Actualité juridique · Publié le
Chiffrement de bout en bout et secret des correspondances : la Cour européenne des droits de l’homme juge contraire à l’article 8 l’obligation imposée aux messageries numériques de fournir des clés générales de déchiffrement (arrêt Podchasov c. Russie).
Par son arrêt unanime du 13 février 2024 (Podchasov c. Russie, req. n° 33696/19), la Cour européenne des droits de l’homme juge que l’obligation légale imposée aux opérateurs de services de communication sur internet de conserver l’intégralité du contenu des communications pendant six mois et de remettre aux services de renseignement les clés techniques permettant de déchiffrer les messages protégés par un chiffrement de bout en bout viole l’article 8 de la Convention, dès lors qu’une telle mesure affaiblit techniquement la sécurité du chiffrement pour l’ensemble des utilisateurs (création d’une porte dérobée générale) et dépasse ce qui est nécessaire dans une société démocratique.
Sommaire de l’article
- Synthèse de la décision
- 1. L’obligation légale de remettre les clés de déchiffrement et le blocage judiciaire de l’application
- 2. La valeur démocratique du chiffrement de bout en bout et l’interdiction d’affaiblir la sécurité cryptographique générale
- 3. L’équilibre français entre protection de la cryptographie (LCEN de 2004) et techniques spéciales d’enquête ciblées (art. 706-95-11 à 706-102-1 CPP)
- Chiffrement de bout en bout et accès des autorités publiques : critères de conformité à l’article 8 de la CEDH (arrêt Podchasov, 2024)
- Questions fréquentes
- Sources
01
Synthèse de la décision
Dans un arrêt de principe pour le droit européen du numérique et de la cybersécurité, la Cour de Strasbourg consacre le rôle essentiel du chiffrement de bout en bout pour l’exercice des droits fondamentaux (vie privée, secret professionnel, liberté d’expression) et condamne toute obligation légale contraignant les fournisseurs à affaiblir l’architecture cryptographique au moyen de portes dérobées.
- Illégalité de la conservation généralisée et continue du contenu de toutes les communications : Une législation qui oblige les fournisseurs de services internet à stocker pendant six mois le contenu intégral de toutes les communications vocales, textuelles et visuelles de l’ensemble des citoyens ainsi que leurs métadonnées pendant un an, sans aucun ciblage ni soupçon préalable, constitue une ingérence d’une gravité exceptionnelle.
- Protection conventionnelle du chiffrement de bout en bout contre l’obligation de créer des portes dérobées (backdoors) : Dès lors que le déchiffrement de communications protégées par un chiffrement de bout en bout (telles que les « discussions secrètes » de Telegram) est techniquement impossible sans affaiblir le mécanisme de chiffrement pour tous les utilisateurs, l’injonction de fournir des clés de déchiffrement est intrinsèquement disproportionnée au regard de l’article 8 de la CEDH.
- Absence de contrôle juridictionnel effectif sur l’accès direct des services de renseignement : Lorsque la loi permet aux services de sécurité d’accéder directement aux données stockées sans obligation de présenter aux fournisseurs ou aux personnes concernées l’autorisation judiciaire préalable, les garanties légales contre l’arbitraire et les abus sont dépourvues d’effectivité.
02
1. L’obligation légale de remettre les clés de déchiffrement et le blocage judiciaire de l’application
Le requérant, utilisateur de l’application de messagerie électronique Telegram, contestait les dispositions de la loi fédérale sur l’information adoptées en 2016 (connues sous le nom de « loi Yarovaïa »). Ce dispositif imposait aux « organisateurs de la diffusion d’informations sur internet » trois obligations cumulatives : conserver sur le territoire national pendant un an toutes les métadonnées de connexion et pendant six mois le contenu intégral de l’ensemble des communications (textes, voix, images, vidéos) ; accorder aux services de sécurité un accès à ces archives ; et fournir au Service fédéral de sécurité (FSB) les informations nécessaires pour déchiffrer les messages électroniques codés.
En juillet 2017, le FSB avait enjoint à Telegram de lui communiquer les clés techniques permettant de déchiffrer les communications liées à six numéros de téléphone attribués à des personnes soupçonnées d’activités terroristes. Telegram avait opposé une impossibilité technique en expliquant que la fonctionnalité de « discussion secrète » (secret chat) reposait sur un chiffrement de bout en bout (end-to-end encryption) dans lequel les clés cryptographiques sont générées et stockées exclusivement sur les terminaux des correspondants sans jamais transiter par les serveurs de l’opérateur, de sorte que la remise de clés impliquerait de modifier l’architecture du protocole et de créer une porte dérobée (backdoor) compromettant l’ensemble des utilisateurs. Les juridictions internes avaient condamné Telegram à une amende, ordonné le blocage de l’application et rejeté le recours formé par le requérant.
03
2. La valeur démocratique du chiffrement de bout en bout et l’interdiction d’affaiblir la sécurité cryptographique générale
Concluant à l’unanimité à la violation de l’article 8 de la CEDH, la Cour européenne des droits de l’homme livre une analyse approfondie de la cryptographie contemporaine :
- Caractérisation d’une ingérence continue par la seule existence de l’obligation légale : s’appuyant sur ses arrêts de Grande Chambre Roman Zakharov c. Russie (2015) et Big Brother Watch et autres c. Royaume-Uni (2021), la Cour juge que le simple stockage obligatoire de l’intégralité des contenus de communication et des données associées ainsi que la possibilité d’accès des autorités constituent en soi une ingérence grave dans la vie privée et le secret des correspondances de tout utilisateur.
- Le chiffrement de bout en bout comme rempart des droits fondamentaux dans l’espace numérique : se référant aux travaux conjoints du Comité européen de la protection des données (CEPD), du Contrôleur européen de la protection des données, du Conseil de l’Europe et du Haut-Commissariat des Nations unies aux droits de l’homme, la Cour souligne que le chiffrement fort protège les citoyens et les entreprises contre la cybercriminalité, le piratage et l’usurpation d’identité, et constitue une condition matérielle de l’exercice de la liberté d’expression (article 10 de la CEDH) ainsi que de la protection des échanges confidentiels des journalistes et des avocats (secret professionnel).
- L’impossibilité de limiter une porte dérobée aux seules cibles légitimes : la Cour constate que les portes dérobées imposées dans un système de chiffrement de bout en bout ne peuvent pas être techniquement circonscrites à des individus déterminés : elles affaiblissent nécessairement la sécurité du protocole pour tous les utilisateurs et créent une vulnérabilité systémique exploitable par des tiers malveillants. Elle mentionne à l’inverse l’existence de solutions alternatives ciblées ne compromettant pas l’intégrité globale du chiffrement (telles que l’accès légalement encadré au terminal cible lui-même sous contrôle judiciaire).
04
3. L’équilibre français entre protection de la cryptographie (LCEN de 2004) et techniques spéciales d’enquête ciblées (art. 706-95-11 à 706-102-1 CPP)
L’arrêt Podchasov trace une ligne rouge constitutionnelle et conventionnelle décisive pour les législateurs européens et le droit français :
- Le principe de liberté d’utilisation des moyens de cryptologie en droit français (articles 30 et suivants de la loi n° 2004-575 du 21 juin 2004 — LCEN) : le droit français consacre le principe selon lequel l’utilisation des moyens de cryptologie est libre. Si l’article 434-15-2 du Code pénal punit le refus de remettre aux autorités judiciaires les conventions secrètes de déchiffrement d’un moyen de cryptologie susceptible d’avoir été utilisé pour préparer, faciliter ou commettre un crime ou un délit, la chambre criminelle de la Cour de cassation et le Conseil constitutionnel (décision n° 2018-696 QPC du 30 mars 2018) précisent que cette obligation ne s’adresse qu’aux personnes ayant effectivement connaissance de la convention (telles que le détenteur du code de déverrouillage d’un téléphone saisi) et ne saurait contraindre un éditeur de messagerie chiffrée de bout en bout à créer une porte dérobée universelle qu’il ne détient pas.
- La distinction conventionnelle entre porte dérobée générale (interdite) et captation ciblée de données informatiques (encadrée) : en lieu et place d’un affaiblissement général du chiffrement de bout en bout, le Code de procédure pénale français (articles 706-95-11 et suivants et 706-102-1) prévoit, pour les seules infractions relevant de la criminalité et de la délinquance organisées, la possibilité d’une captation ciblée de données informatiques à la source (sur le terminal ou le serveur visé), strictement subordonnée à l’autorisation écrite et motivée du juge des libertés et de la détention ou du juge d’instruction et au contrôle de la chambre de l’instruction.
05
Chiffrement de bout en bout et accès des autorités publiques : critères de conformité à l’article 8 de la CEDH (arrêt Podchasov, 2024)
| Mesure légale ou technique | Effet sur l’architecture cryptographique et la vie privée | Conformité à l’article 8 de la CEDH |
|---|---|---|
| Conservation généralisée et continue du contenu intégral de toutes les communications électroniques | Atteinte globale au secret des correspondances de l’ensemble de la population sans soupçon préalable. | Inconventionnelle (violation de l’article 8 de la CEDH). |
| Obligation imposée aux messageries chiffrées de bout en bout de fournir des clés générales de déchiffrement (backdoor) | Affaiblissement structurel du chiffrement pour tous les utilisateurs et exposition aux cyberattaques. | Inconventionnelle : mesure disproportionnée qui ne peut être regardée comme nécessaire dans une société démocratique. |
| Mesure d’enquête pénale ciblée sur le terminal d’un suspect déterminé (captation de données informatiques) | Préservation de l’intégrité du chiffrement de bout en bout pour le reste des utilisateurs. | Conforme sous réserve d’infractions graves, d’une autorisation judiciaire préalable motivée et d’un contrôle juridictionnel effectif. |
06
Questions fréquentes
- Pourquoi la Cour européenne des droits de l’homme interdit-elle d’imposer des portes dérobées (backdoors) dans les messageries chiffrées de bout en bout ?
Parce que dans un système de chiffrement de bout en bout, les clés sont stockées uniquement sur les appareils des correspondants : obliger l’opérateur à pouvoir déchiffrer les messages à la demande des autorités l’oblige techniquement à affaiblir le protocole de sécurité pour l’ensemble des utilisateurs, créant une faille exploitable par des cybercriminels et portant une atteinte disproportionnée à l’article 8 de la CEDH.
- Comment les autorités judiciaires peuvent-elles enquêter sur des infractions graves lorsque les suspects utilisent une messagerie chiffrée de bout en bout ?
La Cour souligne que la lutte contre la criminalité grave doit reposer sur des mesures d’investigation ciblées n’affaiblissant pas la sécurité générale du chiffrement pour tous les citoyens, telles que la saisie du terminal ou la captation ciblée de données informatiques sur l’appareil d’une personne déterminée, dûment autorisée et contrôlée par un juge indépendant.
- Quel est le lien entre le chiffrement de bout en bout et le secret professionnel de l’avocat ?
La Cour relève expressément que le chiffrement de bout en bout garantit la confidentialité absolue des correspondances numériques, condition indispensable au respect du secret professionnel des avocats (protégé par l’article 8 de la CEDH) et de la protection des sources des journalistes (article 10).
07
Sources
- HUDOC (CEDH) — Arrêt du 13 février 2024, Podchasov c. Russie, req. n° 33696/19 [Texte officiel]
- Conseil constitutionnel — Décision n° 2018-696 QPC du 30 mars 2018 (Refus de remettre aux autorités judiciaires la convention secrète de déchiffrement)
- Légifrance — Article 30 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique (Liberté d’utilisation des moyens de cryptologie)
Votre situation
Une question sur votre dossier ?
Le cabinet examine la situation sur pièces. Cette page est une information générale ; elle ne remplace pas l’analyse d’un dossier.