16

La directive 2006/24 prévoit l’obligation des fournisseurs de services de communications électroniques accessibles au public ou des réseaux publics de communications de conserver certaines données qui sont générées ou traitées par ces fournisseurs. À cet égard, les articles 1er à 9, 11 et 13 de cette directive disposent: «Article premier Objet et champ d’application 1. La présente directive a pour objectif d’harmoniser les dispositions des États membres relatives aux obligations des fournisseurs de services de communications électroniques accessibles au public ou de réseaux publics de communications en matière de conservation de certaines données qui sont générées ou traitées par ces fournisseurs, en vue de garantir la disponibilité de ces données à des fins de recherche, de détection et de poursuite d’infractions graves telles qu’elles sont définies par chaque État membre dans son droit interne. 2. La présente directive s’applique aux données relatives au trafic et aux données de localisation concernant tant les entités juridiques que les personnes physiques, ainsi qu’aux données connexes nécessaires pour identifier l’abonné ou l’utilisateur enregistré. Elle ne s’applique pas au contenu des communications électroniques, notamment aux informations consultées en utilisant un réseau de communications électroniques. Article 2 Définitions 1. Aux fins de la présente directive, les définitions contenues dans la directive 95/46/CE, dans la directive 2002/21/CE du Parlement européen et du Conseil du 7 mars 2002 relative à un cadre réglementaire commun pour les réseaux et services de communications électroniques (directive ‘cadre’) [...], ainsi que dans la directive 2002/58/CE s’appliquent. 2. Aux fins de la présente directive, on entend par: a) ‘données’, les données relatives au trafic et les données de localisation, ainsi que les données connexes nécessaires pour identifier l’abonné ou l’utilisateur; b) ‘utilisateur’, toute entité juridique ou personne physique qui utilise un service de communications électroniques accessible au public à des fins privées ou professionnelles sans être nécessairement abonnée à ce service; c) ‘service téléphonique’, les appels téléphoniques (notamment les appels vocaux, la messagerie vocale, la téléconférence et la communication de données), les services supplémentaires (notamment le renvoi et le transfert d’appels), les services de messagerie et multimédias (notamment les services de messages brefs, les services de médias améliorés et les services multimédias); d) ‘numéro d’identifiant’, le numéro d’identification exclusif attribué aux personnes qui s’abonnent ou s’inscrivent à un service d’accès à l’internet ou à un service de communication par l’internet; e) ‘identifiant cellulaire’, le numéro d’identification de la cellule où un appel de téléphonie mobile a commencé ou a pris fin; f) ‘appel téléphonique infructueux’, toute communication au cours de laquelle un appel téléphonique a été transmis mais est resté sans réponse ou a fait l’objet d’une intervention de la part du gestionnaire du réseau. Article 3 Obligation de conservation de données 1. Par dérogation aux articles 5, 6 et 9 de la directive 2002/58/CE, les États membres prennent les mesures nécessaires pour que les données visées à l’article 5 de la présente directive soient conservées, conformément aux dispositions de cette dernière, dans la mesure où elles sont générées ou traitées dans le cadre de la fourniture des services de communication concernés par des fournisseurs de services de communications électroniques accessibles au public ou d’un réseau public de communications, lorsque ces fournisseurs sont dans leur ressort. 2. L’obligation de conserver les données visées au paragraphe 1 inclut la conservation des données visées à l’article 5 relatives aux appels téléphoniques infructueux, lorsque ces données sont générées ou traitées, et stockées (en ce qui concerne les données de la téléphonie) ou journalisées (en ce qui concerne les données de l’internet), dans le cadre de la fourniture des services de communication concernés, par des fournisseurs de services de communications électroniques accessibles au public ou d’un réseau public de communications, lorsque ces fournisseurs sont dans le ressort de l’État membre concerné. La présente directive n’impose pas la conservation des données relatives aux appels non connectés. Article 4 Accès aux données Les États membres prennent les mesures nécessaires pour veiller à ce que les données conservées conformément à la présente directive ne soient transmises qu’aux autorités nationales compétentes, dans des cas précis et conformément au droit interne. La procédure à suivre et les conditions à remplir pour avoir accès aux données conservées dans le respect des exigences de nécessité et de proportionnalité sont arrêtées par chaque État membre dans son droit interne, sous réserve des dispositions du droit de l’Union européenne ou du droit international public applicables en la matière, en particulier la CEDH telle qu’interprétée par la Cour européenne des droits de l’homme. Article 5 Catégories de données à conserver 1. Les États membres veillent à ce que soient conservées en application de la présente directive les catégories de données suivantes: a) les données nécessaires pour retrouver et identifier la source d’une communication: 1) en ce qui concerne la téléphonie fixe en réseau et la téléphonie mobile: i) le numéro de téléphone de l’appelant; ii) les nom et adresse de l’abonné ou de l’utilisateur inscrit; 2) en ce qui concerne l’accès à l’internet, le courrier électronique par l’internet et la téléphonie par l’internet: i) le(s) numéro(s) d’identifiant attribué(s); ii) le numéro d’identifiant et le numéro de téléphone attribués à toute communication entrant dans le réseau téléphonique public; iii) les nom et adresse de l’abonné ou de l’utilisateur inscrit à qui une adresse IP (protocole internet), un numéro d’identifiant ou un numéro de téléphone a été attribué au moment de la communication; b) les données nécessaires pour identifier la destination d’une communication: 1) en ce qui concerne la téléphonie fixe en réseau et la téléphonie mobile: i) le(s) numéro(s) composé(s) [le(s) numéro(s) de téléphone appelé(s)] et, dans les cas faisant intervenir des services complémentaires tels que le renvoi ou le transfert d’appels, le(s) numéro(s) vers le(s)quel(s) l’appel est réacheminé; ii) les nom et adresse de l’abonné (des abonnés) ou de l’utilisateur (des utilisateurs) inscrit(s); 2) en ce qui concerne le courrier électronique par l’internet et la téléphonie par l’internet: i) le numéro d’identifiant ou le numéro de téléphone du (des) destinataire(s) prévu(s) d’un appel téléphonique par l’internet; ii) les nom et adresse de l’abonné (des abonnés) ou de l’utilisateur (des utilisateurs) inscrit(s) et le numéro d’identifiant du destinataire prévu de la communication; c) les données nécessaires pour déterminer la date, l’heure et la durée d’une communication: 1) en ce qui concerne la téléphonie fixe en réseau et la téléphonie mobile, la date et l’heure de début et de fin de la communication; 2) en ce qui concerne l’accès à l’internet, le courrier électronique par l’internet et la téléphonie par l’internet: i) la date et l’heure de l’ouverture et de la fermeture de la session du service d’accès à l’internet dans un fuseau horaire déterminé, ainsi que l’adresse IP (protocole internet), qu’elle soit dynamique ou statique, attribuée à une communication par le fournisseur d’accès à l’internet, ainsi que le numéro d’identifiant de l’abonné ou de l’utilisateur inscrit; ii) la date et l’heure de l’ouverture et de la fermeture de la session du service de courrier électronique par l’internet ou de téléphonie par l’internet dans un fuseau horaire déterminé; d) les données nécessaires pour déterminer le type de communication: 1) en ce qui concerne la téléphonie fixe en réseau et la téléphonie mobile, le service téléphonique utilisé; 2) en ce qui concerne le courrier électronique par l’internet et la téléphonie par l’internet, le service internet utilisé; e) les données nécessaires pour identifier le matériel de communication des utilisateurs ou ce qui est censé être leur matériel: 1) en ce qui concerne la téléphonie fixe en réseau, le numéro de téléphone de l’appelant et le numéro appelé; 2) en ce qui concerne la téléphonie mobile: i) le numéro de téléphone de l’appelant et le numéro appelé; ii) l’identité internationale d’abonné mobile (IMSI) de l’appelant; iii) l’identité internationale d’équipement mobile (IMEI) de l’appelant; iv) l’IMSI de l’appelé; v) l’IMEI de l’appelé; vi) dans le cas des services anonymes à prépaiement, la date et l’heure de la première activation du service ainsi que l’identité de localisation (identifiant cellulaire) d’où le service a été activé; 3) en ce qui concerne l’accès à l’internet, le courrier électronique par l’internet et la téléphonie par l’internet: i) le numéro de téléphone de l’appelant pour l’accès commuté; ii) la ligne d’abonné numérique (DSL) ou tout autre point terminal de l’auteur de la communication; f) les données nécessaires pour localiser le matériel de communication mobile: 1) l’identité de localisation (identifiant cellulaire) au début de la communication; 2) les données permettant d’établir la localisation géographique des cellules, en se référant à leur identité de localisation (identifiant cellulaire), pendant la période au cours de laquelle les données de communication sont conservées. 2. Aucune donnée révélant le contenu de la communication ne peut être conservée au titre de la présente directive. Article 6 Durées de conservation Les États membres veillent à ce que les catégories de données visées à l’article 5 soient conservées pour une durée minimale de six mois et maximale de deux ans à compter de la date de la communication. Article 7 Protection et sécurité des données Sans préjudice des dispositions adoptées en application des directives 95/46/CE et 2002/58/CE, chaque État membre veille à ce que les fournisseurs de services de communications électroniques accessibles au public ou d’un réseau public de communications respectent, au minimum, les principes suivants en matière de sécurité des données, pour ce qui concerne les données conservées conformément à la présente directive: a) les données conservées doivent être de la même qualité et soumises aux mêmes exigences de sécurité et de protection que les données sur le réseau; b) les données font l’objet de mesures techniques et organisationnelles appropriées afin de les protéger contre la destruction accidentelle ou illicite, la perte ou l’altération accidentelle, ou le stockage, le traitement, l’accès ou la divulgation non autorisés ou illicites; c) les données font l’objet de mesures techniques et organisationnelles appropriées afin de garantir que l’accès aux données n’est effectué que par un personnel spécifiquement autorisé; et d) les données sont détruites lorsque leur durée de conservation prend fin, à l’exception des données auxquelles on a pu accéder et qui ont été préservées. Article 8 Conditions à observer pour le stockage des données conservées Les États membres veillent à ce que les données visées à l’article 5 soient conservées conformément à la présente directive de manière à ce que les données conservées et toute autre information nécessaire concernant ces données puissent, à leur demande, être transmises sans délai aux autorités compétentes. Article 9 Autorité de contrôle 1. Chaque État membre désigne une ou plusieurs autorités publiques qui sont chargées de surveiller l’application, sur son territoire, des dispositions adoptées par les États membres en application de l’article 7 pour ce qui concerne la sécurité des données conservées. Ces autorités peuvent être les mêmes que celles visées à l’article 28 de la directive 95/46/CE. 2. Les autorités visées au paragraphe 1 exercent en toute indépendance la surveillance visée audit paragraphe. [...] Article 11 Modification de la directive 2002/58/CE À l’article 15 de la directive 2002/58/CE, le paragraphe suivant est inséré: ‘1 bis. Le paragraphe 1 n’est pas applicable aux données dont la conservation est spécifiquement exigée par la [directive 2006/24] aux fins visées à l’article 1er, paragraphe 1, de ladite directive.’ [...] Article 13 Recours, responsabilité et sanctions 1. Chaque État membre prend les mesures nécessaires pour veiller à ce que les mesures nationales mettant en œuvre le chapitre III de la directive 95/46/CE, relatif aux recours juridictionnels, à la responsabilité et aux sanctions, soient intégralement appliquées au traitement des données effectué au titre de la présente directive. 2 Chaque État membre prend, en particulier, les mesures nécessaires pour faire en sorte que l’accès intentionnel aux données conservées conformément à la présente directive ou le transfert de ces données qui ne sont pas autorisés par le droit interne adopté en application de la présente directive soient passibles de sanctions, y compris de sanctions administratives ou pénales, qui sont efficaces, proportionnées et dissuasives.»