La Cour de justice de l’Union européenne a rendu, le vingt septembre deux mille vingt-deux, un arrêt fondamental concernant le traitement des données à caractère personnel. Cette décision répond aux questions préjudicielles posées par la juridiction administrative suprême d’un État membre sur la compatibilité d’une réglementation nationale avec le droit européen. Plusieurs fournisseurs de services d’accès à internet contestaient devant les tribunaux une obligation légale de conservation généralisée et indifférenciée des données relatives au trafic. La juridiction administrative de première instance de Cologne avait d’abord jugé cette mesure contraire au droit de l’Union, provoquant un recours devant l’instance fédérale. Le litige porte sur la faculté d’imposer un stockage systématique des informations de localisation et de trafic pour lutter contre la criminalité particulièrement grave. La Cour de justice affirme que le droit de l’Union s’oppose à une telle mesure préventive généralisée, tout en admettant des exceptions limitativement énumérées. L’examen de cette solution exige d’étudier la primauté du principe de confidentialité avant d’analyser l’encadrement strict des dérogations admises par les juges européens.
I. La primauté de la confidentialité des communications et la gravité de l’atteinte portée à la vie privée
A. Le caractère exceptionnel des mesures de stockage au regard du droit de l’Union
L’article cinq de la directive relative à la vie privée consacre l’obligation pour les États membres de garantir la confidentialité des communications électroniques. La Cour rappelle que les utilisateurs sont en droit de s’attendre à ce que leurs échanges restent anonymes et ne fassent l’objet d’aucun enregistrement. Toute mesure législative limitant ces droits fondamentaux doit ainsi faire l’objet d’une interprétation stricte pour ne pas vider le principe de sa portée. Les juges soulignent que « la confidentialité des données relatives au trafic est essentielle pour le droit au respect de la vie privée » des individus. Le stockage systématique par des tiers constitue par lui-même une dérogation majeure à l’interdiction de principe posée par le législateur de l’Union européenne. Cette ingérence se manifeste indépendamment de l’utilisation ultérieure des informations collectées par les autorités nationales chargées de la détection des infractions pénales.
B. L’indifférence de la durée de conservation sur la caractérisation d’une ingérence grave
La réglementation nationale contestée prévoyait des durées de stockage limitées à quelques semaines pour les données de localisation et les informations relatives au trafic. Les juges considèrent pourtant qu’une telle brièveté ne suffit pas à écarter le risque d’un établissement de profils complets des personnes physiques concernées. L’arrêt précise qu’une telle mesure « présente en tout état de cause un caractère grave indépendamment de la durée de la période de conservation » choisie. Un ensemble de données conservées même brièvement peut révéler des habitudes de vie quotidienne ou des relations sociales extrêmement précises sur chaque citoyen. L’appréciation de la gravité de l’ingérence s’effectue nécessairement en fonction du risque inhérent à la catégorie de données traitées par les fournisseurs privés. La protection des droits fondamentaux interdit ainsi de transformer l’exception en règle générale sous prétexte d’une limitation temporelle des obligations de stockage.
II. L’encadrement strict des régimes dérogatoires de conservation des données
A. La hiérarchisation des objectifs d’intérêt général justifiant une dérogation
La Cour de justice établit une distinction claire entre la sauvegarde de la sécurité nationale et la lutte contre la criminalité de droit commun. L’objectif de protection de la sûreté de l’État correspond à l’intérêt primordial de protéger les fonctions essentielles et les structures fondamentales du pays. Cette menace doit être réelle et actuelle ou prévisible pour justifier temporairement une conservation généralisée des données de trafic par les opérateurs. En revanche, les juges affirment avec force que « la criminalité, même particulièrement grave, ne peut être assimilée à une menace pour la sécurité nationale ». Seul l’intérêt vital de la nation permet de s’écarter du principe de confidentialité pour une période limitée au strict nécessaire par les autorités publiques. Cette hiérarchie des objectifs garantit que les atteintes les plus intrusives à la vie privée restent proportionnées à l’importance de la valeur juridique protégée.
B. La diversification des mesures de conservation proportionnées aux finalités poursuivies
L’invalidation de la conservation généralisée n’interdit pas le recours à des instruments d’enquête ciblés et proportionnés aux besoins réels de la justice pénale. Les États membres conservent la faculté d’imposer une conservation rapide des données dont disposent déjà les fournisseurs pour élucider des infractions graves identifiées. La Cour valide également le stockage systématique des adresses de protocole internet attribuées à la source d’une connexion pour une durée strictement limitée. Cette mesure est jugée admissible car l’adresse numérique constitue parfois le seul moyen d’investigation permettant l’identification des auteurs d’infractions commises en ligne. Le droit de l’Union « ne s’oppose pas à des mesures législatives prévoyant une conservation généralisée et indifférenciée des données relatives à l’identité civile ». Les autorités nationales doivent désormais combiner ces différents outils pour concilier l’efficacité des poursuites avec le respect des libertés fondamentales de l’utilisateur.
