La conservation généralisée des données de connexion est contraire à la Constitution

« En autorisant la conservation générale et indifférenciée des données de connexion, les dispositions contestées portent une atteinte disproportionnée au droit au respect de la vie privée ». Voilà le cœur de la décision rendue ce jour par le Conseil constitutionnel, qui intervient après plusieurs arrêts de la CJUE rendue dans le même sens. La fin d’une sempiternelle série ? Pas vraiment.

Cette décision est intervenue après une question prioritaire de constitutionnalité frappant un des piliers du Code des postes et des communications électroniques (CPCE) : l’article L34-1, du moins dans sa rédaction au 30 juillet 2021, avant l’entrée en vigueur d’une réforme intervenue depuis lors.  

Dans cette version antérieure, l'article obligeait les intermédiaires techniques à conserver un an durant l’intégralité des données dites de connexion, à savoir en substance les « qui », « quand », « où », « comment », « à qui » de tous les appels et échanges électroniques. 

Une vaste obligation de conservation justifiée notamment par « les besoins de la recherche, de la constatation et de la poursuite des infractions pénales », puisque ces précieuses informations étaient mises à disposition de l'autorité judiciaire pendant 12 mois.

C'est peu de le dire : la France a eu du mal à accepter la moindre remise en cause de ce régime, allant jusqu’à le défendre à la Cour de justice de l’UE comme en 2018 dans une note que nous nous étions procurée. 

Dans le document, Paris indiquait ainsi que « la conservation des données techniques de communications électroniques, telles que les données de connexion ou de localisation, est strictement nécessaire pour garantir la disponibilité de ces données à des fins de préservation des intérêts vitaux de la sécurité nationale ».

L’an passé, en amont d’un arrêt du Conseil d’État rendu sur le sujet, le gouvernement allait jusqu’à inviter la juridiction administrative à opposer la souveraineté nationale et même l’identité constitutionnelle de la France pour ne pas appliquer la jurisprudence de la CJUE, qui par plusieurs arrêts a condamné cette conservation indifférenciée.   

Vains efforts finalement puisque le Conseil constitutionnel vient ce matin de torpiller à son tour ce régime, en s’appuyant sur l’article 2 de la Déclaration des droits de l'homme et du citoyen de 1789 qui consacre le droit au respect de la vie privée et par une analyse de proportionnalité. 

Une atteinte disproportionnée à la vie privée

Deux contraintes étaient sur les plateaux de la balance de proportionnalité du Conseil : d’un côté, le droit fondamental à la vie privée, de l’autre, « les objectifs de valeur constitutionnelle de sauvegarde de l'ordre public et de recherche des auteurs d'infractions ». 

Cette version de l’article 34-1 du CPCE sous sa loupe, le Conseil constitutionnel n’a pas eu de mal à vérifier qu’ « en adoptant les dispositions contestées, le législateur a poursuivi les objectifs de valeur constitutionnelle de prévention des atteintes à l'ordre public et de recherche des auteurs d'infractions »… tout comme il n’a pas eu de mal à constater que l’autre plateau était tout simplement vide.  

Les données de connexion en cause ici « portent non seulement sur l'identification des utilisateurs des services de communications électroniques, mais aussi sur la localisation de leurs équipements terminaux de communication, les caractéristiques techniques, la date, l'horaire et la durée des communications ainsi que les données d'identification de leurs destinataires ». 

Un stock de données qui « compte tenu de leur nature, de leur diversité et des traitements dont elles peuvent faire l'objet » fournit « des informations nombreuses et précises, particulièrement attentatoires à leur vie privée » sur chacun des utilisateurs de ces moyens de communication. 

Or, la conservation n’est pas seulement généralisée, elle est aussi indifférenciée en ce qu’elle « porte indifféremment sur toutes les données de connexion relatives à ces personnes, quelle qu'en soit la sensibilité et sans considération de la nature et de la gravité des infractions susceptibles d'être recherchées ».

Conclusion logique, mécanique, évidente : « en autorisant la conservation générale et indifférenciée des données de connexion, les dispositions contestées portent une atteinte disproportionnée au droit au respect de la vie privée ».  Et ces dispositions se devaient donc d'être déclarées contraires à la Constitution. 

• La décision 
• Le communiqué de presse

Une déclaration d’inconstitutionnalité sans effet (ou presque)

En principe, une telle déclaration entraîne l’abrogation immédiate de la disposition litigieuse. De même, elle « doit bénéficier à l'auteur de la question prioritaire de constitutionnalité et la disposition déclarée contraire à la Constitution ne peut être appliquée dans les instances en cours à la date de la publication de la décision du Conseil constitutionnel ». 

Si cette conservation a pu charpenter un dossier par exemple au pénal, une telle déclaration devrait logiquement entraîner la chute de l’édifice. 

Prenant état que les morceaux de l’article L34-2 du CPCE ont été modifiés l’an passé, le Conseil relève qu’une remise en cause de son ancienne version « méconnaîtrait les objectifs de valeur constitutionnelle de sauvegarde de l'ordre public et de recherche des auteurs d'infractions et aurait ainsi des conséquences manifestement excessives ». 

Les neuf Sages ont donc décidé que « ces mesures ne peuvent être contestées sur le fondement de cette inconstitutionnalité ». 

En clair, la déclaration d’inconstitutionnalité sera sans effet sur les affaires en cours.

Le Conseil a d’une certaine manière sauvé le Titanic, en anesthésiant les effets de cette inconstitutionnalité. Si la gymnastique est d'opportunité, elle n’est pas pour autant une bouée suffisante. Quid par exemple d’une action devant la Cour de justice de l’UE pour dénoncer la législation française, peu en phase avec la jurisprudence de la maison ? 

Un dialogue des juges 

Lors de l’audience, l’invitation exprimée par Me Patrice Spinosi, représentant la Ligue des Droits de l'Homme et l'association des avocats pénalistes, semble en tout cas avoir trouvé un écho favorable. 

L’avocat au Conseil avait en effet invité les Sages à engager un « dialogue des juges », plutôt qu’une « dispute » avec la CJUE, pour que les jurisprudences des uns et des autres s’accordent enfin, sans acte de résistance. 

Pas plus tard qu’en octobre 2020, dans son arrêt La Quadrature du Net, la Cour de justice avait une nouvelle fois condamné la conservation généralisée et indifférenciée des données de connexion, non sans s’expliquer :

« La conservation des données relatives au trafic et des données de localisation à des fins policières est susceptible, à elle seule, de porter atteinte au droit au respect des communications (…) et d’entraîner des effets dissuasifs sur l’exercice par les utilisateurs des moyens de communication électroniques de leur liberté d’expression ».

Pour les juges européens, « de tels effets dissuasifs peuvent affecter en particulier les personnes dont les communications sont soumises, selon les règles nationales, au secret professionnel ainsi que les lanceurs d’alerte dont les activités sont protégées par la directive, (…) sur la protection des personnes qui signalent des violations du droit de l’Union. »

D'autres contentieux à venir ? 

Seulement, le Conseil constitutionnel, ce matin n’a pas fait siennes les nuances apportées par la Cour de justice de l’Union européenne, lorsqu’elle avait notamment justifié une vaste conservation lorsque sont en jeu des motifs relevant de la menace grave pour la sécurité nationale.

Une exception tout autant « prise en compte par le Conseil d'État dans sa décision French Data Network » d’avril 2021, se souvient Matthieu Audibert, officier de gendarmerie et doctorant en droit privé et sciences criminelles. Qui relève également que cette exception se retrouve d'ailleurs dans la nouvelle version de l'article L34-1 du CPCE « en vigueur depuis le 1er août 2021 et qui n'est pas impacté directement par la décision du Conseil constitutionnel ».

De cette absence de nuance Me Alexandre Archambault en vient à deviner « en creux le sort susceptible d'être réservé à [cette] nouvelle version patchée » parce qu'elle « reste très générique sur le critère de gravité » (Cette législation a été mise en œuvre dans ce décret d’octobre 2021, publié après consultation publique). 

« Même si la décision n’aura pas d'impact car la disposition [a été] abrogée depuis, le raisonnement du Conseil Constitutionnel est à analyser et lire à l'aune de la réglementation actuellement en vigueur. Sans doute de très prochaines futures QPC... » témoigne dans le même sens le député Philippe Latombe (MoDem).