{"id":20921,"date":"2020-11-16T20:02:50","date_gmt":"2020-11-17T00:02:50","guid":{"rendered":"https:\/\/antilla-martinique.com\/?p=20921"},"modified":"2020-11-16T20:02:50","modified_gmt":"2020-11-17T00:02:50","slug":"la-cour-de-justice-de-lunion-europeenne-soppose-a-la-collecte-massive-des-donnees-de-connexions-internet-et-telephoniques-a-des-fins-judiciaires-ou-de-renseignement","status":"publish","type":"post","link":"https:\/\/antilla-martinique.com\/en\/la-cour-de-justice-de-lunion-europeenne-soppose-a-la-collecte-massive-des-donnees-de-connexions-internet-et-telephoniques-a-des-fins-judiciaires-ou-de-renseignement\/","title":{"rendered":"La Cour de justice de l\u2019Union europ\u00e9enne s\u2019oppose \u00e0 la collecte massive des donn\u00e9es de connexions Internet et t\u00e9l\u00e9phoniques \u00e0 des fins judiciaires ou de renseignement"},"content":{"rendered":"

Par Fabienne Jault-Seseke, Professeur des Universit\u00e9s en Droit Priv\u00e9, Universit\u00e9 Paris Saclay (Versailles Saint-Quentin)<\/strong><\/p>\n

\n

Rep\u00e9r\u00e9 sur Le Club d\u00e8s Juristes.<\/p>\n

\n

Le 6 octobre 2020, la Cour de justice de l\u2019Union europ\u00e9enne a rendu deux arr\u00eats remarquables en mati\u00e8re de protection des donn\u00e9es personnelles (aff. jointes C-511\/18, C-512\/18, C-520\/18<\/a> et aff. C-623\/17<\/a>). Elle y confirme sa jurisprudence Tele2 (CJUE, 21 d\u00e9c. 2016, aff. jtes C-203\/15 et C-698\/15<\/em><\/a>) de 2016, selon laquelle imposer aux fournisseurs d\u2019acc\u00e8s une \u00ab obligation g\u00e9n\u00e9ralis\u00e9e et indiff\u00e9renci\u00e9e \u00bb de collecte et de conservation des donn\u00e9es est contraire au droit de l\u2019Union. Elle reste ferme face aux \u00c9tats membres qui tentent d\u2019imposer une surveillance g\u00e9n\u00e9rale des donn\u00e9es personnelles en invoquant la n\u00e9cessit\u00e9 de lutter contre la menace terroriste.<\/strong><\/p>\n

Ces arr\u00eats qui concernent les m\u00e9tadonn\u00e9es<\/a> (identit\u00e9 de l\u2019\u00e9metteur et du destinataire de la communication, localisation de l\u2019\u00e9mission, dur\u00e9e, date et heure) et non le contenu de la communication prennent un relief particulier au regard de l\u2019actualit\u00e9. En quelques semaines, la France a \u00e9t\u00e9 victime de trois attentats terroristes et le chef de l\u2019\u00c9tat annonce vouloir am\u00e9liorer la coop\u00e9ration dans le domaine du renseignement (Le Monde<\/em> du 7 novembre<\/a>). Les techniques de renseignement et l\u2019acc\u00e8s aux donn\u00e9es personnelles sont \u00e9troitement li\u00e9s. Le droit fran\u00e7ais impose aux fournisseurs de services de communications \u00e9lectroniques de conserver les m\u00e9tadonn\u00e9es, afin que les services de renseignement mais aussi d\u2019autres autorit\u00e9s dans le cadre d\u2019une information judiciaire puissent y avoir acc\u00e8s. Le droit belge est assez proche. Le droit anglais, quant \u00e0 lui, impose \u00e0 ces m\u00eames fournisseurs non la conservation mais la transmission aux services de s\u00e9curit\u00e9 et de renseignement des m\u00e9tadonn\u00e9es.<\/p>\n

La compatibilit\u00e9 de ces diff\u00e9rentes r\u00e8gles avec la directive 2002\/58\/CE dite \u00ab vie priv\u00e9e et communication \u00e9lectronique<\/a> \u00bb ou ePrivacy<\/em>, lue \u00e0 la lumi\u00e8re de la Charte de l\u2019Union europ\u00e9enne<\/a>, \u00e9tant contest\u00e9e, les juridictions de trois \u00c9tats membres (le Conseil d\u2019\u00c9tat fran\u00e7ais, la Cour constitutionnelle belge et l\u2019Investigatory Powers Tribunal<\/em>anglais) ont d\u00e9cid\u00e9 d\u2019interroger la CJUE.<\/p>\n

Les mesures de s\u00fbret\u00e9 nationale rel\u00e8vent-elles du droit de l\u2019Union europ\u00e9enne ?<\/h2>\n

Cette question \u00e9tait pos\u00e9e par les juges anglais et fran\u00e7ais qui faisaient valoir que la s\u00e9curit\u00e9 nationale rel\u00e8ve de la responsabilit\u00e9 exclusive de chaque \u00c9tat membre (art. 4 du Trait\u00e9 de l\u2019Union europ\u00e9enne<\/a>). Toutefois, le droit europ\u00e9en, \u00e0 travers la directive ePrivacy<\/em>, s\u2019applique \u00e0 l\u2019activit\u00e9 des fournisseurs des services de communications \u00e9lectroniques. Les mesures de s\u00fbret\u00e9 nationale qui conduisent \u00e0 leur imposer des obligations doivent d\u00e8s lors \u00eatre appr\u00e9hend\u00e9es \u00e0 l\u2019aune des r\u00e8gles europ\u00e9ennes. Si elles s\u2019y r\u00e9v\u00e8lent contraires, le juge national doit les laisser inappliqu\u00e9es. La CJUE le pr\u00e9cise alors m\u00eame que la cour constitutionnelle belge sollicitait, pour des consid\u00e9rations de s\u00e9curit\u00e9 juridique, un report dans le temps des effets de sa d\u00e9cision.<\/p>\n

La CJUE avait d\u00e9j\u00e0 admis, dans l\u2019affaire Tele2 et plus r\u00e9cemment encore (CJUE 2 oct. 2018, Ministerio Fiscal<\/a>, aff. C-207\/16<\/a><\/em>) l\u2019application des r\u00e8gles europ\u00e9ennes \u00e0 des situations voisines. N\u00e9anmoins, en 2006, dans l\u2019affaire dite du Passenger Name Records<\/em> (PNR) (CJUE, grde ch., 30 mai 2006, aff. C-317\/04<\/em><\/a>), le traitement de donn\u00e9es r\u00e9alis\u00e9 par les compagnies a\u00e9riennes avait \u00e9t\u00e9 consid\u00e9r\u00e9 comme ne relevant pas du champ d\u2019application de la directive 1995\/46<\/a>(l\u2019anc\u00eatre du RGPD<\/a>). Pour le justifier, il \u00e9tait argu\u00e9 que le traitement de donn\u00e9es \u00e0 l\u2019occasion du PNR s\u2019inscrit dans le contexte de la coop\u00e9ration entre l\u2019Union europ\u00e9enne et les \u00c9tats-Unis, c\u2019est-\u00e0-dire dans un cadre international o\u00f9 la dimension \u00e9tatique de l\u2019activit\u00e9 pr\u00e9vaut, alors que dans les affaires en cause comme dans les affaires Tele2 et Ministerio Fiscal, le cadre r\u00e9glementaire dans lequel le traitement \u00e9tait mis en \u0153uvre \u00e9tait purement national. L\u2019argument ne convainc pas r\u00e9ellement. Plus pertinent est celui qui consiste \u00e0 mettre l\u2019accent sur l\u2019auteur du traitement. En effet, c\u2019est parce que l\u2019ensemble des traitements de donn\u00e9es \u00e0 caract\u00e8re personnel effectu\u00e9s par les fournisseurs de services de communications \u00e9lectroniques rel\u00e8ve du droit europ\u00e9en (pr\u00e9cis\u00e9ment de la directive ePrivacy<\/em>), que les traitements qu\u2019ils op\u00e8rent en vertu des mesures de s\u00e9curit\u00e9 nationale sont soumis aux r\u00e8gles europ\u00e9ennes. La Cour ne dit pas autre chose dans les arr\u00eats du 6 octobre lorsqu\u2019elle appr\u00e9cie la r\u00e9glementation nationale imposant aux fournisseurs d\u2019acc\u00e8s \u00e0 des services de communication au public en ligne et aux fournisseurs de services d\u2019h\u00e9bergement une obligation de conservation des donn\u00e9es \u00e0 l\u2019aune respectivement de la directiveePrivacy<\/em> et du RGPD. Cette appr\u00e9ciation lui permet, apr\u00e8s les arr\u00eats Digital Rights Ireland<\/em> (8 avril 2014, C-293\/12 et C-594\/12<\/a>) et Tele 2, de condamner une nouvelle fois les politiques de surveillance de masse, y compris dans le contexte actuel de la lutte accrue contre le terrorisme : une obligation g\u00e9n\u00e9rale et non cibl\u00e9e de conservation des m\u00e9tadonn\u00e9es est excessive.<\/p>\n

O\u00f9 placer le curseur entre les politiques de lutte contre le terrorisme et la protection des donn\u00e9es personnelles ?<\/h2>\n

En France, mais les pays voisins ne sont pas en reste, les lois sur le renseignement se sont succ\u00e9d\u00e9 \u00e0 un rythme soutenu. L\u2019objectif est de permettre aux policiers, magistrats ou aux services de renseignement d\u2019avoir un acc\u00e8s facile aux donn\u00e9es. Il convient cependant, comme l\u2019a exactement formul\u00e9 l\u2019Avocat g\u00e9n\u00e9ral dans ses conclusions dans les affaires en cause, de respecter l\u2019\u00c9tat de droit. Cela n\u00e9cessite un examen minutieux de diff\u00e9rentes hypoth\u00e8ses. Les solutions retenues ne sont pas d\u00e9pourvues d\u2019ambigu\u00eft\u00e9. Certes le principe d\u2019interdiction de la conservation g\u00e9n\u00e9ralis\u00e9e des donn\u00e9es de connexion par les \u00c9tats membres de l\u2019Union est r\u00e9affirm\u00e9 mais les exceptions qui lui sont apport\u00e9es sont nombreuses. Elles tiennent \u00e0 la fa\u00e7on dont la Cour de justice met en \u0153uvre le contr\u00f4le de proportionnalit\u00e9 dont elle est famili\u00e8re. La balance entre la protection des donn\u00e9es personnelles et de la vie priv\u00e9e d\u2019une part et l\u2019int\u00e9r\u00eat public d\u2019autre part peut pencher en faveur du second lorsqu\u2019il est gravement menac\u00e9.
\nLa Cour reconna\u00eet que la conservation des m\u00e9tadonn\u00e9es (trafic et localisation) \u00ab de mani\u00e8re indiff\u00e9renci\u00e9e \u00bb peut servir l\u2019objectif de pr\u00e9vention de la menace grave pour la s\u00e9curit\u00e9 nationale. Elle doit cependant respecter trois conditions : \u00eatre limit\u00e9e dans le temps, \u00eatre justifi\u00e9e par une menace grave, r\u00e9elle, actuelle ou pr\u00e9visible pour la s\u00e9curit\u00e9 nationale, \u00eatre op\u00e9r\u00e9e sous le contr\u00f4le effectif d\u2019une juridiction ou d\u2019une autorit\u00e9 administrative ind\u00e9pendante. La conservation des donn\u00e9es \u00ab \u00e0 la fran\u00e7aise \u00bb para\u00eet en cons\u00e9quence licite m\u00eame s\u2019il reste au juge national \u00e0 s\u2019assurer qu\u2019elle est proportionn\u00e9e \u00e0 l\u2019objectif de la sauvegarde de la s\u00e9curit\u00e9 nationale et qu\u2019elle pr\u00e9voit des garanties suffisantes. En revanche, la transmission g\u00e9n\u00e9ralis\u00e9e et indiff\u00e9renci\u00e9e \u00ab \u00e0 l\u2019anglaise \u00bb est jug\u00e9e contraire au droit de l\u2019Union.
\nDans cette m\u00eame hypoth\u00e8se de menace grave, r\u00e9elle, actuelle ou pr\u00e9visible pour la s\u00e9curit\u00e9 nationale, le traitement automatis\u00e9 des donn\u00e9es relatives au trafic et des donn\u00e9es de localisation aux fins de pr\u00e9vention du terrorisme pr\u00e9vu par le code de la s\u00e9curit\u00e9 int\u00e9rieure<\/a> (CSI) et qui permet de filtrer la totalit\u00e9 des donn\u00e9es afin de mettre en valeur les donn\u00e9es ayant le param\u00e8tre recherch\u00e9 et d\u2019identifier le cas \u00e9ch\u00e9ant la personne est autoris\u00e9. Il constitue cependant une ing\u00e9rence grave. En cons\u00e9quence, il doit \u00eatre encadr\u00e9 par la loi et respecter les garanties \u00e9nonc\u00e9es pour la conservation. En outre, les personnes concern\u00e9es doivent en \u00eatre inform\u00e9es \u00e0 moins que cette information ne compromette la r\u00e9alisation de l\u2019objectif poursuivi. La Cour exige que l\u2019algorithme utilis\u00e9 pour le traitement soit fiable, qu\u2019il ne se fonde pas exclusivement sur des donn\u00e9es sensibles et qu\u2019il soit r\u00e9guli\u00e8rement r\u00e9examin\u00e9. Au-del\u00e0, elle pr\u00e9cise que le traitement automatis\u00e9 ne peut conduire \u00e0 l\u2019adoption d\u2019une d\u00e9cision individuelle pr\u00e9judiciable \u00e0 l\u2019int\u00e9ress\u00e9, sans qu\u2019intervienne une personne humaine. Il s\u2019agit d\u2019un \u00e9l\u00e9ment r\u00e9current dans le d\u00e9bat sur l\u2019\u00e9thique de l\u2019intelligence artificielle.<\/p>\n

En l\u2019absence de menace grave pour la s\u00e9curit\u00e9 nationale, quelle marge de man\u0153uvre reste-t-il aux \u00c9tats ?<\/h2>\n

En l\u2019absence de menace grave pour la s\u00e9curit\u00e9 nationale, la conservation pr\u00e9ventive des donn\u00e9es de trafic et de localisation \u00ab exc\u00e8de les limites du strict n\u00e9cessaire \u00bb. Elle ne peut concerner la totalit\u00e9 des individus, m\u00eame lorsqu\u2019est en cause la lutte contre la criminalit\u00e9 grave et la s\u00e9curit\u00e9 publique. La Cour de justice reprend ici sa jurisprudence Tele2<\/em>. La conservation pr\u00e9ventive suppose pour \u00eatre licite qu\u2019elle soit cibl\u00e9e. Il convient donc de pr\u00e9ciser \u00ab les cat\u00e9gories de donn\u00e9es \u00e0 conserver, les moyens de communication vis\u00e9s, les personnes concern\u00e9es ainsi que la dur\u00e9e de conservation retenue \u00bb. La Cour illustre son propos en \u00e9voquant le cas des personnes qui ont \u00e9t\u00e9 \u00ab pr\u00e9alablement identifi\u00e9es\u2026 comme pr\u00e9sentant une menace pour la s\u00e9curit\u00e9 publique ou la s\u00e9curit\u00e9 nationale de l\u2019\u00c9tat membre concern\u00e9 \u00bb, ou les zones g\u00e9ographiques o\u00f9 le risque criminel est \u00e9lev\u00e9. La prolongation de la conservation est exceptionnellement permise, lorsque les infractions p\u00e9nales ou les atteintes \u00e0 la s\u00e9curit\u00e9 nationale ont d\u00e9j\u00e0 \u00e9t\u00e9 commises ou peuvent \u00eatre raisonnablement soup\u00e7onn\u00e9es. Encore faut-il qu\u2019elle soit limit\u00e9e dans le temps et cibl\u00e9e sur les personnes soup\u00e7onn\u00e9es, voire sur celles de leur entourage.
\nOn rel\u00e8vera encore que la conservation des donn\u00e9es relatives \u00e0 l\u2019identit\u00e9 des utilisateurs peut plus facilement \u00eatre justifi\u00e9e que celle des adresses IP qui donnent acc\u00e8s \u00e0 de nombreuses informations \u00e0 travers le suivi de navigation de l\u2019internaute.<\/p>\n

Confronter les mesures de renseignement au droit de la protection des donn\u00e9es personnelles s\u2019apparente \u00e0 un savant exercice d\u2019\u00e9quilibrisme. La CJUE s\u2019y adonne scrupuleusement.<\/p>","protected":false},"excerpt":{"rendered":"

Par Fabienne Jault-Seseke, Professeur des Universit\u00e9s en Droit Priv\u00e9, Universit\u00e9 Paris Saclay (Versailles Saint-Quentin) Rep\u00e9r\u00e9 sur Le Club d\u00e8s Juristes. Le 6 octobre 2020, la Cour de justice de l\u2019Union europ\u00e9enne a rendu deux arr\u00eats remarquables en mati\u00e8re de protection des donn\u00e9es personnelles (aff. jointes C-511\/18, C-512\/18, C-520\/18 et aff. C-623\/17). Elle y confirme sa<\/p>","protected":false},"author":33,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_uf_show_specific_survey":0,"_uf_disable_surveys":false,"footnotes":"","rank_math_focus_keyword":"","rank_math_title":"","rank_math_description":"","rank_math_canonical_url":"","rank_math_robots":null,"rank_math_facebook_title":"","rank_math_facebook_description":"","rank_math_twitter_title":"","rank_math_twitter_description":""},"categories":[9],"tags":[],"class_list":["post-20921","post","type-post","status-publish","format-standard","category-latribune"],"acf":[],"_links":{"self":[{"href":"https:\/\/antilla-martinique.com\/en\/wp-json\/wp\/v2\/posts\/20921","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/antilla-martinique.com\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/antilla-martinique.com\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/antilla-martinique.com\/en\/wp-json\/wp\/v2\/users\/33"}],"replies":[{"embeddable":true,"href":"https:\/\/antilla-martinique.com\/en\/wp-json\/wp\/v2\/comments?post=20921"}],"version-history":[{"count":0,"href":"https:\/\/antilla-martinique.com\/en\/wp-json\/wp\/v2\/posts\/20921\/revisions"}],"wp:attachment":[{"href":"https:\/\/antilla-martinique.com\/en\/wp-json\/wp\/v2\/media?parent=20921"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/antilla-martinique.com\/en\/wp-json\/wp\/v2\/categories?post=20921"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/antilla-martinique.com\/en\/wp-json\/wp\/v2\/tags?post=20921"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}