Techniques de renseignement : quand le Conseil d’État invite la CJUE à revoir sa jurisprudence

Le Conseil d’État a renvoyé, le 26 juillet 2018, à la Cour de justice de l’Union européenne (CJUE) trois questions sur la conformité au droit de l’Union des dispositions du code de la sécurité intérieure relatives à la conservation des données de connexion. Ce faisant, il invite assez clairement la Cour de Luxembourg à revoir sa jurisprudence sur cette question.

Ce renvoi intervient dans le cadre des recours de plusieurs associations contre quatre décrets relatifs aux techniques de renseignement. Ce litige a déjà donné lieu à une décision du Conseil constitutionnel déclarant contraire à la Constitution l’article L. 811-5 du code de la sécurité intérieure (Cons. const. 21 oct. 2016, n° 2016-590 QPC, AJDA 2017. 752 , note E. Debaets ; ibid. 2016. 2015 ; D. 2016. 2120 ; ibid. 2017. 1328, obs. N. Jacquinot et R. Vaillant ; Constitutions 2016. 653, chron. O. Le Bot ; ibid. 713, chron. ). Toutefois, les juges de la rue de Montpensier ont reporté dans le temps l’effet de cette déclaration. Elle est donc, juge le Conseil d’État, sans incidence sur le litige.

Il devait examiner, en revanche, les moyens des parties tirés de l’inconventionnalité de plusieurs dispositions législatives du code de la sécurité intérieure au regard de la directive 2002/58/CE concernant le traitement des données à caractère personnel et la protection de la vie privée.

Obligations pesant sur les fournisseurs

Il écarte le moyen d’inconventionnalité pour certaines des dispositions critiquées. En effet, « il résulte clairement de la directive du 12 juillet 2002 que ne relèvent pas de son champ les dispositions des articles L. 851-5 et L. 851-6, ainsi que celles des chapitres II, III et IV du titre V du livre VIII du code de la sécurité intérieure, dès lors qu’elles portent sur des techniques de recueil de renseignement qui sont directement mises en œuvre par l’État sans régir les activités des fournisseurs de services de communications électroniques en leur imposant des obligations spécifiques ». Les requêtes sont donc rejetées en ce que les décrets critiqués appliquent ces dispositions législatives.

En revanche relèvent du champ d’application de l’article 15, paragraphe 1, de la directive « tant l’obligation de conservation induite par les dispositions […] de l’article L. 851-1 du code de la sécurité intérieure que les accès administratifs aux données de connexion, y compris en temps réel, qui la justifient, prévus aux articles L. 851-1, L. 851-2 et L. 851-4 de ce code. Il en va de même des dispositions de l’article L. 851-3 du code de la sécurité intérieure qui, si elles ne font pas peser sur les opérateurs et personnes concernés une obligation préalable de conservation, leur imposent cependant de mettre en œuvre sur leurs réseaux des traitements automatisés destinés à détecter des connexions susceptibles de révéler une menace terroriste ».

Or la CJUE, dans son arrêt Tele2 Sverige (21 déc. 2016, aff. C-203/15, Dalloz actualité, 2 janv. 2017, obs. M.-C. de Montecler ; ibid. 2017. 1106, chron. E. Broussy, H. Cassagnabère, C. Gänser et P. Bonneville ; D. 2017. 8 ; ibid. 2018. 1033, obs. B. Fauvarque-Cosson et W. Maxwell ; Dalloz IP/IT 2017. 230, obs. D. Forest ; RTD eur. 2017. 884, obs. M. Benlolo Carabot ; ibid. 2018. 461, obs. F. Benoît-Rohmer ; Rev. UE 2017. 178, étude F.-X. Bréchot ), a jugé que la directive interdit « une conservation généralisée et indifférenciée de l’ensemble des données relatives au trafic et des données de localisation de tous les abonnés et utilisateurs inscrits concernant tous les moyens de communication électronique ».

Une « utilité sans équivalent »

Pourtant, relève le Conseil d’État, dans un contexte « marqué par des menaces graves et persistantes pour la sécurité nationale, tenant en particulier au risque terroriste, une telle conservation présente une utilité sans équivalent par rapport au recueil de ces mêmes données à partir seulement du moment où l’individu en cause aurait été identifié comme susceptible de présenter une menace pour la sécurité publique, la défense ou la sûreté de l’État ». C’est pourquoi il demande à la CJUE si une telle obligation imposée aux fournisseurs ne doit pas être regardée « comme une ingérence justifiée par le droit à la sûreté garanti à l’article 6 de la Charte des droits fondamentaux de l’Union européenne et les exigences de la sécurité nationale, dont la responsabilité incombe aux seuls États membres en vertu de l’article 4 du traité sur l’Union européenne ».

La Cour est également invitée à se prononcer sur la conventionnalité de mesures de recueil en temps réel des données relatives au trafic et à la localisation d’individus. Enfin, le Conseil d’État souhaite savoir si l’information des personnes concernées est nécessaire à la régularité des procédures.