Actualité juridique · Publié le
Cour suprême du Canada, arrêt R. c. Bykovets du 1er mars 2024 (2024 CSC 6) : l’obtention par la police d’une adresse IP auprès d’un tiers privé constitue une fouille soumise à autorisation judiciaire préalable au titre de l’article 8 de la Charte canadienne
Dans son arrêt R. c. Bykovets du 1er mars 2024 (2024 CSC 6), rédigé par la juge Andromache Karakatsanis au nom de la majorité, la Cour suprême du Canada consacre une avancée majeure du droit constitutionnel du numérique en jugeant qu’une adresse de protocole Internet (adresse IP) suscite une attente raisonnable de vie privée au sens de l’article 8 de la Charte canadienne des droits et libertés. Prolongeant son arrêt R. c. Spencer (2014 CSC 43) — qui avait déjà soumis à mandat judiciaire l’identification de l’abonné titulaire d’une adresse IP auprès d’un fournisseur d’accès à Internet —, la Cour juge désormais que la démarche policière antérieure consistant à obtenir l’adresse IP elle-même auprès d’une société privée de traitement de paiements en ligne constitue une fouille requérant l’autorisation préalable d’un juge.
Sommaire de l’article
- La communication volontaire d’adresses IP par un prestataire de paiement en ligne lors d’une enquête pour fraude bancaire
- L’adresse IP comme « premier fragment numérique » donnant accès au portrait intime de la vie en ligne
- Mise en regard avec la jurisprudence de la CJUE (La Quadrature du Net II, 30 avril 2024) et la procédure pénale française
- Sources
01
La communication volontaire d’adresses IP par un prestataire de paiement en ligne lors d’une enquête pour fraude bancaire
Au cours d’une enquête portant sur des achats frauduleux de cartes-cadeaux effectués en ligne auprès d’une chaîne de magasins d’alcools à l’aide de données de cartes bancaires piratées, les services de police de Calgary s’étaient adressés à la société privée assurant la gestion informatique des transactions en ligne du commerçant afin d’obtenir les adresses IP utilisées lors des paiements litigieux. La société privée avait communiqué volontairement deux adresses IP sans qu’aucune ordonnance de communication ni aucun mandat judiciaire eût été sollicité.
Munis de ces deux adresses IP, les enquêteurs avaient ensuite obtenu une ordonnance judiciaire enjoignant au fournisseur d’accès à Internet de révéler le nom et l’adresse postale des abonnés correspondants, puis des mandats de perquisition qui conduisirent à l’interpellation et à la condamnation d’Andrei Bykovets. En défense, l’accusé soutenait que la demande initiale visant à obtenir les adresses IP sans contrôle judiciaire violait la garantie contre les fouilles, perquisitions et saisies abusives énoncée à l’article 8 de la Charte canadienne.
02
L’adresse IP comme « premier fragment numérique » donnant accès au portrait intime de la vie en ligne
Infirmant l’arrêt de la Cour d’appel de l’Alberta et ordonnant la tenue d’un nouveau procès, la Cour suprême du Canada juge que l’obtention d’une adresse IP par la police constitue une fouille soumise à autorisation judiciaire préalable :
- Une approche normative et fonctionnelle de la vie privée informationnelle : une adresse IP n’est pas une simple suite abstraite de chiffres dépourvue de signification personnelle, mais le « premier fragment numérique » et le maillon indispensable qui permet à l’État, par recoupement avec les données détenues par les fournisseurs d’accès ou les plateformes tierces, de reconstituer l’historique précis de l’activité d’un internaute.
- La nécessité d’un contrôle judiciaire en amont de la chaîne d’identification : si la protection de l’article 8 ne s’appliquait qu’au stade ultérieur de l’identification du nom de l’abonné auprès du fournisseur d’accès (stade Spencer), les autorités policières pourraient recueillir sans contrôle toute l’activité associée à une adresse IP auprès de sites privés avant de solliciter un juge. Soumettre dès l’origine la collecte de l’adresse IP à une autorisation judiciaire préalable n’impose qu’une charge procédurale mesurée aux enquêteurs tout en préservant l’anonymat légitime des citoyens sur Internet.
03
Mise en regard avec la jurisprudence de la CJUE (La Quadrature du Net II, 30 avril 2024) et la procédure pénale française
Rendue à quelques semaines d’intervalle de l’arrêt d’assemblée plénière de la Cour de justice de l’Union européenne La Quadrature du Net et autres (Données personnelles et lutte contre la contrefaçon) du 30 avril 2024 (affaire C-470/21), la décision R. c. Bykovets illustre le débat transatlantique sur le statut juridique de l’adresse IP et des données à caractère personnel en matière pénale :
- La distinction opérée par la CJUE (assemblée plénière, 30 avril 2024, C-470/21) : en droit de l’Union européenne (directive 2002/58/CE et articles 7, 8 et 52 § 1 de la Charte des droits fondamentaux), la CJUE admet la conservation généralisée et l’accès aux adresses IP rattachées à la source d’une connexion aux fins de lutte contre les infractions pénales en général, mais à la condition stricte qu’un cloisonnement technique rigoureux empêche tout croisement avec l’ensemble de la navigation en ligne de la personne et que l’accès soit soumis au contrôle préalable d’une juridiction ou d’une autorité administrative indépendante.
- En procédure pénale française (articles 60-1, 60-2 et 77-1-1 du code de procédure pénale) : sous l’impulsion conjuguée des arrêts de la chambre criminelle de la Cour de cassation du 12 juillet 2022 et des décisions du Conseil constitutionnel rendues sur question prioritaire de constitutionnalité, la régularité des réquisitions portant sur les données de connexion et les adresses IP commande désormais une vérification systématique de la compétence de l’autorité ayant autorisé l’acte et du respect des garanties d’indépendance exigées par le droit européen.
04
Sources
Votre situation
Une question sur votre dossier ?
Le cabinet examine la situation sur pièces. Cette page est une information générale ; elle ne remplace pas l’analyse d’un dossier.