Surveiller pour punir ? Pour une réforme de l'accès aux données de connexion dans l'enquête pénale

ANNEXE 2
ÉTUDE DE DROIT COMPARÉ - TABLEAU DE SYNTHÈSE DES RÉGIMES LÉGAUX D'ACCÈS ET DE CONSERVATION DES DONNÉES DE CONNEXION DANS LE CADRE DES ENQUÊTES PÉNALES

		Allemagne	Pays-Bas	Slovaquie	Pologne	Lettonie	Lituanie
Réception de la jurisprudence de la CJUE	Jurisprudentielle	Loi de 2021 relative à la conservation des données rendue non-applicable par l'arrêt SpaceNet de la CJUE du 20 septembre 2022.	Suspension de la loi de 2009 relative à la conservation des données et à leur accès par une décision de 2015 du juge des référés du tribunal de la Haye.	Loi de 2011 relative à la conservation des données abrogée en avril 2015 par la Cour constitutionnelle slovaque.	/	/	/
	Législative	/	/	Adoption d'une nouvelle loi relative à la conservation et à la collecte des métadonnées en novembre 2015.	Pas d'évolution législative à la suite de la jurisprudence européenne	Pas d'évolution législative, mais institution d'un groupe de travail ad hoc chargé de proposer des amendements visant une mise en conformité de la législation nationale au regard du droit de l'UE.	Pas d'évolution législative, mais création d'un groupe d'experts chargé de formuler des propositions visant, le cas échéant, à modifier la législation nationale.
Conservation des données de connexion	Type de conservation	Aucune obligation légale de conservation	Aucune obligation légale de conservation	Aucune obligation légale de conservation	Généralisée	Généralisée	Généralisée
	Si conservation ciblée, critères retenus	/	/	/	/	/	/
	Type de données et finalités de conservation finalités de conservation	Données conservées par les opérateurs à des fins commerciales	Données conservées par les opérateurs à des fins commerciales	Données conservées par les opérateurs à des fins commerciales	Conservation indifférenciée des données d'identification, de trafic et de localisation.	Conservation indifférenciée des données d'identification, de trafic et de localisation.	Conservation indifférenciée des données d'identification, de trafic et de localisation.
Conservation des données de connexion	Durée de conservation	6 mois pour les données conservées à des fins commerciales	N/C	N/C	12 mois	18 mois	De 6 à 12 mois
	Existence d'une procédure de quick freeze	Non.	Non.	Oui. Injonction du juge à la demande d'une autorité habilitée, qui ne peut excéder une période de 6 mois.	Oui, à la demande d'une juridiction ou du procureur général, obligation de conserver les données pour une durée de 3 mois maximum.	N/C	N/C
Accès aux données de connexion	Procédure de droit commun d'autorisation et de contrôle des requêtes	Réquisition émise par le tribunal, à la demande du ministère public. Conditions : la collecte doit 1) concerner une infraction particulièrement grave ou commise grâce à des moyens de télécommunication ; 2) cibler l'auteur ou le complice d'une infraction précisée dans une liste exhaustive de la loi ; 3) être nécessaire et proportionnée à l'infraction poursuivie.	Réquisition émise par le procureur. Conditions : la collecte doit concerner des infractions terroristes ou infractions pour lesquelles la détention provisoire est autorisée (i.e. punies d'une peine d'emprisonnement d'au moins quatre ans).	Réquisition par l'autorité répressive, après autorisation du juge. Conditions : la collecte doit 1) concerner une infraction grave (notamment, passibles de trois ans d'emprisonnement ou plus) ; 2) être nécessaire à l'avancée de l'enquête.	Réquisition émise par les juridictions ou par le procureur, contrôlée a posteriori par les tribunaux de districts compétents, sur la base d'un rapport semestriel recensant les données auxquelles les autorités de police ont eu accès. Conditions : la collecte doit 1) concerner un crime ou une infraction fiscale ; 2) concerner une personne, un lieu ou un appareil clairement identifié.	Réquisition émise par un enquêteur, sur autorisation du procureur, d'un procureur de rang supérieur ou de la personne concernée par les données. Procédure dérogatoire : accès sans autorisation à des données qui n'affectent pas de manière significative la vie privée d'une personne pendant une durée maximale de 30 jours.	Réquisition émise par l'enquêteur, après autorisation par un juge, pour les données de trafic et de localisation uniquement. Conditions: prévenir et poursuivre les crimes ou les menaces susceptibles d'affecter la souveraineté, l'intégrité du territoire, l'ordre constitutionnel, les intérêts de l'État, la défense ou le pouvoir économique.
	Procédure d'urgence	Réquisition prise par le ministère public, confirmée par le tribunal dans un délai de trois jours ouvrables.	Non.	Réquisition prise par le ministère public, validée par le juste dans un délai de 24 heures.	N/C	N/C	N/C

			Italie	Irlande	Suède	Estonie
Réception de la jurisprudence de la CJUE		Jurisprudentielle	La Cour de cassation italienne a jugé à plusieurs reprises que la législation italienne était conforme aux principes consacrés par la CJUE.	Par l'arrêt Graham Dwyer c/ Commissioner of An Garda Síochána du 5 avril 2022, la CJUE a jugé la loi irlandaise de 2011 sur les données de connexion non-conforme au droit de l'Union.	Par l'arrêt Tele2 (2016), la CJUE juge la loi suédoise, qui prévoyait une conservation générale et indifférenciée des données de trafic et de localisation, non conforme au droit de l'Union.	Par l'arrêt Prokuratuur du 2 mars 2021, de la CJUE a déclaré le régime estonien d'accès aux métadonnées non-conforme au droit de l'UE.
		Législative	Modification du régime d'accès aux données de connexion par le décret-loi n° 132 du 30 septembre 2021 à la suite de l'arrêt Prokuratuur de la CJUE du 2 mars 2021.	Modification de la loi de 2011 sur les communications (conservation des données) par la loi du 21 juillet 2022.	Modification des régimes d'accès et de conservation des données prévus par la loi sur les communications électroniques (LEK) en 2019 puis en 2022.	Modification du code de procédure pénale en 2022 afin de mieux encadrer l'accès aux données de connexion.
Conservation des données de connexion		Type de conservation	Généralisée	Généralisée pour les données d'identité civile et numérique ; procédures spécifiques pour les données de trafic et de localisation.	Généralisée	Généralisée
		Si conservation ciblée, critères retenus	/	/	/	/
Conservation des données de connexion		Type de données et finalités de conservation finalités de conservation	Prévention et lutte contre la criminalité grave et contre la criminalité en générale, prévention de la cybercriminalité et défense de la sécurité intérieure. Cependant, l'accès aux données de connexion est limité aux fins de lutte contre la criminalité grave.	Lutte contre la criminalité en général, lutte contre la criminalité grave, sauvegarde de la sécurité nationale (conservation généralisée de certaines données et procédure de quick freeze), lutte contre une menace sérieuse et réelle, actuelle et prévisible pour la sécurité nationale (conservation généralisée de l'ensemble des données de connexion).	- Conservation des données d'identité : aux fins de lutte contre la criminalité en général et de lutte contre la criminalité grave ; - Conservation des données de trafic et de localisation : limitée à la lutte contre la criminalité grave.	Lutte contre la criminalité grave et préservation de la sécurité nationale.
		Durée de conservation	Pour la lutte contre criminalité en général : - 24 mois pour les données téléphoniques ; - 12 mois pour les données télématiques ; - 30 jours pour les appels sans réponse. En l'absence de droit d'accès, ces dispositions ne s'appliquent pas. Pour la lutte contre criminalité grave : 72 mois.	- Données des utilisateurs : 12 mois sauf décision ministérielle imposant une durée différente, dans la limite de 24 mois ; - Données des sources internet : 12 mois sauf décision ministérielle imposant une durée différente aux fins de lutte contre la criminalité grave ; - Données de trafic et de localisation : 12 mois, uniquement aux fins de lutter contre une menace sérieuse, réelle, actuelle et prévisible pour la sécurité nationale.	- Données de localisation : 2 mois (téléphonie) ou 6 mois (internet) ; - Autres données de connexion : 6 mois (téléphonie) ou 10 mois (internet).	12 mois. Si les données ont fait l'objet d'une demande d'accès, elles doivent être conservées pour 24 mois. Ces délais peuvent être prorogés pour la sauvegarde de l'ordre publique et de la sécurité nationale.
Conservation des données de connexion		Existence d'une procédure de quick freeze	Oui, l'injonction doit être communiquée, dans un délai de 48 heures, à l'opérateur et au procureur de la République pour validation. Conditions : pour la prévention d'infractions graves ou pour la poursuite d'infractions spécifiques, pour une durée maximale de 90 jours prorogeable jusqu'à 6 mois.	Oui, pour les données de trafic et de localisation, sur autorisation du juge qui effectue un contrôle de proportionnalité de la mesure et pour une durée maximale de 90 jours. En cas d'urgence, contrôle judiciaire a posteriori dans un délai de 72 heures.	Oui. Injonction prononcée par le procureur ou l'enquêteur pour une période de 90 jours avec prorogation de 90 jours sous conditions - Condition : Uniquement dans le cadre de la lutte contre la criminalité grave.	Non.
Accès aux données de connexion		Procédure de droit commun d'autorisation et de contrôle des requêtes	Les données sont acquises à la demande du procureur de la République ou de l'avocat de la personne mise en cause, de la personne mise en examen, de la victime et des parties civiles, sur ordre motivé du juge.	- Les données des utilisateurs sont directement accessibles aux agents habilités à y accéder ; - L'accès aux données des sources internet et aux données de trafic est autorisé par le juge ; - l'accès aux données de localisation doit être autorisé par le supérieur hiérarchique et validé a posteriori par le juge.	Pour les données d'identification : accès direct par l'autorité qui formule la requête. Pour les données de trafic et de localisation : réquisition autorisée par le ministère public, sur ordonnance du tribunal et uniquement aux fins de lutte contre la criminalité grave. La demande d'accès est formulée par l'autorité de police, le service de la sécurité nationale ou le service des douanes.	Requête écrite adressée à l'opérateur par l'autorité chargée de l'enquête, l'autorité de renseignement ou le procureur, sur autorisation du juge compétent.
		Procédure d'urgence	Accès ordonné par le procureur de la République et contrôlé a posteriori du juge, dans un délai de 48 heures.	L'autorisation d'accès est délivrée par le supérieur hiérarchique de l'agent qui doit rédiger un rapport dans un délai de 8 heures et saisir le juge dans les 72 heures.	N/C	Délai de traitement des requêtes réduit à 10 heures (au lieu de 10 jours ouvrables).

Belgique		Danemark
Réception de la jurisprudence de la CJUE	Jurisprudentielle	Annulation en avril 2021 de la loi de 2016 relative à la conservation et la collecte des données par la Cour constitutionnelle belge.	/
	Législative	Adoption en juillet 2022 d'une nouvelle loi relative à la conservation et la collecte des données.	Révision, à l'initiative du gouvernement, du dispositif de conservation des données, lancée en 2017 et entrée en vigueur en mars 2022.
Conservation des données de connexion	Type de conservation	Mixte (généralisée et ciblée)	Mixte (généralisée et ciblée)
	Si conservation ciblée, critères retenus	Critères géographiques : - Zones particulièrement exposées à des menaces de crimes graves ou d'atteinte à la sécurité nationale (aéroports, gares etc.) ; - Zones sujettes à un taux important de criminalité grave.	1) Critères géographiques : - Zones particulièrement exposées à des menaces d'atteinte à la sécurité nationale (aéroports, gares etc.) ; - Zones ayant un nombre important d'infractions pénales graves ou de résidents condamnés pour de telles infractions. 2) Catégories de personnes : - Personnes condamnées pour des infractions pénales graves ; - Numéros de téléphone faisant l'objet d'une ordonnance d'interception.
		Belgique	Danemark
Conservation des données de connexion	Type de données et finalités de conservation	- Conservation généralisée des données d'identification : lutte contre la criminalité en général ; - Conservation généralisée des données de trafic et de localisation : détection d'une fraude ou d'une utilisation malveillante des réseaux ; - Conservation ciblée : prévention des menaces graves pour la sécurité publique et de la prévention ou de la poursuite de faits relevant de la criminalité grave.	- Conservation généralisée des données d'identification numérique: lutte contre la criminalité en général ; - Conservation généralisée des autres données : la protection de la sécurité nationale ; - Conservation ciblée : lutte contre les infractions graves.
	Durée de conservation	4 à 12 mois	12 mois
	Existence d'une procédure de quick freeze	Oui. - Future freeze : Injonction émise par le procureur du Roi pour la conservation durant six mois des données émises en temps réel. Condition : nécessité d'indices sérieux pouvant donner lieu à une peine d'emprisonnement d'un an ou plus. - Quick freeze : Injonction émise par la police pour la sauvegarde de données existantes pour une durée maximale de 90 jours. Condition : raisons de croire que ces données sont particulièrement susceptibles de perte ou de modification.	Oui. - Future freeze : Injonction émise par le tribunal pour la conservation durant un an des données émises en temps réel. - Quick freeze : Injonction émise par la police pour la sauvegarde de données existantes pour une durée de 90 jours, renouvelable. Condition : ces données doivent être liées à des infractions graves (peine d'emprisonnement de trois ans ou plus).
		Belgique	Danemark
Accès aux données de connexion	Procédure de droit commun d'autorisation et de contrôle des requêtes	Pour les données d'identification : réquisition émise par le procureur du Roi. Pour les infractions passibles d'une peine d'emprisonnement inférieure à un an, seules les données émises dans les six mois précédant la décision peuvent être demandées. Pour les données de trafic et de localisation : réquisition émise par le juge d'instruction. Conditions : 1) concerne une infraction de nature à entraîner une peine d'emprisonnement d'un an ou plus ; 2) nécessité de la mesure.	Réquisition émise par la police, après autorisation du tribunal. Conditions : les données doivent 1) être à destination ou en provenance d'un suspect ; 2) être d'une importance décisive pour l'enquête ; 3) concerner une infraction passible d'une peine d'emprisonnement de trois ans et plus ou une infraction liée à des conflits entre bandes violentes.
	Procédure d'urgence	Données de trafic et de localisation : en cas de flagrant délit, le procureur du Roi peut ordonner la mesure, sous réserve d'une confirmation par le juge d'instruction dans les 24 heures. Cette dernière n'est pas nécessaire en matière d'infraction terroriste, prise d'otage, détention illégale ou extorsion.	Réquisition émise par la police, sous réserve de la saisine du tribunal dans les vingt-quatre heures. Le tribunal autorise a posteriori la mesure et statue sur la durée de son maintien.