La Cour de justice de l’Union européenne, par un arrêt du 30 janvier 2024, affaire C-162/22, se prononce sur la conformité d’une législation nationale relative à la conservation des données. Cette affaire s’inscrit dans un litige concernant l’accès aux données de localisation et de trafic de personnes suspectées de participer à une distribution illégale de tabac. Le ministère public sollicite l’autorisation d’accéder aux informations téléphoniques auprès d’une juridiction pénale, agissant pour la poursuite d’infractions qualifiées de graves par le droit interne. Une juridiction nationale, saisie initialement, s’interroge sur la validité du système imposant une conservation généralisée de ces informations numériques pendant une durée de six mois. Cette juridiction décide de surseoir à statuer afin de poser des questions préjudicielles relatives à l’interprétation de la directive 2002/58 sur la vie privée et les communications. Le juge national cherche à savoir si les garanties nationales, incluant un contrôle juridictionnel préalable, permettent de valider une mesure de surveillance électronique indifférenciée et préventive. Il demande également si le droit de l’Union impose une information systématique des personnes concernées ainsi que l’existence de voies de recours contre les accès jugés illégaux. La Cour juge que le droit de l’Union s’oppose à une conservation généralisée des données, même limitée à six mois, pour lutter contre la criminalité grave. Elle précise que l’accès doit être strictement nécessaire et accompagné d’une obligation d’information ainsi que d’un droit au recours juridictionnel devant une juridiction indépendante. Le respect de la vie privée impose une limitation stricte de la conservation des données de trafic tout en encadrant rigoureusement les modalités d’accès des autorités publiques.
I. L’incompatibilité de la conservation généralisée des données avec les droits fondamentaux
A. Le maintien d’une protection rigoureuse de la vie privée
La Cour réaffirme que la directive 2002/58 s’oppose à une mesure législative prévoyant, à titre préventif, une conservation généralisée et indifférenciée des données de trafic. Elle souligne que ces données permettent de « tirer des conclusions très précises concernant la vie privée de la ou des personnes concernées » par le traitement numérique. Par ailleurs, l’ingérence dans les droits fondamentaux présente un caractère de gravité indépendamment de la quantité ou de la nature des informations réellement consultées par les autorités. La protection de la confidentialité des communications électroniques constitue la règle de principe alors que la conservation des données doit rester une exception strictement encadrée.
B. L’insuffisance des limites temporelles et des garanties techniques
Toutefois, la limitation de la période de conservation à six mois ne suffit pas à remédier à l’atteinte portée aux droits fondamentaux des utilisateurs de services. Le juge estime que même une conservation sur une courte période fournit des informations sensibles sur les habitudes quotidiennes, les déplacements et les relations sociales. « L’appréciation de la gravité de l’ingérence que constitue la conservation s’effectue nécessairement en fonction du risque généralement afférent à la catégorie de données conservées ». L’existence de garanties techniques de sécurité ne saurait justifier une mesure de surveillance qui outrepasse les limites du strict nécessaire à la protection de la sécurité publique. La reconnaissance de l’invalidité de la conservation massive impose alors de définir les critères rigoureux encadrant l’accès ponctuel aux données par les services chargés des enquêtes.
II. L’exigence de garanties procédurales strictes assurant la protection des citoyens
A. La nécessité d’un encadrement législatif clair de l’accès aux données
Le législateur national doit définir des conditions matérielles et procédurales précises régissant l’accès des autorités compétentes aux données de trafic et de localisation conservées licitement. La réglementation doit explicitement limiter l’accès à ce qui est strictement nécessaire pour atteindre l’objectif de lutte contre les formes graves de la criminalité intentionnelle. Une simple exigence de finalité ne suffit pas à garantir que les agents publics n’excèdent pas leurs pouvoirs lors des phases délicates de l’enquête pénale préliminaire. Ainsi, la Cour exige des « règles claires et précises régissant la portée et l’application de la mesure » pour protéger efficacement les citoyens contre les risques d’abus.
B. L’obligation d’information et l’effectivité du recours juridictionnel
Les autorités nationales ont l’obligation d’informer les personnes concernées dès que cette communication n’est plus susceptible de compromettre les investigations en cours de réalisation. En outre, cette information s’avère indispensable pour permettre aux individus d’exercer utilement leur droit de recours contre un accès potentiellement illégal à leurs données personnelles protégées. Le principe d’effectivité impose aux États membres de garantir un recours juridictionnel réel permettant de contester la légalité de l’autorisation d’accès délivrée initialement par un magistrat. « Une telle autorisation ne suffit pas, en tant que telle, à assurer la protection effective » sans la possibilité concrète pour l’intéressé d’être entendu par un juge indépendant.
