Supervisión de acceso a datos almacenados por operadores telefónicos

Actualización del 6 de agosto de 2022

Actualización del 22 de septiembre de 2022

Actualización del 6 de enero de 2023

Actualización del 15 de marzo de 2023

En el marco de una investigación preliminar o de una investigación en flagrante delito, el fiscal puede solicitar a un oficial de la policía judicial que transmita los datos de telecomunicaciones de una persona afectada por la investigación, incluido el sospechoso. Este recurso está previsto en el Código de Procedimiento Penal francés: artículo 60-1 y artículo 77-1-1.

Los datos de telecomunicaciones pueden ser cruciales en una investigación y revelar mucha información a los investigadores. Ya se trate de datos de geolocalización o de tráfico, la información puede ayudar a avanzar en una investigación criminal.

Sin embargo, este sistema podría verse seriamente limitado tras una sentencia del Tribunal de Justicia de la Unión Europea del 2 de marzo de 2021. Se trata de un caso en Estonia que, no obstante, podría repercutir en el procedimiento francés.

¿Desea conocer sus derechos y deberes en materia de conservación de datos por parte de un operador telefónico? Pierre de Roquefeuil, abogado especializado en derecho informático en París, le asesorará y velará por el respeto de sus intereses. El abogado especializado le ayudará a identificar el procedimiento adecuado a su situación.

¿En qué casos puede utilizarse el acceso a los datos almacenados por los operadores telefónicos?

La legislación francesa obliga a los operadores telefónicos a conservar los metadatos durante un año para que los servicios de inteligencia y las autoridades puedan acceder a ellos en el marco de una investigación judicial.

Pierre de Roquefeuil, abogado especializado en derecho digital y de la comunicación en ParísLa Comisión Europea ha publicado un informe sobre el acceso a los datos en poder de los operadores telefónicos.

Los ficheros registran todos nuestros datos de telecomunicaciones: la fecha y la hora de las llamadas telefónicas, la identidad de las personas que llaman, pero también los datos de geolocalización. Las empresas privadas conservan estos datos durante un año para que las fuerzas del orden y los servicios de inteligencia puedan solicitar esta información en el marco de una investigación.

Tres decretos del 20 de octubre de 2021 determinan el marco aplicable a la conservación de los datos de conexión por parte de los operadores de comunicaciones electrónicas, los proveedores de acceso a Internet y los hosts. Precisan las condiciones de comunicación de las solicitudes de autorización.

La solicitud de autorización para comunicar los datos de conexión y la autorización previa para acceder a los datos deben realizarse por escrito y transmitirse de forma que se garantice su confidencialidad y se pueda certificar su correcta recepción.

Así, la legislación establece que la solicitud de autorización para revelar datos de conexión podrá especificar para cada investigación :
- El nombre de la persona sospechosa o el nombre de cualquier otra persona cuyo acceso a los datos de conexión sea necesario para la investigación. En su caso, cuando no se conozca el nombre, podrá solicitarse la dirección IP u otros datos de conexión.
- Los datos de conexión o tipos de datos de conexión solicitados para cada persona o en cada caso.
- Los periodos durante los cuales se solicita el acceso a los datos de conexión.
- Los elementos de hecho y de derecho que justifican la solicitud.

Estos decretos demuestran la importancia de los datos de conexión en el contexto de las causas judiciales. El fiscal puede, en el contexto de una investigación, solicitar todos los datos de conexión relativos a la misma. Estos datos pueden permitir a los investigadores obtener información clave en una investigación.

De hecho, en el contexto de la prevención del terrorismo, el uso de metadatos es indispensable. Los datos de localización de individuos sospechosos, así como las escuchas telefónicas, pueden proporcionar a los investigadores información clave. Esta información puede utilizarse para impedir que los individuos actúen. Para fines de prevención de la seguridad nacional, el uso de dicha información está permitido por el Código de Seguridad Interior francés.

Roquefeuil Avocats le ofrece una visión de la legislación francesa sobre el acceso a los metadatos. El abogado especialista le explica las consecuencias de la sentencia del Tribunal de Justicia de las Comunidades Europeas.

¿Cuáles son las consecuencias de la sentencia del Tribunal de Justicia Europeo?

El Tribunal de Justicia de la Unión Europea (TJUE) ha declarado ilegal la práctica de la retención "generalizada e indiferenciada" de los datos de conexión. Desde estas declaraciones, la retención de este dispositivo en Francia sigue siendo incierta.

De hecho, en el asunto prejudicial TJUE C-793/19 SpaceNet, el Abogado General afirmó que el Derecho europeo "se opone a una normativa nacional que obliga a los proveedores de servicios de comunicaciones electrónicas disponibles al público a conservar, de forma preventiva, general e indiferenciada, los datos de tráfico y los datos de localización de los usuarios finales de dichos servicios para fines distintos de la protección de la seguridad nacional frente a una amenaza grave real y previsible".

El Abogado General también afirmó que una legislación es ilegal cuando "no supedita el acceso de las autoridades competentes a los datos de tráfico y de localización conservados al control previo de un tribunal o de un órgano administrativo independiente".

Por ello, el Consejo Constitucional recordó que la conservación generalizada de todos los datos de conexión es contraria a la Constitución.

Por ejemplo, un tribunal español ha preguntado al Tribunal de Justicia de la Unión Europea en el marco de la instrucción de un caso. El caso se refería a un robo en el que se sustrajo el teléfono móvil de la víctima. El juez que instruía el caso se había negado a solicitar la transmisión de los números de teléfono activados por el aparato robado, por considerar que el delito no era lo suficientemente grave como para justificar el acceso a datos personales. Por ello, el Tribunal de Apelación remitió el asunto al Tribunal de Justicia de la Unión Europea. Éste respondió que el artículo 15 de la Directiva, leído a la luz de los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea, "debe interpretarse en el sentido de que el acceso de las autoridades públicas a los datos destinados a identificar a los titulares de tarjetas SIM activadas con un teléfono móvil robado, como los apellidos nombre y, en su caso, dirección de dichos titulares supone una injerencia en los derechos fundamentales de estos últimos, consagrados en dichos artículos de la Carta, que no es tan grave como para que dicho acceso deba limitarse, en lo que atañe a la prevención, investigación, detección y enjuiciamiento de infracciones penales, a la lucha contra la delincuencia grave".

Por lo tanto, el acceso a los datos personales almacenados por los operadores telefónicos no puede justificarse por delitos de escasa gravedad que atenten gravemente contra el derecho a la intimidad.

Sin embargo, el Tribunal de Justicia de la Unión Europea precisa que corresponde a cada nación aplicar su derecho nacional al precisar que corresponde al tribunal penal no tener en cuenta los datos recogidos de manera no conforme con el derecho de la Unión si las personas procesadas no están en condiciones de pronunciarse eficazmente sobre la información y las pruebas. Esto se debe a que la información y las pruebas proceden de un ámbito que escapa al conocimiento de los jueces y es probable que tengan una influencia significativa en la valoración de los hechos.

En efecto, el Tribunal de Justicia de la Unión Europea reconoce que la conservación de metadatos puede ser útil para prevenir una amenaza grave para la seguridad nacional. Sin embargo, insiste en el respeto de tres condiciones: la limitación del dispositivo en el tiempo, la posibilidad de justificar la incautación de esta palanca por una amenaza grave, real, actual o previsible para la seguridad nacional. Por último, la utilización de los metadatos debe realizarse bajo el control efectivo de un tribunal o de una autoridad administrativa independiente.

En consecuencia, se autoriza el tratamiento automatizado de datos de localización para la prevención del terrorismo previsto en el Código de Seguridad Interior. Este último debe permitir filtrar todos los datos para sacar únicamente aquellos que permitan buscar e identificar a la persona.

Por el contrario, cuando no exista una amenaza grave para la seguridad nacional, la retención de datos con fines preventivos debe ser selectiva. Por ejemplo, las escuchas telefónicas sólo están permitidas para investigaciones sobre delincuencia organizada o terrorismo. Son posibles para crímenes y delitos castigados con más de dos años de prisión. Los datos de geolocalización sólo pueden ser utilizados por los servicios de inteligencia o las fuerzas del orden para delitos castigados con más de cinco años de cárcel, o tres años en caso de daños personales.

¿Se han utilizado sus datos de conexión en una investigación y desea que se le informe? Pierre de Roquefeuil, abogado especializado en derecho digital y de la comunicación en ParísPodemos asesorarle y hacer valer sus intereses. El abogado especialista le ayudará a identificar el procedimiento adecuado para su situación.

¿Quién conserva qué? ¿Los operadores conservan los metadatos y los transfieren a las autoridades, en qué condiciones? ¿Qué metadatos?

Entre la jurisprudencia nacional y la comunitaria, las reglas parecen seguir flotando, pero en beneficio de GAFAM, que intenta hacer prevalecer la confidencialidad debida a sus abonados, y al mismo tiempo una concepción americana de la libertad de expresión que consiste en admitir toda calumnia, anónima o no.

Para una opinión pública todavía aficionada a la lapidación, en desafío a los objetivos más elementales de la rehabilitación social.

Contraseñas y custodia

Custodia policial y derecho al silencio

Reseñas negativas y despectivas

El nuevo reglamento de Internet en preparación: DSA - DMA

El proyecto de reglamento sobre privacidad electrónica

Actualización del 6 de agosto de 2022

Tribunal de Cass.

Cass. crim., 12 de julio de 2022, n° 21-83.710, 
Cass. crim., 12 de julio de 2022, n° 21-83.820,
Cass. crim., 12 de julio de 2022, n° 20-86.652, 
Cass. crim., 12 de julio de 2022, n° 21-84.096, 

TJUE

TJUE 20 de septiembre de 2022, C793/19, C794/19

TJUE, 2 de marzo de 2021, asunto C-746/18, H.K./Prokuratuur

6 oct. 2020, La Quadrature du net [Assoc.], asunto C-511/18, C-512/18 y C-520/18,
5 abr 2022, Comisario de An Garda Síochána, Asunto C-140/20,
 2 Oct. 2018, Caso C-207/16

Textos afectados:
Artículo L. 34-1, III y III bis del Código de Correos y Comunicaciones Electrónicas

La Ley de 30 de julio de 2021 - 2021-998 (art.17) que modifica la LCEN, art.6 II, (ley n° 2004-575 de 21 de junio de 2004) y L34-1 code des postes et communications électroniques
Artículos 60-1, 60-1-1, 77-1-1 y 77-1-2, artículos 99-3 y 99-4, del Código de Procedimiento Penal

Tres decretos del 20 de octubre de 2021

Decreto nº 2021-1362 de 20 de octubre de 2021 relativo a la conservación de los datos que permiten identificar a toda persona que haya contribuido a la creación de contenidos puestos en línea, adoptado en aplicación del II del artículo 6 de la Ley nº 2004-575 de 21 de junio de 2004 para la confianza en la economía digital, que sustituye (derogado) al Decreto nº 2011-219 de 25 de febrero de 2011 relativo a la conservación y comunicación de los datos que permiten identificar a toda persona que haya contribuido a la creación de contenidos puestos en línea.

Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas).

Cons. const.

20 de mayo de 2022, nº 2022-993 QPC

Consejo de Estado

CE, 21 abr. 2021, n° 394922, 397844, 397851, 393099, 424717 y 424718 (Red francesa de datos)

CA París

18 feb. 2022, nº 20/13824, limitaría la comunicación de datos de identificación a los asuntos penales, confirmando el auto sumario sobre el artículo 145 del código de procedimiento civil y el artículo 6 LCEN
27 de abril de 2022

TJ - TGI París

30 de enero de 2013
5 de abril de 2022

Comentario:

En una sentencia de 2 de marzo de 2021 (TJUE, 2 de marzo de 2021, asunto C-746/18, H.K./Prokuratuur), el TJUE ha declarado que el acceso a los datos de conexión sólo puede concederse :

- si estos datos se han conservado de acuerdo con los requisitos de la legislación europea;
- si tuvo lugar con el fin que justificó la retención o con un fin más grave, salvo en el caso de la retención rápida;
- si se limita a lo necesario;
- en el caso de los datos de tráfico y de localización, si se limita a procedimientos destinados a combatir delitos graves, y ;
- si está sujeta a la revisión previa de un tribunal o de un órgano administrativo independiente.

El Tribunal de Casación dictaminó que los artículos 60-1, 60-1-1, 77-1-1 y 77-1-2 son contrarios al Derecho de la Unión en la medida en que no prevén la revisión previa por un tribunal o un órgano administrativo independiente.

Artículo L. 34-1, III bis, del Código de Correos y Comunicaciones Electrónicas :

"Los datos conservados por los operadores en virtud del presente artículo podrán ser objeto de una orden de conservación rápida por parte de las autoridades que, en virtud de la ley, tengan acceso a los datos relativos a las comunicaciones electrónicas con fines de prevención y represión de la delincuencia, la criminalidad grave y otras infracciones graves de las normas cuyo cumplimiento les incumbe garantizar, con el fin de acceder a dichos datos."

Actualizado el 22 de septiembre de 2022

=> El levantamiento del anonimato está en principio prohibido, en particular en lo que se refiere a los delitos civiles sin calificación penal o a los delitos menores (típicamente difamaciones e injurias no discriminatorias contra las personas), lo que es contrario a las exigencias del derecho a un juicio justo en virtud del CEDH. Esto es contrario a las exigencias del derecho a un juicio justo en virtud del CEDH. Por lo tanto, aún cabe esperar nuevos avances en la jurisprudencia.

Los textos (artículos L34-1 y R10-13 del Código de Correos y Comunicaciones Electrónicas, L34-1 de la ley de reforma de 30 de julio de 2022) sólo permiten recoger la identidad civil y los datos facilitados en el momento de la contratación (¿sólo por la fiscalía?) "a efectos de un procedimiento penal".

El suministro de los datos de identidad civil y contractuales (proporcionados inicialmente por el usuario) por parte de un operador o un anfitrión puede no ser suficiente para localizar al autor de un delito; los llamados datos técnicos sobre la localización y la identificación de las máquinas y los programas informáticos utilizados son la mayoría de las veces indispensables para la identificación precisa del autor y de las circunstancias del delito.

Se han sugerido varias vías para cuestionar este enfoque actual del legislador:

• impugnando la aplicabilidad de la Directiva " Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas; la Directiva en la que se basa la reforma, pero que no pretende regular la expresión pública, sino sólo las comunicaciones privadas;
• impugnando la constitucionalidad de la ley de 30 de julio de 2022 por vulneración del derecho a un juicio justo;

Actualización del 6 de enero de 2023:

Un notable auto sumario del tribunal judicial de París de 21 de diciembre de 2022 (Tribunal judiciaire de Paris (ref.), 21 de diciembre de 2022, n° 22/55886, Noctis Event y M. X. c/ Wikimedia Foundation Inc.) dictado contra Wikimedia reconoce el derecho de acceso a la identidad civil del autor del contenido malicioso, a sus datos de contacto, a su nombre y dirección, y a su número de teléfono. pero excluyendo sus datos de conexión - , en un contexto de invasión de la intimidad, difamación y ciberacoso (no se invocan los delitos de prensa), lo que puede justificar acciones civiles y penales.

El juez recuerda las condiciones del procedimiento sumario:

El artículo 145 de la Ley de Enjuiciamiento Civil establece que si existe una razón legítima para preservar o establecer antes de cualquier juicio la prueba de hechos de los que pueda depender la solución de un litigio, podrán ordenarse medidas de investigación legalmente admisibles a petición de cualquier parte interesada, previa solicitud o en un procedimiento sumario.

El tribunal de medidas cautelares, al que se recurre en virtud del artículo 145, tiene poder soberano para evaluar si el solicitante tiene un motivo legítimo y no tiene que considerar si existe una emergencia. Debe comprobar si la demanda alegada por el solicitante no está obviamente abocada al fracaso.

Las medidas de investigación limitadas en el tiempo y en su finalidad y proporcionadas al objetivo perseguido son legalmente admisibles. Corresponde al tribunal comprobar si la medida ordenada es necesaria para el ejercicio del derecho a la prueba y proporcionada a los intereses en conflicto implicados.

El juez precisa oportunamente, como en respuesta a los artículos L34-1 y R10-13 del código de correos y comunicaciones electrónicas, L34-1 resultante de la reforma de la Ley de 30 de julio de 2022:

El mero hecho de que el fiscal tenga la posibilidad de procesar, como sostiene la Wikimedia Foundation Inc., no basta para hacer ilegal la medida de investigación solicitada, que tiene por objeto identificar al autor de estos hechos.

> La "razón legítima" requerida para justificar una solicitud de juicio sumario previa al juicio, en particular con el fin de establecer pruebas, no puede verse socavada por un pronóstico sobre las decisiones del fiscal en futuros procesos, como señaló el juez.

Actualización del 15 de marzo de 2023:

 Transmisión al Tribunal de casación de un QPC relativo al artículo 60-1-2 del Código de Procedimiento Penal 

Tribunal de Apelación de Versalles / 14 dic. 2022, pourvoi n°22-90.019 / 6 dic. 2022. Recurso nº 22-90.018

(Difamación de un individuo - enjuiciamiento penal)

El juez de instrucción recuerda que las nuevas disposiciones de los artículos 60-1 y 60-1-2 del Código de Procedimiento Penal (Code de la Cour de l'État) no son aplicables al caso del procedimiento no permiten hacer requisiciones datos técnicos de conexión autores anónimos de contenidos difamatorios, teniendo en cuenta la naturaleza de los hechos denunciados y la pena (una simple multa penal).

La Sala de Instrucción remitió la cuestión prioritaria de constitucionalidad planteada por la parte civil al Tribunal de Casación, declarando que estas disposiciones La nueva ley imposibilita el acceso de las víctimas de difamación a la búsqueda de la verdad. la identidad de los responsables de los delitos cometidos y a un juez para obtener una indemnización por los daños que puedan ser importantes en términos de perjuicio al honor y a la moralidad de las personas afectadas, con repercusiones en su vida y en su situación personal, ya que sólo obteniendo los datos técnicos de conexión se puede una identificación indiscutible de los responsables. 

En sus decisiones de 14 de marzo de 2023, Recurso nº 22-90.018 y Recurso nº 22-90.019, el Tribunal de Casación no remitió la cuestión al Consejo Constitucional, afirmando que 

cuando el único objetivo de las requisas sea identificar al autor de la infracción, el artículo 60-1-2 del Código de Procedimiento Penal limita la posibilidad de solicitar los datos técnicos que permitan identificar la fuente de la conexión o los relativos al equipo terminal utilizado, mencionados en el 3° del II bis del artículo L. 34-1 del Código de Correos y Comunicaciones Electrónicas, a los procedimientos relativos a una infracción castigada con al menos un año de prisión cometida utilizando una red de comunicaciones electrónicas. Estas disposiciones fueron introducidas por el legislador con el fin de reforzar las garantías que responden a las exigencias constitucionales, dado el carácter invasivo de la vida privada de dichas medidas, teniendo en cuenta la gravedad de la infracción investigada y las circunstancias en las que se cometió (Cons. const., 3 de diciembre de 2021, decisión nº 2021-952 QPC). 

> El legislador considera que su comunicación constituye una intromisión grave en la vida privada ("injerencia en el derecho a la intimidad") y, por tanto, debe limitarse. El acceso a los datos de identidad civil recogidos por los operadores sigue estando disponible (como nombre, dirección, dirección de correo electrónico).