Big Brother Watch et autres c. Royaume-Uni

Avrupa İnsan Hakları Mahkemesi

Karar Metni

Note d’information sur la jurisprudence de la Cour 221

Août-Septembre 2018

Big Brother Watch et autres c. Royaume-Uni - 58170/13, 62322/14 et 24960/15

Arrêt 13.9.2018 [Section I]

Article 35

Article 35-1

Épuisement des voies de recours internes

Recours interne effectif

Effectivité d’un recours devant la Commission des pouvoirs d'enquête concernant la conformité générale à la Convention d’un régime de surveillance : recevable

Article 8

Article 8-1

Respect de la vie privée

Conformité à la Convention d’un régime de surveillance secrète, notamment de l’interception massive de communications vers l’extérieur : violations, non-violation

Article 10

Article 10-1

Liberté d'expression

Protection insuffisante de matériaux journalistiques visés par des systèmes de surveillance électronique : violations

[Cette affaire a été renvoyée devant la Grande Chambre le 4 février 2019]

En fait – Les requérants, à savoir un certain nombre de sociétés, d’entités caritatives, d’organisations et d’individus à l’origine de trois requêtes auprès de la Cour, se plaignaient du champ et de la portée des programmes de surveillance électronique mis en œuvre par le gouvernement britannique. L’ensemble des requérants estimaient que, compte tenu de la nature de leurs activités, leurs communications électroniques avaient probablement été interceptées par les services de renseignements britanniques, obtenues par lesdits services après interception par des États étrangers, et/ou obtenues par les autorités britanniques auprès de fournisseurs de services de communication (FSC).

Ils mettaient en doute la compatibilité avec l’article 8 de la Convention de trois systèmes discrets : le système d’interception massive des communications fondé sur l’article 8(4) de la loi portant réglementation des pouvoirs d’enquête (« la LRPE ») ; le système de partage de renseignements ; le système d’acquisition des données de communication basé sur le chapitre II de la LRPE.

Chacun des requérants de la troisième affaire porta plainte auprès de la Commission des pouvoirs d’enquête (CPE), alléguant la violation des articles 8, 10 et 14 de la Convention. Concernant les interceptions de communications externes en application d’un mandat délivré sur la base de l’article 8(4) de la LRPE, la CPE constata que le régime et les garanties présentaient une conformité suffisante aux exigences que la Cour européenne avait formulées dans Weber et Saravia c. Allemagne (déc.) pour que l’ingérence fût « prévue par la loi » aux fins de l’article 8. La CPE décela toutefois deux atteintes d’ordre « technique » à l’article 8 : d’une part, la conservation pendant une durée supérieure à celle autorisée de matériel intercepté de manière légale et, d’autre part, le non-respect de la procédure appropriée pour la sélection à des fins d’examen. Les requérants des première et deuxième affaires n’ont pas porté plainte auprès de la CPE.

En droit

Article 35 (épuisement des voies de recours internes) : La CPE est une commission spécialisée qui a compétence exclusive pour l’examen des plaintes alléguant une ingérence illicite dans les communications en conséquence d’une conduite visée par la LRPE. La CPE examine à la fois la conformité générale à la Convention du système d’interception en cause et la question spécifique de savoir s’il y a eu violation des droits de tel ou tel plaignant. Les acteurs impliqués dans l’autorisation et l’exécution d’un mandat d’interception doivent communiquer à la CPE tous les documents dont elle pourrait avoir besoin, y compris ceux relatifs à un dispositif interne de traitement des données qui ne peuvent pas être rendus publics pour des raisons de sécurité nationale, que ces documents étayent ou compromettent leur défense. La CPE a toute latitude pour tenir des audiences, publiques lorsque c’est possible ; lorsque l’audience a lieu à huis clos, elle peut désigner un « conseil auprès de la commission », qui formulera des observations au nom des plaignants qui ne peuvent pas être représentés. Lorsqu’elle se prononce sur une plainte, la CPE peut allouer une indemnité et prendre toute autre décision qu’elle juge appropriée, notamment celle d’infirmer ou d’annuler un mandat et d’exiger la destruction de tout enregistrement. Lorsqu’elle s’est penchée sur la plainte formée par les requérants de la troisième affaire, la CPE a fait usage de tous ces pouvoirs en leur faveur.

Compte tenu de la manière dont la CPE a exercé ses pouvoirs au cours des quinze années passées, mais aussi de l’impact bien réel de ses décisions sur le droit et la pratique internes, les préoccupations que la Cour avait exprimées dans l’affaire Kennedy c. Royaume-Uni au sujet de l’effectivité de la CPE comme voie de recours pour les griefs relatifs à la conformité générale à la Convention d’un régime de surveillance secrète ne sont plus valables.

Il apparaît à la Cour que, lorsque la CPE déclare qu’un régime de surveillance est incompatible avec la Convention, le gouvernement veille à ce que toute défaillance soit traitée et redressée. Ainsi, si les éléments soumis par le gouvernement défendeur ne démontrent peut-être pas encore l’existence d’une « obligation contraignante » lui imposant de remédier à toute incompatibilité constatée par la CPE, la Cour admet néanmoins que la pratique consistant à donner effet à ses conclusions sur l’incompatibilité du droit interne avec la Convention est suffisamment certaine pour lui permettre d’établir l’effectivité du recours en question.

La Cour reconnaît toutefois que, à l’époque où les requérants des première et deuxième affaires ont introduit leurs requêtes, on ne pouvait leur reprocher de s’appuyer sur l’affaire Kennedy pour chercher à justifier l’allégation selon laquelle la CPE n’était pas une voie de recours effective pour un grief relatif à la conformité générale d’un régime de surveillance à la Convention. La Cour estime en conséquence qu’il existait des circonstances particulières qui soustrayaient ces requérants à l’obligation de soumettre leurs plaintes d’abord à la CPE.

Article 8

a) Le système fondé sur l’article 8(4) de la LRPE

i. Principes généraux relatifs aux mesures secrètes de surveillance, notamment l’interception de communications – Dans sa jurisprudence sur l’interception de communications dans le cadre d’une enquête pénale, la Cour a défini les six exigences minimales suivantes que la législation doit énoncer pour éviter les abus de pouvoir : la nature des infractions susceptibles de donner lieu à un mandat d’interception ; la définition des catégories de personnes susceptibles de voir intercepter leurs communications ; la limite à la durée de l’interception ; la procédure à suivre pour l’examen, l’utilisation et la conservation des données recueillies ; les précautions à prendre pour la communication des données à d’autres parties ; les circonstances dans lesquelles peut ou doit s’opérer l’effacement ou la destruction des données interceptées. Dans l’affaire Roman Zakharov c. Russie [GC], la Cour a confirmé que ces six exigences minimales s’appliquent également dans les affaires où l’interception a eu lieu pour des raisons de sécurité nationale ; toutefois, pour déterminer si la législation en cause porte atteinte à l’article 8, la Cour doit aussi prendre en compte les modalités du contrôle de l’application de mesures de surveillance secrète, l’existence éventuelle d’un mécanisme de notification et les recours prévus en droit interne.

L’examen et le contrôle des mesures de surveillance secrète peuvent intervenir à trois stades : lorsqu’on ordonne la surveillance, pendant qu’on la mène ou après qu’elle a cessé. Concernant les deux premières phases, la nature et la logique mêmes de la surveillance secrète commandent d’exercer à l’insu de l’intéressé non seulement la surveillance comme telle, mais aussi le contrôle qui l’accompagne. Puisque l’on empêchera donc forcément l’intéressé d’introduire un recours effectif ou de prendre une part directe à un contrôle quelconque, il se révèle indispensable que les procédures existantes procurent en elles-mêmes des garanties appropriées et équivalentes sauvegardant les droits de l’individu. En un domaine où les abus sont potentiellement si aisés dans des cas individuels et pourraient entraîner des conséquences préjudiciables pour la société démocratique tout entière, il est en principe souhaitable que le contrôle soit confié à un juge, car le pouvoir judiciaire offre les meilleures garanties d’indépendance, d’impartialité et de procédure régulière.

Quant au troisième stade, c’est-à-dire lorsque la surveillance a cessé, la question de la notification a posteriori de mesures de surveillance est indissolublement liée à celle de l’effectivité des recours judiciaires et donc à l’existence de garanties effectives contre les abus des pouvoirs de surveillance. La personne concernée ne peut guère, en principe, contester rétrospectivement devant la justice la légalité des mesures prises à son insu, sauf si on l’avise de celles-ci ou si – autre cas de figure –, soupçonnant qu’elle a fait l’objet d’une surveillance, la personne a la faculté de saisir les tribunaux, ceux-ci étant compétents même si le sujet de la surveillance n’a pas été informé de cette mesure.

ii. Le critère à appliquer – La Cour rejette l’argument des requérants selon lequel il faudrait « actualiser » les six exigences minimales susmentionnées en exigeant : d’une part, l’existence de preuves objectives de soupçons raisonnables liés aux personnes au sujet desquelles des données sont recherchées, et ce avant l’autorisation judiciaire indépendante des mandats d’interception ; d’autre part, la notification ultérieure à une personne ayant fait l’objet d’une surveillance.

Il est clair que l’interception massive constitue un très bon moyen d’atteindre les buts légitimes poursuivis, compte tenu en particulier de l’ampleur actuelle de la menace liée au terrorisme international ainsi qu’aux infractions graves. L’interception massive est par définition non ciblée et, en exigeant qu’il y ait des « soupçons raisonnables », on rendrait impossible le fonctionnement d’un tel système. De même, imposer une « notification ultérieure » supposerait l’existence de cibles clairement définies pour la surveillance, ce qui ne s’applique tout simplement pas au système d’interception massive. Pour la Cour, l’autorisation d’un juge représente certes une garantie importante, voire une « bonne pratique », mais elle ne peut en elle-même être nécessaire et suffisante pour garantir le respect de l’article 8 de la Convention. Il convient plutôt de prendre en compte le fonctionnement effectif du système d’interception, notamment les garde-fous à l’exercice du pouvoir, et l’existence ou l’absence de toute indication relative à un abus réel.

En conséquence, la Cour examinera la justification de toute ingérence en se référant aux six exigences minimales, et les adaptera s’il y a lieu de manière à prendre en considération le fonctionnement d’un système d’interception massive. Elle tiendra également compte des facteurs complémentaires pertinents qu’elle a établis dans Roman Zakharov.

iii. Le champ d’application des mesures de surveillance secrète – Se penchant sur les deux premières exigences minimales, la Cour estime que la disposition juridique pertinente est suffisamment claire, car elle donne aux citoyens une bonne indication des circonstances et des conditions dans lesquelles un mandat fondé sur l’article 8(4) est susceptible d’être délivré. Aucun élément ne donne à penser que le ministre a autorisé la délivrance de mandats sans examen approprié et convenable. La procédure d’autorisation est soumise à un contrôle indépendant et la CPE a une compétence étendue pour examiner toute plainte relative à une interception illégale. La Cour admet que les dispositions sur la durée et le renouvellement d’un mandat d’interception, les dispositions sur la conservation, la consultation, l’examen et l’utilisation de données interceptées, les dispositions sur la procédure à suivre pour la transmission de données interceptées à d’autres parties et les dispositions sur l’effacement et la destruction de matériel intercepté sont suffisamment claires pour offrir des garanties adéquates contre les abus.

Concernant la sélection des communications pour examen, une fois que les communications ont été interceptées et filtrées, celles qui n’ont pas été écartées en quasi temps réel font l’objet de nouvelles recherches : d’abord par l’application automatique, par la voie informatique, de sélecteurs simples (adresses électroniques ou numéros de téléphone, par exemple) et de critères de recherche initiaux ; puis par le recours à des recherches complexes. Les sélecteurs et les critères de recherche n’ont pas à être rendus publics ; ils n’ont pas non plus forcément besoin d’être énumérés dans le mandat d’interception. Les critères de recherche et les sélecteurs utilisés pour filtrer les communications interceptées doivent néanmoins être soumis à un contrôle indépendant, garantie que le système fondé sur l’article 8(4) ne semble pas offrir. En pratique, le seul contrôle indépendant du processus de filtrage et de sélection des données interceptées pour examen est l’audit effectué a posteriori par le commissaire pour l’interception des communications et, si une demande lui en est faite, la CPE. Dans un régime d’interception massive, où le pouvoir discrétionnaire d’intercepter n’est pas restreint de manière notable par les termes du mandat, les garanties applicables au stade du filtrage et de la sélection pour examen doivent nécessairement être plus solides.

La Cour constate que les services de renseignements britanniques prennent au sérieux les obligations qui résultent pour eux de la Convention et qu’ils n’abusent pas de leurs pouvoirs découlant de l’article 8(4) de la LRPE. L’examen de ces pouvoirs permet néanmoins de mettre en évidence deux grands motifs de préoccupation : premièrement, l’absence de contrôle sur l’ensemble du processus de sélection, notamment en ce qui concerne le choix des porteurs pour l’interception, les sélecteurs et les critères de recherche utilisés pour filtrer les communications interceptées, et la sélection des éléments à faire examiner par un analyste ; deuxièmement, l’absence de véritables garanties applicables à la sélection des données de communication pertinentes à examiner. Compte tenu de ces défaillances, la Cour juge que le système fondé sur l’article 8(4) ne satisfait pas à l’exigence relative à la « qualité de la loi » et n’est pas à même de limiter l’« ingérence » à ce qui est « nécessaire dans une société démocratique ».

Conclusion : violation (cinq voix contre deux).

b) Le système de partage de renseignements – C’est la première fois que la Cour est appelée à se pencher sur la question de la compatibilité avec la Convention d’un système de partage de renseignements. L’ingérence en cause n’est pas provoquée par l’interception des communications elle-même ; elle réside plutôt dans la réception des éléments interceptés puis dans leur conservation, leur examen et leur utilisation par les services de renseignements de l’État défendeur. Pour qu’il n’y ait pas d’abus de pouvoir, les circonstances dans lesquelles il est possible de demander des éléments interceptés auprès de services de renseignements étrangers doivent être indiquées dans le droit interne. Si les circonstances permettant de former pareille demande peuvent ne pas être identiques aux circonstances dans lesquelles l’État peut procéder lui-même à l’interception, elles doivent néanmoins être suffisamment limitées pour empêcher – autant que possible – les États d’utiliser ce pouvoir pour contourner le droit interne ou leurs obligations découlant de la Convention.

La Cour constate qu’il existe une base juridique permettant de demander des renseignements auprès de services de renseignements étrangers, que ce droit est suffisamment accessible et qu’il poursuit divers buts légitimes. En outre, la Cour considère que la législation et le code nationaux pertinents indiquent avec une clarté suffisante la procédure permettant de demander soit l’interception soit la transmission de matériel intercepté auprès de services de renseignements étrangers. Rien n’indique l’existence de défaillances importantes dans l’application et le fonctionnement du système.

Conclusion : non-violation (cinq voix contre deux).

c) Le système fondé sur le chapitre II de la LRPE – Le système fondé sur le chapitre II permet à certaines autorités publiques d’obtenir des données de communication auprès de fournisseurs de services de communication (FSC). Le droit interne, tel qu’interprété par les autorités nationales à la lumière des arrêts de la Cour de justice de l’Union européenne (CJUE), exige que tout système permettant aux autorités d’avoir accès à des données conservées par les FSC limite l’accès au but consistant à lutter contre les « infractions graves », et que l’accès soit soumis au contrôle préalable d’un tribunal ou d’un organe administratif indépendant. Étant donné que le système fondé sur le chapitre II permet l’accès à des données conservées aux fins de la lutte contre les infractions (et non les « infractions graves ») et que, sauf dans les cas où l’accès a été demandé aux fins d’établir quelle est la source d’un journaliste, cet accès n’est pas soumis au contrôle préalable d’un tribunal ou d’un organe administratif indépendant, on ne saurait dire que ce système est prévu par la loi au sens de l’article 8 de la Convention.

Conclusion : violation (six voix contre une).

Article 10 : Les requérants de la deuxième affaire, une journaliste et une organisation de collecte d’informations, se plaignaient de l’atteinte à la confidentialité de matériel journalistique causée par la mise en œuvre des systèmes fondés sur l’article 8(4) et sur le chapitre II.

a) Le système fondé sur l’article 8(4) de la LRPE – Les mesures de surveillance fondées sur le régime de l’article 8(4) ne visent pas à contrôler les journalistes ni à découvrir leurs sources. En général, c’est seulement en examinant les communications interceptées que les autorités savent si les communications d’un journaliste ont été interceptées. L’interception de telles communications ne peut en elle-même être qualifiée d’atteinte particulièrement grave à la liberté d’expression. Toutefois, l’ingérence sera plus grave si ces communications sont sélectionnées pour examen, et elle ne sera « justifiée par un impératif prépondérant d'intérêt public » que si elle va de pair avec des garanties suffisantes liées, d’une part, aux circonstances dans lesquelles ces communications peuvent être sélectionnées délibérément pour examen et, d’autre part, à la protection de la confidentialité lorsqu’elles ont été sélectionnées, délibérément ou non, pour examen.

Il est particulièrement préoccupant qu’aucune obligation ne limite le pouvoir des services de renseignements de faire des recherches sur du matériel – journalistique ou autre – confidentiel (par exemple en utilisant comme sélecteur l’adresse électronique d’un journaliste), ou n’impose aux analystes, dans la sélection des éléments à examiner, d’accorder une attention particulière à la question de savoir si pareil matériel est ou peut être concerné. Il apparaît en conséquence que les analystes peuvent soumettre sans restriction à un examen et à des recherches tant le contenu des échanges interceptés que les données de communication pertinentes.

Compte tenu de l’effet dissuasif qu’une ingérence supposée dans la confidentialité des communications de journalistes, en particulier de leurs sources, pourrait avoir sur la liberté de la presse, et en l’absence de tout dispositif rendu public qui limiterait la capacité des services de renseignements à rechercher et à examiner pareil matériel dans des cas autres que lorsque cela est « justifié par un impératif prépondérant d'intérêt public », la Cour conclut qu’il y a eu violation de l’article 10 de la Convention.

b) Le système fondé sur le chapitre II de la LRPE – Lorsqu’elle s’est penchée sur le grief des requérants tiré de l’article 8, la Cour a conclu que le système fondé sur le chapitre II n’était pas prévu par la loi en ce qu’il permettait l’accès à des données conservées aux fins de la lutte contre les infractions (et non les « infractions graves ») et que, sauf dans les cas où l’accès avait été demandé aux fins d’établir quelle était la source d’un journaliste, cet accès n’était pas soumis au contrôle préalable d’un tribunal ou d’un organe administratif indépendant.

La Cour reconnaît que le système fondé sur le chapitre II offre une protection renforcée lorsque des données sont recherchées aux fins de l’identification de la source d’un journaliste. Néanmoins, ces dispositions ne s’appliquent que lorsque la demande vise à l’établissement d’une source ; elles ne s’appliquent donc pas à tous les cas dans lesquels une demande vise les données de communication d’un journaliste ou dans lesquels pareille intrusion collatérale est probable. En outre, dans les cas concernant l’accès aux données de communication d’un journaliste, il n’y a pas de disposition particulière limitant l’accès au but consistant à combattre les « infractions graves ». En conséquence, la Cour estime que le système en question ne peut passer pour « prévu par la loi » au sens de l’article 10 de la Convention.

Conclusion : violations (six voix contre une).

Par ailleurs, la Cour rejette les griefs tirés de l’article 6 et de l’article 14 combiné avec les articles 8 et 10 de la Convention pour défaut manifeste de fondement.

Article 41 : aucune demande formulée pour dommage.

(Voir Weber et Saravia c. Allemagne (déc.), 54934/00, 29 juin 2006, Note d’information 88 ; Kennedy c. Royaume-Uni, 26839/05, 18 mai 2010, Note d’information 130 ; Roman Zakharov c. Russie [GC], 47143/06, 4 décembre 2015, Note d’information 191. Voir aussi Liberty et autres c. Royaume-Uni, 58243/00, 1er juillet 2008, Note d’information 110 ; Malone c. Royaume-Uni, 8691/79, 2 août 1984 ; et Ben Faiza c. France (déc.), 31446/12, 8 février 2018)

Cliquez ici pour accéder aux Notes d'information sur la jurisprudence

Full & Egal Universal Law Academy