Tribunal Correctionnel de Monaco, 18 décembre 2012, n° 12015

Décision commentée : Tribunal Correctionnel de Monaco, 18 décembre 2012, n° 12015 (Lire sur source officielle)

I. Le contexte factuel et procédural

A. Les faits à l'origine du litige

Le litige s'inscrit dans le cadre du contrôle du respect des règles relatives à la collecte et au traitement des données à caractère personnel en Principauté de Monaco, régi par la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives (modifiée).

Le prévenu, D. CA., né le 18 mars 1970 à Bari (Italie), de nationalité italienne et demeurant à Monaco, exerçait les fonctions d'administrateur délégué d'une société anonyme monégasque désignée sous la dénomination SAM U.

L'origine des investigations remonte initialement au 15 avril 2010. À cette date, la SAM U avait fait l'objet d'une première mesure d'investigation diligentée par l'autorité de contrôle monégasque – désignée dans la décision sous la dénomination « l'établissement public de droit monégasque I. » – à la suite d'une demande d'entraide formulée par son homologue français, la Commission nationale de l'informatique et des libertés (CNIL), saisie des plaintes de deux ressortissants français.

Ultérieurement, une nouvelle intervention de l'établissement public de droit monégasque I. a été déclenchée à la suite d'une plainte déposée par une salariée de la société SAM U, alors placée en congé maladie. Cette dernière dénonçait l'utilisation, sans son accord préalable et sans avertissement, de sa messagerie professionnelle par l'employeur, accompagnée de la modification unilatérale de son identifiant et de son mot de passe.

Le 23 novembre 2011, les agents de l'établissement public de droit monégasque I. ont mené une mission d'investigation au sein des locaux de la SAM U. Ce contrôle sur place a permis de relever une pluralité de manquements graves et réitérés aux prescriptions de la loi n° 1.165 du 23 décembre 1993 modifiée :

• l'exploitation de deux traitements automatisés préalablement déclarés mais dont l'utilisation réelle divergeait substantiellement des termes enregistrés lors des déclarations ;
• la mise en œuvre de plusieurs traitements automatisés d'informations nominatives en l'absence totale des formalités légales préalables requises, à savoir des déclarations ou des demandes d'autorisation prévues par les articles 6 et 11-1 de la loi n° 1.165 ;
• la mise en œuvre de traitements mécanographiques pour lesquels l'obligation d'information préalable des personnes concernées, prescrite par l'article 14 de la loi, n'était pas satisfaite ;
• le stockage de documents d'identité numérisés en violation flagrante de l'article 10-1 de la loi n° 1.165, à défaut de disposition législative ou réglementaire l'autorisant expressément ;
• la réalisation de divers transferts de données sans la mise en place systématique des mesures techniques et organisationnelles de sécurité et de confidentialité requises ;
• l'existence d'un transfert de données vers Israël, pays non doté d'un niveau de protection adéquat au sens de l'article 20 de la loi monégasque, sans que ce flux transfrontière n'ait fait l'objet de l'autorisation préalable obligatoire de l'autorité de contrôle.

Le 18 janvier 2012, le Président de l'établissement public de droit monégasque I. a officiellement transmis le rapport de mission d'investigation au Procureur Général de la Principauté de Monaco afin d'engager des poursuites répressives. Entendu le 15 mai 2012 dans le cadre de l'enquête, D. CA., en sa qualité d'administrateur délégué de la SAM U, a reconnu être parfaitement informé de la situation tout en affirmant sa bonne volonté pour régulariser les traitements litigieux.

B. Le parcours procédural et les prétentions des parties

À la suite de la transmission du rapport administratif au parquet, le Ministère Public a cité D. CA. à comparaître devant le Tribunal correctionnel de Monaco suivant exploit d'huissier en date du 26 septembre 2012, enregistré sous le numéro de parquet 2012/001180.

Le prévenu a été poursuivi pour avoir, à Monaco, courant 2011 et en tout cas depuis un temps non couvert par la prescription, commis le délit d'infraction aux dispositions de la loi n° 1.165 du 23 décembre 1993 modifiée relative à la protection des informations nominatives, prévu et réprimé par les articles 21 et suivants de ladite loi.

À l'audience du 4 décembre 2012, D. CA. a comparu en personne, assisté de son avocat.

In limine litis, le conseil du prévenu a soulevé, par conclusions écrites en date du 3 décembre 2012, une exception de nullité de la procédure. Il soutenait que les opérations d'investigation conduites le 23 novembre 2011 au siège de la société SAM U devaient être assimilées à une perquisition et qu'elles violaient l'article 8 de la Convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales (CEDH), garantissant le droit au respect de la vie privée, du domicile et de la correspondance. À l'appui de cette exception, le prévenu arguait que les agents de l'autorité de contrôle administrative ne l'avaient jamais informé de son prétendu droit de s'opposer à leur intrusion dans les locaux de la société et ne lui avaient point permis d'être assisté par une personne de son choix au cours des opérations, se prévalant à cet égard de décisions rendues par le Conseil d'État français.

Le Ministère Public a sollicité le rejet de cette exception de nullité. Après avoir pris l'avis de ses assesseurs, le Président du Tribunal a ordonné la jonction de l'incident au fond.

Au fond, le prévenu, par conclusions également déposées le 3 décembre 2012, a sollicité sa relaxe. S'il n'a point contesté la matérialité des constats initiaux, il a soutenu qu'au jour du dépôt de ses écritures, tous les traitements automatisés dénoncés dans le rapport avaient été régularisés par le dépôt de déclarations subséquentes auprès de l'établissement public de droit monégasque I., de sorte que l'élément matériel de l'infraction de défaut de formalités légales aurait disparu. Concernant le transfert de données vers Israël, D. CA. a fait valoir que la Commission européenne avait formellement reconnu à cet État un niveau de protection adéquat, ce qui devait, selon lui, dispenser la SAM U de solliciter une autorisation spécifique. Il a réitéré sa bonne volonté et ses diligences, précisant avoir embauché du personnel dédié à cette mise en conformité.

L'établissement public de droit monégasque I., représenté à l'audience par sa Secrétaire Générale, a été entendu en ses déclarations. Elle a exposé l'état de conformité de l'entreprise, constatant que si la plupart des fichiers avaient été déclarés a posteriori, certaines non-conformités persistaient. Elle a en outre réfuté l'argumentaire relatif au transfert vers Israël, précisant que la Principauté de Monaco n'est pas membre de l'Union européenne et n'est pas partie aux conventions ou décisions prises par la Commission européenne avec cet État tiers.

Le Ministère Public a requis l'application de la loi pénale à l'encontre du prévenu. D. CA. et son conseil ont eu la parole en dernier pour leur défense. Le jugement a été mis en délibéré pour être prononcé le 18 décembre 2012.

II. La question de droit et la solution de la juridiction

A. Le problème juridique posé

Le Tribunal correctionnel de Monaco était confronté à deux problématiques juridiques distinctes, l'une tenant à la régularité procédurale des contrôles administratifs sur pièces et sur place au regard des droits fondamentaux, l'autre portant sur les conditions de constitution matérielle et temporelle des infractions pénales à la législation sur les informations nominatives.

En premier lieu, sur le terrain procédural, la juridiction devait trancher le point de savoir si les investigations menées par l'autorité administrative de protection des données (l'établissement public de droit monégasque I.) au sein des locaux professionnels d'une personne morale, sur le fondement de l'article 18 de la loi n° 1.165, portaient une atteinte illégitime au droit au respect du domicile et de la vie privée protégé par l'article 8 de la CEDH, au motif que les inspecteurs n'avaient pas informé l'administrateur de son prétendu droit de s'opposer à la visite et ne lui avaient pas permis de se faire assister par la personne de son choix.

En second lieu, sur le fond du droit pénal spécial :

1. La régularisation administrative ultérieure des traitements de données (dépôt tardif des déclarations ou demandes d'autorisation postérieurement au constat des infractions par l'autorité de contrôle) est-elle susceptible de faire disparaître rétroactivement l'infraction pénale de défaut de déclaration ou d'autorisation ?
2. Une décision d'adéquation rendue par la Commission européenne au profit d'un pays tiers (en l'espèce, Israël) produit-elle des effets juridiques sur le territoire monégasque de nature à dispenser un responsable de traitement de solliciter l'autorisation préalable requise par l'article 20 de la loi monégasque n° 1.165 ?

B. Le raisonnement et la motivation de la cour

1. Sur le rejet de l'exception de nullité tirée de l'article 8 de la CEDH

Pour rejeter l'exception de nullité, le Tribunal correctionnel procède à une analyse rigoureuse du cadre conventionnel et légal de l'ingérence administrative dans les locaux d'une personne morale.

La juridiction rappelle en premier lieu les termes du paragraphe 2 de l'article 8 de la CEDH, qui subordonne la régularité d'une ingérence d'une autorité publique dans l'exercice des droits protégés à trois conditions cumulatives : la prévision par la loi, la poursuite d'un but légitime, et la nécessité de la mesure dans une société démocratique (proportionnalité).

Appliquant ce triptyque au cas d'espèce, le Tribunal retient :

• La base légale : Il n'est pas contesté que les agents de l'autorité de contrôle ont agi dans le cadre légal strict institué par l'article 18 de la loi n° 1.165 du 23 décembre 1993, qui confère aux inspecteurs de l'établissement public le pouvoir d'accéder aux locaux et de requérir communication de pièces.
• Le but légitime : L'ingérence au siège d'une personne morale tend indubitablement à la « protection des droits et libertés d'autrui », plus particulièrement à la sauvegarde de la vie privée des personnes physiques dont les données sont traitées (salariés et tiers).
• La proportionnalité et la nécessité : Se référant expressément à la jurisprudence de la Cour européenne des droits de l'homme, et plus particulièrement à l'arrêt du 16 avril 2002 rendu dans l'affaire SAS E et autres contre France (désignant l'arrêt Société Colas Est et autres c. France), le Tribunal constate que la charge de démontrer le caractère disproportionné de l'ingérence pèse sur le prévenu.

Or, le tribunal relève les défaillances probatoires et juridiques de l'argumentation de D. CA. D'une part, l'obligation d'informer la personne contrôlée d'une faculté d'opposition à la visite n'est aucunement consacrée par le droit interne monégasque. D'autre part, l'allégation selon laquelle l'assistance d'un conseil ou d'une personne de son choix aurait été refusée n'est étayée par aucun élément matériel au dossier. Enfin, le Tribunal souligne que les vérifications et réquisitions opérées étaient indispensables dans la mesure où les données nominatives et les fichiers litigieux se trouvaient exclusivement implantés sur les systèmes informatiques de l'entreprise. L'ingérence était dès lors strictement nécessaire et proportionnée à la mission de protection des données, rendant la procédure exempte de tout vice conventionnel.

2. Sur l'inefficacité du repentir actif quant à la constitution de l'infraction

Sur l'action publique, le Tribunal relève que la matérialité des infractions constatées dans le rapport du 23 novembre 2011 n'est pas contestée. Les investigations ont révélé une pluralité d'actes illicites : divergence par rapport aux finalités déclarées, défaut de déclaration préalable, omission d'information des personnes concernées, numérisation indue de titres d'identité et défaut de sécurisation.

Face à l'argument du prévenu soutenant que les traitements avaient été régularisés postérieurement aux opérations de contrôle, la juridiction correctionnelle réaffirme un principe cardinal du droit pénal : les démarches de mise en conformité accomplies a posteriori ne sauraient effacer l'infraction déjà consommée. Qualifiées expressément de « repentir actif », ces démarches postérieures au constat des infractions par l'autorité administrative sont sans incidence juridique sur l'existence même de la responsabilité pénale.

3. Sur l'inapplicabilité des décisions d'adéquation de l'Union européenne à Monaco

S'agissant du transfert d'informations nominatives vers Israël