Expertises des Systèmes d'information - Juillet/Août 2021 - N°470 - Le mensuel du droit de l'informatique et du multimédia - 279

DOCTR INE
DONNÉES PERSONNELLES
Conservation généralisée
des données, chroniques
d'une acrobatie juridique
Par une décision pragmatique du 21 avril 2021, le
Conseil d'Etat a finalement validé l'essentiel du régime
français de conservation généralisée des données ainsi
qu'une partie de la loi Renseignement de 2015, tout en
sommant le gouvernement de se conformer à plusieurs
modifications formelles aux exigences posées par la
Cour de justice de l'Union européenne (CJUE).
L
e 21 avril, le Conseil d'Etat
s'est astreint à un exercice
d'équilibre dans un arrêt
qui donne le vertige. Déjà
par la hauteur de ses enjeux, car
c'était
la validité du dispositif de
conservation généralisée des
données ainsi qu'une partie de la
loi Renseignement de 2015 qui était
contestée. Vertige ensuite devant
l'exercice de pirouette juridique
que la juridiction administrative
s'est imposé. Le Gouvernement a
tremblé mais applaudi la prouesse
car l'essentiel du dispositif n'est pas
tombé. Le Conseil d'Etat, funambule
aguerri, assure même la
conformité formelle de sa décision
aux exigences posées par la Cour
de justice de l'Union européenne
(CJUE).
Le contexte
A titre introductif, il convient de
rappeler que le dispositif contesté
est celui de la conservation généralisée
et indifférenciée des données
de connexion ainsi que l'accès et
le traitement de ces données par
les services de renseignement.
La conservation généralisée des
données de connexion résulte
à la fois de l'article L.34-1 du code
des postes et communications
Ces données doivent être conservées
un an et pour simplifier, elles
peuvent être accessibles à l'autorité
judiciaire pour la recherche ou la
poursuite d'une infraction pénale.
Par ailleurs, ces bases de données
sont également accessibles à
plusieurs administrations dont les
services de renseignement pour
la défense des intérêts fondamentaux
de la Nation2
peuvent
également
. Ces derniers
demander
EXPERTISES JUILLET 2021
électroniques (CPCE) et de l'article
6,II de la loi pour la confiance dans
l'économie numérique (LCEN).
Le premier oblige les opérateurs
de communications électroniques
(ex : Free, Orange, Numéricable,
etc.) à conserver les données techniques
de connexion (identification
utilisateur, données relatives à
l'équipements, données permettant
d'identifier le ou les destinataires
de la communication, des
données relatives à la localisation
de la communication, etc.)1
.
Le second oblige les fournisseurs
d'accès internet (FAI) et les hébergeurs
de contenus à conserver les
données nécessaires à l'identification
des personnes créant, modifiant
ou supprimant des contenus
en ligne.
l'accès aux données de connexion
ou de géolocalisation en temps réel
ou encore mettre en œuvre des
traitements d'analyse automatisés
sur des réseaux de communication
aux fins de rechercher une menace
terroriste (les fameuses « boîtes
noires »).
C'est l'ensemble de ce système qui
était contesté par les associations
requérantes et l'opérateur Free, en
ce qu'il permettrait une intrusion
trop grave à la vie privée sans que
les objectifs poursuivis ne puissent
la justifier.
L'opposition
Pour comprendre les enjeux ainsi
que l'exercice de style auquel se
sont prêtés les juges administratifs,
il faut revenir quelques années
en arrière.
Notre affaire commence en 2015,
année au cours de laquelle a été
introduite la première requête
visant à faire annuler le dispositif
présenté3
.
A cette époque, la mise en place de
ce système de conservation et de
surveillance ne semble pas poser
de difficulté particulière au regard
du droit de l'Union européenne. Il
faut comprendre que la directive
279

Expertises des Systèmes d'information - Juillet/Août 2021 - N°470 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Juillet/Août 2021 - N°470 - Le mensuel du droit de l'informatique et du multimédia