Le 21 décembre 2016, la Cour de justice de l’Union européenne a rendu un arrêt dans les affaires jointes C-203/15 et C-698/15, concernant la conservation de données par les fournisseurs de services de communications électroniques et l’accès des autorités nationales aux données.

Suite à l’arrêt Digital Rights Ireland rendu le 8 avril 2014 et par laquelle la Cour de justice avait invalidé la directive sur la conservation des données au motif que l’ingérence que comporte l’obligation générale de conservation des données relatives au trafic et des données de localisation imposée par celle-ci dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel n’était pas limitée au strict nécessaire, la Cour a été saisi de deux affaires portant sur l’obligation générale imposée, en Suède et au Royaume-Uni, aux fournisseurs de services de communications électroniques de conserver les données relatives à ces communications, dont la conservation était prévue par la directive invalidée. En Suède, cette règle avait été introduite au lendemain de l’invalidation de la directive.

Dans son arrêt, la CJUE répond que le droit de l’Union s’oppose à une "conservation généralisée et indifférenciée" des données relatives au trafic et des données de localisation, souligne le communiqué de presse publié à cette occasion.

La Cour constate notamment, s’agissant de la conservation, que les données conservées prises dans leur ensemble sont susceptibles de permettre de tirer des conclusions très précises sur la vie privée des personnes dont les données ont été conservées. L’ingérence résultant d’une réglementation nationale prévoyant la conservation des données relatives au trafic et des données de localisation doit donc être considérée comme particulièrement grave. Le fait que la conservation des données est effectuée sans que les utilisateurs des services de communications électroniques n’en soient informés est susceptible de générer, dans l’esprit des personnes concernées, le sentiment que leur vie privée fait l’objet d’une surveillance constante. Par conséquent, seule la lutte contre la criminalité grave est susceptible de justifier une telle ingérence.

Il est donc loisible aux États membres de "prévoir, à titre préventif, une conservation ciblée de ces données dans le seul but de lutter contre la criminalité grave", mais à la condition qu’une telle conservation soit, en ce qui concerne les catégories de données à conserver, les moyens de communication visés, les personnes concernées ainsi que la durée de conservation retenue, limitée au strict nécessaire". Selon la Cour, toute réglementation nationale allant dans ce sens doit être claire et précise et prévoir des garanties suffisantes.

La législation nationale doit également "prévoir les conditions matérielles et procédurales" régissant l’accès des autorités nationales compétentes aux données conservées, en se fondant sur "des critères objectifs pour définir les circonstances et les conditions dans lesquelles l’accès aux données doit être accordé aux autorités nationales compétentes" , dit la CJUE.

La Cour relève encore qu’une réglementation prévoyant une conservation généralisée et indifférenciée des données ne requiert pas de relation entre les données dont la conservation est prévue et une menace pour la sécurité publique et "excède donc les limites du strict nécessaire et ne saurait être considérée comme étant justifiée dans une société démocratique, ainsi que l’exige la directive lue à la lumière de la Charte".

L’accès des autorités nationales aux données conservées doit être soumis à des conditions, dont notamment un contrôle préalable par une autorité indépendante et la conservation des données sur le territoire de l’Union, fait encore savoir la CJUE.