Peut-on refuser de communiquer le code de déverrouillage d’un téléphone ?

La question du refus de communiquer le code de déverrouillage d’un téléphone à l’occasion d’une garde à vue a été le sujet de nombreux débats ces dernières années.

L’article 434-15-2 du code pénal incrimine en effet le refus de délivrer une convention secrète de déchiffrement d’un moyen de cryptologie lorsque celui-ci est susceptible d’avoir été utilisé pour préparer, faciliter ou commettre un crime ou un délit.

Pour rappel, ce délit a été créé par la loi n°2001-1062 du 15 novembre 2001 relative à la sécurité quotidienne. Elle a été adoptée au terme d’une procédure accélérée (ou procédure d’urgence) permettant de réduire le temps de lecture de la loi par l’Assemblée Nationale et le Sénat.

Cette loi, intervenue deux mois après les attentats du 11 septembre, était une réaction aux soupçons des enquêteurs sur l’utilisation par les terroristes de techniques de chiffrement de leurs messages électroniques.

Jusqu’en 2016, cette infraction n’avait jamais été utilisée. En 2017, un certain M. B. est poursuivi pour avoir refusé de donner aux autorités le code de déverrouillage de plusieurs téléphones en sa possession, soupçonnés d’avoir été utilisés dans le cadre d’un trafic de stupéfiant.

S’en est suivi un long débat judiciaire sur l’article 434-15-2 et ses conditions d’applications, auquel l’arrêt du 13 octobre 2020 apporte un nouvel éclairage.

L’obligation pour l’utilisateur d’un moyen de cryptologie de transmettre la convention de déchiffrement

Un moyen de cryptologie est un procédé permettant de « transformer des données à l’aide de convention secrète et d’effectuer l’opération inverse, avec ou sans convention secrète [1]».

Concrètement, un moyen de cryptologie permet de sécuriser des données et d’en assurer la confidentialité, l’authenticité et l’intégrité.

Avant 2004, l’utilisation des moyens de cryptologie n’était pas libre. Il était nécessaire de procéder à une déclaration auprès du Premier Ministre, et même d’obtenir son autorisation préalable lorsque ce moyen visait à assurer la confidentialité d’un contenu.

La loi n°2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique, dite loi LCEN, a modifié ces règles pour instaurer un régime de liberté totale quant à l’utilisation des moyens de cryptologie (mais un régime de liberté partielle concernant la fourniture, le transfert, l’important et l’exportation d’un moyen de cryptologie).

Ce régime de liberté a favorisé le développement considérable de l’utilisation des échanges cryptés pour assurer la confidentialité des messages, mails et autres conversations, par n’importe quel individu.

L’application de l’article 434-15-2 du code pénal imposait, selon la Cour de cassation, à quiconque ayant connaissance de la convention de déchiffrement permettant de décrypter ces échanges de la délivrer ou de la mettre en œuvre sur demande des autorités. Il peut alors s’agir de l’utilisateur et non pas seulement du fournisseur du moyen de cryptologie (dont l’obligation de conservation de la convention secrète de déchiffrement a été supprimée par la loi de 2004).

L’obligation de délivrer ou de mettre en œuvre une convention secrète de déchiffrement est donc applicable pour tout individu, en conformité avec la Constitution, le Conseil constitutionnel ayant rejeté les arguments tirés du droit de ne pas s’auto-incriminer ou du respect de la vie privée [2].

Reste à savoir si celle-ci est applicable au code d’un téléphone.

Le code d’un téléphone : convention secrète de déchiffrement ?

Pour le Conseil constitutionnel, une convention secrète de déchiffrement est un « procédé consistant à transformer, notamment à l’aide d’un algorithme, des données en vue de les rendre inintelligibles aux yeux des tiers [3] ».

L’article 29 de la loi LCEN l’a défini quant à lui comme « tout matériel ou logiciel conçu ou modifié pour transformer des données qu’il s’agisse d’informations ou de signaux, à l’aide de convention secrète ou pour réaliser l’opération inverse avec ou sans convention secrète ».

Pour la cour d’appel de Paris, le code d’un « téléphone d’usage courant » ne rentre pas dans cette définition [4].

Le code de déverrouillage permet en effet d’accéder aux données contenues dans le téléphone, comprenant notamment des messages. Mais il ne permettrait pas à proprement parlé de déchiffrer ces messages et ne constituerait donc pas « une convention de déchiffrement ».

Toutefois, encore fallait-il définir ce que l’on entendait par « téléphone d’usage courant ».

Pour la chambre criminelle de la Cour de cassation, dans l’arrêt du 13 octobre 2020, le code de déverrouillage peut être considéré comme une convention secrète de déchiffrement, dès lors que « ledit téléphone est équipé d’un moyen de cryptologie ».

La notion de « téléphone d’usage courant » qui n’avait donc pas été définie par la cour d’appel, ne permet pas de déterminer si un téléphone est ou non équipé d’un moyen de cryptologie, qui pourrait être déchiffré par le système de déverrouillage mis en place.

Concrètement, la chambre criminelle tempère le raisonnement selon lequel l’usage du code ne permettrait pas de déchiffrer les données, mais simplement d’y accéder.

Il se pourrait, dès lors que le système de déverrouillage agit sur le chiffrement du terminal, que le code soit effectivement considéré comme une convention secrète de déchiffrement.

Or la plupart des téléphones récents sont des smartphones possédant un système d’exploitation intégrant par défaut le chiffrement (Android 6, IOS 8, HarmonyOS)

Par conséquent, le refus de délivrer ce code aux autorités pourrait donner lieu à condamnation sur le fondement de l’article 434-15-2 du code pénal.

Pour les téléphones plus anciens, qui ne sont pas smartphones (sans système d’exploitation) ou qui sont des versions plus anciennes que celles citées ci-dessus, l’article 434-15-2 semble ne pas pouvoir s’appliquer.

Mais normalement, l’accès aux données de ces téléphones moins sophistiqués par les enquêteurs ne devrait pas poser problème.

[1] – Les moyens de cryptologie – Source Sénat.

[2] – Décision n° 2018-696 QPC du 30 mars 2018.

[3] – Décision n° 2018-696 QPC du 21 mars 2018.

[4] – Cryptologie : un code de téléphone n’est pas une convention secrète de déchiffrement – Source Dalloz.