Après les attentats de Madrid en mars 2004 et de Londres en juillet 2005, l’Union européenne adopta la directive 2006/24/CE, créant un principe de conservation généralisée des données de connexion, pour une durée allant de six mois à deux ans.

À l’époque, les critiques dénonçant l’incompatibilité de ces dispositions avec le respect des droits fondamentaux furent nombreuses. Plusieurs lois de transposition nationales furent ainsi déclarées inconstitutionnelles en Roumanie (2009), en Allemagne (2010), en Bulgarie (2010), à Chypre (2011) et en République Tchèque (2011).

Finalement, le 8 avril 2014, la Cour de justice de l’Union européenne (CJUE) jugeait dans l’arrêt Digital Rights que ladite directive était invalide car contraire à [la Charte des droits fondamentaux de l’Union européenne].

Pourtant, les dispositions françaises de conservation des données de connexion par les intermédiaires techniques subsistent. L’invalidation de la directive européenne n’a pas entrainé automatiquement celle des dispositions françaises.

[…]

Pourquoi impose-t-on cela aux intermédiaires ? Au cas où dans les 365 jours qui suivent, l’autorité (administrative ou judiciaire) souhaiterait y accéder. La logique de cette mesure imposée aux intermédiaires techniques, c’est qu’on ne peut pas savoir à l’avance qui va être soupçonné de quoi ; donc, il faut garder des données sur tout le monde.

Récemment, le gouvernement français est intervenu devant la Cour de justice de l’Union européenne pour défendre le principe de la rétention généralisée des données de connexion. Pendant son intervention, le gouvernement a poussé sa logique encore plus loin en [allant carrément dans l’absurde] : en gardant des données sur tout le monde, il estime qu’on peut aussi s’en servir pour les droits de la défense, pour permettre au suspect de prouver son innoncence ! En droit, c’est le monde à l’envers : la fin de la présomption d’innocence. On ne doit plus prouver la culpabilité du suspect, c’est désormais au suspect de montrer qu’il est innocent.

Pendant ce temps, cette suspicion généralisée n’a toujours pas fait preuve de son efficacité au-delà des discours politiques, tandis que le [rapport] de l’homologue britannique de la CNCTR démontre que la rétention généralisée des données engendre de nombreuses erreurs portant parfois sur des accusations extrêmement graves.

[…]

Toutefois, nous pensons qu’il n’y a ici aucune question d’interprétation, puisque la Cour de justice a déjà apporté des réponses absolument claires sur l’applicabilité de la Charte. Ce sont les arguments que nous faisons valoir dans ce mémoire, notamment en citant ce récent arrêt de la Cour :

[…] L’emploi, par un État membre, d’exceptions prévues par le droit de l’Union pour justifier une entrave à une liberté fondamentale garantie par le traité doit, dès lors, être considéré […] comme « mettant en oeuvre le droit de l’Union », au sens de l’article 51, paragraphe 1, de la Charte. »

Or, précisément, l’État français n’a pu établir une conservation généralisée des données qu’en employant une exception prévue par la directive 2002/58.

En effet, cette directive prévoit que, en principe, les opérateurs doivent supprimer les données de connexion qu’ils traitent. Ce n’est que par l’exception prévue à l’article 15 de la directive que les États membres peuvent déroger à ce principe, au nom, notamment, de la sécurité nationale.

Il n’y a dès lors aucun doute sur le fait que le régime français de conservation généralisée met en œuvre le droit de l’Union, à travers cette exception prévue à l’article 15 de la directive ePrivacy. La Charte est donc applicable : le régime français de conservation des données de connexion n’est valide qu’à condition de respecter les droits fondamentaux garantis par la Charte telle qu’interprétée par la Cour de justice.