Une prohibition européenne claire de la surveillance électronique de masse
Résumé
Deux décisions rendues le 8 avril 2014 par la Grande Chambre de la Cour de Justice de l’Union européenne sont venues non seulement affirmer la force et la portée de la Charte des Droits Fondamentaux de l’Union européenne, mais également bouleverser le domaine du traitement des données à caractère personnel. La première décision Commission contre Hongrie, d’abord, parce qu’elle affirme l’exigence d’indépendance tout à la fois personnelle, fonctionnelle, matérielle, institutionnelle, des autorités en charge de la protection des données et qu’elle assure le lien direct entre protection des données personnelles et protection des droits fondamentaux. La seconde décision Digital Rights Ireland Ltd & Michael Seitlinger e.a., ensuite, parce qu’elle invalide de manière intégrale et radicale la directive 2006/24/CE sur la conservation des données à caractère personnel et qu’elle prohibe ainsi toute surveillance de masse.
Plan
Haut de pageTexte intégral
1Alors que la question de la protection des données à caractère personnel abreuve l’actualité de lots de révélations faites par d’audacieux lanceurs d’alertes tels Edward Snowden et d’ingénieux dispensateurs d’informations confidentielles tels Julian Assange (voir la lettre ADL du 14 mars 2014 signée par Jean-Philippe Foegle et Serge Slama sur le « Refus de transmission d’une QPC sur la protection des fonctionnaires lanceurs d’alerte »), la Cour de Justice de l’Union européenne a rendu le 8 avril 2014 dernier deux décisions en grande chambre pour le moins retentissantes.
2Pour Steve Peers, ces arrêts manifestent l’émergence d’un patriotisme constitutionnel fondé sur la protection des droits fondamentaux (« Data retention: a landmark court of justice’s ruling (4). Will this saga continue and how ? », 8 avril 2014) ; pour Henri Labayle, « ils témoignent à tous égards de la volonté de la Cour de marquer un coup d’arrêt en assumant pleinement ses responsabilités de juge des droits fondamentaux » (« La Cour de justice et la protection des données : quand le juge européen des droits fondamentaux prend ses responsabilités », 9 avril 2014). Pourquoi ? Parce qu’ils viennent prohiber la surveillance de masse, en s’appuyant sur les dispositions de la Charte des Droits Fondamentaux de l’Union européenne qui se voit ainsi accordée toute sa force et sa portée.
3La première décision (CJUE, grande chambre, 8 avril 2014, Commission contre Hongrie, affaire C-288/12), sur laquelle ne s’étendra pas cette lettre, est une constatation en manquement prononcée par la CJUE à l’encontre de la Hongrie pour violation de la directive 95/46 sur la protection des données à caractère personnel (pour une analyse fine de l’arrêt, voir le commentaire qu’en fait Henri Labayle dans son commentaire « La Cour de justice et la protection des données : quand le juge européen des droits fondamentaux prend ses responsabilités », 9 avril 2014, et celui qu’en propose Kim Lane Sheppel, « Making Infringement Procedures More Effective: A Comment on Commission v. Hungary », 29 avril 2014). En effet, le commissaire hongrois à la protection des données élu en 2008 pour un mandat de 6 ans s’est vu démis de ses fonctions en 2012 sous couvert de réforme du dispositif national, si bien que l’obligation faite par la directive 95/46 aux Etats membres de désigner une ou plusieurs autorités chargées de veiller à son respect et de garantir la totale indépendance de ces autorités dans l’exercice de leurs missions (article 28 § 3).
4L’arrêt portant condamnation de la Hongrie n’offre pas seulement au juge de Luxembourg l’occasion de rappeler la portée de l’exigence d’indépendance qui doit être à la fois personnelle, fonctionnelle, matérielle, institutionnelle, et qui suppose « de respecter la durée du mandat des autorités de contrôle jusqu’à son échéance et de n’y mettre fin de manière anticipée que dans le respect des règles et des garanties de la législation applicable » (point 55). Il donne encore et surtout une opportunité à la Cour, celle de poser le lien direct entre protection des données personnelles et protection des droits fondamentaux : « L’exigence de contrôle par une autorité indépendante du respect des règles de l’Union relatives à la protection des personnes physiques à l’égard du traitement des données à caractère personnel résulte également du droit primaire de l’Union, notamment de l’article 8, paragraphe 3, de la charte des droits fondamentaux de l’Union européenne et de l’article 16, paragraphe 2, TFUE » (point 47).
5Or, c’est le respect des droits fondamentaux qui est au cœur de la seconde décision, à laquelle cette lettre s’intéresse (CJUE, grande chambre, 8 avril 2014, Digital Rights Ireland Ltd & Michael Seitlinger e.a., affaires jointes C-293/12 & C-594/12). Il n’est plus question de la directive 95/46 relative à la protection des données à caractère personnel, mais de la directive 2006/24/CE relative à la conservation de données générées ou traitées dans le cadre de la fourniture de services de communications électroniques accessibles au public ou de réseaux publics de communications, adoptée par le Parlement européen et le Conseil le 15 mars 2006, afin de modifier la directive 2002/58/CE. Plus exactement, la question de sa validité, de sa conformité avec la Charte de Droits Fondamentaux de l’Union Européenne, est celle posée dans les deux renvois en question préjudicielle qui ont été joints.
6Le premier renvoi (Digital Rights Ireland Ltd, C-293/12) a été présenté par la High Court d’Irlande, à la suite du recours introduit par la société Digital Rights Ireland Ltd mettant en cause la légalité de mesures législatives et administratives nationales qui ont été adoptées pour transposer la directive 2006/24 relative à la conservation de données relatives aux communications électroniques. Le second (Michael Seitlinger e.a., C-594/12) a été introduit par le Verfassungsgerichtshof autrichien, qui était saisi de recours constitutionnels par le gouvernement du land de Carinthie et par quelque 12 000 requérants (dont monsieur Michael Seitlinger) au sujet de la compatibilité de la loi transposant la directive 2006/24 dans le droit autrichien avec la loi constitutionnelle fédérale autrichienne (Bundes Verfassungsgesetz). Or, les juridictions nationales étaient ainsi confrontées au problème de la validité de la directive 2006/34 au regard de la Charte des Droits Fondamentaux de l’Union européenne. Elles ont donc dû surseoir à statuer, donnant de la sorte l’occasion à la CJUE de rendre une décision attendue sur la question sensible de la conservation des données de communications électroniques (1°). Si les affirmations primordiales énoncées lui donnent la stature d’un arrêt majeur pour l’affirmation de la portée des droits fondamentaux dans l’Union européenne (2°), le coup d’arrêt ainsi porté à la conservation massive des données électroniques se révèle porteur de fortes exigences tant pour les institutions européennes que pour les autorités nationales (3°).
1°/ - Un arrêt attendu : la question sensible de la conservation des données
7Que la directive 2006/24/CE ait été invalidée par la Grande Chambre de la Cour de Luxembourg le 8 avril 2014 dernier pourrait de prime abord surprendre.
8La CJUE, dans un arrêt rendu le 10 février 2009 (Irlande contre Parlement européen et Conseil de l’Union européenne, affaire C-301/06), n’avait-elle pas affirmé que « l’adoption de la directive 2006/24 sur la base de l’article 95 CE [actuel article 114 TFUE] s’imposait » (point 93) et que par là-même l’annulation de ce texte pour avoir été adopté sur le fondement d’une base juridique inappropriée ne pouvait être prononcée ? Une telle position de la Cour avait d’ailleurs de quoi étonner voire irriter, tant cette directive sur la conservation des données électroniques semblait moins s’inquiéter de la libre circulation des données (premier pilier) que de la promotion de la sécurité intérieure (troisième pilier), semblait moins intéresser le marché intérieur que l’Espace de Liberté, de Sécurité et de Justice (sur cette question, Henri Labayle, « La Cour de justice et la protection des données : quand le juge européen des droits fondamentaux prend ses responsabilités », 9 avril 2014).
9La CJUE, dans sa décision rendue dans les affaires jointes C-293/12 et C-594/12, n’a-t-elle pas asséné l’invalidité intégrale et immédiate de la directive 2006/24/CE de manière pour le moins radicale et inédite ? Le juge de Luxembourg mène en effet un examen tranchant et donne une conclusion cinglante : « cette directive comporte une ingérence dans ces droits fondamentaux d’une vaste ampleur et d’une gravité particulière dans l’ordre juridique de l’Union sans qu’une telle ingérence soit précisément encadrée par des dispositions permettant de garantir qu’elle est effectivement limitée au strict nécessaire » (point 65).
10Pourtant, tout observateur avisé des questions de protection des données électroniques à l’échelle européenne attendait avec impatience cette décision de la Cour, parce que la volonté en réalité ancienne des Etats de conserver les données de communication électroniques (A) ne manquait pas de poser un important et délicat problème de la compatibilité avec les exigences de protection des droits fondamentaux (B).
A – La conservation des données électroniques : une préoccupation ancienne
11Bien avant que l’Avocat Général Pedro Cruz Villalon ait présenté ses conclusions le 12 décembre 2013 qui invitait à la Cour a considéré la directive 2006/24/CE incompatible avec les articles 7 (respect de la vie privée) et 52 § 1 (encadrement de la limitation des droits reconnus) de la Charte des Droits Fondamentaux de l’Union Européenne, d’aucuns, tels l’organisation Statewatch, s’étaient intéressés à ce texte. Obligation était faite aux fournisseurs de services de communications électroniques accessibles au public ou de réseaux publics de communications de conserver les données électroniques en cause, afin de les rendre accessibles aux autorités nationales compétentes en matière de recherche, de détection et de poursuite d’infractions graves (article 1 § 1). Les sociétés de téléphonie et les fournisseurs d’accès internet d’une part, les associations de protection des droits en général et des droits des nouvelles technologies de l’information en particulier d’autre part, n’avaient pas manqué de s’inquiéter des implications de cette directive adoptée sous présidence anglaise dans l’émoi faisant suite aux attaques terroristes qui ont frappé Londres en juillet 2005.
12L’idée d’une conservation massive et pérenne des données électroniques est plus ancienne que les attentats de New York du 11 septembre 2001 : elle remonte aux “International Law Enforcement and Telecommunications Seminars” (ILETS) qui ont été menés dès 1993 à Quantico par le FBI. Et l’histoire de la directive 2006/24/CE commence bien avant les attentats de Londres et de Madrid : elle débute avec la résolution adoptée par le Conseil Justice et affaires intérieures en novembre 1993 (non publiée) qui appelait à comparer les besoins de l’UE en matière d’interception des télécommunications à l’image de celle envisagée par le FBI, et la résolution de janvier 1995 publiée en novembre 1996 sur l’interception légale des télécommunications imposant aux compagnies de téléphonies et aux fournisseurs d’accès de coopérer avec les autorités des Etats membres pour réaliser une surveillance en temps réel de leurs clients.
13Or, la question de la conservation des données électroniques était devenue un sujet sensible pour les autorités de l’Union européenne et de ses Etats membres, à raison de l’adoption de la directive 2002/58/CE du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques). En effet, celle-ci prévoyait que les compagnies de téléphonie et les fournisseurs d’accès effacent les données de télécommunications après que leurs clients ont payé leurs factures. D’où l’objectif d’instaurer une obligation de conservation des données ; d’où l’adoption de la directive 2006/24/CE modifiant la directive 2002/58/CE. Ainsi s’est imposé en Europe ce que des organisations comme l’American Civil Liberties Union, Privacy International et Statewatch ont appelé le “policy laundering” (à propos de l’intéressante histoire de la directive 2006/24/CE, voir le projet SECILE (Securing Europe through Counter-terrorism: Impact, Legitimacy and Effectiveness) dont Chris Jones présente certains des résultats dans son commentaire « Data retention: a landmark court of justice’s ruling (2). A bit of history: Background to the EU data retention directive », 7 avril 2014).
14Le problème de la difficile compatibilité de la conservation des données avec la protection des droits fondamentaux s’affirme que les organisations civiques en particulier mènent avec succès devant les juridictions nationales.
B – La compatibilité avec les droits fondamentaux : des contentieux multiples
15L’invalidation de la directive 2006/24/CE par la CJUE dans sa décision du 8 avril 2014 s’inscrit dans la lignée des décisions rendues par les cours suprêmes de différents Etats membres de l’Union (pour une présentation précise de ces décisions, Chris Jones & Ben Hayes, The EU Data Retention Directive: a case study in the legitimacy and effectiveness of EU counter-terrorism policy, Secile D2.4, 4 avril 2014, 50p. ; Chris Jones, « Data retention: a landmark court of justice’s ruling (3). A contentious saga: National legal challenges to the Data Retention Directive », 9 avril 2014).
16Rapidement des contentieux mettent en évidence dans certains Etats membres de l’Union les problèmes de compatibilité des législations nationales transposant la directive 2006/24/CE avec les dispositions constitutionnelles. Sont relevées les limitations portées à certains droits fondamentaux qui ne s’accompagnent pas de garanties appropriées et suffisantes pour en assurer la constitutionnalité ; sont condamnées les violations des droits fondamentaux, en particulier la liberté de circulation, le respect de la vie privée et familiale, le secret de la correspondance, la liberté d’expression, qui rendent de ce fait inconstitutionnelles les dispositions législatives nationales en cause. Les décisions s’enchainent : celle de la Cour suprême administrative de Bulgarie du 11 décembre 2008 (décision n°7) ; celle de la Cour Constitutionnelle de Roumanie du 8 octobre 2009 (décision n°1258) ; celle du Tribunal Constitutionnel Fédéral allemand du 2 mars 2010 (BVerfG, 1 BvR 256/08) ; celle de la Cour Suprême de Chypre du 1er février 2011 (demandes civiles 65/2009, 78/2009, 82/2009 et 15/2010-22/2010) ; celles de la Cour Constitutionnelle de la République Tchèque rendue pour la première le 22 mars 2011 (Pl. ÚS 24/10: Data Retention in Telecommunications Services) et rendue pour la seconde le 4 janvier 2012 (le texte de cette décision n’est pas disponible sur le site de la cours constitutionnelle tchèque mais des extraits peuvent être lus sur le blog de Martin Husovec). Or d’autres contentieux sont en instance devant la Cour Constitutionnelle hongroise à raison du recours introduit par la Társaság a Szabadságjogkért ou Hungarian Civil Liberties Union (TASZ ou HCLU), devant la Cour Constitutionnelle slovaque du fait d’un recours introduit par des parlementaires soutenus par le European Information Society Institute.
17Or, de telles décisions déclarant inconstitutionnelles les mesures nationales de transposition de la directive 2006/24/CE n’ont pas été sans incidence à l’échelle de l’Union européenne. En effet, la Commission s’est en effet attachée à obtenir des Etats ne disposant pas ou plus de dispositions nationales de transposition du texte qu’ils s’en dotent le plus rapidement possible, quitte à les menacer d’introduire des recours en manquement devant le Cour de Luxembourg. Des péripéties pour le moins cocasses en ont résulté : ainsi en Roumanie, la nouvelle législation de transposition de la directive 2006/24/CE s’est heurtée à de telles réticences et résistances des organisations de la société civile, du contrôleur national des données à caractère personnel, du gouvernement lui-même, que le ministre roumain des affaires européennes a été contraint de présenter le texte non pas comme membre du gouvernement mais comme membre du parlement !
18Des constatations de manquement pour défaut de transposition de la directive 2006/24/CE dans le délai imparti ont été prononcées par la CJUE à l’encontre de l’Irlande (CJUE, 26 novembre 2009, Commission contre Irlande, affaire C‑202/09), de Grèce (CJUE, 26 novembre 2009, Commission contre Grèce, affaire C‑211/09), l’Autriche (CJUE, 29 juillet 2010, Commission contre Autriche, affaire C-189/09), de la Suède (CJUE, 4 février 2010, Commission contre Suède, affaire C-185/09). Bien plus, la Suède a été condamnée au paiement d’une amende 3 millions d’euros (CJUE, 30 mai 2013, Commission contre Suède, affaire C-270/11) et l’Allemagne s’est vue signifier par la Commission l’introduction d’une requête en vue de sa condamnation au paiement d’une astreinte journalière de 315.036,54 euros (requête C-329/12 déposée le 11 juillet 2012).
19Attendue, la décision de la Cour de Justice l’était donc bien, et aux deux sens du terme : les divers acteurs impliqués (institutions européennes, autorités nationales, opérateurs privés, organisations civiques) étaient tous impatients de découvrir l’arrêt de la Cour, dont il était évident qu’il ne pourrait que conclure à la violation par la directive 2006/24/CE des dispositions de la Charte des Droits Fondamentaux de l’Union Européenne. Ce n’est pas tant la manière dont le juge de Luxembourg tente de louvoyer entre ses propres contradictions qui est à relever (voir la décision du 10 février 2009, Irlande contre Parlement européen et Conseil de l’Union européenne, affaire C-301/06, et les différentes constatations de manquement) ; c’est surtout la façon dont il impose avec radicalité et fermeté non seulement l’annulation de la directive 2006/24/CE, mais également la prohibition de la surveillance de masse. La décision du 8 avril 2014 dans les affaires jointes C-293/12 & C-594/12 est majeure.
2°/ - Un arrêt majeur : l’affirmation remarquable de la protection des droits
20La Grande Chambre de la CJUE, dans son arrêt du 8 avril sur les affaires Digital Rights Ireland Ltd & Michael Seitlinger e.a. (affaires jointes C-293/12 & C-594/12), procède avec méthode pour aboutir à une décision qui fera date (Steve Peers,, « Data retention: a landmark court of justice’s ruling (4). Will this saga continue and how ? », 8 avril 2014).
21La Cour relève sans difficulté que les dispositions de la directive 2006/24/CE relative à la conservation des données électroniques portent atteinte à certaines dispositions de la Charte des Droits Fondamentaux de l’Union Européenne.
22Est d’abord mise en cause la protection de la vie privée reconnue à l’article 7 de la Charte (points 25 & 34), qui est affectée « de manière directe et spécifique » (point 29) : est souligné par le juge que les « données, prises dans leur ensemble, sont susceptibles de permettre de tirer des conclusions très précises concernant la vie privée des personnes dont les données ont été conservées » (point 27), la Cour insistant d’ailleurs sur le fait qu’il importe peu que « les informations relatives à la vie privée concernées présentent ou non un caractère sensible ou que les intéressés aient ou non subi d’éventuels inconvénients en raison de cette ingérence » (point 33) ; est relevé par le juge que « l’accès des autorités nationales compétentes aux données constitue une ingérence supplémentaire dans ce droit fondamental » (point 35).
23Est ensuite mise en œuvre une dérogation aux exigences posées par l’article 8 de la Charte en matière de protection des données à caractère personnel (points 29 & 36), dont le régime est organisé par les directives 95/46 et 2002/58 relative au traitement des données à caractère personnel dans le secteur des communications électroniques (point 32). Or, aux yeux de la Cour, « la protection des données à caractère personnel, résultant de l’obligation explicite prévue à l’article 8, paragraphe 1, de la Charte, revêt une importance particulière pour le droit au respect de la vie privée consacré à l’article 7 de celle-ci » (point 53). La CJUE pose là une affirmation sans l’étayer : comme le relève Steve Peers, la CJUE semble ne avoir oser s’aventurer sur le terrain difficile de la différenciation entre respect de la vie privée et protection des données personnelles que certains auteurs de doctrine estiment pourtant fondamentale (Steve Peers, « Data retention: a landmark court of justice’s ruling (4). Will this saga continue and how ? », 8 avril 2014).
24Et le Cour de conclure suivant en cela les conclusions de l’avocat général : « l’ingérence que comporte la directive 2006/24 dans les droits fondamentaux consacrés aux articles 7 et 8 de la Charte s’avère […] d’une vaste ampleur » ; « elle doit être considérée comme particulièrement grave » ; « la circonstance que la conservation des données et l’utilisation ultérieure de celles-ci sont effectuées sans que l’abonné ou l’utilisateur inscrit en soient informés est susceptible de générer dans l’esprit des personnes concernées […] le sentiment que leur vie privée fait l’objet d’une surveillance constante » (point 37).
25Reste alors à la CJUE à accomplir l’essentiel : apprécier le respect de l’article 52 § 2 de la Charte en vertu duquel « toute limitation de l’exercice des droits et des libertés consacrés par celle-ci doit être prévue par la loi, respecter leur contenu essentiel et, dans le respect du principe de proportionnalité, des limitations ne peuvent être apportées à ces droits et libertés que si elles sont nécessaires et répondent effectivement à des objectifs d’intérêt général reconnus par l’Union ou au besoin de protection des droits et libertés d’autrui ». Les apports les plus importants de l’arrêt sont bien là : dans la reconnaissance de la poursuite d’un objectif d’intérêt général (A) ; dans l’appréciation du respect des principes de nécessité et de proportionnalité (B).
A – La reconnaissance d’un objectif d’intérêt général : formel versus matériel
26C’est assez rapidement qu’est traitée la question de savoir si la directive 2006/24/CE respecte le « contenu essentiel » des droits considérés. Le juge de Luxembourg répond positivement. D’une part parce que « la directive ne permet pas de prendre connaissance du contenu des communications électroniques en tant que tel » (point 39). D’autre part parce que les « fournisseurs de services de communications électroniques accessibles au public ou de réseaux publics de communications, principes selon lesquels les États membres veillent à l’adoption de mesures techniques et organisationnelles appropriées contre la destruction accidentelle ou illicite, la perte ou l’altération accidentelle des données » (point 40).
27La Cour poursuit son travail d’examen, mettant ainsi en évidence que le respect du contenu essentiel des droits n’est pas suffisant en soi, mettant ainsi en exergue l’impératif de répondre à toutes les exigences posées par l’article 52 § 2 de la Charte. Elle s’attache donc alors à vérifier que les atteintes aux droits fondamentaux constatées sont justifiées par la poursuite d’un objectif d’intérêt général.
28L’objectif général poursuivi semble relever pour le Cour de l’évidence (point 44) : il s’agit de « garantir la disponibilité de ces données à des fins de recherche, de détection et de poursuite d’infractions graves », donc « de contribuer à la lutte contre la criminalité grave et ainsi, en fin de compte, à la sécurité publique » (point 41), ce qui est présenté comme un « objectif d’intérêt général de l’Union » (point 42 ; voir CJUE, grande chambre, 23 novembre 2010, Tsakouridis, affaire C‑145/09, points 46 et 47). Ce faisant, tachant peut-être d’établir une cohérence entre ces décisions de 2009 et de 2014 sur la directive 2006/24/CE, la Cour établit une distinction qui ne manque pas d’amuser la doctrine : « l’objectif matériel » du texte ainsi défini se différencie pour le moins étrangement de l’objectif formel de la directive « destinée à harmoniser les dispositions des États membres relatives aux obligations desdits fournisseurs en matière de conservation de certaines données qui sont générées ou traitées par ces derniers » en application de l’article 95 TCE qui a été la base juridique de son adoption. Le juge reconnaîtrait-il donc incidemment que les finalités affichées par un texte ne correspondraient pas nécessairement aux intentions réellement déployées ? Quoiqu’il en soit, une affirmation du juge de Luxembourg est à souligner.
29Certes, il estime que « la lutte contre la criminalité grave, notamment contre la criminalité organisée et le terrorisme, est d’une importance primordiale pour garantir la sécurité publique et son efficacité peut dépendre dans une large mesure de l’utilisation des techniques modernes d’enquête » ; néanmoins, il ajoute immédiatement que « un tel objectif d’intérêt général, pour fondamental qu’il soit, ne saurait à lui seul justifier qu’une mesure de conservation telle que celle instaurée par la directive 2006/24 soit considérée comme nécessaire aux fins de ladite lutte » (point 51). Autrement dit, la lutte contre la criminalité organisée et contre le terrorisme, au nom de la préoccupation de sécurité intérieure, ne saurait autoriser des atteintes inutiles et inadéquates, inappropriées et injustifiées aux droits fondamentaux des citoyens européens. Comment ne pas se réjouir d’une telle affirmation qui vient à juste titre rappeler aux institutions européennes et aux Etats membres les limites posées à leur pouvoir de légiférer ! En effet, comme le rappelle la Cour, « dès lors que des ingérences dans des droits fondamentaux sont en cause, l’étendue du pouvoir d’appréciation du législateur de l’Union peut s’avérer limitée en fonction d’un certain nombre d’éléments, parmi lesquels figurent, notamment, le domaine concerné, la nature du droit en cause garanti par la Charte, la nature et la gravité de l’ingérence ainsi que la finalité de celle-ci » (point 47).
30Vient alors le moment pour la Cour de s’adonner au contrôle du respect des principes de nécessité et de proportionnalité, en s’assurant d’abord que les mesures adoptées sont bien nécessaires à la réalisation de l’objectif poursuivi, et ensuite que les dispositions en cause emportent des limitations des droits fondamentaux proportionnées d’une part à l’objectif poursuivi et d’autre part aux résultats escomptés.
B – L’appréciation des mesures énoncées : nécessité et proportionnalité
31La Cour de Luxembourg se livre à un contrôle strict : « compte tenu, d’une part, du rôle important que joue la protection des données à caractère personnel au regard du droit fondamental au respect de la vie privée et, d’autre part, de l’ampleur et de la gravité de l’ingérence dans ce droit que comporte la directive 2006/24, le pouvoir d’appréciation du législateur de l’Union s’avère réduit de sorte qu’il convient de procéder à un contrôle strict » (point 48). Il est toutefois à regretter le manque de rigueur et de clarté des points de l’arrêt qui portent sur l’examen par la Cour du respect par le législateur de l’Union européenne des principes de nécessité et de proportionnalité : les références à ces deux principes s’enchevêtrent au point d’amalgamer et d’obscurcir les définitions de la nécessité et de la proportionnalité que la rédaction de l’article 52 § 2 de la Charte n’aide au demeurant guère à cerner (points 46 et suivants).
32Pour ce qui est de la nécessité des mesures adoptées pour atteindre l’objectif fixé, la Cour admet que la conservation des données constitue « un instrument utile » en matière de poursuites pénales (point 49). Si l’on peut saluer le fait que le juge de Luxembourg n’ait pas considéré l’outil indispensable, on peut toutefois déplorer qu’il n’interroge pas un instant la prétendue utilité - pourtant sujette à caution - de la conservation des données électroniques pour lutter contre la criminalité organisée et le terrorisme
33En revanche, c’est de façon appliquée et insistante que la CJUE étudie la proportionnalité des dispositions de la directive à l’objectif matériel poursuivi. Est rappelée l’exigence pour le législateur européen de « prévoir des règles claires et précises régissant la portée et l’application de la mesure en cause et imposant un minimum d’exigences de sorte que les personnes dont les données ont été conservées disposent de garanties suffisantes permettant de protéger efficacement leurs données à caractère personnel contre les risques d’abus ainsi que contre tout accès et toute utilisation illicites de ces données » (point 54), cette exigence de prévoir de telles garanties étant « d’autant plus importante lorsque, comme le prévoit la directive 2006/24, les données à caractère personnel sont soumises à un traitement automatique et qu’il existe un risque important d’accès illicite à ces données » (point 55). Or, cet impératif n’est pas satisfait aux yeux du juge de l’Union par la directive 2006/24/CE, et ce pour trois raisons.
34Premièrement, le texte impose « la conservation de toutes les données relatives au trafic concernant la téléphonie fixe, la téléphonie mobile, l’accès à l’internet, le courrier électronique par Internet ainsi que la téléphonie par l’internet » et « couvre tous les abonnés et utilisateurs inscrits » (point 56), tant et si bien qu’elle « concerne de manière globale l’ensemble des personnes faisant usage de services de communications électroniques » (point 58), et par là même emporte « une ingérence dans les droits fondamentaux de la quasi-totalité de la population européenne » (point 56).
35Deuxièmement, le texte n’établit aucune limitation de l’accès aux données conservées des autorités nationales de sécurité (point 60), n’énonce aucune condition matérielle et procédurale pour l’exercice d’un tel accès (point 61), n’envisage aucun contrôle préalable par une juridiction ou une entité administrative indépendante (point 62).
36Troisièmement, le texte n’encadre pas la conservation des données durant la période de 6 mois à 2 ans établie, puisqu’il n’opère pas de distinction entre les données conservées en catégories conçues en fonction de leur de leur utilité éventuelle aux fins de l’objectif poursuivi ou selon les personnes concernées (point 63), n’impose pas de dispositifs « permettant d’assurer une protection efficace des données conservées contre les risques d’abus ainsi que contre tout accès et toute utilisation illicites de ces donnée » (point 66), n’exige aucunement la conservation des données sur le territoire de l’Union (point 68).
37Et la Cour de sanctionner bien logiquement une telle « absence générale de limites » (point 60) par l’annulation intégrale et immédiate de la directive 2006/24/CE, annulation dont les implications se révèlent très exigeantes tant pour les institutions européennes que pour les autorités nationales.
3°/ - Un arrêt exigeant : l’implication réelle de la protection des données
38Puisque la directive 2006/24/CE est déclarée invalide, le retour au statu quo ante s’impose : les ordres juridiques de l’Union Union et de ses Etats membres en reviennent à la situation antérieure à l’entrée en vigueur de la directive, donc à la situation existante au 31 décembre 2005. Les Etats membres n’ont plus l’obligation mais simplement la possibilité de demander aux opérateurs de téléphonie et aux fournisseurs d’accès de conserver les données de télécommunication électroniques aux fins de recherche, détection et poursuite d’infractions pénales.
39Toutefois, une telle conservation des données envisagée et réalisée au niveau national demeure dans le champ du droit de l’Union européenne qui exige le respect d’un certain nombre d’exigences, comme le met en évidence brillamment Steve Peers (« Are national data retention laws within the scope of the Charter? », 20 avril 2014). Les Etats membres ne peuvent pas exciper de l’invalidation de la directive 206/24/CE pour affirmer qu’ils n’ont pas plus à appliquer le droit de l’Union en matière de conservation des données.
40D’abord, parce que les Etats membres ont à respecter les exigences induites par la Charte des Droits Fondamentaux de l’Union Européenne, telles qu’interprétées par la CJUE en particulier dans l’arrêt ici étudié, en application de l’article 51 § 1 de la Charte. Comme le démontre Steve Peers, dès lors qu’un Etat Membre tend à déroger à des obligations que lui impose le droit de l’Union européenne, les éléments avancés pour justifier de telles mesures nationales doivent être appréciées à la lumière des principes généraux du droit et notamment des droits fondamentaux (CJUE, 18 juin 1991, ERT, affaire C-260/89, point 43 ; CJUE, 26 juin 1997, Familiapress, affaire C-368/95, point 24), et désormais à la lumière des dispositions de la Charte des Droits Fondamentaux de l’Union Européenne (CJUE, grande chambre, 26 février 2013, Fransson, affaire C-617/10, points 17 à 21 ; CJUE, 30 avril 2014, Pfleger, C-390/12, points 31 à 37). Une telle affirmation de la Cour s’imposant non seulement dans le domaine du marché intérieur, mais également dans celui de l’espace de liberté, de Sécurité et de Justice(CJUE, 26 juin 2006, Parlement contre Conseil, affaire C-540/03 ; CJUE, 4 mars 2010, Chakroun, affaire C-578/08).
41Ensuite, parce que les Etats membres ont à assurer l’application de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques). Or, il est utile de le rappeler, ce texte impose aux opérateurs de téléphonie et aux fournisseurs d’accès de détruire les données de communication électroniques dès que leurs clients ont réglé leurs factures. L’article 15 § 1 de la directive 2002/58/CE autorise les Etats Membres à adopter des mesures législatives visant à limiter la portée des droits et des obligations prévus par elle, mais en posant de strictes conditions. Reprenant une formulation chère à la Cour européenne des droits de l’homme, et renvoyant à l’article 13 § 1 de la directive 95/46/CE, le texte exige qu’ « une telle limitation constitue une mesure nécessaire, appropriée et proportionnée, au sein d'une société démocratique, pour sauvegarder la sécurité nationale - c'est-à-dire la sûreté de l'État - la défense et la sécurité publique, ou assurer la prévention, la recherche, la détection et la poursuite d'infractions pénales ou d'utilisations non autorisées du système de communications électroniques » et soit prévue « pendant une durée limitée ». Et de préciser in fine que « toutes les mesures visées dans le présent paragraphe sont prises dans le respect des principes généraux du droit communautaire, y compris ceux visés à l'article 6, paragraphes 1 et 2, du traité sur l'Union européenne ».
42Si l’arrêt rendu par la Grande Chambre de la Cour de Justice le 8 avril dans les affaires jointes C-293/12 & C-594/12 n’est donc pas sans emporter des obligations pour les Etats membres, il n’est évidemment pas sans induire des exigences pour les institutions européennes qu’il s’agisse pour elles de travailler à une nouvelle directive sur la conservation des données de communication électroniques (A) ou de concevoir une approche globale du traitement de ces données (B). Les députés du Parlement européen en sont pleinement conscients, comme en témoigne le débat qui a eu lieu le 16 avril 2014 sur les suites à donner à l’arrêt de la CJUE du 8 avril 2014 ; le Service Juridique du Conseil de l’Union européenne également, comme l’indique les propos tenus dans sa note d’information 9009/14 du 5 mai 2014 que Statewatch a publié ce vendredi 9 mai sur son site.
A – La rédaction d’une nouvelle directive : des indications précieuses
43L’élaboration d’une nouvelle directive sur la conservation des données de communications électroniques est envisageable, puisque la Cour dans sa décision du 8 avril admet qu’une telle possibilité soit organisée en vue de la lutte contre la criminalité organisée et contre le terrorisme, et à conditions de prévoir des garanties suffisantes. Si « la sécurité n'est pas un 'super droit' qui prévaut sur la protection des données » pour reprendre les propos tenus sur son compte twitter par Viviane Reding, vice-présidente de la Commission et responsable des droits fondamentaux, sa préservation permet toutefois de prévoir une conservation des données dans les limites pour le moins strictes énoncées par la Cour.
44A noter que, la directive ayant été intégralement invalidée, le travail législatif doit être repris depuis le début. Certes, quand un risque d’invalidation d’une norme de l’Union européenne existe, les services de la Commission ont pour habitude de travailler en amont, afin qu’un nouveau texte soit prêt à suivre la procédure législative afin de combler au plus vite le vide normatif éventuellement créé. Il y a tout lieu de penser que le texte est sur le métier depuis quelque temps, puisque Cecilia Malmström, commissaire en charge des Affaires intérieures, a fait savoir dans un communiqué de presse du 8 avril 2014 que la décision de la Cour confirme les conclusions du rapport d'évaluation de la Commission de 2011 sur la mise en œuvre de la directive sur la conservation des données qui critiquait tout particulièrement le défaut de proportionnalité des mesures adoptées à l’objectif poursuivi (Commission européenne, CP/14/113, 8 avril 2014).
45Si les services de la Commission sont au travail pour élaborer une nouvelle directive sur la conservation des données, il leur faut désormais relire leur copie afin que la proposition de texte suive scrupuleusement les indications nombreuses et précises que la Cour donne au fil de son arrêt du 8 avril. Or le cahier des charges ainsi posé est strict.
46D’abord, le texte ne saurait permettre une conservation globale des données, car il ne saurait être question d’instaurer de nouveau « une ingérence dans les droits fondamentaux de la quasi-totalité de la population européenne » (point 56), car il ne saurait être question d’établir de nouveau un système de surveillance de masse si nettement condamnée par le juge de l’Union. C’est avec insistance que la CJUE pose la nécessité de concevoir une conservation des données qui soit ciblée. Pour ce faire, quelques pistes sont fournies qui invitent à opérer des distinctions, à catégoriser les données, selon les clients des opérateurs de téléphonie et de fournisseurs d’accès et selon la nature des informations conservées, afin que ne puissent être conservées que les données pouvant être d’une éventuelle utilité pour la poursuite de l’objectif poursuivi (points 59 & 63). Et la Cour sur ce point d’appeler à une définition plus précise de cet objectif, la notion d’infractions pénales dont la recherche, la détection ou la poursuite justifient la conservation des données demande à être minutieusement spécifiée, tant sont importantes les différences qualification d’une même infraction dans les ordres juridiques répressifs des différents Etats Membres de l’Union.
47Ensuite, le texte ne saurait autoriser un accès illimité des autorités nationales aux données. Le juge de Luxembourg, dans son arrêt Digital Rights Ireland Ltd & Michael Seitlinger e.a., pose en la matière des exigences claires et nettes : des dispositions sont indispensables pour « délimiter l’accès des autorités nationales compétentes aux données et leur utilisation ultérieure à des fins de prévention, de détection ou de poursuites pénales concernant des infractions » (point 60), pour « poser des conditions matérielles et procédurales d’accès des autorités aux données » (point 61), pour « établir un critère objectif permettant de limiter le nombre de personnes disposant de l’autorisation d’accès et d’utilisation ultérieure des données conservées au strict nécessaire au regard de l’objectif poursuivi » (point 62), pour imposer « un contrôle préalable effectué soit par une juridiction, soit par une entité administrative indépendante dont la décision vise à limiter l’accès aux données et leur utilisation à ce qui est strictement nécessaire aux fins d’atteindre l’objectif poursuivi et intervient à la suite d’une demande motivée de ces autorités présentée dans le cadre de procédures de prévention, de détection ou de poursuites pénales » (point 62).
48Enfin, le texte ne saurait se dispenser de garantir la sécurité des données conservées. Est-il utile d’insister sur le fait que la Cour n’a guère apprécié que la directive 2006/24/CE« ne garantit pas que soit appliqué par lesdits fournisseurs un niveau particulièrement élevé de protection et de sécurité par des mesures techniques et organisationnelles » puisqu’elle « autorise notamment ces fournisseurs à tenir compte de considérations économiques lors de la détermination du niveau de sécurité qu’ils appliquent, en ce qui concerne les coûts de mise en œuvre des mesures de sécurité » (point 37) ? Qu’on se le dise une nouvelle directive sur la conservation des données aura à garantir « une protection efficace des données conservées contre les risques d’abus ainsi que contre tout accès et toute utilisation illicites de ces données » (point 66), à organiser « la destruction irrémédiable des données au terme de la durée de conservation de celles-ci » (point 67), et à exiger « la conservation des données sur le territoire de l’Union » (point 68) afin de garantir un contrôle de l’utilisation de ces données sur la base du droit de l’Union. La préoccupation de la Cour est sur ce dernier point est évidente : éviter que le traitement des données conservées ne relèvent pas du champ du droit de l’Union dont le respect « constitue un élément essentiel du respect de la protection des personnes à l’égard du traitement des données à caractère personnel » (point 68).
49Au regard de ses nombreuses et précises exigences, on en vient à se demander si le dispositif, qui est envisagé en Allemagne, et qui vaut à la république fédérale d’être poursuivie par la Commission pour être condamnée au paiement d’astreintes journalières, n’est pas le seul modèle qui en Europe soit conforme aux dispositions de la Charte des Droits Fondamentaux de l’Union Européenne telles qu’interprétées par la CJUE dans son arrêt du 8 avril (Peter Schaar, “Data Retention: a landmark Court of Justice’s ruling(5). From now on, no more “just in case ” retention of data”, 10 avril 2014). Le ministre allemand de la justice a en effet proposé en janvier 2011 une alternative à la conservation des données : le système de “quick freeze” permet, quand les circonstances l’exigent, de maintenir disponibles pour une période limitée de 7 jours les seules données concernant les procédures pénales en cours, un juge devant intervenir pour autoriser les autorités de police à y accéder. Si le système peut séduire, son adoption rencontre des difficultés : gouvernement et parlement allemands ne parviennent pas à se mettre d’accord sur la détermination des infractions pénales justifiant un accès aux données de communication électroniques ainsi « sécurisées » (si un accord a été aisément trouvé pour ce qui est du meurtre ou de la pédophilie, tel n’est pas le cas pour la fraude ou le hacking). Le texte est donc toujours à l’examen.
50Or, les indications données par la Cour en matière de protection des droits fondamentaux en matière de conservation des données de communications électroniques n’emportent pas des implications pour la seule rédaction d’une éventuelle nouvelle directive, mais encore pour la conception d’une approche globale du traitement informatisé des données à caractère personnel à l’échelle de l’Union.
B – La conception d’une approche globale : des données protégées
51Que l’on pense à la réforme globale de la protection des données en Europe : le Parlement européen a adopté le 12 mars 2014 d’une part la proposition de directive du Parlement européen et du Conseil relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données (COM/2012/010 final - 2012/0010 (COD)) ; d’autre part la proposition de règlement du Parlement européen et du Conseil relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, COM/2012/011 final - 2012/0011 (COD)) (pour une analyse de cette réforme, voir Didier Bigo & alii, Towards a New EU Legal Framework for Data Protection and Privacy, European Parliament, Directorate General for Internal Policies, Policy Deparment C: Citizens’s Rights and Constitutional Affairs, 2011, 157p.
52Les dispositions de ces nouveaux textes visent à renforcer la protection des données à caractère personnel des citoyens européens. Comment ? En introduisant l’obligation pour les moteurs de recherche, les réseaux sociaux, les fournisseurs d’accès, les services clouds, et autres entités exerçant une activité au sens donné à ce terme par le droit de l’Union (y compris donc les associations, les entreprises de service public, etc.) d'obtenir le consentement libre, informé et explicite de la personne concernée avant de traiter les données à caractère personnel détenues ; en imposant à tous les opérateurs de demander une autorisation préalable à l’autorité nationale de protection des données avant de communiquer les données personnelles de citoyens européens à un pays tiers ; en consacrant le droit des individus à l’effacement des données ; en encadrant strictement la pratique du profilage qui consiste à analyser voir à prévoir les comportements d’un individu (on aurait en réalité bien envie d’employer plutôt le terme de « prédire » en pensant aux agents de l’autorité Precrime et aux individus précognitifs dont Philip K. Dick offrent une présentation plus qu’intéressante dans sa nouvelle Minority Report); en affirmant le principe du privacy by design & privacy by default qui impose aux opérateurs d’intégrer les exigences du respect de la vie privée dans la conception et l’utilisation des systèmes et des réseaux informatiques ; en exigeant la nomination d'un délégué à la protection des données dans toute entité dès lors que ses services concernent plus de 5000 individus ; en considérant l’autorité nationale en charge de la protection des données comme le guichet unique, comme l’interlocuteur unique à l’échelle européenne sur le sujet.
53De telles avancées en faveur d’une protection consolidée des droits fondamentaux en matière de traitement des données se sont évidemment heurtées aux réticences et résistances du Conseil. Le rapporteur sur la directive relative à la protection des données personnelles à des fins répressives, Dimitrios Droutsas (S&D, EL), s’est montré pour le moins irrité du comportement de certains Etats membres qui ont ainsi rendu impossible l’adoption de la réforme avant la fin de la législature de l’actuel Parlement. En effet, Viviane Reding, se montrant pour me moins étrangement optimiste, a annoncé le 27 janvier 2014 tabler sur un accord au Conseil JAI de juin 2014, sur la conduite de négociations en trilogue avec le Parlement européen nouvellement constitué qui commenceraient début juillet sous présidence italienne en vue de la conclusion d’un accord à l’automne et, au final sur l’adoption de la réforme en décembre 2014. Las ! On peut bien plutôt parier sur un enterrement de la réforme sous la pression conjointe de grands Etats Membres, tels la France et la l’Allemagne.
54Car les implications de la décision de la Cour du 8 avril 2014 portent encore plus loin que cette réforme globale de la protection des données dans l’Union européenne ! La référence faite par le juge de Luxembourg à la conservation des données de communications électroniques en dehors du territoire de l’Union (point 68) est une allusion à peine dissimulée à la problématique pour le moins sensible des transferts de données entre l’UE et les USA (Sophie Clavet, « Les conséquences de l’accord Passenger Name Record sur la protection des droits fondamentaux en Europe », Droits Fondamentaux, n°8, janvier 2010 ; Sylvie Peyrou, « De l’accord PNR à Prism, bilan et perspectives sur les malentendus transatlantiques : lutte anti-terroriste versus protection des données personnelles », 11 septembre 2013).
55Et là, les questions sont nombreuses qui semblent toutes plus épineuses les unes que les autres à aborder (sur la question de la compatibilité avec le droit de l’Union européenne des programmes de surveillance des données à caractère personnel en vigueur dans les Etats membres, nous recommandons la lecture de l’étude dirigée par Didier Bigo, National programmes for mass surveillance of personal data in EU member States and their compatibility with EU law, European Parliament, Directorate General for Internal Policies, Policy Deparment C: Citizens’s Rights and Constitutional Affairs, 2013, 79p.).
56Quid du programme PNR (European Passenger Name Records) qui serait amené à traiter les données de quelques 500 millions à 1,5 milliard de personnes par an (Fundamental Rigths Agency ? Quid du Entry Exit System qui prévoit l’enregistrement des empreintes dactyloscopiques des 10 doigts de tous les voyageurs entrant et sortant du territoire d’un des Etats membres de l’Union ? Quid du système ESTA (European Electronic System of Travel Autorisation) ? Quid du système RTP (Register Traveller Programme) ? Quid du Système d’Information Schengen SIS II ? Quid du système VIS (Visa Information System) ? Quid du système Eurodac d’enregistrement des empreintes digitales des demandeurs d’asile ? Quid de la mise en interopérabilité de toutes les données à caractère personnel des ressortissants de pays tiers qui sont collectées, stockées, transférées, exploitées par ces différents systèmes informatiques à la faveur de la mise en place d’Eurosur géré par l’Agence Frontex ?? (Sur les base de données dans le domaine de la justice et des affaires intérieures, Didier Bigo & alii, Evaluating Current and Forthcoming proposals on JHA Databases and a Smart Borders System at the EU External Borders, European Parliament, Directorate General for Internal Policies, Policy Deparment C: Citizens’s Rights and Constitutional Affairs, 2012, 197p.)
57La note d’information 9009/14 sur la décision de la CJUE du 8 avril 2014 établie par le Service Juridique du Conseil de l’Union européenne et mise en ligne par Statewatch sur son site le 5 mai 2014 dernier laisse penser que les Etats membres sont bien conscients qu’ils ne peuvent désormais se soustraire aux exigences de protection des droits fondamentaux en matière de traitement des données à caractère personnel, fusse au titre de la préservation de la sécurité intérieure, que soit invoquée la lutte contre la criminalité organisée, la lutte contre le terrorisme ou bien la lutte contre l’immigration régulière. Les chantiers de mise en conformité de tous ces dispositifs avec les dispositions de la Charte des Droits Fondamentaux de l’Union Européenne s’annoncent pour le moins énormes et complexes, auxquels - il faut l’espérer ardemment - les institutions tant européennes que nationales de même que les organisations civiles et les partis politiques devraient accorder un intérêt constant et une attention sourcilleuse.
*
58CJUE, Grande Chambre, 8 avril 2014, Digital Rights Ireland Ltd & Michael Seitlinger e.a., affaires jointes C-293/12 & C-594/12.
*
Les Lettres « Actualités Droits-Libertés » (ADL) du CREDOF (pour s’y abonner) sont accessibles sur le site de la Revue des Droits de l’Homme (RevDH) – Contact
Pour citer cet article
Référence électronique
Marie-Laure Basilien-Gainche, « Une prohibition européenne claire de la surveillance électronique de masse », La Revue des droits de l’homme [En ligne], Actualités Droits-Libertés, mis en ligne le 14 mai 2014, consulté le 27 avril 2025. URL : http://journals.openedition.org/revdh/746 ; DOI : https://doi.org/10.4000/revdh.746
Haut de pageDroits d’auteur
Le texte et les autres éléments (illustrations, fichiers annexes importés), sont « Tous droits réservés », sauf mention contraire.
Haut de page