La Cour de Justice de l’UE (CJUE) a rendu, mardi 20 septembre, un arrêt (affaires jointes C-793/19 et C-794/19) dans lequel elle estime que le droit de l’UE s’oppose à une conservation généralisée et indifférenciée des données relatives au trafic et des données de localisation, sauf en cas de menace grave pour la sécurité nationale.
La CJUE avait été consultée par la Cour administrative fédérale allemande, qui voulait savoir si le droit de l’Union s’opposait à une législation nationale telle que la TKG allemande, en vigueur depuis juillet 2017. Cette loi impose aux fournisseurs des services de communications électroniques accessibles au public la conservation « généralisée et indifférenciée » de certaines données pour une durée de plusieurs semaines à des fins de répression des infractions pénales graves ou de prévention d’un risque concret pour la sécurité nationale.
Saisie par les entreprises SpaceNet et Telekom Deutschland, qui contestaient la validité de la TKG, la justice allemande s’interrogeait notamment sur le fait que les durées de conservation imposées par la loi allemande - quatre semaines pour les données de localisation et dix pour celles relatives au trafic - étaient plus courtes que celles des autres réglementations nationales ayant conduit aux arrêts antérieurs de la CJUE les retoquant.
Outre ces durées de conservation moindres, qui auraient pu réduire la possibilité de tirer des conclusions précises concernant la vie privée des personnes concernées, la TKG inclut également des dispositions visant à protéger les données conservées contre les risques d’abus et d’accès illicite.
Cela n'est pas suffisant pour la CJUE, qui a estimé que l’obligation de conservation de la TKG s’étend à un nombre très large de données, correspondant à celles ayant conduit aux précédents arrêts rendus. Par ailleurs, sur la question de la durée, la CJUE a jugé que les périodes prévues de dix et quatre semaines étaient suffisamment longues pour permettre de tirer des conclusions précises quant à la vie privée des gens, leurs habitudes, leurs déplacements, leurs activités ou leurs relations sociales dans le but d’établir un profil précis des personnes concernées.
Si la CJUE juge la TKG contraire au droit de l’UE, elle rappelle toutefois que celui-ci ne s’oppose pas à une législation nationale qui permettrait une conservation des données généralisée et indifférenciée pour faire face à une menace grave pour la sécurité nationale, « réelle, actuelle ou prévisible ».
Une telle injonction, précise la CJUE, peut être contrôlée par une juridiction ou par une entité administrative indépendante et ne peut être émise que pour une période « temporellement limitée au strict nécessaire, mais renouvelable » si cette menace persiste.
Le droit de l’UE ne s’oppose pas non plus aux législations nationales limitées dans le temps qui permettent des opérations « délimitées » de conservation ciblée des données relatives au trafic, des données de localisation et des adresses IP « sur la base d’éléments objectifs et non discriminatoires », en fonction de catégories de personnes concernées ou au moyen d’un critère géographique, à des fins de sauvegarde de la sécurité nationale et de lutte contre la grande criminalité.
Voir l’arrêt : https://aeur.eu/f/36i (Thomas Mangin)