La Cour de justice de l’Union européenne a rendu, le 20 septembre 2022, une décision majeure concernant la protection de la vie privée des citoyens. Ce litige oppose des prestataires de services de communications à une autorité nationale au sujet d’une obligation de stockage massif des données de trafic. La juridiction administrative de Cologne a d’abord considéré que cette mesure nationale était incompatible avec les exigences fondamentales posées par le droit de l’Union. Saisie d’un pourvoi, la juridiction administrative suprême de l’État membre a interrogé le juge européen sur la validité d’une conservation généralisée des données. La question posée consiste à savoir si une réglementation imposant une conservation préventive et indifférenciée des données respecte le principe de proportionnalité des ingérences. La Cour répond par la négative pour la lutte criminelle classique, mais maintient des dérogations strictes pour sauvegarder les intérêts vitaux de l’État membre. Il convient d’analyser d’abord le maintien du principe de confidentialité des communications avant d’examiner le régime de conservation dérogatoire désormais autorisé par la jurisprudence.
I. Le maintien du principe de confidentialité des communications électroniques
A. L’incompatibilité de la conservation généralisée avec les droits fondamentaux
Le juge européen rappelle que la directive sur la protection de la vie privée consacre une interdiction de principe du stockage des données de trafic. Elle précise que « l’article 5, paragraphe 1, de la directive 2002/58 consacre le principe de confidentialité tant des communications électroniques que des données relatives au trafic ». Cette confidentialité demeure la règle générale, tandis que toute limitation législative doit constituer une exception strictement interprétée pour ne pas vider le droit de sa substance.
Une mesure imposant la conservation de la quasi-totalité des communications d’une population entière porte une atteinte particulièrement grave aux libertés individuelles de chaque citoyen. Par conséquent, cette ingérence systémique ne saurait être justifiée par le simple objectif de prévention des infractions pénales, même si celles-ci revêtent un caractère sérieux. La protection du droit fondamental au respect de la vie privée exige que les dérogations s’opèrent toujours dans les limites du strict nécessaire.
B. L’incidence limitée de la brièveté des délais de conservation
L’autorité nationale soutenait que la durée réduite du stockage, fixée à dix semaines, atténuait suffisamment la portée de l’atteinte aux droits des utilisateurs finaux. La Cour rejette cet argument en soulignant que la gravité de l’ingérence dépend surtout de la nature et de la variété des informations collectées. Elle estime que « la conservation des données […] présente en tout état de cause un caractère grave indépendamment de la durée de la période de conservation ».
Le risque d’établir un profil détaillé de la vie privée d’un individu existe dès lors que les données permettent de retracer ses habitudes quotidiennes et sociales. Les garanties techniques de sécurité ne suffisent pas non plus à légitimer une conservation qui outrepasse les limites raisonnables dans une société démocratique. En effet, l’ingérence résultant du stockage intervient nécessairement avant même que les informations et les données en découlant ne puissent être consultées utilement.
II. La détermination des mesures de conservation strictement nécessaires
A. Le régime d’exception fondé sur la sauvegarde de la sécurité nationale
La décision opère une distinction nette entre la lutte contre la criminalité ordinaire et la sauvegarde de la sécurité nationale pour justifier des mesures exceptionnelles. Le juge autorise la conservation généralisée uniquement face à une menace grave, réelle et actuelle pour les fonctions essentielles de l’État ou sa structure fondamentale. Il précise à cet égard que « la criminalité, même particulièrement grave, ne peut être assimilée à une menace pour la sécurité nationale ».
Néanmoins, cette distinction hiérarchique impose que les moyens de surveillance les plus intrusifs soient réservés aux seules situations mettant en péril l’existence même de la nation. La mise en œuvre de telles injonctions doit demeurer temporaire et faire l’objet d’un contrôle effectif par une juridiction ou une autorité administrative indépendante. L’importance de l’objectif de sauvegarde de la sécurité nationale dépasse celle des autres objectifs visés par la directive sur la vie privée.
B. La reconnaissance de modalités de conservation ciblées et proportionnées
En dehors des menaces étatiques, la Cour valide le recours à des formes de conservation ciblées qui reposent sur des critères objectifs et non discriminatoires. Les autorités peuvent ainsi imposer le stockage des adresses IP ou des données d’identité civile pour lutter efficacement contre les formes graves de délinquance. Le dispositif prévoit également la technique du « quick freeze » permettant la conservation rapide des données déjà présentes chez les fournisseurs pour les besoins d’une enquête.
Le juge souligne que « ces mesures assurent, par des règles claires et précises, que la conservation des données en cause est subordonnée au respect des conditions ». Cet équilibre jurisprudentiel tente de concilier les impératifs de sécurité publique avec le respect scrupuleux des droits fondamentaux garantis par la Charte européenne. L’efficacité des poursuites pénales dépend désormais de l’utilisation combinée de ces différents instruments d’enquête dont disposent les autorités nationales compétentes.
