Note d’information sur la jurisprudence de la Cour 251

Mai 2021

Big Brother Watch et autres c. Royaume-Uni [GC] - 58170/13, 62322/14 et 24960/15

Arrêt 25.5.2021 [GC]

Article 8

Article 8-1

Respect de la vie privée

Conformité à la Convention d’un régime de surveillance secrète, notamment de l’interception en masse de communications et du partage de renseignements :violation, non-violation

Article 10

Article 10-1

Liberté d'expression

Protection insuffisante d’éléments journalistiques confidentiels visés par des programmes de surveillance électronique : violation

[Ce résumé concerne également l'arrêt Centrum för rättvisa c. Suède [GC], n° 35252/08, 25 mai 2021]

En fait – Dans l’affaire Big Brother Watch et autres, les requérantes, des personnes morales et physiques, se plaignaient de la portée et de l’ampleur des programmes de surveillance électronique mis en œuvre par le gouvernement britannique. Dans un arrêt rendu le 13 septembre 2018 (Note d’information 221), la chambre a jugé que le régime d’interception en masse de communications relevant de l’article 8 § 4 de la loi portant réglementation des pouvoirs d’enquête (« la RIPA ») et le régime d’acquisition de données de communication en vertu du chapitre II de la RIPA avaient emporté violation des articles 8 et 10. Elle a conclu à la non-violation de l’article 8 à raison du régime d’échange de renseignements.

Dans l’affaire Centrum för rättvisa, la requérante, une organisation non gouvernementale, estimait qu’il y avait un risque que ses communications téléphoniques et Internet sur les réseaux mobiles aient été ou soient à l’avenir interceptées et examinées dans le cadre des activités de renseignement d’origine électromagnétique (ROEM). En Suède, l’Institut national de la défense radio (« le FRA ») est autorisé à mener des activités de ROEM au moyen d’interceptions en masse de communications. Dans un arrêt rendu le 19 juin 2018 (Note d’information 219), une chambre de la Cour a conclu à l’unanimité à la non-violation de l’article 8.

Ces deux affaires ont été renvoyées devant la Grande Chambre à la demande des requérantes.

En droit –

L’interception en masse de communications –

Article 8 :

i) Existence d’une ingérence – L’article 8 s’applique à chacune des étapes du processus d’interception en masse et l’intensité de l’ingérence dans l’exercice du droit au respect de la vie privée augmente au fur et à mesure que le processus d’interception en masse franchit les étapes suivantes : 1) interception et rétention initiale des communications et des données de communication associées ; 2) application de sélecteurs spécifiques aux communications retenues et aux données de communication associées ; 3) examen par des analystes des communications sélectionnées et des données de communication associées ; et 4) rétention subséquente des données et utilisation du « produit final », notamment partage de ces données avec des tiers.

ii) Nécessité de développer la jurisprudence – Dans les affaires Weber et Saravia et Liberty et autres, la Cour a appliqué les garanties minimales énoncées dans sa jurisprudence relative aux interceptions ciblées. Au vu des progrès technologiques qui sont intervenus, l’étendue de l’activité de surveillance examinée dans ces deux affaires aurait toutefois été bien plus restreinte. Surtout, la Cour n’a pas expressément tenu compte du fait que les interceptions ciblées et l’interception en masse présentent un certain nombre de différences importantes. Contrairement aux interceptions ciblées, l’interception en masse vise généralement les communications internationales et elle est essentiellement utilisée pour recueillir des informations dans le cadre du renseignement extérieur et pour détecter de nouvelles menaces provenant d’acteurs connus ou inconnus. Lorsqu’un individu en particulier est « ciblé », on ne surveille pas ses appareils ; on applique plutôt des sélecteurs forts aux communications interceptées en masse par les services de renseignement.

iii) Critères à appliquer aux régimes d’interception en masse – Si les garanties déjà énoncées par la Cour relativement aux régimes d’interception ciblée constituent un cadre utile, il y a lieu de les adapter pour prendre en compte les caractéristiques particulières de l’interception en masse, dont le but est en principe préventif alors que les interceptions ciblées s’inscrivent le plus souvent dans le contexte d’une enquête portant sur une cible précise ou une infraction identifiable. Ainsi, l’exigence de définir clairement en droit interne les catégories de personnes dont les communications sont susceptibles d’être interceptées et la nature des infractions susceptibles de donner lieu à un mandat d’interception ne sont pas aisées à appliquer à un régime d’interception en masse. Il en va de même pour l’exigence d’un « soupçon raisonnable ». Il est néanmoins impératif que le droit interne énonce avec suffisamment de clarté et de détail les motifs pour lesquels une interception en masse pourrait être autorisée et les circonstances dans lesquelles les communications d’un individu pourraient être interceptées. Par ailleurs, dans le contexte de l’interception en masse, la supervision et le contrôle des mesures revêtent une importance d’autant plus grande que le risque d’abus et le besoin légitime d’opérer dans le secret sont inhérents à ce type d’interception. Il convient également de tenir compte de l’intensité croissante de l’ingérence dans l’exercice par l’individu de ses droits protégés par l’article 8 au fur et à mesure que l’opération passe par les étapes identifiées, ce qui signifie que c’est à la fin du processus, lorsque des informations relatives à une personne en particulier sont analysées ou que le contenu des communications est examiné par un analyste, que la présence de garanties est plus que jamais nécessaire. Le processus doit donc être encadré par des « garanties de bout en bout », c’est‑à‑dire qu’au niveau national, la nécessité et la proportionnalité des mesures prises devraient être appréciées à chaque étape du processus, que les activités d’interception en masse devraient être soumises à l’autorisation d’une autorité indépendante dès le départ – dès la définition de l’objet et de l’étendue de l’opération – et que les opérations devraient faire l’objet d’une supervision et d’un contrôle indépendant opéré a posteriori. Ces facteurs sont des garanties fondamentales, qui constituent la pierre angulaire de tout régime d’interception en masse conforme aux exigences de l’article 8.

La Cour n’est pas convaincue que l’acquisition des données de communication associées dans le cadre d’une interception en masse soit nécessairement moins intrusive que l’acquisition du contenu des communications. L’interception et la conservation des données de communication associées, ainsi que les recherches effectuées sur celles-ci, doivent donc être analysées au regard des mêmes garanties que celles applicables au contenu des communications.

Lorsqu’elle apprécie globalement le fonctionnement du régime, la Cour recherchera principalement si le cadre juridique interne contient des garanties suffisantes contre les abus et si le processus est assujetti à des « garanties de bout en bout ». Ce faisant, elle tiendra compte de la mise en œuvre effective du système d’interception, notamment des freins et contrepoids à l’exercice du pouvoir et de l’existence ou de l’absence de signes d’abus réels. Pour déterminer si l’État défendeur a agi dans les limites de sa marge d’appréciation, la Cour devra prendre en compte un groupe plus large de critères que les six garanties Weber. Plus précisément, en examinant conjointement les critères selon lesquels la mesure doit être « prévue par la loi » et « nécessaire », elle recherchera si le cadre juridique national définit clairement :

1. Les motifs pour lesquels l’interception en masse peut être autorisée ;

En principe, plus les motifs sont étendus, plus le risque d’abus est important. Toutefois, le fait de restreindre les motifs et/ou de les définir plus étroitement ne peut constituer une garantie effective contre les abus que s’il existe d’autres garde-fous garantissant que l’interception en masse ne sera permise que pour des motifs autorisés et seulement si elle est nécessaire et proportionnée au but à atteindre. La question connexe de savoir s’il existe des garde-fous suffisants pour garantir que l’interception est nécessaire et justifiée est donc aussi importante que le degré de précision de la définition des motifs pour lesquels une interception peut être autorisée. En conséquence, la Cour estime qu’un régime qui autorise la mise en œuvre d’une interception en masse pour des motifs relativement étendus peut néanmoins satisfaire aux exigences de l’article 8 de la Convention à condition que le système adopté comporte des garanties contre les abus qui, prises dans leur ensemble, soient suffisantes pour compenser cette déficience.

2. Les circonstances dans lesquelles les communications d’un individu peuvent être interceptées ;

3. La procédure d’octroi d’une autorisation ;

L’interception en masse devrait être autorisée par un organe indépendant du pouvoir exécutif, sans être nécessairement judiciaire. Cet organe devrait être informé à la fois du but poursuivi par l’interception et des canaux de transmission ou des voies de communication susceptibles d’être interceptés. Cela lui permettrait d’apprécier la nécessité et la proportionnalité de l’opération d’interception en masse ainsi que de vérifier si la sélection des canaux est nécessaire et proportionnée.

L’utilisation de sélecteurs – et en particulier de sélecteurs forts – est l’une des étapes les plus importantes du processus d’interception en masse puisqu’il s’agit du moment où les communications d’un individu déterminé sont susceptibles d’être ciblées par les services de renseignement. La Cour admet qu’inclure tous les sélecteurs dans l’autorisation ne serait probablement pas faisable en pratique. Toutefois, l’autorisation devrait à tout le moins indiquer les types ou catégories de sélecteurs à utiliser. Par ailleurs, des garanties renforcées devraient s’appliquer lorsque les services de renseignement emploient des sélecteurs forts se rapportant à des personnes identifiables. Les services de renseignement devraient être tenus de justifier – au regard des principes de nécessité et de proportionnalité – l’utilisation de chaque sélecteur fort, et cette justification devrait être consignée scrupuleusement et soumise à une procédure d’autorisation interne préalable comportant une vérification distincte et objective.

4. Les procédures à suivre pour la sélection, l’examen et l’utilisation des éléments interceptés ;

5. Les précautions à prendre pour la communication de ces éléments à d’autres parties ;

La transmission, par un État contractant, d’informations obtenues au moyen d’une interception en masse à des États étrangers ou à des organisations internationales devrait être limitée aux éléments recueillis et conservés d’une manière conforme à la Convention, et soumise à certaines garanties supplémentaires relatives au transfert lui‑même : 1) les circonstances dans lesquelles pareil transfert peut avoir lieu doivent être clairement énoncées dans le droit interne ; 2) l’État qui transfère les informations en question doit s’assurer que l’État destinataire a mis en place, pour la gestion des données, des garanties de nature à prévenir les abus et les ingérences disproportionnées (en particulier, garantir la conservation sécurisée des données et restreindre leur divulgation à d’autres parties). Cela ne signifie pas nécessairement qu’il doive garantir une protection comparable à celle de l’État qui transfère les informations, ni qu’une assurance doive être donnée avant chaque transfert ; 3) des garanties renforcées sont nécessaires lorsqu’il est clair que les éléments transférés appellent une confidentialité particulière – par exemple s’il s’agit de communications journalistiques confidentielles ; et 4) le transfert d’informations à des partenaires de renseignement étrangers doit également être soumis à un contrôle indépendant.

6. Les limites posées à la durée de l’interception et de la conservation des éléments interceptés, et les circonstances dans lesquelles ces éléments doivent être effacés ou détruits ;

Dans l’affaire Centrum för rättvisa, s’il est clairement justifié que des exigences spécifiques s’appliquent à la destruction d’éléments contenant des données à caractère personnel, il faut aussi qu’il existe une règle générale régissant la destruction des autres éléments obtenus au moyen de l’interception en masse de communications lorsque leur conservation peut affecter, par exemple, le droit au respect de la correspondance au sens de l’article 8, y compris celui des personnes morales. Au minimum, le droit interne devrait imposer d’effacer les données interceptées lorsqu’elles ne sont plus pertinentes aux fins du ROEM.

7. Les procédures et modalités de supervision, par une autorité indépendante, du respect des garanties énoncées ci-dessus, et les pouvoirs de cette autorité en cas de manquement ;

Chaque stade du processus d’interception en masse devrait être soumis à la supervision suffisamment solide d’une autorité indépendante qui devrait être en mesure d’apprécier la nécessité et la proportionnalité de la mesure prise, en tenant dûment compte du degré d’intrusion dans l’exercice par les personnes susceptibles d’être affectées de leurs droits protégés par la Convention. Des archives détaillées devraient être tenues à chaque étape du processus par les services de renseignement pour que cette supervision s’en trouve facilitée.

8. Les procédures de contrôle indépendant a posteriori du respect des garanties et les pouvoirs conférés à l’organe compétent pour traiter les cas de manquement.

Toute personne qui soupçonne que ses communications ont été interceptées par les services de renseignement devrait disposer d’un recours effectif permettant de contester la légalité de l’interception soupçonnée ou la conformité à la Convention du régime d’interception. Comme pour les régimes d’interception ciblée, un recours qui ne dépend pas de la notification de l’interception à la personne concernée peut également constituer un recours effectif dans le contexte de l’interception en masse. En l’absence de toute obligation de notification, il est impératif que le recours relève de la compétence d’un organe qui, sans être nécessairement judiciaire, soit indépendant de l’exécutif, assure l’équité de la procédure et offre, dans la mesure du possible, une procédure contradictoire. Les décisions de cet organe doivent être motivées et juridiquement contraignantes.

iii) Appréciation des cas d’espèce –

Centrum för rättvisa c. Suède – Le système suédois d’interception en masse est fondé sur des règles juridiques détaillées, sa portée est clairement délimitée et il offre des garanties. Les motifs pour lesquels l’interception en masse peut être autorisée en Suède sont clairement définis, les circonstances dans lesquelles les communications peuvent être interceptées et examinées sont énoncées avec une clarté suffisante, la durée de l’interception est juridiquement encadrée et contrôlée, et les procédures à suivre pour la sélection, l’examen et l’utilisation des éléments interceptés sont assorties de garanties adéquates contre les abus. Les mêmes protections s’appliquent au contenu des communications interceptées et aux données de communication. Surtout, la procédure judiciaire d’autorisation préalable et la supervision exercée par un organe indépendant permettent en principe de garantir en pratique l’application des règles du droit interne et des standards de la Convention et de limiter le risque de conséquences disproportionnées portant atteinte aux droits protégés par l’article 8. Il convient notamment de tenir compte du fait qu’en Suède, les limites à respecter pour chaque mission d’interception en masse ainsi que la légalité et la proportionnalité de la mission font l’objet d’une procédure judiciaire d’autorisation préalable devant le tribunal pour le renseignement extérieur, qui siège en présence d’un représentant chargé de la protection de la vie privée défendant l’intérêt public.

La Cour constate toutefois trois carences dans le régime suédois d’interception en masse. Le potentiel de conséquences négatives sur l’exercice des droits protégés par l’article 8 qui découle de la première de ces carences – l’absence de règle claire concernant la destruction des éléments interceptés qui ne contiennent pas de données à caractère personnel – est limité par le fait que le droit suédois renferme des règles claires prévoyant la destruction des éléments interceptés dans un certain nombre de circonstances et, en particulier, lorsqu’ils contiennent des données à caractère personnel.

La deuxième carence – l’absence d’obligation de prendre en compte les intérêts liés à la vie privée lorsqu’une décision de partage de renseignements avec des partenaires étrangers est adoptée – peut, en revanche, avoir des conséquences très importantes sur les droits des individus ou des organisations concernés. Cette carence pourrait en effet permettre la transmission mécanique vers l’étranger d’informations, dont la communication porte gravement atteinte au droit au respect de la vie privée ou au droit au respect de la correspondance, qui ne présenteraient pourtant que très peu d’intérêt pour le renseignement. Une telle transmission peut ainsi engendrer des risques manifestement disproportionnés d’atteinte aux droits protégés par l’article 8. Par ailleurs, aucune obligation juridiquement contraignante n’impose au FRA d’analyser les garanties offertes par le destinataire étranger des renseignements afin de déterminer si elles sont d’un niveau minimum acceptable.

Enfin, la troisième carence porte sur l’absence d’un contrôle a posteriori effectif. Notamment, le double rôle de l’Inspection pour le renseignement extérieur et l’impossibilité pour les particuliers d’obtenir des décisions motivées sous quelque forme que ce soit en réponse à leurs plaintes ou interrogations concernant l’interception en masse de communications affaiblissent le mécanisme de contrôle a posteriori dans une mesure qui engendre des risques pour le respect des droits fondamentaux des personnes concernées. Par ailleurs, l’absence de contrôle effectif au dernier stade de l’interception n’est pas conciliable avec la situation constatée par la Cour, où l’intensité de l’ingérence faite dans l’exercice des droits protégés par l’article 8 augmente au fur et à mesure que le processus avance.

Les carences mentionnées ci-dessus ne sont pas suffisamment compensées par les garanties existantes. Le régime suédois d’interception en masse excède donc la marge d’appréciation accordée aux autorités de l’État défendeur à cet égard et, considéré dans son ensemble, il ne contient pas de « garanties de bout en bout » suffisantes pour offrir une protection adéquate et effective contre l’arbitraire et le risque d’abus.

Conclusion : violation (quinze voix contre deux).

Big Brother Watch et autres – Considéré dans son ensemble, le régime ne renferme pas suffisamment de garanties « de bout en bout » pour offrir une protection adéquate et effective contre l’arbitraire et le risque d’abus, en dépit des garde-fous qu’il comporte, dont certains sont solides. Ce régime présente notamment des lacunes fondamentales, à savoir l’absence d’autorisation indépendante, l’absence de mention des catégories de sélecteurs dans les demandes de mandat et l’absence d’autorisation interne préalable des sélecteurs liés à un individu. Ces insuffisances affectent non seulement l’interception du contenu des communications, mais aussi l’interception des données de communication associées. Si la supervision indépendante et effective exercée sur le régime par le Commissaire à l’interception des communications et le recours juridictionnel solide que le Tribunal des pouvoirs d’enquête offre à toutes les personnes pensant que leurs communications ont été interceptées par les services de renseignement constituent des garanties importantes, celles-ci ne sont pas suffisantes pour contrebalancer les lacunes mentionnées ci-dessus. Le régime d’interception en masse relevant de l’article 8 § 4 de la RIPA ne répond pas à l’exigence de « qualité de la loi » et ne permet pas de circonscrire l’« ingérence » au niveau « nécessaire dans une société démocratique ».

Conclusion : violation (unanimité).

Article 10 (Big Brother Watch et autres) :

i) Garanties requises – Le régime d’interception en masse litigieux permet aux services de renseignement d’accéder à des éléments journalistiques confidentiels de manière intentionnelle, en utilisant délibérément des sélecteurs ou des termes de recherche liés à un journaliste ou à un organe de presse. Une telle situation pouvant aboutir à la collecte de très nombreux éléments journalistiques confidentiels, l’atteinte à la protection des sources pourrait même être plus importante que dans le cas d’une injonction de divulgation de l’identité d’une source; l’ingérence qui en découle est comparable à celle qui résulterait d’une perquisition au domicile ou sur le lieu de travail d’un journaliste. En conséquence, avant que les services de renseignement ne puissent utiliser des sélecteurs ou des termes de recherche dont on sait qu’ils sont liés à un journaliste ou qui aboutiront en toute probabilité à la sélection pour examen d’éléments journalistiques confidentiels, ces sélecteurs ou termes de recherche doivent avoir été autorisés par un juge ou un autre organe décisionnel indépendant et impartial habilité à déterminer si cette mesure est « justifiée par un impératif prépondérant d’intérêt public » et, en particulier, si une mesure moins intrusive suffirait à satisfaire un tel impératif.

Le régime litigieux permet également aux services de renseignement d’accéder à des éléments journalistiques confidentiels de manière fortuite, en prenant accidentellement de tels éléments dans les « filets » d’une interception en masse. En pareille situation, il est impossible de prévoir d’emblée l’importance de l’atteinte portée à ces communications et/ou sources journalistiques. Dans l'affaire Weber et Saravia, la Cour a conclu que l’interception initiale, sans examen des éléments interceptés, ne portait pas gravement atteinte à l’article 10 de la Convention. Toutefois, étant donné qu’à raison des progrès technologiques la surveillance qui ne vise pas directement les individus est susceptible d’avoir une portée très large, le droit interne doit impérativement comporter des garanties solides en ce qui concerne la conservation, l’examen, l’utilisation, la transmission à des tiers et la destruction de ces éléments confidentiels. En outre, lorsqu’il apparaît que des communications ou des données de communication associées contiennent des éléments journalistiques confidentiels, la prolongation de leur conservation et la poursuite de leur examen par un analyste ne devraient être possibles qu’à la condition d’être autorisées par un juge ou un autre organe décisionnel indépendant et impartial habilité à déterminer si ces mesures sont « justifiées par un impératif prépondérant d’intérêt public ».

ii) Application aux faits de l’espèce – Compte tenu de la qualité d’association de journalistes et de journaliste de certaines des requérantes, le régime litigieux, qui s’analyse en une ingérence dans l’exercice par les intéressées dans leur droit à la liberté d’expression, ne satisfait pas aux exigences mentionnées ci-dessus. Les garanties supplémentaires concernant la conservation, la transmission à des tiers et la destruction de ces éléments journalistiques confidentiels ne remédient pas aux lacunes mises en évidence par la Cour dans son analyse du régime litigieux sous l’angle de l’article 8.

Conclusion : violation (unanimité).

Réception de renseignements provenant de services de renseignement étrangers (Big Brother Watch et autres) –

Article 8 :

Les demandes d’éléments interceptés adressées aux États non contractants doivent avoir une base en droit interne, être accessibles à la personne concernée et prévisibles quant à leurs effets (Roman Zakharov c. Russie [GC]). L’échange de renseignements doit également être encadré par des normes claires et précises indiquant à tous de manière suffisante en quelles circonstances et sous quelles conditions les autorités sont habilitées à formuler de telles demandes et offrant des garanties effectives contre l’utilisation de ce pouvoir à des fins de contournement du droit interne et/ou des obligations conventionnelles des États. Dès la réception des éléments interceptés, l’État destinataire doit avoir mis en place des garanties suffisantes pour leur examen, leur utilisation, leur conservation, leur transmission à des tiers, leur effacement et leur destruction. Les garanties en question, qui ont d’abord été énoncées par la Cour dans sa jurisprudence relative à l’interception de communications par les États contractants, s’appliquent également à la réception, par un État contractant, d’éléments interceptés demandés à un service de renseignement étranger. Dès lors que les États ne sont pas toujours en mesure de savoir si des éléments reçus de services de renseignement étrangers sont le produit d’une interception, les mêmes règles doivent s’appliquer à l’ensemble des éléments reçus qui pourraient être le produit d’une interception. Enfin, tout régime autorisant des services de renseignements à demander à des États non contractants de procéder à une interception ou de leur transmettre des éléments interceptés doit être soumis à une supervision indépendante et doit également prévoir la possibilité d’un contrôle a posteriori indépendant.

Limitant son examen au grief tiré de la réception d’éléments dont l’interception avait été sollicitée auprès de l’Office national de sécurité américain (« la NSA »), la Cour est convaincue que ces exigences sont satisfaites en l’espèce et que le régime de demande et de réception d’éléments interceptés est ainsi compatible avec l’article 8.

Conclusion : non-violation (douze voix contre cinq).

La Cour conclut aussi, par douze voix contre cinq, à la non-violation de l’article 10 à raison de la réception de renseignements obtenus auprès de services de renseignement étrangers en ce que ce grief ne soulève aucune question distincte par rapport à celui fondé sur l’article 8.

Obtention de données de communication auprès des fournisseurs de services de communication (Big Brother Watch et autres) – La Cour conclut, à l’unanimité, à la violation des articles 8 et 10 au motif que le fonctionnement du régime découlant du chapitre II de la RIPA n’était pas « prévu par la loi ».

Article 41 (dans les deux affaires) : aucune demande formulée pour dommage.

(Voir aussi Weber et Saravia c. Allemagne (déc.), 54934/00, 29 juin 2006, Résumé juridique ; Liberty et autres c. Royaume-Uni, 58243/00, 1er juillet 2008, Résumé juridique ; Roman Zakharov c. Russie [GC], 47143/06, 4 décembre 2015, Résumé juridique)

© Conseil de l’Europe/Cour européenne des droits de l’homme
Rédigé par le greffe, ce résumé ne lie pas la Cour.

Cliquez ici pour accéder aux Notes d'information sur la jurisprudence