Intervention de Aude Bono-Vandorme

Nous sommes ravies de retrouver nos collègues de la commission de la défense pour aborder ce sujet européen qui intéresse bien au-delà des habituels commentateurs de la vie institutionnelle bruxelloise et qui a fait l'objet d'une couverture médiatique assez importante pour un sujet d'articulation de normes françaises et européennes.

Le 6 octobre 2020, la Cour de justice de l'Union européenne a rendu deux décisions complétant sa jurisprudence sur la protection des données à caractère personnel.

Celle qui nous intéresse au premier chef répond à une série de questions préjudicielles du Conseil d'État français, saisi par des associations de défense des libertés sur internet, notamment La Quadrature du Net. La saisine porte sur le régime de conservation, par les opérateurs de télécoms, fournisseurs d'accès à internet et intermédiaires techniques du web, des données de connexion des utilisateurs.

Notre ambition, avec Marietta Karamanli, a été de comprendre les conséquences de la jurisprudence récente de la Cour de justice, qui porte sur une matière complexe et particulièrement technique. Les enjeux sont multiples. Nous avons constaté une ligne de partage très nette entre les partisans des libertés numériques et les enquêteurs, qui, en France notamment, souhaitent disposer des outils nécessaires pour mener à bien leurs recherches et élucider leurs enquêtes.

Le Conseil d'État, dans un arrêt d'assemblée de 39 pages rendu le 21 avril 2021 (soit une longueur inhabituelle, même pour un arrêt d'assemblée), a choisi une position nuancée en écartant certaines analyses des juges de Luxembourg. C'est pourquoi il importe de connaître les raisons, et in fine de comprendre les conséquences de ces différents arrêts. Ici, la matière juridique est au carrefour d'enjeux politiques et opérationnels extrêmement sensibles.

Au vu du temps qui nous est imparti et de la relative complexité de certaines questions, nous ne prétendrons pas ici à l'exhaustivité, mais plutôt à attirer l'attention sur les points qui nous semblent importants pour la bonne compréhension de ce qui s'est joué au Palais Royal le mois dernier.

Bien que l'arrêt de la Cour de justice du 6 octobre 2020 s'inscrive dans une suite jurisprudentielle logique, il a surpris certains, choqués d'autres, et a été maintes fois commenté par les juristes.

Si la conservation générale et indifférenciée des données de connexion était auparavant bien rendue possible par un instrument de droit européen, à savoir une directive de 2006, la Cour de justice avait, dès 2014, annulé cet instrument dans un arrêt retentissant Digital Rights Ireland[1]. Elle considère, dans cet arrêt, que le dispositif européen n'est pas assorti de garanties suffisantes pour le respect de la vie privée des personnes. 
Deux ans plus tard, et dans le prolongement de l'arrêt Digital Rights Ireland, l'arrêt Tele2 Sverige de 2016 [2] donne l'occasion à la Cour de juger qu'une législation nationale prévoyant une conservation générale et indifférenciée à des fins d'enquête et de répression des infractions pénales est également contraire au droit de l'Union européenne.

Il est important de noter qu'à ce moment-là, la Cour ne se prononce pas encore sur la question de l'utilisation de ces données à des fins de renseignement. L'arrêt du 6 octobre 2020 intervient donc dans un contexte où il devient clair que la Cour de justice entend construire une jurisprudence volontariste quant à la protection des données et de la vie privée des citoyens, en témoignent les décisions rendues sur d'autres affaires : Google Spain, Shrems ou encore le PNR.

Dans cet arrêt Quadrature du Net, la Cour de justice confirme que le droit de l'Union s'oppose à des mesures législatives autorisant, à titre préventif, la conservation généralisée et indifférenciée des données de trafic et de localisation. Sur ce point elle réitère sa jurisprudence antérieure.

Elle précise également le contour des exceptions pour lesquelles la conservation massive des données est autorisée :

D'abord, une conservation généralisée et indifférenciée des données est possible pour une durée limitée au strict nécessaire en cas de menace grave pour la sécurité nationale.

Ensuite, une conservation ciblée des données peut être autorisée en fonction des catégories de personnes ciblées et au moyen d'un critère géographique. Le recueil en temps réel des données de connexion, particulièrement attentatoire à la vie privée doit, selon la Cour de Justice, être limité aux personnes dont on soupçonne qu'elles sont impliquées dans des activités de terrorisme, et être soumis à un contrôle préalable.

Ces exceptions annoncées par la Cour de justice sont considérées comme très insuffisantes par les autorités étatiques pour permettre aux services de renseignement et aux enquêteurs de maintenir leur capacité actuelle de lutte contre le terrorisme et la criminalité. Elles conduiraient de facto à limiter grandement les outils à leur disposition.

Quinze États membres de l'Union, dont la France, sont intervenus lors de l'audience devant la Cour de justice sur cette affaire pour défendre leur législation. Concrètement, le droit français actuel prévoit que l'obligation de conservation des métadonnées pesant sur les fournisseurs de service porte sur une durée d'un an. Il prévoit également que la protection des données personnelles des citoyens contre une utilisation abusive exercée par les pouvoirs publics repose essentiellement sur les conditions et garanties légales d'accès aux données prévues par la loi. La Cour de justice a quant à elle estimé que la conservation des données était par elle-même attentatoire à la vie privée des personnes, nonobstant les garanties légales proposées.