Extraction des données d’un téléphone : le contrôle préalable consacré, la nullité conditionnée

05.11.2026

La chambre criminelle juge que l’accès aux données d’un téléphone portable en enquête de flagrance doit, sauf urgence justifiée, être soumis au contrôle préalable d’une juridiction ou d’une autorité administrative indépendante. Elle écarte sur ce point l’article 60-3 du code de procédure pénale, mais subordonne la nullité à la démonstration d’une ingérence injustifiée dans la vie privée. L’arrêt transpose ainsi partiellement au contenu des téléphones le régime contentieux élaboré pour les données de connexion.

La saisie d’un téléphone n’épuise pas la question de la légalité de son exploitation. L’arrêt du 20 octobre 2026 confronte les pouvoirs des enquêteurs en flagrance au contrôle indépendant exigé par le droit européen et précise les conséquences de son absence.

Dans une enquête de flagrance ouverte le 18 juin 2024, les policiers avaient requis, le lendemain, un service technique afin d’extraire les données du téléphone d’un suspect. Une information judiciaire avait été ouverte le 21 juin 2024 et le rapport du 20 mai 2025 ne précisait pas la date des opérations. Mis en examen notamment pour des infractions à la législation sur les stupéfiants et les armes et pour association de malfaiteurs, l’intéressé sollicitait l’annulation de l’exploitation. Le 23 janvier 2026, la chambre de l’instruction de Versailles avait rejeté sa requête : l’article 60-3 du code de procédure pénale n’exigeait aucune autorisation préalable et l’urgence découlait, selon elle, de la flagrance.

Le pourvoi contestait également le délai d’exécution et le déverrouillage du téléphone. La chambre criminelle n’admet pas le premier moyen, rejette les deux autres, mais accueille celui fondé sur le défaut de contrôle indépendant.

L’accès au téléphone : un régime européen distinct de celui des données de connexion

L’article 60-3 du code de procédure pénale, dans sa rédaction applicable aux actes litigieux, issue de la loi n° 2023-22 du 24 janvier 2023, permet, lorsqu’un support de données informatiques a été placé sous scellés, de requérir une personne qualifiée afin de réaliser des copies ou les opérations techniques nécessaires à la mise à disposition des données, sans altérer leur intégrité. Les services de police technique et scientifique peuvent accomplir ces opérations suivant l’article 60 qui régit le recours aux experts. Le texte organise l’intervention technique sans soumettre l’accès aux informations à l’appréciation préalable d’une autorité indépendante.

Ainsi, en droit interne, l’exploitation d’un téléphone est assimilée à une perquisition. En enquête préliminaire, elle suppose donc l’assentiment de la personne concernée ou, dans les conditions de l’article 76, une autorisation du juge des libertés et de la détention (Crim. 27 janv. 2026, n° 25-83.425).

Cette qualification ne règle toutefois pas l’exigence européenne tenant à l’indépendance de l’autorité appelée à apprécier la proportionnalité de l’accès. En effet, dans l’arrêt Bezirkshauptmannschaft Landeck (CJUE, gr. ch., 4 oct. 2024, aff. C-548/21, D. 2024. 2099 , note B. Auroy ; ibid. 2025. 1445, obs. J.-B. Perrier ; AJ pénal 2024. 567, note M. Audibert ; Dalloz IP/IT 2024. 550, obs. A.-L. Bofua ; ibid. 2025. 172, obs. E. Daoud et C. Veltz ; Légipresse 2025. 249, obs. N. Mallet-Poujol ; RTD eur. 2024. 667, obs. M. Benlolo Carabot ), la Cour de justice de l’Union européenne distingue l’accès direct par la police aux données stockées sur un téléphone des réquisitions adressées aux opérateurs de télécommunications. Le premier relève de la directive (UE) 2016/680 du 27 avril 2016, dite « police-justice », non de la directive 2002/58/CE relative aux communications électroniques. L’affaire concernait des tentatives infructueuses de déverrouillage dans une enquête relative à des stupéfiants. Pour la Cour, la tentative d’accès elle-même relève des garanties de la directive, indépendamment de la consultation effective des informations. Ainsi, si un téléphone peut lui-même contenir des données relatives aux communications ou aux déplacements, leur consultation directe et la réquisition de données détenues par un opérateur relèvent de régimes différents dont les conditions ne sont pas automatiquement interchangeables.

Cette différence de fondement emporte une distinction de régime. Pour les données de trafic et de localisation conservées par les opérateurs, la jurisprudence réserve en principe les ingérences graves à la lutte contre la criminalité grave (CJUE 2 mars 2021, aff. C-746/18, Dalloz actualité, 5 mars 2021, obs. C. Crichton ; AJDA 2021. 1086, chron. P. Bonneville, C. Gänser et A. Iljic ; D. 2021. 470 ; ibid. 1564, obs. J.-B. Perrier ; ibid. 2022. 2002, obs. W. Maxwell et C. Zolynski ; AJ pénal 2021. 267, obs. S. Lavric ; Dalloz IP/IT 2021. 123, obs. C. Crichton ; ibid. 468, obs. B. Bertrand ; RTD eur. 2022. 481, obs. B. Bertrand ). Dans l’arrêt Landeck, la Cour admet, au contraire, l’accès au téléphone pour des infractions pénales en général, sous réserve d’une délimitation suffisamment précise des infractions, de la proportionnalité et d’un contrôle indépendant. Elle refuse de réserver cet instrument à la criminalité grave, eu égard à son utilité pour l’élucidation d’autres infractions, malgré le caractère potentiellement plus intrusif de l’extraction. Ainsi, la chambre criminelle juge que les articles 53 et 60-3 du code de procédure pénale satisfont à l’exigence de délimitation des infractions puisque la flagrance concerne les seuls crimes et délits, bien que cette catégorie apparaisse particulièrement large. Rappelons sur ce point que la directive « police-justice » impose que les données traitées soient adéquates, pertinentes et non excessives tandis que son article 10 soumet certaines données sensibles à la nécessité absolue.

Une autorisation indépendante que la flagrance ne saurait remplacer

Selon l’arrêt Landeck, puisque l’accès aux données stockées sur un téléphone est susceptible de constituer une ingérence grave, voire particulièrement grave, dans les droits fondamentaux, une juridiction ou une entité administrative indépendante doit en apprécier préalablement la nécessité. Saisie d’une demande motivée, elle doit pouvoir refuser ou limiter l’accès faute de soupçons raisonnables suffisamment étayés, ou lorsque la gravité des faits et les besoins de l’enquête ne justifient pas l’examen des communications ou des données sensibles.

Pour appliquer cette exigence, la chambre criminelle reprend sa jurisprudence relative aux données de connexion. Dans ce domaine, elle avait en effet jugé que ni le procureur de la République, qui dirige l’enquête et peut exercer l’action publique, ni un policier ne présentent les garanties d’indépendance nécessaires pour autoriser l’accès aux données de trafic et de localisation conservées par les opérateurs (Crim. 12 juill. 2022, n° 21-83.710, Dalloz actualité, 5 sept. 2022, obs. B. Nicaud ; D. 2022. 1540 , note M. Lassalle ; ibid. 2002, obs. W. Maxwell et C. Zolynski ; ibid. 2023. 1488, obs. J.-B. Perrier ; AJ pénal 2022. 415, note M. Bendavid et C. Quendolo ; Dalloz IP/IT 2022. 408, obs. J. Eynard ; Légipresse 2022. 459 et les obs. ; ibid. 2023. 241, étude N. Mallet-Poujol ; RTD eur. 2023. 277, obs. A. Jeauneau ). La Cour transpose ici expressément cette exclusion au contenu des téléphones.

En conséquence, elle laisse en l’espèce inappliqué l’article 60-3 du code de procédure pénale « en ce qu’[il] ne prévoi[t] pas un contrôle préalable » (§ 20). Ainsi, la compétence de l’officier de police judiciaire pour requérir une opération ne suffit plus à justifier, à elle seule, l’accès aux données, de même que la régularité des scellés et la compétence du technicien ne suppléent donc pas l’autorisation indépendante. Cette mise à l’écart ne prive pas les services techniques de leurs prérogatives, mais sépare le pouvoir de requérir de celui d’autoriser l’ingérence. L’arrêt n’organise toutefois pas la procédure permettant, en flagrance, de saisir une autorité compétente. Certes, le juge des libertés et de la détention présente les garanties d’indépendance attendues, mais sa compétence dans cette hypothèse ne résulte pas d’un régime général institué par l’article 60-3.

Plus encore, la flagrance ne saurait remplacer cette autorisation. Certes, l’arrêt Landeck réserve les urgences dûment justifiées, mais il exige alors un contrôle indépendant dans de brefs délais. Or, l’urgence ne se déduit pas automatiquement du cadre de l’enquête et l’article 60-3 n’organise aucun contrôle rapide après l’accès. En jugeant que la flagrance était, par elle-même, « gouvernée par l’urgence », la chambre de l’instruction avait ainsi méconnu les garanties européennes. Même une nécessité d’agir immédiatement devrait donc être caractérisée et suivie d’un véritable contrôle rapproché. Bien que la Cour ne définisse pas le délai admissible, le contrôle rapide imposé par la jurisprudence Landeck en urgence ne saurait néanmoins se confondre avec celui de la chambre de l’instruction, saisie ultérieurement d’une requête en nullité. En effet, le premier garantit l’accès, le second apprécie la sanction d’une irrégularité.

Il faut néanmoins noter que la chambre criminelle a jugé que l’autorisation préalable de l’arrêt Landeck n’est pas requise lorsque la personne consent à l’exploitation puisque l’assentiment donné à la fouille d’effets personnels et à la saisie des objets utiles vaut, selon elle, consentement à l’exploitation des téléphones découverts (Crim. 19 mai 2026, n° 25-87.563, Dalloz actualité, 10 juin 2026, obs. H. Diaz ; D. 2026. 952 ; AJ pénal 2026. 350, obs. F. Engel ). L’arrêt commenté concerne l’accès coercitif en flagrance et ne revient pas sur cette solution. L’assimilation d’un accord à la saisie à un consentement à l’exploration du contenu numérique reste cependant discutable au regard de l’étendue différente des ingérences.

L’exigence de grief comme limite à la sanction du défaut de contrôle préalable

La reconnaissance de l’irrégularité n’entraîne pas automatiquement l’annulation de l’extraction. Reprenant la construction retenue en juillet 2022 pour les données de connexion, la chambre criminelle estime que les exigences européennes protègent des intérêts privés. Pour s’en prévaloir, la personne mise en examen doit donc se prétendre propriétaire ou utilisatrice du téléphone, ou établir une atteinte à sa vie privée. Cette qualité pour agir se distingue du grief requis pour obtenir la nullité. Comme pour d’autres investigations et hors nullités d’ordre public, le juge examine successivement l’intérêt à l’annulation, la qualité pour invoquer la règle méconnue et le préjudice résultant de l’irrégularité. Ainsi, l’utilisateur peut invoquer le droit au respect de sa vie privée sans que la seule absence d’autorisation suffise à établir le grief.

Or, la chambre criminelle considère ici que le défaut d’autorisation indépendante ne suffit pas à caractériser un grief. Le requérant doit établir une ingérence injustifiée, « de sorte que cet accès aurait dû être prohibé » (§ 28). La formule reproduit celle de l’arrêt du 12 juillet 2022, selon lequel le préjudice doit résulter de l’irrégularité et non de la seule mise en cause du requérant (Crim. 12 juill. 2022, n° 21-83.710, préc.). L’absence d’autorisation est ainsi évaluée à partir de la décision qu’aurait pu prendre une autorité indépendante régulièrement saisie. Dès lors, il appartient à la chambre de l’instruction de vérifier l’existence de soupçons raisonnables appuyés par des éléments objectifs et suffisants, puis le caractère justifié de l’accès aux communications ou aux données sensibles au regard de la gravité des faits et des besoins de l’enquête. La Cour reproche en ce sens aux juges versaillais de s’être limités à la conformité de la réquisition à l’article 60-3 et à la référence abstraite à la flagrance.

Dans le contentieux des données de connexion, la chambre criminelle distinguait déjà l’acte attentatoire à la vie privée accompli par une autorité dépourvue de compétence, dont l’irrégularité fait nécessairement grief, de celui accompli par un agent compétent mais sans le contrôle d’un tiers, dont le grief doit être établi (Crim. 12 juill. 2022, n° 21-83.710, préc.). C’est à cette seconde catégorie qu’elle rattache l’extraction du téléphone : l’officier de police judiciaire demeure compétent selon le droit interne, mais une garantie externe manque. Cette solution prolonge celle retenue pour une perquisition effectuée en préliminaire par un agent de police judiciaire sans le contrôle requis d’un officier de police judiciaire (Crim. 7 déc. 2021, n° 20-82.733 P, Dalloz actualité, 17 janv. 2022, obs. S. Fucini ; D. 2021. 2234 ; ibid. 2022. 424, chron. L. Ascensi, E. Barbé, A.-S. de Lamarzelle, M. Fouquet et B. Joly ; AJ pénal 2022. 45, obs. J. Leborne ; Légipresse 2022. 194, étude N. Verly ). Le juge est ainsi invité à reconstituer l’autorisation hypothétique, sans sanctionner systématiquement son absence. Cette reconstitution ne régularise cependant pas rétroactivement l’accès, mais empêche seulement la nullité en l’absence de grief.

Toutefois, la Cour de justice explique qu’un contrôle ultérieur ne répond pas à l’objectif du contrôle préalable qui est d’empêcher l’accès avant qu’il ne dépasse le strict nécessaire (CJUE, gr. ch., 4 oct. 2024, aff. C-548/21, préc.). Subordonner la nullité à la preuve que l’accès aurait dû être refusé neutralise largement l’autonomie de cette garantie temporelle. Le juge intervient alors que les enquêteurs ont déjà découvert les informations. L’autonomie procédurale des États n’impose certes pas la nullité automatique, mais encore faut-il que les conditions de sanction ne privent pas de son effet utile la protection préventive consacrée par la Cour de justice. La comparaison avec les interceptions de correspondances montre la singularité de cette approche. La chambre criminelle juge que l’insuffisance de motivation d’une autorisation d’interception, lorsqu’elle empêche un contrôle réel et effectif de sa nécessité, fait nécessairement grief (Crim. 11 juin 2024, n° 23-85.632, AJ pénal 2024. 405 et les obs. ). Il peut ainsi paraître paradoxal que l’absence de motivation d’une autorisation reçoive une sanction plus immédiate que l’absence de toute intervention préalable d’une autorité indépendante.

Le contrôle après coup présente en outre un risque particulier en ce que le juge connaît parfois déjà les résultats de l’extraction. Or, la découverte de messages incriminants ne saurait justifier rétrospectivement une recherche qui ne reposait pas, à son origine, sur des soupçons objectifs et suffisants. Pour conserver un sens à la vérification exigée, la proportionnalité doit être appréciée à partir des éléments disponibles au moment de l’accès, et non de l’utilité probatoire finalement révélée. Cette difficulté s’accroît lorsque le rapport technique ne distingue pas les données copiées de celles effectivement consultées.

L’autonomie des opérations techniques préservée

Les autres moyens soulevaient, quant à eux, deux questions distinctes relatives aux conditions de réalisation des opérations techniques. Le troisième soutenait que l’extraction devait être accomplie pendant la flagrance, ouverte le 18 juin 2024 et close par l’information judiciaire du 21 juin. La chambre criminelle juge que l’article 60 du code de procédure pénale n’impose aucun délai d’exécution d’un examen technique régulièrement requis. Le rapport établi en mai 2025 ne devient donc pas irrégulier du seul fait de sa date, dès lors que la réquisition avait été délivrée le 19 juin 2024.

Le quatrième moyen concernait pour sa part les conditions dans lesquelles le téléphone avait été déverrouillé. Le rapport technique indiquait que le code d’accès avait été communiqué par l’utilisateur, alors que celui-ci avait refusé de le fournir aux enquêteurs. La défense soutenait donc que le déverrouillage avait nécessairement supposé des opérations techniques relevant de l’article 230-1 du code de procédure pénale, sans que les formalités prévues par ce texte aient été respectées. La chambre de l’instruction avait écarté cette argumentation en relevant que le rapport décrivait l’utilisation de logiciels et plusieurs tentatives de codes, sans établir le recours aux opérations spécifiques invoquées par le requérant. La chambre criminelle rejette également le moyen, mais précise surtout que l’article 230-1 « n’a ni pour objet ni pour effet » de priver l’officier de police judiciaire des prérogatives qu’il tient de l’article 60 pour accéder à des données chiffrées ou protégées par un mécanisme d’authentification. Autrement dit, le recours à l’article 230-1 n’est pas obligatoire pour toute opération technique de déverrouillage, certaines pouvant être réalisées sur le fondement de l’article 60.

En définitive, l’arrêt commenté consacre l’exigence d’un contrôle indépendant préalable à l’accès aux données d’un téléphone portable, sans remettre en cause les prérogatives techniques des enquêteurs. Toutefois, en transposant sa jurisprudence relative aux données de connexion, la chambre criminelle subordonne la nullité à la démonstration d’une ingérence injustifiée. L’effectivité de cette garantie dépendra donc largement de la rigueur du contrôle rétrospectif exercé par les juridictions, alors même que l’autorisation préalable vise précisément à prévenir les atteintes disproportionnées à la vie privée.

par Yoann Nabat, Maître de conférences en droit privé et sciences criminelles à l'Université Bordeaux Montaigne (MICA) et chercheur associé à l'ISCJ

Crim. 20 oct. 2026, FS-B+R, n° 26-80.559

Source