(ASSOCIATION FRENCH DATA NETWORK ET AUTRES)
Le Conseil constitutionnel a été saisi le 5 juin 2015 par le Conseil d'Etat (décision n° 388134 du même jour), dans les conditions prévues à l'article 61-1 de la Constitution, d'une question prioritaire de constitutionnalité posée pour les associations French Data Network, La Quadrature du Net et Fédération des fournisseurs d'accès à internet associatifs, par la SCP Spinosi et Sureau, avocat au Conseil d'Etat et à la Cour de cassation, relative à la conformité aux droits et libertés que la Constitution garantit des articles L. 246-1 à L. 246-5 du code de la sécurité intérieure, enregistrée au secrétariat général du Conseil constitutionnel sous le n° 2015-478 QPC.
Le Conseil constitutionnel,
Vu la Constitution ;
Vu l'ordonnance n° 58-1067 du 7 novembre 1958 modifiée portant loi organique sur le Conseil constitutionnel ;
Vu le code pénal ;
Vu le code des postes et des communications électroniques ;
Vu le code de la sécurité intérieure ;
Vu la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique ;
Vu la loi n° 2013-1168 du 18 décembre 2013 relative à la programmation militaire pour les années 2014 à 2019 et portant diverses dispositions concernant la défense et la sécurité nationale ;
Vu le règlement du 4 février 2010 sur la procédure suivie devant le Conseil constitutionnel pour les questions prioritaires de constitutionnalité ;
Vu les observations produites pour les associations requérantes par la SCP Spinosi et Sureau, enregistrées les 29 juin et 10 juillet 2015 ;
Vu les observations produites par le Premier ministre, enregistrées le 29 juin 2015 ;
Vu les pièces produites et jointes au dossier ;
Me Patrice Spinosi pour les associations requérantes et M. Xavier Pottier, désigné par le Premier ministre, ayant été entendus à l'audience publique du 21 juillet 2015 ;
Le rapporteur ayant été entendu ;
1. Considérant qu'aux termes de l'article L. 246-1 du code de la sécurité intérieure dans sa rédaction résultant de la loi du 18 décembre 2013 susvisée : « Pour les finalités énumérées à l'article L. 241-2, peut être autorisé le recueil, auprès des opérateurs de communications électroniques et des personnes mentionnées à l'article L. 34-1 du code des postes et des communications électroniques ainsi que des personnes mentionnées aux 1 et 2 du I de l'article 6 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique, des informations ou documents traités ou conservés par leurs réseaux ou services de communications électroniques, y compris les données techniques relatives à l'identification des numéros d'abonnement ou de connexion à des services de communications électroniques, au recensement de l'ensemble des numéros d'abonnement ou de connexion d'une personne désignée, à la localisation des équipements terminaux utilisés ainsi qu'aux communications d'un abonné portant sur la liste des numéros appelés et appelants, la durée et la date des communications. » ;
2. Considérant qu'aux termes de l'article L. 246-2 du même code, dans sa rédaction résultant de la loi du 18 décembre 2013 : « I. - Les informations ou documents mentionnés à l'article L. 246-1 sont sollicités par les agents individuellement désignés et dûment habilités des services relevant des ministres chargés de la sécurité intérieure, de la défense, de l'économie et du budget, chargés des missions prévues à l'article L. 241-2.
« II. - Les demandes des agents sont motivées et soumises à la décision d'une personnalité qualifiée placée auprès du Premier ministre. Cette personnalité est désignée pour une durée de trois ans renouvelable par la Commission nationale de contrôle des interceptions de sécurité, sur proposition du Premier ministre qui lui présente une liste d'au moins trois noms. Des adjoints pouvant la suppléer sont désignés dans les mêmes conditions. La personnalité qualifiée établit un rapport d'activité annuel adressé à la Commission nationale de contrôle des interceptions de sécurité. Ces décisions, accompagnées de leur motif, font l'objet d'un enregistrement et sont communiquées à la Commission nationale de contrôle des interceptions de sécurité. » ;
3. Considérant qu'aux termes de l'article L. 246-3 du même code, dans sa rédaction résultant de la loi du 18 décembre 2013 : « Pour les finalités énumérées à l'article L. 241-2, les informations ou documents mentionnés à l'article L. 246-1 peuvent être recueillis sur sollicitation du réseau et transmis en temps réel par les opérateurs aux agents mentionnés au I de l'article L. 246-2.
« L'autorisation de recueil de ces informations ou documents est accordée, sur demande écrite et motivée des ministres de la sécurité intérieure, de la défense, de l'économie et du budget ou des personnes que chacun d'eux a spécialement désignées, par décision écrite du Premier ministre ou des personnes spécialement désignées par lui, pour une durée maximale de trente jours. Elle peut être renouvelée, dans les mêmes conditions de forme et de durée. Elle est communiquée dans un délai de quarante-huit heures au président de la Commission nationale de contrôle des interceptions de sécurité.
« Si celui-ci estime que la légalité de cette autorisation au regard des dispositions du présent titre n'est pas certaine, il réunit la commission, qui statue dans les sept jours suivant la réception par son président de la communication mentionnée au deuxième alinéa.
« Au cas où la commission estime que le recueil d'une donnée de connexion a été autorisé en méconnaissance des dispositions du présent titre, elle adresse au Premier ministre une recommandation tendant à ce qu'il y soit mis fin.
« Elle porte également cette recommandation à la connaissance du ministre ayant proposé le recueil de ces données et du ministre chargé des communications électroniques. » ;
4. Considérant qu'aux termes de l'article L. 246-4 du même code, dans sa rédaction résultant de la loi du 18 décembre 2013 : « La Commission nationale de contrôle des interceptions de sécurité dispose d'un accès permanent au dispositif de recueil des informations ou documents mis en œuvre en vertu du présent chapitre, afin de procéder à des contrôles visant à s'assurer du respect des conditions fixées aux articles L. 246-1 à L. 246-3. En cas de manquement, elle adresse une recommandation au Premier ministre. Celui-ci fait connaître à la commission, dans un délai de quinze jours, les mesures prises pour remédier au manquement constaté.
« Les modalités d'application du présent article sont fixées par décret en Conseil d'Etat, pris après avis de la Commission nationale de l'informatique et des libertés et de la Commission nationale de contrôle des interceptions de sécurité, qui précise notamment la procédure de suivi des demandes et les conditions et durée de conservation des informations ou documents transmis. » ;
5. Considérant qu'aux termes de l'article L. 246-5 du même code, dans sa rédaction résultant de la loi du 18 décembre 2013 : « Les surcoûts identifiables et spécifiques éventuellement exposés par les opérateurs et personnes mentionnées à l'article L. 246-1 pour répondre à ces demandes font l'objet d'une compensation financière de la part de l'Etat. » ;
6. Considérant que les associations requérantes soutiennent, d'une part, qu'en instituant par les dispositions contestées une procédure de réquisition administrative des données de connexion sans définir précisément le type de données pouvant être collectées par l'autorité administrative et les conditions de leur collecte lorsqu'elles sont transmises en temps réel à l'autorité administrative et, d'autre part, qu'en ne prévoyant dans le cadre de cette procédure aucune garantie spécifique pour protéger le secret professionnel des avocats et des journalistes, le législateur a méconnu l'étendue de sa compétence ;
7. Considérant que la question prioritaire de constitutionnalité porte sur les articles L. 246-1 et L. 246-3 du code de la sécurité intérieure ;
Sur le grief tiré de l'incompétence négative résultant de la définition insuffisante des données de connexion et des conditions de leur collecte en cas de transmission en temps réel :
8. Considérant que les associations requérantes soutiennent, d'une part, qu'en employant les termes d'« informations ou documents » et ceux d'« opérateur de communications électroniques » à l'article L. 246-1 du code de la sécurité intérieure, le législateur n'a pas défini de façon suffisamment précise les données de connexion pouvant être collectées par l'autorité administrative sur réquisition et, d'autre part, qu'en employant les termes de « sollicitation du réseau » à l'article L. 246-3 du même code, il n'a pas exclu la possibilité pour cette autorité d'accéder directement aux données de connexion détenues par les opérateurs de communications électroniques dans le cadre de cette même procédure ; qu'il en résulterait une méconnaissance par le législateur de l'étendue de sa compétence dans des conditions portant atteinte au droit au respect de la vie privée ;
9. Considérant que la méconnaissance par le législateur de sa propre compétence ne peut être invoquée à l'appui d'une question prioritaire de constitutionnalité que dans le cas où cette méconnaissance affecte par elle-même un droit ou une liberté que la Constitution garantit ;
10. Considérant qu'aux termes de l'article 34 de la Constitution : « La loi fixe les règles concernant… les garanties fondamentales accordées aux citoyens pour l'exercice des libertés publiques » ; que la méconnaissance par le législateur de sa compétence, dans la détermination de ces garanties dans le cadre d'une procédure de réquisition administrative de données de connexion, affecte par elle-même le droit au respect de la vie privée ;
11. Considérant, en premier lieu, d'une part, qu'en vertu de l'article L. 246-1 du code de la sécurité intérieure, la procédure de recueil des données de connexion sur réquisition administrative peut s'exercer auprès des opérateurs de communications électroniques et des personnes mentionnées à l'article L. 34-1 du code des postes et des communications électroniques ainsi que des personnes mentionnées aux 1 et 2 du paragraphe I de l'article 6 de la loi du 21 juin 2004 susvisée ; que l'article L. 32 du code des postes et des communications électroniques définit dans son 1° les communications électroniques comme « les émissions, transmissions ou réceptions de signes, de signaux, d'écrits, d'images ou de sons, par voie électromagnétique » et dans son 15° l'opérateur comme « toute personne physique ou morale exploitant un réseau de communications électroniques ouvert au public ou fournissant au public un service de communications électroniques » ; que le paragraphe II de l'article L. 34-1 du même code prévoit son application aux opérateurs de communications électroniques, et notamment aux personnes dont l'activité est d'offrir un accès à des services de communication au public en ligne, et aux personnes qui fournissent au public des services de communications électroniques, ainsi qu'aux personnes qui, au titre d'une activité professionnelle principale ou accessoire, offrent au public une connexion permettant une communication en ligne par l'intermédiaire d'un accès au réseau ; que les personnes mentionnées aux 1 et 2 du paragraphe I de l'article 6 de la loi du 21 juin 2004 sont celles dont l'activité est d'offrir un accès à des services de communication au public en ligne et celles qui assurent, même à titre gratuit, pour mise à disposition du public par des services de communication au public en ligne, le stockage de signaux, d'écrits, d'images, de sons ou de messages de toute nature fournis par des destinataires de ces services ;
12. Considérant, d'autre part, qu'en vertu du même article L. 246-1, peuvent être recueillis par l'autorité administrative les informations ou documents traités ou conservés par les réseaux ou services de communications électroniques des personnes susmentionnées ; que, selon les dispositions du VI de l'article L. 34-1 du code des postes et des communications électroniques, les données conservées et traitées portent exclusivement sur l'identification des personnes utilisatrices des services fournis par les opérateurs, sur les caractéristiques techniques des communications assurées par ces derniers et sur la localisation des équipements terminaux et ne peuvent en aucun cas porter sur le contenu des correspondances échangées ou des informations consultées, sous quelque forme que ce soit, dans le cadre de ces communications ; que, selon le paragraphe II de l'article 6 de la loi du 21 juin 2004, les données conservées sont celles de nature à permettre l'identification de quiconque a contribué à la création du contenu ou de l'un des contenus des services dont elles sont prestataires ; qu'ainsi, le législateur a suffisamment défini les données de connexion, qui ne peuvent porter sur le contenu de correspondances ou les informations consultées ;
13. Considérant, en second lieu, qu'il résulte de l'article L. 246-1 que les données de connexion requises sont transmises par les opérateurs aux autorités administratives compétentes ; que, selon l'article L. 246-3, lorsque les données de connexion sont transmises en temps réel à l'autorité administrative, celles-ci ne peuvent être recueillies qu'après « sollicitation » de son réseau par l'opérateur ; que, par suite, les autorités administratives ne peuvent accéder directement au réseau des opérateurs dans le cadre de la procédure prévue aux articles L. 246-1 et L. 246-3 ;
14. Considérant qu'il résulte de ce qui précède que le grief tiré de ce que le législateur, en ne définissant pas précisément la procédure de réquisition administrative des données de connexion détenues et traitées par les opérateurs de communications électroniques, a méconnu l'étendue de sa compétence dans des conditions affectant le droit au respect de la vie privée doit être écarté ;
Sur le grief tiré de l'incompétence négative résultant de l'absence de garanties de nature à protéger le secret professionnel des avocats et des journalistes :
15. Considérant que les associations requérantes soutiennent que le législateur, en ne prévoyant pas des garanties spécifiques de nature à protéger l'accès aux données de connexion des avocats et des journalistes, a méconnu l'étendue de sa compétence dans des conditions portant atteinte au droit au respect de la vie privée, à la liberté d'expression et de communication, ainsi qu'aux droits de la défense et au droit à un procès équitable, au droit au secret des échanges et correspondances des avocats et au droit au secret des sources des journalistes ;
16. Considérant qu'il incombe au législateur d'assurer la conciliation entre, d'une part, la prévention des atteintes à l'ordre public et des infractions, nécessaire à la sauvegarde de droits et de principes de valeur constitutionnelle, et, d'autre part, l'exercice des droits et des libertés constitutionnellement garantis ; qu'au nombre de ces derniers figurent le droit au respect de la vie privée et le secret des correspondances, la liberté d'expression, les droits de la défense et le droit à un procès équitable, protégés par les articles 2, 4, 11 et 16 de la Déclaration des droits de l'homme et du citoyen de 1789 ; qu'en revanche, aucune disposition constitutionnelle ne consacre spécifiquement un droit au secret des échanges et correspondances des avocats et un droit au secret des sources des journalistes ;
17. Considérant, en premier lieu, que les dispositions contestées instituent une procédure de réquisition administrative de données de connexion excluant l'accès au contenu des correspondances ; que, par suite, elles ne sauraient méconnaître le droit au secret des correspondances et la liberté d'expression ;
18. Considérant, en second lieu, qu'outre qu'elle ne peut porter sur le contenu de correspondances, la procédure de réquisition administrative résultant des dispositions contestées est autorisée uniquement aux fins de recueillir des renseignements intéressant la sécurité nationale, la sauvegarde des éléments essentiels du potentiel scientifique et économique de la France ou la prévention du terrorisme, de la criminalité et de la délinquance organisées et de la reconstitution ou du maintien de groupements dissous ; qu'elle est mise en œuvre par des agents spécialement habilités ; qu'elle est subordonnée à l'accord préalable d'une personnalité qualifiée, placée auprès du Premier ministre, désignée par la Commission nationale de contrôle des interceptions de sécurité ; que, si l'autorisation de recueil des données en temps réel est délivrée par le Premier ministre, cette autorisation est soumise au contrôle de la Commission nationale de contrôle des interceptions de sécurité ; que cette dernière dispose d'un accès permanent au dispositif de recueil des informations ou documents et adresse des recommandations au ministre de l'intérieur ou au Premier ministre lorsqu'elle constate un manquement aux règles édictées ou une atteinte aux droits et libertés ; qu'enfin, aux termes de l'article 226-13 du code pénal : « La révélation d'une information à caractère secret par une personne qui en est dépositaire soit par état ou par profession, soit en raison d'une fonction ou d'une mission temporaire, est punie d'un an d'emprisonnement et de 15 000 euros d'amende. » ;
19. Considérant qu'il résulte de ce qui précède que le législateur a prévu des garanties suffisantes afin qu'il ne résulte pas de la procédure prévue aux articles L. 246-1 et L. 246-3 du code de la sécurité intérieure une atteinte disproportionnée au droit au respect de la vie privée, aux droits de la défense, au droit à un procès équitable, y compris pour les avocats et journalistes ; que le grief tiré de ce que le législateur aurait insuffisamment exercé sa compétence en ne prévoyant pas des garanties spécifiques pour protéger le secret professionnel des avocats et journalistes doit être écarté ;
20. Considérant qu'il résulte de tout ce qui précède que les dispositions contestées, qui ne sont contraires à aucun autre droit ou liberté que la Constitution garantit, doivent être déclarées conformes à la Constitution,
Décide :