Le ministre luxembourgeois de la Justice, Félix Braz, a convié la presse le 26 septembre 2014 afin d’évoquer les conséquences de l’arrêt de la Cour de Justice de l’UE du 8 avril 2014, dit "Digital Rights", ainsi que les mesures à considérer au niveau national afin de se conformer à cette nouvelle jurisprudence de la CJUE.

Le contexte

Pour rappel, dans cet arrêt, la Cour a invalidé la directive 2006/24 – dite de rétention des données à des fins répressives – sur base notamment des articles 7 et 8 de la Charte des droits fondamentaux de l’UE qui consacrent la protection de la vie privée et celle des données à caractère personnel. La législation annulée imposait en effet aux Etats membres de contraindre leurs opérateurs télécom à retenir pendant une période de 6 à 24 mois les données relatives au trafic des télécommunications de toute personne (ainsi que les données de localisation, à l’exclusion du contenu de ces communications), afin de les mettre à disposition des autorités répressives enquêtant sur des infractions graves.

Si la CJUE a retenu que le droit à la protection de la vie privée ne constituait pas un droit absolu, elle a estimé que toute exception à ce droit – dont relève la rétention des données à des fins répressives – devait respecter le principe de proportionnalité et s’opérer dans les limites du strict nécessaire. "Dans son arrêt, la Cour a jugé que le législateur européen n’a pas respecté en l’espèce le principe de proportionnalité en ce sens que l’ingérence dans les droits fondamentaux des citoyens par cette directive n’a pas été suffisamment encadrée afin de garantir qu’elle soit limitée au strict nécessaire", a constaté Félix Braz.

La décision avait d’ailleurs été saluée le jour même par le ministre de la Justice qui avait estimé que cet arrêt mettait ainsi "en évidence que pour la CJUE les règles relatives à la sécurité ne priment pas sur les droits relatifs à la protection de la vie privée et de la protection des données à caractère personnel". Au contraire, il "souligne clairement que tous les droits fondamentaux des citoyens de l’UE sont à respecter", disait le ministre.

Les conséquences dans l’ordre juridique national

Pour ce qui est de l’impact de l’arrêt sur l’ordre juridique national, Félix Braz a rappelé que la CJUE ne s’était pas prononcée sur les dispositions concernant les législations nationales en matière de conservation des données – et donc sur la loi luxembourgeoise. Dès lors, et même si la directive annulée rétroactivement a disparu de l’ordre juridique européen, "la législation nationale ayant transposé la directive annulée continue d’exister et de lier les opérateurs télécom".

Néanmoins, le ministre a relevé que l’arrêt de la CJUE contenait "beaucoup d’exigences" notamment concernant les Etats membres "qui doivent vérifier si la protection des droits fondamentaux dans leurs législations nationales respectives est suffisante par rapport aux exigences de la CJUE". Mais sur la question de savoir si l’arrêt de la Cour a totalement rejeté le principe même de la conservation générale des données ou non, le ministre estime que l’arrêt n’y répond pas. "Beaucoup d’analyse juridiques ont été menées en Europe, et un doute juridique persiste", a souligné le ministre selon lequel l’arrêt ne tranche donc pas la question. "Les conséquences concernant le principe même ne sont donc pas claires", ajoute encore Félix Braz, voire seraient selon certaines analyses "contradictoires".

Ainsi, la Cour exige entre autres que la rétention soit limitée aux personnes présentant des indices que leur comportement a des liens avec des infractions graves, ce qui est jugé "incompatible" avec la logique même de rétention des données. "D’où la difficulté de déterminer la portée exacte de l’arrêt", écrit le ministre dans un communiqué de presse.

Pour le ministre de la Justice, il s’agit cependant de ne pas traîner et d’adapter "dans les meilleurs délais, et sans attendre une initiative de la Commission européenne, [la] législation [luxembourgeoise] aux exigences de l’arrêt de la CJUE". Au Luxembourg, la Cour constitutionnelle pourrait par exemple être saisie lors d’un litige sur la question de la conformité de la loi nationale avec l’arrêt de la CJUE, comme c’est le cas en Belgique et en Suède. "Néanmoins on ne sait pas comment elle trancherait, il y a en effet des arguments à l’appui des deux thèses", souligne le ministre.

Félix Braz a ainsi indiqué avoir mené, comme annoncé dès le 8 avril dernier, une large concertation, notamment auprès de juristes, de la Commission nationale de protection des données (CNPD), des magistrats, de la police ou encore des députés de la commission parlementaire compétente de la Chambre des députés afin d’en tirer des conclusions.  

Un projet de loi "dans les meilleurs délais" pour se conformer aux exigences de la CJUE

Au Luxembourg, trois points sont considérés comme les plus importants. Il s’agit tout d’abord  de préciser les conditions de l’accès aux informations en remplaçant le seuil de peine actuel qui définit la "criminalité grave" – les infractions pénales punissable d’une peine dont le maximum est égal ou supérieur à un an d’emprisonnement – par une liste limitative d’infractions pour lesquelles les juges d’instruction peuvent ordonner l’accès aux données.

En deuxième lieu, il s’agirait d’introduire une obligation de destruction irrémédiable des données retenues à l’expiration du délai de rétention sans possibilité aucune de les conserver.

Enfin, troisièmement, il serait question de renforcer la sécurité de la rétention des données auprès des opérateurs télécom en prévoyant des mesures de sécurité techniques, matérielles et organisationnelles très strictes pour garantir le niveau de protection élevé des données pendant le délai de rétention et lors de leur traitement par les opérateurs.

Selon Félix Braz, la loi luxembourgeoise serait néanmoins l’une des moins mauvaises dans l’UE, notamment car elle retient un délai de six mois de conservation (contre jusqu’à 24 mois proposés par la directive annulée) ainsi que de par l’organisation de l’accès aux données qu’elle prévoit. "L’accès ne peut avoir lieu que sur ordonnance d’un juge d’instruction et selon des conditions très strictes", souligne le ministre, selon lequel il y aura donc "moins de travail pour conformer la loi à l’arrêt".

Une réponse au niveau communautaire urgente

Au niveau européen, Félix Braz a rappelé que le sujet avait été abordé entre autres au Conseil "Justice et Affaires intérieures" (JAI) les 5 et 6 juin 2014, une réunion qui a surtout montré que la grande majorité des Etats membres se trouvaient dans une phase d’analyse juridique de la décision ou dans l’attente d’une décision sur la validité de leur loi nationale.

Le ministre luxembourgeois se dit par ailleurs déçu que la Commission européenne sortante ait dit clairement son intention de ne pas présenter une initiative législative sur ce dossier – alors que la Commission européenne a le droit d’initiative exclusif. Félix Braz a également rejeté l’analyse juridique du service dédié de la Commission qui se serait davantage concentrée sur la thèse selon laquelle le principe même de rétention des données n’était pas remis en cause, ce qui n’est "pas acceptable", selon le ministre.

L’analyse luxembourgeoise retient cependant également que le principe même n’est pas remis en cause par l’arrêt, a encore dit le ministre. Mais "dans un espace de droit européen, il faut une réponse commune au niveau de l’UE et il serait erroné de trancher au niveau national", dit-il. Félix Braz appelle donc la Commission "à répondre à la question de fond" et à mener une "discussion critique sur le principe de rétention".

Dans tous les cas, si la nouvelle Commission devait ne pas présenter d’initiative sur le sujet d’ici la présidence luxembourgeoise du Conseil de l’UE au deuxième semestre 2015, le ministre de la Justice souligne que le gouvernement luxembourgeois mettrait alors la question à l’ordre du jour et s’engagerait "à clarifier sous présidence luxembourgeoise la question du maintien ou de l’abandon du principe même de la rétention des données au niveau européen".

Dans ce contexte, la finalisation urgente par le Conseil d’un régime général en matière de protection des données est la priorité dans ce dossier, selon Félix Braz. Le ministre a répété qu’il estimait d'abord nécessaire de "définir un régime général qui mette en place un niveau de protection élevé et harmonisé avant de ne délimiter d’éventuelles dérogations dont la conservation des données ferait partie le cas échéant ".

Et de conclure : "La CJUE fait ici le travail du Conseil qui n’arrive pas à trouver un accord politique sur ce sujet depuis des années. Ça ne peut pas être satisfaisant. Pour nous il est primoridial que l'on fasse le lien entre ces dossiers".