La Cour de justice de l’Union européenne a rendu, le 30 avril 2024, une décision fondamentale concernant l’accès aux données de connexion. Le litige oppose des associations de défense des libertés numériques au gouvernement à propos du système de la réponse graduée. Ce dispositif permet à l’autorité publique d’identifier les titulaires d’adresses internet ayant diffusé des œuvres protégées sans autorisation préalable. Les requérants soutiennent que cet accès aux données s’effectue sans le contrôle d’une juridiction ou d’une autorité administrative indépendante. Le Conseil d’État a sursis à statuer pour interroger la juridiction européenne sur la compatibilité de ce système avec le droit communautaire.
Les faits trouvent leur origine dans la collecte systématique d’adresses numériques par des organismes représentant les titulaires de droits d’auteur. Ces informations sont transmises à l’autorité administrative indépendante chargée de protéger les œuvres culturelles contre les atteintes commises en ligne. La procédure prévoit l’envoi de recommandations avant d’envisager d’éventuelles poursuites pénales pour négligence caractérisée ou pour délit de contrefaçon. Devant la juridiction administrative suprême, les demandeurs invoquent une violation disproportionnée du droit au respect de la vie privée.
La question posée demande si l’article 15 de la directive 2002/58 impose un contrôle préalable pour l’identification des abonnés. Le problème juridique porte sur la nécessité d’un contrôle indépendant avant l’accès de l’autorité aux identités liées aux adresses internet. La Cour répond que le droit de l’Union ne s’oppose pas, en principe, à une telle réglementation sans contrôle systématique. Elle impose toutefois des conditions techniques de conservation garantissant une séparation étanche entre les catégories de données stockées. Un contrôle préalable devient impératif dès qu’un risque de profilage précis de la vie privée des utilisateurs apparaît lors de réitérations. L’équilibre du système repose sur la nature des données traitées et sur l’indépendance du contrôle exercé sur l’autorité.
I. La validation conditionnée de l’accès administratif aux données d’identification
A. La qualification juridique de l’adresse de protocole internet
La juridiction européenne distingue les adresses internet des autres données de trafic en raison de leur sensibilité moindre pour l’identification. Elle considère que l’accès à ces informations ne constitue pas une ingérence grave si aucune conclusion précise n’est ainsi tirée. L’arrêt précise que « l’accès à cette adresse à cette seule fin concerne ladite adresse en tant que donnée relative à l’identité civile ». Cette interprétation permet de concilier la protection des droits d’auteur avec les exigences de confidentialité prévues par le droit de l’Union. L’objectif de lutte contre les infractions pénales suffit alors à justifier l’intervention de l’autorité publique sans autorisation judiciaire initiale.
B. L’exigence d’une séparation étanche des catégories de données
La licéité de ce traitement repose sur des modalités techniques garantissant l’absence de combinaison possible entre les différentes données stockées. Les États membres doivent veiller à ce que les fournisseurs organisent « une séparation effectivement étanche des différentes catégories de données conservées ». Cette structure prévient le traçage exhaustif du parcours de navigation des internautes et interdit l’établissement d’un profil détaillé de l’utilisateur concerné. Le respect de ces conditions matérielles assure que l’ingérence dans les droits fondamentaux reste limitée au strict nécessaire pour l’identification. La protection de l’identité civile doit cependant être complétée par un contrôle indépendant lorsque les données accumulées risquent de devenir intrusives.
II. L’encadrement des risques de profilage par le contrôle indépendant
A. L’instauration d’un contrôle préalable lors de la réitération des manquements
L’intensité de l’atteinte à la vie privée augmente lorsque la procédure administrative franchit les étapes successives de la réponse graduée. La Cour juge qu’un contrôle indépendant est essentiel avant que l’autorité puisse mettre en relation l’identité avec les œuvres consultées. Cette garantie procédurale doit intervenir obligatoirement avant l’envoi de la notification constatant une éventuelle négligence caractérisée de la personne. Le juge ou l’entité administrative doit vérifier que l’accès aux informations ne permet pas de tirer des conclusions précises sur l’intimité. L’arrêt souligne que « ledit contrôle doit intervenir avant l’éventuel envoi de la lettre de notification » pour protéger les libertés.
B. Le refus d’une automatisation intégrale des garanties de protection
Le gouvernement soutenait qu’un contrôle purement automatisé serait suffisant compte tenu du caractère massif des constatations de contrefaçon sur internet. La Cour écarte cette position en affirmant qu’une mise en balance des intérêts nécessite impérativement l’intervention d’une personne physique. Par ailleurs, un système informatique ne peut pas assurer seul un juste équilibre entre les besoins de l’enquête et les droits individuels. La décision impose que les contrôles automatisés « aillent de pair avec des contrôles par des personnes physiques » indépendants. Cette exigence humaine renforce la protection contre les faux positifs et les détournements de données à caractère personnel par des tiers.
