Dans le cadre du projet de loi de lutte contre la fraude, les députés ont adopté, avec l’aval du gouvernement, un amendement tenant compte de la jurisprudence de la Cour de justice de l’Union européenne. Il encadre (enfin) le droit d’accès aux données de connexion des agents des douanes et du fisc.

Dans le droit positif, l’article 65 du Code des douanes, au point 1° i), prévoit une mesure très confortable pour cette administration. Les agents ayant au moins le grade de contrôleur peuvent exiger la communication des documents de toute nature relatifs aux opérations intéressant leur service chez les opérateurs de télécommunications, les hébergeurs et les FAI.

À l’article L83 du Livre des procédures fiscales, le fisc dispose d’une liberté similaire : les administrations de l'État, des départements et des communes, les entreprises contrôlées par l'État, « doivent communiquer à l'administration, sur sa demande, les documents de service qu'ils détiennent sans pouvoir opposer le secret professionnel ». Et cette communication peut concerner les données des intermédiaires techniques. Au L96 G, ils ont en outre du pouvoir de se faire communiquer de ces mêmes intermédiaires l’ensemble des données de connexion de leur choix.

Un droit extrêmement vaste, qui offre un accès privilégié à des informations attentatoires à la vie privée... Mais peu en phase avec le droit européen et la jurisprudence constitutionnelle. 

La jurisprudence de la CJUE et du Conseil constitutionnel

Le 12 décembre 2016, dans son arrêt Télé 2, confirmant un arrêt du 8 avril 2014, la CJUE a en effet souligné que l’obligation de conservation des données de connexion, à laquelle sont astreints les trois acteurs précédents, ne peut s’envisager qu’en raison d’un lien avec des actes de criminalité graves. Cette obligation doit au surplus être limitée au strict nécessaire avec des garanties appropriées. 

Après un premier avertissement en août 2015, le 21 juillet 2017, le Conseil constitutionnel tirait à nouveau un coup de canon contre les droits d’accès trop largement définis. À l’égard de l’Autorité des marchés financiers, le juge estimait, avant censure, que « le législateur n'a pas entouré la procédure prévue par les dispositions contestées de garanties propres à assurer une conciliation équilibrée entre, d'une part, le droit au respect de la vie privée et, d'autre part, la prévention des atteintes à l'ordre public et la recherche des auteurs d'infractions ». Cette jurisprudence a été ensuite dupliquée à l'égard de la Haute autorité pour la transparence de la vie publique.

Un droit d'accès encadré et limité aux infractions graves

Dans le cadre du projet de loi contre la fraude, l’amendement 236 adopté lundi a été déposé par une cohorte de députés LREM pour tenir compte de cette jurisprudence de plus en plus bruyante. 

Très concrètement, il autorise toujours les agents des douanes ayant au moins le grade de contrôleur à se faire communiquer les données de connexion chez les opérateurs, les hébergeurs et les FAI. Seulement, le régime est assorti de garanties spécifiques.

L’accès sera limité « à la constatation des infractions douanières les plus graves » comme la contrebande de produits stupéfiants ou d’armes, le délit de blanchiment douanier ou la violation d’un embargo financier. De plus, les agents devront être spécialement habilités.

En outre, l’accès devra être autorisé par le procureur de la République qui, le cas échéant, se verra remettre un procès-verbal de constat, transmis d’ailleurs aux opérateurs et prestataires. Enfin, les données communiquées devront être détruites « à l’extinction de l’action pour l’application des sanctions fiscales ».

La même logique d’encadrement a été suivie avec l’amendement 235 rectifié. Le fisc ne pourra plus récupérer les données de connexion dans le cadre du L83. De même, au L96 G, les demandes devront être limitées à la recherche et à la constatation des infractions graves (dont les activités occultes, détention de comptes à l’étranger non déclarés, fausses factures, montages destinés à induire en erreur l’administration fiscale).

Il faudra là encore une autorisation du procureur de la République et des agents spécialement habilités. Les données seront cette fois supprimées un an après réception, à l’exception de celles utilisées dans le cadre d’une procédure fiscale. Celles-ci seront détruites après extinction des voies de recours. 

Un modèle pour les autres accès aux données de connexion ? 

Ce régime, à valider par les sénateurs, devrait servir de modèle pour l’ensemble des droits dont profitent les autres administrations, mais non encore encadrés.

De telles modifications législatives contrastent avec les positions du gouvernement devant les députés ou les autorités juridictionnelles. Au Conseil d’État, depuis 2015, l'exécutif a en effet tout fait pour s’opposer aux recours de FDN, FFDN et La Quadrature du Net. La juridiction administrative a finalement saisi cet été la CJUE d’une salve de questions préjudicielles pour lâcher du lest sur la conservation et l’accès aux données de connexion.