Rapport | Doc. 15379 | 27 septembre 2021
Projet de deuxième protocole additionnel à la Convention sur la cybercriminalité relatif au renforcement de la coopération et de la divulgation de preuves électroniques
Commission des questions juridiques et des droits de l'homme
Résumé
La commission des questions juridiques et des droits de l'homme se félicite du succès que rencontre la Convention sur la cybercriminalité (STE n° 185) dans le monde, avec 66 ratifications. Elle note que depuis l'adoption de la Convention en 2001, l'exploitation des technologies de l'information à des fins criminelles a fortement augmenté. La cybercriminalité est considérée par de nombreux États comme une menace grave pour les droits de l'homme, l'État de droit et le fonctionnement des sociétés démocratiques, voire pour la sécurité nationale.
L'objectif du Deuxième Protocole additionnel à la Convention sur la cybercriminalité est de fournir des outils plus pointus pour enquêter sur la cybercriminalité et obtenir justice pour les victimes. Le projet de Protocole est conçu pour fonctionner dans le cadre des systèmes de justice pénale des Parties avec toutes les procédures, réglementations, méthodes de transmission des données, conditions et garanties prévues dans les systèmes juridiques nationaux respectifs.
La Convention sur la cybercriminalité et ses Protocoles additionnels sont confrontés à un dilemme. L'objectif de ces traités présuppose que le plus grand nombre possible d'États participent à la lutte contre la cybercriminalité, celle-ci ne connaissant pas de frontières. Or, les systèmes juridiques des États diffèrent, y compris dans les domaines du droit pénal et de la protection des données. La Convention et ses Protocoles ne peuvent donc que fixer des normes minimales de protection qui doivent être mises en œuvre par tous les États participants, tout en laissant la possibilité aux États plus avancés de mettre en œuvre des protections plus fortes. Mais ces protections plus développées ne doivent pas compromettre l'objectif commun de la Convention et de ses Protocoles, à savoir rendre la coopération internationale dans la lutte contre la cybercriminalité plus efficace.
La commission considère que le Deuxième Protocole additionnel établit en principe un équilibre raisonnable. Ayant examiné de nombreuses propositions émanant de différentes parties prenantes, elle suggère néanmoins quelques améliorations pour renforcer davantage la protection des droits humains.
A. Projet d’avis 
(open)B. Exposé des motifs par M. Kamal Jafarov, rapporteur
(open)1. Contexte
, sont
confrontés à un dilemme difficile. Pour atteindre leurs buts, ils
doivent rassembler le plus grand nombre possible d’États, la cybercriminalité
ignorant les frontières, faute de quoi les cybercriminels continueront
à opérer depuis des lieux sûrs, et à faire des victimes dans le
reste du monde. Or les systèmes juridiques diffèrent énormément
d’un pays à l’autre, y compris en matière pénale, et force est d’admettre
que l’on y observe des degrés variables de sensibilisation à la
protection des données et de réglementation en la matière. La Convention
et ses Protocoles ne peuvent donc fixer que des règles de protection
minimale, qui seront impérativement appliquées dans tous les États
Parties, et laisser les États plus avancés ériger une protection plus
solide pour leurs populations respectives. Mais ces normes plus
strictes ne doivent pas compromettre l'objectif commun de la Convention
et de ses Protocoles, en particulier le projet de Deuxième Protocole additionnel,
à savoir donner plus d’efficacité et d’efficience à la coopération
internationale dans la lutte contre la cybercriminalité. Selon moi,
les rédacteurs du Deuxième Protocole additionnel sont parvenus en
principe à ménager un juste équilibre entre les intérêts en présence,
face au dilemme susmentionné. Après avoir examiné les nombreuses
propositions formulées par les différentes parties prenantes, je
propose néanmoins quelques modifications à apporter au projet de
Protocole, en vue de renforcer la protection des droits de l’homme,
et plus particulièrement le droit au respect de la vie privée (voir
plus loin le chapitre 5).2. Travaux antérieurs de l'Assemblée
3. Principales caractéristiques du projet de Deuxième Protocole additionnel
4. Critiques et recommandations émanant de parties prenantes
critique dans sa contribution du
4 mai 2021 la
brièveté du délai de soumission des observations sur le premier
projet complet de Protocole, publié le 14 avril 2021. Il juge qu’il
serait nécessaire de mieux analyser les projets de dispositions
sur la protection des données, notamment leur compatibilité avec
le Règlement général sur la protection des données (RGPD) et la jurisprudence
de la Cour de justice de l'Union européenne (CJUE). Sur le fond,
il recommande:
- de préciser dans le projet que les garanties relatives à la protection des données ont un caractère contraignant ;
- de garantir l'intervention systématique d'une autorité judiciaire ou d'une autorité administrative indépendante de la Partie requise, sauf en cas d'urgence valablement démontrée, et d’appliquer le principe de la double incrimination en conformité avec la jurisprudence de la CJUE ;
- de clarifier la définition des informations relatives aux abonnés de façon à en exclure les données relatives au trafic et au contenu ;
- de mieux définir les spécifications et exigences relatives à la sécurité et à l'authentification des organismes habilités à demander et à recevoir des données ;
- d’inclure l’application du principe de proportionnalité dans le texte de l'article 13 ;
- d’indiquer à l'article 14 que le projet de Protocole s'applique aux Parties, sauf autre accord ou arrangement entre les Parties concernées garantissant un niveau égal ou supérieur de protection de la vie privée et de la protection des données à caractère personnel à celui que prévoit le Protocole ;
- de préciser à l'article 14, paragraphe 1.a, que les données à caractère personnel figurant dans la demande et reçues par l’autorité ou l’entité privée requise bénéficient de la même protection que celles que reçoit l’autorité requérante ;
- de permettre à la Partie qui communique des données à caractère personnel (dans une demande ou en réponse à une demande) d'exiger de la Partie destinataire des garanties supplémentaires, ou de permettre à la Partie requise de refuser la communication dans le but de ne pas éroder la protection des données à caractère personnel prévue par le droit de l'Union européenne ;
- de préciser à l'article 14, paragraphe 2, que le traitement ultérieur des données à caractère personnel par la Partie destinataire doit être prévu par la loi et constituer une mesure nécessaire et proportionnée dans une société démocratique pour garantir d’importants objectifs d'intérêt public général ;
- remplacer, à l'article 14, paragraphe 4, les mots « considérées comme sensibles compte tenu des risques qu’elles comportent » par « qui permettent ou confirment l'identification unique d’une personne physique » ;
- de préciser à l'article 14, paragraphe 6, concernant les décisions automatisées, qu’outre l'intervention humaine, les garanties prévues par le droit interne des Parties autorisant ce type de traitement doivent garantir les droits et libertés de la personne concernée ; et d’ajouter au paragraphe 6 une disposition interdisant spécifiquement le traitement de données sensibles aux fins d'une prise de décision automatisée, à moins que le paragraphe 6 n’impose expressément des mesures protégeant suffisamment les droits et libertés et les intérêts légitimes de la personne concernée ;
- d’étendre expressément le champ d'application de l'article 14, paragraphe 8 (tenue de registres), à toutes les activités de traitement, en particulier le «stockage» ;
- d’ajouter à la liste des notifications aux personnes concernées prévues à l'article 14, paragraphe 11, les coordonnées du responsable du traitement ;
- de compléter les dispositions de l'article 14, paragraphe 12, de sorte que quiconque puisse demander et obtenir des informations sur le fait que des données à caractère personnel le ou la concernant sont ou non traitées ; d’actualiser le paragraphe 12.b, en indiquant qu’en règle générale, les informations relatives à l'accès et à la rectification sont fournies gratuitement aux personnes concernées ; et de clarifier et préciser les conditions dans lesquelles l'information et les droits des personnes concernées peuvent être restreints dans un souci de pleine conformité avec le droit de l'Union européenne, et en particulier de respect des critères de prévisibilité et de proportionnalité ;
- d’assurer le respect des garanties relatives aux données personnelles relevant par exemple des privilèges et immunités de certaines professions ;
- de clarifier l'article 14, paragraphe 13, sur les recours effectifs pour faire en sorte que la juridiction de chaque Partie à la Convention sur la cybercriminalité prévoie des voies de recours judiciaires et non judiciaires ouvertes à toute personne concernée.
«Elle juge qu’il répond au besoin d’un cadre juridique clair, prévisible et fonctionnel, qui favorise la coopération internationale dans les affaires de cybercriminalité et la collecte de preuves électroniques dans les enquêtes et procédures pénales relatives à des délits, et qu’il pose des limites juridiques, tout en accordant une attention particulière aux droits fondamentaux, notamment le droit à la protection des données à caractère personnel
- à l'article 11, paragraphes 1 et 5, mentionner le principe ne bis in idem, afin d'éviter la double peine d'un témoin en cas de parjure ou d'infraction similaire lorsque deux États lui ont fait prêter serment ou lui ont dispensé des avertissements ;
- à l'article 11, paragraphe 7, à propos de la vidéoconférence, prévoir les mesures de protection des témoins disponibles au niveau national (comme le brouillage du visage ou de la voix) ;
- à l'article 7, paragraphe 1, et à l'article 8, paragraphe 1, mieux assurer «l'égalité des armes» entre le ministère public et la défense en prévoyant qu'au niveau national, les autorités compétentes de la Partie contractante peuvent également agir au nom de la défense;
- à l'article 7, paragraphes 7 et 8, et à l'article 8, mieux préciser les motifs pour lesquels un prestataire de services peut légitimement refuser de divulguer des informations sur un abonné (la violation de droits fondamentaux dans l'État requérant ou requis devant être reconnue comme un motif valable).
«En 2018, près d’une centaine de groupes d'intérêt public ont appelé le Conseil de l’Europe à laisser la société civile apporter une contribution technique à la préparation du protocole. En 2019, le Conseil européen de la protection des données (EDPB) a lui aussi appelé le T-CY à veiller à une participation précoce et plus proactive des autorités chargées de la protection des données à la préparation du projet, un appel qu'il a jugé bon de réitérer cette année. Lorsqu'il a publiquement soumis le projet de texte du protocole, le T-CY n’a laissé que 2,5 semaines aux parties prenantes pour présenter leurs observations, délai trop court, de l’avis de l'EDPB, pour une analyse soigneuse. Cette version du protocole ne comprenait pas non plus les explications relatives aux garanties de protection des données, publiées ultérieurement, dans la dernière version du 28 mai, sans consultation publique. Même d'autres branches du Conseil de l’Europe, comme le comité consultatif de la Convention 108, ont ainsi eu du mal à apporter une contribution significative
a
vigoureusement critiqué le projet de Protocole dans une lettre commune
envoyée le 2 mai 2021 au Président de l'Assemblée, M. Rik Daems,
et à d'autres organes du Conseil de l'Europe. Il estime que la section 2
menace l'État de droit en autorisant la «coopération directe» avec
des entités privées, et en encourageant ainsi la divulgation volontaire de
données personnelles telles que les informations relatives à l'enregistrement
des noms de domaine et les informations sur les abonnés, sans obligation
d’obtenir une décision de justice pour toute injonction de production
émise en vertu du Protocole. Il critique par ailleurs le manque
de transparence et l'absence de garanties contre le «changement
de finalité» du traitement des données reçues en application du
Protocole et contre le choix opportuniste de la juridiction (forum shopping) dans les enquêtes
communes. Il recommande donc notamment:
- que toute injonction de production émise en vertu du Protocole, y compris son article 6 (demande d'informations concernant l'enregistrement d'un nom de domaine), doive obligatoirement être autorisée par la justice ;
- que les Parties au Protocole additionnel soient tenues d'adhérer au Protocole d’amendement à la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel (STCE n° 223, «Convention 108+») ;
- que le Protocole définisse l’incompatibilité évoquée à l'article 14, paragraphe 2.a, qui interdit aux États recevant des éléments de preuve de les traiter ultérieurement « dans un but incompatible », et d'inclure des garanties pour circonscrire ce «changement de finalité» ;
- que le Protocole inclue des garanties contre la sélection opportuniste de la juridiction (forum shopping) dans les enquêtes communes et par les équipes communes d'enquête pour empêcher les Parties de contourner les restrictions et interdictions de certaines mesures d'enquête prévues dans leur droit interne ;
- que les autorités de surveillance soient tenues de publier des données (au moins agrégées) sur l’emploi des mesures prévues par le Protocole et sur le nombre de personnes touchées par ces mesures.
,
un groupe de défenseurs du droit à la vie privée sur internet manifeste
une vigoureuse opposition aux principales dispositions du projet
de Protocole, en particulier la coopération directe avec les fournisseurs
de services visée aux articles 6 et 7:«L’accès libre aux données relatives aux abonnés peut menacer les lanceurs d'alerte, les sources des journalistes, les dissidents, les personnalités politiques et d'autres personnes, tout en érodant des privilèges et immunités essentiels. Le projet de protocole cherche à édulcorer la nature sensible des données relatives aux abonnés, et crée une série de pouvoirs très étendus» (page 1).
«de nombreux pays examinés exigent une autorisation de justice pour que les services de répression puissent accéder à certains types de données relatives aux abonnés. L'article 7 impose à ces États de poser des bases légales d'accès plus laxistes pour une autorité étrangère que pour leurs propres services de répression». (Page 4)
«L'article 7 érode ainsi les normes de protection de la vie privée, même dans le cas où la protection est déjà suffisante. Nous recommandons donc que l'article 7 soit intégralement rayé du texte du protocole». (page 5)
«Imposer des limites de temps et de champ d'application au dispositif de réserves de l'article 7 oblige en fait les États à un niveau de protection particulier malgré l'évolution constante de la jurisprudence sur les informations relatives aux abonnés» (page 7). «Il est donc instamment demandé aux rédacteurs du Protocole de veiller à ce que les parties puissent exclure les informations relatives aux abonnés de l'article 7, au gré de l'évolution de la jurisprudence et de la législation, en admettant que des réserves et déclarations soient faites après la signature et la ratification du Protocole» (page 8).
«Le caractère facultatif de l’article 14 nuit à son utilité et contraste avec le caractère contraignant des obligations créées par le protocole en matière d’accès légal. L’un des aspects les plus problématiques du protocole et de sa Convention est qu’ils créent des obligations spécifiques en matière d’accès légal tout en ne formulant que de façon générale les garanties exigées en matière de droits humains et de respect de la vie privée, à préciser dans le droit national de chacun des signataires. […] Or ces dispositions ne garantissent pas un niveau de protection des données compatible avec les instruments modernes de protection des données, comme la Convention 108/108+». (pages 19-20)
a émis des commentaires
critiques et proposé des améliorations qu’il considère comme des
«exigences minimales». Certaines sont similaires à celles de l’EDPB et
de la FRA, notamment: créer un dispositif général de contrôle juridictionnel
préalable assorti d’un cadre de protection du privilège attaché
au secret de la communication entre l’avocat et son client et du
secret professionnel; exiger la notification des autorités de l’État
requis avant que les données ne soient communiquées à l’État requérant
par le fournisseur de services auquel s’adresse l’injonction de
produire ; clarifier et renforcer les motifs de refus d’exécution
des injonctions internationales de production ; le fait que les données
demandées sont couvertes par le secret de la communication entre
avocat et client ou le secret professionnel doit constituer un motif
absolu de refus ; faire en sorte que le suspect, le prévenu ou son
avocat puissent demander une injonction internationale de production
ou de conservation de manière aussi péremptoire que les services
répressif (principe de l’égalité des armes). Le CCBE est par ailleurs
seul à demander que le Protocole prévoie expressément que l’avocat
ait la possibilité de participer à l’audition en vidéoconférence
pour défendre les intérêts de son client.5. Évaluation des commentaires et propositions
,
la cybercriminalité menace même la paix mondiale. Les menaces implicites
de représailles consécutives à des attaques contre des infrastructures
essentielles, commises par des acteurs peut-être soutenus ou tacitement
tolérés par des gouvernements, pourraient déclencher des tensions,
avec des conséquences potentiellement dévastatrices..1. faire figurer l’application
du principe de proportionnalité dans le texte de l’article 13, outre
sa mention dans le rapport explicatif
Selon moi, le principe de proportionnalité joue un rôle central dans la protection des droits fondamentaux, et mérite une place dans le texte même du Protocole. Cela vaut même si le principe est évoqué dans le Rapport explicatif du projet de Protocole et que l’article 15 de la Convention sur la cybercriminalité, qui mentionne ce principe, est incorporé dans le projet de Protocole par le biais de son article 13. Sa mention dans le texte du Protocole lui-même constitue une proclamation résolue de ce principe fondamental des droits humains, qui aura donc un poids supplémentaire dans l’interprétation qui sera donnée au Protocole dans la pratique.
2. préciser à l’article 14, paragraphe 2, que le traitement ultérieur des données à caractère personnel par la Partie destinataire doit être prévu par la loi et constituer une mesure nécessaire et proportionnée dans une société démocratique pour garantir d’importants objectifs d’intérêt public général
Cette proposition reflète bien la formule usuelle de la Convention européenne des droits de l’homme telle qu’interprétée par la Cour dans l’évaluation des restrictions du droit à la vie privée garanti à l’article 8 de la Convention. Comme l'ont expliqué les experts du T-CY, on pourrait la juger techniquement «superflue», au même titre que la première proposition ci-dessus, mais elle adresse un message fort aux 47 États Parties à la Convention, ce qui devrait influencer l'interprétation future de cette disposition dans un sens favorable aux droits humains. Afin de tenir compte de la remarque des experts du T-CY, qui considèrent que les États qui ne sont pas Parties à la Convention peuvent employer des notions ou une terminologie différentes et pourraient être dissuadés de signer le projet de Protocole en raison de cette terminologie inspirée de la Convention, la proposition pourrait être complétée par les mots «ou assure par d’autres voies une protection adéquate des droits de l'homme et des libertés» (comme dans l’article 15 de la Convention incorporé par l’article 13 du projet de Protocole).
3. ajouter à la liste des notifications aux personnes concernées prévues à l’article 14, paragraphe 11, les coordonnées du responsable du traitement
Cela faciliterait l’exercice par la personne concernée de son droit à l’information et ne devrait pas représenter une charge importante pour les autorités compétentes.
4. actualiser le paragraphe 12.b de l’article 14 en indiquant qu’en règle générale, les informations relatives à l’accès et à la rectification sont fournies gratuitement aux personnes concernées
Le texte actuel du Protocole dit que « les frais d’accès doivent être limités à ce qui est raisonnable et non excessif ». Mais la bonne pratique observée dans de nombreux pays est que l’accès est gratuit, sauf abus manifeste (demandes répétées pour le même motif, par exemple).
5. assurer le respect des garanties relatives à des données personnelles relevant par exemple des privilèges et immunités de certaines professions
Les garanties liées aux privilèges et immunités de certaines professions (avocats, médecins, clergé, parlementaires, par exemple) devraient effectivement figurer expressément dans le projet de Protocole.
6. imposer aux autorités de surveillance de publier des données (au moins agrégées) sur l’emploi des mesures prévues par le Protocole et sur le nombre de personnes touchées par ces mesures
Cette proposition mérite notre soutien dès lors qu’elle se borne à des données agrégées. Elle favoriserait la transparence et ainsi la confiance du public dans les instruments créés par le Protocole et elle faciliterait l’évaluation du fonctionnement de cet instrument. La divulgation d’informations agrégées ne saurait nuire à des enquêtes en cours, ni se traduire par la divulgation de données personnelles sensibles.
7. mentionner les mesures de protection des témoins existant au niveau national dans les dispositions autorisant l’obtention de preuves par vidéoconférence, et prévoir la possibilité pour l’avocat de participer à l’audition en vidéoconférence pour défendre les intérêts de son client.
Ces propositions du CCBE sont pleines de bon sens, car les cybercriminels sont souvent des groupes organisés, connus pour menacer, voire éliminer les témoins, et le droit fondamental d’être assisté par un avocat doit également être respecté dans les auditions de preuves menées en vidéoconférence.
8. mieux assurer «l’égalité des armes» entre le ministère public et la défense en prévoyant qu’au niveau national, les autorités compétentes de la Partie contractante peuvent également agir au nom de la défense
Cette proposition est elle aussi sensée. Le respect des droits humains et de l’État de droit exige évidemment que l’accusé, présumé innocent, ait le même accès aux éléments de preuve que l’accusation.
- Supprimer l’article 7 sur les injonctions de divulgation adressées directement aux fournisseurs de services internet: cela irait à l’encontre du but du Protocole en supprimant un moyen efficace de désengorgement des dispositifs actuels d’entraide judiciaire, qui passent par des autorités centrales nationales surchargées. La portée limitée des injonctions visées à l’article 7, les garanties prévues aux articles 13 et 14 et celles du droit pénal des Parties elles-mêmes devraient prévenir les atteintes au droit au respect de la vie privée.
- Introduire une obligation de notification ou de consultation des autorités de la Partie requise pour la Partie requérante ou le fournisseur de services requis: cette obligation représenterait une lourde charge administrative pour les Parties qui ne jugent pas nécessaire d’être systématiquement informées des demandes adressées aux fournisseurs de services ; cela irait à l’encontre du but du Protocole, qui doit désengorger les dispositifs existants.
- Faire en sorte que les demandes de données relatives aux abonnés décrivent suffisamment les faits et justifient suffisamment la pertinence de la demande dans l’enquête pour qu’il soit possible d’évaluer convenablement ses effets sur les droits fondamentaux: cela est inutile, car l'article 7.4. dit déjà que l’injonction doit indiquer le fondement juridique interne qui habilite l'autorité à donner une injonction, et préciser les dispositions juridiques et les sanctions applicables à l’infraction à l’origine de l’enquête ou des poursuites. Exiger des informations supplémentaires sur les faits ou la procédure et sur la pertinence des informations relatives à l'abonné dans l'enquête ou la procédure imposerait à l'autorité requérante et au fournisseur de services requis une charge excessive, eu égard à la portée limitée des demandes visée à l'article 7.
- Préciser dans le projet que les garanties relatives à la protection des données ont un caractère contraignant: toute règle contraignante autre que celles qui figurent déjà aux articles 13 et 14 du projet risque de faire obstacle à l’accès des États non membres de l'Union européenne ou du Conseil de l'Europe. Les garanties convenues par les rédacteurs du texte actuel sont une réelle avancée; elles demanderont des efforts considérables aux pays dont le régime de protection des données est plus faible.
- Garantir l'intervention systématique d'une autorité judiciaire ou d'une autorité administrative indépendante de la Partie requise, sauf en cas d'urgence valablement démontrée: cela pourrait aussi aller à contre-courant du but du Protocole. Les paragraphes 13 et 14 de l'article 14 du projet actuel prévoient « des recours judiciaires et non judiciaires effectifs pour assurer la réparation des violations », et que « chaque Partie dispose d’une ou de plusieurs autorités publiques qui, ensemble ou séparément, exercent des fonctions et des compétences de supervision indépendantes et effectives», et que lesdites fonctions «comprennent des pouvoirs d’enquête, le pouvoir de donner suite aux plaintes, et la capacité de prendre des mesures correctives». Y ajouter un contrôle préventif systématique pourrait aller à l’encontre du but recherché: une coopération internationale rapide et administrativement allégée dans la lutte contre la cybercriminalité. Je pense qu’il serait disproportionné d'exiger une autorisation de justice pour les demandes d'informations concernant l'enregistrement de noms de domaine, sachant que les demandes sont limitées à des enquêtes et procédures pénales spécifiques, et que la divulgation doit satisfaire aux conditions raisonnables prévues par le droit interne et respecter les garanties énoncées aux articles 13 et 14
- Mieux définir les spécifications et exigences relatives à la sécurité et à l'authentification des organismes habilités à demander et à recevoir des données: il serait impossible d’imposer un système unifié allant au-delà de l'article 6, qui a pour but de fonder juridiquement le système d'accès aux informations relatives à l'enregistrement des noms de domaine développé au sein de l'Internet Corporation for Assigned Names and Numbers (ICANN). Les exigences des fournisseurs de services et celles de la justice pénale diffèrent énormément en matière de sécurité et d'authentification. Le projet de Protocole (articles 6 et 7) se borne donc à demander que les autorités compétentes exigent des niveaux appropriés de sécurité et d'authentification, mais laisse aux Parties le soin de détailler ces dispositions.
- Clarifier la définition des informations relatives aux abonnés de façon à en exclure les données relatives au trafic et au contenu: cela n'est pas nécessaire, car la notion d’informations relatives à l'abonné est bien définie dans la Convention Cybercriminalité (article 18.3.), que le projet de Protocole additionnel ne fait que compléter. D’ailleurs, les paragraphes 92 et 93 du rapport explicatif précisent déjà que les données relatives au trafic sont exclues de la définition des informations relatives aux abonnés.
- Renforcer les règles de création et de fonctionnement des équipes communes d'enquête visées à l'article 12, notamment pour empêcher les équipes communes d'enquête et les enquêtes communes des Parties de contourner par sélection opportuniste de la juridiction (forum shopping) des dispositions de leur droit interne restreignant ou interdisant certaines mesures d’investigation, et exiger l'approbation des accords de création d’une ECE par les autorités centrales: ce serait inutile, les Parties participantes ne pouvant faire que ce qui est autorisé par leur droit interne. Lorsqu’une mesure est à exécuter dans une Partie participant à une équipe commune d’enquête, les autorités de cette Partie déterminent si elles peuvent exécuter ladite mesure en fonction de leur droit interne ; l’ECE est soumise à tous les dispositifs de contrôle de la juridiction pénale concernée
- Insérer un nouvel article 13b garantissant qu’il ne peut être fait un usage abusif de la confidentialité des enquêtes: cela serait inutile, car l'article 14 paragraphe 12, du projet de Protocole prévoit un droit général d'accès et de rectification pour les personnes dont les données personnelles ont été reçues. Le point a. i. prévoit déjà que:
«l'accès dans un cas particulier [peut] être soumis à l'application de restrictions proportionnées autorisées par [le] cadre juridique interne [de la Partie concernée], nécessaires, au moment de la décision, pour protéger les droits et libertés d'autrui ou d'importants objectifs d'intérêt public général et qui tiennent dûment compte des intérêts légitimes de la personne concernée».
- Définir l’incompatibilité évoquée à l'article 14, paragraphe 2.a, qui interdit aux États recevant des éléments de preuve de les traiter ultérieurement «dans un but incompatible» et inclure des garanties pour circonscrire ce «changement de finalité»: cela n'est pas nécessaire, car la notion de «but incompatible» est clairement explicitée aux paragraphes 227 et suivants du rapport explicatif. Sont compatibles les finalités évoquées à l'article 2, c'est-à-dire les «enquêtes ou procédures pénales spécifiques concernant des infractions pénales liées à des données et systèmes informatiques», ainsi que la «collecte d’éléments de preuve d’une infraction pénale sous forme électronique».
- Indiquer à l'article 14 que le projet de Protocole s'applique aux Parties, sauf autre accord ou arrangement entre les Parties concernées garantissant un niveau égal ou supérieur de protection de la vie privée et de la protection des données à caractère personnel que celui que prévoit le Protocole: l’ajout risquerait là aussi de faire obstacle à la coopération entre des Parties dont le régime de protection des données n'a pas encore atteint le niveau du GDPR ou de l'article 8 de la Convention européenne des droits de l'homme.
- Préciser à l'article 14, paragraphe 6, concernant les décisions automatisées, qu'outre l'intervention humaine, les garanties prévues par le droit interne des Parties autorisant un tel traitement doivent garantir les droits et libertés de la personne concernée: cet ajout semble inutile, car les garanties générales visées aux articles 13 et 14 du projet de Protocole s'appliquent dès lors qu’il y a intervention humaine, ce que le texte actuel définit déjà comme l'une des «garanties appropriées» nécessaires.
- Compléter les dispositions de l'article 14, paragraphe 12, de sorte que quiconque puisse demander et obtenir des informations sur le fait que des données à caractère personnel le ou la concernant sont ou non traitées: il semble déjà en être ainsi puisque l'article 14, paragraphe 12.a.i., dit que la personne concernée a droit à une copie de la documentation conservée à son sujet, ainsi qu’à des informations sur le fondement juridique et les finalités du traitement, la conservation et les destinataires des données, ainsi que sur les possibilités de recours disponibles.
- Clarifier l'article 14, paragraphe 13, sur les recours effectifs pour obtenir que la juridiction de chaque Partie à la Convention sur la cybercriminalité prévoie des voies de recours judiciaires et non judiciaires ouvertes à toute personne concernée: là encore, cela semble déjà clair dans le texte actuel. Le paragraphe 13 dit que «chaque partie dispose d'un système permettant d'offrir des recours judiciaires et non judiciaires effectifs pour assurer la réparation des violations des garanties énoncées dans le présent article».
- Faire en sorte que les Parties au Protocole additionnel soient tenues d'adhérer à la Convention 108+: il est tout à fait souhaitable que le plus grand nombre possible de Parties à la Convention sur la cybercriminalité et à ses Protocoles additionnels soient également Parties à la Convention du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel (STE n° 108) et à ses Protocoles additionnels; mais en faire une obligation empêcherait la signature du Protocole par un certain nombre de Parties potentielles, dont la coopération à la lutte contre la cybercriminalité, but du Protocole, est tout aussi souhaitable. Je n’en suggère pas moins que l'Assemblée appelle dans son Avis tous les États désireux de signer ce Protocole à envisager de signer et de ratifier aussi la Convention 108+.
- Souligner le principe «ne bis in idem», afin d'éviter la double peine d'un témoin en cas de parjure ou d'infraction similaire lorsque deux États lui ont fait prêter serment ou lui ont dispensé d’autres avertissements: le principe «ne bis in idem» est en général reconnu en droit pénal national, et il est inutile de le réaffirmer dans le Protocole pour une situation très spécifique.
, je m'abstiens également de retenir les
propositions suivantes, auxquelles j'avais donné une première appréciation
positive dans ma note introductive, à savoir:1. préciser à l’article 14, paragraphe 1.a, que les données à caractère personnel figurant dans la demande et reçues par l’autorité ou l’entité privée requise bénéficient de la même protection que celles que reçoit l’autorité requérante
Je considérais au départ que cette clarification permettrait de combler une éventuelle «lacune», puisque les demandes elles-mêmes comportent souvent des données à caractère personnel qui doivent être protégées au même titre que les données reçues en réponse à cette demande. Mais comme les experts du T-CY l’ont souligné, l’article 14, paragraphe1, combiné au paragraphe 221 du rapport explicatif garantit déjà que l’article 14 s'applique à toutes les données à caractère personnel qu’une Partie reçoit en vertu du présent Protocole, y compris aux données qui font partie de la demande.
2. permettre à la Partie qui communique des données à caractère personnel (dans une demande ou en réponse à une demande) d’exiger de la Partie destinataire des garanties supplémentaires, ou permettre à la Partie requise de refuser la communication pour ne pas éroder la protection des données à caractère personnel prévue par le droit de l’Union européenne
Je pensais tout d’abord que cette clause de sauvegarde pourrait bien être nécessaire à la préservation de l’acquis de l’Union européenne en matière de protection des données, son absence risquant de créer un obstacle juridique à la participation des États membres de l’Union européenne au dispositif de coopération mis en place par le Protocole. Mais les experts du T-CY m’ont convaincu que le projet de Protocole répond aux exigences fondamentales de la législation européenne (en particulier de l’article 46 du RGPD et de l’article 37 de la directive en matière de protection des données dans le domaine répressif). Le fait de chercher à imposer aux États non membres de l’Union européenne une «photocopie» complète de la réglementation de l’UE en matière de protection des données pourrait bien rendre très problématique la ratification du texte par bon nombre d’entre eux. Toutefois, afin de répondre aux critiques légitimes, il serait utile que le rapport explicatif soit révisé à propos de l’article 14 pour mieux expliquer l’interrelation entre les différents régimes de protection des données prévus par cet article.
3. remplacer, à l’article 14, paragraphe 4, les mots « considérées comme sensibles compte tenu des risques qu’elles comportent » par « qui permettent ou confirment l’identification unique d’une personne physique »
Je considérais au départ que la nouvelle formulation proposée était moins subjective (« considérées comme sensibles» – par qui?) parce qu’elle mettait l’accent sur le risque principal, c’est-à-dire l’autorisation de l’identification ou la confirmation de l’identité d’une personne physique; mais les experts du T-CY m’ont convaincu du fait que la formulation existante, qui prend en compte tous les risques en présence, offre la souplesse nécessaire pour s’adapter au domaine évolutif des données biométriques. En outre, selon eux, les propositions de modifications restreignent en réalité considérablement l’application des garanties. Cela va à l’encontre du but de protection que poursuit l’article 14 du projet de Protocole.
4. ajouter au paragraphe 6 une disposition interdisant spécifiquement le traitement de données sensibles aux fins d’une prise de décision automatisée, à moins que le paragraphe 6 n’impose des mesures garantissant convenablement les droits et libertés et les intérêts légitimes de la personne concernée
Je pensais tout d’abord que cette proposition tenait compte à juste titre des risques particuliers que présente la prise de décision automatisée qui utilise des données sensibles, ce qui exigeait l’existence de garanties adéquates. Mais les experts du T-CY ont mis en avant le fait que le paragraphe 6, dans son libellé actuel, prévoit déjà ces garanties et est conforme aux normes en vigueur, notamment à la Convention 108+.
5. supprimer les limites de temps et de champ d’application du dispositif de réserves de l’article 7
Je considérais au départ qu’il était effectivement souhaitable de laisser aux Parties une certaine marge de réaction, en cas d’évolution de la jurisprudence ou de la législation après la signature ou la ratification du Protocole. Mais je suis à présent convaincu que le fait d’autoriser des réserves et des déclarations après la signature et la ratification s’écarterait trop de la pratique établie par les États en matière de signature et de ratification des traités.
6. étendre explicitement le champ d’application de l’article 14, paragraphe 8 (tenue de registres) à toutes les activités de traitement, en particulier le «stockage»
Il est en effet important, par souci de transparence et de confiance des citoyens dans le mécanisme établi par le Protocole, que des registres soient tenus sur toutes les activités de traitement, ce qui doit englober le stockage des données, qui peut à son tour représenter une activité particulièrement risquée. Mais les experts du T-CY ont rappelé que l’article 25 de la directive européenne en matière de protection des données dans le domaine répressif et la Convention 108+ ne prévoient pas non plus cette exigence et m'ont convaincu que le fait d’imposer l’enregistrement détaillé de chaque activité de stockage constituerait une charge excessive qu’un certain nombre de Parties ne seraient pas prêtes à supporter.
7. clarifier et préciser les conditions dans lesquelles l’information et les droits des personnes concernées peuvent être restreints, cela dans un souci de pleine conformité avec le droit de l’Union européenne, et en particulier de respect des critères de prévisibilité et de proportionnalité
J’ai d’abord pensé que le projet de Protocole, dans sa forme actuelle, ne définissait pas assez clairement les motifs recevables de refus ou de limitation du droit d'accès et qu’il fallait par conséquent les préciser, comme le propose l’EDPB. Les experts du T-CY ont toutefois rappelé la liste des quatre critères limitatifs des restrictions imposées aux droits de la personne concernée à l'article 12: premièrement, les restrictions doivent être proportionnées et autorisées par le cadre juridique interne; deuxièmement, elles doivent encore être «nécessaires» au moment de la décision; troisièmement, elles doivent servir à protéger les droits et libertés d’autrui ou poursuivre d’autres objectifs importants d’intérêt public général; enfin, quatrièmement, elles doivent tenir dûment compte des intérêts légitimes de l’intéressé. Ce critère semble également être conforme à la législation européenne en matière de protection des données (par exemple, l’article 23, paragraphe 1, du RGPD) et à la Convention 108+.
8. mieux préciser les motifs pour lesquels un fournisseur de services peut légitimement refuser de divulguer des informations sur un abonné (parmi lesquels devraient figurer la violation de droits fondamentaux dans l’État requérant ou requis, ainsi que le fait que les données demandées sont couvertes par la confidentialité de la communication entre avocat et client)
J’étais au départ favorable à ces propositions de la FRA et du CCBE, car elles renforçaient nettement la crédibilité du projet de Protocole du point de vue des droits humains. Cette précision réduirait le risque que doit prendre un fournisseur de services en refusant de communiquer des données d’utilisateurs dans des cas douteux. Mais les experts du T-CY ont expliqué que le projet de Protocole, dans sa forme actuelle, laissait plusieurs choix aux Parties, notamment celui de conférer aux fournisseurs de services le pouvoir discrétionnaire illimité de refuser les injonctions, ou d’exiger la notification des autorités nationales des injonctions signifiées aux fournisseurs sur leur territoire et d’enjoindre au prestataire de ne pas se conformer à l’injonction sur la base des motifs de refus prévus à l’article 25, paragraphe 4, et à l’article 27, paragraphe 4, de la Convention Cybercriminalité, notamment le refus pour des raisons d’atteinte aux «intérêts essentiels» (c'est-à-dire pour des considérations liées aux droits humains). Enfin, il ne serait pas possible d’établir une liste exhaustive de motifs, tandis qu’une clause générale mettrait les fournisseurs de services dans la situation difficile de devoir statuer eux-mêmes sur cette question.
6. Conclusions
Annexe - Audition du 14 septembre 2021
(open)Lors de la réunion de la commission du 14 septembre 2021, nous avons entendu les présentations des trois experts suivants:
- Mme Cristina Schulman (Roumanie), Présidente du Comité de la Convention sur la cybercriminalité (T-CY) en charge de la rédaction du Protocole,
- Alexander Seger, son secrétaire exécutif,
- Mme Katitza Rodriguez (Electronic Frontier Foundation/EFF).
Mme Schulman et M. Seger se prononcent tous deux en faveur du maintien inchangé de l’actuel projet de texte, tandis que Mme Rodriguez propose un certain nombre de modifications à apporter et rappelle les critiques formulées par la société civile à l’égard de certaines dispositions du projet de Protocole.
Mme Schulman présente le contexte dans lequel s’inscrit le projet de Protocole et considère qu’il doit être adopté rapidement. Elle explique le processus de négociation complexe et inclusif auquel ont participé des États de toutes les régions du monde dont les ordres juridiques diffèrent, notamment les 21 États qui ne sont pas membres du Conseil de l’Europe. Il importe que le Protocole fonctionne pour chacun d’entre eux. Elle fait remarquer que le projet de Protocole a été rédigé pour donner aux gouvernements les moyens de respecter leurs obligations positives de protéger les personnes contre les violations de leurs droits causées par la cybercriminalité. Elle ajoute que, d’après les rédacteurs du Protocole, cet objectif pourrait être atteint en prévoyant des outils supplémentaires qui permettront de mener des enquêtes en bonne et due forme et d’engager des poursuites grâce à une coopération renforcée entre les Parties à la Convention sur la cybercriminalité. Elle souligne que la cybercriminalité ne connaît aucune frontière et qu’elle a atteint un niveau de prolifération sans précédent jusqu’alors. Le Deuxième Protocole additionnel permettrait de relever un certain nombre de défis rencontrés à l’occasion des enquêtes menées sur ces infractions, comme les difficultés auxquelles se heurte l’obtention d’éléments de preuve électroniques, qui se trouvent dans de multiples États étrangers, voire dans des États inconnus, et sont détenus par des personnes morales privées. Le projet de Protocole, souligne-t-elle, vise donc principalement à permettre une coopération directe avec les fournisseurs de services et les autres entités, en vue de communiquer les informations relatives aux abonnés et les données qui ont trait à l’enregistrement des noms de domaine, à simplifier la procédure de production des informations relatives aux abonnés et des données de trafic provenant d’autres Parties et à améliorer la coopération internationale dans les situations d’urgence, notamment en créant des ECE et en établissant des dispositions applicables à la vidéoconférence lorsque les autres traités ne les règlent pas. Mme Schulman souligne que ces mesures devraient être soumises à un système de garanties particulièrement solide, notamment l’article 14 consacré à la protection des données à caractère personnel, une disposition conventionnelle sans équivalent en matière de justice pénale. Les conditions et les garanties de l’article 15 de la Convention sur la cybercriminalité, notamment le principe de proportionnalité, ont été incorporées dans le projet de Protocole par le biais de son article 13. Elle insiste en outre sur l’étroitesse du champ d’application du projet de Protocole: il traite d’enquêtes judiciaires particulières et de la réunion d’éléments de preuve électroniques au cours de la procédure engagée en matière de cybercriminalité. Le projet de Protocole n’est pas destiné à être un traité d’harmonisation des régimes juridiques relatifs à la protection des données, ni à régler les systèmes de cybersécurité ou à autoriser la surveillance à grande échelle. Le Protocole représente un texte soigneusement calibré, conçu pour être compatible avec les acquis du Conseil de l’Europe, mais également pour respecter les exigences de l’ensemble des autres Parties à la Convention Cybercriminalité. Mme Schulman souligne que le fait d’ouvrir à nouveau à la rédaction certains paragraphes de ce projet de texte pourrait nuire à ce compromis minutieux.
M. Seger rappelle que de nombreuses Parties prenantes, y compris celles que mentionnait la note introductive du rapporteur, ont été invitées lors des négociations et du processus de rédaction et ont été entendues à cette occasion. Les observations de la société civile et des autres parties prenantes ont été, soit reprises dans le projet de Protocole, soit jugées superflues ou irréalisables. Quant aux propositions mentionnées au paragraphe 21 de la note introductive du rapporteur, il souligne qu’elles ont toutes été prises en considération. Certaines d’entre elles ne présentaient aucune valeur ajoutée par rapport au minutieux projet de texte actuel. Ainsi, la proposition visant à mentionner tout particulièrement le principe de proportionnalité à l’article 13 n’est pas nécessaire, puisque toutes les conditions prévues à l’article 15 de la Convention contre la cybercriminalité – y compris le principe de proportionnalité, mais pas seulement – ont été incorporées dans le projet de Protocole. La deuxième proposition est elle aussi dépourvue d’intérêt, puisque le projet d’article 14, paragraphe 1 (a), pourrait être applicable à toutes «les données à caractère personnel [reçues] au titre du […] Protocole»; les demandes adressées à d’autres autorités publiques ne pourraient donc pas comporter la «lacune» alléguée au sujet des données à caractère personnel. La proposition suivante, qui concernait la définition et le caractère sensible des données biométriques au titre de l’article 14, paragraphe 4, du projet de Protocole, a été rejetée par les rédacteurs, qui considéraient que le sens à donner au terme «sensible», une notion en constante évolution, variait d’un État Partie à l’autre. L’actuel projet de texte représente par conséquent un compromis qui permet une certaine souplesse d’interprétation et d’application dans la pratique. Faute de temps, M. Seger renvoie ensuite la commission et le rapporteur aux observations écrites consacrées au reste des propositions.
Mme Rodriguez est en profond désaccord avec les deux intervenants précédents. Elle estime que le projet de Protocole n’impose pas de garanties essentielles claires et applicables à la collecte transfrontière des éléments de preuve et, surtout, regrette que les protections de la vie privée prévues dans le projet de Protocole soient pour la plupart facultatives, et non obligatoires. Les pouvoirs de police réglementés par le projet de Protocole sont excessivement intrusifs, notamment pour la «coopération directe» entre les autorités d’enquête d’un État Partie et les personnes morales privées qui détiennent des données privées sensibles (articles 7 et 12) dans un autre État. Elle propose de supprimer entièrement ces dispositions ou tout au moins de les améliorer, en prévoyant des garanties procédurales solides pour les demandes de données, comme le prévoit la Convention 108+. Cette convention doit rester l’instrument juridique qui fait autorité dans ce domaine, même pour ce projet de Protocole. Elle propose que l’adhésion au Protocole soit subordonnée à la signature de la Convention 108+. Elle se montre particulièrement préoccupée par la possibilité offerte par le projet de Protocole aux gouvernements de conclure des accords secrets bilatéraux ou multilatéraux et de mettre en place des dispositions qui seraient moins protectrices que les normes internationales établies, tout en utilisant les puissants outils fournis par le Protocole. Elle critique également les dispositions du Protocole relatives aux équipes communes d’enquête et pose une question à ce sujet à M. Seger. Ce dernier répond qu’une lecture attentive du texte de l’article 12 sur les équipes communes d’enquête montre que les rédacteurs du Protocole ont remédié en profondeur à toutes les préoccupations soulevées par Mme Rodriguez au sujet de la durée d’un accord sur les équipes communes d’enquête et du droit applicable de la Partie dans laquelle des mesures d’enquête sont prises. En outre, il souligne que cet article, qui régit l’activité des équipes communes d’enquête, est soumis aux garanties des articles 13 et 14, comme l’ensemble des autres mesures prévues par le projet de Protocole.