En Fait

Le 22 avril 2015, un journaliste belge a déposé une plainte pénale en Suisse contre inconnu pour des propos tenus sur un compte Facebook sous le pseudonyme « D. ». Le Ministère public central du canton de Vaud a ouvert une instruction pour calomnie, diffamation et injure (art. 173, 174 et 177 CP).

Le 29 juin 2015, le Ministère public a adressé à Facebook Switzerland Sàrl (ci-après : Facebook Suisse) un ordre de production de pièces exigeant :

  • L’identité du détenteur du compte ;
  • Les adresses IP utilisées pour créer le profil ;
  • Les logs de connexions et les adresses IP associées ;
  • Le contenu privé du compte.

Cet ordre était assorti d’une menace de peine prévue à l’art. 292 CP (désobéissance à une autorité). Facebook Suisse a répondu que la plateforme était gérée par Facebook Ireland Ltd et que l’ordre devait être adressé par la voie de l’entraide judiciaire internationale. Le 11 novembre 2015, le Ministère public a réitéré sa demande via une ordonnance de production de pièces, adressée à Facebook Suisse ainsi qu’à ses associés gérants [A.] et B. Les destinataires ont saisi la Chambre des recours pénale du Tribunal cantonal du canton de Vaud, qui a rejeté leurs recours en mars 2016.

Facebook Suisse, [A.] et B. ont formé trois recours distincts devant le Tribunal fédéral, demandant l’annulation de l’ordonnance du Ministère public et la condamnation aux frais et dépens. Le Tribunal fédéral a admis les recours.

En Droit

Le Tribunal fédéral a examiné si l’ordre de production de pièces adressé à Facebook Suisse était valable au regard des dispositions du Code de procédure pénale suisse (CPP) et de la Convention de Budapest sur la cybercriminalité (CCC). Il a d’abord rappelé que l’art. 265 CPP permet à l’autorité d’instruction d’obtenir des objets ou valeurs détenus par leurs détenteurs, sans recourir à des mesures de contrainte. Cependant, cet article ne s’applique pas aux fournisseurs de services Internet, tels que les réseaux sociaux, qui ne fournissent pas eux-mêmes un accès à Internet au sens de la Loi sur la surveillance de la correspondance par poste et télécommunication (LSCPT). Les art. 269 ss CPP, relatifs à la surveillance de la correspondance, ne couvrent pas non plus ces services, en l’absence de modification législative.

Le Tribunal fédéral a ensuite analysé la Convention de Budapest, qui élargit la notion de « fournisseur de services » à toute entité offrant des services de communication ou traitant des données informatiques. Cependant, cette convention repose sur le principe de territorialité : un État ne peut pas prendre de mesures d’instruction sur le territoire d’un autre État sans recourir à l’entraide judiciaire internationale. Ainsi, même si Facebook Suisse est présente en Suisse, elle ne détient pas les données demandées, qui sont contrôlées par Facebook Ireland Ltd. L’ordre de production ne peut donc pas être adressé à Facebook Suisse, mais doit être transmis par la voie de l’entraide judiciaire aux autorités irlandaises.

Le Tribunal fédéral a également rejeté l’argument selon lequel Facebook Suisse exercerait une activité concrète en Suisse justifiant sa soumission à des injonctions pénales. Aucune preuve ne démontre que Facebook Suisse détient ou contrôle…