Big Brother ne passera pas par la Cour de Justice de l’Union Européenne, 1ere partie

Une audience de la Cour de justice chambre à cinq juges
Source : Cour de Justice de l’Union Européenne

Au nom de la sécurité, un Etat démocratique peut-il surveiller ses citoyens et quelles sont les limites à cette surveillance ? Ce n’est pas la première fois et ce ne sera pas la dernière que la question est posée.  L’équilibre entre protection de la vie privée et prévention des infractions est difficile à trouver et provoque une guerre de tranchées entre les défenseurs des droits individuels et les autorités chargées maintenir l’ordre et la sécurité.

Dans quelques jours, le Conseil d’Etat va se prononcer sur les règles applicables à la conservation des données de connexion en France. Il s’agit des données de trafic et de localisation des utilisateurs de plateformes ou de fournisseurs d’internet (liste des appels et messages émis et reçus par une personne, pages consultées, adresses IP permettant de lever l’anonymat sur Internet, etc). Ces données sont stockées par les intermédiaires durant un certain temps et les services chargés de la recherche, de la constatation et de la poursuite des infractions pénales (comme HADOPI, par exemple, ou les services du renseignement…) peuvent y avoir accès. Or, la Cour de Justice de l’Union Européenne (CJUE), a rappelé à plusieurs reprises qu’une telle ingérence dans la vie privée des personnes ne peut être autorisée que de façon exceptionnelle et avec des garanties sérieuses. Le Gouvernement français, nous apprend la presse, serait donc très inquiet de la décision que pourrait prendre le Conseil d’Etat et pousserait celui-ci à adopter une position plus accommodante que celle de la CJUE pour ne pas avoir à repenser sa stratégie sécuritaire (voir, par exemple : Conservation des données : Marc Rees, « Le gouvernement demande au Conseil d’État d’ignorer la justice européenne », Nextimpact, 3 mars 2021 ou encore Alice Vitard, « Pourquoi la France entame-t-elle un bras de fer avec l'Europe sur la conservation des métadonnées ? » L’usine digitale, 16 mars 2021).

La Quadrature du Net, une association créée en 2008 pour lutter contre la « loi HADOPI » du 12 juin 2009 est devenue le poil à gratter des autorités françaises. Chaque fois que des libertés fondamentales dans le cadre du numérique sont menacées ou mises à mal, elle lance des campagnes et saisit la justice au besoin. Ces dernières années, contexte sécuritaire oblige, elle n’est pas restée inactive.
 

Donc, en 2015 et 2016, la Quadrature du Net, associée à d’autres organisations (French Data Network, Fédération des fournisseurs d’accès à Internet associatifs, Igwan.net) a saisi le Conseil d’Etat de recours en annulation de différents décrets de 2015 et 2016 organisant l’accès des services de renseignement aux données de connexion. Au terme de moult péripéties narrées par la Quadrature du Net sur son site, le litige est arrivé devant la CJUE. En effet, les requérants mettent à la fois en cause la violation de la Constitution française et celle des dispositions des directives européennes 2000/31 et 2002/58 lues à la lumière des articles 7, 8 et 47 de la Charte européenne des Droits de l’Homme (CEDH). Apparemment fort embarrassé, le Conseil d’Etat a préféré surseoir à statuer et renvoyer l’affaire à la CJUE pour que celle-ci l’éclaire sur l’interprétation à donner des règles européennes et, par suite, sur la conformité des décrets contestés à celles-ci. A cette affaire ont été jointes deux autres car les questions qu’elles posent sont semblables.
 

La Cour de Justice de l’Union Européenne a rendu sa décision le 6 octobre 2020 (affaire C-623/17 PrivacyInternational, affaires jointes C-511/18 La Quadrature du Net e.a. et C-512/18, French Data Network e.a., C-520/18 Ordre des barreaux francophones et germanophone e.a).
 

Les questions auxquelles a du répondre le juge européen peuvent se résumer ainsi : les règles européennes permettent-elles des réglementations nationales qui obligent les fournisseurs de services de communications électroniques à transmettre à une autorité publique ou à conserver de manière généralisée ou indifférenciée les données des utilisateurs qui concernent le trafic et la localisation ? Si oui, à quelles conditions ? (voir le détail des questions posées dans la note au-dessous de l’article). Compte tenu de l’importance que revêt la question, d’autres Gouvernements d’Etat membres ont présenté des observations à la CJUE. Il est vrai que dans ses précédentes décisions, celle-ci a jugé que les États membres ne pouvaient pas imposer aux fournisseurs de services de communications électroniques une obligation de conservation généralisée et indifférenciée des données relatives au trafic et à la localisation. Cette jurisprudence a inquiété plusieurs Etats membres qui veulent pouvoir garder des règles, nécessaires selon eux, à la sauvegarde de la sécurité nationale et à la lutte contre la criminalité.

Tel est le contexte dans lequel s’inscrit la décision du 6 octobre 2020.

Dans sa décision, Cour commence par examiner l’argument invoqué par les Gouvernements dans leurs observations selon lequel il n’y a pas à rechercher si les réglementations nationales contestées sont contraires à la directive 2002/58 car celle-ci ne serait pas applicable en l’espèce. Les activités des services de renseignement assurent le maintien de l’ordre public, la sécurité intérieure et l’intégrité territoriale. Elles relèveraient par conséquent, des fonctions essentielles des États membres et, seraient de leur seule compétence conformément à l’article 4, paragraphe 2, troisième phrase, du Traité sur l’Union Européenne – TUE  (point 89). Pour sa part, le Gouvernement français fait valoir que les décrets attaqués ont pour but, notamment, de protéger le pays « des atteintes à la forme républicaine des institutions et des violences collectives de nature à porter gravement atteinte à la paix publique ». En se référant à la « la forme républicaine » des institutions le Gouvernement français entend opposer à la directive communautaire la norme suprême : la Constitution devant laquelle le droit communautaire doit s’effacer (sachant que le Conseil constitutionnel dit pour droit qu’ « une règle ou un principe inhérent à l’identité constitutionnelle de la France » prévalent sur le droit communautaire ). Cette fin de non recevoir n’intimide pas outre mesure la CJUE qui juge au contraire qu’ « une réglementation nationale imposant aux fournisseurs de services de communications électroniques de conserver des données relatives au trafic et des données de localisation aux fins de la protection de la sécurité nationale et de la lutte contre la criminalité, telle que celles en cause au principal, relève du champ d’application de la directive 2002/58 » (point 104).


Cette question réglée, la Cour passe à l’examen des conditions pour que les réglementations nationales puissent être jugées conformes à la directive 2002/58.

Suite