Conservation générale et indifférenciée des données de connexion

Sont annulées les décisions du Premier ministre refusant d'abroger l'article R. 10-13 du Code des postes et des communications électroniques et le décret du 25 février 2011 relatif à la conservation et à la communication des données permettant d'identifier toute personne ayant contribué à la création d'un contenu mis en ligne, en tant que ces dispositions réglementaires, d'une part, ne limitent pas les finalités de l'obligation de conservation généralisée et indifférenciée des données de trafic et de localisation autres que les données d'identité civile, les coordonnées de contact et de paiement, les données relatives aux contrats et aux comptes et les adresses IP à la sauvegarde de la sécurité nationale et, d'autre part, ne prévoient pas un réexamen périodique de l'existence d'une menace grave, réelle et actuelle ou prévisible pour la sécurité nationale.

Les associations French Data Network, La Quadrature du Net, Igwan.net et la Fédération des fournisseurs d'accès à internet associatifs, ainsi que les sociétés Free mobile et Free soutenaient devant le Conseil d'Etat que le dispositif français de surveillance numérique – essentiellement composé de l'article R. 10-13 du Code des postes et des communications électroniques et des décrets n° 2011-219 du 25 février 2011, n° 2015-1185 du 28 septembre 2015, n° 2015-1639 du 11 décembre 2015 et n° 2016-67 du 29 janvier 2016 – devait être déclaré contraire au droit de l'Union européenne. D'une part, ils contestaient l'obligation faite aux opérateurs de communications électroniques, aux fournisseurs d'accès à internet et aux hébergeurs de contenus de conserver, pour une durée d'un an, l'ensemble des données de connexion de leurs utilisateurs. D'autre part, ils reprochaient au droit français de permettre aux services de renseignement de recueillir ces données et d'en d'opérer un traitement. Donc, tous demandaient l'abrogation d'une réglementation qu'ils estimaient illégale.

Selon les commentateurs, cette décision du Conseil d'Etat  dite "French Data Network" du 21 avril 2021 est une «grande» décision dans laquelle le Conseil d'État entérine la conservation générale et indifférenciée des données de connexion des citoyens. À quelques détails près, le dispositif actuel de surveillance numérique devrait donc rester inchangé. Mais l'intérêt de la décision ne se limite pas à ses enjeux sécuritaires : elle apporte également beaucoup sur le plan des rapports entre le Conseil d'État, la Cour de justice, le droit interne et le droit de l'Union européenne.

Pour l'essentiel, le juge administratif copie et étend sa jurisprudence Arcelor de 2007 à une nouvelle configuration contentieuse. En l'occurrence, c'est même la première fois qu'il dégage des exigences constitutionnelles qui ne trouvent pas de protection équivalente au sein des traités européens. Certes le juge français se contente d'identifier de telles exigences sans finalement les ériger en rempart à l'application du droit de l'Union. Il montre toutefois qu'il n'hésite pas, lorsqu'il l'estime nécessaire, à prendre ses distances avec la jurisprudence de la Cour de justice de l'Union Européenne.