Strasbourg, 12 novembre 2013 (projet) T-CY (2013) 26. Comité de la Convention Cybercriminalité (T-CY)

Transcription

1 Strsourg, 12 novemre 2013 (projet) T-CY (2013) 26 Comité de l Convention Cyercriminlité (T-CY) Note d orienttion n 8 du T-CY Otention, dns le cdre d une enquête pénle, de données reltives ux onnés utilisnt une dresse IP pour une communiction spécifique Proposition étlie pr le Bureu

2 Contct Alexnder Seger Secrétire du Comité de l Convention sur l cyercriminlité Chef de l Division Protection des données et cyercriminlité Direction générle des droits de l homme et de l étt de droit Conseil de l Europe, Strsourg, Frnce Tél Fx Emil lexnder.seger@coe.int 2

3 1 Introduction Lors de s 8 e session plénière (décemre 2012), le Comité de l Convention sur l cyercriminlité (T-CY) décidé de pulier des notes d orienttion destinées à fciliter l usge et l mise en œuvre effectifs de l Convention de Budpest sur l cyercriminlité, notmment à l lumière des évolutions juridiques, politiques et technologiques. 1 Les notes d orienttion reflètent une nlyse de l ppliction de l Convention de Budpest prtgée pr toutes les Prties. L présente note est conscrée à l question de l otention dns le cdre d une enquête pénle de données reltives ux onnés utilisnt une dresse IP pour une communiction spécifique. Il y est fit référence à l rticle 18 de l Convention sur les injonctions de produire, en prticulier ux dispositions de l rticle 18, prgrphe 1, liné, insi que de l rticle 18, prgrphe 3. Dns le cdre des enquêtes et des procédures pénles en mtière de cyercriminlité, il est souvent nécessire d otenir des informtions uprès des fournisseurs d ccès internet (FAI) pour permettre : l identifiction d un onné ynt utilisé une dresse IP définie à un moment précis ; ou l identifiction de l dresse IP utilisée pr l onné d un FAI dont l identité est déjà connue. Les données recherchées sont comprles à celles qui sont nécessires pour identifier le titulire d un numéro de téléphone dns une enquête pénle. Elles permettent d identifier l personne qui utilisé une dresse IP connue à une dte et à une heure précises, ou d identifier l dresse IP utilisée pr une certine personne. L otention de ces données reltives ux onnés diffère de l otention d informtions concernnt des communictions en cours («en temps réel»), qui ne relève ps de l rticle 18 de l Convention de Budpest, mis entre dns le chmp d ppliction des rticles 20 ou 21. Il y églement une différence vec les données reltives u trfic utilisées pour déterminer les communictions d un suspect sur une période donnée, les différentes communictions trnsmises pr un suspect ou l itinérire d une communiction pour lquelle des conditions et suvegrdes plus strictes peuvent s ppliquer. Les conditions légles d otention de données reltives ux onnés dépendent des différentes mesures prévues pr les législtions ntionles. Dns certins Etts prties, les données reltives ux onnés concernnt leur dresse IP peuvent être otenues dns tout type d enquête et à l inititive de l police. D utres Prties tritent ces données de l même fçon que les données reltives u trfic. Dns certins cs, les services répressifs ne peuvent otenir de données reltives u trfic que concernnt de grves infrctions et uniquement sur ordonnnce judiciire. Ces mesures font ostcle ux enquêtes ntionles et peuvent empêcher les Prties de respecter leurs oligtions ux termes de l Convention sur l cyercriminlité y compris en mtière de coopértion interntionle. Une grnde prtie des demndes de coopértion interntionle portent sur les données reltives ux onnés. 1 Voir le mndt du T-CY (rticle 46 de l Convention de Budpest). 3

4 2 L pproche de l Convention de Budpest sur l cyercriminlité (STE n 185) L Convention ne donne ps de définition de l dresse IP et ne lui ttriue ps de sttut prticulier. En outre, elle n énonce ps clirement si et dns quels cs l dresse IP peut être considérée comme une donnée reltive u trfic. L définition des données reltives u trfic énoncée à l rticle 1.d de l Convention est très lrge, puisqu elle recouvre «toutes données ynt trit à une communiction pssnt pr un système informtique, produites pr ce dernier ( ) indiqunt l origine, l destintion, l itinérire, l heure, l dte, l tille et l durée de l communiction ou le type de service sous-jcent.» Ainsi, une dresse IP utilisée pour une communiction spécifique pourrit être considérée comme une donnée reltive u trfic. Toutefois, l rticle 18.3 lisse clirement entendre que l dresse IP utilisée pour une communiction spécifique fit ien prtie des données reltives ux onnés. D près cette disposition : 3 Aux fins du présent rticle, l expression «données reltives ux onnés» désigne toute informtion, sous forme de données informtiques ou sous toute utre forme, détenue pr un fournisseur de services et se rpportnt ux onnés de ses services, utres que des données reltives u trfic ou u contenu, et permettnt d étlir : le type de service de communiction utilisé, les dispositions techniques prises à cet égrd et l période de service ; l identité, l dresse postle ou géogrphique et le numéro de téléphone de l onné, et tout utre numéro d ccès, les données concernnt l fcturtion et le piement, disponiles sur l se d un contrt ou d un rrngement de services ; c toute utre informtion reltive à l endroit où se trouvent les équipements de communiction, disponile sur l se d un contrt ou d un rrngement de services. Même si le terme «dresse IP» n est ps employé explicitement, le terme «numéro d ccès» (rticle 18.3.) désigne précisément l dresse IP. Le rpport explictif de l Convention 2 constte que cette disposition porte sur toutes les mesures techniques qui permettent à l onné de profiter d un service de communiction. Ainsi, elle inclut tous les numéros ou dresses techniques (numéro de téléphone, dresse de site we ou nom de domine, dresse électronique, etc.). Dns le prgrphe 180, le rpport joute que les données reltives ux onnés «désignent églement toutes les informtions, utres que des données reltives u trfic ou u contenu, qui permettent d étlir l identité, l dresse postle ou géogrphique et le numéro de téléphone de l utilisteur, et tout utre numéro d ccès». Il conclut ensuite (prgrphe 182) qu «insi, pr exemple, sur l se de l mention 2 Voir prgrphe

5 du nom de telle ou telle personne ( ) un numéro de téléphone ou une dresse électronique peuvent être demndés. Sur l se d'un certin numéro de téléphone ou d'une certine dresse électronique, le nom et l'dresse de l'onné peuvent être demndés.» Dns ce contexte, il importe peu que l dresse IP soit une dresse fixe, ttriuée de fçon permnente à un seul utilisteur, ou une dresse dynmique ttriuée successivement à différents utilisteurs. Chcune d entre elle correspond à un «numéro d ccès». 3 Déclrtion du T-CY Le T-CY considère que : les données reltives ux onnés (telles que définies dns l rticle 18.3 de l Convention de Budpest) diffèrent des données reltives u trfic (telles que définies dns l rticle 1.d). Des règlementtions différentes peuvent donc être ppliquées en ce qui concerne l ccès ux données reltives ux onnés ; l dresse IP utilisée pour une communiction spécifique fit prtie des données reltives ux onnés. 5

6 4 Annexes Chpitre I Terminologie Article 1 Définitions Aux fins de l présente Convention, c l'expression «système informtique» désigne tout dispositif isolé ou ensemle de dispositifs interconnectés ou pprentés, qui ssure ou dont un ou plusieurs éléments ssurent, en exécution d'un progrmme, un tritement utomtisé de données; l'expression «données informtiques» désigne toute représenttion de fits, d'informtions ou de concepts sous une forme qui se prête à un tritement informtique, y compris un progrmme de nture à fire en sorte qu'un système informtique exécute une fonction; l'expression «fournisseur de services» désigne: i ii toute entité pulique ou privée qui offre ux utilisteurs de ses services l possiilité de communiquer u moyen d un système informtique, et toute utre entité tritnt ou stocknt des données informtiques pour ce service de communiction ou ses utilisteurs. d «données reltives u trfic» désigne toutes données ynt trit à une communiction pssnt pr un système informtique, produites pr ce dernier en tnt qu élément de l chîne de communiction, indiqunt l origine, l destintion, l itinérire, l heure, l dte, l tille et l durée de l communiction ou le type de service sous-jcent. Article 18 Injonction de produire 1 Chque Prtie dopte les mesures législtives et utres qui se révèlent nécessires pour hiliter ses utorités compétentes à ordonner: à une personne présente sur son territoire de communiquer les données informtiques spécifiées, en s possession ou sous son contrôle, qui sont stockées dns un système informtique ou un support de stockge informtique; et à un fournisseur de services offrnt des presttions sur le territoire de l Prtie, de communiquer les données en s possession ou sous son contrôle reltives ux onnés et concernnt de tels services. 2 Les pouvoirs et procédures mentionnés dns le présent rticle doivent être soumis ux rticles 14 et Aux fins du présent rticle, l expression «données reltives ux onnés» désigne toute informtion, sous forme de données informtiques ou sous toute utre forme, 6

7 détenue pr un fournisseur de services et se rpportnt ux onnés de ses services, utres que des données reltives u trfic ou u contenu, et permettnt d étlir: c le type de service de communiction utilisé, les dispositions techniques prises à cet égrd et l période de service; l identité, l dresse postle ou géogrphique et le numéro de téléphone de l onné, et tout utre numéro d ccès, les données concernnt l fcturtion et le piement, disponiles sur l se d un contrt ou d un rrngement de services; toute utre informtion reltive à l endroit où se trouvent les équipements de communiction, disponile sur l se d un contrt ou d un rrngement de services. 7