La conservation des données de connexion est illégale, selon l’avocat général !

Publié le 24/12/2013 par Etienne Wery

C’est un énorme pavé dans la mare que l’avocat général de la Cour de justice de l’UE vient de lancer, en remettant en cause la légalité de la directive qui organise la conservation des données de connexion des utilisateurs de l’internet. S’il est suivi, ce sera un désaveu cinglant pour les Etats membres et pour toute la lutte contre le terrorisme telle qu’elle est organisée aujourd’hui.

L’enjeu

Ils étaient peu nombreux à croire que la Cour de justice de l’Union européenne pourrait remettre en cause tout le système actuel de conservation des données, présenté comme une des épines dorsales du mécanisme de lutte contre le terrorisme.

Il s’agit d’organiser la conservation d’une liste harmonisée de données de connexion, pendant une durée et à des conditions largement fixées par les Etats membres, afin de permettre, a posteriori, de savoir qui a été en contact avec qui, ou de retracer, le plus précisément possible, les agissements d’un individu sur le réseau.

Les chances étaient minces, et pourtant c’est cette analyse critique que suggère de faire l’avocat général, qui estime que la directive elle-même est contraire à la protection des droits fondamentaux.

Dans ses conclusions présentées ce jour, l’avocat général, M. Pedro Cruz Villalón, estime que la directive sur la conservation des données est dans son ensemble incompatible avec l’exigence, consacrée par la charte des droits fondamentaux de l’Union européenne, selon laquelle toute limitation de l’exercice d’un droit fondamental doit être prévue par la loi.

Selon l’avocat général, la directive constitue une ingérence caractérisée dans le droit fondamental des citoyens au respect de la vie privée, en établissant une obligation pour les fournisseurs de services de communications téléphoniques ou électroniques de collecter et de conserver les données de trafic et de localisation de ces communications.

Des risques trop élevés pour la vie privée

L’avocat général souligne, à cet égard, que l’exploitation de ces données peut permettre l’établissement d’une cartographie aussi fidèle qu’exhaustive d’une fraction importante des comportements d’une personne relevant strictement de sa vie privée, voire d’un portrait complet et précis de son identité privée. Il existe, par ailleurs, un risque accru que les données conservées ne soient utilisées à des fins illicites, potentiellement attentatoires à la vie privée ou, plus largement, frauduleuses, voire malveillantes. En effet, les données ne sont pas conservées par les autorités publiques, ni même sous leur contrôle direct, mais par les fournisseurs de services de communications électroniques eux-mêmes. De plus, la directive ne prévoit pas que les données doivent être conservées sur le territoire d’un État membre. Ces données, peuvent, par conséquent, être accumulées dans des lieux indéterminés du cyberespace.

Un manque d’harmonisation critiquable 

Au regard de cette ingérence caractérisée, la directive aurait dû, tout d’abord, définir les principes fondamentaux qui devaient régir la définition des garanties minimales encadrant l’accès aux données collectées et conservées ainsi que leur exploitation.

Or, la directive‒ qui d’ailleurs ne réglemente pas l’accès aux données collectées et conservées ni leur exploitation ‒ renvoie aux États membres le soin de définir et d’établir ces garanties. De ce fait, la directive ne respecte pas l’exigence, prévue par la Charte, que toute limitation de l’exercice d’un droit fondamental soit prévue par la loi. En effet, cette condition va au-delà d’une exigence purement formelle. Ainsi, lorsque le législateur de l’Union adopte, comme dans le cas de la directive sur la conservation des données, un acte imposant des obligations constitutives d’ingérences caractérisées dans les droits fondamentaux des citoyens de l’Union, il doit assumer sa part de responsabilité en définissant, à tout le moins, les principes devant présider à la définition, à l’établissement, à l’application et au contrôle du respect des garanties nécessaires. C’est précisément cet encadrement qui permet d’apprécier la portée de ce que l’ingérence dans le droit fondamental implique concrètement et qui peut donc rendre cette dernière constitutionnellement supportable ou pas.

Une finalité légitime, servie par des mesures disproportionnées

L’avocat général, M.Cruz Villalón, estime, ensuite, que la directive sur la conservation des données est incompatible avec le principe de proportionnalité en ce qu’elle impose aux États membres de garantir qu’elles soient conservées pendant une durée dont la limite supérieure est fixée à deux ans.

Il estime que cette directive poursuit une fin ultime parfaitement légitime, à savoir garantir la disponibilité des données collectées et conservées aux fins de la recherche, de la détection et de la poursuite d’infractions graves, et peut être considérée comme adéquate et même, sous réserve des garanties dont elle devrait être assortie, comme nécessaire à la réalisation de cet objectif.

Toutefois, l’avocat général n’a trouvé, dans les différentes prises de position soumises à la Cour de justice, défendant la proportionnalité de la durée de la conservation des données, aucune justification suffisante pour que la durée de conservation des données à établir par les États membres doive ne pas demeurer dans une limite inférieure à une année.

Une remise en ordre plus qu’une chamboulement

En ce qui concerne les effets dans le temps de l’invalidité constatée, l’avocat général propose, après mise en balance des différents intérêts en présence, de tenir en suspens les effets du constat d’invalidité de la directive, le temps que le législateur de l’Union puisse prendre les mesures nécessaires pour remédier à l’invalidité constatée, étant précisé que ces mesures doivent intervenir dans un délai raisonnable.

Il observe, à cet égard, que la pertinence et même l’urgence des fins ultimes de la restriction des droits fondamentaux en cause n’est, d’un côté, pas douteuse. Les invalidités constatées sont, d’un autre côté, d’une nature singulière. D’une part, la directive est invalide du fait de l’absence d’encadrement suffisant des garanties régissant l’accès aux données collectées et conservées et leur exploitation (qualité de la loi), laquelle peut toutefois avoir trouvé correction dans le cadre des mesures de transposition adoptées par les États membres. D’autre part, les États membres ont, de façon générale, ainsi qu’il ressort des éléments fournis à la Cour, exercé leurs compétences avec modération pour ce qui est de la durée maximale de conservation des données.

Les conclusions de ce jour sont présentées dans le cadre de deux procédures préjudicielles initiées respectivement par la High Court of Ireland (Irlande) et le Verfassungsgerichtshof (Cour constitutionnelle, Autriche).

La High Court doit trancher un litige entre Digital Rights Ireland Ltd, une société à responsabilité limitée dont l’objet statutaire est de promouvoir et protéger les droits civiques et les droits de l’homme, en particulier dans l’univers des technologies de communication modernes, et les autorités irlandaises. Dans le cadre de ce litige, Digital Rights, qui déclare être propriétaire d’un téléphone portable, fait valoir que les autorités irlandaises ont illégalement traité, conservé et contrôlé les données afférentes à ses communications.

Le Verfassungsgerichtshof doit trancher les trois recours formés respectivement par le gouvernement du Land de Carinthie, M. Michael Seitlinger et par 11130 requérants, qui font valoir que la loi autrichienne sur les télécommunications est contraire à la constitution autrichienne.

(source : communiqué de la Cour)