L’exécutif ne veut pas entendre parler d’un encadrement européen de l’obligation de conservation des données de connexion. Devant le Conseil d’État, il redouble d’arguments pour considérer que la CJUE s’est plantée. Et qu’il convient de ne pas appliquer ses décisions. 

La question de la conservation des données de connexion est complexe pour le profane. Données de connexion ? Obligation de conservation ?

Derrière ces brumes, se cache une obligation pesant sur de nombreux intermédiaires techniques (plateformes, opérateurs, etc.) consistant à devoir stocker un an durant l’ensemble des données de trafic et de localisation des contenus utilisateurs. Ce sont les « qui », « quand », « quoi », « d’où », « comment » de *toutes* les communications électroniques, posts, commentaires en ligne, etc.

• Les données de connexions accessibles aux services du renseignement

En France, cette obligation se manifeste juridiquement par un joli pied de nez. Si l'article L. 34 - 1 du Code des postes et des télécommunications consacre un principe d’effacement immédiat de ces données, c’est pour le réduire en poudre quelques lignes plus bas.

Ce même article prévoit en effet de multiples dérogations pour imposer cette conservation généralisée et indifférenciée aux opérateurs et prestataires, pour « les besoins de la recherche, de la constatation et de la poursuite des infractions pénales », la Hadopi, l’ANSSI ou encore les services du renseignement et d’autres administrations...

Selon leur champ de compétence, ces autorités peuvent dès lors remonter le passé numérique d’une personne, en quête d’éléments matériels ou de simples indices. Et sans surprise, services du renseignement, Hadopi, administrations, etc. défendent tous le privilège d’un tel droit d’accès quand les internautes ne s’imaginent pas vraiment que de ce sillage, peut être déduit un grand nombre d’informations sur la vie privée, et pas seulement le graphe social des individus.

Le 14 avril 2015, durant les débats autour de la loi Renseignement, la députée Isabelle Attard l’expliquait par l’exemple lorsqu’elle voulut témoigner de la sensibilité de ces données de trafic et localisation, face aux données de contenus :

« Vous vous êtes par exemple connectés à un site de rencontres échangiste ou fétichiste deux fois par jour pendant un mois, mais – nous dit-on – on ne sait pas du tout ce que vous avez écrit ou lu… Autre exemple, vous avez appelé Sida Info Service pendant douze minutes, puis un laboratoire d’analyses médicales pendant deux minutes. Une semaine plus tard, le laboratoire vous a rappelé. On ne sait pas ce que vous vous êtes dit, mais il vous a rappelé, et vous avez ensuite appelé votre médecin pendant quinze minutes, mais, encore une fois, on ne sait pas vraiment de quoi vous avez parlé. »

Dis-moi ce que tu métadonnes, je te dirai qui tu es

Les législations des États membres étant de plus en plus gourmandes d’exceptions en la matière, la Cour de justice de l’UE a tiré plusieurs coups de canon dans le ciel de l’UE.

Le 8 avril 2014 dans son arrêt fondamental « Digital Rights Ireland », elle devinait derrière cette obligation de conservation, une profonde ingérence dans la vie privée des millions de citoyens concernés.   

Et pour cause, de telles informations, « prises dans leur ensemble, sont susceptibles de permettre de tirer des conclusions très précises concernant la vie privée des personnes (…) telles que les habitudes de la vie quotidienne, les lieux de séjour permanents ou temporaires, les déplacements journaliers ou autres, les activités exercées, les relations sociales de ces personnes et les milieux sociaux fréquentés par celles-ci ».

Dans cet arrêt Digital Rights, la Cour de Justice de l’Union européenne ne rejetait pas cette conservation des données, mais exigeait des garanties solides, des textes clairs, outre que l’obligation soit réservée à la seule lutte contre les infractions graves, principe de proportionnalité faisant.

Pas d’open-bar donc, mais une définition sérieuse des durées de rétention variant selon les situations, outre une délimitation des accès des autorités compétentes en sus évidemment d’un haut niveau de sécurité chez les opérateurs.

Le 21 décembre 2016, nouveau coup de semonce. Avec l’affaire « Télé2 », la CJUE jugeait contraire au droit européen « une réglementation nationale prévoyant, à des fins de lutte contre la criminalité, une conservation généralisée et indifférenciée de l’ensemble des données relatives au trafic et des données de localisation de tous les abonnés et utilisateurs inscrits concernant tous les moyens de communication électronique ».

Par ces deux couches, le droit européen a donc généré d’une jurisprudence de plus en plus protectrice pour les uns, mais beaucoup trop restrictives aux yeux de certains États membres, et tout particulièrement la France.

Quand la France défend l’obligation de conservation indifférenciée

Déjà, dans l’affaire de 2016, l’avocat général de la CJUE relatait comment le pays des Droits de l’Homme avait multiplié d’arguments pour se libérer du joug européen et de ses multiples garanties.

Selon la grille de lecture de Paris, la directive de 2002 relative à la protection de la vie privée dans le secteur des communications électroniques exclut de cet encadrement européen les dispositions nationales régissant l’univers de la sécurité publique, la défense et la sûreté de l’État (article 1, paragraphe 3 de la directive).

Dit autrement, selon Paris, dans ce secteur, les autorités compétentes doivent pouvoir lire le passé, sans les embûches européennes. 

Des arguments qui n’ont pas convaincu la Cour de Luxembourg. Dans son arrêt de 2016, elle a relevé qu’au regard de l’économie générale de la directive de 2002, relèvent bien de ce texte, les lois des États membres imposant à des fournisseurs de conserver les données relatives au trafic et les données de localisation, « puisqu’une telle activité implique nécessairement un traitement, par ceux-ci, de données à caractère personnel ».

Contentieux de la conservation des données de connexion

Armées de ces deux arrêts, Privacy International FDN, FFDN, et la Quadrature du Net notamment ont attaqué plusieurs dispositions internes devant les juridictions nationales.

En juillet 2018, plutôt que de rendre un arrêt mettant un terme à cette conservation généralisée, le Conseil d’État, malcomprenant, a préféré réinterroger la Cour de justice de l’Union européenne. L’espoir ? Trouver de nouvelles exceptions justifiant cette obligation de conservation, en particulier dans le cadre de la loi Renseignement.  

• Conservation généralisée des données : le Conseil d'État en quête de justifications devant la CJUE

Sans surprise, ce nouveau round européen a permis au gouvernement français de revenir à la charge devant la cour de Luxembourg. Selon la France, les dispositions de la loi Renseignement, « en ce qu’elles tiennent au maintien de l’ordre public ainsi qu’à la sauvegarde de la sécurité intérieure et de l’intégrité territoriale », relèveraient « des fonctions essentielles des États membres ». il existerait ainsi des secteurs où les jurisprudences européennes sur la conservation des données n’auraient pas droit de cité, ou si peu. 

Là encore, raté : « le seul fait qu’une mesure nationale a été prise aux fins de la protection de la sécurité nationale ne saurait entraîner l’inapplicabilité du droit de l’Union », lui a répondu la CJUE. Plus particulièrement, a-t-elle précisé, « l’ensemble des traitements de données à caractère personnel effectués par les fournisseurs de services de communications électroniques relève du champ d’application de ladite directive ».

Si « cette conservation ne saurait présenter un caractère systématique », la juridiction n’a pas totalement fermé les portes. Une obligation de conservation généralisée reste possible, mais seulement dans des cas spécifiques.

• Conservation des données de connexion : la justice de l'UE siffle la fin du match, ou presque

Des autorités peuvent donc parfaitement enjoindre aux fournisseurs de service de conserver l’ensemble des données de trafic et de localisation de l’ensemble des utilisateurs, mais uniquement  

• Durant une période limitée,
• En présence de circonstances suffisamment concrètes permettant de considérer l’existence d’une menace grave
• Pour la sécurité nationale
• Et d’une menace « réelle et actuelle ou prévisible »

Ces réponses ont été adressées au Conseil d’État qui va maintenant pouvoir rendre sa décision dans une série de requêtes en souffrance, et visant plusieurs textes relatifs à ce thème sensible (les décrets d’applications des articles 851 - 1 à 851 - 4 du Code de la sécurité intérieur, mais aussi l’article 10 - 13 du Code des postes et télécommunications et le décret 25 février 2012 relatif à la conservation des données).

La souveraineté nationale pour contourner la CJUE 

La juridiction administrative va-t-elle enfin tenir compte de cette jurisprudence dans son arrêt attendu dans quelques semaines ou mois ? Pas si sûr.

Selon nos informations, le gouvernement a invité le Conseil d’État à suivre une voie exceptionnelle : se draper derrière l’étendard de la souveraineté nationale et même de l’identité constitutionnelle de la France pour ne pas appliquer les mesures imposées par la CJUE. Il considère que ces juges ont fait une bien mauvaise application du traité de l’UE en allant au-delà de leurs compétences.

Pourquoi ? Toujours selon nos sources gouvernementales, l’exécutif estime que cette jurisprudence vient priver d’effectivité plusieurs principes constitutionnels français, dont le principe de sauvegarde des intérêts fondamentaux de la nation, l’objectif de prévention, de recherches des auteurs d’infraction pénale, et l’objectif de lutte contre le terrorisme.

Interdire la conservation généralisée des données de connexion, sauf dans quelques cas trop spécifiques, priverait finalement la France des moyens d’actions nécessaires pour assurer la mise en œuvre de ces principes fondateurs.

Un véritable « bras d’honneur » adressé à la CJUE qui ne surprend pas vraiment. Au même moment, le gouvernement milite aussi pour colmater cette brèche dans le futur, au travers du projet de règlement ePrivacy, comme l’a souligné le professeur Theodore Christakis le long d’un « thread » sur Twitter.

De même, à l’Assemblée nationale, le député Guillaume Larrivé a déjà dénoncé le « hold-up » des décisions de la CJUE en matière de conservation des données de connexion. Dans son rapport sur les cinq ans de la loi Renseignement, l’élu LR estime qu’« on n’aurait sans doute d’autre solution que de considérer que la primauté du droit européen cesse quand on se trouve au cœur du cœur de la souveraineté nationale et de notre droit constitutionnel ». 

Un quatrième arrêt de la CJUE

Pendant que la France gesticule pour éviter la régulation européenne, ce 2 mars, patatras : après Digital Rights, Télé2, la décision La Quadrature du Net, un quatrième arrêt a été rendu par la Cour de justice.

Dans cette affaire née en Estonie, une personne fut reconnue coupable des chefs de vol, d’utilisation de la carte bancaire d’un tiers et de violence à l’égard de personnes participant à une procédure en justice. Elle avait été identifiée par l’accès aux données conservées par les opérateurs. Des preuves recevables ?

La Cour européenne a une nouvelle fois jugé que le droit de l’UE s’oppose à une législation permettant l’accès d’autorités publiques aux données de connexion, si cet accès n’est pas « circonscrit à des procédures visant à la lutte contre la criminalité grave ou à la prévention de menaces graves contre la sécurité publique ».

En l’espèce surtout, elle a relevé que la réglementation estonienne était pour le moins fragile : elle ne prévoyait aucune limitation de la période pour laquelle l’accès auxdites données était sollicité, ni la quantité ou la nature des informations disponibles. Un bel accès open bar.

Mieux. Elle a jugé au passage que le droit européen tout comme la Charte des droits fondamentaux s’opposent aux réglementations qui donnent compétence au ministère public d’autoriser à la fois ces accès aux données tout en conduisant l’enquête pénale. Une double casquette qui s’oppose au principe d’indépendance qui vaut aussi en la matière.

Sur son compte personnel, Matthieu Audibert, doctorant en droit privé et sciences criminelles, anticipe en France un « gros problème parce que concrètement en flagrance et en préliminaire, c'est le parquet qui est à la manœuvre ». Il devance également une « avalanche des pourvois déposés à la Cour de cassation », notamment sur certaines affaires comme celle qui a conduit à la condamnation récente de Nicolas Sarkozy.

Me Alexandre Archambault rappelle pour sa part que plusieurs réformes législatives ont été entreprises ces dernières années sans que les rustines nécessaires n’aient été apposées, malgré les arrêts de la CJUE. « Les autorités françaises, en persistant dans leur refus de procéder aux adaptations qui s’imposent de la procédure pénale afin de la mettre en conformité, portent une lourde responsabilité dans le gel des enquêtes pénales à compter de ce jour ».