L’article 15-1 de la directive du 12 juillet 2002, dite « directive vie privée et communications électroniques », modifiée par celle du 25 novembre 2009, « s’oppose à une réglementation nationale prévoyant, à des fins de lutte contre la criminalité, une conservation généralisée et indifférenciée de l’ensemble des données relatives au trafic et des données de localisation de tous les abonnés et utilisateurs inscrits concernant tous les moyens de communication électronique. », a affirmé la Cour de justice de l’Union européenne dans son arrêt du 21 décembre 2016. Elle a également considéré que cet article s’oppose à « l’accès des autorités nationales compétentes aux données conservées, sans limiter, dans le cadre de la lutte contre la criminalité, cet accès aux seules fins de lutte contre la criminalité grave, sans soumettre ledit accès à un contrôle préalable par une juridiction ou une autorité administrative indépendante, et sans exiger que les données en cause soient conservées sur le territoire de l’Union. ». La Cour de Luxembourg a une nouvelle fois joué son rôle de garant des libertés dans le monde numérique.
Le 8 avril 2014, la Cour de justice de l’Union européenne avait invalidé la directive du 15 mars 2006 sur la conservation de données générées ou traitées dans le cadre de la fourniture de services de communications électroniques accessibles au public. Elle avait estimé que le législateur européen avait dépassé les limites appropriées et nécessaires aux objectifs de recherche, de détention et de poursuite d’infractions graves, en imposant à ces fournisseurs une si large obligation de conservation des données, sans encadrement strict. Cette fois-ci, il était demandé à la Cour d’interpréter les réglementations nationales à l’aune de la directive de 2002. La première question posée portait sur la validité de la réglementation suédoise qui autorise une conservation généralisée et indifférenciée de l’ensemble des données de trafic et de localisation de tous les abonnés et utilisateurs inscrits issues de tous les moyens de communication, à des fins de lutte contre la criminalité. Après avoir affirmé que la réglementation en cause relève bien du champ d’application de la directive de 2002, la Cour a rappelé que le législateur européen avait entendu faire en sorte qu’un niveau élevé de protection des données personnelles soit garanti pour tous les services de communications électroniques. Ainsi toute dérogation au principe d’effacement de ces données, prévu par la directive, doit être « nécessaire, appropriée et proportionnée, au sein d’une société démocratique », autorisée « pendant une durée limitée » et « lorsque cela est justifié » par les finalités se rapportant à la lutte contre la criminalité et énumérées par la directive. La Cour relève en effet que les données détenues par les prestataires de l’internet permettent d’établir un profil des personnes concernées « information tout aussi sensible, au regard du droit au respect de la vie privée, que le contenu même des communications ». Seule la « criminalité grave » peut justifier une telle mesure, la conservation de ces données devant être l’exception, rappelle la Cour. En conséquence, « pour satisfaire aux exigences énoncées au point précédent du présent arrêt, cette réglementation nationale doit, en premier lieu, prévoir des règles claires et précises régissant la portée et l’application d’une telle mesure de conservation des données et imposant un minimum d’exigences, de telle sorte que les personnes dont les données ont été conservées disposent de garanties suffisantes permettant de protéger efficacement leurs données à caractère personnel contre les risques d’abus. Elle doit en particulier indiquer en quelles circonstances et sous quelles conditions une mesure de conservation des données peut, à titre préventif, être prise, garantissant ainsi qu’une telle mesure soit limitée au strict nécessaire (voir, par analogie, à propos de la directive 2006/24, arrêt Digital Rights, point 54 et jurisprudence citée). En second lieu, s’agissant des conditions matérielles auxquelles doit satisfaire une réglementation nationale permettant, dans le cadre de la lutte contre la criminalité, la conservation, à titre préventif, des données relatives au trafic et des données de localisation, afin de garantir qu’elle soit limitée au strict nécessaire, il convient de relever que, si ces conditions peuvent varier en fonction des mesures prises aux fins de la prévention, de la recherche, de la détection et de la poursuite de la criminalité grave, la conservation des données n’en doit pas moins toujours répondre à des critères objectifs, établissant un rapport entre les données à conserver et l’objectif poursuivi. En particulier, de telles conditions doivent s’avérer, en pratique, de nature à délimiter effectivement l’ampleur de la mesure et, par suite, le public concerné. ».
La seconde question posée à la Cour portait sur l’accès à ces données des autorités nationales compétentes, sans le limiter à des finalités de lutte contre la « criminalité grave » et sans prévoir un contrôle préalable par une juridiction ou une autorité administrative indépendante. Suivant la même logique que celle de la réponse à la question précédente, la Cour considère que cet accès doit être limité au strict nécessaire. Elle ajoute que la réglementation nationale doit prévoir des conditions matérielles et procédurales spécifiques. D’une part, cet accès doit être subordonné au contrôle préalable du juge ou d’une autorité administrative indépendante. Les personnes concernées par cet accès doivent, d’autre part, en être informées afin de permettre d’exercer des recours éventuels. Enfin, la Cour considère que vu la quantité et la sensibilité des données en cause, la réglementation nationale doit imposer que celles-ci soient conservées sur le territoire de l’Union nationale ainsi que leur destruction irrémédiable au terme d’une durée de conservation.

Lire la décision