Retour vers le futur du traitement des données de connexion

Mon article sur le traitement des données de connexion, suite à la jurisprudence de la Cour de justice de l’Union européenne (CJUE) du 06/10/2020, justifie quelques développements complémentaires pour essayer de comprendre le sens et la portée des décisions rendues ce jour-là.

« La Cour dit que : »

La réalité c’est que l’on n’est pas sûr de comprendre ce que dit la Cour…

Le 06/10/2020, quatre décisions ont été rendues (C-623/17, C-511/18, C-512/18 et C-520/18), dans deux arrêts, puisque les trois dernières affaires ont été jointes et tranchées par un seul et même arrêt. Cette façon de procéder ne contribue pas à la clarté de la décision.

Premier arrêt

L’affaire C-623/17 concerne les services de renseignement britanniques (MI5 et MI6) et n’entre pas dans le champ de la procédure pénale qui nous intéresse ici. Indiquons simplement que cet arrêt considère que la directive « vie privée et communications électroniques » (2002/58/CE) permet « à une autorité étatique d’imposer aux fournisseurs de services de communications électroniques de transmettre aux services de sécurité et de renseignement des données relatives au trafic et des données de localisation aux fins de la sauvegarde de la sécurité nationale » mais « s’oppose à une réglementation nationale permettant à une autorité étatique d’imposer, aux fins de la sauvegarde de la sécurité nationale, aux fournisseurs de services de communications électroniques la transmission généralisée et indifférenciée des données relatives au trafic et des données de localisation aux services de sécurité et de renseignement ».

Second arrêt

Pour la Cour, le même jour et dans la même composition, à propos des trois autres affaires (C-511/18, C-512/18 et C-520/18) qui ont été jointes, la même « directive vie privée et communications électroniques » s’oppose à des mesures législatives prévoyant, à titre préventif « une conservation généralisée et indifférenciée des données relatives au trafic et des données de localisation »

sauf :

« dans des situations où l’État membre concerné fait face à une menace grave pour la sécurité nationale qui s’avère réelle et actuelle ou prévisible, la décision prévoyant cette injonction pouvant faire l’objet d’un contrôle effectif, soit par une juridiction, soit par une entité administrative indépendante, dont la décision est dotée d’un effet contraignant, visant à vérifier l’existence d’une de ces situations ainsi que le respect des conditions et des garanties devant être prévues, et ladite injonction ne pouvant être émise que pour une période temporellement limitée au strict nécessaire, mais renouvelable en cas de persistance de cette menace».
« aux fins de la sauvegarde de la sécurité nationale, de la lutte contre la criminalité grave et de la prévention des menaces graves contre la sécurité publique, une conservation ciblée des données relatives au trafic et des données de localisation qui soit délimitée, sur la base d’éléments objectifs et non discriminatoires, en fonction de catégories de personnes concernées ou au moyen d’un critère géographique, pour une période temporellement limitée au strict nécessaire, mais renouvelable;
« aux (mêmes) fins (…) une conservation généralisée et indifférenciée des adresses IP attribuées à la source d’une connexion, pour une période temporellement limitée au strict nécessaire;
« aux (mêmes) fins (…) une conservation généralisée et indifférenciée des données relatives à l’identité civile des utilisateurs de moyens de communications électroniques, et
aux fins de la lutte contre la criminalité grave et, a fortiori, de la sauvegarde de la sécurité nationale (…) par le biais d’une décision de l’autorité compétente soumise à un contrôle juridictionnel effectif, de procéder, pour une durée déterminée, à la conservation rapide des données relatives au trafic et des données de localisation dont disposent ces fournisseurs de services,

dès lors que ces mesures assurent, par des règles claires et précises, que la conservation des données en cause est subordonnée au respect des conditions matérielles et procédurales y afférentes et que les personnes concernées disposent de garanties effectives contre les risques d’abus ».

La même directive « ne s’oppose pas (…) à l’analyse automatisée ainsi qu’au recueil en temps réel, notamment, des données relatives au trafic et des données de localisation (…) (lorsque) le recours à l’analyse automatisée est limité à des situations (de) menace grave pour la sécurité nationale qui s’avère réelle et actuelle ou prévisible, le recours à cette analyse pouvant faire l’objet d’un contrôle effectif, soit par une juridiction, soit par une entité administrative indépendante, dont la décision est dotée d’un effet contraignant, visant à vérifier l’existence d’une situation justifiant ladite mesure ainsi que le respect des conditions et des garanties devant être prévues, (ou) est limité aux personnes à l’égard desquelles il existe une raison valable de soupçonner qu’elles sont impliquées d’une manière ou d’une autre dans des activités de terrorisme et est soumis à un contrôle préalable, effectué, soit par une juridiction, soit par une entité administrative indépendante, dont la décision est dotée d’un effet contraignant, afin de s’assurer qu’un tel recueil en temps réel n’est autorisé que dans la limite de ce qui est strictement nécessaire. En cas d’urgence dûment justifiée, le contrôle doit intervenir dans de brefs délais ».

Le poète François ANDRIEUX, au XIX ème siècle, met en vers l’histoire du roi de Prusse et du meunier. Frédéric II, pour agrandir son palais d’été, le château Sans-Souci, voulait acheter un moulin voisin que le meunier ne voulait pas vendre. L’histoire aurait pu mal finir :

Les rois malaisément souffrent qu’on leur résiste.
Frédéric, un bon moment par l’humeur emporté :
« Parbleu, de ton moulin c’est bien être entêté ;
Je suis bon de vouloir t’engager à le vendre !
Sais-tu que sans payer je pourrais bien le prendre ?
Je suis le maître – Vous !… de prendre mon moulin ?
Oui, si nous n’avions des juges à Berlin »
Le monarque, à ce mot, revient de son caprice.
Charmé que sous son règne on crût à la justice,
Il rit, et se tournant vers quelques courtisans :
« Ma foi, messieurs, je crois qu’il faut changer nos plans.
Voisin, garde ton bien ; j’aime fort ta réplique ».

Aujourd’hui, le meunier du Sans-Souci se sentirait-il protégé, dans sa sécurité quotidienne, par ces décisions rendues par la CJEU en matière de protection de sa vie privée ? Je ne suis pas certain qu’il invoquerait la protection des juges de Luxembourg. Peut-être irait-il à la source de ce droit européen en s’écriant : Oui, si nous n’avions des parlementaires à Strasbourg.