Le 19 février 2019, la Cour de cassation a rendu son arrêt dans l'affaire Skype, attendu avec impatience par la communauté juridique et les acteurs économiques. Toutefois, l'arrêt offre très peu de réponses aux questions de taille qui se posent. En fait, un lecteur non initié aurait même beaucoup de mal à comprendre l'enjeu de l'affaire. L'objectif de ce commentaire est dès lors d'apporter, de manière succincte, un éclairage sur cet arrêt et les questions laissées en suspens, qui touchent à la thématique délicate mais fondamentale de la collaboration des fournisseurs de services autres que les traditionnels opérateurs et fournisseurs de services de télécommunications.

Dans un premier temps, nous esquisserons brièvement les faits et la procédure qui a précédé l'arrêt annoté. Ensuite, dans une seconde étape, nous expliquerons les questions soumises à la Cour de cassation, avant de procéder à une analyse critique de l'arrêt et de la législation nationale sur laquelle il se fonde. Nous clôturerons avec quelques mots de mise en perspective de cette jurisprudence, notamment en parallèle avec les actuelles négociations au niveau de l'Union européenne et du Conseil de l'Europe.

Les faits remontent à septembre 2012. Dans le cadre d'une enquête relative à une organisation criminelle, le juge d'instruction requiert que Skype Communications SARL (ci-après: Skype), d'un côté, produise des données de trafic relatives aux communications Skype d'un des suspects (art. 88bis, § 2, C.i.cr.) et, de l'autre, prête son concours technique à l'interception du contenu de ces communications (art. 90quater, § 2, C.i.cr.). Le suspect se trouve sur le territoire belge, plus particulièrement dans l'arrondissement judiciaire de Malines, et utilise le logiciel Skype pour communiquer avec ses comparses. Bien que Skype soit une entreprise étrangère sans infrastructure ni autre présence physique sur le territoire belge - l'entreprise a son siège social au Grand-Duché de Luxembourg -, le juge d'instruction décide de ne pas se servir des instruments relatifs à la coopération judiciaire en matière pénale (comme la convention du 29 mai 2000 relative à l'entraide judiciaire en matière pénale entre les Etats membres de l'Union européenne [5] et le traité d'extradition et d'entraide judiciaire en matière pénale entre le Royaume de Belgique, le Grand-Duché de Luxembourg et le Royaume des Pays-Bas du 27 juin 1962 [6]) mais de s'adresser directement à l'entreprise par simple courriel.

L'entreprise luxembourgeoise refuse toutefois de collaborer, arguant qu'elle peut uniquement fournir, sur une base volontaire, des données d'identification. Par contre, les données de trafic et l'assistance technique requises par le juge d'instruction exigent que les procédures d'entraide judiciaire soient suivies. Skype est, en effet, d'avis que les autorités judiciaires belges ne peuvent pas contraindre une entreprise étrangère qui n'a pas de présence physique sur le territoire belge sans le recours des autorités luxembourgeoises [7]. Sans l'intervention de ces dernières, Skype violerait la législation luxembourgeoise. De plus, elle invoque l'impossibilité technique d'intercepter le contenu des communications étant donné que le logiciel Skype est fondé sur une architecture peer-to-peer, décentralisée et distribuée, c'est-à-dire que les communications ne passent pas par un serveur central de l'entreprise Skype, mais se font directement entre les ordinateurs des utilisateurs [8].

Ce refus sera le début d'une longue procédure judiciaire, qui s'est terminée par l'arrêt de la Cour de cassation du 19 février 2019. En effet, le refus de collaboration étant incriminé par le Code d'instruction criminelle, le juge d'instruction en a informé le procureur du Roi qui, à son tour, a décidé, en mars 2014, d'engager des poursuites pénales contre Skype sur le fondement des articles 88bis, § 2 et 90quater, § 2, C.i.cr.

En première instance, Skype a été condamnée à une peine d'amende de 5.000 EUR (à majorer des décimes additionnels) par le tribunal correctionnel de Malines le 27 octobre 2016 [9]. Cette peine a été confirmée en degré d'appel par la cour d'appel d'Anvers par un arrêt du 15 novembre 2017 [10]. L'arrêt de la cour d'appel reprend largement le raisonnement du tribunal correctionnel.

Force est donc de constater qu'aucun des arguments avancés par la prévenue n'a pu convaincre les deux juridictions de fond. Il n'est pas possible, dans le cadre de ce commentaire, de détailler tous ces arguments; nous nous limiterons donc aux trois arguments principaux, à savoir le champ d'application territorial des articles 88bis, § 2 et 90quater, § 2, C.i.cr., le conflit de lois avec le droit luxembourgeois et l'impossibilité technique de collaborer.

Premièrement, les juridictions de fond estiment que Skype est visée par les obligations de collaboration prévues aux articles 88bis, § 2 et 90quater, § 2, C.i.cr., qui s'étendent à tout fournisseur d'un service de communications électroniques qui offre de manière ciblée des services sur le marché belge [11]. Peu importe l'endroit du siège social du fournisseur [12]. De plus, l'exécution des réquisitions du juge d'instruction ne requiert pas de présence des autorités policières et judiciaires belges à l'étranger [13]. Tel a été décidé par la Cour de cassation dans l'affaire Yahoo en 2015 [14] et a, ensuite, été codifié par le législateur, notamment par la loi du 25 décembre 2016 [15]^, [16]. En conséquence, les autorités judiciaires belges peuvent se passer de la procédure d'entraide judiciaire et directement appliquer le droit belge à tous les fournisseurs de services étrangers qui sont virtuellement présents en Belgique. Sur le plan international, cette approche est loin de faire l'unanimité et risque de causer des clashes de souveraineté [17]. Beaucoup d'États (et d'auteurs) sont d'avis qu'il faut un autre critère de rattachement au territoire, notamment l'endroit du stockage des données ou le siège social du fournisseur de services [18]. Toutefois, il convient de noter qu'en ce qui concerne les données d'identification, l'approche belge est tout à fait en conformité avec la convention sur la cybercriminalité du Conseil de l'Europe. En son article 18, 1., b), cette convention donne effectivement la possibilité aux États parties d'émettre une injonction de production de données d'identification (ou « des données relatives aux abonnés », pour utiliser la terminologie de la convention) à l'égard d'un « fournisseur de services offrant des prestations sur le territoire de la partie » [19]. D'après une note d'orientation du Comité T-CY, la présence territoriale du fournisseur de services n'est pas forcément physique mais virtuelle [20]. La jurisprudence Yahoo était, dans ce sens [21], conforme à la convention, ou pour être plus correct, elle a contribué à l'adoption de la note d'orientation sur l'article 18 [22]. Toutefois, dans l'affaire Skype, le juge d'instruction belge va bien au-delà des pouvoirs accordés par l'article 18 de la convention sur la cybercriminalité.

Deuxièmement, tant le tribunal correctionnel que la cour d'appel ont écarté le moyen de défense basé sur le conflit de lois avec le droit luxembourgeois. Alors que Skype alléguait qu'elle ne pouvait pas collaborer avec la justice belge sans violer les règles luxembourgeoises relatives à la confidentialité des communications privées, en d'autres mots qu'elle était « contrainte » à ne pas respecter le droit pénal belge, les juges du fond ont jugé qu'il n'y avait même pas lieu d'analyser l'éventuelle contradiction entre le droit belge et le droit luxembourgeois puisque les communications ciblées avaient eu lieu sur le territoire belge et que l'entreprise devait prêter son concours au même endroit [23].

Troisièmement, les juridictions de fond ont rejeté l'argumentation de la défenderesse sur l'impossibilité technique de collaborer. D'après Skype, il lui était impossible d'intercepter les communications Skype sur le territoire belge, faute d'infrastructure en Belgique. Afin de pouvoir répondre aux réquisitions du juge d'instruction belge, elle aurait dû revoir de fond en comble la conception de son infrastructure et de son logiciel. Le tribunal correctionnel estime, toutefois, que l'entreprise Skype avait elle-même créé cette impossibilité technique puisqu'elle avait décidé d'organiser ses services, qu'elle offre notamment sur le marché belge, en utilisant une technologie peer-to-peer alors que la loi belge l'oblige à collaborer avec les autorités judiciaires pour collecter des données de trafic et de contenu relatives aux moyens de communications électroniques [24]. La cour d'appel renchérit en jugeant que le fait même de ne pas avoir conçu d'emblée ses installations techniques de manière à pouvoir répondre à ses obligations légales sur la base des articles 88bis, § 2 et 90quater, § 2, C.i.cr. constitue l'infraction qui est reprochée à l'entreprise Skype [25].

Insatisfaite de la décision des juges du fond, l'entreprise Skype décide de saisir la Cour de cassation.

Devant la Cour de cassation, Skype invoque deux moyens comprenant plusieurs branches [26]. Les arguments de la demanderesse en cassation peuvent être résumés comme suit.

Premièrement [27], la demanderesse invoque la violation de l'article 56 du traité sur le fonctionnement de l'Union européenne [28] portant sur l'interdiction de restrictions à la libre prestation de services à l'intérieur de l'Union. D'après elle, les obligations de collaboration prévues aux articles 88bis, § 2 et 90quater, § 2, C.i.cr., lus conjointement avec l'article 2, § 1^er et 2, de l'arrêté royal du 9 janvier 2003 déterminant les modalités de l'obligation de collaboration légale en cas de demandes judiciaires concernant les communications électroniques [29], impose à tout fournisseur d'un service de communications électroniques l'obligation d'avoir une infrastructure ou une autre forme de présence physique sur le territoire belge. En effet, même si la Cour de cassation dans l'affaire Yahoo a jugé que l'article 46bis C.i.cr. (concernant l'obligation de fournir des données d'identification) ne requiert pas une présence physique du fournisseur de services, l'article 2, § 1^er-2 et § 4, de l'arrêté royal du 9 janvier 2003 prévoit que, pour satisfaire aux obligations de collaboration visées aux articles 46bis, § 2, 88bis, § 2 et 90quater, § 2, C.i.cr., chaque opérateur d'un réseau de communications électroniques et chaque fournisseur d'un service de communications électroniques doit établir, sur le territoire belge, une « Cellule de coordination de la Justice ». Cette dernière est composée d'une ou plusieurs personnes chargées d'assumer les tâches résultant des obligations de collaboration précitées et est disponible en permanence. Estimant que cette obligation d'établir une Cellule de coordination de la Justice constitue une restriction à la libre prestation des services au sein de l'Union européenne, Skype demande à la Cour de cassation de poser une question préjudicielle à la Cour de justice de l'Union européenne sur la compatibilité de cette exigence du droit belge avec le droit de l'Union.

Dans un deuxième temps [30], Skype soulève que les mesures ordonnées par le juge d'instruction nécessitaient une requête d'entraide judiciaire et ne prennent pas en considération le droit luxembourgeois relatif à la protection de la vie privée des utilisateurs de ses services. L'absence d'une telle requête d'entraide judiciaire constitue, entre autres, une violation de l'article 18 de la convention du 29 mai 2000 relative à l'entraide judiciaire en matière pénale entre les Etats membres de l'Union européenne.

En dernier lieu [31], la demanderesse en cassation allègue une violation des articles 88bis et 90quater C.i.cr. ainsi que de l'article 126 de la loi du 13 juin 2005 relative aux communications électroniques [32], dans la mesure où la cour d'appel a décidé que Skype aurait dû prendre les mesures nécessaires pour pouvoir satisfaire à son obligation de collaboration découlant de l'article 88bis C.i.cr. L'entreprise estime qu'elle ne peut être tenue pénalement responsable que si la loi lui impose également une obligation de conserver les données demandées. Or, à son sens, une telle obligation de conservation de données n'existait pas pendant la période infractionnelle (septembre 2012-mars 2014). Cet argument est formulé de façon assez maladroite puisqu'il mélange deux choses: d'un côté, l'obligation pour le fournisseur de services de concevoir son infrastructure de manière à pouvoir répondre à ses obligations de collaboration imposées par le droit belge et, de l'autre, l'existence d'une obligation (générale) de conservation des données de trafic relatives aux communications électroniques. La première partie de l'argument revient sur l'argument déjà soulevé devant les juridictions de fond, sur l'étendue du concours technique du fournisseur de services, notamment en ce qui concerne l'interception du contenu de la communication; la seconde, par contre, touche à une autre problématique et se limite à l'obligation de produire des données de trafic.

Au dernier moyen évoqué ci-dessus, la Cour de cassation répond de manière assez laconique que la condamnation de la demanderesse n'est pas fondée sur le motif invoqué, mais sur le motif que la demanderesse n'avait simplement pas l'intention de collaborer [33]. Ce manque d'intention est déduit du fait que l'entreprise Skype avait indiqué dans une de ses réponses aux autorités judiciaires belges qu'elle pouvait fournir tant des données d'identification que certaines données de trafic [34]. Autrement dit, lors de l'instruction, l'entreprise avait avoué pouvoir produire, au moins partiellement, les données requises sur la base de l'article 88bis, § 2, C.i.cr. Ainsi, elle s'était, en quelque sorte, tiré une balle dans le pied ce qui n'a pas facilité sa défense par la suite. Si elle avait produit toutes les données en sa possession et limité son refus aux données qu'elle n'avait pas et/ou à l'interception des communications Skype, soit la mesure la plus intrusive, son argument sur l'impossibilité technique de collaborer aurait sans doute été plus convaincant.

Ainsi, la Cour de cassation a laissé passer l'opportunité de se prononcer sur la question relative à la possibilité technique de collaborer. Ce choix est regrettable, d'autant plus qu'il s'agit d'une question absolument cruciale à l'ère où les communications électroniques sont de plus en plus cryptées [35], même par défaut, et ce, pour assurer le respect de la vie privée des utilisateurs mais, aussi, pour respecter les obligations de cybersécurité qui incombent aux entreprises actives sur le marché européen [36]. La procédure pénale belge oblige-t-elle les fournisseurs de services à doter leurs moyens de communications électroniques d'une capacité d'interception? Telle semble bien être la conséquence de l'arrêt de la cour d'appel d'Anvers (supra), même si certains auteurs ont critiqué, à juste titre, l'arrêt sur ce point [37] et que l'avocat général Decreus semble, lui aussi, d'un autre avis [38]. Toutefois, dans l'interprétation de la cour d'appel, le droit belge est-il compatible avec la législation européenne en matière de protection de données à caractère personnel et celle relative à la cybersécurité [39]? Est-il conforme à la convention sur la cybercriminalité [40]? Toutes ces questions, pourtant fondamentales, sont laissées en suspens, avec toute l'insécurité juridique qui en découle pour l'ensemble des fournisseurs de services actifs sur le marché belge.

Dans le même temps, l'affaire Skype est aussi une illustration de la nature fragile et incertaine de la coopération volontaire [41] (ou informelle [42]) des fournisseurs de services. Clairement, l'entreprise Skype avait la possibilité de fournir des données de trafic aux autorités judiciaires belges et il est même vraisemblable qu'elle en avait produit dans le passé [43]. Toutefois, confrontée à la demande d'intercepter le contenu des communications Skype, ce qui est une mesure plus intrusive encore que le transfert de données de trafic, l'entreprise a visiblement voulu changer sa pratique de collaboration. Ce revirement explique, bien sûr, la frustration du juge d'instruction en charge de l'enquête qui est à l'origine de l'affaire Skype et la volonté du procureur du Roi d'en faire un dossier exemplaire. Si, au moment des faits, un cadre juridique clair en matière de coopération directe avec les fournisseurs de services étrangers avait existé au niveau de l'Union européenne, l'affaire Skype n'aurait sans doute pas vu le jour. La proposition « e-evidence » de la Commission européenne, publiée le 17 avril 2018, vise à créer un tel cadre juridique [44]; toutefois, elle s'applique uniquement aux données stockées et ne concerne pas l'interception de communications électroniques en temps réel [45]. Si cette proposition législative était adoptée, elle ne changerait donc pas l'actuelle situation en matière d'interception en temps réel. A noter, par ailleurs, que cette proposition n'aborde pas non plus de manière explicite la question du chiffrement [46]. Par contre, elle donne aux fournisseurs de services un moyen de défense lorsque ceux-ci ne disposent pas ou plus des données demandées par les autorités judiciaires [47].

Quant au moyen relatif à la restriction à la libre prestation de services, la Cour de cassation réussit à éviter assez facilement la question sur la discordance entre, d'une part, le vaste champ d'application territorial des articles 88bis, § 2 et 90quater, § 2, C.i.cr. et, d'autre part, l'exigence d'établir une Cellule de coordination de la Justice sur le territoire belge, prévue à l'article 2, § 1^er et 2, de l'arrêté royal du 9 janvier 2003. En reprenant les motifs de l'arrêt de la cour d'appel, la Cour de cassation confirme que les dispositions légales du Code d'instruction criminelle n'imposent pas une obligation de disposer d'une infrastructure sur le territoire belge [48]. Quant à l'exigence de l'arrêté royal du 9 janvier 2003, la Cour considère que le grief fait à l'arrêt attaqué repose sur une lecture erronée puisque la condamnation par la cour d'appel est fondée uniquement sur les articles 88bis, § 2 et 90quater, § 2, C.i.cr. [49]. En conséquence, il n'est pas nécessaire de poser une question préjudicielle à la Cour de justice de l'Union européenne [50].

Pourtant, la contradiction entre le Code d'instruction criminelle et l'arrêté royal qui détermine les modalités de l'obligation de collaborer avec la justice belge est flagrante. Pour la comprendre, il faut remonter un peu dans le temps. A l'époque où l'arrêté royal fut adopté, le champ d'application personnel des articles 46bis, 88bis et 90quater C.i.cr. était plus limité qu'à l'heure actuelle. En effet, ces articles visaient uniquement les opérateurs d'un réseau de télécommunications et les fournisseurs d'un service de télécommunications. Il était à peine question des géants du web qui offrent à l'échelle mondiale des services Internet et de nouveaux outils de communication. C'est d'ailleurs en 2003 que le logiciel Skype fut lancé [51]. En d'autres mots, l'arrêté royal est écrit pour un autre type de fournisseur, les traditionnels opérateurs et fournisseurs de services de télécommunications, qui ont d'office une infrastructure sur le territoire. L'extension du champ d'application personnel des obligations de collaboration visées au Code d'instruction criminelle date de 2011, lorsque la Cour de cassation a jugé dans l'affaire Yahoo [52] que l'intention du législateur était d'inclure également d'autres fournisseurs de services [53]. Depuis la loi du 25 décembre 2016, cette interprétation est reflétée clairement dans le Code d'instruction criminelle [54]. En se référant à l'arrêté royal de 2003, Skype a tenté, en vain, de remettre en question l'interprétation retenue dans l'affaire Yahoo. Il n'en reste pas moins, qu'à l'heure actuelle, le contenu de l'article 2 de cet arrêté royal ne correspond plus au champ d'application personnel des articles au Code d'instruction criminelle et que cette discordance mériterait d'être adressée par le Roi.

Dans le seul sous-moyen de l'arrêt qui a été traduit en français [55], l'entreprise Skype dénonce la démarche choisie par le juge d'instruction. Au lieu d'appliquer les règles relatives à la coopération judiciaire en matière pénale, le juge a privilégié la voie de la coopération directe avec le fournisseur de services étranger, un acteur privé. Ce mode de coopération devient de plus en plus important en raison de l'utilisation répandue d'une grande variété de moyens de communication et de partage d'information via Internet [56]. Cette tendance croissante à recourir à la coopération directe au lieu de suivre la voie de l'entraide judiciaire, qui est plus lente et souvent inefficace [57], ne se manifeste pas seulement en Belgique, mais à l'échelle mondiale [58]. Toutefois, cette coopération avec les fournisseurs de services internet se situe souvent dans une zone grise faute de cadre juridique clair [59]. Comme indiqué supra, la Commission européenne veut offrir, avec sa proposition « e-evidence », une solution à ce problème. De même, au niveau du Conseil de l'Europe, on cherche à mieux réglementer la coopération directe en vue de l'obtention transfrontière des preuves numériques. C'est l'un des objectifs du futur second protocole additionnel à la convention sur la cybercriminalité [60].

L'une des questions sensibles dans le contexte de coopération directe est celle relative aux conflits de lois. Comment résoudre le conflit entre la loi de l'État du siège du fournisseur de services et celle de l'État qui requiert la collaboration du fournisseur de services? Cette question a également été soumise à la Cour de cassation dans cette affaire.

Pour y répondre, la Cour de cassation commence par réitérer sa jurisprudence Yahoo [61]. Les dispositions légales du Code d'instruction criminelle permettent au juge d'instruction de s'adresser directement au fournisseur de services étranger, « indépendamment du lieu où cet opérateur ou ce fournisseur est établi ou du lieu où se situe l'infrastructure requise pour donner suite à la demande du juge d'instruction » [62], pourvu que le fournisseur participe activement à la vie économique en Belgique. A cet effet, une intervention des autorités judiciaires belges à l'étranger n'est pas requise et il « n'est pas davantage lié par la législation [luxembourgeoise] ». Comme l'arrêt attaqué explique, les communications ciblées par les réquisitions du juge d'instruction se situent en Belgique, et non pas au Luxembourg; dès lors, « les prestations de services fournies par la demanderesse aux habitants belges relèvent du droit belge applicable et non du droit luxembourgeois » [63]. En conséquence, « l'infraction alléguée au droit luxembourgeois ne peut donc constituer un cas de force majeure dans le chef de la demanderesse » [64]. En conséquence, la Cour conclut que la décision de la cour d'appel est légalement justifiée.

Si l'on peut questionner la localisation (exclusive) de l'obligation de collaboration en Belgique - d'autant plus parce qu'il s'agit de données de trafic et d'une interception du contenu de communications [65] -, il faut toutefois reconnaître que cette approche est également adoptée par d'autres pays [66]. Mais la conséquence que la Cour en tire - la simple non-application du droit luxembourgeois - est encore moins convaincante et pose question d'un point de vue du droit international.

Comme l'exprime l'article 2 de la charte des Nations Unies, les États sont souverains et la collaboration internationale est fondée sur le principe d'égalité souveraine. Ce principe suppose un respect mutuel de la souveraineté de l'autre. Il est donc tout à fait possible, voire logique que l'État du fournisseur de services impose des restrictions légales que ce dernier doit respecter, même s'il est confronté à des demandes légitimes d'un autre État, comme des demandes dans le cadre d'une enquête pénale concernant une infraction commise sur le territoire de cet État [67]. Ces restrictions légales créent un obstacle important à la coopération directe avec les fournisseurs de services. C'est notamment le cas pour la coopération entre autorités judiciaires en Europe et fournisseurs de services américains (parfois appelés les GAFAM [68]): le droit américain les empêche de produire, directement, le contenu de communications électroniques à des autorités judiciaires étrangères [69]. Ces fournisseurs peuvent uniquement produire de telles données dans le cadre d'une procédure d'entraide judiciaire. Or, afin de surmonter ce problème et de permettre une collaboration directe plus rapide et efficace entre les fournisseurs de services américains et les autorités judiciaires en Europe, l'Union européenne négocie en ce moment une convention avec les Etats-Unis sur base du CLOUD Act [70]. Au sein de l'Union européenne, c'est la proposition « e-evidence » qui permettra une coopération directe entre les fournisseurs de services d'un Etat membre (c.-à-d. l'Etat membre du siège du fournisseur ou celui où réside le représentant légal du fournisseur [71]) et les autorités judiciaires d'un autre Etat membre. Toutefois, il s'agit, dans les deux cas, d'initiatives législatives qui n'ont pas encore abouti.

Le droit belge actuel, qui instaure une coopération directe entre les autorités judiciaires belges et tout fournisseur de services étranger qui est actif sur le marché belge, sans base légale internationale [72], ne respecte donc pas la souveraineté de l'État du siège du fournisseur de services [73]. L'emprise du droit belge pourrait cependant être atténuée par la prise en compte des obligations légales qui incombent aux fournisseurs de services étrangers dans leur État d'origine. Une telle approche serait envisageable sur la base de l'article 70 du Code pénal, qui prévoit: « Sauf en ce qui concerne les infractions définies dans le Livre II, Titre Ibis, il n'y a pas d'infraction, lorsque le fait était ordonné par la loi et commandé par l'autorité. » Une obligation légale basée sur le droit du siège du fournisseur de services pourrait, à notre sens, constituer une cause de justification dans le chef du fournisseur, comme d'autres auteurs l'ont déjà suggéré [74].

Comme nous avons écrit ailleurs [75], en jouant cavalier seul, la Belgique met les fournisseurs de services Internet actifs sur le marché belge dans une situation inextricable: soit ils respectent leur obligation de collaboration en droit belge, soit ils violent la législation de l'État de leur siège social. Il est dès lors dommage que la Cour de cassation n'ait pas saisi l'opportunité d'atténuer les effets extraterritoriaux de l'actuelle législation.

L'affaire Skype soulève des questions fondamentales relatives à la coopération transfrontière avec des fournisseurs de services étrangers, autres que les traditionnels fournisseurs de télécommunications. En raison de l'effacement des frontières dans le monde virtuel, les autorités judiciaires sont, quotidiennement, confrontées au besoin de pouvoir accéder, dans le cadre d'enquêtes pénales, à des données informatiques qui sont transmises, traitées ou stockées, souvent sous forme cryptée, par des fournisseurs de services établis à l'étranger. Malheureusement, la Cour de cassation apporte très peu de réponses à ces questions, et celles qu'elle donne sont peu satisfaisantes, tant pour les fournisseurs de services en question que pour les autres États concernés (en particulier, l'État du siège social). Cette jurisprudence est une excellente illustration des risques qu'entraîne une approche unilatérale à défaut d'un cadre juridique international. En fin de compte, c'est sans doute la principale leçon à tirer de cette affaire.

D'où notre appel aux décideurs politiques aux niveaux de l'Union européenne et du Conseil de l'Europe: afin d'éviter pire, il faut absolument trouver des solutions adéquates pour répondre aux besoins légitimes des autorités judiciaires. Compte tenu des faiblesses de l'entraide judiciaire à l'ère numérique [76], la coopération directe transfrontière entre autorités judiciaires et acteurs privés est sans doute inéluctable. Le défi est donc d'élaborer des règles juridiques claires qui permettent, à la fois, de tenir compte de la souveraineté de l'État du siège social afin de limiter les conflits de lois et de garantir la protection des droits fondamentaux des individus concernés. Dans le même temps, il est essentiel que ces règles soient réalistes, praticables et plus efficaces que l'actuelle entraide judiciaire.