Urteilskopf
143 IV 21
4. Extrait de l'arręt de la Ire Cour de droit public dans la cause Facebook Switzerland Sŕrl, A. et B. contre Ministčre public central du canton de Vaud (recours en matičre pénale)1B_185/2016 et autres du 16 novembre 2016
Regeste
Art. 265, 269 ff. StPO, Art. 18 CCC; Editionsbefehl betreffend Daten eines Facebook-Accounts. Die Artikel 269 ff. StPO (Überwachung des Fernmeldeverkehrs) sind auf Anbieter von abgeleiteten Internetdiensten, wie etwa sozialen Netzwerken, nicht anwendbar (E. 3.1 und 3.2). Ein Editionsbefehl (Art. 265 StPO) ist an den Inhaber oder an die Inhaberin der zu edierenden Daten zu richten; bei der schweizerischen Filiale von Facebook handelt es sich nicht um eine solche Inhaberin. Die Staatsanwaltschaft hat hier folglich den Weg der internationalen Rechtshilfe in Strafsachen im Ausland zu beschreiten (E. 3.3 und 3.4).
Sachverhalt ab Seite 21
BGE 143 IV 21 S. 21
A. Le 22 avril 2015, un journaliste belge a déposé plainte pénale en Suisse contre inconnu. Il indiquait avoir été traité notamment d'antisémite sur la partie publique d'un compte Facebook détenu sous le pseudonyme "D.". Une instruction a été ouverte par le Ministčre public central du canton de Vaud, pour calomnie, diffamation et injure.Le 29 juin 2015, le Ministčre public a requis de la société Facebook Switzerland Sŕrl (ci-aprčs: Facebook Suisse) la production de l'identité du détenteur du compte précité, les adresses IP utilisées pour créer le profil, les logs de connexions et les adresses IP en relation avec ces logs ainsi que le contenu privé du compte, sous la menace BGE 143 IV 21 S. 22des peines prévues ŕ l'art. 292 CP. Aprčs plusieurs relances, Facebook Suisse a indiqué qu'elle ne gérait pas la plateforme mais seulement le développement du marché publicitaire en Suisse. Par e-mail du 25 aoűt 2015, Facebook Ireland Ltd (Facebook Irlande) a indiqué que l'ordre de production devait ętre adressé par la voie de l'entraide judiciaire internationale.Le 11 novembre 2015, le Ministčre public a adressé ŕ Facebook Suisse ainsi qu'ŕ ses associés gérants A. et B. une ordonnance de production de pičces portant sur les męmes renseignements (...) avec un délai d'exécution au 25 novembre 2015. Facebook Suisse et les deux gérants (...) ont saisi la Chambre des recours pénale du Tribunal cantonal du canton de Vaud (...).
B. Statuant le 23 mars 2016 par un seul arręt, la Chambre des recours pénale a rejeté les recours. Selon la jurisprudence cantonale, les filiales nationales (...) étaient habilitées ŕ recevoir des injonctions des autorités (notamment en matičre de protection des données) lorsqu'elles exerçaient une activité concrčte dans le pays concerné (...). L'ordre de production pouvait ętre adressé ŕ la société recourante et, ŕ défaut, ŕ ses gérants. (...)
C. Par trois recours distincts, Facebook Switzerland Sŕrl, A. et B. (...) demandent la réforme de l'arręt cantonal en ce sens que la décision du Ministčre public du 11 novembre 2015 est annulée (...) sous suite de frais et dépens. (...)Le Tribunal fédéral a admis les recours. (extrait)
Erwägungen
Extrait des considérants:
3. Invoquant l'art. 265 CPP, les recourants soutiennent que Facebook Suisse ne serait pas détenteur des informations requises. Ils exposent - invoquant sur ces points de fait l'art. 105 al. 2 LTF - que selon la déclaration Facebook (conditions générales), le service est fourni par Facebook Inc. (Etats-Unis) pour les utilisateurs résidant aux Etats-Unis ou au Canada, et par Facebook Irlande pour les autres utilisateurs. Aucun contrat ne serait conclu avec la société suisse, cette derničre n'étant filiale que de Facebook Global Holdings II LLC. La société suisse ne traiterait aucune donnée ŕ caractčre personnel relative aux utilisateurs; elle ne disposerait d'aucun centre de traitement de données ni de serveurs en Suisse. Elle n'a que trois employés dont les activités sont limitées ŕ la gestion stratégique des relations clients, BGE 143 IV 21 S. 23et qui n'ont pas accčs aux données des utilisateurs. Il n'existerait enfin aucun rapport de représentation avec les sociétés irlandaise et américaine. En définitive, les rčgles de l'entraide judiciaire internationale seraient contournées.
3.1 L'art. 265 CPP permet ŕ l'autorité d'instruction d'obtenir auprčs de leurs détenteurs les objets ou valeurs qui doivent ętre séquestrés en application de l'art. 263 CPP. L'ordre peut ętre assorti d'une commination de la peine prévue ŕ l'art. 292 CP (art. 265 al. 3 CPP). L'ordre de dépôt permet ŕ son destinataire de fournir volontairement les objets ou valeurs requis, sans recourir ŕ des mesures de contrainte (art. 265 al. 4 CPP).Pour ce qui concerne en revanche la surveillance de la correspondance par poste et télécommunication, les art. 269 ss CPP prévoient des conditions spécifiques telles qu'une liste d'infractions autorisant le recours ŕ cette mesure (art. 269 al. 2 CPP) et l'intervention du tribunal des mesures de contrainte (art. 272 al. 1 CPP). Le champ d'application de l'art. 269 CPP est défini ŕ l'art. 1 de la loi fédérale du 6 octobre 2000 sur la surveillance de la correspondance par poste et télécommunication (LSCPT; RS 780.1). Celle-ci s'applique ŕ tous les organismes étatiques, aux organismes soumis ŕ concession ou ŕ l'obligation d'annoncer qui fournissent des services postaux ou de télécommunication ainsi qu'aux fournisseurs d'accčs ŕ Internet. Selon la définition figurant ŕ l'annexe de l'ordonnance du 31 octobre 2001 sur la surveillance de la correspondance par poste et télécommunication (OSCPT; RS 780.11), un fournisseur d'accčs ŕ Internet est un fournisseur de services de télécommunication ou le secteur d'un fournisseur de services de télécommunication qui offre une prestation publique de transmission d'informations sur la base de la technologie IP et d'adresses IP. Un simple fournisseur de services, par exemple de réseaux sociaux, ne rentre pas dans cette catégorie puisqu'il ne fournit pas lui-męme d'accčs ŕ Internet au sens qui précčde. C'est d'ailleurs pour remédier ŕ cette lacune qu'une modification de la LSCPT a été proposée, élargissant notamment le champ d'application de la loi ŕ raison des personnes. Comme le relčve le Message ŕ l'appui de cette modification (Message du 27 février 2013 concernant la loi fédérale sur la surveillance de la correspondance par poste et télécommunication, FF 2013 2379), la nouvelle teneur de la loi vise également les "fournisseurs de services de communication dérivés", qui ne constituent ni des fournisseurs d'accčs, ni des fournisseurs de services de télécommunication, mais qui jouent un rôle dans BGE 143 IV 21 S. 24le processus de correspondance par télécommunication, en particulier par Internet (FF 2013 2403-2404). Sont ainsi notamment visés ŕ l'art. 2 let. c du projet de LSCPT les fournisseurs de services Internet qui permettent la communication unilatérale ou multilatérale, en particulier les services e-mail. Dans leur teneur actuelle, les art. 269 ss CPP ne s'appliquent donc pas ŕ ce genre de services.Compte tenu de cette lacune, le Procureur pouvait se fonder directement sur la disposition générale de l'art. 265 CPP pour édicter un ordre de production. Cela n'est du reste pas contesté par les recourants, de sorte qu'il reste ŕ examiner si cette disposition a été appliquée correctement en l'espčce.
3.2 Destinée ŕ accroître l'efficacité de la coopération internationale dans ce domaine, la Convention de Budapest du 23 novembre 2001 sur la cybercriminalité (RS 0.311.43; ci-aprčs: CCC), entrée en vigueur pour la Suisse le 1er janvier 2012, consacre une notion de "fournisseur de services" plus large que le droit suisse actuel. L'expression désigne en effet "toute entité publique ou privée qui offre aux utilisateurs de ses services la possibilité de communiquer au moyen d'un service informatique ou toute autre entité traitant ou stockant des données informatiques pour ce service de communication ou ses utilisateurs". La convention n'en repose pas moins sur le principe de la territorialité, selon lequel un Etat n'est pas habilité ŕ prendre des mesures d'instruction et de poursuite pénale sur le territoire d'un autre Etat (ATF 141 IV 108 consid. 5.3 p. 121 et les références citées). Pour ce faire, l'Etat demandeur doit agir par le biais de l'entraide internationale (art. 23 ss CCC) et dispose, en vertu de la convention, de divers instruments destinés ŕ en faciliter l'exécution (conservation rapide de données informatiques stockées selon l'art. 29 CCC) voire ŕ la contourner (accčs transfrontičre ŕ des données stockées, avec consentement ou lorsqu'elles sont accessibles au public, selon l'art. 32 CCC; ATF 141 IV 108 consid. 4.3.8 ss p. 119).Le Message relatif ŕ la modification de la LSCPT relčve ŕ ce titre que la nouvelle définition du champ d'application ratione materie de la loi ne doit pas susciter des espoirs démesurés, "dčs lors que beaucoup de fournisseurs importants de services Internet ont leur sičge et leur infrastructure ŕ l'étranger (...). Prévoir, de maničre générale, que les autorités suisses pourraient sans problčme accéder aux données voulues serait donc irréaliste et problématique, puisque cela heurterait le principe de la territorialité des lois" (FF 2013 2404). BGE 143 IV 21 S. 25
3.3 Selon l'art. 18 CCC, chaque Partie adopte les mesures législatives et autres qui se révčlent nécessaires pour habiliter ses autorités compétentes ŕ ordonner ŕ une personne présente sur son territoire de communiquer les données informatiques spécifiées, en sa possession ou sous son contrôle, qui sont stockées dans un systčme informatique ou un support de données informatiques (al. 1 let. a) ou ŕ un fournisseur de services offrant des prestations sur le territoire de la Partie, de communiquer les données en sa possession ou sous son contrôle relatives aux abonnés et concernant de tels services (let. b). Le lieu de stockage des données n'est ŕ lui seul pas déterminant puisqu'il peut s'agir d'un emplacement aléatoire, impossible ŕ définir a priori, et susceptible de changer rapidement, les centres de données étant trčs largement répartis géographiquement.
3.4 Il découle en revanche des dispositions tant de la CCC (art. 18, en sa possession ou sous son contrôle) que du CPP (art. 265, le détenteur) que la personne visée par l'injonction de produire doit ętre le possesseur ou le détenteur des données visées, ou tout au moins en avoir le contrôle, c'est-ŕ-dire avoir un pouvoir de disposition, en fait et en droit, sur ces données.Il ressort des pičces du dossier que tel n'est pas le cas de la société recourante.
3.4.1 L'arręt cantonal retient que la société a son sičge ŕ Vernier (GE) et que son but social est "la fourniture de tous services en relation avec le support marketing, la vente d'espaces publicitaires, les relations publiques et la communication". Son associé unique est la société Facebook Global II LLC, ŕ Dover (USA). La cour cantonale s'est ensuite fondée sur les informations disponibles sur la plateforme (aide-mémoire sur la politique d'utilisation des données, leur utilisation ainsi que sur le ciblage des publicités). Elle considčre que la société recourante traite des données personnelles ŕ des fins de vente d'espaces publicitaires et qu'elle serait habilitée ŕ ce titre ŕ recevoir des injonctions de la part des autorités suisses dčs lors qu'elle exerçait une activité concrčte en Suisse. La jurisprudence sur laquelle se fonde la cour cantonale, notamment l' ATF 138 II 346, se rapporte ŕ une cause de droit public relative ŕ la protection des données: la société suisse impliquée était en lien direct avec l'activité concernant Google Street View (en particulier la production et le traitement des images, le traitement des demandes d'effacement), étant toutefois précisé que l'on ne pouvait retenir un rapport de représentation entre les sociétés suisse et américaine, raison pour laquelle les BGE 143 IV 21 S. 26recommandations ont été adressées aux deux sociétés (consid. 4 non publié). Cette jurisprudence de droit public ne saurait s'appliquer en matičre pénale lorsqu'une autorité de poursuite exige non pas la rectification de données personnelles traitées par la société elle-męme, mais la production de preuves en application de l'art. 265 CPP. Dans ce contexte, la détention des preuves requises constitue l'élément déterminant.
3.4.2 Aucun des documents sur lesquels s'appuie la cour cantonale ne permet d'affirmer que la société recourante serait effectivement titulaire des données réclamées par le Ministčre public. L'arręt attaqué retient au contraire lui-męme que la recourante n'est "peut-ętre pas titulaire des informations litigieuses de façon autonome". Cela est confirmé par les indications des recourants, qui se fondent sur différentes pičces figurant au dossier. Il en ressort que le service Facebook est contrôlé par des sociétés américaine et irlandaise totalement distinctes de la société recourante. Selon un affidavit d'une responsable de la protection des données de Facebook Irlande, cette derničre est seule partenaire contractuelle avec les utilisateurs de Facebook situés hors des Etats-Unis et du Canada; elle est également seule ŕ contrôler les données personnelles de ces męmes utilisateurs. Les "Conditions de services", également produites par les recourants, confirment cette déclaration, de męme que le courriel adressé au Ministčre public par Facebook Irlande elle-męme, le 25 aoűt 2015. Il apparaît ainsi que la société suisse ne dispose pas d'un accčs direct ou d'une quelconque maîtrise sur les données relatives au service.
3.4.3 Quant au pouvoir de représentation que la cour cantonale impute ŕ la société recourante, il ne peut pas ętre reconnu dans le cadre d'une procédure pénale nécessitant l'accčs ŕ des données personnelles. Les sociétés suisse et irlandaise n'ont pas de liens entre elles et on ne voit pas ŕ quel titre la société suisse pourrait obtenir des sociétés étrangčres la production des renseignements requis par le Ministčre public.Ce dernier n'a dčs lors d'autre choix que de s'adresser par voie d'entraide judiciaire aux autorités irlandaises pour obtenir les renseignements désirés (cf. consid. 3.2 ci-dessus; ATF 141 IV 108 consid. 5.3 p. 212). (...)