toutes ces compétences, le procureur à une place ambiguë aux seins de la procédure pénale celui-ci étant à la fois une autorité de poursuite dirigeant les investigations et une partie au procès, en requérant la condamnation des mis en cause. C'est en raison de tous ces éléments que la Cour de justice considère que le ministère public estonien et français ne remplissent pas les conditions d'indépendance nécessaires pour effectuer eux-mêmes un

<footnote n="439">⁴³⁹ CJUE, gde ch., 2 mars 2021, aff. C-746/18, *Prokuratuur*, § 53.</footnote>

<footnote n="440">⁴⁴⁰ *Ibid.*, § 54.</footnote>

<footnote n="441">⁴⁴¹ *Ibid.*, § 55.</footnote>

<footnote n="442">⁴⁴² Art. 5 de l'ordonnance n°58-1270 du 22 décembre 1958 portant loi organique relative au statut de la magistrature.</footnote>

<footnote n="443">⁴⁴³ Art. 30 du Code de procédure pénale.</footnote>

<footnote n="444">⁴⁴⁴ *Ibid*. art. 12.</footnote>

<footnote n="445">⁴⁴⁵ *Ibid.*, art. 40.</footnote>
contrôle préalable afin d'accéder aux données de trafic et de localisation. Toutefois, au
regard des décisions précédant l'arrêt *Prokuratuur*, cette solution peut sembler
étonnante.

**270. La notion d'autorité judiciaire renouvelée.** La notion d'autorité judiciaire est une notion européenne autonome<fnref n="446" />, elle n'est ni définie par les traités ni par le droit dérivé. Depuis les arrêts Poltorak<fnref n="447" /> et Kovalkovas<fnref n="448" /> de 2016, l'autorité judiciaire correspond à participe à l'administration de la justice. En vertu de cette définition, la Cour « considère que l'autorité judiciaire « participe à l'administration de la justice » »<fnref n="449" />. En vertu de cette définition, la Cour de justice a, en 2019, estimé que le procureur français remplissait toutes les conditions d'indépendance et d'impartialité pour émettre un mandat d'arrêt européen<fnref n="450" />. Cependant, en 2021, elle estime l'exact contraire, ce qui peut sembler surprenant. Toutefois, cette divergence de solution s'explique par le fait que « l'émission d'un mandat d'arrêt européen n'était pas une décision au fond, mais un acte de procédure, voire un acte de poursuite, il n'y a pas de raison d'imposer qu'elle soit prise par une autorité de jugement »<fnref n="451" />. Tandis que s'agissant du contrôle préalable pour accéder aux données de connexion, il s'agit d'une mise en balance de plusieurs intérêts, dont la CJUE estime le procureur incapable. Par cette solution, elle redéfinit sa propre appréhension de la notion d'autorité judiciaire.

**271. Une remise en cause du parquet.** La CJUE pour sa jurisprudence témoigne de son aversion envers les ministères publics, y compris celui français. La procédure pénale est donc contraire au droit de l'Union européenne, en raison d'une absence de contrôle préalable à l'accès aux données de connexion exercé par une autorité indépendante et impartiale. Cette solution a été reçue par les juridictions internes.

<footnote n="446">⁴⁴⁶ G. Taupiac-Nouvel, Réflexions sur la consécration de la notion européenne d'autorité judiciaire, à propos de la jurisprudence récente de la Cour de justice de l'Union européenne, Actualités du GDR-ELSJ, 19 juin 2017, gdr-elsj.eu.</footnote>

<footnote n="447">⁴⁴⁷ CJUE, 4ème ch., 10 novembre 2016, aff.C-452/16 PPU, *Krzysztof Marek Poltorak*.</footnote>

<footnote n="448">⁴⁴⁸ CJUE, 4ème ch., 10 novembre 2016, aff.C-477/16 PPU, *Ruslanas Kovalkovas*.</footnote>

<footnote n="449">⁴⁴⁹ F. Molin et A. Taleb-Karlsson, « Plaidoyer pour une indépendance statutaire des magistrats du parquet », *AJ Pénal*, 2021, p. 23.</footnote>

<footnote n="450">⁴⁵⁰ CJUE, 1ère ch., 12 déc. 2019, aff. jtes C-566/19 PPU, *Parquet général du Grand-Duché de Luxembourg*, § 54-58.</footnote>

<footnote n="451">⁴⁵¹ P. Beauvais, « Chronique Droit pénal de l'UE - L'émergence d'une autorité judiciaire européenne », *RTD Eur.*, 2020, p. 437.</footnote>
## II/ Le retentissement de la jurisprudence de la CJUE par les juridictions internes

272. **Un retentissement distinct.** L'impact de la jurisprudence de la CJUE et plus particulièrement de l'arrêt *Prokuratuur* diffère en fonction des juridictions nationales. Le Conseil constitutionnel a une manière particulière de recevoir l'apport de la jurisprudence européenne voir l'ignore (A), tandis que la Cour de cassation applique le raisonnement de la CJUE (B).

### A) L'ignorance constitutionnelle

273. **Une censure constitutionnelle.** Dans la QPC *Omar Y* du 3 décembre 2021, le Conseil constitutionnel déclare inconstitutionnels les articles 77-1-1 et 77-1-2 du Code de procédure pénale en raison du manque « de garanties propres à assurer une conciliation équilibrée entre, d'une part, le droit au respect de la vie privée et, d'autre part, la recherche des auteurs d'infractions »<fnref n="452" />. Le Conseil constitutionnel censure ces dispositions, car même si le procureur de la République est un magistrat de l'ordre judiciaire à qui il revient « de contrôler la légalité des moyens mis en œuvre par les enquêteurs et la proportionnalité des actes d'investigation au regard de la nature et de la gravité des faits, le législateur n'a assorti le recours aux réquisitions de données de connexion d'aucune autre garantie »<fnref n="453" />. En d'autres termes, le Conseil considère que la seule garantie procédurale constituée par l'autorisation du procureur de la République est insuffisante, car elle est la seule garantie<fnref n="454" />. Cependant, ce dernier ne remet pas en cause la place du procureur, ce qui va à l'encontre de la position de la CJUE. Le Conseil va, d'ailleurs, réitérer sa position dans une QPC du 20 mai 2022.

274. **Une conformité réitérée.** Dans la QPC *M. Lotfi H*, le Conseil constitutionnel déclare la constitutionnalité des articles 60-1 et 60-2 du Code de procédure pénale. Les requérants reprochent le manque de contrôle préalable d'une juridiction indépendante dans la procédure d'émission des réquisitions de données de connexion en enquête de flagrance. Le Conseil répond que l'initiative des réquisitions appartient au procureur, à un officier de police judiciaire ou, sous le contrôle de ce dernier, d'un agent de police

<footnote n="452">⁴⁵² Cons. const., décision n° 2021-952 QPC, 3 décembre 2021, *M. Omar Y*, consid. 14.</footnote>

<footnote n="453">⁴⁵³ *Ibid*., consid. 13.</footnote>

<footnote n="454">⁴⁵⁴ M. Audibert, « Inconstitutionnalité différée des réquisitions de données informatiques par le procureur de la République dans le cadre de l'enquête préliminaire : le jour d'après », *Lexbase Pénal*, 26 décembre 2021.</footnote>
judiciaire. En conséquence, elles « sont mises en œuvre sous le contrôle d'un magistrat de l'ordre judiciaire auquel il revient de contrôler la proportionnalité des actes d'investigation au regard de la nature et de la gravité des faits »<fnref n="455" />. Encore une fois, le Conseil constitutionnel va à contre sens de la CJUE<fnref n="456" />. En revanche, ce n'est pas le cas de la Cour de cassation.

## B) La confirmation judiciaire

275. **L'exercice du contrôle de conventionnalité.** Par quatre arrêts en date du 12 juillet 2022⁴⁵⁷, la Cour de cassation a effectué son contrôle de conventionnalité concernant les articles régissant les réquisitions de données de connexion en enquête de flagrance, en enquête préliminaire et dans le cadre de l'information judiciaire. En effet, « les articles 60-1, 60-2, 77-1-1 et 77-1-2 du Code de procédure pénale sont contraires au droit de l'Union uniquement en ce qu'ils ne prévoient pas un contrôle préalable par une juridiction ou une entité administrative indépendante »<fnref n="458" />. Elle reconnait ainsi que les réquisitions de données de connexion en enquête de flagrance et en enquête préliminaire sont contraires au droit de l'Union, en raison de l'absence de contrôle préalable d'une autorité indépendante. C'est donc la compétence du procureur de la République ainsi que celles des enquêteurs qui est indirectement sanctionnée. En ce sens, elle applique la jurisprudence de la CJUE.

276. **La fragilisation des enquêtes.** La solution de la Chambre criminelle fragilise les enquêtes, puisque « les policiers et les procureurs se sont vus privés de la possibilité de requérir l'accès aux données de connexion »<fnref n="459" />. La Chancellerie invite les procureurs à user de l'ambiguïté des arrêts rendus par la Cour de cassation, en insistant sur la motivation des réquisitions<fnref n="460" />. Toutefois, l'absence de fondement légal ne devrait pas dissuader les services enquêteurs d'accéder aux données de connexion, ce qui augmentera le nombre de procédures illégales. Par ailleurs, la Chambre criminelle

<footnote n="455">⁴⁵⁵ Cons. const., décision n° 2022-993 QPC, 20 mai 2022, M. Lotfi H, consid. 13.</footnote>

<footnote n="456">⁴⁵⁶ A. Léon, « Réquisitions de données informatiques dans l'enquête de flagrance : une constitutionnalité qui interroge », Lexbase Pénal, 24 mai 2022.</footnote>

<footnote n="457">⁴⁵⁷ Cass. ch. crim., 12 juill. 2022, n° 21-83.710, 21-83.820, 21-84.096 et 20-86.652.</footnote>

<footnote n="458">⁴⁵⁸ Cass. ch. crim., 12 juill. 2022, n° 21-83.710, § 42.</footnote>

<footnote n="459">⁴⁵⁹ O. Cahn, « Données de connexion et enquête pénale : la chèvre et le chou malmenés », JCP-G, 2022, n°40, p. 1831.</footnote>

<footnote n="460">⁴⁶⁰ Ibid.</footnote>
indique la marche à suivre aux juges saisis d'un moyen concernant la méconnaissance du droit de l'Union.

277. **Le modus operandi<sup>461</sup> de la Chambre criminelle.** La Cour indique tout d'abord que le requérant doit être recevable en sa demande. En d'autres termes, il doit démontrer qu'il est titulaire ou utilisateur de l'une des lignes identifiées ou que les investigations litigieuses ont porté atteinte à sa vie privée<sup>462</sup>. Ensuite, le juge doit vérifier que les données ont été régulièrement conservées en vue de la poursuite d'infractions relevant de la criminalité grave<sup>463</sup>. En outre, il doit justifier d'un grief. Toutefois, s'il semble automatique en matière de conservation des données, il en va différemment s'agissant de l'absence de contrôle préalable d'une autorité. Le grief né de cette absence est nettement moins évident à rapporter, la Cour de cassation étant restrictive à ce propos<sup>464</sup>. Il convient de préciser que ce *modus operandi* ne concerne que les réquisitions effectuées par le procureur ou par les services enquêteurs. Cela ne concerne nullement les réquisitions émises par le juge d'instruction, puisque sa compétence a résisté au contrôle de conventionalité.

278. **La conformité du rôle du juge d'instruction.** La Cour de cassation constate la conformité de la compétence de ce magistrat. Effectivement, elle précise que le juge d'instruction n'est pas parti à la procédure, mais constitue « une juridiction qui statue notamment sur les demandes d'actes d'investigation formées par les parties, lesquelles disposent d'un recours en cas de refus »<sup>465</sup>. Également, elle souligne qu'il ne met en mouvement l'action, sa compétence résultant du procureur ou de la partie civile, qui initient l'action publique<sup>466</sup>. Les réquisitions émises par le juge d'instruction sur les fondements des articles 99-3 et 99-4 du Code de procédure pénale sont donc conformes au droit de l'Union européenne. À cet égard, la jurisprudence adopte la même position que le Conseil constitutionnel. En effet, les articles 99-3 et 99-4 sont conformes à la Constitution en ce que le juge d'instruction est un « magistrat du siège dont

<footnote n="461">461 M. Audibert, « L'accès aux données de trafic et de localisation dans le cadre d'une enquête judiciaire », *Lexbase Pénal*, août 2022.</footnote>

<footnote n="462">462 Cass. ch. crim., 12 juill. 2022, n° 21-83.710, § 52.</footnote>

<footnote n="463">463 *Ibid.*, § 63.</footnote>

<footnote n="464">464 O. Cahn, « Données de connexion et enquête pénale : la chèvre et le chou malmenés », *JCP-G*, 2022, n°40, p. 1832.</footnote>

<footnote n="465">465 *Ibid.*, §43.</footnote>

<footnote n="466">466 *Ibidem*.</footnote>
l'indépendance est garantie par la Constitution », et que les commissions rogatoires sont exécutées par les services enquêteur<fnref n="467" />.

**279. La position conforme de la Cour de cassation.** La Chambre criminelle au travers de ses arrêts rendus le 12 juillet 2022 adopte une jurisprudence conforme à la position de la CJUE. Pour cela, elle déclare l'absence de contrôle préalable contraire au droit de l'Union, tout en confortant la compétence du juge d'instruction. Il s'agit là d'un « bouleversement majeur » prévisible, l'absence d'anticipation est alors regrettable que le législateur n'ait toujours pas pleinement appliqué cette solution. Par ailleurs, l'Union a adopté la même solution que la CJUE avec le règlement *e-evidence*.

**Section 2 : Une défiance confirmée par le règlement e-evidence**

**280. Une force contraignante supplémentaire.** En vertu du principe de primauté, le droit de l'Union européenne, y compris les solutions jurisprudentielles priment sur le droit national. En principe, les juridictions nationales n'ont pas d'autres choix que de respecter la primauté du droit de l'Union et d'écarter, le cas échéant des normes nationales contraires. Même si la Cour de cassation a adopté une solution conforme à celle de la CJUE, il en va différemment du législateur. Le règlement *e-evidence* en déterminant de manière contraignante la compétence de l'autorité nationale d'émission (I), il invite le législateur français à réformer le statut du parquet (II).

**I/ La détermination de l'autorité judiciaire nationale compétente**

**281. Une compétence conforme à la jurisprudence.** Le règlement précise les conditions d'émission des injonctions de production et de conservation. Pour chaque type d'instrument, il définit l'autorité nationale pouvant émettre l'injonction. Conformément à la jurisprudence de la CJUE, il encadre plus fortement les injonctions de production concernant des données de contenu et de trafic. En effet, ces injonctions doivent être émises par un juge, une juridiction, un juge d'instruction ou toute autre autorité compétente dans l'État d'émission<fnref n="468" />. Lorsque cette dernière émet une telle injonction, celle-ci doit être vérifiée par une autorité de validation, qui ne peut être qu'une des trois premières autorités d'émission. Le règlement consacre donc la

<footnote n="467">⁴⁶⁷ Cons. const., décision 2022-1000 QPC, 17 juin 2022, *M. Ibrahim K*, consid. 13.</footnote>

<footnote n="468">⁴⁶⁸ Règlement UE 2023/1543 du 12 juillet 2023, art. 4 §2.</footnote>
nécessité d'effectuer un contrôle préalable par une autorité. En conséquence, le procureur est exclu de cette compétence en ce qu'il peut prendre une telle injonction mais elle devra être validée par une autre autorité judiciaire. Le règlement ne précise pas explicitement que cette autorité de validation est indépendante et impartiale. Toutefois, le fait d'indiquer que cette autorité de validation ne peut être qu'une juridiction, un juge d'instruction ou d'un juge implique qu'elle possède ces qualités. D'autant plus que lorsque ces autorités émettent de telles injonctions, il n'y a aucun contrôle prévu. En revanche, pour les injonctions de production relatives aux données d'abonnés ou aux seules fins d'identification ou les injonctions de conservation, peu importe les données concernées, le procureur devient une autorité d'émission ainsi qu'une autorité de validation469. Cela se comprend aisément, puisque les données concernées sont considérées comme étant moins sensibles.

**282. Une incompétence partielle.** Ainsi, le procureur de la République est partiellement compétent dans le processus d'élaboration d'une injonction de production. En ce sens, le règlement *e-evidence* entérine la jurisprudence élaborée par la CJUE. Cette consécration, appréciée au regard de la jurisprudence de la Cour de cassation, invite le législateur à réformer le statut du parquet.

## II/ L'invitation du législateur à réformer le statut du parquet

**283. Les effets de l'absence de réforme.** Aussi bien les juridictions supranationales, que nationales, la doctrine ou encore certains magistrats470 eux-mêmes appellent à une réforme du parquet. En attendant d'être entendus par le législateur, l'entrée en vigueur prochaine du règlement *e-evidence* reviendrait à avoir une compétence du procureur français à deux vitesses. En effet, ce dernier demeurerait compétent pour toutes les procédures internes, mais dès lors que l'enquête est transnationale, il perdrait une partie de sa compétence. Cette hypothèse revient à créer une « procédure pénale bis » au sein de la procédure pénale française, excluant en partie le procureur. Cependant, cette réforme ne semble pas être pour tout de suite.

<footnote n="469">469 Règlement UE 2023/1543 du 12 juillet 2023, art. 4 §1 et §3.</footnote>

<footnote n="470">470 F. Molin et A. Taleb-Karlsson, « Plaidoyer pour une indépendance statutaire des magistrats du parquet », *AJ Pénal*, 2021, p. 23.</footnote>
284. **Le maintien du parquet en l'état.** La réforme du parquet ne semble pas être imminente ou même envisagée. C'est ce dont témoigne le Président de la République en précisant que « le parquet doit donc continuer [...] à appartenir à une chaîne hiérarchique » mais qu'il faut aussi « assurer plus fermement, plus clairement son indépendance ». Le parquet n'est alors pas un « tiers de confiance » en raison de « son rôle dans le procès pénal »<fnref n="471" />. En ce sens, le ministère public est « à la fois un pur agent du pouvoir exécutif » et « un collaborateur du juge dans l'application des lois »<fnref n="472" />. Cependant, si une réforme du parquet ne semble pas à l'ordre du jour, la modification du régime des réquisitions serait la bienvenue.

285. **Le besoin d'une réforme législative.** À défaut de réformer le parquet, le législateur devrait agir pour mettre en conformité les articles 60-1, 60-2, 77-1-1 et 77-1-2 du Code de procédure pénale afin d'intégrer aux réquisitions un contrôle préalable d'une autorité indépendante. Cette réforme servirait à consacrer en droit interne la jurisprudence de la CJUE. Ces autorités pourraient être le JLD ou une autorité administrative indépendante entièrement dédiée à cette tâche<fnref n="473" />.

<footnote n="471">⁴⁷¹ E. Macron, *Discours devant la Cour de cassation sur la politique judiciaire du Gouvernement*, Paris, 15 janvier 2018, vie-publique.fr.</footnote>

<footnote n="472">⁴⁷² F. Molin et A. Taleb-Karlsson, « Plaidoyer pour une indépendance statutaire des magistrats du parquet », *AJ Pénal*, 2021, p. 23.</footnote>

<footnote n="473">⁴⁷³ A. Archambault, « Accès aux données de connexion : quelles pistes pour une mise en conformité ? », *AJ Pénal*, 2022, p. 400.</footnote>
286. **La naissance d'une procédure pénale de l'Union.** Le règlement *e-evidence* crée une procédure pénale de l'Union européenne, applicable à tous les États membres. Cette procédure prend forme au travers d'un acte d'investigation fondé sur la reconnaissance mutuelle et contribue à l'émergence de l'espace de liberté, de sécurité et de justice. Cette procédure transnationale remplit deux objectifs. Elle se veut à la fois protectrice des droits fondamentaux et efficace. Pour ce faire, le règlement entérine la jurisprudence de la CJUE et instaure de nouveaux mécanismes. Il consacre notamment le nouveau rôle du fournisseur de services au sein de cette procédure pénale, désormais contraint de conserver ou communiquer les preuves électroniques.

287. **Une procédure limitée.** Avec ce règlement, l'Union européenne se dote de sa propre procédure pénale, satisfaisant deux objectifs antinomiques. Cette procédure est freinée par des considérations souverainistes et par la protection des droits fondamentaux. En ce sens, la procédure nouvellement créée n'est encore qu'à l'état de prémices et ne demande qu'à être approfondie.

288. **Une procédure pénale influente.** En entérinant la jurisprudence de la CJUE, le règlement *e-evidence* apporte quelques changements à la procédure pénale française. Il impose indirectement un nouvel encadrement des réquisitions. Pour cela, il conforte l'adoption d'un seuil minimal de trois ans d'emprisonnement concernant la condition de gravité pour l'émission de réquisitions de données de connexion. En revanche, il remet en cause une partie de la compétence du procureur de la République, ce qui devrait encourager le législateur à revoir son rôle. Finalement, le règlement *e-evidence* ainsi que la CJUE n'essayent-ils pas d'encourager la création d'un « juge de l'enquête »<fnref n="474" />, non impliqué dans la procédure et uniquement chargé d'autoriser les actes attentatoires aux droits fondamentaux ?

<footnote n="474">⁴⁷⁴ M. Audibert, « La conservation et l'accès aux métadonnées dans le cadre des enquêtes judiciaires : vers un bouleversement dans la procédure pénale française ? », *Lexbase Pénal*, mars 2021.</footnote>
I- <u>Ouvrages</u>

G. Cornu (dir.), *Vocabulaire juridique*, ed. Association Henri Capitant, Paris, PUF, 2018.

M. Fartunova, La preuve dans le droit de l'Union européenne, coll. Droit de l'Union européenne, Bruylant.

D. Flore, * Droit pénal européen : les enjeux d'une justice pénale européenne*, 3ème éd., coll. Droit de l'Union européenne, Bruylant, 2022.

E. Rubi-Cavagna, *L'essentiel du Droit pénal de l'Union européenne*, coll. Les carrés, Gualino, 2014.

J-L. Clergerie, A. Gruber, P. Rambaud et T. Rambaud, *Droit institutionnel et matériel de l'Union européenne*, 14ᵉ ed., coll. Précis, Dalloz, 2022.

J-L. Quermonne, *L'Union européenne dans le temps long*, coll. La bibliothèque du citoyen, Presses de Sciences Po, 2008.

S. Guinchard et T. Debard, *Lexique des termes juridiques 2023-2024*, ed. n°31, Dalloz, 31 août 2023.

F. Fourment et E. Camous, *Procédure pénale*, 16ᵉ ed., coll. Paradigme, Bruylant, 2023.

J. Buisson, « Preuve » in *Répertoire de droit pénal et de procédure pénale*, Dalloz, v°, 2020.

II- <u>Thèses, rapports et autres documents</u>

Proposition de Règlement COM (2018) 225 final du Parlement européen et du Conseil relatif aux injonctions européennes de production et de conservation de preuves électroniques en matière pénale.

Rapport d'information n°110 de la Commission des lois constitutionnelles, de législation, du suffrage universel, du Règlement et d'administration générale sur les modalités d'investigation recourant aux données de connexion dans le cadre des enquêtes pénales, 15 novembre 2023.

V. Giannoulis, Le principe de reconnaissance mutuelle des décisions judiciaires pénales et les droits fondamentaux, thèse dactylographiée, Université Paris Nanterre.

Conclusions de la Présidence du Conseil européen de Tampere du 15 et 16 octobre 1999, Vers une Union de liberté, de sécurité et de justice : les jalons posés à Tampere.

Commission des Communautés européennes, Reconnaissance mutuelle des décisions finales en matière pénale, Communication de la Commission au Conseil et au Parlement européen, Bruxelles, 26 juillet 2000, COM (2000), 495 final, p. 4.

L. Arroyo Zapatero et M. Munoz De Morales Romero, « Droit pénal européen et traité de Lisbonne : le cas de l'harmonisation autonome (article 83.1 TFUE) », in G. Giudicelli-Delage
et C. Lazerges (dir.), *Le droit pénal de l'union européenne au lendemain du traité de Lisbonne*, coll. UMR de droit comparé de Paris, vol. 28, Société de législation comparée, 2012, p. 114.

### III- Articles

**A. Archambault**, « Accès aux données de connexion : quelles pistes pour une mise en conformité ? *AJ Pénal*, 2022.

**A. Archambault**, « Le Conseil d'État sauve les enquêtes judiciaires en encadrant l'accès aux données de connexion », *AJ Pénal*, 2021.

**A. Léon**, « Réquisitions de données informatiques dans l'enquête de flagrance : une constitutionnalité qui interroge », *Lexbase Pénal*, 24 mai 2022.

**A. Marmisse-d'Abbadie d'Arrast**, « Chronique Espace de liberté, de sécurité et de justice », *RTDCom.*, 2021, n°3.

**A. Mornet**, « Vers un droit commun de la preuve numérique ? », *Lexbase Pénal*, 8 mars 2023.

**A. Seger** et **O. Sytnyk**, « Les travaux du Conseil de l'Europe dans le domaine de la preuve électronique », *Revue Justice actualités*, n°21, juin 2019.

**A. Weyembergh**, « Reconnaissance mutuelle en matière pénale dans l'Union européenne », *JurisClasseur Europe Traité*, 26 mai 2022, Fasc. 2720.

**D. Flore**, « Existe-t-il une politique pénale européenne ? », *Archive de politique criminelle*, vol. 41, n°1, 2019.

**F. Molin** et **A. Taleb-Karlsson**, « Plaidoyer pour une indépendance statutaire des magistrats du parquet », *AJ Pénal*, 2021.

**F. T. Davis**, et **C. Gunka**, « Perquisitionner les nuages - CLOUD Act, souveraineté européenne et accès à la preuve dans l'espace pénal numérique », *Revue critique de droit international privé*, vol. 1, no. 1, 2021.

**G. Hardy**, « La nouvelle réglementation des données de connexion : premier bilan et perspectives », *RFDA*, 2023.

**H. Christodoulou**, « De l'émergence à une véritable politique pénale de l'Union européenne », *Revue de l'Union européenne*, 2022.

**H. Christodoulou**, « L'injonction de production et de conservation des preuves électroniques : prémices d'un acte d'investigation de l'Union européenne », *JCP G*, n° 36, 11 septembre 2023.

**H. Christodoulou**, **L. Gaurier** et **A. Mornet**, « La proposition e-evidence : révélatrice des limites de l'émergence d'une procédure pénale européenne ou compromis nécessaire ? », *European Papers*, 2021, vol. 6 (° 1).

**H. Matsopoulou**, « Les nouveaux moyens de preuve au service de la criminalité organisée », *JCP G*, n° 25, 20 juin 2016.
**J. Bossan**, « Les réquisitions judiciaires relatives aux données de connexion : suite... et fin ? », *Droit pénal*, n° 7-8, juillet-août 2022, étude 17.

**M. Audibert**, « L'accès aux données de trafic et de localisation dans le cadre d'une enquête judiciaire », *Lexbase Pénal*, août 2022.

**M. Audibert**, « Inconstitutionnalité différée des réquisitions de données informatiques par le procureur de la République dans le cadre de l'enquête préliminaire : le jour d'après », *Lexbase Pénal*, 26 décembre 2021.

**M. Audibert**, « La conservation et l'accès aux métadonnées dans le cadre des enquêtes judiciaires : vers un bouleversement dans la procédure pénale française ? », *Lexbase Pénal*, mars 2021.

**M. Audibert**, « La pénétration du droit pénal dans l'espace privé. La captation de données informatiques », *Archives de politique criminelle*, vol. 43, n°1, 2021.

**M. Clément-Fontaine**, « L'union du droit à la protection des données à caractère personnel et du droit à la vie privée », *LEGICOM*, vol. 59, n°2, 2017.

**M. Quéméner et F. Dalle**, « L'accès à la preuve numérique, enjeu majeur de toute enquête pénale : pratique et perspectives », *Dalloz IP/IT*, 2018.

**M. Quéméner**, « Le numérique, nouveau vecteur de l'administration de la preuve en matière pénale », *Dalloz IP/IT*, 2024.

**M. Quéméner**, « La preuve numérique dans un cadre pénal », *JurisClasseur Communication*, 25 avril 2022, Fasc. 1105.

**M. Touillier**, « Lumière sur un arsenal de lutte contre une délinquance tapie dans l'ombre », *AJ Pénal*, 2017.

**M-P. Bagnéris**, « L'office du juge des libertés et de la détention pour l'obtention de preuves numériques en matière pénale, Compte rendu d'entretien avec Frédérique Dalle », *Revue Justice actualités*, n°21, juin 2019.

**O. Beauvallet**, « Entraide judiciaire internationale. – Dispositions propres à l'entraide entre la France et les autres États membres de l'Union européenne », *JurisClasseur Procédure pénale*, 6 décembre 2013, Fasc. 20.

**O. Cahn**, « Données de connexion et enquête pénale : la chèvre et le chou malmenés », *JCP-G*, 2022, n°40.

**O. Décima**, « Du piratage informatique aux perquisitions et saisies numériques », *AJ Pénal*, 2017.

**P. Beauvais**, « Chronique Droit pénal de l'UE - L'émergence d'une autorité judiciaire européenne », *RTD Eur.*, 2020.
**P. Beauvais**, « Chronique Droit pénal de l'Union européenne - Des nouvelles règles relatives à l'accès aux preuves électroniques dans l'Union : vers une justice pénale numérique européenne ? », RTD Eur., 2023.

**R. Bismuth**, « Every Cloud Has a Silver Lining. Une analyse contextualisée de l'extra territorialité du Cloud Act », JCP (E), 2018, n° 40.

**S. Sontag-Koenig**, « La transformation des actes d'enquête : de la perquisition (informatique) aux autres techniques de captation », AJ Pénal, 2023.

**V. Franssen, A. Berrendorf et M. Corhay**, « La collecte transfrontière de preuves numériques en matière pénale – enjeux et perspectives européennes », Revue Justice actualités, n° 21, juin 2019.

## IV-Autres

**C. Koumpli**, Vie privée, autodétermination informationnelle, privacy, 7 octobre 2021, actes du colloque de l'Université de Nice.

CNIL, Définition : Blockchain, Commission Nationale de l'Informatique et des Libertés,
www.cnil.fr.

CNIL, Définition : Cloud computing, Commission Nationale de l'Informatique et des Libertés,
www.cnil.fr.

CNIL, IA : Tenir compte de la protection des données dans la collecte et la gestion des données,
Commission Nationale de l'Informatique et des Libertés, www.cnil.fr.

CNIL, Nouvelles méthodes de traçage en ligne : quelles solutions pour se protéger ?, 1er février
2022, www.cnil.fr.

Commission européenne, note explicative sur la « méthode communautaire », ec.europa.eu, 22 mai 2002.

**D. Licata Caruso**, « Le FBI veut encore forcer Apple à déverrouiller les iPhone d'un terroriste », Le parisien, 14 janvier 2020, www.leparisien.fr.

**E. A. Caprioli**, « Cloud Act et souveraineté numérique », L'usine digitale, 28 février 2019,
www.usine-digitale.fr.

**E. Macron**, Discours devant la Cour de cassation sur la politique judiciaire du Gouvernement,
Paris, 15 janvier 2018, vie-publique.fr.

**G. Taupiac-Nouvel**, Réflexions sur la consécration de la notion européenne d'autorité judiciaire, à propos de la jurisprudence récente de la Cour de justice de l'Union européenne, Actualités du GDR-ELSJ, 19 juin 2017, gdr-elsj.eu.

**L. Aubron**, L'œil sur l'Europe - Joséphine Staron Une souveraineté numérique européenne est-elle encore possible ?, eu ! radio, 16 mai 2024, euradio.fr.
S. **Peyrou**, Le projet de règlement « E-evidence » (preuves électroniques) présenté par la Commission européenne : un « Cloud Act » européen, Actualités du GDR-ELSJ, 24 avril 2018, gdr-elsj.eu.
# Index alphabétique

## A

Adresses IP..... 37, 52, 81, 87, 88, 90, 91, 95, 96, 97

Autorité

Autorité chargée de la mise en oeuvre 33, 43, 44, 47, 48, 49, 56, 70, 71

Autorité de validation 43, 44, 45, 46, 70, 111, 112

Autorité d'émission 43, 45, 46, 47, 49, 57, 58, 59, 60, 70, 103, 112

Autorité judiciaire.. 21, 23, 25, 27, 33, 43, 48, 55, 90, 93, 103, 107, 111, 112

## C

Cloud Act..................55, 62, 63, 64, 65, 118, 119

Confiance mutuelle....................24

Coopération

Coopération judiciaire....................11

Coopération pénale 10, 15, 16, 19, 20, 21, 22, 23, 25, 26, 27, 28, 63

Coopération policière....10, 11, 17, 18, 20, 21, 26

## D

Données

Données aux seules fins d'identification ....90, 92

Données d'abonnés ...48, 89, 90, 91, 92, 102, 112

Données de connexion .. 1, 7, 8, 9, 13, 73, 78, 79, 80, 81, 82, 83, 84, 87, 88, 92, 94, 95, 96, 97, 98, 99, 100, 104, 105, 106, 107, 108, 109, 113, 114, 115, 116, 117

Données de contenu.... 73, 74, 75, 76, 77, 78, 79, 80, 85, 86, 87, 88, 91, 92, 102, 111

Données de trafic... 46, 73, 80, 81, 83, 85, 86, 87, 88, 91, 92, 94, 95, 96, 102, 105, 107, 110, 117

Données d'identité . 73, 78, 80, 81, 82, 83, 84, 87, 88, 90, 95, 96, 97

## E

Espace de liberté, de sécurité et de justice

ELSJ.....11, 12, 16, 18, 19, 20, 21, 22, 23, 55, 65, 107, 118, 119

Espace de liberté, de sécurité et de justice. 11, 16, 20, 114

## F

Fournisseur de services . 7, 9, 21, 27, 34, 35, 36, 38, 39, 40, 41, 42, 44, 48, 49, 64, 69, 70, 89, 91, 114

## I

Injonction

Injonction de production ...15, 21, 27, 33, 39, 42, 43, 44, 45, 46, 47, 48, 49, 52, 55, 56, 57, 58, 59, 60, 67, 68, 69, 70, 71, 93, 95, 101, 102, 111, 112

Injonctions de conservation.....33, 45, 48, 59, 67, 102, 112

## P

Preuve électronique 6, 7, 8, 9, 13, 15, 21, 26, 27, 28, 29, 30, 31, 32, 34, 35, 61, 63

Procureur de la République .....13, 46, 98, 104, 105, 108, 109, 112, 114

## R

Reconnaissance mutuelle. 11, 12, 16, 19, 22, 23, 24, 25, 26, 27, 56, 70, 114

Réquisitions.....13, 72, 83, 84, 93, 98, 99, 100, 103, 105, 108, 109, 110, 113, 114, 117

## T

Techniques d'enquête numériques ..... 75, 76, 77, 78
Table des matières

<table><tr><td>Remerciements</td><td>3</td></tr><tr><td>Table des abréviations</td><td>4</td></tr><tr><td>Sommaire</td><td>5</td></tr><tr><td>Introduction</td><td>6</td></tr><tr><td>Partie 1 : Les incidences du règlement e-evidence sur l'émergence d'une procédure pénale de l'Union européenne</td><td>15</td></tr><tr><td>Titre 1 : Un acte d'investigation de l'Union européenne</td><td>15</td></tr><tr><td>Chapitre 1 : La nécessité d'un acte d'investigation de l'Union européenne</td><td>15</td></tr><tr><td>Section 1 : Un acte renforçant la coopération pénale dans l'Union</td><td>15</td></tr><tr><td>I/ La création d'un espace de liberté, de sécurité et de justice</td><td>16</td></tr><tr><td>A) La coopération pénale vecteur de l'ELSJ</td><td>16</td></tr><tr><td>B) Le règlement e-evidence participant à la création de l'ELSJ</td><td>20</td></tr><tr><td>II/ Une coopération fondée sur la reconnaissance mutuelle</td><td>22</td></tr><tr><td>A) L'influence de la reconnaissance mutuelle sur la coopération pénale</td><td>22</td></tr><tr><td>B) Le dépassement de la reconnaissance mutuelle par le règlement e-evidence</td><td>26</td></tr><tr><td>Section 2 : Un acte spécifique aux preuves électroniques</td><td>28</td></tr><tr><td>I/ Un instrument complétant les dispositifs probatoires existants</td><td>28</td></tr><tr><td>II/ Un instrument adapté aux preuves numériques</td><td>32</td></tr><tr><td>A) Un acte rapide</td><td>32</td></tr><tr><td>B) Un acte à la dimension exterritoriale</td><td>34</td></tr><tr><td>Chapitre 2 : L'efficacité d'un acte d'investigation de l'Union européenne</td><td>35</td></tr><tr><td>Section 1 : L'exécution par le fournisseur de services</td><td>35</td></tr><tr><td>I/ L'identification du fournisseur de services</td><td>35</td></tr><tr><td>A) Un fournisseur proposant des services</td><td>36</td></tr><tr><td>B) La signification de proposer des services dans l'Union</td><td>38</td></tr><tr><td>II/ Les nouvelles obligations du fournisseur de services</td><td>40</td></tr><tr><td>A) La création d'une obligation de désignation</td><td>40</td></tr><tr><td>B) L'obligation de vérification avant exécution</td><td>42</td></tr><tr><td>Section 2 : L'intervention de nouvelles autorités</td><td>44</td></tr><tr><td>I/ Le rôle de l'autorité de validation</td><td>44</td></tr><tr><td>II/ L'émergence de l'autorité chargée de la mise en œuvre</td><td>47</td></tr><tr><td>A) Une compétence découlant de la notification</td><td>47</td></tr><tr><td>B) Une compétence aux fins de mise en œuvre</td><td>49</td></tr><tr><td>Titre 2 : Les prémices d'une procédure pénale de l'Union européenne</td><td>50</td></tr><tr><td>Chapitre 1- Une procédure pénale originale</td><td>50</td></tr><tr><td>Section 1 : Une procédure pénale respectueuse des droits fondamentaux</td><td>50</td></tr><tr><td>I/ La création de garanties propres et autonomes</td><td>51</td></tr><tr><td>A) Une inévitable ingérence dans les droits fondamentaux</td><td>51</td></tr><tr><td>1) L'atteinte au droit à la vie privée et familiale</td><td>51</td></tr><tr><td>2) L'atteinte au droit à la protection des données personnelles</td><td>52</td></tr><tr><td>B) Les garanties procédurales instaurées</td><td>54</td></tr><tr><td>II/ La création de nouveaux droits pour la personne poursuivie</td><td>57</td></tr><tr><td>A) Un droit d'initiative</td><td>57</td></tr><tr><td>B) Le droit à un recours effectif</td><td>58</td></tr><tr><td>1) Un droit d'information</td><td>58</td></tr><tr><td>2) L'existence de voies de recours</td><td>60</td></tr><tr><td>Section 2 : Une procédure pénale marquant la genèse d'une souveraineté numérique européenne</td><td>61</td></tr><tr><td>I/ La nécessité de dépasser les souverainetés nationales</td><td>61</td></tr><tr><td>A) L'obsolescence du critère de la localisation des données</td><td>62</td></tr><tr><td>B) La naissance du critère de l'accès aux données par le Cloud Act</td><td>63</td></tr><tr><td>II/ La création d'un espace pénal numérique européen</td><td>65</td></tr><tr><td>Chapitre 2 : Une procédure pénale limitée</td><td>66</td></tr><tr><td>Section 1 : Une procédure pénale dépendante des droits nationaux</td><td>66</td></tr></table>
<table><tr><td>I/ La préexistence de règles nationales similaires</td><td>67</td></tr><tr><td>II/ Le manque d'harmonisation des règles nationales</td><td>68</td></tr><tr><td>Section 2 : Une procédure pénale dépendante des autorités nationales</td><td>69</td></tr><tr><td>I/ Une procédure pénale subordonnée à l'appréciation du fournisseur de services</td><td>70</td></tr><tr><td>II/ Une procédure pénale subordonnée à l'appréciation de l'autorité chargée de la mise en œuvre</td><td>71</td></tr></table>

## Partie 2 : Les incidences du règlement e-evidence sur la procédure pénale française 72

Titre 1 : Une nouvelle catégorisation de l'objet des réquisitions 72

Chapitre 1 : Une catégorisation relativement ignorée 72

Section 1 : L'isolement des données de contenu 73

I/ La collecte des données de contenu : un contexte infractionnel particulier 73

A) L'obtention de données de contenu au cours de l'instruction 74

B) L'obtention des données de contenu dans le cadre de la criminalité organisée 74

II/ La collecte des données de contenu : l'utilisation de techniques d'enquête numériques 75

A) Les techniques de détournement 76

1) Les techniques d'enquête numériques relevant de la criminalité de droit commun 76

2) Les techniques d'enquête numériques relevant de la criminalité organisée 77

B) Les techniques d'extraction 78

Section 2 : Le traitement conjoint des données de connexion et d'identité 79

I/ La diversité des données de connexion et d'identité 80

A) Les différentes données de connexion 80

1) Les données de localisation 81

2) Les données de trafic 81

B) Les différentes données d'identité 82

II/ L'utilisation commune des données de connexion et d'identité 83

A) Les réquisitions aux fins de communication 83

B) Les réquisitions aux fins de conservation 84

Chapitre 2 : Une catégorisation progressivement imposée 84

Section 1 : Une catégorisation imposée par la jurisprudence de la CJUE 85

I/ La distinction des données de trafic et de localisation des données de contenu 85

II/ Le rapprochement de l'adresse IP des données relatives à l'identité 87

Section 2 : Une catégorisation entérinée par le règlement e-evidence 89

I/ Les données aux fins d'identification 89

A) La détermination des données d'abonnés 89

B) La consistance des données aux fins exclusives d'identification 90

II/ Les données aux fins de valeur probante 91

A) Les données relatives au trafic 91

B) Les données relatives au contenu 92

Titre 2 : Un nouvel encadrement des réquisitions 93

Chapitre 1 : Les réquisitions encadrées par un quantum minimal d'emprisonnement 93

Section 1 : Un seuil préexistant en droit français 93

I/ L'influence de la jurisprudence de la CJUE 93

A) La condition de gravité en matière de conservation des données 94

B) La condition de gravité en matière d'accès aux données 96

II/ L'adoption française d'un seuil minimal 97

A) L'effet de la jurisprudence nationale 97

B) L'adoption d'un seuil par le législateur 99

Section 2 : Un seuil confirmé par le règlement e-evidence 100

I/ Un quantum minimal applicable à toutes les injonctions 101

II/ Un quantum minimal spécifique aux injonctions de production 102

Chapitre 2 : Les réquisitions encadrées par la compétence de l'autorité judiciaire 103

Section 1 : La défiance de la CJUE pour le parquet français 104

I/ Le parquet ne remplissant pas les conditions nécessaires 104

A) Le manque d'un contrôle préalable 104

B) Le manque d'indépendance 105

II/ Le retentissement de la jurisprudence de la CJUE par les juridictions internes 108
A) L'ignorance constitutionnelle 108

B) La confirmation judiciaire 109

Section 2 : Une défiance confirmée par le règlement e-evidence 111

I/ La détermination de l'autorité judiciaire nationale compétente 111

II/ L'invitation du législateur à réformer le statut du parquet 112

**Conclusion** 114

**Bibliographie** 115

I- Ouvrages 115

II- Thèses, rapports et autres documents 115

III- Articles 116

IV- Autres 118

**Index alphabétique** 120