Roneo

Proposition de résolution de cas pratique en droit et procedure pénale (Niveau M2) : Une personne physique introduit une plainte tendant à mettre un terme à la détention des données personnelles et la diffusion des vidéos au main d'une plateforme media type Dailymotion. Or, le retrait effectif du contenu est mis en échec par l'entité. Par voie de saisine directe, il a été versé auprès du TJ compétent une requête introductive retraçant les circonstances par lesquelles sont intervenus les faits. Vous êtes auditeur (trice) au parquet de Bordeaux, les substituts de garde débordés. Vous êtes chargé(e) de constater la réalisation concrète des infractions à fin d’apprécier des suites à donner à l’espèce en moins de 20 minutes.

#Contenu privé familial #Perte des identifiants depuis 5 ans #Contrôle d'Identité #Échec: procedure amiable trop longue #DPO: Mise en demeure #CNIL: saisie #Requérant: Regime de protection renforcée #Contexte legal: Été 2022 #Effacement: 1 an après ouverture de la requête initiale #Pauillac

REPONSE

I.Recevabilité de la plainte

Voir les anciens codes parquet

Bien que l’ effacement du contenu semble effectif le jour de l'examen, une diffusion durant une longue plage d'une année est susceptible de maintenir un résultat dommageable ainsi que son lien de causalité. Pour que le régulateur (CNIL) puisse déterminer techniquement l’ écueil à proscrire, il apparaît opportun que le juge judiciaire examine au préalable les circonstances par lesquelles perdurent les infractions pénales et de lui en faire publicité. Les motifs de classement sans suite sont inopposables. Le depot de la plainte simple est recevable (voir moyen de droit). 

II.Du choix des qualifications pénales

Le ministère public dispose d'une latitude de qualification pénale. L'énoncé n'évoquant aucun texte. Les infractions a envisager d’ambler étaient atteinte à l’intimité de la vie privée, divulgation prohibée et son incitation, et risque causé à autrui. Puis, il fallait se borner aux seules qualifications imputables.

L'atteinte à la vie privée, d'abord.

Le délit d'atteinte à la vie privée, suppose, pour être constitué, que la diffusion de l'image d'une personne sans le consentement de celle-ci, concerne l'intimité de sa vie privée, à savoir ses relations familiales ou amicales, sa vie conjugale ou sentimentale, sa situation physique ou son état de santé ( Arrêts de principe Crim 16 Févr. 2010, CA Besançon, 5 janvier 1978).

En l’espèce, le compte utilisateur dévoile des vidéos répondant aux critères d’intimité de la vie privée. Chacune des procédures amiables a été clôturée sans résoudre la problématique soulevée par le requérant. La publicité des images faisant immixtion de sa vie privée a cessé au bout d'un an. A cet égard, le résultat de cette infraction continue est caractérisé.

L’ article 226-2 CP d'atteinte à l'intimité de la vie privée est un délit intentionnel, l'intention étant constituée par la volonté et la conscience de porter atteinte à l'intimité de la vie privée d'autrui.

Dans le cas d’espèce, la soustraction du consentement, l’identité du requérant et le numéro de plainte administrative sont connus du DPO. La conscience du caractère litigieux du contenu diffusé est établie par un acte authentique. 

Il reste à explorer le caractère intentionnel ayant présidé au maintien du comportement interdit. A cet égard, par la conjugaison de recours antérieurs, l’agent a connaissance du fait que le titulaire du compte a ôté son consentement quant à la détention de ses données privées, la diffusion de ses contenus et, plus particulièrement, de ses vidéos familiales. Il est possible d'en déduire que le prestataire de service excipe de sa bonne foi, en alléguant devoir contrôler les pièces d’identité de chacune des personnes identifiées sur les vidéos puis se trouver dans l'obligation, en qualité de DPO, de clôturer ledit recours eu égard à l’ expiration d'un temps de réponse trop long.

L'énoncé précise la mise en place d'une protection renforcée, sans en determiner le régime. Dans ce cas de figure, une telle argumentation relève du mobile dans la mesure où une obsolescence manifeste des procédures internes, dénote une méconnaissance impardonnable de l’actualisation du droit, par un agent professionnel disposant des compétences, des pouvoirs et des moyens d’accomplir les diligences normales d’une obligation positive, et procède ainsi d’un comportement volontaire.

Il s’ensuit que l'ensemble des éléments constitutifs du délit d’atteinte à l’intimité de la vie privée étant réunis, l’infraction est bien consommée. Il convient désormais de vérifier que d’autres valeurs sociales n’ont pas été atteintes. L'énoncé place la saisine courant 2022. L' actualisation du droit, défaillante chez le commettant, devait ici intervenir avant de poursuivre le raisonnement.

• Actualisation du droit

Force est de constater que le législateur de 2021 s’est emparé de notre compréhension du respect des principes de la République (Loi du 24 août 2021), de la protection du signalant* (Loi du 21 Mars 2022) et de la sécurité globale (Loi du 25 Mai 2021) préservant les libertés et ce faisant, renvoie au juge le soin de prévenir les troubles à l’ordre public en débusquant le modus operandi au sein d’un espace en constante mutation depuis 2009.** 

• *Les directives (UE) 2019/1937 du Parlement européen et du Conseil du 23 octobre 2019 ont guidées, dès *le 21 Juillet 2021, les travaux du député Sylvain WASERMAN en modifiant l’art.9 de la Loi du 9 Décembre 2016 pour conclure ainsi que “ les éléments de nature à identifier le lanceur d'alerte ne peuvent être divulgués qu'avec le consentement de celui-ci ”.

• **A noter que l'application du titre III de la Loi du 21 Mars 2022, dès lors qu'il s'agit de traitement des données sur Internet, comporte de nombreuses similitudes avec l'art.52 de la Loi dite de sécurité globale. Qu'il s'agisse de GPX, signalant, gendarme ou magistrat, l'effectivité réelle de ce régime est critiquée pour son inadéquation manifeste.

Le délit de risque causé à autrui, ensuite.

Le délit de risque causé à autrui, suppose, pour être constitué, que la diffusion de l'image d'une personne, concernant l'intimité de la vie privée, familiale ou professionnel de celle-ci, permettent d'identifier ou de localiser cette dernière, aux fins d’exposer les membres de sa famille à un risque direct d'atteinte à la personne ou aux biens que l'auteur ne pouvait ignoré. 

La partie requérante présente une éligibilité au régime de protection renforcée. Cette prohibition légale change par substitution la situation de départ de l’agent, l’infraction continue disparaissant au profit d’une infraction formelle, la fin du dommage étant ainsi absorbée par la simple réalisation du comportement interdit.

Dans le cas d’espèce, la stricte confidentialité mise en œuvre par la Justice et le ministère de l'intérieur est dévolue à prévenir toute pression illicite sur le protégé, mais aussi sur ses relations familiales, amicales ou conjugales permettant de l’atteindre indirectement. La résection de cet anonymat et l’ incitation à dévoiler le régime de protection applicable par l’agent, sont en relation directe de causalité avec un résultat que la loi veut éviter, à savoir la survenance d’un risque de représailles. Le rapport adéquat de causalité se trouve réalisé si l’agent pouvait - et donc devait - prévoir les conséquences engendrées par son acte. 

Le délit de divulgation prohibée est caractérisé.

Se posait alors la question de la "désanonymisation" des personnes protégées par le législateur pour éteindre un résultat dommageable : est-ce que la solution proposée par l’agent ouvre une problématique plus grande que ce qu’il entendait résoudre ?

Plus précisément, la divulgation du régime de protection légale à une société commerciale, crée les conditions permettant aux employé(e)s d’identifier la pièce d’identité, le visage, les relations familiales, amicales ou conjugales, l’adresse IP, le matériel informatique, les biens, la fonction et la localisation géographique de la personne dépositaire de l'autorité publique, chargée d'une mission de service public ou la personne physique décrit par le chap.II de la Loi dite Sapin².

En cas de dommage direct découlant d’une faute ou d’intention de nuire, la responsabilité en cascade de l’agent peut-être supposée, attendu que le législateur a limité la détention de ces informations à l’autorité publique.

Ainsi, une fois établie qu’une causalité directe exista entre son comportement et le risque encouru, on pourrait déduire de l’intervention du DPO que s'il entendait que celle-ci fût explicitement dépourvue d’intention d’exposer les protagonistes présents sur les vidéos, il lui était loisible, par prudence, de recourir au procédé du floutage ou de suspension temporaire, ce qu'il n'a pas fait, ni suggéré en livrant ses instructions.

Qu'au surplus, pour ne pas compromettre auprès de tiers comme Hotmail ou Google la personne protégée, il lui était loisible de modifier le couple email + Password depuis sa base SQL, y compris sous chiffrage type MD5.

Dans le cas d'espèce, le législateur de l’art.36 de la Loi du 24 Août 2021 pose un tempérament à l'élément moral du délit en subordonnant le dol spécial à raison des conséquences découlant d'un acte protégé, ce qui n'était nullement le cas d'après l'énoncé. 

Le délit de risque causé à autrui ne devait pas être retenu. 

III.Sur la juridiction compétente

Compétence d’attribution

Les juridictions de première instance connaissent “des infractions pénales que la loi punit d’une peine d’emprisonnement ou d’une peine d’amende supérieure ou égale à 3750 € ( art.381 CPP, art.131-4 CP )”. 

En l'occurrence, l’atteinte à la vie privée codifiée par l’art. 223-1-1 CP fait encourir jusqu’à cinq ans d'emprisonnement et 75 000 euros d'amende. 

D'après l'énoncé, aucun mineur ni membre du gouvernement n’est suspecté pour la commission des faits. La juridiction de première instance compétente est le tribunal correctionnel.

Selon l'art. 40 CPP, “le Procureur de la République reçoit les plaintes et dénonciations et apprécie la suite à leur donner”. Il délivre les mesures alternatives aux poursuites (art.41-1 CPP), les avertissements (art.389 CPP) et avise les parties de la date de l’audience (art.391 CPP). La plainte doit être portée à son attention. 

Au vu de l’ensemble de ces éléments, la plainte recevable devrait être adressée au tribunal correctionnel et plus précisément, à l’attention de monsieur le procureur de la République. 

Ratione loci

L’art.113-2-1 CP prévoit que “tout délit réalisé au moyen d'un réseau de communication électronique, lorsqu'il est tenté ou commis au préjudice d'une personne physique résidant sur le territoire de la République (..), est réputé commis sur le territoire de la République”. 

Comme le parquet ne dispose pas d’une compétence nationale en matière d’infractions non criminelles commises sur internet, les critères de compétence territoriale de droit commun demeurent. Ainsi, aux termes de l’art.382 CPP, les tribunaux compétents sont ceux du lieu où la personne a physiquement agi pour commettre l’infraction et du lieu où l’internaute a constaté l’existence du méfait.

En l'occurrence, l’infraction a été relevée à Pauillac, Nouvelle-Aquitaine .

Au vu de l’ensemble de ces éléments, il apparaissait que la plainte devait être présentée au tribunal correctionnel de Bordeaux, et plus précisément, au pôle général de l’action publique. Votre stage se déroulant à Bordeaux, votre office était donc, bien compétent.

 IV.Du contrôle de légalité

Du délit d’atteinte à l'intimité de la vie privée

Le principe de légalité applicable en droit pénal suppose la réunion des éléments légal, matériel et moral en vue de qualifier l’infraction. Afin de choisir le fondement légal idoine, il convient de vérifier en premier lieu le dommage subi. 

En l’espèce, le maintien de la diffusion des images d’un plaignant éligible au régime de protection, sans son consentement, laisse apparaître les visages et la localisation de celui-ci, de ses relations familiales ou amicales. Nous envisagerons ici que le cas du régime Waserman. Il convient donc de vérifier les conditions d’application des art.226 -1 et -2 du Code pénal et de l’art.5 de la Loi du 21 Mars 2021.

Les articles 2° et 3° 226-1, 226-2 et 121-3 du Code pénal invitent à caractériser, matériellement, à la fois une faute et un lien de causalité entre celle-ci et le dommage causé. 

Un lien de causalité, tout d’abord. Les infractions matérielles supposent un acte et un résultat. Dans tous les cas, il faut pouvoir relier le dommage à la faute, de manière certaine, et la chambre correctionnelle insiste sur ce point. Il n’y aura donc pas de délit, faute de causalité, lorsque le dommage est imputable à une cause extérieure exclusive, ou encore au comportement de la victime. Avant de se manifester, même indirectement, la causalité doit s’imposer dans son existence ; ce n’est qu’une fois que cette existence est bien établie qu’alors, dans un second temps, la causalité pourra être précisée dans sa nature. Concrètement, le lien sera certain si, sans l’acte en question, le dommage ne se serait jamais produit. 

En l’espèce, le plaignant a téléversé de son plein gré des contenus personnels l’identifiant, auprès de proches, supposément dans des lieux d’habitation et dans l’ espace public. L’agent n’est donc responsable que de la conservation et de la diffusion des contenus, pas de leur captation. 

L’agent détient une copie des identifiants utiles à la gestion du compte égaré du plaignant. L’agent possède ainsi un moyen d’interagir avec le contenu litigieux et de restaurer la connexion des usagers sans tiers. Dès lors qu’il acquiert la conscience d’une diffusion litigieuse et décide de ne pas intervenir, il crée un lien direct entre ses actes et le résultat dommageable. 

La prudence avec laquelle le plaignant a préféré transiter par un organisme d’Etat au lieu d’une société commerciale pour faire vérifier sa pièce d’identité, à raison de la réitération du risque de représailles, ne saurait constituer une cause exonératoire pour l’agent.

Une faute, ensuite. La loi distingue plusieurs types de fautes, en fonction de la nature du lien retenu. En présence d’un lien de causalité direct, une faute simple suffit, qui peut être de deux ordres ( C. pén.,art. 121-3,al. 3 ):

- soit une imprudence, maladresse, inattention ou négligence : il s’agit d’une faute positive (maladresse...) ou négative (imprudence...). La faute est appréciée souverainement par le juge, qui dispose là d’une grande marge de manœuvre. L’appréciation se réalise in concreto ; le juge vérifiera que l’agent n’a pas accompli les diligences normales au regard de ses missions et de ses fonctions. 

- Soit un manquement à une obligation de prudence ou de sécurité imposée par la loi ou par le règlement. Cette faute est ici objective car repose sur une constatation : la transgression d’une obligation légale ou réglementaire. Le juge ne dispose donc pas, ici, de pouvoir d’appréciation.

Avant le 21 Mars 2022, l'échec des recours amiables apparaît sous la Loi dite Fauchon, les directives européennes 2016/679 du 27 Avril 2016 et les dispositions du chapitre II de la Loi du 9 Décembre 2016. 

Au 23 Octobre 2019, l'insuffisance du régime de protection Sapin² est pointée par les directives 2019/1937. Aussi le plaignant n’était pas en mesure de mettre un terme à la diffusion sans dévoiler des données sensibles à une entité extra-judiciaire tandis qu’il n'était pas dans les prérogatives de l’agent d’échafauder une assistance clientèle déjouant, ex-nihilo, les effets d’une inconventionnalité de la loi anticorruption française. 

Néanmoins, l’agent professionnel impose des mesures sui-generis comportant notamment, un délai d’expiration du recours pour déduire de l’absence de réponse de l’utilisateur particulier que le dommage relevé et son lien de causalité, sont dissous. Ce choix renvoie à discuter de la faute simple de l’auteur qui a voulu l’acte causal du dommage.

Ici, le résultat final, celui d'un déséquilibre des droits fondamentaux érigés par l’art. 4 des directives 2016/679, s'agrège dans la recherche d’un résultat intermédiaire, celui d’optimiser le stock de contenus en ligne, fond de commerce d’une société spécialiste des médias, en imposant des procédures de recours ineffectives pour mettre un terme au dommage. 

Il est possible de soutenir par le juge du fond que par le choix de cette architecture, érigée autour d’ une négligence, que l’agent a agit dans l’indifférence des valeurs sociales protégées par la loi pénale c’est à dire sans prendre le mesures nécessaires dans le cadre de ces compétences ainsi que du pouvoir et des moyens dont il dispose pour éviter d’entretenir une infraction continue. 

Après le 21 Mars 2022, l'échec du recours amiable du 26 Avril 2022 apparaît sous les dispositions du chapitre II de la Loi dite Waserman qui consacre le respect du consentement comme objectif de stricte confidentialité de l’identité des auteurs de signalement.

La structure des infractions formelles découlant de l’art.5 de la Loi dite Waserman est cependant particulière, de par l’objectif poursuivi par le législateur. Il ressort, en effet, sous le timbre du rapport de la commission mixte paritaire du 1 Février 2022, que “c’est bien dans les limites de la loi en vigueur ( Sapin² ) que nous puisons le nouveau texte et les idées qu’il faut faire prospérer en son sein”. L’art.9 de la loi dite Sapin² est ainsi modifié pour encadrer l'immixtion dans la vie privée du signalant par des tiers extrajudiciaire et limiter toute action susceptible de faire entrave à l’oeuvre de la justice à l’instar de la crainte de représailles dirigées à l’encontre de ses relations familiales ou amicales, sa vie conjugale ou sentimentale, sa situation physique, professionnelle ou économique (art.226-16-2 CP).

Le DPO, en tentant d’imposer la divulgation de l’identité protégée, en maintenant la diffusion interdite et derechef, en ne faisant pas effectuer la mise à jour du process de recours, a commis une négligence.

Il est possible de soutenir pour le juge du fond que par le choix de ces actes volontaires, érigés autour d’ une négligence, l’auteur agit dans l’indifférence d’une prohibition légale, c’est à dire sans prendre le mesures nécessaires dans le cadre de ces compétences ainsi que du pouvoir et des moyens dont il dispose pour éviter d’entretenir une infraction formelle. 

L’atteinte à l’intimité de la vie privée est ainsi caractérisée selon l’article 226-1 CP, pour laquelle l’agent encourt une peine d'un an d'emprisonnement et de 45 000 euros d'amende. 

La divulgation prohibée des éléments confidentiels est caractérisée selon l’article 9-II de la Loi du 9 Décembre 2016, dont l’auteur encourt un peine deux ans d'emprisonnement et de 30 000 € d'amende.

L’agent ayant commis un fait matériel unique et violé à lui tout seul plusieurs dispositions de la loi pénale, il y a concours idéal d’infractions (art.132-2 CP et suivant). L’expression pénale la plus sévère (Arret de principe Crim 16 Mai 2006) ou la plus spéciale doit être retenue. 

Le délit de divulgation des éléments confidentiels de l’identité de l’auteur d’un signalement était celui à qualifier.

V.Opportunité des poursuites

Afin de conjurer les effets du comportement fautif, l’intervention du Procureur de la République semblait prégnante. Nous n'aborderons que les mesures alternatives aux poursuites qui, en 2022, présentent un intérêt pédagogique pour l'étudiant(e). 

L'avertissement pénal probatoire consacré par l'article 14 de la Loi 22 décembre 2021 n'était effective qu’à compter du 1 Janvier 2023,

La CJIP érigée par l’art.41-1-2 CPP ne connaît que les infractions financières et connexes,

Le dispositif de CRPC, édicté par l’art. 496-7 CP et suivant, paraissait opportun pour préciser, grâce à une ordonnance motivée, le cheminement intellectuel coupable à faire proscrire par le régulateur technique. Toutefois, sa mise en place aurait entraîné une publicité indésirable autour du signalement vraisemblablement en cours d’examen.

Il restait l’application des al. 1,3,4,7 l’art.41-1 CP pourtant marquée par un déclin à compter du 1 Juin 2022.