CJEU - Joined Cases C‐203/15 and C‐698/15 / Opinion
Key facts of the case:

« Renvoi préjudiciel – Directive 2002/58/CE – Traitement des données à caractère personnel et protection de la vie privée dans le secteur des communications électroniques – Législation nationale prévoyant une obligation générale de conserver les données relatives aux communications électroniques – Article 15, paragraphe 1 – charte des droits fondamentaux de l’Union européenne – Article 7 – Droit au respect de la vie privée – Article 8 – Droit à la protection des données à caractère personnel – Ingérence grave – Justification – Article 52, paragraphe 1 – Conditions – Objectif légitime de lutte contre les infractions graves – Exigence d’une base légale en droit national – Exigence de stricte nécessité – Exigence de proportionnalité dans une société démocratique »

Results (sanctions) and key consequences of the case:

Eu égard à ce qui précède, je propose à la Cour de répondre comme suit aux questions préjudicielles du Kammarrätten i Stockholm (cour administrative d’appel de Stockholm, Suède) et de la Court of Appeal (England & Wales) (Civil Division) [Cour d’appel (Angleterre et pays de Galles) (division civile), Royaume‑Uni] : L’article 15, paragraphe 1, de la directive 2002/58/CE du Parlement européen et du Conseil, du 12 juillet 2002, concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive « vie privée et communications électroniques »), telle que modifiée par la directive 2009/136/CE du Parlement européen et du Conseil, du 25 novembre 2009, ainsi que les articles 7, 8 et 52, paragraphe 1, de la charte des droits fondamentaux de l’Union européenne doivent être interprétés en ce sens qu’ils ne s’opposent pas à ce qu’un État membre impose aux fournisseurs de services de communications électroniques une obligation de conserver l’ensemble des données relatives aux communications réalisées par les utilisateurs de leurs services lorsque toutes les conditions suivantes sont satisfaites, ce qu’il appartient aux juridictions de renvoi de vérifier à la lumière de toutes les caractéristiques pertinentes des régimes nationaux en cause dans les litiges au principal :
– cette obligation et les garanties accompagnant celle‑ci doivent être prévues par des mesures législatives ou réglementaires possédant les qualités d’accessibilité, de prévisibilité et de protection adéquate contre l’arbitraire ;

– cette obligation et les garanties accompagnant celle‑ci doivent respecter le contenu essentiel des droits reconnus par les articles 7 et 8 de la charte des droits fondamentaux ;

– cette obligation doit être strictement nécessaire à la lutte contre les infractions graves, ce qui implique qu’aucune autre mesure ou combinaison de mesures ne pourrait être aussi efficace dans la lutte contre les infractions graves tout en étant moins attentatoire aux droits consacrés par la directive 2002/58 et par les articles 7 et 8 de la charte des droits fondamentaux ;

– cette obligation doit être accompagnée de toutes les garanties énoncées par la Cour aux points 60 à 68 de l’arrêt du 8 avril 2014, Digital Rights Ireland e.a. (C‑293/12 et C‑594/12, EU:C:2014:238) concernant l’accès aux données, la durée de conservation ainsi que la protection et la sécurité des données, en vue de limiter au strict nécessaire l’atteinte aux droits consacrés par la directive 2002/58 et par les articles 7 et 8 de la charte des droits fondamentaux, et

– cette obligation doit être proportionnée, dans une société démocratique, à l’objectif de lutte contre les infractions graves, ce qui implique que les graves risques engendrés par cette obligation dans une société démocratique ne doivent pas être démesurés par rapport aux avantages en découlant dans la lutte contre les infractions graves.
Paragraphs referring to EU Charter (original language)
La seconde question posée dans l’affaire C‑698/15 invite la Cour à préciser si l’arrêt DRI étend le champ d’application des articles 7 et/ou 8 de la Charte au‑delà de celui de l’article 8 de la CEDH tel qu’interprété par la Cour EDH.

Cette question reflète notamment un argument invoqué par le Ministre devant la juridiction de renvoi, selon lequel la jurisprudence de la Cour EDH n’exige pas, d’une part, que l’accès aux données soit subordonné à l’autorisation préalable d’un organe indépendant ni, d’autre part, que la conservation et l’accès à ces données soient limités à la lutte contre les infractions graves.

J’estime que cette question doit être rejetée comme étant irrecevable pour les motifs suivants. À l’évidence, les motifs et la solution adoptés par la Cour dans l’arrêt DRI revêtent une importance déterminante pour trancher les litiges au principal. Cependant, la circonstance que cet arrêt ait éventuellement étendu le champ d’application des articles 7 et/ou 8 de la Charte au‑delà de celui de l’article 8 de la CEDH n’est pas, en soi, pertinente pour trancher ces litiges.

À cet égard, il importe de rappeler que, conformément à l’article 6, paragraphe 3, TUE, les droits fondamentaux, tels que garantis par la CEDH, font partie du droit de l’Union en tant que principes généraux. Toutefois, en l’absence d’adhésion de l’Union à cette convention, celle‑ci ne constitue pas un instrument juridique formellement intégré à l’ordre juridique de l’Union (10).

Certes, la première phrase de l’article 52, paragraphe 3, de la Charte établit une règle d’interprétation selon laquelle, dans la mesure où la Charte contient des droits correspondant à des droits garantis par la CEDH, « leur sens et leur portée sont les mêmes que ceux que leur confère ladite convention ».

Toutefois, selon la seconde phrase de l’article 52, paragraphe 3, de la Charte, « cette disposition ne fait pas obstacle à ce que le droit de l’Union accorde une protection plus étendue ». À mes yeux, il résulte de cette phrase qu’il est loisible à la Cour, si elle le juge nécessaire dans le contexte du droit de l’Union, d’étendre le champ d’application des dispositions de la Charte au‑delà de celui des dispositions correspondantes de la CEDH.

J’ajoute, à titre subsidiaire, que l’article 8 de la Charte, interprété par la Cour dans l’arrêt DRI, établit un droit qui ne correspond à aucun droit garanti par la CEDH, à savoir le droit à la protection des données à caractère personnel, ce que confirment par ailleurs les explications relatives à l’article 52 de la Charte (11). Partant, la règle d’interprétation établie à l’article 52, paragraphe 3, première phrase, de la Charte n’est, en toute hypothèse, pas applicable à l’interprétation de l’article 8 de la Charte, comme l’ont relevé MM. Brice et Lewis, Open Rights Group et Privacy International, la Law Society of England and Wales ainsi que les gouvernements tchèque, irlandais et finlandais.

Il découle de ce qui précède que le droit de l’Union ne s’oppose pas à ce que les articles 7 et 8 de la Charte accordent une protection plus étendue que celle prévue par la CEDH. Dès lors, la circonstance que l’arrêt DRI ait éventuellement étendu le champ d’application de ces dispositions de la Charte au‑delà de celui de l’article 8 de la CEDH n’est pas, en soi, pertinente pour trancher les litiges au principal. La solution à apporter à ces litiges dépend essentiellement des conditions auxquelles une obligation générale de conservation de données peut être considérée comme compatible avec l’article 15, paragraphe 1, de la directive 2002/58 ainsi qu’avec les articles 7, 8 et 52, paragraphe 1, de la Charte, interprétés à la lumière de l’arrêt DRI, ce qui fait précisément l’objet des trois autres questions posées dans les présentes affaires.

Eu égard à ce qui précède, j’estime qu’une obligation générale de conservation de données est compatible avec le régime établi par la directive 2002/58 et, partant, qu’il possible pour un État membre de faire usage de la faculté offerte par l’article 15, paragraphe 1, de cette directive en vue d’imposer une telle obligation (20). Le recours à cette faculté est cependant subordonné au respect d’exigences strictes, découlant non seulement de cette disposition mais également des dispositions pertinentes de la Charte lues à la lumière de l’arrêt DRI, qui seront examinées dans une section ultérieure (21). C – Sur l’applicabilité de la Charte à une obligation générale de conservation de données

Avant d’examiner la teneur des exigences qui sont imposées par la Charte, conjointement à l’article 15, paragraphe 1, de la directive 2002/58, lorsqu’un État choisit d’instaurer une obligation générale de conservation de données, il y a lieu de vérifier que la Charte est bien applicable à une telle obligation.

L’applicabilité de la Charte à une obligation générale de conservation de données dépend essentiellement de l’applicabilité de la directive 2002/58 à une telle obligation.

En effet, selon son article 51, paragraphe 1, première phrase, « les dispositions de la [Charte] s’adressent aux États membres uniquement lorsqu’ils mettent en œuvre le droit de l’Union ». Les explications relatives à l’article 51 de la Charte renvoient, à cet égard, à la jurisprudence de la Cour selon laquelle l’obligation de respecter les droits fondamentaux définis dans le cadre de l’Union ne s’impose aux États membres que lorsqu’ils agissent dans le champ d’application du droit de l’Union (22).

Les gouvernements tchèque, français, polonais et du Royaume‑Uni, qui ont contesté l’applicabilité de la directive 2002/58 à une obligation générale de conservation de données (23), ont également soutenu que la Charte n’était pas applicable à une telle obligation.

J’ai déjà exposé les raisons pour lesquelles je considère qu’une obligation générale de conservation de données constitue une mise en œuvre de la faculté prévue à l’article 15, paragraphe 1, de la directive 2002/58 (24).

Par conséquent, je considère que les dispositions de la Charte sont applicables aux mesures nationales instaurant une telle obligation, en application de l’article 51, paragraphe 1, de la Charte, comme l’ont fait valoir M. Watson, MM. Brice et Lewis, Open Rights Group et Privacy International, les gouvernements danois, allemand, finlandais ainsi que la Commission (25).

Cette conclusion n’est pas remise en cause par le fait que les dispositions nationales régissant l’accès aux données conservées ne tombent pas, en tant que telles, dans le domaine d’application de la Charte.

Certes, dans la mesure où elles concernent des « activités de l’État dans des domaines relevant du droit pénal », les dispositions nationales régissant l’accès aux données conservées par les autorités policières ou judiciaires en vue de lutter contre des infractions graves relèvent, à mon avis, de l’exclusion prévue à l’article 1er, paragraphe 3, de la directive 2002/58 (26). Par conséquent, de telles dispositions nationales ne mettent pas en œuvre le droit de l’Union, de sorte que la Charte ne leur est pas applicable.

Néanmoins, la raison d’être d’une obligation de conservation de données est de permettre aux autorités répressives d’accéder aux données conservées, de sorte que les problématiques de la conservation et de l’accès ne sauraient être complètement dissociées. Comme l’a souligné à juste titre la Commission, les dispositions régissant l’accès revêtent une importance déterminante pour juger de la compatibilité avec la Charte des dispositions instaurant une obligation générale de conservation de données, lesquelles mettent en œuvre l’article 15, paragraphe 1, de la directive 2002/58. Plus précisément, les dispositions régissant l’accès doivent être prises en compte pour apprécier la nécessité et la proportionnalité d’une telle obligation (27). D – Sur la compatibilité d’une obligation générale de conservation de données avec les exigences établies par l’article 15, paragraphe 1, de la directive 2002/58 ainsi que par les articles 7, 8 et 52, paragraphe 1, de la Charte

Il me reste à présent à aborder la difficile question de la compatibilité d’une obligation générale de conservation de données avec les exigences établies par l’article 15, paragraphe 1, de la directive 2002/58 ainsi que par les articles 7, 8 et 52, paragraphe 1, de la Charte lus à la lumière de l’arrêt DRI. Cette question concerne, de manière plus générale, la nécessaire adaptation du cadre légal encadrant les capacités de surveillance des États, lesquelles ont été démultipliées par les récents progrès technologiques (28).

La première étape de toute analyse, dans ce contexte, réside dans le constat d’ingérence dans les droits consacrés par la directive 2002/58 et dans les droits fondamentaux consacrés aux articles 7 et 8 de la Charte.

En effet, une telle obligation constitue une ingérence grave dans le droit au respect de la vie privée, consacré à l’article 7 de la Charte, et dans le droit à la protection des données à caractère personnel, garanti par l’article 8 de la Charte. Je ne crois pas utile de m’appesantir sur ce constat d’ingérence, qui a été clairement posé par la Cour aux points 32 à 37 de l’arrêt DRI (29). De la même façon, une obligation générale de conservation de données constitue une ingérence dans plusieurs droits consacrés par la directive 2002/58 (30).

La seconde étape de l’analyse consiste à déterminer si, et à quelles conditions, cette ingérence grave dans les droits consacrés par la directive 2002/58 ainsi que dans les droits fondamentaux consacrés aux articles 7 et 8 de la Charte peut être justifiée.

Deux dispositions établissent les conditions devant être satisfaites pour que cette double ingérence soit justifiée : l’article 15, paragraphe 1, de la directive 2002/58, qui encadre la faculté pour les États membres de limiter la portée de certains droits établis par cette directive, et l’article 52, paragraphe 1, de la Charte, lu à la lumière de l’arrêt DRI, qui encadre toute limitation de l’exercice des droits consacrés par la Charte.

Je tiens à souligner que ces exigences sont cumulatives. En effet, le respect des exigences établies à l’article 15, paragraphe 1, de la directive 2002/58 n’implique pas, en soi, que les exigences prévues à l’article 52, paragraphe 1, de la Charte sont satisfaites, et inversement (31). Par conséquent, une obligation générale de conservation de données ne pourra être considérée comme compatible avec le droit de l’Union que si elle respecte à la fois les exigences établies à l’article 15, paragraphe 1, de la directive 2002/58 et celles prévues à l’article 52, paragraphe 1, de la Charte, comme l’a souligné la Law Society of England and Wales (32).

Ensemble, ces deux dispositions établissent six exigences devant être satisfaites pour que soit justifiée l’ingérence engendrée par une obligation générale de conservation de données : – l’obligation de conservation doit avoir une base légale ; – elle doit respecter le contenu essentiel des droits consacrés par la Charte ; – elle doit poursuivre un objectif d’intérêt général ; – elle doit être appropriée à la poursuite de cet objectif ; – elle doit être nécessaire à la poursuite dudit objectif, et – elle doit être proportionnée, au sein d’une société démocratique, à la poursuite de ce même objectif.

Tant l’article 52, paragraphe 1, de la Charte que l’article 15, paragraphe 1, de la directive 2002/58 établissent des exigences quant à la base légale devant être utilisée par un État membre en vue d’imposer une obligation générale de conservation de données.

En premier lieu, toute limitation de l’exercice des droits reconnus par la Charte doit être « prévue par la loi » en vertu de son article 52, paragraphe 1. Je précise que cette exigence n’a pas été formellement examinée par la Cour dans l’arrêt DRI, qui concernait une ingérence prévue par une directive.

Jusqu’au récent arrêt WebMindLicenses (33), la Cour ne s’était jamais prononcée sur la portée exacte de cette exigence, et ce même lorsqu’elle avait expressément constaté que cette exigence était (34) ou n’était pas (35) satisfaite. Au point 81 de cet arrêt, la troisième chambre de la Cour s’est prononcée dans les termes suivants :
« À cet égard, il convient de souligner que l’exigence que toute limitation de l’exercice de ce droit doit être prévue par la loi implique que la base légale qui permet l’utilisation des preuves mentionnées au point précédent par l’administration fiscale doit être suffisamment claire et précise et que, en définissant elle‑même la portée de la limitation de l’exercice du droit garanti par l’article 7 de la Charte, elle offre une certaine protection contre d’éventuelles atteintes arbitraires de cette administration (voir, notamment, Cour EDH, Malone c. Royaume‑Uni, 2 août 1984, série A n° 82, § 67, ainsi que Gillan et Quinton c. Royaume‑Uni, 12 janvier 2010, n° 4158/05, § 77, CEDH 2010) ».

Or, il est selon moi nécessaire que l’expression « prévue par la loi » utilisée à l’article 52, paragraphe 1, de la Charte se voie attribuer une portée similaire à celle que revêt cette expression dans le contexte de la CEDH, pour les raisons suivantes.

D’une part, en vertu de l’article 53 de la Charte et des explications relatives à cet article, le niveau de protection offert par la Charte ne peut jamais être inférieur à celui qui est garanti par la CEDH. Cette interdiction de franchir le « seuil CEDH » implique que l’interprétation par la Cour de l’expression « prévue par la loi » utilisée à l’article 52, paragraphe 1, de la Charte doive être au moins aussi stricte que celle de la Cour EDH dans le contexte de la CEDH (39).

D’autre part, eu égard à la nature horizontale de cette exigence, qui est susceptible de s’appliquer à de nombreux types d’ingérences tant dans le contexte de la Charte que dans celui de la CEDH (40), il serait inopportun de soumettre les États membres à des critères différents selon que l’ingérence est examinée au regard de l’un ou de l’autre de ces instruments (41).

Partant, j’estime, comme l’ont fait valoir le gouvernement estonien et la Commission, que l’expression « prévue par la loi » inscrite à l’article 52, paragraphe 1, de la Charte doit être interprétée, à la lumière de la jurisprudence de la Cour EDH résumée au point 139 des présentes conclusions, en ce sens qu’une obligation générale de conservation de données, telle que celles en cause dans les litiges au principal, doit être prévue par une base légale suffisamment accessible et prévisible, d’une part, et offrant une protection adéquate contre l’arbitraire, d’autre part.

J’ajoute qu’il me paraît souhaitable, eu égard à la gravité des ingérences qu’implique une obligation générale de conservation de données dans les droits fondamentaux consacrés aux articles 7 et 8 de la Charte, que le contenu essentiel du régime en cause, et notamment celui des garanties entourant cette obligation, soient établis dans une mesure adoptée par le pouvoir législatif, à charge pour le pouvoir exécutif d’en préciser les modalités d’application.

Eu égard à ce qui précède, je considère que l’article 15, paragraphe 1, de la directive 2002/58 et l’article 52, paragraphe 1, de la Charte doivent être interprétés en ce sens que le régime établissant une obligation générale de conservation de données, telle que celles en cause dans les litiges au principal, doit être établi par des mesures législatives ou réglementaires possédant les qualités d’accessibilité, de prévisibilité et de protection adéquate contre l’arbitraire.