La Cour de cassation vient de r\u00e9pondre d\u00e9finitivement \u00e0 la question de savoir si le refus de communiquer aux autorit\u00e9s judiciaires ses mots de passe permettant de d\u00e9verrouiller son mat\u00e9riel informatique est constitutif du d\u00e9lit de refus de remettre la convention secr\u00e8te de d\u00e9chiffrement d\u2019un moyen de cryptologie.<\/p>\n
<\/p>\n
\u00ab Est puni de trois ans d\u2019emprisonnement et de 270 000 \u20ac d\u2019amende le fait, pour quiconque ayant connaissance de la convention secr\u00e8te de d\u00e9chiffrement d\u2019un moyen de cryptologie susceptible d\u2019avoir \u00e9t\u00e9 utilis\u00e9 pour pr\u00e9parer, faciliter ou commettre un crime ou un d\u00e9lit, de refuser de remettre ladite convention aux autorit\u00e9s judiciaires<\/strong> ou de la mettre en \u0153uvre, sur les r\u00e9quisitions de ces autorit\u00e9s d\u00e9livr\u00e9es en application des titres II et III du livre Ier du code de proc\u00e9dure p\u00e9nale. Si le refus est oppos\u00e9 alors que la remise ou la mise en oeuvre de la convention aurait permis d\u2019\u00e9viter la commission d\u2019un crime ou d\u2019un d\u00e9lit ou d\u2019en limiter les effets, la peine est port\u00e9e \u00e0 cinq ans d\u2019emprisonnement et \u00e0 450 000 \u20ac d\u2019amende ” (art. 434-15-2 du code p\u00e9nal)<\/em><\/p><\/blockquote>\n
La Cour de cassation consid\u00e8re que le code de d\u00e9verrouillage est une convention secr\u00e8te de d\u00e9chiffrement d\u2019un moyen de cryptologie. En effet, lorsqu\u2019un t\u00e9l\u00e9phone portable est \u00e9quip\u00e9 d\u2019un moyen de cryptologie comme la plupart des iPhone et smartphone Android, Mac ou PC, le code de d\u00e9verrouillage de son \u00e9cran d\u2019accueil peut constituer une cl\u00e9 de d\u00e9chiffrement. Il incombe donc au juge de rechercher si le mat\u00e9riel en cause est \u00e9quip\u00e9 d\u2019un tel moyen et si son code de d\u00e9verouillage permet de mettre au clair tout ou partie des donn\u00e9es crypt\u00e9es auxquelles il donne acc\u00e8s.<\/p>\n
L’analyse sur ce point de l’avocat g\u00e9n\u00e9ral est remarquable :<\/p>\n
– authentification par mot de passe \/ moyen de cryptologie<\/strong> : Le d\u00e9lit ne sera pas constitu\u00e9 si derri\u00e8re le refus de fournir son mot de passe, il n’y a pas de possibilit\u00e9 de d\u00e9chiffrement d\u2019un moyen de cryptologie. Cela va d\u00e9pendre alors des sp\u00e9cificit\u00e9s techniques du mat\u00e9riel en question et de l’utilisation effective d’un moyen de cryptologie (Security by Design).<\/p>\n
– Refus \/ Oubli<\/strong> : Seul le refus de communiquer la convention secr\u00e8te de d\u00e9chiffrement d\u2019un moyen de cryptologie est sanctionn\u00e9. Le pr\u00e9venu refuse la plupart du temps de communiquer ses mots de passe en invoquant la protection de sa vie priv\u00e9e. Sans doute serait-il plus utile d’invoquer l’oubli au risque cependant que cet oubli soit re-qualifi\u00e9 par le juge de refus.<\/p>\n
La CEDH devrait tr\u00e8s prochainement se prononcer sur la compatibilit\u00e9 d’une telle jurisprudence avec des droits fondamentaux que sont la protection de la vie priv\u00e9e, la pr\u00e9somption d\u2019innocence, le droit au silence et le droit de ne pas contribuer \u00e0 sa propre incrimination.<\/p>\n