Par un arrêt du 21 décembre 2016, la Cour de justice de l’Union européenne (CJUE) a interdit aux États d’imposer la conservation « généralisée et indifférenciée » des données personnelles par les opérateurs de télécommunication. Cette nouvelle exigence s’inscrit dans une série de jurisprudences encadrant l’accès et l’exploitation des données liées aux communications électroniques par les États membres.

La Directive n°2202/58 relative à la protection des données personnelles imposait aux prestataires de services de communications électroniques de conserver « les données permettant d’identifier l’abonné appelant ». En 2014, la directive a été intégralement invalidée par l’arrêt Digital Rights Ireland. La CJUE a considéré que cette obligation générale était disproportionnée au regard notamment du principe général du droit à la protection des données personnelles.L’arrêt du 21 décembre 2016 s’inscrit dans la continuité, incitant la Commission européenne à renforcer les mesures protectives de la vie privée, invitant le Parlement et le Conseil à modifier la législation au plus tard en mai 2018 (communiqué de presse du 10 janvier 2017).

En l’espèce, l’affaire concernait un fournisseur de services de communications électroniques Tele2Sverige, établi en Suède, qui a communiqué aux autorités nationales qu’elle cessera de conserver les données. Suite à une injonction lui interdisant cette cessation, Tele2Sverige a introduit un recours juridictionnel devant le juge administratif, qui l’a déboutée. En appel, la juridiction a ainsi formulé une question préjudicielle à la CJUE, afin de savoir si l’obligation de conserver des données relatives aux communications électroniques était compatible avec la Directive, à la lumière de la Charte des droits fondamentaux de l’UE.

En premier lieu, la CJUE rappelle sa jurisprudence constante, notamment les arrêts Digital Rights Ireland – prohibant la surveillance électronique de masse, Google Spain – consacrant un droit à l’oubli, et Schrems – annulant la décision 2000/520 de la Commission dite « Safe Harbor ». Dans le nouvel arrêt Tele2Sverige, la CJUE fait de nouveau preuve de volonté de veilleur au respect des droits fondamentaux inscrits dans la Charte des droits fondamentaux de l’UE.

La Cour constate ainsi que la protection de la confidentialité des communications électroniques et le transfert des données garanties par la directive s’appliquent aux mesures entreprises par toute personne, incluant la réglementation nationale émise par un Etat. La CJUE confirme également que les données conservées permettent de tirer des conclusions très précises sur la vie privée des personnes, sans les avoir informées. Seule la lutte contre la criminalité grave est susceptible de justifier une telle ingérence.La CJUErèleve par conséquent  qu’une conservation « généralisée et indifférenciée » « excède les limites du strict nécessaire et ne saurait être considérée comme étant justifiée dans une société démocratique, ainsi que l’exige la directive lue à la lumière de la Charte ».

En second lieu, les juges précisent qu’à titre préventif, et uniquement dans le but de lutte contre la cybercriminalité, les États membres peuvent conserver ces métadonnées. Les catégories de données en question, les moyens de communication visés, les personnes concernées, ainsi que la durée de conservation doivent être « limitées au strict nécessaire », précise la Cour.Pour cela, la législation nationale doit soumettre la collection et la conservation par les fournisseurs aux conditions matérielles et procédurales, fondées sur des critères objectifs. L’une des exigencesimposées est un contrôle préalable de l’accès par une autorité indépendante. En outre, les données en cause ne doivent être conservées que sur le territoire de l’Union.

Il s’agit d’une nouvelle jurisprudence de principe qui est susceptible de produire des effets considérables en droit franҫais. Une semaine après la déclaration de la modification de la Directive par la Commission,dans une question publiée sur le site de l’Assemblée nationale, le ministre de la justice franҫais a été interrogé sur la portée de cet arrêt. Le député a mis en doute la validité des procédures initiées au niveau national et a sollicité une révision. Il convient ainsi d’attendre la réponse de ministère pour savoir si une mise en conformité du droit national aura lieu prochainement en France.