Faut-il donner le code de déverrouillage de son téléphone à la police ou à la gendarmerie ?
Cour de cassation, Assemblée plénière 7 novembre 2022, n°21-83146
Le refus de communiquer le code de déverrouillage d’un téléphone portable peut-il constituer un délit ?
Il existe plusieurs méthodes pour accéder au contenu de l’appareil :
- Ordonner une expertise du téléphone, pour accéder aux éléments intéressant l’enquête ou l’instruction, ce qui est long, coûteux et sans garantie technique d’accéder aux données utiles
- Adresser une réquisition à l’opérateur téléphonique pour obtenir des informations concernant l’activité du téléphone, ce qui peut là encore s’avérer fastidieux
- Obtenir le code de déverrouillage, solution la plus simple et la plus rapide
Pour obtenir le code de déverrouillage du téléphone, les enquêteurs ont pris pour habitude de considérer que le refus de communication du code d’accès au téléphone était passible de poursuite sur le fondement de l’article 434-15-2 du code pénal qui dispose :
« Est puni de trois ans d’emprisonnement et de 270 000 € d’amende le fait, pour quiconque ayant connaissance de la convention secrète de déchiffrement d’un moyen de cryptologie susceptible d’avoir été utilisé pour préparer, faciliter ou commettre un crime ou un délit, de refuser de remettre ladite convention aux autorités judiciaires ou de la mettre en oeuvre, sur les réquisitions de ces autorités délivrées en application des titres II et III du livre Ier du code de procédure pénale.
Si le refus est opposé alors que la remise ou la mise en oeuvre de la convention aurait permis d’éviter la commission d’un crime ou d’un délit ou d’en limiter les effets, la peine est portée à cinq ans d’emprisonnement et à 450 000 € d’amende. »
La cryptologie peut être définie comme le procédé consistant à transformer, notamment à l’aide d’un algorithme, des données en vue de les rendre inintelligibles aux yeux des tiers.
Ainsi, seuls l’émetteur et le destinataire disposent du moyen, de la méthode, de la clé pour procéder au déchiffrement du message.
Elle a pour fonction de garantir la confidentialité des échanges (le chiffrement), d’authentifier de manière certaine l’auteur du message et, enfin, d’assurer l’intégrité de ce dernier, c’est-à-dire de garantir que son contenu n’a pas été modifié (hachage).
L’article 29 alinéa 1 de la loi de 2004 pour la confiance dans l’économie numérique précise qu’ « on entend par moyen de cryptologie tout matériel ou logiciel conçu ou modifié pour transformer des données, à l’aide de conventions secrètes ou pour réaliser l’opération inverse avec ou sans convention secrète. Ces moyens de cryptologie ont principalement pour objet de garantir la sécurité du stockage ou de la transmission de données, en permettant d’assurer leur confidentialité, leur authentification ou le contrôle de leur intégrité. »
La convention secrète est la clé qui permet de chiffrer ou de déchiffrer le contenu d’un message.
Le Conseil constitutionnel a déclaré le premier alinéa de l’article 434-15-2 du code pénal conforme à la constitution et, en particulier, au droit de ne pas s’auto-incriminer et au droit au respect et au secret des correspondances, dans une décision QPC n°2018-696 rendue le 21 mars 2018.
Mais pour autant, le code de déverrouillage d’un téléphone est-il une convention secrète de déchiffrement ? Le refus de donner le code de déverrouillage de son téléphone peut-il être sanctionné sur la base de l’article 434-15-2 du code pénal ?
La fonction première du code de déverrouillage du téléphone n’est pas de crypter des données, mais d’empêcher l’accès aux fonctionnalités d’un téléphone et, indirectement, aux données qu’il contient.
L’article 434-15-2 du code pénal est issu de la loi du 15 novembre 2001 relative à la sécurité quotidienne, qui fait suite aux attentats qui ont touché les Etats-Unis le 11 septembre 2001. Ce n’est qu’à la fin des années 2010 que ce texte est utilisé pour sanctionner le refus de communiquer le code de déverrouillage d’un téléphone.
Des juridictions du fond ont résisté et relaxé des prévenus qui étaient poursuivis sur le fondement de l’article 434-15-2 du code pénal pour ne pas avoir communiqué leurs codes de déverrouillage en marge d’une procédure judiciaire engagée à leur encontre.
C’est le cas de la Cour d’appel de Paris qui a été saisie des poursuites engagées contre un individu interpellé pour des infractions à la législation sur les stupéfiants qui avait, pendant sa garde à vue, refusé de donner aux enquêteurs les codes de ses smartphones.
Dans son arrêt du 16 avril 2019 n°18/09267, la Cour d’appel de Paris a considéré :
« Un code de déverrouillage d’un téléphone portable d’usage courant, s’il permet d’accéder aux données de ce téléphone portable et donc aux éventuels messages qui y sont contenus, ne permet pas de déchiffrer des données ou messages cryptés et, en ce sens, ne constitue pas une convention secrète d’un moyen de cryptologie ».
La Cour de cassation, par un arrêt n°20-80150 rendu le 13 octobre 2020, a cassé cette décision :
« Le code de déverrouillage d’un téléphone portable peut constituer une telle convention (nda : secrète de déchiffrement) lorsque ledit téléphone est équipé d’un moyen de cryptologie (…). En se référant (…) à la notion inopérante de téléphone d’usage courant, la cour d’appel a méconnu les textes susvisés et les principes ci-dessus rappelés ».
La Cour d’appel de Douai vers laquelle l’affaire a été renvoyée a résisté à cette interprétation de la Cour de cassation, en relaxant une nouvelle fois le prévenu du chef du refus de remettre le code de son téléphone, et l’Assemblée plénière a été saisie de la question.
L’arrêt de l’Assemblée plénière de la Cour de cassation du 7 novembre 2022
Réunie en assemblée Plénière, la Cour de Cassation a sanctionné l’interprétation de la Cour d’appel de Paris (7 novembre 2022, n°21-83146) :
« Une convention de déchiffrement s’entend de tout moyen logiciel ou de toute autre information permettant la mise au clair d’une donnée transformée par un moyen de cryptologie, que ce soit à l’occasion de son stockage ou de sa transmission. Il en résulte que le code de déverrouillage d’un téléphone mobile peut constituer une clé de déchiffrement si ce téléphone est équipé d’un moyen de cryptologie.
Dès lors, il incombe au juge de rechercher si le téléphone en cause est équipé d’un tel moyen et si son code de déverrouillage permet de mettre au clair tout ou partie des données cryptées qu’il contient ou auxquelles il donne accès. »
Dès lors, si un téléphone portable est équipé d’un moyen de cryptologie (c’est aujourd’hui le cas de la quasi-totalité des téléphones-smartphones), et qu’il est susceptible d’avoir été utilisé pour la préparation ou la commission d’un crime ou d’un délit, son détenteur est tenu de donner aux enquêteurs le code de déverrouillage de l’écran d’accueil.
S’il refuse de communiquer ce code, la Cour de cassation, dans sa plus prestigieuse formation, considère qu’il commet l’infraction de refus de remettre une convention secrète de déchiffrement résultant de l’article 434-15-2 du code pénal passible de 3 à 5 ans d’emprisonnement selon les circonstances.
Cette décision de la Cour de cassation n’est pas exempte de tout reproche car tout code de déverrouillage de l’écran d’accueil d’un téléphone n’est pas nécessairement associé à une clé cryptographique lorsque le téléphone est équipé d’un moyen de cryptologie : en clair, le verrouillage de l’écran d’accueil n’implique pas nécessairement que le téléphone contienne des données cryptées.
L’atteinte portée au droit de ne pas s’auto-incriminer pourrait également être considérée comme disproportionnée dans la mesure où les enquêteurs disposent d’autres moyens, certes plus longs, pour obtenir les informations issues d’un téléphone portable.
La Cour de cassation a désigné une nouvelle Cour d’appel, la troisième, pour rejuger l’affaire. Reste à savoir si les juridictions du fond vont se soumettre…
