| |
U.S. Department of Justice
Criminal Division
| Office of Assistant Attorney General | Washington, D.C. 20530
23 juin 2023
Mme Ana Gallego Torres
Directrice générale de la justice et des consommateurs
Commission européenne
Rue Montoyer 59
1049 Bruxelles
Belgique
Madame,
La présente lettre vous propose un bref aperçu des principaux outils d’enquête utilisés pour obtenir des données commerciales et d’autres informations auprès de sociétés aux États-Unis à des fins de répression pénale ou d’intérêt public (en matière civile et réglementaire), ainsi que les limitations d’accès qui accompagnent ces compétences. Toutes les procédures légales décrites dans la présente lettre sont de nature non discriminatoire dans la mesure où elles servent à obtenir des informations auprès de sociétés aux États-Unis, y compris des sociétés qui autocertifieront leur adhésion au cadre de protection des données UE — États-Unis, sans distinction de nationalité ou de lieu de résidence de la personne concernée. En outre, les sociétés qui font l’objet d’une procédure légale aux États-Unis peuvent contester celle-ci devant une juridiction, comme indiqué ci-dessous.
Le quatrième amendement de la Constitution des États-Unis, particulièrement important en ce qui concerne la saisie de données par des autorités publiques, dispose que «[l]e droit des citoyens d’être garantis dans leurs personne, domicile, papiers et effets, contre les perquisitions et saisies non motivées ne sera pas violé, et aucun mandat ne sera délivré, si ce n’est sur présomption sérieuse, corroborée par serment ou déclaration solennelle, ni sans qu’il décrive avec précision le lieu à fouiller et les personnes ou les choses à saisir». Amendement IV de la Constitution américaine. Comme l’a jugé la Cour suprême des États-Unis dans l’arrêt Berger v. State of New York, «[l]a finalité première [de cet] amendement, telle que reconnue dans de nombreuses décisions de la Cour, est de protéger la vie privée et la sécurité des individus contre les intrusions arbitraires des responsables du gouvernement». 388 U.S. 41, 53 (1967) [citant Camara v. Mun. Court of San Francisco, 387 U.S. 523, 528 (1967)]. Dans les enquêtes pénales nationales, le quatrième amendement exige généralement des responsables de l’application de la loi qu’ils obtiennent un mandat délivré par un tribunal avant de mener une perquisition. Voir Katz v. United States, 389 U.S. 347, 357 (1967). Les normes relatives à la délivrance d’un mandat, telles que les exigences en matière de motif sérieux et de particularité, s’appliquent aux mandats de perquisition et de saisie physiques ainsi qu’aux mandats relatifs au contenu enregistré de communications électroniques délivrés en vertu de la loi sur les communications enregistrées (Stored Communications Act) comme nous le verrons plus loin. Lorsque l’obligation de mandat n’est pas applicable, le quatrième amendement soumet toujours les activités du gouvernement à un critère de «caractère raisonnable». La Constitution elle-même garantit donc que le gouvernement américain n’a pas le pouvoir illimité ou arbitraire de saisir des informations privées.
Autorités répressives en matière pénale:
Les procureurs fédéraux, qui sont des fonctionnaires du ministère de la justice (Department of Justice ou «DOJ»), et les enquêteurs fédéraux, y compris les agents du Federal Bureau of Investigation («FBI»), un organe répressif relevant du DOJ, peuvent exiger la production de documents et d’autres informations auprès de sociétés aux États-Unis aux fins d’une enquête pénale en utilisant plusieurs types de procédures juridiques contraignantes, au nombre desquelles les citations à comparaître devant un grand jury («grand jury subpoenas»), les injonctions administratives et les mandats de perquisition, et peuvent également obtenir d’autres communications grâce aux pouvoirs fédéraux relatifs aux écoutes téléphoniques et aux enregistreurs graphiques.
Citations à comparaître devant un grand jury: celles-ci sont utilisées dans le cadre d’enquêtes d’application de la loi ciblées. Une citation à comparaître devant un grand jury est une demande officielle émanant d’un grand jury (généralement à la demande d’un procureur fédéral) pour les besoins d’une enquête judiciaire sur une suspicion de violation du droit pénal. Le grand jury est l’organe d’enquête de la cour. Il est présidé par un juge ou un magistrat. L’injonction peut contraindre une personne à témoigner dans le cadre d’une procédure ou à produire ou mettre à disposition des autorités les documents professionnels, informations électroniques ou autres éléments tangibles en sa possession. Les informations doivent être pertinentes pour l’enquête et l’injonction doit rester raisonnable, c’est-à-dire qu’elle ne peut être trop large, trop lourde ou trop oppressive. Le destinataire peut invoquer ces motifs pour contester une injonction. Voir Fed. R. Crim. P. 17. Dans de rares circonstances, les injonctions à produire des documents peuvent être utilisées après la mise en accusation par le grand jury.
Injonctions administratives: les pouvoirs d’injonction administrative peuvent être exercés dans le cadre d’enquêtes pénales ou civiles. Dans le contexte de l’application du droit pénal, plusieurs actes législatifs fédéraux autorisent l’utilisation d’injonctions administratives pour obtenir la production ou la mise à disposition de documents professionnels, d’informations électroniques ou d’autres éléments tangibles pertinents dans le cadre d’enquêtes sur des fraudes à l’assurance maladie, des abus d’enfants, la protection des services secrets, des abus de substances illégales et des enquêtes de l’inspecteur général impliquant des agences gouvernementales. Si les pouvoirs publics demandent l’exécution d’une injonction administrative à une juridiction, le destinataire de l’injonction peut, comme pour une injonction à comparaître, faire valoir que l’injonction présente un caractère déraisonnable car elle est trop large, oppressive ou lourde.
Ordonnances judiciaires relatives aux enregistreurs graphiques et aux dispositifs de traçage: au titre des dispositions relatives à l’utilisation d’enregistreurs graphiques et de dispositifs de traçage en matière pénale, les autorités répressives peuvent obtenir une ordonnance judiciaire afin d’accéder à des informations génériques de composition de numéro de téléphone, de routage, d’adressage et de signalisation, ne portant pas sur le contenu et en temps réel, sur un numéro de téléphone ou une adresse de courrier électronique, à condition de certifier que les informations à fournir sont en rapport avec une enquête pénale en cours. Voir 18 U.S.C. §§ 3121 à 3127. L’utilisation ou l’installation d’un tel dispositif en dehors du cadre prévu par la loi constitue une violation du droit fédéral.
Loi sur la confidentialité des communications électroniques (Electronic Communications Privacy Act ou «ECPA»): d’autres règles régissent l’accès des pouvoirs publics aux informations d’abonnement, données de trafic et contenus de communications enregistrés par des fournisseurs de service internet (également appelés «FSI»), des compagnies de téléphone et d’autres fournisseurs de services tiers, conformément au titre II de l’ECPA, également appelée loi sur les communications enregistrées (Stored Communications Act ou «SCA») (18 U.S.C. §§ 2701 à 2712). La SCA établit un système de droits au respect de la vie privée empêchant les autorités répressives d’accéder aux données des clients et abonnés des FSI au-delà de ce qui est prévu par le droit constitutionnel. La SCA prévoit des niveaux accrus de protection de la vie privée en fonction du caractère intrusif de la collecte. Pour les informations relatives à l’enregistrement des abonnés, les adresses IP et les données temporelles y afférentes, ainsi que les informations de facturation, les autorités répressives doivent obtenir une injonction. Pour la plupart des autres informations enregistrées ne portant pas sur le contenu, telles que les intitulés de courriers électroniques sans indication d’objet, elles doivent présenter des faits spécifiques à un juge afin de démontrer que les informations demandées sont pertinentes et nécessaires pour une enquête pénale en cours. Afin d’accéder au contenu enregistré de communications électroniques, les autorités répressives doivent, en règle générale, obtenir auprès d’un juge un mandat fondé sur un motif sérieux de croire que le compte en question contient des preuves d’une infraction grave. La SCA prévoit également des sanctions de responsabilité civile ainsi que des sanctions pénales.
Ordonnances judiciaires de surveillance conformément à la loi fédérale relative aux écoutes téléphoniques: les autorités répressives peuvent également intercepter en temps réel les communications filaires, orales ou électroniques pour les besoins d’une enquête pénale conformément à la loi fédérale relative aux écoutes téléphoniques. Voir 18 U.S.C. §§ 2510 à 2523. Ce pouvoir est soumis à l’octroi d’une ordonnance judiciaire par un juge estimant notamment qu’il existe un motif sérieux de croire que la mise sur écoute ou l’interception électronique permettra d’obtenir des preuves d’une infraction grave au droit fédéral ou des renseignements sur la localisation d’un fugitif cherchant à échapper à des poursuites. La législation prévoit des sanctions pénales et en responsabilité civile en cas de violation des dispositions relatives aux écoutes téléphoniques.
Mandat de perquisition – Fed. R. Crim. P. Règle 41: les autorités répressives peuvent procéder à des fouilles physiques de locaux aux États-Unis sur autorisation du juge. Elles doivent pour cela démontrer au juge qu’il existe un motif sérieux de penser qu’une infraction grave a été ou va être commise et que des éléments en rapport avec cette infraction pourraient se trouver à l’endroit spécifié dans le mandat. Ce pouvoir est souvent utilisé lorsque la fouille physique d’un local par la police est nécessaire compte tenu du risque que la société ne détruise les preuves si elle reçoit une injonction ou une autre ordonnance de production d’informations. Une personne faisant l’objet d’une fouille ou dont les biens font l’objet d’une perquisition peut agir pour réclamer la suppression des preuves obtenues ou dérivées d’une fouille ou perquisition illicite si ces preuves sont présentées à son encontre au cours d’un procès pénal. Voir Mapp v. Ohio, 367 U.S. 643 (1961). Lorsqu’un détenteur de données est tenu de divulguer des données en vertu d’un mandat, la partie obligée peut notamment contester l’obligation de divulgation au motif qu’elle est indûment contraignante. Voir In re Application of United States, 610 F.2d 1148, 1157 (3d Cir. 1979) (estimant que «la procédure régulière exige une audition sur la question de la lourdeur avant d’obliger une compagnie de téléphone à fournir» une assistance pour un mandat de perquisition); In re Application of United States, 616 F.2d 1122 (9th Cir. 1980) (parvenant à la même conclusion sur la base de l’autorité de contrôle du tribunal).
Lignes directrices et politiques du DOJ: outre ces limitations constitutionnelles, législatives et réglementaires de l’accès des pouvoirs publics aux données, le procureur général a également publié des lignes directrices limitant davantage l’accès des autorités répressives aux données, qui contiennent également des protections concernant la vie privée et les libertés civiles. Par exemple, les lignes directrices du procureur général destinées aux activités intérieures du FBI (septembre 2008) (Attorney General’s Guidelines for Domestic Federal Bureau of Investigation Operations, ci-après les «AG FBI Guidelines»), disponibles à l’adresse http://www.justice.gov/archive/opa/docs/guidelines.pdf, limitent l’utilisation de moyens d’enquête pour l’obtention d’informations relatives à des enquêtes sur des infractions fédérales graves. Ces lignes directrices exigent du FBI qu’il utilise les méthodes d’enquête les moins intrusives possible, en tenant compte de leur incidence sur la vie privée et les libertés civiles et du préjudice potentiel à la réputation des personnes concernées. Elles indiquent par ailleurs que «le FBI doit de toute évidence effectuer ses enquêtes et autres activités d’une manière licite et raisonnable, qui respecte la liberté et la vie privée et évite toute intrusion inutile dans la vie des personnes respectueuses de la loi». Voir AG FBI Guidelines, p. 5. Le FBI a mis en œuvre ces lignes directrices au moyen du guide sur les enquêtes et activités intérieures du FBI (Domestic Investigations and Operations Guide, DIOG), disponible à l’adresse https://vault.fbi.gov/FBI%20Domestic%20Investigations%20and%20Operations%20Guide%20%28DIOG%29. Il s’agit d’un manuel complet qui inclut des limitations détaillées de l’utilisation des outils d’enquête, ainsi que des orientations visant à garantir la protection des libertés civiles et de la vie privée dans toutes les enquêtes. D’autres règles et politiques limitant les activités d’enquête des procureurs fédéraux sont incluses dans le manuel de la justice, également disponible en ligne à l’adresse https://www.justice.gov/jm/justice-manual.
Compétences civiles et réglementaires (intérêt public):
Il existe également des limitations importantes d’ordre civil ou réglementaire (autrement dit d’«intérêt public») à l’accès aux données détenues par des sociétés aux États-Unis. Les agences investies de responsabilités civiles et réglementaires peuvent adresser des injonctions aux sociétés afin d’accéder à des documents professionnels, à des informations électroniques ou à d’autres éléments tangibles. L’exercice, par ces agences, de leurs pouvoirs d’injonction administrative ou civile est limité non seulement par leur statut interne, mais aussi par un contrôle judiciaire indépendant des injonctions préalable à leur éventuelle application judiciaire. Voir, par exemple, Fed. R. Civ. P. 45. Les agences ne peuvent demander l’accès qu’aux données concernées par les domaines relevant de leur compétence. Par ailleurs, le destinataire d’une injonction administrative peut contester l’exécution de celle-ci devant un tribunal en démontrant que l’agence n’a pas respecté le principe fondamental du caractère raisonnable présenté ci-dessus.
Il existe d’autres bases juridiques permettant aux sociétés de contester des demandes de données émanant d’agences administratives, en fonction de leur secteur d’activité et du type de données en leur possession. Par exemple, les institutions financières peuvent contester les injonctions administratives réclamant certains types d’informations au motif d’une violation de la loi sur le secret bancaire et de ses modalités d’exécution. Voir 31 U.S.C. § 5318; 31 C.F.R. chapitre X. Les autres sociétés peuvent invoquer le FAIR Credit Reporting Act (voir 15 U.S.C, § 1681b) ou d’autres dispositions législatives sectorielles. L’utilisation abusive par une agence de son pouvoir d’injonction peut entraîner la responsabilité de l’agence ou la responsabilité personnelle de ses employés. Voir, par exemple, loi sur le droit à la confidentialité financière (Right to Financial Privacy Act), 12 U.S.C. §§ 3401 à 3423. Les tribunaux des États-Unis servent donc de remparts aux demandes réglementaires abusives et assurent une surveillance indépendante des activités des agences fédérales.
Enfin, tout pouvoir accordé par la loi aux autorités administratives pour saisir physiquement des documents d’une société aux États-Unis en vertu d’un mandat de perquisition doit respecter les exigences fondées sur le quatrième amendement. Voir See v. City of Seattle, 387 U.S. 541 (1967).
Conclusion:
Toutes les activités réglementaires et répressives effectuées aux États-Unis doivent respecter le droit applicable, y compris la Constitution américaine, les actes législatifs, les règles et les règlements. Ces activités doivent également se conformer aux politiques applicables, notamment les lignes directrices du procureur général régissant les activités répressives des autorités fédérales. Le cadre juridique décrit ci-dessus limite la capacité des agences répressives et réglementaires américaines d’obtenir des informations de la part de sociétés aux États-Unis – qu’elles concernent des ressortissants américains ou des ressortissants de pays tiers – tout en permettant le contrôle judiciaire de toute demande de données adressée par les pouvoirs publics en vertu de ces compétences.