Sombre avenir pour les données de trafic …

Publié le 08/09/2004 par Pascal Reynaud

Le 30 juillet dernier, la Commission européenne a lancé une consultation publique sur la conservation des données de trafic générés par les réseaux de communications électroniques, qu’il s’agisse d’internet ou de téléphone mobile … Ce sujet hautement sensible revient donc à l’avant-plan de la scène ! On sait que les Etats membres, notamment après le…

Le 30 juillet dernier, la Commission européenne a lancé une consultation publique sur la conservation des données de trafic générés par les réseaux de communications électroniques, qu’il s’agisse d’internet ou de téléphone mobile … Ce sujet hautement sensible revient donc à l’avant-plan de la scène ! On sait que les Etats membres, notamment après le 11 septembre 2001 et les attentats de Madrid de 2004, caressent le rêve d’accéder au plus d’informations possible au nom de lutte contre le terrorisme, et qu’ils s’opposent aux défenseurs des libertés civiques qui y voient un risque majeur pour la vie privée des individus.

La consultation publique tombe au moment où certains Etats ont rendu publique un projet de texte harmonisant cette matière au niveau européen. La marque sécuritaire qui règne depuis 2001 est patente. C’est ainsi que les données de trafic concernées par les futurs travaux européens sont entendues de manière très (trop ?) large : ce sont celles qui permettent de déterminer l’origine de la communication, ce qui inclus des informations personnelles sur l’émetteur, mais aussi le parcours et la destination du contenu. Les informations sur la durée et l’horaire, le procédé technique utilisé, les lieux concernés par la communication, sont aussi englobées par le processus.

Peu importe la technologie utilisée pourvue qu’elle suppose un moyen électronique de communication. Sont ainsi concernées toutes les données de trafic, que celles-ci soient véhiculées par téléphone (SMS par exemple) ou internet (E mail ou WWW notamment). Le champ d’application apparaît vraiment très large et englobe l’ensemble des informations générées par des modes de communication électronique.

Des textes actuels trop imprécis

Deux textes principaux permettent d’encadrer l’accès et la conservation des données de trafic. Il s’agit , d’une part, de la Convention sur la cybercriminalité du Conseil de l’Europe et plus particulièrement ses articles 14 et suivants, et d’autre part de la directive 2002/58/CE « vie privée et communication électronique ».

Si le texte de la directive « vie privée et communication électronique » apportent certaines définitions et fixent une série de principes protecteurs de la vie privée, il n’en contient pas moins de multiples dérogations qui sont définies de manière bien vague.

Concernant spécifiquement les données de trafic, l’effacement de ces données par l’opérateur de communication, est érigé en principe protecteur (art. 6 directive précitée) dès que le stockage n’est plus nécessaire. Mais la sécurité publique fait notamment partie des mesures justifiant les dérogations.

Selon l’article 15-1, les dérogations prises par les Etats doivent être nécessaires, appropriées et proportionnées, au sein d’une société démocratique. De même, la Convention européenne des droits de l’homme et la jurisprudence de la Cour qui en résulte sont à prendre en compte. Ces mesures dérogatoires peuvent être prises pour sauvegarder la sécurité nationale, la défense et la sécurité publique ou assurer la prévention, la recherche, la détection et la poursuite d’infractions pénales ou d’utilisations non autorisées du système de communications électroniques.

On voit, dès lors, les défauts de ce texte qui ne définit pas les exceptions aux principes protecteurs et qui laissent les Etats libres de fixer un cadre national sans contrainte véritable. De même, la Convention sur la cybercriminalité ne détermine que les grandes lignes des procédures de conservation et de saisie par les autorités judiciaires. On doit en conclure qu’aucune disposition dans ces deux textes ne vient déterminer les modalités pratiques de ces dérogations.

Le « patchwork légal » qui en résulte gêne les opérateurs de télécommunication, freine la coopération entres Etats dans la lutte contre le terrorisme et la criminalité et ne protège pas la vie privée du citoyen européen.

Les législations française et belge en construction

La législation française sur le sujet des données de trafic n’est pas achevée, contrairement à ce que pourrait laisser croire l’activité législative de ces derniers mois.

L’article 6–II de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique contient certaines dispositions sur le sujet mais renvoie à un futur décret d’application pour définir les modalités pratiques du statut des données de trafic.

C’est principalement l’article L34-1 du Code des postes et des télécommunications électroniques qui permet d’aller plus loin. Selon ce texte, les opérateurs de communications électroniques et fournisseurs d’accès Internet doivent effacer ou rendre anonyme toute donnée relative au trafic. Mais par exception, dans des circonstances relevant d’une action pénale, il peut être différé pour une durée maximale d’un an aux opérations tendant à effacer ou à rendre anonymes ces données techniques.

Un décret d’application viendra encore une fois délimiter les modalités précises du principe ainsi exposé. Ainsi aucune règle d’application n’est posée sur les catégories de données concernées, la durée de leur conservation, l’activité des opérateurs et la nature des communications à surveiller, ainsi que les modalités de compensation ou les surcoûts subis par les opérateurs …

Le droit belge est lui aussi en formation sur le sujet et une proposition de texte a donné lieu à un avis du Conseil d’Etat et de la Commission vie privée. Pour l’instant le droit applicable est celui indiqué à l’article 109ter, E, de la loi du 21 mars 1991dite « loi Belgacom ».

Des limites jurisprudentielles malheureusement ignorées

Il faut rappeler la jurisprudence européenne selon laquelle l’enregistrement et la conservation a priori des données ne peut en aucun cas mener à des mesures de surveillance exploratoires ou générales (Arrêts Klass (arrêt du 6 septembre 1978, Publ. Cour, Série A, n° 28, p. 23 et s) et Malone).

Les autorités chargées de protéger la vie privée embrayent elles aussi, estimant que : « Lorsque des données de trafic doivent être conservées, [la] nécessité doit être démontrée, la période de conservation doit être aussi courte que possible et cette pratique doit être clairement établie par la loi, de façon à prévenir tout accès illégal ou tout autre forme d’abus. La conservation systématique de tout type de données de trafic pour une période d’un an ou plus serait clairement disproportionnée et par conséquent inacceptable » (Avis 5/2002 du 11 octobre 2002 sur la Déclaration des Commissaires européens à la protection des données adoptée lors de la conférence internationale de Cardiff du 9-11 septembre 2002, relative à la conservation systématique et obligatoire des données de trafic des télécommunications).

En comparaison, la proposition de certains Etats membres du 28 avril 2004 sur le sujet prévoit un délai maximum de 36 mois, ce qui pourrait paraître excessif.

Comme toujours, tout est question d’équilibre, mais il permis de douter que celui-ci soit atteint par les textes actuellement préparés.

Plus d’info ?

En lisant la page spéciale consacrée à la consultation lancée par la Commission européenne sur la conservation des données de trafic

En lisant la proposition de plusieurs Etats membres sur la conservation des données de trafic

En lisant une analyse du projet belge de loi sur les communications électroniques