{T 0/2}
1B_185/2016, 1B_186/2016, 1B_188/2016
Arrêt du 16 novembre 2016
Ire Cour de droit public
Composition
MM. les Juges fédéraux Fonjallaz, Président, Merkli, Karlen, Eusebio et Kneubühler.
Greffier : M. Kurz.
Participants à la procédure
1B_185/2016
A.________, représenté par Maîtres Michel Jaccard et Juliette Ancelle,
recourant,
1B_186/2016
B.________, représenté par Maîtres Michel Jaccard et Juliette Ancelle,
recourant,
1B_188/2016
Facebook Switzerland Sàrl, représentée par Maîtres Jacques Bonvin et Laurent Moreillon,
recourante,
contre
Ministère public central du canton de Vaud, Division criminalité économique, avenue de Longemalle 1, 1020 Renens,
C.________, représenté par Me Olivier Peter, avocat,
Objet
procédure pénale; sommation de production de pièces,
recours contre les arrêts du Tribunal cantonal du canton de Vaud, Chambre des recours pénale, du 23 mars 2016.
Le 22 avril 2015, un journaliste belge a déposé plainte pénale en Suisse contre inconnu. Il indiquait avoir été traité notamment d'antisémite sur la partie publique d'un compte Facebook détenu sous le pseudonyme "D.________". Une instruction a été ouverte par le Ministère public central du canton de Vaud, pour calomnie, diffamation et injure.
Le 29 juin 2015, le Ministère public a requis de la société Facebook Switzerland Sàrl (ci-après: Facebook Suisse) la production de l'identité du détenteur du compte précité, les adresses IP utilisées pour créer le profil, les logs de connexions et les adresses IP en relation avec ces logs ainsi que le contenu privé du compte, sous la menace des peines prévues à l'art. 292 CP. Après plusieurs relances, Facebook Suisse a indiqué qu'elle ne gérait pas la plateforme mais seulement le développement du marché publicitaire en Suisse. Par email du 25 août 2015, Facebook Ireland Ltd (Facebook Irlande) a indiqué que l'ordre de production devait être adressé par la voie de l'entraide judiciaire internationale.
Le 11 novembre 2015, le Ministère public a adressé à Facebook Suisse ainsi qu'à ses associés gérants A.________ et B.________ une ordonnance de production de pièces portant sur les mêmes renseignements (ainsi que sur un post du 12 avril 2015), avec un délai d'exécution au 25 novembre 2015. Facebook Suisse d'une part, les deux gérants d'autre part ont saisi la Chambre des recours pénale du Tribunal cantonal du canton de Vaud, expliquant notamment que les informations demandées étaient en mains de la société irlandaise.
Statuant le 23 mars 2016 par un seul arrêt, la Chambre des recours pénale a rejeté les recours. Selon la jurisprudence cantonale, les filiales nationales - en l'occurrence de Google - étaient habilitées à recevoir des injonctions des autorités (notamment en matière de protection des données) lorsqu'elles exerçaient une activité concrète dans le pays concerné, telle que la promotion, la vente et l'affichage d'espaces publicitaires, la vérification de la compatibilité avec les législations nationales ou toute autre activité assimilable à la représentation de la maison mère, laquelle disposait de la mainmise sur la société suisse. Refusant de revenir sur sa jurisprudence, la cour cantonale a considéré que l'ATF 141 IV 108 ne s'appliquait pas au cas d'espèce. L'ordre de production pouvait être adressé à la société recourante et, à défaut, à ses gérants. L'obligation de garder le silence figurant également dans la décision du Ministère public était également justifiée. Les délais de production ont été prolongés.
Par trois recours distincts, Facebook Switzerland Sàrl, A.________ et B.________ (ces deux derniers agissant par les mêmes avocats) demandent la réforme de l'arrêt cantonal en ce sens que la décision du Ministère public du 11 novembre 2015 est annulée (ou réformée dans le même sens), sous suite de frais et dépens. Subsidiairement, les recourants A.________ et B.________ concluent à ce que l'ordonnance de production ne soit pas assortie de la menace de la peine prévue à l'art. 292 CP. Plus subsidiairement, les recourants concluent au renvoi de la cause à l'instance cantonale pour nouvelle décision dans le sens des considérants. Ils demandent également l'effet suspensif, qui a été admis par ordonnance du 13 juin 2016 en ce qui concerne l'ordre de production.
La cour cantonale se réfère aux considérants de sa décision, sans observations. Le Ministère public conclut au rejet des recours dans la mesure de leur recevabilité. Les recourants ont renoncé à de nouvelles déterminations.
Les trois recours sont formés contre un même arrêt. Les conclusions formulées et les griefs soulevés sont les mêmes. Il se justifie dès lors de joindre les causes et de statuer par un seul arrêt (art. 24 PCF par renvoi de l'art. 71 LTF).
Le recours en matière pénale, au sens de l'art. 78 al. 1 LTF, est en principe ouvert contre un ordre de perquisition ou de saisie pris au cours de la procédure pénale, et confirmée en dernière instance cantonale (art. 80 LTF).
2.1. La décision par laquelle l'autorité d'instruction ordonne la production de certaines pièces constitue une décision incidente, qui ne met pas fin à la procédure (ATF 128 I 129 consid. 1 p. 131; 126 I 97 consid. 1b p. 100 et les références). Conformément à l'art. 93 al. 1 let. a LTF, une telle décision ne peut faire l'objet d'un recours devant le Tribunal fédéral que si elle peut causer un préjudice irréparable. La clause prévue à l'art. 93 al. 1 let. b LTF (lorsque l'admission du recours est susceptible de conduire immédiatement à une décision finale) n'entre pas en considération en l'occurrence, s'agissant d'une simple mesure d'administration de preuves. La jurisprudence admet l'existence d'un préjudice irréparable lorsqu'un ordre de production de pièces est assorti de la menace des peines prévues à l'art. 292 CP. Le destinataire de l'injonction se trouve, en cas de refus, directement exposé à une poursuite pénale (arrêt 5P.350/2004 du 10 mai 2005, consid. 2). Tel est le cas en l'occurrence.
2.2. Les recourants ont participé à la procédure devant l'instance précédente. Ils sont tous destinataires de l'ordre de production confirmé par la cour cantonale et disposent ainsi d'un intérêt juridique à l'annulation ou à la modification de la décision attaquée. Il y a lieu, par conséquent, d'entrer en matière, les recours ayant été déposés dans les formes et le délai utiles.
Invoquant l'art. 265 CPP, les recourants soutiennent que Facebook Suisse ne serait pas détenteur des informations requises. Ils exposent - invoquant sur ces points de fait l'art. 105 al. 2 LTF - que selon la déclaration Facebook (conditions générales), le service est fourni par Facebook Inc. (Etats-Unis) pour les utilisateurs résidant aux Etats-Unis ou au Canada, et par Facebook Irlande pour les autres utilisateurs. Aucun contrat ne serait conclu avec la société suisse, cette dernière n'étant filiale que de Facebook Global Holdings II LLC. La société suisse ne traiterait aucune donnée à caractère personnel relative aux utilisateurs; elle ne disposerait d'aucun centre de traitement de données ni de serveurs en Suisse. Elle n'a que trois employés dont les activités sont limitées à la gestion stratégique des relations clients, et qui n'ont pas accès aux données des utilisateurs. Il n'existerait enfin aucun rapport de représentation avec les sociétés irlandaise et américaine. En définitive, les règles de l'entraide judiciaire internationale seraient contournées.
3.1. L'art. 265 CPP permet à l'autorité d'instruction d'obtenir auprès de leurs détenteurs les objets ou valeurs qui doivent être séquestrés en application de l'art. 263 CPP. L'ordre peut être assorti d'une commination de la peine prévue à l'art. 292 CP (art. 265 al. 3 CPP). L'ordre de dépôt permet à son destinataire de fournir volontairement les objets ou valeurs requis, sans recourir à des mesures de contrainte (art. 265 al. 4 CPP).
Pour ce qui concerne en revanche la surveillance de la correspondance par poste et télécommunication, les art. 269 ss CPP prévoient des conditions spécifiques telles qu'une liste d'infractions autorisant le recours à cette mesure (art. 269 al. 2 CPP) et l'intervention du tribunal des mesures de contrainte (art. 272 al. 1 CPP). Le champ d'application de l'art. 269 CPP est défini à l'art. 1 de la loi fédérale sur la surveillance de la correspondance par poste et télécommunication (LSCPT, RS 780.1). Celle-ci s'applique à tous les organismes étatiques, aux organismes soumis à concession ou à l'obligation d'annoncer qui fournissent des services postaux ou de télécommunication ainsi qu'aux fournisseurs d'accès à Internet. Selon la définition figurant à l'annexe de l'ordonnance sur la surveillance de la correspondance par poste et télécommunication (OSCPT, RS 780.11), un fournisseur d'accès à internet est un fournisseur de services de télécommunication ou le secteur d'un fournisseur de services de télécommunication qui offre une prestation publique de transmission d'informations sur la base de la technologie IP et d'adresses IP. Un simple fournisseur de services, par exemple de réseaux sociaux, ne rentre pas dans cette catégorie puisqu'il ne fournit pas lui-même d'accès à Internet au sens qui précède. C'est d'ailleurs pour remédier à cette lacune qu'une modification de la LSCPT a été proposée, élargissant notamment le champ d'application de la loi à raison des personnes. Comme le relève le message à l'appui de cette modification (FF 2013 2379), la nouvelle teneur de la loi vise également les "fournisseurs de services de communication dérivés", qui ne constituent ni des fournisseurs d'accès, ni des fournisseurs de services de télécommunication, mais qui jouent un rôle dans le processus de correspondance par télécommunication, en particulier par internet (FF 2013 2403-2404). Sont ainsi notamment visés à l'art. 2 let. c du projet de LSCPT les fournisseurs de services Internet qui permettent la communication unilatérale ou multilatérale, en particulier les services e-mail. Dans leur teneur actuelle, les art. 269 ss CPP ne s'appliquent donc pas à ce genre de services.
Compte tenu de cette lacune, le Procureur pouvait se fonder directement sur la disposition générale de l'art. 265 CPP pour édicter un ordre de production. Cela n'est du reste pas contesté par les recourants, de sorte qu'il reste à examiner si cette disposition a été appliquée correctement en l'espèce.
3.2. Destiné à accroître l'efficacité de la coopération internationale dans ce domaine, la Convention de Budapest sur la cybercriminalité (CCC, RS 0.311.43), entrée en vigueur pour la Suisse le 1
er janvier 2012, consacre une notion de "fournisseur de services" plus large que le droit suisse actuel. L'expression désigne en effet "toute entité publique ou privée qui offre aux utilisateurs de ses services la possibilité de communiquer au moyen d'un service informatique ou toute autre entité traitant ou stockant des données informatiques pour ce service de communication ou ses utilisateurs". La convention n'en repose pas moins sur le principe de la territorialité, selon lequel un Etat n'est pas habilité à prendre des mesures d'instruction et de poursuite pénale sur le territoire d'un autre Etat (ATF 141 IV 108 consid. 5.3 p. 121 et les références citées). Pour ce faire, l'Etat demandeur doit agir par le biais de l'entraide internationale (art. 23 ss CCC) et dispose, en vertu de la convention, de divers instruments destinés à en faciliter l'exécution (conservation rapide de données informatiques stockées selon l'art. 29 CCC) voire à la contourner (accès transfrontière à des données stockées, avec consentement ou lorsqu'elles sont accessibles au public, selon l'art. 32 CCC; ATF 141 IV 108 consid. 4.3.8 ss p. 119).
Le message relatif à la modification de la LSCPT relève à ce titre que la nouvelle définition du champ d'application ratione materie de la loi ne doit pas susciter des espoirs démesurés, "dès lors que beaucoup de fournisseurs importants de services Internet ont leur siège et leur infrastructure à l'étranger [...]. Prévoir, de manière générale, que les autorités suisses pourraient sans problème accéder aux données voulues serait donc irréaliste et problématique, puisque cela heurterait le principe de la territorialité des lois" (FF 2013 2404).
3.3. Selon l'art. 18 CCC, chaque Partie adopte les mesures législatives et autres qui se révèlent nécessaires pour habiliter ses autorités compétentes à ordonner à une personne présente sur son territoire de communiquer les données informatiques spécifiées, en sa possession ou sous son contrôle, qui sont stockées dans un système informatique ou un support de données informatiques (al. 1 let. a) ou à un fournisseur de services offrant des prestations sur le territoire de la Partie, de communiquer les données en sa possession ou sous son contrôle relatives aux abonnés et concernant de tels services (let. b). Le lieu de stockage des données n'est à lui seul pas déterminant puisqu'il peut s'agir d'un emplacement aléatoire, impossible à définir a priori, et susceptible de changer rapidement, les centres de données étant très largement répartis géographiquement.
3.4. Il découle en revanche des dispositions tant de la CCC (art. 18,
"en sa possession ou sous son contrôle") que du CPP (art. 265,
le détenteur) que la personne visée par l'injonction de produire doit être le possesseur ou le détenteur des données visées, ou tout au moins en avoir le contrôle, c'est-à-dire avoir un pouvoir de disposition, en fait et en droit, sur ces données.
Il ressort des pièces du dossier que tel n'est pas le cas de la société recourante.
3.4.1. L'arrêt cantonal retient que la société a son siège à Vernier (GE) et que son but social est "la fourniture de tous services en relation avec le support marketing, la vente d'espaces publicitaires, les relations publiques et la communication". Son associé unique est la société Facebook Global II LLC, à Dover (USA). La cour cantonale s'est ensuite fondée sur les informations disponibles sur la plateforme (aide-mémoire sur la politique d'utilisation des données, leur utilisation ainsi que sur le ciblage des publicités). Elle considère que la société recourante traite des données personnelles à des fins de vente d'espaces publicitaires et qu'elle serait habilitée à ce titre à recevoir des injonctions de la part des autorités suisses dès lors qu'elle exerçait une activité concrète en Suisse. La jurisprudence sur laquelle se fonde la cour cantonale, notamment l'ATF 138 II 346, se rapporte à une cause de droit public relative à la protection des données: la société suisse impliquée était en lien direct avec l'activité concernant Google Street View (en particulier la production et le traitement des images, le traitement des demandes d'effacement), étant toutefois précisé que l'on ne pouvait retenir un rapport de représentation entre les sociétés suisse et américaine, raison pour laquelle les recommandations ont été adressées aux deux sociétés (consid. 4 non publié). Cette jurisprudence de droit public ne saurait s'appliquer en matière pénale lorsqu'une autorité de poursuite exige non pas la rectification de données personnelles traitées par la société elle-même, mais la production de preuves en application de l'art. 265 CPP. Dans ce contexte, la détention des preuves requises constitue l'élément déterminant.
3.4.2. Aucun des documents sur lesquels s'appuie la cour cantonale ne permet d'affirmer que la société recourante serait effectivement titulaire des données réclamées par le Ministère public. L'arrêt attaqué retient au contraire lui-même que la recourante n'est "peut-être pas titulaire des informations litigieuses de façon autonome". Cela est confirmé par les indications des recourants, qui se fondent sur différentes pièces figurant au dossier. Il en ressort que le service Facebook est contrôlé par des sociétés américaine et irlandaise totalement distinctes de la société recourante. Selon un affidavit d'une responsable de la protection des données de Facebook Irlande, cette dernière est seule partenaire contractuelle avec les utilisateurs de Facebook situés hors des Etats-unis et du Canada; elle est également seule à contrôler les données personnelles de ces mêmes utilisateurs. Les "Conditions de services", également produites par les recourants, confirment cette déclaration, de même que le courriel adressé au Ministère public par Facebook Irlande elle-même, le 25 août 2015. Il apparaît ainsi que la société suisse ne dispose pas d'un accès direct ou d'une quelconque maîtrise sur les données relatives au service.
3.4.3. Quant au pouvoir de représentation que la cour cantonale impute à la société recourante, il ne peut pas être reconnu dans le cadre d'une procédure pénale nécessitant l'accès à des données personnelles. Les sociétés suisse et irlandaise n'ont pas de liens entre elles et on ne voit pas à quel titre la société suisse pourrait obtenir des sociétés étrangères la production des renseignements requis par le Ministère public.
Ce dernier n'a dès lors d'autre choix que de s'adresser par voie d'entraide judiciaire aux autorités irlandaises pour obtenir les renseignements désirés (cf. consid. 3.2 ci-dessus; ATF 141 IV 108 consid. 5.3 p. 212).
Sur le vu de ce qui précède, les recours sont admis. L'arrêt attaqué est annulé, de même que l'ordonnance du Ministère public du 11 novembre 2015. Conformément à l'art. 66 al. 4 LTF, il n'est pas perçu de frais judiciaires. L'Etat de Vaud versera toutefois une indemnité de dépens aux différents recourants, pour la procédure fédérale (art. 68 al. 1 LTF). La cause doit en outre être renvoyée à la cour cantonale pour nouvelle décision sur les frais et dépens de l'instance cantonale.
Les causes 1B 185/2016, 186/2016 et 188/2016 sont jointes.
Les recours sont admis. L'arrêt attaqué est annulé, de même que l'ordonnance de production de pièces du Ministère public du 11 novembre 2015. La cause est renvoyée à la cour cantonale pour nouvelle décision sur les frais et dépens.
Les indemnités de dépens suivantes sont mises à la charge du canton de Vaud:
Il n'est pas perçu de frais judiciaires.
Le présent arrêt est communiqué aux mandataires des recourants, au Ministère public central du canton de Vaud, Division criminalité économique, au mandataire de C.________ et au Tribunal cantonal du canton de Vaud, Chambre des recours pénale.
Lausanne, le 16 novembre 2016
Au nom de la Ire Cour de droit public
du Tribunal fédéral suisse
Le Président : Fonjallaz
Le Greffier : Kurz