Habib A. et autre [Conservation des données de connexion pour les besoins de la recherche, de la constatation et de la poursuite des infractions pénales].

Le Conseil constitutionnel, saisi de questions prioritaires de constitutionnalité, censure un article permettant la conservation des données pendant un an par les opérateurs de communication électronique.

L’article L.34-1 du Code des postes et des communications électroniques prévoyait en son paragraphe III qu’il était possible notamment pour les besoins de la recherche, de la constatation et de la poursuite des infractions pénales de conserver pendant un an certaines catégories de données de connexion en vue de leur mise à disposition à l’autorité judiciaire.

Le Conseil constitutionnel relève que les données collectées portent sur l’identification des utilisateurs, sur la location de leurs équipements, la date, l’horaire et la durée des communications et les données d’identification de leurs destinataires. Ces informations, nombreuses et précises, sont ainsi susceptibles de porter atteinte à la vie privée des utilisateurs, selon lui.

Par ailleurs, toutes les données de connexion sont concernées et la nature et la gravité des infractions susceptibles d’être recherchées ne sont pas prises en compte. En outre, aucun contrôle juridictionnel n’était prévu par les dispositions en cause.

Constatant un déséquilibre entre l’objectif d’ordre public recherché et une atteinte excessive à la vie privée, le Conseil constitutionnel statue dans le sens de l’inconstitutionnalité de la disposition légale. Il est toutefois à noter qu’elles avaient déjà été supprimées par loi n° 2021-998 du 30 juillet 2021 relative à la prévention d’actes de terrorisme et au renseignement. En outre, dans l’objectif de sauvegarder l’ordre public, le Conseil constitutionnel a décidé de ne pas remettre en cause la validité des mesures prises sur le fondement de cette ancienne législation, ce qui prive sa décision de tout effet utile.

Cette décision s’inscrit en continuité d’arrêts rendus la Cour de justice de l’Union européenne le 6 octobre 2020 (CJUE, 6 octobre 2020, Privacy international, C-623/17 – CJUE, 6 octobre 2020, la Quadrature du Net, French Data network, Ordre des barreaux francophones et germanophone, C-511/18, C-512/18, C-520/18) qui sanctionnaient la conservation généralisée et indifférenciée des données dans le cadre d’une procédure pénale.

En revanche, le Conseil d’Etat avait autorisé la poursuite de conversation généralisée des données dans le cadre de la lutte actuelle pour la sauvegarde de la sécurité nationale (CE, 26 juillet 2018, n° 394922, 394925, 397851).

Ainsi, cette décision du Conseil constitutionnel pourrait entrainer un conflit de jurisprudences concernant la conservation généralisée et indifférenciée des données.