[Observations] L’exploitation du logiciel Child Protection System : un traitement de données à caractère personnel qui ne dit pas son nom…

Mots-clés : enquête • droit à la protection des données à caractère personnel • preuve • Union européenne • directive police/justice • surveillance.

Dans cet arrêt rendu le 12 mars 2025, la Chambre criminelle de la Cour de cassation vient sauver l’utilisation, dans le cadre des procédures pénales françaises, du logiciel « Child Protection System », quoi qu’il en coûte pour la cohérence du droit à la protection des données à caractère personnel. 

En novembre 2022, près d’une cinquantaine d’hommes soupçonnés de détention d’images pédopornographiques ont été interpellés. Si ce coup de filet a pu être organisé, c’est grâce au logiciel « Child Protection System » [1] (CPS) dont l’utilisation quasi clandestine [2] par les services enquêteurs est ici sauvée par la Haute juridiction. 

            En l’espèce, à partir de données recueillies à l’aide du logiciel CPS, un individu a été identifié comme ayant téléchargé et partagé des fichiers à caractère pédopornographique. La réalisation d’une perquisition à son domicile et l’exploitation de son matériel informatique ont révélé qu’il détenait effectivement de tels fichiers. Le 15 mars 2021, le tribunal correctionnel l’a condamné à huit mois d’emprisonnement avec sursis, cinq ans d’interdiction d’activité en lien avec les mineurs et une confiscation. Le prévenu a interjeté appel, ainsi que le ministère public, à titre incident. La Cour d’appel de Rennes, dans un arrêt en date du 10 janvier 2023, a confirmé le jugement en toutes ses dispositions aux motifs que le logiciel litigieux, implanté aux États-Unis, ne relevait pas de la compétence de la Commission Nationale Informatique et Libertés (CNIL). Qu’ainsi, les exigences d’habilitation ayant été respectées et l’utilisation du logiciel, par les services répressifs français, ayant été nécessaire et proportionnée à l’objectif poursuivi, il n’était pas démontré que celle-ci était contraire à la loi. Un pourvoi en cassation est formé. 

            Le moyen s’articule en deux branches. D’une part, il est reproché aux juges du fond d’avoir confirmé le jugement alors que les enquêteurs, en utilisant le logiciel CPS afin d’identifier une adresse IP, ont mis en œuvre un traitement de données à caractère personnel illicite, faute d’avoir été autorisé par arrêté du ou des ministres compétents après avis motivé et publié de la CNIL. En décidant le contraire, la cour d’appel a, selon le moyen, violé les articles 3 de la directive 2016/680 du 27 avril 2016 (Directive police-justice), 6 et 8 de la Convention européenne des droits de l’Homme, 31 de la loi Informatique et Libertés et préliminaire, 427 N° Lexbase : L3263DGX, 591 N° Lexbase : L3975AZA et 593 N° Lexbase : L3977AZC du Code de procédure pénale. D’autre part, selon le pourvoi, en retenant, pour écarter l’illicéité, que les mesures mises en œuvre par les enquêteurs étaient nécessaires et proportionnées à l’objectif poursuivi, la cour d’appel a violé les mêmes dispositions.   

            La question posée à la Chambre criminelle était donc la suivante : l’utilisation, dans le cadre d’une procédure pénale française, de données à caractère personnel issues d’un logiciel étranger non autorisé dans les conditions de la loi Informatique et Libertés est-elle licite ?  

            La Haute juridiction répond par l’affirmative. Elle relève que « le logiciel CPS constitue un traitement de données personnelles conçu et mis en œuvre aux États-Unis » qui ne peut donc « être considéré comme étant mis en œuvre pour le compte de l’État français ». Dès lors, il n’a pas à faire l’objet d’une autorisation gouvernementale dans les conditions prévues à l’article 31 de la loi Informatique et Libertés. En revanche, selon la Cour de cassation, l’utilisation des données issues du logiciel doit s’inscrire dans le cadre de la loi précitée et respecter les exigences de la directive police-justice et du Code de procédure pénale. En l’espèce, la Chambre criminelle relève que l’exploitation des données a été effectuée par des officiers de police judiciaire « régulièrement habilités et saisis, agissant dans le cadre d’une enquête préliminaire régulière, sans provocation ni stratagème, ni détournement des règles de procédure, qui ont dressé des procès-verbaux dans les formes prescrites par le code de procédure pénale, et dont le contenu a pu être discuté contradictoirement devant les juges ». Pour l’ensemble de ces raisons, l’utilisation du logiciel CPS est licite et le moyen doit être rejeté. 

            La Cour de cassation évince ainsi l’argument de l’illicéité de la mise en œuvre du traitement (I) pour constater que son utilisation est, quant à elle, tout à fait licite (II).

I. Le constat discutable de la licéité de la mise en œuvre du traitement

            La Haute juridiction confirme le raisonnement des juges du fond ayant écarté l’application des exigences de licéité (A) au prix d’une lecture erronée de la notion de traitement (B).

A. L’éviction des exigences de licéité du traitement

            L'auteur du pourvoi reproche aux enquêteurs d’avoir utilisé, pour identifier son adresse IP, le logiciel CPS alors que ni celui-ci « ni les bases de données qu’il permet de constituer, n’ont fait l’objet d’une demande d’avis de la part du CNIL, ni a fortiori d’une autorisation du ministre compétent ». Aussi, selon le moyen, le traitement opéré était illicite et la procédure ainsi menée, entachée de nullité. Il est vrai qu’en vertu de l’article 31 de la loi Informatique et Libertés les traitements de données à caractère personnel mis en œuvre pour le compte de l’État et ayant pour finalité, notamment, la prévention, la recherche et la constatation des infractions pénales doivent être autorisés par arrêté, après avis motivé et publié de la CNIL. L’applicabilité de cet article étant discutée, vérifions ses conditions. D’abord, il convient d’être en présence d’un traitement de données à caractère personnel. En l’espèce, le logiciel CPS permet d’obtenir et d’enregistrer les adresses IP des utilisateurs consultant ou transférant des contenus pédopornographiques [3], lesquelles sont assurément des données à caractère personnel [4]. Ensuite, la finalité du traitement doit s’inscrire dans la prévention, la recherche, la constatation ou la poursuite des infractions pénales. Le logiciel étant utilisé pour identifier les pédocriminels, cette exigence ne pose aucune difficulté. Enfin, le traitement doit être mis en œuvre pour le compte de l’État. Selon le moyen, la consultation et l’utilisation par les enquêteurs des adresses IP issues du logiciel suffisent à remplir cette condition. En revanche, selon la cour d’appel, approuvée par la Chambre criminelle, le fait que le logiciel ait été conçu par une association américaine et soit implanté aux États-Unis exclut toute mise en œuvre « pour le compte de l’État français » et, de facto, l’application de l’article 31 de loi Informatique et Libertés. Un tel raisonnement, s’il peut apparaître spontanément convaincant, repose, en réalité, sur une lecture erronée de la notion de traitement. 

B. Une lecture erronée de la notion de traitement 

            Le moyen invoque, très justement, une violation de l’article 3 de la directive police-justice définissant, notamment, la notion de « traitement ». Selon le législateur européen, ce terme renvoie à « toute opération ou tout ensemble d’opérations (…) appliquées à des données à caractère personnel ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction [5] ». Partant, quand l’article 31 de la loi Informatique et Libertés réclame l’autorisation des « traitements de données à caractère personnel mis en œuvre pour le compte de l’État » il apparaît s’appliquer à toute opération réalisée sur des données. Il est ainsi difficile de soutenir que, lorsque des autorités répressives nationales opèrent dans le cadre d’une procédure pénale française, elles n’agissent pas « pour le compte » de l’État. De même, lorsqu’elles consultent, extraient ou transmettent les données issues du logiciel CPS, il semble acquis qu’elles « mettent en œuvre un traitement de données à caractère personnel ». Peu importe alors que ce logiciel soit basé aux États-Unis et qu’il ait pour responsable une fondation américaine, seule compte son utilisation en France, laquelle doit être autorisée dans les conditions de l’article 31 de la loi Informatique et Libertés. Par ailleurs, si le législateur avait entendu exclure les seules utilisations de données du champ de cette disposition, il aurait visé, en lieu et place du terme de « traitement », celui de « fichier ». Également défini par les textes, ce dernier apparaît plus approprié au logiciel CPS en désignant « tout ensemble structuré de données à caractère personnel accessibles selon des critères déterminés, que cet ensemble soit centralisé, décentralisé ou réparti de manière fonctionnelle ou géographique [6] ». Peu surprenante [7], la lecture restrictive de la Chambre criminelle méconnaît, une fois encore en la matière, les exigences de la Cour de justice de l’Union européenne. Effectivement, celle-ci a récemment affirmé « que le législateur de l’Union a entendu donner une portée large à la notion de “traitement” [8] », conférant ainsi à la directive police-justice la portée qu’elle mérite [9].  

            À l’analyse, la Chambre criminelle semble, elle-même, peu à l’aise avec son raisonnement. En effet, elle déclare que « le logiciel CPS constitue un traitement de données personnelles » n’ayant pas à faire l’objet d’une autorisation gouvernementale, mais que l’utilisation des données qu’il contient doit, quant à elle, respecter les exigences de protection des données à caractère personnel.  

II. Le constat opportuniste de la licéité de l’utilisation des données issues du traitement

            La Chambre criminelle va parvenir à sauver l’utilisation du logiciel CPS en la soumettant aux exigences de protection des données (A) et, surtout, du Code de procédure pénale (B). 

A. L’application restrictive des exigences de protection des données

            Si la cour d’appel a purement et simplement évacué les règles de la protection des données de son raisonnement, la Chambre criminelle tente, maladroitement, de sauver les apparences. Elle concède ainsi que « l’utilisation, par les autorités françaises, des données issues de ce traitement doit s’inscrire dans le cadre relatif à la protection des données, en particulier la loi du 6 janvier 1978 » et peut « intervenir à l’occasion d’enquêtes (…) conduites dans les conditions prévues par la directive européenne n° 2016/680 du 27 avril 2016, dite directive police-justice ». Même si la Haute juridiction se garde bien de le dire, l’utilisation de ces données constitue donc bien un traitement soumis aux textes susvisés. Or, une fois l’exigence de licéité évincée, quelles sont les garanties devant être respectées ? À l’analyse, la Chambre criminelle n’en tire aucune, exception faite de la mention selon laquelle le ministère de l’Intérieur doit être considéré comme étant le responsable de ce traitement. Il faut bien avouer qu’il aurait été particulièrement audacieux, pour la Cour, de s’appesantir sur les garanties énoncées par les textes. En ce cas, elle aurait été contrainte de faire état de l’article 8 de la directive police-justice selon lequel un traitement n’est licite que s’il est « fondé sur le droit de l’Union ou le droit d’un État membre », dont une disposition doit préciser « au moins les objectifs du traitement, les données à caractère personnel devant faire l’objet d’un traitement et les finalités du traitement ». Plus encore, à ne raisonner que sur la loi Informatique et Libertés, elle aurait dû appliquer ses articles 87 et 89 selon lesquels tout traitement de données à des fins pénales doit être prévu par une disposition législative ou réglementaire. Comment se sortir de l’impasse ? La Chambre criminelle y parvient en se cachant habilement derrière les garanties procédurales.

B. L’application habile des exigences du Code de procédure pénale

            La Haute juridiction ne sauve l’utilisation du logiciel CPS qu’en raison du respect du Code de procédure pénale. Elle relève, en effet, que l’exploitation des données « a été effectuée, au cas d’espèce, par des officiers de police judiciaire régulièrement habilités et saisis, agissant dans le cadre d’une enquête préliminaire régulière, sans provocation ni stratagème, ni détournement des règles de procédure, qui ont dressé des procès-verbaux dans les formes prescrites par le code de procédure pénale, et dont le contenu a pu être discuté contradictoirement devant les juges ». Concrètement, qu’en était-il du respect des garanties énoncées ? Concernant l’habilitation, d’abord, la Chambre criminelle approuve les juges du fond qui soulignent que l’enquêteur avait « été formé et habilité à utiliser le logiciel CPS ». Il semble toutefois difficile de vérifier l’exigence d’habilitation s’agissant d’un fichier qui, en France, ne repose sur aucune base textuelle…[10] Ensuite, l’affirmation de la Haute juridiction selon laquelle l’enquête pénale est régulière ne devrait pas avoir d’incidence sur la régularité d’un acte d’enquête pris isolément, sauf à y voir une appréciation in globo, chère à la Cour européenne des droits de l’Homme. Enfin, et même s’il était avancé par le moyen, l’argument tenant à la loyauté de la preuve apparaît hors sujet : il ne s’agit pas, en l’espèce, de discuter de la loyauté de l’usage du logiciel CPS, mais de sa légalité. À l’évidence, le correctif du contradictoire ne peut tout sauver et les exigences de la directive police-justice doivent trouver leur place dans le cadre de la procédure pénale. À défaut, la Chambre criminelle risque de valider l’utilisation clandestine, par les autorités répressives, de dispositifs toujours plus attentatoires aux droits fondamentaux. Qu’aurait-elle décidé, par exemple, si elle avait été saisie de la mise en œuvre, par les forces de l’ordre, du logiciel d’analyse vidéo Briefcam ? Aurait-elle eu le courage du tribunal administratif de Grenoble qui, faute de détermination claire des garanties entourant son utilisation par la commune de Moirans, a annulé la décision de son maire de le mettre en œuvre [11] ? Il est permis d’en douter d’autant que la CNIL risque de ne pas être d’un grand secours. De façon très contestable, elle a effectivement considéré que l’utilisation de Briefcam trouvait son fondement textuel dans les dispositions relatives aux logiciels de rapprochement judiciaire [12]. Partant, pour sauver le logiciel CPS, le même raisonnement semble pouvoir être adopté… 

            La lutte contre la pédocriminalité a-t-elle justifié ce sauvetage périlleux ? Ce n’est pas certain. La Haute juridiction prend en effet le soin de relever que l’utilisation du logiciel CPS peut « intervenir à l’occasion d’enquêtes portant sur des infractions pénales, dont la consultation et la détention d’images pédopornographiques ». Aucune exigence tenant à la nature ou à la gravité des infractions en cause n’apparaît donc posée, quoi qu’il en coûte pour le droit à la protection des données à caractère personnel. 

© Reproduction interdite, sauf autorisation écrite préalable