Un nouveau compromis sur le règlement « ePrivacy » a été présenté aujourd’hui au Conseil de l’Union européenne. Proposé par la présidence estonienne, il pourrait ouvrir une brèche pour obliger les intermédiaires à conserver bien plus que de simples métadonnées.

Cet ensemble de mesures visent à « renforcer le respect de la vie privée dans les communications électroniques » expliquait la Commission européenne en janvier 2017. 

Le texte, toujours en pleine procédure d’adoption, contient différentes dispositions notamment sur la gestion des cookies, le marketing non sollicité, etc., mais il abrite aussi des articles relatifs aux données de communications électroniques.

La présidence estonienne du Conseil propose plusieurs pistes de réforme sur ce socle particulier. Elle profite du moment pour ouvrir une brèche afin de prévoir une nouvelle justification à la conservation des données par les opérateurs techniques.

S'inspirer du RGPD

Selon sa présentation, il s’agit de s’inspirer d’une disposition similaire existant dans le Règlement Général sur la Protection des Données. À son article 6(1)(c), le RGPD prévoit en effet qu’un traitement de données personnelles est licite s’il répond à l’une des conditions énumérées.

Parmi elles, on trouve ceux nécessaires « au respect d'une obligation légale à laquelle le responsable du traitement est soumis ». Flairant un beau levier, l’Estonie voudrait autoriser les fournisseurs de réseaux de communication électronique et les services en ligne à effectuer des traitements de données, si du moins ces opérations répondent « à une obligation légale à laquelle ils sont soumis ». D’une autorisation, on glisse à une obligation.

Pour l’avocat Alexandre Archambault, il y a possible péril en la demeure. « Dans le cadre actuel, l'obligation de conservation ne porte que sur les métadonnées pertinentes pour l'acheminement d'une communication » (article 6.1 du texte aujourd’hui en vigueur).

Or, avec une telle rédaction, la porte serait ouverte à d’autres données dès lors que leur conservation serait prévue par le législateur national. D’un périmètre limité aux seules données pertinentes, on glisse tout subrepticement vers des données définies par les législateurs nationaux.

Un double effet : adopté, on sortirait du carcan imposé par la Cour de justice de l'Union européenne sur l'accès et la conservation des données. En outre, pourraient rentrer dans le spectre, les URL qui sont aujourd’hui plutôt rangées parmi les données de contenus que de contenants, même si cette question pointue reste débattue entre les autorités nationales françaises.