Microsoft n’a pas à transmettre au gouvernement américain les données hébergées en Europe

La Cour d’Appel du 2e Circuit est arrivée à la conclusion que le mandat accordé par un juge ne permettait pas d’obliger Microsoft Corporation (société américaine) à produire les données d’un de ses clients hébergées en Europe (Décision du 14 juillet 2016, Microsoft Corporation v. Government of the United States of America, Docket No. 14‐2985).  Cette décision est sujette à recours devant la Cour Suprême.

Le cadre de l’affaire
Dans le cadre d’un affaire de stupéfiants, un juge américain a émis un mandat («warrant») à la demande du gouvernement ordonnant à Microsoft Corporation, dont le siège est à Redmond (Etat de Washington), de produire les courriels de l’utilisateur d’une adresse @msn.com. Microsoft a remis les métadonnées (informations qui ne concernent pas le contenu) qui étaient hébergées aux USA, mais a refusé de transmettre le contenu hébergé sur les serveurs en Irlande. On ignore la nationalité et le domicile de l’utilisateur.

Les données sont en principe hébergées dans la région où le client est situé, ce qui est déterminé automatiquement en fonction du pays. Certaines données sont néanmoins toujours hébergées aux USA: des métadonnées dans un but de test et contrôle de qualité, certaines informations au sujet du carnet d’adresse de l’utilisateur et certaines informations de base comme le nom de l’utilisateur et son pays.

Pour la Cour comme pour les parties, il ne fait pas de doute que les données visées étaient bien hébergées en Irlande et qu’il aurait fallu les collecter en Irlande pour pouvoir les fournir au gouvernement américain. Microsoft a cependant admis qu’à certaines conditions, il lui était possible de télécharger les données hébergées hors USA depuis certains bureaux aux USA.

Un mandat SCA
Le mandat a été accordé sur la base du Stored Communication Act (SCA) de 1986, soit le titre II du Electronic Communications Privacy Act (ECPA). Le SCA a été adopté par le Congrès pour accorder aux documents électroniques une protection similaire à celle du IVe Amendement (exigence d’un mandat pour procéder à une perquisition).

Le SCA ne contient aucune mention d’une application extraterritoriale. Quant à la compétence de délivrer un mandat, elle permet au juge d’un district de délivrer un mandat qui devra être exécuté dans d’autres districts (mais elle ne mentionne pas d’autres pays).

La Cour mentionne une décision de 1983 dans la cause Marc Rich où elle avait admis qu’un Grand Jury pouvait, sur la base d’une assignation («subpoena»), exiger la production par le défenseur de documents qu’il détenait à l’étranger (en l’occurrence en Suisse). Si la Cour considère qu’il est justifié d’obliger une partie à produire des documents qu’elle détient à l’étranger dans un cause qui a des effets aux USA, il en va différemment lorsque les documents sont confiés à un tiers qui est le destinataire de la demande. Au surplus, la Cour Suprême a eu l’occasion de confirmer qu’un client ne peut pas se prévaloir d’un intérêt digne de protection s’agissant des dossiers concernant ses comptes (il s’agit de documents de la banque et non de papiers privés).

Etant arrivée à la conclusion qu’un mandat basé sur le SCA ne permet pas d’obtenir de Microsoft Corporation la production de données hébergées en Irlande, la Cour devait encore vérifier si le SCA ne permettait pas d’obtenir les données sans mandat. Elle a considéré que le but même du SCA était de protéger la sphère privée des utilisateurs et qu’en accédant aux courriels en Irlande depuis les USA, Microsoft Corporation devrait agir depuis les USA et était donc soumis au droit américain (et qui donc exige un mandat). Il n’est donc pas possible de considérer que la protection du SCA ne s’applique pas à la transmission des données par une société aux USA, même si les données sont initialement à l’étranger.

Le lieu du serveur
Cette décision permet donc à un client, y compris américain, de choisir que ses données seront hébergées à l’étranger et soustraites au gouvernement américain. Ce sont les termes du contrat entre client et fournisseur qui indirectement posent les limites à l’accès de l’Etat. Le lieu du serveur est d’une certaine manière plus importante que le lieu du siège de la société. Dans ce cas précis, la Cour a posé des limites strictes à l’application extraterritoriale du droit américain. Ces limites ne découlent pas du principe que le droit américain ne doit pas s’appliquer hors des USA, mais simplement que ce n’était pas le but visé par cette loi en particulier.

Cela ne signifie pas pour autant que le gouvernement américain ne peut pas obtenir ces données, mais simplement qu’il doit construire sa demande sur une autre loi, par exemple un traité d’entraide judiciaire. Il est aussi imaginable que le Congrès modifie le SCA pour permettre à un mandat de viser des données hébergées à l’étranger.

Finalement un simple choix commercial du fournisseur de modifier l’emplacement de ses serveurs ou de réorganiser les allocations au sein de ses différents serveurs pourrait aussi exposer le client.

Publications: Contrainte reconnue dans un cas de harcèlement obsessionnel

Le législateur a refusé d’ajouter dans le Code pénal une infraction de harcèlement obsessionnel («stalking») au motif que les éléments qui le constituent sont le plus souvent déjà sanctionnés individuellement. Dans un arrêt récent (141 IV 437), le Tribunal fédéral  a dû examiner certains actes revêtaient une intensité suffisante pour être comparable à un acte de violence ou une menace et ainsi réaliser l’infraction de contrainte de l’art. 181 CP. Pour ce faire,  le Tribunal fédéral a tenu compte des comportements précédents, et cela qu’ils aient eu lieu dans le monde réel ou en ligne.

J’ai résumé et commenté cette décision dans la revue Medialex 4/16.

La communication électronique des écrits

Le Conseil fédéral a publié un Rapport concernant la communication électronique des écrits (rapport concernant la motion Bischof 12.4139), ce qui est l’occasion de faire le point sur l’utilisation de la signature électronique et la communication électronique entre les tribunaux et les parties, un domaine où il y a encore beaucoup à faire.

La Communication électronique des écrits (CEE) signifie que les acteurs impliqués ne communiquent plus par courrier postal mais par voie électronique exclusivement. Comme le relève à juste titre le rapport, un simple échange de données par courriels ne suffit pas à réaliser la CEE. Il faut que les actes et les annexes parviennent au tribunal sous forme de fichier électronique structuré (avec des métadonnées) par un mode de transmission structuré et sécurisé, pour pouvoir être gérés de manière électronique. Les dossiers seraient alors accessibles en tout temps (pour autant que le tribunal l’autorise), simultanément à plusieurs parties et dans un format permettant une gestion informatique (et partiellement automatisée).

L’échec du dépôt électronique
A l’heure actuelle, la CEE peut s’effectuer sur certaines plateformes (www.incamail.ch et www.privasphere.com), mais elles n’ont pas vraiment été adoptées par les avocats. Elles requièrent une signature qualifiée et le système actuellement proposé n’est guère facile à utiliser. De toute façon, les actes reçus par voie électronique n’ont pas de métadonnées utiles. Ils sont imprimés et rangés avec les dossiers papiers, ce qui leur enlève tout intérêt. La pratique des autorités consistant à demander une copie papier et à faire porter le risque d’un dysfonctionnement de la plateforme à l’avocat retient même les plus motivés.

La signature électronique est en cours de révision et cela devrait permettre au Conseil fédéral de prendre ensuite les mesures utiles pour simplifier les exigences et le fonctionnement des dépôts.

Le dossier électronique et sa consultation
La première étape de la CEE est celle de la consultation électronique des dossiers. Il ne s’agit pas de documents numérisés sur un DVD (que l’avocat imprime ensuite avant de les lire) comme le proposent déjà certaines institutions, mais d’une vraie consultation en ligne du dossier. La grande majorité des dispositions sur la consultation des dossiers en vigueur ne prévoit pas l’usage d’un média particulier et peut tout à fait s’appliquer à la consultation électronique.

Les tribunaux peuvent donc introduire des solutions pour permettre la consultation électronique des dossiers qu’ils gèrent. Il faudrait que les pièces soient demandées via un formulaire structuré et qu’un dossier électronique soit constitué par le tribunal, qui le transmettra à la personne qui l’a demandé par un moyen de communication quel qu’il soit (envoi ou accès à une messagerie contenant les pièces). Il serait néanmoins souhaitable que tous les tribunaux utilisent un système commun. L’organisation judiciaire étant du ressort des cantons, une certaine harmonisation pourrait être envisagé par le biais d’une modification des codes de procédure.

Selon le rapport, le système commun de consultation électronique des dossiers devrait au moins répondre aux conditions suivantes :

  • la solution proposée est introduite de manière uniforme dans toute la Suisse;
  • le système permet une consultation des dossiers via un portail en ligne comportant des fonctionnalités de recherche, de classement et de téléchargement;
  • il existe un seul accès au système national pour ceux qui demandent à consulter les dossiers;
  • l’introduction de la consultation électronique des dossiers n’occasionne, au final, aucun frais pour les tribunaux. Les économies qui sont réalisées grâce à la consultation électronique des dossiers doivent être aussi importantes que les investissements et les coûts de fonctionnement.

En plus de la consultation électronique des dossiers, il faut également envisager leur archivage ainsi que revoir les modalités de dépôt électronique. ces deux points seront évidemment influencés par la consultation du dossier électronique.

Responsabilité civile des fournisseurs de services Internet

Dans son rapport intitulé «Cadre juridique pour les médias sociaux»  publié à l’automne 2013, le Conseil fédéral confirmait que le droit suisse ne présente pas de lacunes importantes et rappelle que même s’il n’y a pas une loi particulière pour les réseaux sociaux ou Internet, il ne s’agit pas d’une zone de non-droit. Parmi les questions ouvertes, il y avait celle de la responsabilité civile des intermédiaires, en particulier des fournisseurs de services qui permettent l’accès à un réseau et à des contenus. Encore une fois, le Conseil fédéral est arrivé à la conclusion qu’il n’est pas nécessaire, dans les conditions actuelles, d’édicter des dispositions de portée générale sur la responsabilité des fournisseurs.

Distinguer cessation d’une atteinte et responsabilité pour le dommage
Le Rapport du Conseil fédéral du 11 décembre 2015 sur la responsabilité civile des fournisseurs de services Internet dresse un panorama assez complet des dispositions légales applicables en distinguant les actions défensives (prévention et cessation d’une atteinte) des actions en réparation (paiement d’un dommage intérêt y compris tort-moral et remise de gain) dans les domaines de la protection de la personnalité, de la protection des données, de la concurrence déloyale et de la propriété intellectuelle. Une partie importante est consacrée au droit étranger, en particulier avec un avis de droit de l’Institut suisse de droit comparé consacré à la situation en Allemagne, France, Danemark, Royaume-Uni et États-Unis d’Amérique.

Le rapport présente un état de la situation et n’apporte malheureusement guère de réponses lorsque la doctrine est partagée. Ce sera bien aux tribunaux de trancher, même si l’on constate qu’il y a encore peu de jurisprudence. Les affaires les plus importantes ont d’ailleurs déjà été abordées sur ce blog comme l’arrêt «Tribune de Genève» du Tribunal fédéral, l’arrêt jurassien «Google Suggest» ou l’arrêt «Delfi» de la Cour européenne des droits de l’Homme.

Le Conseil fédéral considère que le droit en vigueur fournit d’ores et déjà aux tribunaux les instruments nécessaires pour écarter une légitimation passive dans le cas où la participation à l’atteinte n’est pas dans un lien de causalité adéquate, ce qui serait selon lui le cas pour les fournisseurs d’accès. Ce dernier point est à mon avis discutable.

Des mesures spécifiques seront examinées dans le cadre de la révision du droit d’auteur et une mesure de blocage est aussi prévue dans le projet de loi fédérale sur les jeux d’argent pour les offres de jeux d’argent enregistrées à l’étranger.

S’agissant de la responsabilité à l’égard des contenus mis en ligne, le critère déterminant est celui de la proximité du fournisseur avec le contenu. Un manque de diligence ne devrait être reproché au fournisseur d’hébergement que s’il est resté inactif après avoir reçu des indications précises d’une violation flagrante du droit et s’il n’a pas pris les mesures que l’on pouvait attendre de lui. Si le fournisseur n’a reçu aucune indication, une obligation spontanée ne devrait être retenue que pour les fournisseurs proches du contenu, comme les portails d’actualités ou les hébergeurs de forums et de blogs, et si des atteintes paraissent probables compte tenu des circonstances particulières.

Droit à connaître l’identité de l’auteur
Contrairement à la procédure pénale où une procédure peut être ouverte contre inconnu, cette possibilité n’existe pas en droit civil, d’où l’intérêt de pouvoir faire cesser toute atteinte par un participant même s’il n’en est pas l’auteur ou le responsable. Lorsque la commission par Internet d’un acte punissable est suspectée, les autorités de poursuites pénales ont la possibilité d’obtenir des fournisseurs de services de télécommunication et des fournisseurs de services de communication dérivés toute indication permettant d’identifier son auteur.

L’utilisation de la procédure pénale dans le seul but de bénéficier de la levée du secret des télécommunications pour connaître l’auteur de l’infraction en vue d’une procédure civile a été considéré comme un abus de droit dans les affaires Logistep. Le Conseil fédéral ne propose cependant pas de solution générale pour résoudre ce problème considérant qu’il n’est pas propre aux infractions commises sur Internet. S’agissant du droit d’auteur, des mesures seront étudiées séparément.

Un domaine ou un site web ne peut pas être séquestré

Dans un arrêt non publié (1B_294/2014), le Tribunal fédéral a refusé le séquestre d’un domaine Internet. Pour le tribunal cantonal valaisan, le blocage était comparable à une destruction au sens de l’art. 69 al. 2 CP, comme le pensaient plusieurs autres tribunaux cantonaux.

Pour le Tribunal fédéral, le blocage ne constitue pas une destruction d’un objet dangereux comme le permet l’art. 69 al. 2 CP, mais c’est la cessation immédiate d’un comportement (à savoir la publication d’opinions sur un site web). De plus, la destruction au sens de l’art. 69 al. 2 CP est une sanction pénale qui ne peut être ordonnée que par un juge de première instance dans un jugement pénal (art. 69 al. 2 CP) et non au stade de l’instruction.

Pas de confiscation d’un site web
La mesure étant disproportionnée, le Tribunal fédéral renvoie la cause sans trancher la question essentielle de savoir si des pages web peuvent être considérés comme des objets dangereux ou des instruments délictuels pouvant faire l’objet d’une confiscation sur la base de l’art. 69 al. 1 CP.

Le Tribunal fédéral exclut néanmoins implicitement la confiscation d’un site web ou de son accès, dès lors qu’il considère que le blocage correspond à la cessation d’un comportement.

A la demande de la revue juridique Medialex, j’ai commenté cette décision avec Nicolas Guyot dans l’édition 7/8 2015.

Publications: quel statut juridique pour les robots?

Des robots commencent à évoluer dans notre environnement, mais le cadre juridique actuel n’est pas très adapté. Pour éviter de faire face prochainement à des situations insatisfaisantes, notamment en termes de responsabilités, une prise de conscience et des aménagements légaux sont nécessaires. Cela pourrait passer par une reconnaissance du robot comme sujet de droits et obligations.

Je propose quelques pistes de réflexions dans l’article «Le moment est venu de reconnaître un statut juridique aux robots» co-écrit avec Nicolas Guyot et publié dans la revue Plaidoyer 03/2015.

Le séquestre de courriers électroniques chez le fournisseurs de télécommunications

Pour le tribunal fédéral (ATF 140 IV 181), les courriels qu’un prévenu a relevés sur le serveur du fournisseur de service de télécommunication peuvent être séquestrés chez le fournisseur, alors que ceux qui n’ont pas encore été relevés peuvent faire l’objet d’une surveillance en temps réel. Le secret de la correspondance disparaît dès que les courriels sont relevés, même s’ils restent accessibles sur le serveur et qu’ils n’ont pas été lus.

Séquestre ou surveillance de la correspondance ?
Un homme est accusé de meurtre et sa correspondance électronique contient des éléments nécessaires à l’enquête. La question qui se pose est de savoir quelle mesure (et donc quelles conditions) s’applique dans ce cas. De manière générale, lorsqu’une autorité pénale souhaite accéder à la correspondance électronique d’un prévenu, trois possibilités s’offrent à elle :

  • Le séquestre (263 CPP), qui permet de saisir les objets et valeurs patrimoniales appartenant au prévenu ou à des tiers lorsqu’il est probable qu’ils seront utilisés comme moyens de preuves. S’ils sont détenus par un tiers, ce dernier est soumis à une obligation de dépôt. Le prévenu est informé du séquestre par une ordonnance du ministère public.
  • La surveillance en temps réel (269 CPP) des télécommunications qui peut être ordonnée par le ministère public lorsque de graves soupçons laissent présumer qu’une infraction contenue dans la liste de l’art. 269. al. 2 CPP a été commise et que cette mesure est proportionnée. Elle doit être autorisée par le tribunal des mesures de contraintes. Cette mesure est secrète mais le prévenu peut ensuite la contester dans les 10 jours suivant son information. La surveillance porte sur le contenu et les données accessoires.
  • La surveillance rétroactive (273 CPP) qui se limite aux données relatives au trafic et à la facturation et identification des usagers (données accessoires). Elle peut être ordonnée par le ministère public lorsque de graves soupçons laissent présumer qu’un crime, un délit ou une contravention au sens de l’art. 179septies CP a été commis et que cette mesure est proportionnée. Elle doit être autorisée par le tribunal des mesures de contraintes. Cette mesure est secrète mais le prévenu peut ensuite la contester dans les 10 jours suivant son information. Il n’y a pas de surveillance rétroactive du contenu des courriels et les données accessoires peuvent être demandées avec effet rétroactif sur une période de six mois au plus.

Les limites du secret des télécommunications
La sphère privée de l’utilisateur est protégée par le secret des télécommunications qui s’applique durant le processus de communication. Ainsi un courrier postal est protégé pendant l’envoi, mais plus une fois qu’il est remis à son destinataire. On considère qu’il y a remise également lors du dépôt dans la boîte aux lettres du destinataire puisque l’on est dans sa sphère de maîtrise et que le fournisseur n’y a plus accès. Dans le cas d’une case postale, la maîtrise est partagée et le secret se prolonge jusqu’à ce que le destinataire accède à la case. Pour que l’autorité puisse obtenir le courrier qui est dans la boîte aux lettres (ou dans la case postale si le destinataire l’a ouverte et a choisi de l’y laisser), on appliquera les règles du séquestre, alors que pour le courrier dans la case non ouverte, ce sera celles de la surveillance de la correspondance (en temps réel).

Critique
L’analogie avec la case postale a ses limites en raison de l’ubiquité des données électroniques. Premièrement, relever un courriel ne signifie pas, selon le protocole utilisé, qu’il n’est plus sur le serveur. Le protocole POP3 généralement se connecte au serveur de messagerie, récupère le message et l’efface du serveur. En revanche, le protocole IMAP laisse les courriels sur le serveur dans le but de pouvoir les consulter de différents clients de messagerie. Pour le TF, celui qui utilise le protocole IMAP, pourtant très répandu car il permet d’accéder à sa messagerie depuis un téléphone et un ordinateur par exemple, renonce de fait à la protection du secret de la correspondance pour tous les messages qu’il a reçu.

Deuxièmement, lorsqu’un message est partiellement téléchargé, par exemple lorsqu’il est automatiquement poussé («push») sur un téléphone portable mais que seuls l’expéditeur et l’objet sont affichés (le corps du message étant encore exclusivement sur le serveur), le TF considérera-t-il qu’il est déjà entièrement dans la sphère du destinataire ?

Troisièmement, le TF retient que la consultation des messages déposés (mais pas encore relevés) dans la boîte électronique est une surveillance en temps réel et non rétroactive (ce qui permet l’accès au contenu). Sachant que les messages peuvent avoir été déposés plusieurs semaines auparavant, on peut se demander si l’on n’aurait pas déjà dû considérer que ce qui est arrivé dans la boîte est soumis à une surveillance rétroactive.

A mon avis, il aurait certainement été plus simple de considérer que toute acquisition directement chez le fournisseur est une surveillance des télécommunications, par opposition à l’acquisition chez le prévenu qui serait un séquestre. Cela éviterait aussi au ministère public de devoir savoir à l’avance si le prévenu a déjà relevé ou non un message qu’il souhaite obtenir et au fournisseur de séparer les messages sur le serveur qui ont déjà été relevés de ceux qui ne l’ont pas été (ce qui est une question indépendante de savoir s’ils sont marqués comme lus ou non lus!). Aux Etats-Unis, le Stored Communications Act prévoit un régime différent selon que les messages ont plus ou moins 180 jours, ce qui offre au moins un critère objectif.