La Cour de justice de l’Union européenne a rendu, le 6 octobre 2020, un arrêt fondamental relatif au traitement des données par les services de renseignement. Cette décision examine la conformité d’une réglementation nationale autorisant la transmission massive de données de connexion à des fins de sécurité nationale. Un ministre avait enjoint à des fournisseurs de services de communications électroniques de communiquer aux services de sécurité des données relatives au trafic en masse. La juridiction de renvoi fut saisie par une association contestant la légalité de ces instructions ministérielles au regard du droit de l’Union. Les parties demanderesses soutenaient que le recueil et l’utilisation de ces données relevaient du champ d’application de la directive sur la vie privée. En revanche, plusieurs gouvernements faisaient valoir que la sécurité nationale relevait de la seule compétence des États membres conformément au traité sur l’Union européenne. La juridiction de renvoi décida de surseoir à statuer pour interroger la Cour sur l’interprétation des articles du droit dérivé et des traités. Le problème de droit consiste à savoir si une mesure de sécurité nationale imposant une transmission de données par des opérateurs privés relève du droit de l’Union. Les juges doivent également déterminer si une transmission généralisée et indifférenciée des données respecte les droits fondamentaux garantis par la Charte européenne. La Cour affirme que de telles réglementations entrent dans le champ du droit européen et s’opposent à une transmission généralisée des données de localisation. L’analyse portera d’abord sur l’application du droit de l’Union aux mesures de sécurité avant d’étudier l’invalidité de la transmission généralisée des données.
I. L’assujettissement des mesures de sécurité nationale au droit de l’Union
A. L’inclusion des injonctions de transmission dans le champ d’application de la directive La Cour précise que l’article premier de la directive 2002/58 prévoit l’harmonisation des dispositions nationales pour assurer la protection de la vie privée. L’exclusion des activités de l’État mentionnée au paragraphe 3 ne couvre pas les obligations imposées aux fournisseurs de services de communications électroniques. « Une communication de données à caractère personnel par transmission est, de même qu’une conservation de données, constitutive d’un traitement » au sens de la directive. Les mesures législatives régissant l’activité des fournisseurs privés ne sauraient être assimilées à des activités propres aux États étrangères aux domaines des particuliers. Dès lors, toute réglementation imposant aux opérateurs de transmettre des données aux services de renseignement doit respecter les conditions fixées par le législateur européen.
B. La préservation limitée de la compétence souveraine des États membres L’article 4 du traité sur l’Union européenne énonce que la sécurité nationale reste de la seule responsabilité de chaque État membre souverain. Toutefois, la Cour considère que « le seul fait qu’une mesure nationale a été prise aux fins de la protection de la sécurité nationale ne saurait entraîner l’inapplicabilité du droit de l’Union ». Les États membres doivent ainsi respecter le droit européen lorsqu’ils exercent leurs compétences essentielles en matière de maintien de l’ordre public et de sûreté. La distinction entre les traitements effectués directement par les autorités et ceux imposés aux fournisseurs privés s’avère ici déterminante pour la solution. Cette soumission au droit de l’Union justifie un contrôle rigoureux de la proportionnalité des mesures attentatoires à la confidentialité des communications électroniques.
II. L’invalidité de la transmission généralisée et indifférenciée des données
A. La caractérisation d’une ingérence grave dans les droits fondamentaux Le principe de confidentialité des communications électroniques constitue la règle au sein du système mis en place par la directive sur la vie privée. « La transmission des données relatives au trafic à un tiers constitue une ingérence dans les droits fondamentaux consacrés aux articles 7 et 8 de la Charte ». Cette atteinte est considérée comme particulièrement grave car elle permet d’établir le profil précis des personnes concernées à partir de leurs informations. Le sentiment d’une surveillance constante peut également générer un effet dissuasif sur l’exercice de la liberté d’expression garantie par l’article 11. Une transmission globale de données concerne des personnes sans aucun lien avec une menace réelle pour la sécurité nationale de l’État membre concerné.
B. Le constat d’une disproportionnalité manifeste au regard du strict nécessaire La Cour rappelle que les limitations aux droits fondamentaux doivent s’opérer dans les limites du strict nécessaire selon le principe de proportionnalité. Une réglementation nationale permettant une transmission généralisée des données « a pour effet de faire de la dérogation à l’obligation de principe de garantir la confidentialité la règle ». Les juges estiment qu’un accès général à toutes les données conservées en l’absence de critère objectif excède manifestement les limites du pouvoir étatique. L’objectif de sauvegarde de la sécurité nationale, bien que primordial, ne saurait justifier une mesure privant de tout effet utile les garanties européennes. Par conséquent, le droit de l’Union s’oppose à une réglementation imposant aux fournisseurs la communication automatique et indifférenciée des données de localisation.
