GuiGui's Show

Le requérant est français. Il avait obtenu une décision du Conseil constitu en 2018 (historique ici).

Ce délit, 434-15-2 du Code pénal, ne relève pas d'une atteinte au droit de se taire et au droit de ne pas s'auto-incriminer (article 6 ConvEDH).

Pour que cette atteinte advienne, il faut que les éléments n'existent pas indépendamment de la volonté du mis en cause. Sinon, il est possible d'utiliser des mesures coercitives pour les obtenir. Au final, ce qui est recherché, c'est l'équité globale de la procédure, l'absence de réelle contrainte abusive, et le respect du réel for intérieur (ex. : forcer un suspect à positionner son doigt sur le lecteur d'empreinte digitale de son téléphone, ça ne passe pas. Le corps se meut par la volonté).

La Cour reprend la position historique française (Cassation, Constitutionnel) : les données chiffrées, et leur équivalent clair, existent indépendamment du suspect. La Cour semble penser à la cryptanalyse, mais on peut aussi penser aux sauvegardes auto Google / Apple ou à une mise en pratique défaillante qui ruine tout le chiffrement.

La Cour européenne des droits de l'Homme reconnaît, contrairement au gouvernement français, que le délit en cause constitue bien une contrainte / mesure coercitive (point 49).

La Cour juge que les données que la police tentait d'obtenir sont les données, pas la convention de chiffrement elle-même (point 53). Pour moi, cette dernière n'existe pas sans la volonté du suspect.

La question se savoir si les données existent par l'action du suspect qui les a installées, générées, mises sur le smartphone / téléphone, etc., est sans incidence sur le fait qu'elles existent indépendamment de lui (point 57). De même, le choix des flics de ne pas faire procéder à une expertise technique (= cryptanalyse) est sans incidence.

Pour moi, la question reste ouverte. Il faudrait différencier l'accès par expertise technique d'une part, et l'accès via la transformation en délit d'un refus, d'autre part.

De même, en dehors de vulnérabilité dans l'algorithme de chiffrement ou dans son implémentation, ou dans la mise en œuvre courante du chiffrement, il ne reste que la force-brute, qui se conçoit comme forcer la convention de chiffrement, donc la volonté du suspect de laquelle elle dépend, qui est la seule à la connaître. Mais, sur ce point, je conçois aussi que l'analyse technique, peu importe son type, n'exerce pas une contrainte sur le suspect (et qu'il reste possible de choisir une bonne phrase de passe).

L'atteinte à la vie privée (article 8 ConvEDH) n'est pas étudiée car le requérant l'a invoqué tardivement devant les juridictions internes, sur des points très précis qui ne fondent pas son recours devant la CEDH, donc non-épuisement des voies de recours internes.

Décision plutôt décevante en ce qu'elle se contente de recracher la position française sans aller plus loin, et qu'elle paraît empreinte de considérations moralisatrices portant sur la qualité de revendeur de drogue du requérant, alors que la question dépasse largement ce cadre.

Pour rappel, en 2018, devant le Conseil constitu, le gouvernement défendait, comme les requérant et les intervenants, que le délit ne saurait concerner une personne soupçonnée. Le Conseil est passé outre.