III – Un cadre juridique fragilisé
La décision rendue par la CJUE le 8 avril 2014 est lourde de conséquences puisqu’elle invalide l’intégralité de la Directive 2006/24 à compter de sa date d’entrée en vigueur, alors que l’avocat général souhaitait suspendre les effets du constat d’invalidité pour permettre au législateur européen de mieux y remédier. Il s’agit donc d’un signe fort envoyé aux États Membres pour les inciter à limiter les conditions dans lesquelles il est possible d’accéder aux données des utilisateurs de services de communications électroniques.
Bien que l’invalidité de la directive 2006/24 n’entraîne pas directement l’annulation des lois nationales de transposition, la légalité des textes français organisant la collecte et la communication de données semble désormais incertaine au regard des enseignements délivrés par la CJUE, si tant est qu’ils soient suivis par les juridictions françaises. En effet, certains reproches formulés par la CJUE à l’encontre de la Directive 2006/24 paraissent également concerner le dispositif mis en place par la loi n° 2004-669 du 9 juillet 2004 (codifiée aux articles L. 34-1 et suivants du Code des Postes et des Communications Électroniques) qui oblige les "opérateurs de communications électroniques" à collecter et conserver les données de connexion énumérées à l’article R. 10-13 CPCE pendant une durée d’un an pour les besoins de "la recherche, la constatation et la poursuite des infractions pénales" par les autorités judiciaires ou administratives (ANSSI, HADOPI notamment). Or ce dispositif s’applique de manière générale à toute personne utilisatrice d’un service de communication électronique accessible au public, et aucune distinction n’est faite entre les personnes concernées et la gravité des infractions pour moduler les atteintes à la vie privée des personnes. Par conséquent, la conformité du droit français au droit européen tel qu’interprété dernièrement par la CJUE pourrait être remise en cause devant les juridictions françaises, tant par les personnes victimes d’une atteinte disproportionnée à leur vie privée que par les fournisseurs de services de communications électroniques.
En pratique, la non-conformité du droit français aux nouvelles exigences du droit européen en matière de protection des droits fondamentaux place une nouvelle fois les prestataires de services de communications électroniques dans une situation d’insécurité juridique. Alors que l’identification des personnes soumises à l’obligation de conservation des données fait depuis de nombreuses années l’objet d’incertitudes (quid de l’installation par une société d’un réseau Wifi accessoire à son activité principale?), l’invalidation de la Directive 2006/24 contribue maintenant à brouiller les obligations applicables aux "opérateurs de communications électroniques". Dès lors que l’article L. 34-1 du CPCE n’est manifestement pas conforme aux exigences du droit européen, doivent-ils pour autant continuer à divulguer aussi largement les données des utilisateurs au risque de porter atteinte aux droits fondamentaux des personnes concernées ? Au contraire, peuvent-ils invoquer la décision de la CJUE du 8 avril 2014 pour s’opposer aux demandes de communication provenant des autorités policières et judiciaires qui excéderaient les limites posées par la justice européenne ? En tout état de cause, il reviendra aux juridictions françaises de se prononcer sur l’impact de cette décision en droit français et sur les garde-fous nécessaires à la protection de la vie privée avant qu’une nouvelle directive ne soit élaborée par la Commission européenne.
Sylvain Staub et Jean-Baptiste Belin, avocat associé et avocat chez Staub & Associés
A propos des auteurs
Sylvain Staub
Avocat au Barreau de Paris depuis 1997, Sylvain Staub, Associé, Staub & Associés intervient à la fois en conseil et en contentieux, auprès de nombreux prestataires informatiqueset télécom français et étrangers (Intégrateur, SSII, Editeurs, Opérateurs…), ainsi qu’auprès de leurs clients, PME ou Grands Comptes.
Jean-Baptiste Belin
Jean-Baptiste Belin collabore au sein du cabinet Staub & Associés depuis 2013. Son activité concerne principalement le droit des nouvelles technologies (contrats informatiques, communication sur internet, e-commerce, droit des données à caractère personnel), tant en conseil qu’en contentieux.
