CJUE, Grande chambre, 5 mars 2024, Marián Kočner c. Europol (C-755/21 P) — Coopération policière européenne, fuite de données intimes et responsabilité solidaire d’Europol et des États membres

Les faits s’inscrivaient dans l’enquête criminelle ouverte en Slovaquie à la suite de l’assassinat en février 2018 du journaliste d’investigation Ján Kuciak et de sa fiancée. À la demande de l’Agence nationale de lutte contre la criminalité slovaque, Europol avait procédé en octobre 2018 aux opérations techniques d’extraction et de structuration forensique des données contenues dans deux téléphones mobiles chiffrés et un support informatique saisis auprès de M. Kočner, avant de remettre aux autorités slovaques les supports numériques et les rapports d’analyse correspondants. Au printemps 2019, plusieurs organes de presse publièrent de larges extraits des dizaines de milliers de messages issus de ces téléphones, dont des échanges de nature purement intime et sexuelle entre l’intéressé et une amie.

Saisi d’un recours en indemnité fondé sur les articles 268 et 340 TFUE ainsi que sur l’article 50 du règlement Europol, le Tribunal de l’Union européenne avait rejeté la demande par son arrêt du 29 septembre 2021 (T-528/20) au motif que les données extraites ayant été transmises aux autorités judiciaires et policières slovaques, le requérant ne démontrait pas que la fuite vers des personnes non autorisées fût matériellement imputable aux services d’Europol plutôt qu’à un acteur national du dossier pénal.

Saisie sur pourvoi et statuant en Grande chambre eu égard à la portée constitutionnelle de la question pour tout l’espace pénal européen, la Cour de justice invalide frontalement cette lecture qui vidait de sa substance le régime protecteur voulu par le législateur de l’Union. Pour un particulier extérieur aux circuits sécurisés d’échange d’informations entre La Haye et les polices nationales, identifier le maillon précis par lequel les fichiers extraits ont quitté la sphère habilitée relève d’une probatio diabolica incompatible avec l’objectif d’une protection juridictionnelle effective.

L’arrêt Kočner c. Europol résonne bien au-delà de la seule agence de La Haye et fournit un levier contentieux de premier ordre aux avocats intervenant dans les dossiers pénaux transfrontaliers nourris par la coopération policière et numérique européenne (équipes communes d’enquête, appui forensique d’Europol, échanges SIENA, dossiers issus de captations massives de messageries chiffrées ou procédures conduites par le Parquet européen sous l’empire du règlement (UE) 2017/1939 dont l’article 47 comporte des mécanismes cousins en matière de protection des données).

Dans ces procédures complexes où les supports informatiques saisis circulent entre laboratoires européens et services enquêteurs nationaux, la défense se heurtait jusqu’ici fréquemment à un double écran : les juridictions nationales déclinaient leur compétence pour apprécier les opérations techniques accomplies par une agence de l’Union, tandis que l’agence européenne renvoyait aux autorités nationales l’entière maîtrise de la conservation ultérieure des scellés numériques.

Désormais, toute divulgation illicite ou atteinte à la confidentialité de données personnelles collectées dans un cadre coopératif — a fortiori lorsqu’il s’agit de données relevant de l’intimité de la vie privée au sens des articles 7 et 8 de la Charte et de l’article 8 de la CEDH (jurisprudence Charki c. France sur la divulgation d’écoutes sans rapport avec l’accusation) — ouvre droit à une action indemnitaire directe fondée sur la solidarité légale, indépendamment même du sort pénal au fond de la personne poursuivie.