L’accès aux données numériques en enquête pénale : réquisitions aux fournisseurs de messageries, conservation des métadonnées et contrôle préalable — Analyse de la jurisprudence de la chambre criminelle

L’accès aux données numériques constitue, depuis deux décennies, le nerf de l’enquête pénale. Qu’il s’agisse des métadonnées de connexion — ces « fadettes » qui jalonnent 85 % des procédures —, des contenus de messageries chiffrées ou des données de géolocalisation embarquées, la question de la licéité de leur réquisition par les enquêteurs innerve désormais l’intégralité du contentieux de la nullité devant la chambre de l’instruction. Le dialogue entre la Cour de cassation, la Cour de justice de l’Union européenne et le législateur français a produit, depuis l’arrêt fondateur La Quadrature du Net du 6 octobre 2020, un corpus jurisprudentiel d’une densité remarquable. L’année 2026 apporte à cet édifice des pierres nouvelles, à travers des arrêts qui précisent les contours du contrôle préalable, redéfinissent les conditions du quick freeze et interrogent la frontière entre accès aux métadonnées et exploitation du contenu des communications. Le présent article propose une analyse critique de cette construction, à l’aune des derniers arrêts de la chambre criminelle et du projet de loi sur la justice criminelle déposé en mars 2026.

I. Le cadre normatif de l’accès aux données numériques : entre exigences européennes et adaptations nationales

A. La conservation des métadonnées à l’épreuve du droit de l’Union

Le régime français de conservation des données de connexion repose sur un édifice législatif construit par strates successives. L’article L. 34-1, III, du code des postes et des communications électroniques, dans sa rédaction issue de la loi n° 2021-998 du 30 juillet 2021, permet au Premier ministre, lorsqu’est constatée une menace grave, actuelle ou prévisible, contre la sécurité nationale, d’enjoindre aux opérateurs de communications électroniques de conserver les données de trafic et de localisation pour une durée d’un an. La chambre criminelle a expressément validé la conformité de ce dispositif au droit de l’Union dans un arrêt du 16 janvier 2024 (Crim., 16 janv. 2024, n° 23-80.268), avant de préciser, dans une décision de section du 28 mai 2024, les conditions dans lesquelles les données ainsi conservées peuvent faire l’objet d’une injonction de conservation rapide (Crim., 28 mai 2024, n° 23-85.848, publié au Bulletin).

L’architecture retenue par la chambre criminelle procède d’une lecture systématique de l’arrêt La Quadrature du Net (CJUE, 6 oct. 2020, C-511/18, C-512/18, C-520/18). La conservation générale et indifférenciée des données de trafic et de localisation n’est admise qu’en cas de menace grave pour la sécurité nationale, constatée par injonction du Premier ministre. En dehors de ce cadre, seule une conservation ciblée ou une injonction de conservation rapide — le quick freeze — peut être mise en œuvre, dans les conditions strictement définies par l’article 60-1-2 du code de procédure pénale issu de la loi n° 2022-299 du 2 mars 2022. La chambre criminelle a jugé, dans l’arrêt précité du 28 mai 2024, que les réquisitions effectuées en application de l’article 77-1-2, alinéa 1^er, du code de procédure pénale, valent injonction de conservation rapide au sens de la Convention de Budapest du 23 novembre 2001. Toutefois, elle a immédiatement ajouté que « le respect de ces exigences légales ne saurait dispenser le juge de contrôler, en outre, que les faits de l’espèce relèvent de la criminalité grave au sens de la jurisprudence de la Cour de justice de l’Union européenne » (§ 10).

Cette double exigence — conformité formelle au seuil de trois ans d’emprisonnement prévu par l’article 60-1-2, et appréciation concrète de la criminalité grave — constitue le pivot du contrôle opéré par les chambres de l’instruction. Elle s’inscrit dans la méthodologie définie par la chambre criminelle dès le 12 juillet 2022 (Crim., 12 juill. 2022, n° 21-83.710, publié au Bulletin, § 38), qui impose au juge de vérifier, au cas par cas, si les faits poursuivis atteignent le seuil de gravité exigé par le droit de l’Union.

B. Le contrôle préalable : exigence européenne, adaptation pragmatique

L’arrêt Prokuratuur de la Cour de justice (CJUE, 2 mars 2021, H.K./Prokuratuur, C-746/18) a posé le principe selon lequel l’accès aux données de trafic et de localisation par les enquêteurs doit être soumis à un contrôle préalable d’une juridiction ou d’une entité administrative indépendante. Cette exigence a provoqué un séisme procédural en droit français, où le procureur de la République — autorité de poursuite et non juridiction indépendante au sens du droit de l’Union — dirigeait traditionnellement l’accès aux métadonnées en enquête préliminaire.

La chambre criminelle a choisi une voie pragmatique. Dans l’arrêt du 12 juillet 2022 (n° 21-83.710), elle a reconnu que l’absence de contrôle préalable par une autorité indépendante constituait une irrégularité. Cependant, elle a subordonné l’annulation à la démonstration, par le requérant, d’une « ingérence injustifiée dans sa vie privée et dans ses données à caractère personnel, de sorte que cet accès aurait dû être prohibé ». Cette grille de contrôle a posteriori a été confirmée à plusieurs reprises (Crim., 21 nov. 2023, n° 23-82.028, publié au Bulletin ; Crim., 28 mai 2024, n° 23-85.848, précité, § 12).

Le rapport sénatorial Surveiller pour punir ? de novembre 2023 (Rapport d’information n° 110, Sénat, session 2023-2024, par Mme Canayer et M. Bonnecarrère) a documenté l’ampleur du phénomène : près de trois millions de réquisitions de données en 2022, une hausse tendancielle de 10 % par an, et des métadonnées présentes dans 85 % des enquêtes pénales. Face à cette réalité opérationnelle, le Sénat a formulé seize recommandations pour éviter un « choc procédural », en préconisant notamment de confier le contrôle préalable au juge des libertés et de la détention plutôt qu’à une autorité administrative, et de conforter le rôle de la Plateforme nationale des interceptions judiciaires (PNIJ).

II. Les frontières mouvantes de l’accès aux données numériques : apports récents de la chambre criminelle

A. L’exploitation des données des téléphones saisis : consentement et limites

La saisie d’un téléphone lors d’une perquisition ou d’un contrôle ne règle pas, à elle seule, la question de l’exploitation des données qu’il contient. La chambre criminelle a précisé, dans un arrêt du 19 mai 2026, que le consentement donné par la personne concernée à la fouille de ses effets personnels emporte, lorsqu’il est régulier au sens de l’article 76 du code de procédure pénale, le consentement à l’exploitation des données à caractère personnel contenues dans les téléphones saisis, y compris par le recours à une personne qualifiée sur le fondement de l’article 77-1 (Crim., 19 mai 2026, n° 25-87.563). Cette solution, qui étend le périmètre de l’assentiment à l’exploitation numérique, soulève des interrogations sur l’effectivité d’un consentement dont la personne peut ne pas mesurer toute la portée au moment où elle l’exprime.

La question du serment des personnes qualifiées requises pour assister à l’exploitation des données numériques a fait l’objet d’un important arrêt de cassation rendu le 11 octobre 2023 (Crim., 11 oct. 2023, n° 23-80.819, publié au Bulletin). La chambre criminelle a jugé que la formalité du serment prêté par les personnes qualifiées non inscrites sur une liste d’experts, requises en application de l’article 77-1 du code de procédure pénale, est « édictée en vue de garantir la fiabilité de la recherche et de l’administration de la preuve » et que sa méconnaissance peut être invoquée par toute partie qui y a intérêt. La cassation a été prononcée au motif que la chambre de l’instruction avait déclaré irrecevable l’exception de nullité de la perquisition sans vérifier le respect de cette formalité. Cette exigence revêt une importance particulière dans le domaine de la preuve numérique, où l’intervention de techniciens spécialisés — en extraction de données, en déverrouillage d’appareils — est devenue systématique.

B. La PNIJ, les interceptions et la géolocalisation : le triptyque du contrôle procédural

La Plateforme nationale des interceptions judiciaires (PNIJ) constitue le point nodal de l’accès aux données de communications électroniques. La chambre criminelle a précisé les conditions de consultation de cette plateforme dans un arrêt publié au Bulletin du 23 mai 2023 (Crim., 23 mai 2023, n° 22-83.462). Elle a jugé que la consultation de la PNIJ « aux fins d’accéder à l’ensemble des données, informations et contenus de communications enregistrés dans le traitement, qui implique l’authentification de l’enquêteur habilité, n’est régulière que si elle est préalablement autorisée, pour les besoins de la procédure, par le magistrat en charge de l’enquête ou de l’information ». Ce faisant, la chambre criminelle a institué un contrôle préalable du magistrat sur l’accès à la PNIJ, distinct de la seule habilitation technique de l’enquêteur.

En matière d’interceptions de correspondances, la chambre criminelle a rendu un arrêt de principe le 18 novembre 2025 sur la durée des mesures d’interception et de géolocalisation (Crim., 18 nov. 2025, n° 25-82.785, publié au Bulletin). Elle a jugé qu’« à l’expiration de la durée autorisée pour une mesure d’interception de correspondances, et sauf renouvellement de celle-ci avant son échéance, l’interception doit cesser », la poursuite de la mesure au-delà de la période autorisée « portant nécessairement atteinte au droit au respect de la vie privée de la personne concernée ». La même règle s’applique aux mesures de géolocalisation en temps réel. La Cour a cassé l’arrêt de la chambre de l’instruction de Caen qui n’avait pas recherché si les dispositifs techniques avaient été désactivés à l’expiration des autorisations initiales. Cette décision rappelle que le contrôle de proportionnalité, inscrit à l’article 8 de la Convention européenne des droits de l’homme, ne se satisfait pas de la seule existence d’une autorisation initiale mais exige une vigilance continue sur le respect de la durée prescrite.

La question de la géolocalisation par les systèmes embarqués dans les véhicules a fait l’objet d’une clarification par l’arrêt du 19 novembre 2025 (Crim., 19 nov. 2025, n° 25-85.919, publié au Bulletin). La chambre criminelle a jugé que ne constitue pas un procédé déloyal la réquisition adressée au Plateau d’investigation véhicule du pôle judiciaire de la gendarmerie nationale et la transmission aux enquêteurs de données d’un système de géolocalisation embarqué installé par le constructeur, activé lorsque le véhicule a été volé. Cette solution distingue nettement les données de géolocalisation issues d’un traitement opéré par un opérateur de communications électroniques — soumises au régime de la directive 2002/58/CE — de celles provenant de systèmes embarqués propriétaires, qui échappent à ce cadre normatif. Elle prolonge la jurisprudence du 27 février 2024 (Crim., 27 févr. 2024, n° 23-81.061, publié au Bulletin), qui avait déjà exclu la géolocalisation d’un véhicule du champ d’application de la directive e-Privacy.

L’arrêt du 14 octobre 2025 (Crim., 14 oct. 2025, n° 25-83.161) apporte un éclairage complémentaire sur l’exploitation d’un téléphone saisi dans le contexte des émeutes de juillet 2023 consécutives au décès du jeune Nahel Merzouk. La chambre criminelle a cassé l’arrêt de la chambre de l’instruction de Versailles en rappelant les exigences de l’article 15 de la directive 2002/58/CE, lu à la lumière des articles 7, 8 et 11 de la Charte des droits fondamentaux de l’Union européenne. L’exploitation du téléphone portable saisi en enquête préliminaire, hors la présence de son détenteur et sans autorisation du juge des libertés et de la détention, a été jugée irrégulière, nonobstant le fait que le téléphone constituait un objet interdit en détention au sens de l’article R. 225-5, alinéa 2, du code pénitentiaire. Cette solution confirme que le caractère prohibé de l’objet saisi ne dispense pas l’enquêteur du respect des garanties procédurales attachées à l’exploitation des données à caractère personnel.

C. Le secret professionnel de l’avocat face aux saisies numériques

La perquisition au cabinet de l’avocat et la saisie de ses correspondances numériques constituent un terrain d’affrontement récurrent entre les exigences de l’enquête et la protection du secret professionnel. L’arrêt du 23 juin 2026 (Crim., 23 juin 2026, n° 25-84.652, publié au Bulletin) apporte une précision importante sur le périmètre de l’article 56-1, alinéa 2, du code de procédure pénale. La chambre criminelle a cassé l’ordonnance du président de la chambre de l’instruction de Paris qui avait refusé de considérer comme relevant des droits de la défense les correspondances entre une avocate et sa cliente, au motif que cette dernière n’avait que la qualité de partie civile dans une procédure distincte de celle ayant donné lieu à la perquisition. La Cour a jugé qu’il appartenait au juge « d’apprécier le litige au regard de la motivation de la décision ayant autorisé la perquisition au cabinet de l’avocat ou à son domicile, et de la procédure dans laquelle cette perquisition a été autorisée », et qu’il y avait lieu de rechercher si les messages saisis « pouvaient relever de l’exercice des droits de la défense de cette personne dans le cadre de la procédure pour corruption ayant donné lieu à la perquisition ».

L’arrêt du 13 janvier 2026 (Crim., 13 janv. 2026, n° 24-82.390, publié au Bulletin) a confirmé la distinction entre les correspondances relevant de l’exercice des droits de la défense — insaisissables — et celles qui ne concernent pas cet exercice. La Cour a précisé que l’article L. 450-4 du code de commerce, tel qu’interprété par la chambre criminelle, « soumet l’autorisation de procéder à des visites et saisies à un contrôle préalable concret et effectif du juge sur la nécessité et la proportionnalité des mesures envisagées » et que cette analyse « n’est pas contraire à celles de la Cour européenne des droits de l’homme et de la chambre commerciale de la Cour de cassation ». L’ingérence dans le droit au respect de la vie privée garanti par l’article 8 de la Convention européenne « n’est possible que dans la limite des textes tels qu’interprétés par la chambre criminelle », lorsqu’elle poursuit un but légitime et qu’elle est nécessaire et proportionnée.

Observations conclusives : les enjeux du projet de loi sur la justice criminelle

Le projet de loi portant réforme de la justice criminelle, déposé au Sénat le 18 mars 2026, comporte plusieurs dispositions susceptibles de modifier substantiellement le régime de l’accès aux données numériques en enquête pénale. La création envisagée d’un juge de l’enquête et des libertés (JEL), qui remplacerait le juge des libertés et de la détention pour certaines missions de contrôle, pourrait offrir un cadre institutionnel au contrôle préalable exigé par la CJUE. L’extension des compétences de la PNIJ et le renforcement des obligations de traçabilité des accès aux métadonnées figurent parmi les pistes évoquées par le rapport sénatorial de 2023.

Pour le praticien pénal, ces évolutions imposent une vigilance accrue dans la rédaction des requêtes en nullité. La jurisprudence de la chambre criminelle a construit un contrôle en trois temps : vérification de l’existence d’une base légale de conservation (injonction du Premier ministre ou quick freeze), contrôle de la gravité des faits au sens du droit de l’Union, et appréciation de la nécessité et de la proportionnalité de la mesure au regard des circonstances de l’espèce. Cette grille exige une argumentation factuelle précise, étayée par les pièces de la procédure, et non la seule invocation abstraite de l’absence de contrôle préalable par une autorité indépendante.

La tension structurelle entre les exigences de la lutte contre la criminalité organisée — qui mobilise massivement les données de connexion, les interceptions et la géolocalisation — et la protection des droits fondamentaux garantis par la Charte de l’Union et la Convention européenne ne se résoudra pas par un simple ajustement technique. La CNIL a rappelé, dans un document de position sur le chiffrement des données, les risques collectifs qu’emporterait l’affaiblissement des protections cryptographiques au nom de l’efficacité de l’enquête. Le débat sur les backdoors et les master keys, relancé à l’occasion du projet de loi, illustre l’irréductibilité de cette tension.

La chambre criminelle de la Cour de cassation a su construire, arrêt après arrêt, un édifice jurisprudentiel qui concilie les exigences opérationnelles de l’enquête pénale avec le respect des droits fondamentaux tels qu’interprétés par les juridictions européennes. Cette construction demeure cependant fragile, tributaire des évolutions législatives nationales, des arrêts à venir de la CJUE sur le règlement e-Privacy 2, et de la capacité des juridictions du fond à s’approprier une méthodologie de contrôle dont la complexité technique ne le cède en rien à la complexité juridique. L’avocat pénaliste qui intervient en garde à vue, devant le tribunal correctionnel ou en contentieux de la détention provisoire doit intégrer ces paramètres dans sa stratégie de défense, en vérifiant systématiquement la régularité de chaque réquisition numérique au regard de cette grille tridimensionnelle — légalité, gravité, proportionnalité.

Décisions citées :

• Crim., 12 juillet 2022, n° 21-83.710, publié au Bulletin
• Crim., 13 avril 2023, n° 22-83.494, publié au Bulletin
• Crim., 10 mai 2023, n° 19-82.221
• Crim., 10 mai 2023, n° 19-80.900
• Crim., 23 mai 2023, n° 22-83.462, publié au Bulletin
• Crim., 11 octobre 2023, n° 23-80.819, publié au Bulletin
• Crim., 21 novembre 2023, n° 23-82.028, publié au Bulletin
• Crim., 27 février 2024, n° 23-81.061, publié au Bulletin
• Crim., 28 mai 2024, n° 23-85.848, publié au Bulletin
• Crim., 14 octobre 2025, n° 25-83.161
• Crim., 18 novembre 2025, n° 25-82.785, publié au Bulletin
• Crim., 19 novembre 2025, n° 25-85.919, publié au Bulletin
• Crim., 13 janvier 2026, n° 24-82.390, publié au Bulletin
• Crim., 19 mai 2026, n° 25-87.563
• Crim., 23 juin 2026, n° 25-84.652, publié au Bulletin
• CJUE, 6 octobre 2020, La Quadrature du Net e.a., C-511/18, C-512/18, C-520/18
• CJUE, 2 mars 2021, H.K./Prokuratuur, C-746/18

Textes visés : Articles 56-1, 60-1, 60-1-2, 76, 77-1, 77-1-1, 77-1-2, 100, 100-2, 100-3, 171, 230-32, 230-33, 230-36, 230-45, 802 du code de procédure pénale ; articles L. 34-1, III et III bis du code des postes et des communications électroniques ; article R. 225-5 du code pénitentiaire ; directive 2002/58/CE du 12 juillet 2002 ; articles 7, 8, 11 et 52 § 1 de la Charte des droits fondamentaux de l’Union européenne ; article 8 de la Convention européenne des droits de l’homme.