La loi du 29 mai 2016 sur la conservation des données, incompatible avec la charte des droits fondamentaux de l'UE.

La raison ? Son caractère "généralisé" et "indifférencié", selon les conclusions de l’avocat général dans l’affaire C-623/17 Privacy International, dans les affaires jointes C-511/18 La Quadrature du Net e.a. et C-512/18 French Data Network e.a., ainsi que dans l’affaire C-520/18 Ordre des barreaux francophones et germanophone e.a.,

A lire le communiqué de presse du 15 janvier 2020 de la Cour de Justice Européenne,

' La directive vie privée et communications électroniques s’applique, en principe, lorsque les fournisseurs de services de communications électroniques sont obligés, par la loi, de conserver les données de leurs abonnés et de permettre aux autorités publiques d’y accéder, indépendamment du fait que ces obligations s’imposent pour des raisons de sécurité nationale"

...

Applicabilité de la directive

Dans ses conclusions présentées ce jour sur ces renvois préjudiciels, l’avocat général Manuel Campos Sánchez-Bordona dissipe, en premier lieu, les doutes sur l’applicabilité de la directive. Il précise que la directive exclut de son application les activités menées, en vue de préserver la sécurité nationale, par les pouvoirs publics pour leur propre compte, sans requérir la collaboration de particuliers et, dès lors, sans leur imposer d’obligations dans leur gestion commerciale. En revanche, lorsque le concours de particuliers auxquels certaines obligations sont imposées est requis, même pour des raisons de sécurité nationale, cette circonstance relève du domaine régi par le droit de l’Union, celui de la protection de la vie privée qui peut être exigée de ces acteurs privés. Ainsi, la directive s’applique, en principe, lorsque les fournisseurs de services de communications électroniques sont tenus, par la loi, de conserver les données de leurs abonnés et de permettre aux autorités publiques d’y accéder, comme dans les affaires examinées, indépendamment du fait que ces obligations soient imposées aux fournisseurs pour des raisons de sécurité nationale.

...

Affaire C-520/18

L’affaire C-520/18, nous intéresse particulièrement dans la mesure ou l’Ordre des barreaux francophones et germanophone (ci‑après l’« Ordre des barreaux »), l’ASBL « Liga voor Mensenrechten » (ci‑après la « LMR »), l’ASBL « Ligue des Droits de l’Homme » (ci‑après la « LDH ») et l’ASBL « Académie Fiscale » (ci‑après l’« Académie Fiscale ») ont saisi la juridiction de renvoi de plusieurs recours en annulation fondés sur l’inconstitutionnalité de ladite loi en soutenant, en substance, qu’elle dépassait les limites du strict nécessaire et n’offrait pas des garanties suffisantes de protection.

Dans ce contexte, la Cour constitutionnelle a posé les questions préjudicielles suivantes à la Cour :

• 1) L’article 15, paragraphe 1, de la directive [2002/58], lu en combinaison avec le droit à la sécurité, garanti par l’article 6 de la Charte [...], et le droit au respect des données personnelles, tel que garanti par les articles 7, 8 et 52, paragraphe l, de la Charte [...], doit-il être interprété en ce sens qu’il s’oppose à une réglementation nationale telle que celle en cause, qui prévoit une obligation générale pour les opérateurs et fournisseurs de services de communications électroniques de conserver les données de trafic et de localisation au sens de la directive [2002/58], générées ou traitées par eux dans le cadre de la fourniture de ces services, réglementation nationale qui n’a pas seulement pour objectif la recherche, la détection et la poursuite de faits de criminalité grave, mais également la garantie de la sécurité nationale, de la défense du territoire et de la sécurité publique, la recherche, la détection et la poursuite d’autres faits que ceux de criminalité grave ou la prévention d’un usage interdit des systèmes de communication électronique, ou la réalisation d’un autre objectif identifié par l’article 23, paragraphe l, du règlement (UE) 2016/679 [du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1),] et qui est en outre sujette à des garanties précisées dans cette réglementation sur le plan de la conservation des données et de l’accès à celles‑ci ?
• 2) L’article 15, paragraphe l, de la directive [2002/58], combiné avec les articles 4, 7, 8 11 et 52, paragraphe l, de la Charte [...], doit-il être interprété en ce sens qu’il s’oppose à une réglementation nationale telle celle en cause, qui prévoit une obligation générale pour les opérateurs et fournisseurs de services de communications électroniques de conserver les données de trafic et de localisation au sens de la directive [2002/58], générées ou traitées par eux dans le cadre de la fourniture de ces services, si cette réglementation a notamment pour objet de réaliser les obligations positives incombant à l’autorité en vertu des articles 4 et 8 de la Charte, consistant à prévoir un cadre légal qui permette une enquête pénale effective et une répression effective de l’abus sexuel des mineurs et qui permette effectivement d’identifier l’auteur du délit, même lorsqu’il est fait usage de moyens de communications électroniques ?
• 3) Si, sur la base des réponses données à la première ou à la deuxième question préjudicielle, la Cour constitutionnelle devait arriver à la conclusion que la loi attaquée méconnaît une ou plusieurs des obligations découlant des dispositions mentionnées dans ces questions, pourrait-elle maintenir provisoirement les effets de la loi du 29 mai 2016 [...] afin d’éviter une insécurité juridique et de permettre que les données collectées et conservées précédemment puissent encore être utilisées pour les objectifs visés par la loi ? »

Réponse à la Cour constitutionnelle

En l'occurence, "l’avocat général suggère à la Cour de répondre à la Cour constitutionnelle que la directive s’oppose à une réglementation qui, comme la réglementation belge a pour objectif non seulement la lutte contre le terrorisme et les formes de criminalité les plus graves, mais aussi la défense du territoire, la sécurité publique, la recherche, la découverte et la poursuite d’autres délits que ceux de criminalité grave, et, d’une manière générale, tout autre objectif prévu à l’article 23, paragraphe 1, du règlement 2016/679 ."

La raison en est que, même si l’accès aux données conservées est soumis à des garanties précisément réglementées, les opérateurs et les fournisseurs de services de communications électroniques se voient imposer, dans ce cas également, une obligation générale et indifférenciée qui s’applique de manière permanente et continue, de conserver les données relatives au trafic et les données de localisation traitées dans le cadre de la fourniture de ces services, ce qui est incompatible avec la Charte.

Sources : Cour de Justice de l'Union Européenne, communiqué de presse, 15 janvier 2020 - Directive "Vie privée et Communications électroniques" et " Loi du 29 mai 2016 relative à la collecte et à la conservation des données dans le secteur des communications électroniques"