Absence d’obligation de Facebook Suisse de produire des données d’utilisateurs

Le Ministère public vaudois ne peut contraindre Facebook Switzerland Sàrl (Facebook Suisse) à produire les données d’un compte Facebook ouvert vraisemblablement depuis la Suisse. Facebook Suisse n’est pas titulaire des données en question et n’en a pas non plus le contrôle. Pour y avoir accès, il y a lieu d’agir, cas échéant, par voie de l’entraide judiciaire auprès de Facebook Ireland Ltd (Facebook Irlande). Le Tribunal fédéral admet les recours formés par Facebook Suisse et par ses deux gérants.

En 2015, le Ministère public du canton de Vaud a ouvert une instruction pénale contre inconnu pour calomnie, diffamation et injure, sur plainte d’un journaliste belge. Ce dernier indiquait avoir été traité d’antisémite sur un compte Facebook ouvert vraisemblablement en Suisse sous un pseudonyme. Le Ministère public a exigé de Facebook Suisse et de ses deux associés gérants la production de l’identité du détenteur du compte, de ses données d’accès et adresse IP. La société et ses gérants ont recouru contre cet ordre de production auprès du Tribunal cantonal vaudois, faisant valoir qu’ils ne géraient pas le site Facebook. L’ordre de production devait être adressé à la société Facebook Irlande, titulaire des informations recherchées ainsi qu’elle l’avait elle-même confirmé. Le Tribunal cantonal a rejeté les recours en 2016. Facebook Suisse et ses deux gérants ont alors porté la cause devant le Tribunal fédéral. Le Tribunal fédéral admet les recours et annule l’arrêt cantonal ainsi que l’ordre de production du Ministère public. Il ressort de l’article 265 du Code de procédure pénale suisse et de l’article 18 de la Convention internationale sur la cybercriminalité que l’injonction de production ne peut être adressée qu’au possesseur ou au détenteur des données, ou à celui qui en a le contrôle en fait et en droit. Aucun des documents sur lesquels le Tribunal cantonal a fondé sa décision ne permet de conclure que la société recourante soit effectivement titulaire des données d’utilisateur réclamées, ou qu’elle ait un accès direct à ces données. Il en résulte au contraire que la société Facebook Irlande est partenaire contractuelle avec les utilisateurs situés hors des États-Unis et du Canada et qu’elle exerce seule le contrôle sur les données personnelles. L’activité de Facebook Suisse se limite au support marketing, à la vente d’espaces publicitaires, aux relations publiques et à la communication. Facebook Suisse ne représente pas non plus la société irlandaise. Les données ne peuvent donc pas être exigées de la part de Facebook Suisse; pour les obtenir, le Ministère public vaudois n’a dès lors pas d’autre choix que de s’adresser, cas échéant, par voie d’entraide judiciaire pénale aux autorités irlandaises.

Art. 265 CPP; art. 18 Convention sur la cybercriminalité