Expertises des Systèmes d'information - Juillet/Août 2021 - N°470 - Le mensuel du droit de l'informatique et du multimédia - 280

DOCTR INE
e-privacy qui impose par principe
la confidentialité des communications
électroniques, exclut de son
champ d'application les activités
concernant la sécurité publique,
et les activités de l'État dans des
domaines relevant du droit pénal4
.
Par ailleurs, son article 15 permet
aux États membres d'adopter des
mesures législatives limitant la
confidentialité des communications
et des données relatives au
trafic notamment pour sauvegarder
la sécurité nationale, la défense de
la sécurité publique ou la prévention,
la recherche et la détection des
infractions pénales. L'État ne pense
donc pas pouvoir être inquiété sur
ce terrain.
C'était sans compter sur la jurisprudence
de la CJUE qui est venue
préciser dans son arrêt « Télé2 » du
21 décembre 20165
que la directive
e-privacy était bien applicable aux
obligations de conservation des
données imposées aux opérateurs
de communications électroniques.
L'exclusion des activités de sécurité
publique et relevant du droit pénal
ne concerne donc que les traitements
directement mis en place
par l'Etat.
En conséquence, la Cour interprète
l'article 15 de la directive comme
faisant obstacle à ce qu'une « réglementation
nationale prévoyant, à
des fins de lutte contre la criminalité,
une conservation généralisée et
indifférenciée de l'ensemble des
données relatives au trafic et des
données de localisation de tous
les abonnés et utilisateurs inscrits
concernant tous
les moyens de
communication électronique. »
Elle est tout aussi ferme concernant
l'accès aux données relatives au
trafic et de localisation qui doit être
limité à la lutte contre la criminalité
grave et soumis à une autorisation
préalable d'une juridiction
ou d'une autorité administrative
indépendante.
Voilà donc le Conseil d'Etat dans
l'embarras car les dispositions françaises
ne semblent pas conformes à
ces limitations strictes.
280
La Quadrature du net, Igwan.net
et les associations demanderesses
ainsi que la société Free exultent.
L'édifice tremble, ses appuis juridiques
sont fragilisés.
Pourtant, décidé à sauver ce qui
peut l'être, le Conseil d'Etat va
tenter de faire infléchir les juges de
l'Union.
Le dialogue
Quoi de mieux pour ouvrir la
discussion que de poser des questions
? C'est exactement ce qu'a fait
le Conseil d'Etat le 26 juillet 2018
dans cette affaire en soumettant
cinq questions préjudicielles à la
CJUE.
Au travers de ses réponses aux
différentes questions, la CJUE dans
un arrêt rendu du 6 octobre 20207
, va
préciser sa jurisprudence et établir
une matrice permettant de déterminer
certaines ingérences pouvant
être envisagées en fonction :
■ du niveau de gravité de ces
dernières qui varie au regard des
données concernées et du traitement
envisagé. Trois niveaux
sont déterminés :
1. non grave,
2. grave,
3. particulièrement grave,
EXPERTISES JUILLET 2021
Non seulement la loi impose aux
opérateurs
de
communications
électroniques, aux FAI et aux hébergeurs
la conservation généralisée
de données techniques pendant
une durée d'un an, mais en plus,
l'accès à ces données par les
services de renseignements n'est
pas soumis à l'autorisation d'une
juridiction ou d'une autorité administrative
indépendante. Seul un
avis non contraignant auprès de la
Commission nationale de contrôle
des techniques de renseignement
(CNCTR) doit être recherché, et
encore, lorsque l'urgence ne justifie
pas que l'on s'en passe6
.
Dans le même sens,
des «boîtes noires »,
l'utilisation
telles que
prévues par l'article L.851-3 du
code de la sécurité intérieure, ne
semble pas non plus satisfaire à ces
exigences.
Logiquement, elle en déduit que
celle-ci peut être effectuée pour les
trois finalités précitées : lutte contre
la criminalité générale, contre la
criminalité grave, et prévention
des menaces contre la sécurité
nationale.
Concernant la conservation généralisée
et indifférenciée de l'adresse
IP, la Cour estime qu'il s'agit d'une
ingérence grave qui ne peut donc
être
autorisée
qu'afin de
lutter
contre la criminalité grave ou la
prévention des menaces contre la
sécurité nationale.
Enfin, concernant les autres
données de connexion dont la
collecte permet de déduire de
nombreuses informations, la cour
distingue trois cas :
■ la conservation ciblée (personnelle
ou géographique)
: cette
dernière peut être autorisée
pour ce type de données pour
lutter contre la criminalité grave
ou contre les menaces sur la
sécurité publique ;
■ la conservation rapide, qui
correspond à la possibilité de
demander à un fournisseur de
service de communications
électroniques par le biais d'une
décision de l'autorité compétente
soumise à un contrôle juridictionnel,
le « gel » des données
concernant
une
infraction
déterminée et pour une durée
limitée : là encore, la Cour estime
que ce type de demande ne peut
concerner a minima que les
infractions graves ;
■ du niveau de gravité de la
menace qui justifie l'ingérence :
4. lutte
contre
générale,
5. contre la criminalité grave,
6. prévention des menaces contre
la sécurité nationale.
Attention c'est ici que les premières
difficultés surgissent car plusieurs
cas de figure sont envisagés.
Concernant
la
criminalité
les données relatives
à l'identité civile des utilisateurs,
la CJUE estime qu'une conservation
générale et indifférenciée
constitue une ingérence non grave.
http://www.Igwan.net
Expertises des Systèmes d'information - Juillet/Août 2021 - N°470 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Juillet/Août 2021 - N°470 - Le mensuel du droit de l'informatique et du multimédia
