décision 21-84.096 du 12/07/2022,  partie 3



 4°/ que le juge pénal doit écarter des informations et des éléments de preuve qui ont été obtenus par une conservation généralisée et indifférenciée des données relatives au trafic et des données de localisation incompatible avec le droit de l'Union, dans le cadre d'une procédure pénale ouverte à l'encontre de personnes soupçonnées d'actes de criminalité, dès lors que ces personnes ne sont pas en mesure de commenter efficacement ces informations et ces éléments de preuve, provenant d'un domaine échappant à la connaissance des juges et qui sont susceptibles d'influencer de manière prépondérante l'appréciation des faits ; qu'en rejetant cependant la requête en nullité de M. [K], poursuivi des chefs de récidive de trafic de produits stupéfiants, d'association de malfaiteurs et de blanchiment, tendant à l'annulation des pièces obtenues au moyen de la conservation généralisée et indifférenciée de ses données de trafic et de localisation, aux seuls motifs que le droit de l'Union européenne ne s'opposait pas à cette conservation généralisée des données et que la conservation de l'ensemble de ses données ne portait pas une atteinte disproportionnée à son droit au respect de la vie privée ou à la protection de ses données personnelles, d'une part, et, que les officiers de police judiciaire avaient agi sur l'autorisation et sous le contrôle du procureur de la République dans le cadre de l'enquête initiale (autorisation recueillie expressément le 30 septembre 2019), c'est-à-dire sur l'autorisation préalable et sous le contrôle permanent de l'autorité judiciaire « qui comprend à la fois les magistrats du siège et du parquet », d'autre part, sans rechercher si M. [K] était en mesure de commenter efficacement les informations et les éléments de preuve recueillis à son encontre, provenant d'un domaine échappant à la connaissance des juges et qui étaient susceptibles d'influencer de manière prépondérante l'appréciation des faits, la cour d'appel a privé sa décision de base légale au regard de l'article 15, § 1er, de la directive 2002/58/CE du Parlement européen et du Conseil, du 12 juillet 2002, concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, telle que modifiée par la directive 2009/136/CE du Parlement européen et du Conseil, du 25 novembre 2009, ensemble l'article 23, § 1er , du règlement 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, lu à la lumière des articles 7, 8 et 11 ainsi que de l'article 52, § 1er, de la Charte des droits fondamentaux de l'Union européenne. »
 
 Réponse de la Cour
 
 13. Par arrêt de ce jour, la Cour de cassation a énoncé les principes suivants (Crim., 12 juillet 2022, pourvoi n° 21-83.710, publié au Bulletin).
 
 14. L'article L. 34-1, III, du code des postes et des communications électroniques, dans sa version issue de la loi n° 2013-1168 du 18 décembre 2013, mis en oeuvre par l'article R. 10-13 dudit code, tel qu'il résultait du décret n° 2012-436 du 30 mars 2012, est contraire au droit de l'Union européenne en ce qu'il imposait aux opérateurs de services de télécommunications électroniques, aux fins de lutte contre la criminalité, la conservation généralisée et indifférenciée des données de connexion, à l'exception des données relatives à l'identité civile, aux informations relatives aux comptes et aux paiements, ainsi qu'en matière de criminalité grave, de celles relatives aux adresses IP attribuées à la source d'une connexion.
 
 15. En revanche, la France se trouvant exposée, depuis décembre 1994, à une menace grave et réelle, actuelle ou prévisible à la sécurité nationale, les textes précités de droit interne étaient conformes au droit de l'Union en ce qu'ils imposaient aux opérateurs de services de télécommunications électroniques de conserver de façon généralisée et indifférenciée les données de trafic et de localisation, aux fins de la recherche, de la constatation et de la poursuite des infractions portant atteinte aux intérêts fondamentaux de la Nation et des actes de terrorisme, incriminés aux articles 410-1 à 422-7 du code pénal. 
 
 16. Les articles 60-1 et 60-2, 77-1-1 et 77-1-2, 99-3 et 99-4 du code de procédure pénale, dans leur version antérieure à la loi n° 2022-299 du 2 mars 2022, lus en combinaison avec le sixième alinéa du paragraphe III de l'article préliminaire du code de procédure pénale, permettaient aux autorités compétentes, de façon conforme au droit de l'Union, pour la lutte contre la criminalité grave, en vue de l'élucidation d'une infraction déterminée, d'ordonner la conservation rapide, au sens de l'article 16 de la Convention du Conseil de l'Europe sur la cybercriminalité du 23 novembre 2001, des données de connexion, même conservées aux fins de sauvegarde de la sécurité nationale. 
 
 17. Il appartient à la juridiction, lorsqu'elle est saisie d'un moyen en ce sens, de vérifier, d'une part, que les éléments de fait justifiant la nécessité d'une telle mesure d'investigation répondent à un critère de criminalité grave, dont l'appréciation relève du droit national, d'autre part, que la conservation rapide des données de trafic et de localisation et l'accès à celles-ci respectent les limites du strict nécessaire.