Le 30 avril 2024, la Cour de justice de l’Union européen rend un arrêt, très attendu (cf. EIH 29/10/2023 et 17/12/2023) en matière d’interaction entre travail de renseignement à des fins de lutte contre la criminalité d’une part, et protection des droits et libertés fondamentales d’autre part.
- Pour rappel, l’association La Quadrature du Net dénonçait en octobre dernier un « État de droit troué comme un gruyère » et qualifiait la Hadopi (Haute Autorité pour la diffusion des œuvres et la protection des droits sur Internet) d’outil de « surveillance de masse ».
- Certaines dispositions organisant l’accès de la Hadopi avaient d’ailleurs été censurées par le Conseil constitutionnel, avant que le Conseil d’État ne transmette une question préjudicielle à la CJUE à des fins d’éclaircissements face au flou juridique engendré.
- Le 30 avril 2024, la Cour de Luxembourg a statué: la conservation généralisée et indifférenciée des adresses IP, qu’elles soient statiques ou dynamiques, et leur utilisation pendant une période déterminée, ne constitue pas nécessairement une ingérence grave dans les droits fondamentaux garantis par les articles 7, 8 et 11 de la Charte des droits fondamentaux de l’Union européenne.
- Toutefois, l’accès aux données personnelles par les autorités publiques doit être soumis au principe de proportionnalité, sous le contrôle d’une juridiction ou d’une entité administrative indépendante, dès lors qu’existe un risque d’ingérence grave dans les droits fondamentaux
- Il s’agit alors d’un revirement de jurisprudence.
- L’affaire Tele2 Sverige, du 21 décembre 2016, avait estimé que les lois suédoises et anglaises étaient contraires aux articles 7, 8 et 11 de la Charte des droits fondamentaux de l’Union.
- Néanmoins une telle exigence n’est pas applicable si l’ingérence n’est pas qualifiée de « grave »
- Par exemple, dès lors que l’accès se limite aux données relatives à l’identité civile stricto sensu, il ne sera pas nécessaire de procéder au contrôle préalable.
- Certaines garanties sont prises mais peuvent s’avérer insuffisantes du fait qu’elles se fondent sur la bonne transposition et effective exécution de la Directive 2002/58 sur la vie privée et les communications électroniques.
- Cette dernière prévoit une durée de conservation limitée et des règles claires et précises pour encadrer l’accès aux données.
- En effet, la Cour ne manque pas de le rappeler : la liberté d’expression ainsi que la confidentialité des données à caractère personnel ne sont pas des droits absolus et peuvent donc être restreints.
- Pour le requérant au principal : c’est un arrêt « décevant » qui valide « la fin de l’anonymat en ligne » et ce « au-delà du cas de la Hadopi ».
- L’association y voit un « affaiblissement inquiétant de l’autorité de la Cour face à la pression des États membres » qui changerait « sa jurisprudence si ses décisions ne sont pas appliquées ».
- En effet, lirait-on dans cet arrêt que la surveillance de masse devient la norme, et les garanties deviennent l’exception.
- La décision s’analyse alors, du point de vue de l’association de défense des droits des citoyens européens, comme un risque réel pour les libertés individuels au sein de l’écosystème numérique.
- Les tensions entre réalités opérationnelles des forces de l’ordre et protection des droits des citoyens européens en ressortent alors exacerbées