I – L’impossible compromis de la directive 2006/24
Reflet des préoccupations sécuritaires post-11 septembre 2001, la Directive 2006/24 impose aux fournisseurs d’accès internet et aux opérateurs de télécommunications fixes et mobiles l’obligation de collecter et de conserver certaines données de connexion afin de garantir leur disponibilité pour la recherche et la constatation des "infractions graves". Il s’agit principalement des informations permettant d’identifier les abonnés (nom, adresse) et les données relatives à la communication elle-même (date, heure, durée, adresse IP …). Pour autant, la conservation des données révélant le contenu d’une communication électronique est interdite en raison de leur caractère confidentiel (art. 5 de la directive 2002/58 du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques).
La Directive 2006/24 traduit donc la volonté des États Membres de créer des règles leur conférant le droit d’accéder aux données des utilisateurs de services de communications électroniques au nom de la lutte contre les infractions, alors même qu’il s’agit de données sensibles car liées à la vie privée des personnes. Dans ces conditions, le compromis opéré par la Directive 2006/24 entre les enjeux de sécurité publique et les droits fondamentaux avait très tôt été jugé insuffisant par certains eurodéputés (voir l’opinion minoritaire et les avis des commissions parlementaires lors de la procédure d’adoption) bientôt rejoints par tous les opposants à la mise en place d’une "surveillance de masse".
Plus récemment, la Directive 2006/24 avait également été fragilisée par plusieurs rapports de la Commission européenne, du Groupe de l’Article 29 et du Contrôleur européen des données personnelles qui estimaient que la Directive 2006/24 devait être révisée afin de minimiser les atteintes portées à la vie privée des personnes. En synthèse, la trop grande liberté accordée aux États Membres dans la détermination des modalités (gravité des infractions, autorités nationales compétentes, respect des droits des personnes…) et la durée de conservation (entre six mois et deux ans) des données débouchait sur des lois nationales différentes où l’utilisation des données était rarement limitée à la lutte contre les infractions graves. Ce constat était également partagé au niveau des États Membres : la République Tchèque, l’Allemagne et la Roumanie ont vu leurs lois de transposition annulées par leurs cours constitutionnelles respectives, tandis que la validité même de la Directive 2006/24 faisait l’objet de plusieurs questions préjudicielles adressées à la CJUE.
