CE21 avril 2021CE, Assemblée, 21 avril 2021, French Data Network et autres, n° 393099, Rec., points 35, 37-41, 55, 38(source)
Dérogation à l'obligation de confidentialité des données à caractère personnel et des données relatives au trafic – Conservation généralisée et indifférenciée – 1) Données relatives à l'identité civile, aux paiements effectués en ligne – Conditions – 2) Adresses IP – Conditions – 3) Données de trafic et de localisation autres que les adresses IP – Exclusion en principe – Conditions le cas échéant – 4) Conservation rapide des données de trafic et de localisation imposée par les autorités – Conditions
Les États membres de l'UE sont autorisés, pour des motifs tenant à la sauvegarde de la sécurité nationale, à la sûreté de l'État ou à la lutte contre les infractions pénales, à prévoir une dérogation à l'obligation de confidentialité des données à caractère personnel et à celle de confidentialité des données relatives au trafic y afférentes, qui découlent de l'article 5, paragraphe 1, de la directive 2002/58/CE du 12 juillet 2002 et des articles 12 à 22 du RGPD.
1) Les données relatives à l'identité civile des utilisateurs de moyens de communications électroniques ainsi que les informations fournies lors de la souscription d'un contrat ou lors de la création d'un compte par un utilisateur et celles relatives aux paiements effectués en ligne listées aux 3° et 4° de l'article 1er du décret n° 2011‑219 du 25 février 2011 peuvent faire l'objet, sans limitation de durée, d'une conservation généralisée et indifférenciée pour les besoins de toute procédure pénale, de la prévention de toute menace contre la sécurité publique et de la sauvegarde de la sécurité nationale.
2) Les adresses IP attribuées à la source d'une connexion peuvent faire l'objet d'une obligation de conservation généralisée et indifférenciée à des fins de lutte contre la criminalité grave ou de prévention des menaces graves contre la sécurité publique, pour une période temporellement limitée au strict nécessaire. Cette durée a pu être légalement fixée à un an.
3) Les données de trafic et de localisation autres que les adresses IP ne peuvent pas faire l'objet d'une obligation de conservation généralisée et indifférenciée aux fins de lutte contre la criminalité, même grave. En revanche, une telle obligation peut être définie, sous réserve qu'une décision soumise à un contrôle effectif constate l'existence d'une menace grave pour la sécurité nationale qui s'avère réelle et actuelle ou prévisible. La durée de cette conservation doit être limitée au strict nécessaire mais est renouvelable en cas de persistance de la menace. Dès lors que la France fait face, à la date de la décision, à une telle menace au regard de l'ensemble des intérêts fondamentaux de la Nation listés à l'article L. 811‑3 du code de la sécurité intérieure, une telle obligation de conservation pouvait légalement être édictée. En revanche, l'évaluation de la menace doit faire l'objet d'un réexamen périodique, qui ne saurait excéder un an.
4) Les autorités peuvent en revanche imposer aux opérateurs de communications électroniques et aux fournisseurs d'accès à internet de procéder, aux fins de lutte contre la criminalité grave, à la conservation rapide des données de trafic et de localisation qu'ils détiennent, soit pour leurs besoins propres, soit au titre d'une obligation de conservation imposée aux fins de sauvegarde de la sécurité nationale. Les données ayant fait l'objet d'une conservation rapide peuvent non seulement appartenir aux personnes soupçonnées d'avoir commis ou projeté une infraction pénale ou une atteinte à la sécurité nationale, mais également à d'autres personnes, pour autant qu'elles puissent, sur la base d'éléments objectifs et non discriminatoires, contribuer à l'élucidation de cette infraction ou de cette atteinte à la sécurité nationale. La durée de conservation de ces données doit être limitée au strict nécessaire, dans une limite maximale de quatre‑vingt‑dix jours, renouvelable le cas échéant.
La gravité des infractions susceptibles de justifier la conservation généralisée et indifférenciée des adresses IP et la conservation rapide des données de trafic et de localisation a vocation à s'apprécier de façon concrète, sous le contrôle du juge pénal, au regard de la nature de l'infraction commise et de l'ensemble des faits de l'espèce, dans le respect du principe de proportionnalité rappelé à l'article préliminaire du code de procédure pénale. Elle ne saurait se rattacher à une liste exhaustive d'infractions prédéfinies en droit pénal.