Du bon usage de la cryptologie en droit pénal

Dans une décision très attendue du 7 novembre 2022, l’assemblée plénière de la Cour de cassation estime que refuser de remettre aux enquêteurs la clé de déchiffrement d’un moyen de cryptologie susceptible d’avoir été utilisé pour préparer, faciliter ou commettre un crime ou un délit, peut pénalement être sanctionné. Dans un contexte sécuritaire très tendu, la question de l’équilibre entre les données personnelles, l’innovation technologique et la surveillance des individus est donc une nouvelle fois au centre de toutes les préoccupations. La décision de la Cour de cassation fera certainement autorité mais la faiblesse de sa motivation laisse subsister de (trop) nombreuses interrogations, et constitue un véritable risque pour les libertés individuelles.

Le langage (y compris informatique) est-il, comme le soutenait Spinoza, un outil de contrôle politique ?

À n’en point douter, si l’on considère qu’à l’ère numérique les capacités de surveillance des États sont aujourd’hui techniquement et légalement si développées que le droit fondamental à la vie privée, garant dans une société démocratique de la liberté d’expression, d’opinion et d’information, est depuis quelques années profondément remis en cause, notamment au nom de la sécurité publique.

Dès lors, si la capacité de chiffrer1 ses communications numériques et ses données informatiques doit être considérée – pour certains – comme une condition indispensable à la préservation des droits et libertés fondamentales, mais aussi comme l’un des derniers remparts, individuels et collectifs, aux intrusions arbitraires et illégales de nombreux acteurs (étatiques, privés, ou criminels2), le droit au chiffrement soulève malgré tout de nombreuses interrogations quant à son usage.

En effet, la question de l’articulation entre les objectifs de protection de la vie privée d’une part, et la nécessité pour les autorités publiques d’accéder aux informations qui leur sont nécessaires d’autre part, se pose (ou s’oppose) désormais de manière frontale, notamment dans le cadre de l’accès par les autorités judiciaires aux documents, informations et données « intéressant l’enquête », « utiles à la manifestation de la vérité » ou qui peuvent « servir de preuve à l’élucidation d’une infraction ». De fait, le législateur3 a prévu à cet effet de nombreuses dispositions spécifiques, telles que les réquisitions de données ou l’accès aux données informatiques chiffrées. Ainsi, l’article 434-15-2 du Code pénal, issu de la loi n° 2016-731 du 3 juin 2016, prévoit un emprisonnement de trois ans et 270 000 € d’amende « pour quiconque ayant connaissance de la convention secrète de déchiffrement d’un moyen de cryptologie susceptible d’avoir été utilisé pour préparer, faciliter ou commettre un crime ou un délit, de refuser de remettre ladite convention aux autorités judiciaires ou de la mettre en œuvre, sur les réquisitions de ces autorités délivrées en application des titres II et III du livre Ier du Code de procédure pénale ».

Dans la pratique, cet article est régulièrement utilisé par les enquêteurs depuis le développement des Smartphones, puisque par cet intermédiaire, il est possible d’avoir accès, aisément et sans autorisation judiciaire, à un nombre important d’informations, et ce quelle que soit la gravité de l’infraction.

À l’origine de l’arrêt de la Cour de cassation, une banale affaire de trafic de stupéfiants, dans laquelle un homme, interpellé en possession de cannabis et soupçonné de détenir sur ses téléphones des informations pouvant faire progresser l’enquête, a refusé pendant sa garde à vue de communiquer les codes permettant le déverrouillage de son téléphone. Le tribunal correctionnel de Lille4, puis la cour d’appel de Douai ont d’abord estimé que le suspect était dans son bon droit sur ce point, puisque le code de déverrouillage de son téléphone ne constituait pas « une convention de déchiffrement », car il ne servait pas à décrypter des données, mais uniquement à débloquer un écran d’accueil permettant d’accéder aux données contenues dans l’appareil.

En 2020, la chambre criminelle de la Cour de cassation a censuré cette décision5 mais, par un arrêt du 21 avril 2021, la cour d’appel de Douai a confirmé la décision de relaxe. Saisie d’un pourvoi par le procureur général de la cour d’appel, la chambre criminelle ordonne le renvoi de l’affaire devant l’assemblée plénière de la Cour de cassation, qui estime donc que le fait de ne pas communiquer le code de déverrouillage de son téléphone à un policier qui le réclame lors d’une enquête peut, dans certains cas, constituer un délit.

La décision de l’assemblée plénière de la Cour de cassation est importante car, au-delà de sa solution, elle opère un recadrage important du droit au chiffrement et fixe les limites de son utilisation dans un cadre légitime de poursuite des infractions.

C’est une décision parfaitement intégrée dans l’évolution actuelle du droit pénal tendant à la marginalisation de l’aveu dans la procédure, qui se veut certainement équilibrée entre le respect de la vie privée et la lutte contre les nouvelles formes de criminalité, mais dont on peut douter de l’efficacité et de la pertinence, car elle constitue, de fait, un affaiblissement du droit à ne pas s’incriminer (I) et une réelle menace pour le droit à la vie privée et à la liberté de communication (II).