L’arrêt Tele2 rendu aujourd’hui réaffirme avec force et sans ambiguité la jurisprudence Digital Rights Ireland. Par cet arrêt du 8 avril 2014, la Cour de justice de l’UE avait invalidé la directive 2006/24 qui imposait aux opérateurs Internet et télécoms la conservation des données de trafic1 de la totalité des utilisateurs de leurs services, alors jugée incompatible avec la Charte des droits fondamentaux de l’Union européenne en raison de l’atteinte disproportionnée qu’elle porte au droit au respect de la vie privée ainsi qu’à la protection des données personnelles.

Depuis, de nombreux États membres avaient abrogé leur dispositif national de conservation généralisée des données, les jugeant incompatibles avec le droit européen. La France, dont le dispositif de conservation généralisée des données de trafic fut institué par le Parlement français dès 2001 — n’était pas de ceux-là. De même que le Royaume-Uni et la Suède, deux États dont la législation était directement mise en cause dans l’affaire tranchée aujourd’hui par la plus haute cour de l’ordre juridique de l’Union européenne.

[...]

À l’occasion de ces deux recours, les Exégètes amateurs se sont fortement appuyés sur l’arrêt Digital Rights Ireland de 2014 et les principes dégagés par la Cour de justice, réaffirmés avec force aujourd’hui dans la décision Tele2. Pourtant, le 12 février 2016, le Conseil d’État a rejeté le premier recours, sans même prendre la peine de se prononcer sur la conformité du décret contesté avec le droit de l’Union (considéré inapplicable en l’espèce par le rapporteur public du Conseil d’État) — et ce, alors qu’il avait été expressément demandé au Conseil d’État de renvoyer une question préjudicielle à la Cour de justice. Contrairement aux cours suédoise et anglaise, le Conseil d’État n’a pas joué le jeu.

La décision rendue ce jour par la Cour de justice remet en cause directement le cœur de la jurisprudence du Conseil d’État sur la question de la conservation généralisée et l’accès administratif aux données de connexion de la totalité des utilisateurs de services de communications (Internet, téléphone, etc.). Les effets de cette décision sont désormais attendus dans le cadre du second recours porté par les Exégètes amateurs, actuellement pendant devant le Conseil d’État.

[...]

La conservation des données de connexion est soumise au respect de la Charte des droits fondamentaux

[...] Cet article introduit donc une dérogation à d’autres droits énoncés par la directive ePrivacy, comme le droit à la confidentialité des communications ou l’effacement des données de trafic. Mais, comme le constate la Cour, cette dérogation est autorisée à titre exceptionnel, par conséquent elle ne saurait devenir une règle de principe en droit national.

La conservation des données ne peut être que l’exception et non la règle

[...]

En effet, la Cour considère à juste titre que l’article 15, paragraphe 1 doit être interprété de façon stricte, notamment en ce qu’il est une exception au principe de confidentialité des communications. Dès lors toute conservation des données ne saurait être que limitée. Il en va du respect des droits fondamentaux, qu’il s’agisse du droit au respect de la vie privée, de la protection des données personnelles, mais aussi de la liberté d’expression. Car, comme le constate la Cour, les données de connexion occupent une place primordiale dans notre vie quotidienne [...] L’atteinte alors causée par leur conservation va jusqu’à porter atteinte à la liberté d’expression

[...]

Si les États membres peuvent imposer une conservation préventive des données de connexion, ce n’est qu’à des conditions très restrictives; à savoir que cette obligation de conservation ne peut être que :

• ciblée,
• mise en œuvre à des fins de lutte contre la criminalité grave, et
• limitée au strict nécessaire en ce qui concerne les catégories de données à conserver, les moyens de communication visés, les personnes concernées ainsi que la durée de conservation retenue.

L’accès aux données conservées doit faire suite à une décision issue d’un contrôle préalable et indépendant

Une fois la question de l’obligation de conservation des données réglée, la Cour répond à la question qui lui était posée sur l’accès des autorités aux données alors conservées. Une fois de plus, la Cour balaye les législations nationales telle que la législation française portant sur l’accès aux données de connexion : l’accès aux données de connexion conservées par les opérateurs ne peut se faire que suite à une décision et au contrôle préalable d’une juridiction ou autorité indépendante; ce qui n’est pas le cas en France.

[...] Les Exégètes vont désormais s’atteler à la rédaction d’un mémoire complémentaire, dans le cadre de l’affaire sur l’abrogation du droit français de conservation des données de connexion.

Suite logique de l'arrêt Digital Right Ireland mais la baffe est sévère : la conservation indifférenciée des données de connexion (métadonnées, qui parle à qui, depuis où, vers où, quand, à quelle fréquence, quel volume d'informations est échangé, etc.) est une ingérence grave dans les droits fondamentaux et a une incidence sur la liberté d'expression. C'était une évidence, c'est désormais acquis en droit. Et ça fait toute la différence.

La CJUE nous expose clairement que la conservation des données de connexion est un régime dérogatoire au régime général (qui est plus protecteur de la vie privée), qu'elle peut être préventive sous des conditions strictes (ciblée, criminalité grave, limites (en durée, en types de données, etc.)) et que l'accès aux données stockées n'est pas open-bar et qu'il doit être soumis à un contrôle préalable par une juridiction ou une autorité indépendante.

Depuis de nombreuses années, la France se fait une spécialité de croire que la jurisprudence de l'UE ne s'applique pas à elle en mode "je n'ai de leçon à recevoir de personne", surtout quand ça parle de droits fondamentaux, mais là, en matière de données de connexion, la grille de lecture de la CJEU devient difficile à ignorer. :)