CJUE 6 octobre 2020, affaires C511/18, C512/18 et C520/18

Nouvelle décision de la CJUE relative à l’accès et à la conservation de données de connexion et de localisation dans le cadre de la lutte contre la criminalité : mise en balance du droit au respect de la vie privée et de la sécurité publique, des intérêts inconciliables ?

Aujourd’hui, la lutte contre la criminalité ne peut se faire sans l’utilisation de données collectées dans l’environnement numérique. En effet, ces organisations tendent à se « professionnaliser » et utilisent les moyens numériques pour recruter, préparer, diriger et accomplir des actes criminels (pédopornographie, criminalité en bande organisée, terrorisme). Les enquêteurs judiciaires et services de renseignement se sont donc adaptés à ces nouvelles pratiques, et usent des mêmes voies pour traquer et identifier les auteurs d’infractions. Les données de connexion et de localisation sont de plus en plus utilisées à des fins d’investigation et de preuve devant les juridictions pénales, et deviennent indispensables pour identifier les auteurs en raison de l’anonymat généralisé dans cet environnement.

C’est dans ce contexte que la Cour de justice de l’Union européenne rappelle, dans un arrêt récent en date du 6 octobre 2020, que, par principe, la collecte de données de connexion et de trafic sur les réseaux de communication électroniques est interdite, lorsqu’elle s’effectue de manière généralisée et indifférenciée. La Cour vient cependant préciser les contours des exceptions à ce principe, et les conditions dans lesquelles une législation nationale peut imposer aux fournisseurs et opérateurs de conserver lesdites données notamment à des fins de sécurité nationale.

Il sera d’ores et déjà précisé qu’on entend par « données de connexion », toutes les données qui se rattachent à une activité numérique, en dehors du contenu même du message lui-même. Ces données sont en lien avec le qui ? quand ? comment ? de la communication. Il s’agit des métadonnées, et données de localisation : identité, localisation de l’auteur et du destinataire des communications, date d’envoi, durée de la communication, matériel utilisé, numéro de téléphone, adresse IP.

Cette décision est d’autant plus remarquable qu’elle amène la CJUE à examiner notamment le régime français de conservation des données de connexion par les opérateurs de communication électronique à des fins de renseignement et de police judiciaire.

En effet, la Quadrature du Net, French Data network, la fédération des fournisseurs d’accès à Internet et Igwan.net (associations de défense des libertés des utilisateurs de services de communications électroniques) ont saisi le Conseil d’Etat (en France) par voie de requêtes en date des 1^er septembre et 30 novembre 2015, et du 16 mars 2016 tendant notamment à l’annulation de la réglementation française comme étant contraire notamment aux dispositions de l’article 15 de la Directive 2002/58 dite Directive ePrivacy.

Et c’est le Conseil d’Etat qui a saisi la Cour de Justice de l’Union européenne de questions préjudicielles.

Ces associations de défense militent activement pour la liberté et le respect de la vie privée sur Internet, et considèrent que les décrets pris en application de la Loi renseignement n°2015-912 du 24 juillet 2015 sont contraires au droit de l’Union Européenne et à la Charte des droits fondamentaux de l’Union européenne 2000/ C 364/ 01 adoptée le 7 décembre 2000.

Les développements de la Cour en lien avec la législation belge ne seront donc pas l’objet du présent commentaire.

A la faveur de cet arrêt fleuve (65 pages), la CJUE ré-affirme la position de principe qu’elle avait déjà adoptée, dans son arrêt Télé2 (CJUE, 21 décembre 2016, C-203/15 et C-698/15) et à la faveur duquel elle avait jugé qu’était contraire au droit européen « une réglementation nationale prévoyant, à des fins de lutte contre la criminalité, une conservation généralisée et indifférenciée de l’ensemble des données relatives au trafic et des données de localisation de tous les abonnés et utilisateurs inscrits concernant tous les moyens de communication électronique ».

A nouveau, elle confirme que des dispositions nationales ne peuvent pas imposer aux fournisseurs de services de communications électroniques une obligation de conservation généralisée et indifférenciée des données relatives au trafic et à la localisation, à titre préventif. En effet, l’article 15 alinéa 1 de la Directive ePrivacy s’oppose à de telles pratiques, trop attentatoires à la vie privée des utilisateurs de ses services. Toutefois, elle considère que l’article 15 précité ne s’oppose pas à ce que les Etats-membres puissent adopter des mesures législatives faisant exception au principe ainsi rappelé, dans des circonstances particulières tirées de la sauvegarde de la sécurité nationale, et entourées de garanties suffisantes dans le respect du principe de proportionnalité, fixé à l’article 52 de la Charte des droits fondamentaux de l’union européenne.

Le contrôle de proportionnalité opéré par la Cour de Justice porte sur le droit au respect de la vie privée et l’objectif de sécurité nationale poursuivi par les Etats-membres.

La Cour de Justice de l’Union Européenne, saisie par le tribunal chargé des pouvoirs d’enquêtes au Royaume-Uni (Investigatory Powers Tribunal) a rendu un second arrêt le même jour, dans une affaire C-623/17, prise au regard de la réglementation anglaise et portant sur la même question.

La présente étude portera uniquement sur les 2 premières questions posées à la Cour de justice dans l’affaire C-511/18 et C-512/18[1], relevant de l’interprétation de l’article 15 alinéa 1 de la Directive 2002/58 du 12 juillet 2002.

A titre liminaire, quelques remarques s’imposent :

• Sur l’état du droit en France (i)
• Quant à la nature des données concernées (ii)
• Quant à l’application de la directive 2002/58 (iii)

i)  Le droit positif en France

Le droit français[2], en l’état, impose aux fournisseurs de services de communications électroniques et aux hébergeurs de conserver les données relatives au trafic, les informations permettant d’identifier les utilisateurs, celles relatives aux équipements utilisés et les données de localisation, pendant une durée d’un an à compter de leur enregistrement.

L’accès à ces données est strictement limité aux autorités judiciaires, et services de renseignements, et contrôlé par la Commission Nationale de Contrôle des Techniques de Renseignement. En outre, ces données doivent être conservées dans le respect de la réglementation applicable aux traitements de données à caractère personnel.

En outre, le Code de la sécurité intérieure[3] a consacré l’utilisation de « boîtes noires » par les services de renseignements dans le strict cadre de la lutte contre le terrorisme, mettant en œuvre des systèmes de traitements automatisés (algorithme) fonctionnant par mots-clés susceptibles de détecter des connexions pouvant révéler une éventuelle menace en lien avec une activité terroriste.

ii)  Quant à la nature des données

La Cour a pris soin de rappeler que les données objet des réglementations contestées étaient les suivantes :

« en particulier, celles qui sont nécessaires pour retrouver la source d’une communication et la destination de celle-ci, déterminer la date, l’heure, la durée et le type de la communication, identifier le matériel de communication utilisé ainsi que localiser les équipements terminaux et les communications, données au nombre desquelles figurent, notamment, le nom et l’adresse de l’utilisateur, les numéros de téléphone de l’appelant et de l’appelé ainsi que l’adresse IP pour les services internet » (pt 82)

Les données relatives au contenu même des communications sont donc exclues du champ des réglementations examinées par la Cour.

Pour mémoire, la confidentialité de ces contenus est prévue et garantie par l’article 5 de la Directive ePrivacy [4].

iii)  Quant à l’application de la Directive ePrivacy

Une fois la nature des données concernée, s’est posée la question de l’application de la Directive 2002/58 aux réglementations nationales permettant la conservation de ces données, et dont la finalité est la sauvegarde de la sécurité nationale.

En effet, le gouvernement français a fait valoir que les activités des services de renseignements nationaux concourant au maintien de l’ordre public et à la sécurité intérieure relèveraient des compétences réservées des Etats-membres, en application de l’article 4 du Traité sur l’Union Européenne qui prévoit :

1. 1. Conformément à l’article 5, toute compétence non attribuée à l’Union dans les traités appartient aux États membres.
   2. L’Union respecte l’égalité des États membres devant les traités ainsi que leur identité nationale, inhérente à leurs structures fondamentales politiques et constitutionnelles, y compris en ce qui concerne l’autonomie locale et régionale. Elle respecte les fonctions essentielles de l’État, notamment celles qui ont pour objet d’assurer son intégrité territoriale, de maintenir l’ordre public et de sauvegarder la sécurité nationale. En particulier, la sécurité nationale reste de la seule responsabilité de chaque État membre.

Le gouvernement français tentait ainsi d’échapper au droit de l’Union européenne et au contrôle de la Cour de Justice de l’Union européenne, en arguant de ce que les questions sécuritaires relevaient des fonctions essentielles des Etats-membres en application de l’alinéa 2 précité.

Toutefois, la Cour de justice n’a pas fait droit à l’argumentation soutenue, et a jugé :

« bien qu’il appartienne aux États membres de définir leurs intérêts essentiels de sécurité et d’arrêter les mesures propres à assurer leur sécurité intérieure et extérieure, le seul fait qu’une mesure nationale a été prise aux fins de la protection de la sécurité nationale ne saurait entraîner l’inapplicabilité du droit de l’Union ».

En conséquence, la CJUE retient qu’ « une réglementation nationale imposant aux fournisseurs de services de communications électroniques de conserver les données relatives au trafic et des données de localisation aux fins de la protection de la sécurité nationale et de la lutte contre la criminalité, telle que celles en cause en principal, relève du champ d’application de la directive 2002/58. ».

La compétence est donc communautaire en la matière, et il appartient aux législations nationales de s’y conformer.

Reste à interpréter les règles imposées par le droit communautaire, tache assignée à la Cour de justice de l’Union Européenne.

Le Conseil d’Etat a, à la faveur de la première question préjudicielle, interrogé la Cour sur le point de savoir si l’article 15 alinéa 1 de la directive 2002/58 s’oppose à une réglementation nationale imposant aux fournisseurs de services de communication électroniques, à des fins prévues à cet article 15 et notamment à des fins de sécurité publique (lutte contre le terrorisme), une conservation généralisée et indifférenciée des données relatives au trafic et des données de localisation.

L’article 15 de la Directive ePrivacy est le suivant :

« 1. Les États membres peuvent adopter des mesures législatives visant à limiter la portée des droits et des obligations prévus aux articles 5 et 6, à l’article 8, paragraphes 1, 2, 3 et 4, et à l’article 9 de la présente directive lorsqu’une telle limitation constitue une mesure nécessaire, appropriée et proportionnée, au sein d’une société démocratique, pour sauvegarder la sécurité nationale – c’est-à-dire la sûreté de l’État – la défense et la sécurité publique, ou assurer la prévention, la recherche, la détection et la poursuite d’infractions pénales ou d’utilisations non autorisées du système de communications électroniques, comme le prévoit l’article 13, paragraphe 1, de la directive 95/46/CE. À cette fin, les États membres peuvent, entre autres, adopter des mesures législatives prévoyant la conservation de données pendant une durée limitée lorsque cela est justifié par un des motifs énoncés dans le présent paragraphe. Toutes les mesures visées dans le présent paragraphe sont prises dans le respect des principes généraux du droit communautaire, y compris ceux visés à l’article 6, paragraphes 1 et 2, du traité sur l’Union européenne.

2. Les dispositions du chapitre III de la directive 95/46/CE relatif aux recours juridictionnels, à la responsabilité et aux sanctions sont applicables aux dispositions nationales adoptées en application de la présente directive ainsi qu’aux droits individuels résultant de la présente directive. »

La CJUE s’est donc prononcée sur l’interprétation de l’article 15 de la Directive ePrivacy, et sa portée (I), et examiné les dispositions nationales prévoyant la mise en place de mesures de conservation à titre préventif, au regard des principes dégagés (II et III).

I.     Sur l’interprétation de l’article 15, paragraphe 1 de la Directive (ou de l’exercice périlleux de la conciliation des intérêts divergents)

La Cour rappelle au point 105 que « il est de jurisprudence constante que, afin d’interpréter une disposition du droit de l’Union, il convient non seulement de se référer aux termes de celle-ci, mais également de tenir compte de son contexte et des objectifs poursuivis par la réglementation dont elle fait partie ainsi que de prendre en considération, notamment, la genèse de cette réglementation. »

La méthodologie est claire : revenir à l’esprit du texte.

La Directive ePrivacy a été adoptée afin de protéger les données personnelles des utilisateurs de services de communications électroniques et leur vie privée, eu égard aux capacités accrues de stockage et de traitement automatisé de données de l’environnement numérique.

L’objectif poursuivi par ladite Directive est le respect des droits garantis par la Charte des droits fondamentaux de l’Union européenne et consacrés à ses articles 7 (droit au respect de la vie privée et familiale) et 8 (protection des données à caractère personnel).

Ainsi, l’article 5 de la directive consacre le principe de confidentialité des communications électroniques et des données de trafic, outre l’interdiction de stocker par toute autre personne que l’utilisateur, sans le consentement de ce dernier, ses communications et données.

La Cour se fonde ensuite sur l’article 6 de la directive qui permet le traitement et le stockage des données de trafic par les fournisseurs de service de communications électroniques, le temps nécessaire à la commercialisation des services et leur facturation. Au-delà, lesdites données doivent être effacées ou anonymisées.

Quant aux données de localisation, l’article 9 de la directive ne prévoit leur traitement que sous certaines conditions, et sous réserve d’être anonymisées ou d’avoir reçu le consentement de la personne concernée.

La Cour rappelle donc (pt 109) :

« […] le législateur de l’Union a concrétisé les droits consacrés aux articles 7 et 8 de la Charte de telle sorte que les utilisateurs des moyens de communications électroniques sont en droit de s’attendre, en principe, à ce que leurs communications et les données y afférentes restent, en l’absence de leur consentement, anonymes et ne puissent pas faire l’objet d’un enregistrement ».

Les principes étant rappelés, la Cour considère, compte tenu de la rédaction de l’article 15 paragraphe 1 précité et de l’esprit même de la directive ePrivacy, que les Etats-membres ont la possibilité d’introduire des exceptions aux principes sus-définis lorsque :

« […] une telle limitation constitue une mesure nécessaire, appropriée et proportionnée, au sein d’une société démocratique, pour sauvegarder la sécurité nationale, la défense et la sécurité publique, ou assurer la prévention, la recherche, la détection et la poursuite d’infractions pénales ou d’utilisations non autorisées du système de communications électroniques. A cette fin, les Etats-membres peuvent, entre autres, adopter des mesures législatives prévoyant la conservation des données pendant une durée limitée lorsque cela est justifié par l’un de ces motifs. » (pt 110)

En conséquence, la Cour de juger que l’article 15 alinéa 1 de la directive, lu à la lumière des articles 7, 8, 11 et 52 de la Charte des droits fondamentaux de l’Union européenne, ne s’oppose pas à ce qu’une mesure législative puisse porter atteinte à ces principes, par exception.

Toutefois, elle rappelle avec force que ces atteintes doivent rester exceptionnelles, et ne peuvent devenir la règle (pt 111) ; et que cette exception doit être interprétée strictement et s’appliquer dans le respect du sacro-saint principe de proportionnalité.

Au regard de tout ce qui précède, la Cour à juste titre, précise que :

« la conservation des données relatives au trafic et des données de localisation constitue, par elle-même, d’une part, une dérogation à l’interdiction prévue à l’article 5 de la directive […], et d’autre part une ingérence dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel. » (pt 115)

La Cour considère à cet égard qu’il n’y pas lieu de distinguer selon que les données sont sensibles ou non, selon qu’il existe un préjudice ou non pour la personne concernée, selon qu’elles aient été effectivement utilisées ou non. La seule conservation de ces données de connexion, de trafic et de localisation par les fournisseurs de services constitue, selon la Cour, une atteinte aux droits susvisés, et comporte des risques d’abus et d’accès illicite. Elle doit donc rester exceptionnelle.

Elle prend soin également de préciser que les droits prévus par la Charte ne sont pas absolus, en application de son article 52[5], et que ces droits individuels consacrés aux articles 7 (vie privée), 8 (respect des données personnelles) et 11 (liberté d’expression) de la Charte doivent être mis en balance avec le droit à la sûreté et les objectifs de sécurité nationale et de lutte contre la criminalité grave qui incombent aux Etats afin de protéger les libertés et la sécurité/ la sûreté individuelles.

En effet, l’article 6 de la Charte consacre le droit de toute personne à la liberté mais encore à la sûreté.

La Cour précise qu’il convient donc de « procéder à une conciliation nécessaire des différents intérêts et droits en cause. » (pt 127)

Ainsi, toute mesure tendant à limiter la portée des droits prévus aux articles 5, 6 et 9 de la Directive ePrivacy est interdite si elle se fait de manière indifférenciée et systématique, mais devient possible, sous réserve que :

• Elle soit prévue par la loi ;
• La disposition législative réponde à un objectif précis de sécurité nationale, lutte contre la criminalité ou le terrorisme,
• La limitation des droits se fasse dans le respect du principe de proportionnalité, c’est-à-dire que la mesure soit « rigoureusement » proportionnée au but poursuivi (pt 129)
• Les droits garantis par la Charte (articles 7,8,11) soient respectés. Cela suppose des règles claires et précises quant à la portée de la limitation, et des garanties suffisantes permettant de limiter les risques d’abus.

Le principe supporte donc des exceptions.

II.    Sur les mesures législatives prévoyant la conservation préventive des données relatives au trafic et des données de localisation aux fins de la sauvegarde nationale (pt 134 à 139)

C’est la première fois que la Cour de justice a été amenée à examiner et interpréter les dispositions de la directive ePrivacy au regard de l’objectif de sauvegarde de la sécurité nationale.

Elle relève que cet objectif de sécurité nationale est de la responsabilité de chaque Etat-membre, comme étant une fonction essentielle de l’Etat, qui inclut, afin de préserver les intérêts de la société : « la prévention et la répression d’activités de nature à déstabiliser gravement les structures constitutionnelles, politiques, économiques ou sociales fondamentales d’un pays, et en particulier à menacer directement la société, la population ou l’Etat en tant que tel, telles que notamment des activités de terrorisme. » (pt 135)

La Cour considère que cet objectif de sécurité nationale prime les autres objectifs visés à l’article 15 paragraphe 1 de la directive, et notamment les objectifs de lutte contre la criminalité même grave, et la sauvegarde de la sécurité publique. De telle sorte qu’elle admet que l’objectif de sauvegarde de la sécurité nationale est susceptible de justifier des mesures comportant des ingérences dans les droits fondamentaux plus graves que celles pourraient justifier les autres objectifs.

Ainsi, dans des situations répondant à l’objectif de sauvegarde nationale poursuivi, l’article 15 paragraphe 1 ne s’oppose pas, par exception, à ce que les données de trafic et de localisation de l’ensemble des utilisateurs soient conservées de manière indifférenciée par les fournisseurs de services de communications électroniques.

Les conditions fixées par la Cour, pour que la mise en œuvre d’un tel traitement soit valable, sont les suivantes :

• Une injonction délivrée par les autorités compétentes aux fournisseurs :
• Conservation de ces données pendant une durée limitée, renouvelable le cas échéant en cas de persistance de la menace,
• L’existence de circonstances concrètes permettant de considérer que l’Etat membre fait face à une menace grave, réelle, actuelle ou prévisible mettant en péril la sauvegarde de la sécurité nationale ;

C’est l’existence même d’une telle menace qui légitime la conservation de manière indifférenciée des données des utilisateurs, sans qu’il y ait lieu d’établir de rapport entre la menace identifiée et les utilisateurs concernés.

Enfin, une telle conservation généralisée et indifférenciée de données à titre préventif, doit être encadrée par des garanties strictes.

La Cour considère que l’injonction prise par l’autorité compétente doit pouvoir faire l’objet d’un contrôle effectif par une juridiction ou une autorité administrative indépendante, dont la décision a un effet contraignant.

Et ce recours doit avoir pour objet de vérifier le respect des conditions de fond et de forme de la mesure objet de l’injonction.

La Cour fixe ainsi le cadre strict que les Etats-membres doivent respecter pour mettre en place, à titre préventif, des mesures de conservation de données de connexion, de localisation et de trafic de manière indifférenciée et généralisée, puisque par principe « à titre préventif, une conservation généralisée et indifférenciée des données relatives au trafic et des données de localisation » est contraire à la réglementation européenne.

La Cour confirme donc la position adoptée en 2016, dans l’arrêt Télé2, à la faveur de laquelle elle avait jugé qu’était contraire au droit européen « une réglementation nationale prévoyant, à des fins de lutte contre la criminalité, une conservation généralisée et indifférenciée de l’ensemble des données relatives au trafic et des données de localisation de tous les abonnés et utilisateurs inscrits concernant tous les moyens de communication électronique ».

Elle affine, dans cet arrêt, le cadre des exceptions à ce principe.

III.    Sur les mesures législatives prévoyant la conservation préventive des données relatives au trafic et des données de localisation aux fins de lutte contre la criminalité et de la sauvegarde de la sécurité publique (pt 140 à 151)

L’article 15 paragraphe 1 de la directive ePrivacy vise d’autres objectifs de prévention, de recherche, de détection et de poursuite d’infractions pénales.

Cependant, et eu égard au principe de proportionnalité, seules la lutte contre la criminalité grave et la prévention des menaces graves contre la sécurité publique (à l’exclusion des autres objectifs) sont de nature à justifier des atteintes au respect la vie privée et à la protection des données personnelles, telles que celles qu’implique la conservation de données de trafic et des données de localisation.

La poursuite de ces objectifs de criminalité grave, dont on ignore les contours (…), et de menaces graves contre la sécurité publique (pas plus définies) ne saurait toutefois justifier une conservation systématique et continue des données de trafic et de localisation, qui excèderait les limites du strict nécessaire.

La Cour hiérarchise les intérêts publics et collectifs poursuivis par les Etats-membres, dont le degré d’importance justifie le degré d’ingérence dans les droits fondamentaux.

La Cour précise que le principe de proportionnalité serait respecté par une mesure permettant, « à titre préventif, une conservation ciblée des données relatives au trafic et des données de localisation » dans le cadre de la lutte contre la criminalité grave, sous réserve qu’elle soit limitée au strict nécessaire s’agissant :

• Des catégories de données à conserver ;
• Des moyens de communication visés ;
• Des personnes concernées ;
• De la durée de conservation.

Quant à la délimitation des personnes concernées, elle doit se faire à partir de critères objectifs permettant de viser des personnes considérées comme présentant une menace pour la sécurité ou susceptibles d’avoir un lien avec des actes de criminalité grave ou de prévenir un risque grave pour la sécurité publique.

Une délimitation peut également, au sens de la décision, être fondée sur un critère géographique déterminé à partir d’éléments objectifs et non-discriminatoires laissant présager un risque élevé de préparation ou de commission d’actes de criminalité grave, ou encore des lieux stratégiques tels que gare ou aéroport.

Si le raisonnement se tient sur le plan juridique, il est évident que la mise en œuvre de tels critères se heurtera à d’importantes difficultés pratiques : où commence la criminalité grave ? qu’est-ce qu’une zone particulièrement exposée à la commission d’actes de criminalité grave ?

Autant de questions auxquelles les législateurs nationaux devront répondre.

Toutefois, la Cour de justice prévoit une gradation, et seule une conservation ciblée des données est autorisée dans l’hypothèse de criminalité grave ou de risque grave pour la sécurité publique. Ces objectifs ne pourront donc pas justifier de conservation indifférenciée.

La Cour de Justice de l’union européenne dans cette première affaire s’intéresse également au sort des adresses IP et données relatives à l’identité civile aux fins de lutte contre criminalité et la sauvegarde de l’utilité publique (question non commentée ici).

En conclusion.

Cette décision divisera sans nul doute.

D’un côté, les fervents défenseurs des droits et libertés des utilisateurs de communications électroniques, et de l’autre, les responsables de la sécurité publique en charge de la lutte contre la criminalité organisée et le terrorisme qui militent pour une conservation généralisée et préalable des données à titre préventif.

La Quadrature du net dans un communiqué de presse[6] publié le 6 octobre 2020 intitulé « Surveillance : une défaite victorieuse » s’exprimait ainsi :

« Le droit français se retrouve ainsi en contradiction flagrante avec la décision de la CJUE : le principe de conservation généralisée est refusé par la Cour alors qu’il est la règle en droit français. La Cour acte que les mécanismes français de contrôle des services de renseignement ne sont pas suffisants, et nous veillerons lors de la réforme annoncée du droit français à ce que les garde-fous nécessaires soient renforcés. »

L’association se réjouit que cet arrêt mette un coup d’arrêt à la surveillance de masse mise en œuvre par la législation française dont elle dénonçait l’illégalité à la faveur de la saisine du Conseil d’état.

Cette position est donc plus protectrice et respectueuse de la vie privée.

L’avocat de l’association pourra se féliciter, dès lors qu’il déclarait début 2020 :

 « Qu’il puisse y avoir une surveillance ciblée de personnes dangereuses ou soupçonnées de l’être, c’est une chose […] Mais conserver toutes les traces de connexion de manière indifférenciée pendant des périodes aussi longues, c’est de la surveillance de masse, contraire à l’État de droit ».

Toutefois, la Quadrature du net a également manifesté sa déception considérant que si le principe d’interdiction de conservation généralisée des données de trafic et de connexion est donc confirmé, il n’en demeure pas moins que de nombreuses exceptions persistent, susceptibles de dégénérer en abus selon elle.

La voix de des magistrats du parquet s’est fait entendre sur le sujet par l’intermédiaire de Monsieur François MOLINS, à la tête du Parquet de Paris pendant 7 ans en matière d’anti-terrorisme et de lutte contre la criminalité organisée. Il s’était exrpimé le 3 avril 2019 à l’occasion d’une conférence organisée par la Fondation Robert Schuman et l’Institut Max Planck[7], ayant pour thème : « La protection des citoyens européens dans un monde ultra-connecté ».

Il avait alors fait part de son inquiétude quant à la position de la Cour de Justice de l’Union Européenne sur la problématique de conservation des données de trafic et de localisation dans les communications électroniques, et de son arrêt Télé 2 (CJUE, 21 déc.2016, C-203/15 et C-698/15).

En effet, il avait notamment alerté sur le fait que ces décisions si elles étaient juridiquement compréhensibles, étaient totalement déconnectées de la réalité du terrain dans la mesure où il soutenait que « La conservation des données et un accès contrôlé mais fluide apparaissent ainsi désormais comme le préalable au succès des investigations de droit commun, en criminalité organisée et bien sûr en terrorisme. »

Il soulignait également que la confirmation de la position de la CJUE fixée dans l’arrêt Télé2 et une interprétation stricte de cette position adoptée par les législations nationales seraient susceptibles de porter un coup d’arrêt à des enquêtes pénales actuellement en cours, et que la nullité subséquente de certains actes de procédure pourrait avoir des conséquences irréversibles sur ces investigations.

Monsieur MOLINS, pendant son interlocution, avait résumé la problématique ainsi :

« Le choix juridique qui s’impose à nos démocraties ne doit pas être protection de la vie privée versus arrestation des criminels et des terroristes. Le choix juridique doit être celui de la protection de la vie privée par la garantie d’un accès juridictionnellement encadré aux données conservées. La prévention des atteintes à l’ordre public est en effet nécessaire à la sauvegarde des droits et à l’exercice des libertés de nos concitoyens. »

Cela semble être le souci de la Cour également, tel que cela ressort de la décision.

Toutefois, les magistrats du parquet verront-ils d’un bon œil le principe réaffirmé de l’interdiction de la conservation indifférenciée des données de localisation à titre préventif, arme indispensable selon Monsieur MOLINS, et la mise en œuvre des exceptions.

En toute hypothèse et quelles que soient les divergences de points de vue, il convient désormais d’attendre la décision du Conseil d’Etat prise sur le fondement de l’arrêt de la CJUE en date du 6 octobre 2020 qui se prononcera sur la légalité des textes soumis au regard de cette nouvelle interprétation de l’article 15 paragraphe 1 de la Directive ePrivacy, et aura donc à examiner les garanties présentées par le droit français afin de déterminer si elles sont suffisantes au regard des exigences posées par la Cour de justice.

[1] Jusqu’au point 151 de l’arrêt du 6 octobre 2020, qui en comporte 229

[2] Article L.34-1 CPCE et article R.10-13 CPCE ; art.6II Loi n°2004-575

[3] Article L.851-3 CSI

[4] Confidentialité des communications ; 1. Les États membres garantissent, par la législation nationale, la confidentialité des communications effectuées au moyen d’un réseau public de communications et de services de communications électroniques accessibles au public, ainsi que la confidentialité des données relatives au trafic y afférentes. En particulier, ils interdisent à toute autre personne que les utilisateurs d’écouter, d’intercepter, de stocker les communications et les données relatives au trafic y afférentes, ou de les soumettre à tout autre moyen d’interception ou de surveillance, sans le consentement des utilisateurs concernés sauf lorsque cette personne y est légalement autorisée, conformément à l’article 15, paragraphe 1. Le présent paragraphe n’empêche pas le stockage technique nécessaire à l’acheminement d’une communication, sans préjudice du principe de confidentialité.

[5] « 1. Toute limitation à l’exercice des droits et libertés reconnus par la présente Charte doit être prévue par la loi et respecter le contenu essentiel desdits droits et libertés. Dans le respect du principe de proportionnalité, des limitations ne peuvent être apportées que si elles sont nécessaires et répondent effectivement à des objectifs d’intérêt général reconnus par l’Union ou au besoin de protection des droits et libertés d’autrui. »

[6] https://www.zdnet.fr/actualites/donnees-de-connexion-la-cjue-veut-ramener-la-france-dans-le-giron-europeen-39910799.htm

[7] https://www.robert-schuman.eu/fr/questions-d-europe/0510-la-protection-des-citoyens-europeens-dans-un-monde-ultra-connecte

Stéphane BAIKOFF 

Avocate Associée

Article paru dans la revue Expertises – Décembre 2020