Bundesgericht Tribunal fédéral Tribunale federale Tribunal federal {T 0/2} 1B_185/2016, 1B_186/2016, 1B_188/2016 Arręt du 16 novembre 2016 Ire Cour de droit public Composition MM. les Juges fédéraux Fonjallaz, Président, Merkli, Karlen, Eusebio et Kneubühler. Greffier : M. Kurz. Participants ŕ la procédure 1B_185/2016 A.________, représenté par Maîtres Michel Jaccard et Juliette Ancelle, recourant, 1B_186/2016 B.________, représenté par Maîtres Michel Jaccard et Juliette Ancelle, recourant, 1B_188/2016 Facebook Switzerland Sŕrl, représentée par Maîtres Jacques Bonvin et Laurent Moreillon, recourante, contre Ministčre public central du canton de Vaud, Division criminalité économique, avenue de Longemalle 1, 1020 Renens, C.________, représenté par Me Olivier Peter, avocat, Objet procédure pénale; sommation de production de pičces, recours contre les arręts du Tribunal cantonal du canton de Vaud, Chambre des recours pénale, du 23 mars 2016. Faits : A. Le 22 avril 2015, un journaliste belge a déposé plainte pénale en Suisse contre inconnu. Il indiquait avoir été traité notamment d'antisémite sur la partie publique d'un compte Facebook détenu sous le pseudonyme "D.________". Une instruction a été ouverte par le Ministčre public central du canton de Vaud, pour calomnie, diffamation et injure. Le 29 juin 2015, le Ministčre public a requis de la société Facebook Switzerland Sŕrl (ci-aprčs: Facebook Suisse) la production de l'identité du détenteur du compte précité, les adresses IP utilisées pour créer le profil, les logs de connexions et les adresses IP en relation avec ces logs ainsi que le contenu privé du compte, sous la menace des peines prévues ŕ l'art. 292 CP. Aprčs plusieurs relances, Facebook Suisse a indiqué qu'elle ne gérait pas la plateforme mais seulement le développement du marché publicitaire en Suisse. Par email du 25 aoűt 2015, Facebook Ireland Ltd (Facebook Irlande) a indiqué que l'ordre de production devait ętre adressé par la voie de l'entraide judiciaire internationale. Le 11 novembre 2015, le Ministčre public a adressé ŕ Facebook Suisse ainsi qu'ŕ ses associés gérants A.________ et B.________ une ordonnance de production de pičces portant sur les męmes renseignements (ainsi que sur un post du 12 avril 2015), avec un délai d'exécution au 25 novembre 2015. Facebook Suisse d'une part, les deux gérants d'autre part ont saisi la Chambre des recours pénale du Tribunal cantonal du canton de Vaud, expliquant notamment que les informations demandées étaient en mains de la société irlandaise. B. Statuant le 23 mars 2016 par un seul arręt, la Chambre des recours pénale a rejeté les recours. Selon la jurisprudence cantonale, les filiales nationales - en l'occurrence de Google - étaient habilitées ŕ recevoir des injonctions des autorités (notamment en matičre de protection des données) lorsqu'elles exerçaient une activité concrčte dans le pays concerné, telle que la promotion, la vente et l'affichage d'espaces publicitaires, la vérification de la compatibilité avec les législations nationales ou toute autre activité assimilable ŕ la représentation de la maison mčre, laquelle disposait de la mainmise sur la société suisse. Refusant de revenir sur sa jurisprudence, la cour cantonale a considéré que l'ATF 141 IV 108 ne s'appliquait pas au cas d'espčce. L'ordre de production pouvait ętre adressé ŕ la société recourante et, ŕ défaut, ŕ ses gérants. L'obligation de garder le silence figurant également dans la décision du Ministčre public était également justifiée. Les délais de production ont été prolongés. C. Par trois recours distincts, Facebook Switzerland Sŕrl, A.________ et B.________ (ces deux derniers agissant par les męmes avocats) demandent la réforme de l'arręt cantonal en ce sens que la décision du Ministčre public du 11 novembre 2015 est annulée (ou réformée dans le męme sens), sous suite de frais et dépens. Subsidiairement, les recourants A.________ et B.________ concluent ŕ ce que l'ordonnance de production ne soit pas assortie de la menace de la peine prévue ŕ l'art. 292 CP. Plus subsidiairement, les recourants concluent au renvoi de la cause ŕ l'instance cantonale pour nouvelle décision dans le sens des considérants. Ils demandent également l'effet suspensif, qui a été admis par ordonnance du 13 juin 2016 en ce qui concerne l'ordre de production. La cour cantonale se réfčre aux considérants de sa décision, sans observations. Le Ministčre public conclut au rejet des recours dans la mesure de leur recevabilité. Les recourants ont renoncé ŕ de nouvelles déterminations. Considérant en droit : 1. Les trois recours sont formés contre un męme arręt. Les conclusions formulées et les griefs soulevés sont les męmes. Il se justifie dčs lors de joindre les causes et de statuer par un seul arręt (art. 24 PCF par renvoi de l'art. 71 LTF). 2. Le recours en matičre pénale, au sens de l'art. 78 al. 1 LTF, est en principe ouvert contre un ordre de perquisition ou de saisie pris au cours de la procédure pénale, et confirmée en derničre instance cantonale (art. 80 LTF). 2.1. La décision par laquelle l'autorité d'instruction ordonne la production de certaines pičces constitue une décision incidente, qui ne met pas fin ŕ la procédure (ATF 128 I 129 consid. 1 p. 131; 126 I 97 consid. 1b p. 100 et les références). Conformément ŕ l'art. 93 al. 1 let. a LTF, une telle décision ne peut faire l'objet d'un recours devant le Tribunal fédéral que si elle peut causer un préjudice irréparable. La clause prévue ŕ l'art. 93 al. 1 let. b LTF (lorsque l'admission du recours est susceptible de conduire immédiatement ŕ une décision finale) n'entre pas en considération en l'occurrence, s'agissant d'une simple mesure d'administration de preuves. La jurisprudence admet l'existence d'un préjudice irréparable lorsqu'un ordre de production de pičces est assorti de la menace des peines prévues ŕ l'art. 292 CP. Le destinataire de l'injonction se trouve, en cas de refus, directement exposé ŕ une poursuite pénale (arręt 5P.350/2004 du 10 mai 2005, consid. 2). Tel est le cas en l'occurrence. 2.2. Les recourants ont participé ŕ la procédure devant l'instance précédente. Ils sont tous destinataires de l'ordre de production confirmé par la cour cantonale et disposent ainsi d'un intéręt juridique ŕ l'annulation ou ŕ la modification de la décision attaquée. Il y a lieu, par conséquent, d'entrer en matičre, les recours ayant été déposés dans les formes et le délai utiles. 3. Invoquant l'art. 265 CPP, les recourants soutiennent que Facebook Suisse ne serait pas détenteur des informations requises. Ils exposent - invoquant sur ces points de fait l'art. 105 al. 2 LTF - que selon la déclaration Facebook (conditions générales), le service est fourni par Facebook Inc. (Etats-Unis) pour les utilisateurs résidant aux Etats-Unis ou au Canada, et par Facebook Irlande pour les autres utilisateurs. Aucun contrat ne serait conclu avec la société suisse, cette derničre n'étant filiale que de Facebook Global Holdings II LLC. La société suisse ne traiterait aucune donnée ŕ caractčre personnel relative aux utilisateurs; elle ne disposerait d'aucun centre de traitement de données ni de serveurs en Suisse. Elle n'a que trois employés dont les activités sont limitées ŕ la gestion stratégique des relations clients, et qui n'ont pas accčs aux données des utilisateurs. Il n'existerait enfin aucun rapport de représentation avec les sociétés irlandaise et américaine. En définitive, les rčgles de l'entraide judiciaire internationale seraient contournées. 3.1. L'art. 265 CPP permet ŕ l'autorité d'instruction d'obtenir auprčs de leurs détenteurs les objets ou valeurs qui doivent ętre séquestrés en application de l'art. 263 CPP. L'ordre peut ętre assorti d'une commination de la peine prévue ŕ l'art. 292 CP (art. 265 al. 3 CPP). L'ordre de dépôt permet ŕ son destinataire de fournir volontairement les objets ou valeurs requis, sans recourir ŕ des mesures de contrainte (art. 265 al. 4 CPP). Pour ce qui concerne en revanche la surveillance de la correspondance par poste et télécommunication, les art. 269 ss CPP prévoient des conditions spécifiques telles qu'une liste d'infractions autorisant le recours ŕ cette mesure (art. 269 al. 2 CPP) et l'intervention du tribunal des mesures de contrainte (art. 272 al. 1 CPP). Le champ d'application de l'art. 269 CPP est défini ŕ l'art. 1 de la loi fédérale sur la surveillance de la correspondance par poste et télécommunication (LSCPT, RS 780.1). Celle-ci s'applique ŕ tous les organismes étatiques, aux organismes soumis ŕ concession ou ŕ l'obligation d'annoncer qui fournissent des services postaux ou de télécommunication ainsi qu'aux fournisseurs d'accčs ŕ Internet. Selon la définition figurant ŕ l'annexe de l'ordonnance sur la surveillance de la correspondance par poste et télécommunication (OSCPT, RS 780.11), un fournisseur d'accčs ŕ internet est un fournisseur de services de télécommunication ou le secteur d'un fournisseur de services de télécommunication qui offre une prestation publique de transmission d'informations sur la base de la technologie IP et d'adresses IP. Un simple fournisseur de services, par exemple de réseaux sociaux, ne rentre pas dans cette catégorie puisqu'il ne fournit pas lui-męme d'accčs ŕ Internet au sens qui précčde. C'est d'ailleurs pour remédier ŕ cette lacune qu'une modification de la LSCPT a été proposée, élargissant notamment le champ d'application de la loi ŕ raison des personnes. Comme le relčve le message ŕ l'appui de cette modification (FF 2013 2379), la nouvelle teneur de la loi vise également les "fournisseurs de services de communication dérivés", qui ne constituent ni des fournisseurs d'accčs, ni des fournisseurs de services de télécommunication, mais qui jouent un rôle dans le processus de correspondance par télécommunication, en particulier par internet (FF 2013 2403-2404). Sont ainsi notamment visés ŕ l'art. 2 let. c du projet de LSCPT les fournisseurs de services Internet qui permettent la communication unilatérale ou multilatérale, en particulier les services e-mail. Dans leur teneur actuelle, les art. 269 ss CPP ne s'appliquent donc pas ŕ ce genre de services. Compte tenu de cette lacune, le Procureur pouvait se fonder directement sur la disposition générale de l'art. 265 CPP pour édicter un ordre de production. Cela n'est du reste pas contesté par les recourants, de sorte qu'il reste ŕ examiner si cette disposition a été appliquée correctement en l'espčce. 3.2. Destiné ŕ accroître l'efficacité de la coopération internationale dans ce domaine, la Convention de Budapest sur la cybercriminalité (CCC, RS 0.311.43), entrée en vigueur pour la Suisse le 1 er janvier 2012, consacre une notion de "fournisseur de services" plus large que le droit suisse actuel. L'expression désigne en effet "toute entité publique ou privée qui offre aux utilisateurs de ses services la possibilité de communiquer au moyen d'un service informatique ou toute autre entité traitant ou stockant des données informatiques pour ce service de communication ou ses utilisateurs". La convention n'en repose pas moins sur le principe de la territorialité, selon lequel un Etat n'est pas habilité ŕ prendre des mesures d'instruction et de poursuite pénale sur le territoire d'un autre Etat (ATF 141 IV 108 consid. 5.3 p. 121 et les références citées). Pour ce faire, l'Etat demandeur doit agir par le biais de l'entraide internationale (art. 23 ss CCC) et dispose, en vertu de la convention, de divers instruments destinés ŕ en faciliter l'exécution (conservation rapide de données informatiques stockées selon l'art. 29 CCC) voire ŕ la contourner (accčs transfrontičre ŕ des données stockées, avec consentement ou lorsqu'elles sont accessibles au public, selon l'art. 32 CCC; ATF 141 IV 108 consid. 4.3.8 ss p. 119). Le message relatif ŕ la modification de la LSCPT relčve ŕ ce titre que la nouvelle définition du champ d'application ratione materie de la loi ne doit pas susciter des espoirs démesurés, "dčs lors que beaucoup de fournisseurs importants de services Internet ont leur sičge et leur infrastructure ŕ l'étranger [...]. Prévoir, de maničre générale, que les autorités suisses pourraient sans problčme accéder aux données voulues serait donc irréaliste et problématique, puisque cela heurterait le principe de la territorialité des lois" (FF 2013 2404). 3.3. Selon l'art. 18 CCC, chaque Partie adopte les mesures législatives et autres qui se révčlent nécessaires pour habiliter ses autorités compétentes ŕ ordonner ŕ une personne présente sur son territoire de communiquer les données informatiques spécifiées, en sa possession ou sous son contrôle, qui sont stockées dans un systčme informatique ou un support de données informatiques (al. 1 let. a) ou ŕ un fournisseur de services offrant des prestations sur le territoire de la Partie, de communiquer les données en sa possession ou sous son contrôle relatives aux abonnés et concernant de tels services (let. b). Le lieu de stockage des données n'est ŕ lui seul pas déterminant puisqu'il peut s'agir d'un emplacement aléatoire, impossible ŕ définir a priori, et susceptible de changer rapidement, les centres de données étant trčs largement répartis géographiquement. 3.4. Il découle en revanche des dispositions tant de la CCC (art. 18, "en sa possession ou sous son contrôle") que du CPP (art. 265, le détenteur) que la personne visée par l'injonction de produire doit ętre le possesseur ou le détenteur des données visées, ou tout au moins en avoir le contrôle, c'est-ŕ-dire avoir un pouvoir de disposition, en fait et en droit, sur ces données. Il ressort des pičces du dossier que tel n'est pas le cas de la société recourante. 3.4.1. L'arręt cantonal retient que la société a son sičge ŕ Vernier (GE) et que son but social est "la fourniture de tous services en relation avec le support marketing, la vente d'espaces publicitaires, les relations publiques et la communication". Son associé unique est la société Facebook Global II LLC, ŕ Dover (USA). La cour cantonale s'est ensuite fondée sur les informations disponibles sur la plateforme (aide-mémoire sur la politique d'utilisation des données, leur utilisation ainsi que sur le ciblage des publicités). Elle considčre que la société recourante traite des données personnelles ŕ des fins de vente d'espaces publicitaires et qu'elle serait habilitée ŕ ce titre ŕ recevoir des injonctions de la part des autorités suisses dčs lors qu'elle exerçait une activité concrčte en Suisse. La jurisprudence sur laquelle se fonde la cour cantonale, notamment l'ATF 138 II 346, se rapporte ŕ une cause de droit public relative ŕ la protection des données: la société suisse impliquée était en lien direct avec l'activité concernant Google Street View (en particulier la production et le traitement des images, le traitement des demandes d'effacement), étant toutefois précisé que l'on ne pouvait retenir un rapport de représentation entre les sociétés suisse et américaine, raison pour laquelle les recommandations ont été adressées aux deux sociétés (consid. 4 non publié). Cette jurisprudence de droit public ne saurait s'appliquer en matičre pénale lorsqu'une autorité de poursuite exige non pas la rectification de données personnelles traitées par la société elle-męme, mais la production de preuves en application de l'art. 265 CPP. Dans ce contexte, la détention des preuves requises constitue l'élément déterminant. 3.4.2. Aucun des documents sur lesquels s'appuie la cour cantonale ne permet d'affirmer que la société recourante serait effectivement titulaire des données réclamées par le Ministčre public. L'arręt attaqué retient au contraire lui-męme que la recourante n'est "peut-ętre pas titulaire des informations litigieuses de façon autonome". Cela est confirmé par les indications des recourants, qui se fondent sur différentes pičces figurant au dossier. Il en ressort que le service Facebook est contrôlé par des sociétés américaine et irlandaise totalement distinctes de la société recourante. Selon un affidavit d'une responsable de la protection des données de Facebook Irlande, cette derničre est seule partenaire contractuelle avec les utilisateurs de Facebook situés hors des Etats-unis et du Canada; elle est également seule ŕ contrôler les données personnelles de ces męmes utilisateurs. Les "Conditions de services", également produites par les recourants, confirment cette déclaration, de męme que le courriel adressé au Ministčre public par Facebook Irlande elle-męme, le 25 aoűt 2015. Il apparaît ainsi que la société suisse ne dispose pas d'un accčs direct ou d'une quelconque maîtrise sur les données relatives au service. 3.4.3. Quant au pouvoir de représentation que la cour cantonale impute ŕ la société recourante, il ne peut pas ętre reconnu dans le cadre d'une procédure pénale nécessitant l'accčs ŕ des données personnelles. Les sociétés suisse et irlandaise n'ont pas de liens entre elles et on ne voit pas ŕ quel titre la société suisse pourrait obtenir des sociétés étrangčres la production des renseignements requis par le Ministčre public. Ce dernier n'a dčs lors d'autre choix que de s'adresser par voie d'entraide judiciaire aux autorités irlandaises pour obtenir les renseignements désirés (cf. consid. 3.2 ci-dessus; ATF 141 IV 108 consid. 5.3 p. 212). 4. Sur le vu de ce qui précčde, les recours sont admis. L'arręt attaqué est annulé, de męme que l'ordonnance du Ministčre public du 11 novembre 2015. Conformément ŕ l'art. 66 al. 4 LTF, il n'est pas perçu de frais judiciaires. L'Etat de Vaud versera toutefois une indemnité de dépens aux différents recourants, pour la procédure fédérale (art. 68 al. 1 LTF). La cause doit en outre ętre renvoyée ŕ la cour cantonale pour nouvelle décision sur les frais et dépens de l'instance cantonale. Par ces motifs, le Tribunal fédéral prononce : 1. Les causes 1B 185/2016, 186/2016 et 188/2016 sont jointes. 2. Les recours sont admis. L'arręt attaqué est annulé, de męme que l'ordonnance de production de pičces du Ministčre public du 11 novembre 2015. La cause est renvoyée ŕ la cour cantonale pour nouvelle décision sur les frais et dépens. 3. Les indemnités de dépens suivantes sont mises ŕ la charge du canton de Vaud: - 1'000 fr. en faveur de A.________; - 1'000 fr. en faveur de B.________; - 2'000 fr. en faveur de Facebook Switzerland Sŕrl. 4. Il n'est pas perçu de frais judiciaires. 5. Le présent arręt est communiqué aux mandataires des recourants, au Ministčre public central du canton de Vaud, Division criminalité économique, au mandataire de C.________ et au Tribunal cantonal du canton de Vaud, Chambre des recours pénale. Lausanne, le 16 novembre 2016 Au nom de la Ire Cour de droit public du Tribunal fédéral suisse Le Président : Fonjallaz Le Greffier : Kurz