Centrum för rättvisa c. Suède

Note d’information sur la jurisprudence de la Cour 219

Juin 2018

Centrum för rättvisa c. Suède - 35252/08

Arrêt 19.6.2018 [Section III]

Article 8

Article 8-1

Respect de la correspondance

Proportionnalité et garanties offertes par la législation suédoise sur le renseignement d’origine électromagnétique : non-violation

[Cette affaire a été renvoyée devant la Grande Chambre le 4 février 2019]

En fait – La requérante est une organisation suédoise à but non lucratif qui, dans des litiges contre l’État notamment, représente ses clients qui s’estiment victimes d’une violation de leurs droits et libertés découlant de la Convention et du droit suédois. Compte tenu de la nature de ses fonctions d’organisation non gouvernementale contrôlant attentivement les activités d’acteurs étatiques, elle estime qu’il existe un risque que ses communications par téléphonie mobile et réseaux mobiles à large bande aient été ou soient à l’avenir interceptées et examinées dans le cadre des activités liées au renseignement d’origine électromagnétique.

En droit – Article 8 : La législation litigieuse sur le renseignement d’origine électromagnétique a instauré un dispositif de surveillance secrète susceptible de toucher tout usager de téléphonie mobile et d’internet, et ce sans notification. Il n’existe aucun recours interne qui permettrait à un demandeur soupçonnant que ses communications ont été interceptées d’obtenir une décision comportant une motivation détaillée. La simple existence de la législation en cause s’analyse donc en une ingérence dans l’exercice par la requérante de ses droits découlant de l’article 8. La Cour se penche donc sur la législation pertinente telle qu’en vigueur au moment de son examen. Les mesures autorisées par le droit suédois poursuivent des buts légitimes répondant à l’intérêt de la sécurité nationale puisqu’elles concourent à la politique suédoise en matière d’affaires étrangères, de défense et de sécurité. Si les États jouissent d’une ample marge d’appréciation pour déterminer de quel type de système d’interception ils ont besoin pour protéger leur sécurité nationale, la latitude qui leur est accordée pour faire fonctionner un système d’interception est forcément plus restreinte. Dans l’affaire Roman Zakharov c. Russie [GC], la Cour a défini les garanties minimales que l’interception massive et les autres régimes d’interception doivent comporter pour être suffisamment prévisibles afin de réduire au minimum le risque d’abus de pouvoir. Adaptant ces garanties minimales lorsqu’il y a lieu pour tenir compte du fonctionnement d’un système d’interception massive qui s’intéresse uniquement aux questions de sécurité nationale, la Cour analyse l’ingérence litigieuse à partir des critères suivants :

i. L’accessibilité du droit interne – L’ensemble des dispositions juridiques concernant le renseignement d’origine électromagnétique ont fait l’objet d’une publication officielle et sont accessibles aux citoyens.

ii. La portée du renseignement d’origine électromagnétique – Les huit objectifs aux fins desquels il est possible de recourir à de telles activités de renseignement sont dûment indiqués dans la loi sur le renseignement d’origine électromagnétique. Ces activités de renseignement menées à partir de la fibre optique ne peuvent porter que sur les communications traversant la frontière suédoise par le biais de câbles appartenant à un fournisseur de services de communication. Les communications entre un expéditeur et un destinataire qui se trouvent en Suède ne peuvent pas être interceptées, que la transmission ait lieu par l’air ou par le câble. L’institut national de défense radio (« le FRA ») peut aussi intercepter des signaux dans le cadre de ses activités de développement, ce qui peut entraîner l’interception et la lecture de données non pertinentes pour le renseignement étranger ordinaire ; ces activités de développement sont toutefois essentielles au bon fonctionnement du renseignement étranger, et les informations ainsi recueillies peuvent uniquement être utilisées de manière conforme aux buts établis par la loi et les instructions applicables. Les dispositions applicables au renseignement étranger ordinaire sont aussi pertinentes pour les activités de développement et pour toute interception de données de communication. L’autorité de protection des données n’a découvert aucun élément indiquant que des données personnelles auraient été recueillies à des fins autres que celles prévues pour les activités de renseignement d’origine électromagnétique. Si la police est habilitée à émettre des instructions détaillées concernant le renseignement d’origine électromagnétique, la loi sur le renseignement étranger exclut clairement le recours au renseignement étranger pour résoudre un problème touchant à la répression ou à la prévention des infractions. La Cour estime en conséquence que la législation indique de façon suffisamment claire les possibilités accordées aux autorités compétentes d’ordonner et de mettre en œuvre des mesures de renseignement d’origine électromagnétique, ainsi que les modalités afférentes.

iii. La durée des mesures de surveillance secrète – La loi sur le renseignement d’origine électromagnétique indique clairement la période au terme de laquelle une autorisation arrive à échéance et les conditions dans lesquelles une prolongation est possible, mais non les circonstances dans lesquelles il convient de mettre fin à une interception. Une autorisation a une durée de validité maximale de six mois et une prolongation exige un contrôle portant sur la question de savoir si les conditions demeurent remplies. Bien que l’inspection du renseignement étranger n’ait pas pour tâche d’examiner chaque autorisation, elle peut décider qu’une interception doit prendre fin s’il s’avère, à l’occasion d’un contrôle, que la mesure en question n’est pas conforme à l’autorisation accordée. Les autorisations concernent la collecte de renseignements liés aux menaces pesant sur la sécurité nationale et ne visent pas des individus soupçonnés d’avoir un comportement criminel. Le FRA vérifie en permanence si les données personnelles particulières qu’il a interceptées sont encore nécessaires aux fins de ses activités liées au renseignement d’origine électromagnétique. Dès lors, les garanties en place régissent adéquatement la durée, la prolongation et l’annulation des mesures d’interception.

iv. L’autorisation des mesures de surveillance secrète – Si le représentant chargé de la protection de la vie privée ne peut ni faire appel d’une décision du tribunal sur le renseignement étranger ni signaler une irrégularité supposée aux organes de surveillance, sa présence à l’occasion d’un contrôle exercé par le tribunal compense quelque peu l’absence de transparence dans la procédure et les décisions de cette juridiction. Par ailleurs, les activités de renseignement d’origine électromagnétique du FRA font l’objet d’un système d’autorisation préalable : pour toute mission de collecte de renseignements, le FRA doit en effet soumettre à un examen indépendant une demande d’autorisation d’effectuer une surveillance. La tâche consistant à rechercher si la mission est compatible avec la législation applicable et si la collecte de renseignements est proportionnée à l’atteinte aux droits de la personne qui en résulte est confiée à un organe dont les présidents sont des juges ou d’anciens juges. En outre, le contrôle du tribunal pour le renseignement étranger est étendu, puisque dans ses demandes le FRA doit préciser non seulement la demande de mission et le besoin de renseignements mais également les vecteurs électromagnétiques auxquels un accès est nécessaire et les termes de recherche qui seront employés. Le contrôle juridictionnel assuré par ledit tribunal est d’une importance cruciale en ce qu’il limite le pouvoir discrétionnaire du FRA en interprétant les possibilités d’ordonner et de mettre en œuvre des mesures de renseignement d’origine électromagnétique. Enfin, le FRA lui-même peut décider d’accorder une autorisation si une demande d’autorisation auprès du tribunal en question risque d’engendrer du retard ou d’autres inconvénients importants en ce qui concerne l’un des buts spécifiés du renseignement d’origine électromagnétique. Cependant, pareille décision doit être suivie d’une notification immédiate audit tribunal puis d’un réexamen rapide par celui-ci lorsque l’autorisation risque d’être modifiée ou révoquée. Ainsi, les dispositions et procédures relatives au système d’autorisation judiciaire préalable offrent, globalement, d’importantes garanties contre les abus.

v. Les procédures à suivre pour la conservation, la consultation, l’examen, l’utilisation et la destruction des données interceptées – Les employés du FRA qui traitent les données personnelles disposent à cet effet d’une habilitation sécurité ; si les données personnelles sont couvertes par le secret, ils doivent en respecter la confidentialité. Ils sont tenus de gérer les données personnelles de manière sûre et s’exposent à des sanctions pénales en cas de mauvaise gestion de celles-ci. En outre, le FRA doit veiller à ce que les données personnelles soient collectées uniquement dans certains buts expressément mentionnés et justifiés, déterminés par les orientations que des instructions donnent aux activités de renseignement étranger. Les données personnelles traitées doivent également être adéquates et pertinentes au regard du but poursuivi, et rien de plus que ce qui est nécessaire à cette fin ne doit être traité. Tous les efforts raisonnables doivent être déployés afin de corriger, bloquer et détruire les données personnelles qui sont incorrectes ou incomplètes au regard de ce but. Plusieurs dispositions traitent des situations dans lesquelles des données interceptées doivent être détruites. Si le FRA a besoin de conserver des données brutes avant un traitement manuel, la Cour souligne qu’il est important de supprimer pareilles données dès qu’il s’avère qu’elles n’ont plus d’intérêt aux fins d’une mission. En bref, la législation offre des garanties adéquates contre les abus dans le traitement de données personnelles et contribue ainsi à protéger les droits des individus.

vi. Les conditions dans lesquelles les données interceptées peuvent être communiquées à d’autres parties – La législation n’indique pas que l’existence d’un éventuel préjudice pour la personne concernée est à prendre en considération mais signale uniquement, de façon très générale, que les données peuvent être communiquées à « d’autres États ou à des organisations internationales », et aucune disposition n’oblige le destinataire à protéger les données au moyen de garanties semblables à celles applicables en droit suédois. De plus, la situation dans laquelle des données peuvent être communiquées – lorsque cela est nécessaire à des fins de « défense internationale et de coopération en matière de sécurité » – est l’objet d’une ample marge discrétionnaire. Si ces facteurs font quelque peu craindre un risque d’atteintes aux droits des individus, ils sont toutefois suffisamment contrebalancés par les éléments liés au contrôle.

vii) Le contrôle de l’application de mesures de surveillance secrète – La Cour ne voit aucune raison de mettre en doute l’indépendance de l’inspection du renseignement étranger. Le contrôle de l’inspection est efficace, il est soumis à la surveillance du public et il possède un intérêt particulier s’agissant de garantir que les activités relatives au renseignement électromagnétique se déroulent de manière à offrir des garanties adéquates contre les abus. En outre, si l’autorité de protection des données estime que des données personnelles sont traitées ou pourraient être traitées de manière illégale, elle prend une mesure corrective en adressant des remarques au FRA ; elle peut également saisir un tribunal administratif d’une demande de destruction des données personnelles traitées. Le contrôle assuré par l’inspection du renseignement étranger et l’autorité de protection des données satisfait de façon générale aux exigences en matière de contrôle. De plus, les médiateurs parlementaires et le chancelier de la Justice assument des responsabilités générales de contrôle à l’égard du FRA.

viii. La notification des mesures de surveillance secrète et les recours disponibles – Si l’obligation d’adresser une notification à la personne visée par des mesures de surveillance secrète concerne les personnes physiques et n’est donc pas applicable à la requérante, et puisqu’en tout état de cause cette obligation n’a pas de portée concrète en raison du secret, la Cour estime pertinent d’examiner la question de la notification en même temps que celle des recours disponibles en Suède.

Les recours permettant de se plaindre au sujet d’une surveillance secrète ne comprennent pas la saisine d’un tribunal – excepté pour faire appel d’une décision du FRA sur une divulgation et des mesures correctives – et la Cour les juge ineffectifs. De plus, il ne semble pas y avoir de possibilité pour une personne d’obtenir des informations sur le point de savoir si ses communications ont bien été interceptées ou, de manière générale, de recevoir une décision motivée. Néanmoins, une personne dispose de plusieurs moyens pour faire vérifier la légalité de mesures prises dans le cadre du système de renseignement d’origine électromagnétique : elle peut notamment adresser des demandes à l’inspection du renseignement étranger, aux médiateurs parlementaires et au chancelier de la Justice. Bien qu’il ne fournisse pas une réponse complète et publique aux objections soulevées par un plaignant, l’ensemble des recours doit être tenu pour suffisant dans le présent contexte. Pour parvenir à cette conclusion, la Cour accorde de l’importance aux première étapes du contrôle du système, notamment l’examen minutieux que le tribunal du renseignement étranger effectue sur les demandes formées par le FRA pour être autorisé à mener des activités de renseignement électromagnétique et le contrôle complet et en partie public exercé par divers organes, en particulier l’inspection du renseignement étranger.

***

En somme, bien que des améliorations soient possibles dans certains domaines, le système suédois de renseignement d’origine électromagnétique, examiné in abstracto, ne fait pas apparaître de défaillances majeures dans sa structure et son fonctionnement, lesquels sont proportionnés au but poursuivi, et il offre des garanties adéquates et suffisantes contre l’arbitraire et le risque d’abus. Cette conclusion n’empêche pas d’examiner la responsabilité de l’État au regard de la Convention si, par exemple, un requérant a eu connaissance d’une interception effective.

Conclusion : non-violation (unanimité).

(Voir aussi Kennedy c. Royaume-Uni, 26839/05, 18 mai 2010, Note d’information 130, et Roman Zakharov c. Russie [GC], 47143/06, 4 décembre 2015, Note d’information 191)

© Conseil de l’Europe/Cour européenne des droits de l’homme
Rédigé par le greffe, ce résumé ne lie pas la Cour.

Cliquez ici pour accéder aux Notes d'information sur la jurisprudence

Full & Egal Universal Law Academy