décision 21-83.729 du 12/07/2022,  partie 3



 - une conservation ciblée des données relatives au trafic et des données de localisation qui soit délimitée, sur la base d'éléments objectifs et non discriminatoires, en fonction de catégories de personnes concernées ou au moyen d'un critère géographique, pour une période temporellement limitée au strict nécessaire, mais renouvelable ;
 - une conservation généralisée et indifférenciée des adresses IP attribuées à la source d'une connexion, pour une période temporellement limitée au strict nécessaire ; 
 - une conservation généralisée et indifférenciée des données relatives à l'identité civile, aux comptes et aux paiements des utilisateurs de moyens de communications électroniques ;
 - le recours à une injonction faite aux fournisseurs de services de communications électroniques, au moyen d'une décision de l'autorité compétente soumise à un contrôle juridictionnel effectif, de procéder, pour une durée déterminée, à la conservation rapide des données relatives au trafic et des données de localisation dont disposent ces fournisseurs de services, dès lors que ces mesures assurent, par des règles claires et précises, que la conservation des données en cause est subordonnée au respect des conditions matérielles et procédurales afférentes et que les personnes concernées disposent de garanties effectives contre les risques d'abus.
 
 15. Cette conservation rapide a pour fondement l'article 16 de la Convention du Conseil de l'Europe sur la cyber-criminalité, signée à Budapest le 23 novembre 2001, les Etats membres pouvant prévoir dans leur législation qu'un accès aux données de trafic et de localisation peut avoir lieu à des fins de lutte contre la criminalité grave, en vue de l'élucidation d'une infraction déterminée, dans le respect des conditions matérielles et procédurales prévues en droit européen (CJUE, arrêt du 6 octobre 2020, La Quadrature du Net e.a., French Data Network e.a., C-511/18, C-512/18, C-520/18).
 
 16. Selon la CJUE, la conservation rapide et l'accès aux données ainsi conservées peuvent porter sur les données stockées par les fournisseurs de services de communications électroniques sur la base des articles 5, 6 et 9 de la directive 2002/58/CE ou sur celle des mesures législatives prises en vertu de l'article 15, paragraphe 1 (CJUE, arrêt La Quadrature du net, précité, points 160 et 167). 
 
 17. Cette position a été maintenue dans l'arrêt Commissioner of An Garda Siochana du 5 avril 2022 (C-140/20, points 85 et 87), la Cour ayant seulement écarté, à nouveau, la conservation généralisée et indifférenciée des données relatives au trafic et des données de localisation aux fins de lutte contre la criminalité grave pour répondre à une objection du gouvernement danois (même arrêt, points 96 à 100).
 
 18. La conservation rapide peut donc porter sur les données que détiennent les opérateurs de télécommunications électroniques, soit pour leurs besoins propres, soit au titre d'une obligation de conservation imposée aux fins de sauvegarde de la sécurité nationale.
 
 19. L'interprétation qui exclurait du champ d'application de la conservation rapide les données conservées aux fins de sauvegarde de la sécurité nationale priverait d'effet utile sa finalité, qui est de permettre aux autorités nationales, en matière de lutte contre la criminalité grave, d'accéder à des données qui n'ont pas été conservées dans ce but. 
 
 20. Par ailleurs, une telle mesure peut être étendue aux données relatives au trafic et aux données de localisation afférentes à des personnes autres que celles qui sont soupçonnées d'avoir projeté ou commis une infraction pénale grave, pour autant que ces données puissent, sur la base d'éléments objectifs et non discriminatoires, contribuer à l'élucidation d'une telle infraction, telles les données de la victime et celles de son entourage social ou professionnel (CJUE, arrêt Commissioner of An Garda Siochana, précité, point 88).
 
 Sur la conservation généralisée et indifférenciée des données de connexion en droit français
 
 21. L'article L. 34-1, III, du code des postes et des communications électroniques, dans sa version en vigueur à la date des faits, imposait aux opérateurs de services de télécommunications électroniques la conservation généralisée et indifférenciée, pour une durée maximale d'un an, des données de connexion énumérées à l'article R. 10-13 dudit code, pour les besoins de la recherche, de la constatation et de la poursuite des infractions pénales.
 
 22. Ce dernier texte, dans sa version en vigueur à la date des faits, précisait que cette obligation de conservation, d'une durée d'un an, portait sur :
 a) les informations permettant d'identifier l'utilisateur ;
 b) les données relatives aux équipements terminaux de communication utilisés ;
 c) les caractéristiques techniques ainsi que la date, l'horaire et la durée de chaque communication ;
 d) les données relatives aux services complémentaires demandés ou utilisés et leurs fournisseurs ;
 e) les données permettant d'identifier le ou les destinataires de la communication.
 
 23. Il prévoyait également que, pour les activités de téléphonie, l'opérateur devait conserver les données relatives au trafic et, en outre, celles permettant d'identifier l'origine et la localisation de la communication.
 
 Sur la conformité du droit français au droit européen s'agissant de la conservation généralisée et indifférenciée des données de connexion