Source: https://www.legalis.net/jurisprudences/cour-de-justice-de-lunion-europeenne-grande-chambre-arret-du-8-avril-2014/
Timestamp: 2019-08-25 18:03:39+00:00

Document:
Legalis | L’actualité du droit des nouvelles technologies | Cour de justice de l’Union européenne Grande chambre Arrêt du 8 avril 2014
Cour de justice de l’Union européenne Grande chambre Arrêt du 8 avril 2014
Digital Rights Ireland, Minister of communications, Marine and Natural Resources et autres
annulation - conservation - directive - données de trafic - données personnelles - infogérance - obligation - opérateur de communication électronique - proportionnalité
2 La demande présentée par la High Court (affaire C-293/12) concerne un litige opposant Digital Rights Ireland Ltd (ci-après «Digital Rights») au Minister for Communications, Marine and Natural Resources, au Minister for Justice, Equality and Law Reform, au Commissioner of the Garda Síochána, à l’Irlande ainsi qu’à l’Attorney General au sujet de la légalité de mesures législatives et administratives nationales concernant la conservation de données relatives à des communications électroniques.
3 La demande présentée par le Verfassungsgerichtshof (affaire C-594/12) est relative à des recours en matière constitutionnelle introduits devant cette juridiction respectivement par la Kärntner Landesregierung (gouvernement du Land de Carinthie) ainsi que par MM. Seitlinger, Tschohl et 11 128 autres requérants au sujet de la compatibilité de la loi transposant la directive 2006/24 dans le droit interne autrichien avec la loi constitutionnelle fédérale (Bundes-Verfassungsgesetz).
5 Quant à la sécurité des traitements de telles données, l’article 17, paragraphe 1, de ladite directive dispose :
6 La directive 2002/58/CE du Parlement européen et du Conseil, du 12 juillet 2002, concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques) (JO L 201, p. 37), telle que modifiée par la directive 2009/136/CE du Parlement européen et du Conseil, du 25 novembre 2009 (JO L 337, p. 11, ci-après la «directive 2002/58»), a pour objectif, conformément à son article 1er, paragraphe 1, d’harmoniser les dispositions des États membres nécessaires pour assurer un niveau équivalent de protection des droits et des libertés fondamentaux, et en particulier du droit à la vie privée, en ce qui concerne le traitement des données à caractère personnel dans le secteur des communications électroniques, ainsi que la libre circulation de ces données et des équipements et des services de communications électroniques dans l’Union européenne. En vertu du paragraphe 2 du même article, les dispositions de cette directive précisent et complètent la directive 95/46 aux fins énoncées au paragraphe 1 susmentionné.
7 En ce qui concerne la sécurité des données, l’article 4 de la directive 2002/58 prévoit :
1 bis. Sans préjudice des dispositions de la directive 95/46/CE, les mesures visées au paragraphe 1, pour le moins :
8 Quant à la confidentialité des communications et des données relatives au trafic, l’article 5, paragraphes 1 et 3, de ladite directive dispose :
9 Aux termes de l’article 6, paragraphe 1, de la directive 2002/58 :
10 L’article 15 de la directive 2002/58 dispose à son paragraphe 1 :
– La directive 2006/24
12 Le considérant 4 de la directive 2006/24 énonce :
14 Les considérants 7 à 11 de la directive 2006/24 sont libellés comme suit :
15 Les considérants 16, 21 et 22 de ladite directive précisent :
16 La directive 2006/24 prévoit l’obligation des fournisseurs de services de communications électroniques accessibles au public ou des réseaux publics de communications de conserver certaines données qui sont générées ou traitées par ces fournisseurs. À cet égard, les articles 1er à 9, 11 et 13 de cette directive disposent :
1. La présente directive a pour objectif d’harmoniser les dispositions des États communications électroniques accessibles au public ou de réseaux publics de communications en matière de conservation de certaines données qui sont générées ou traitées par ces fournisseurs, en vue de garantir la disponibilité de ces données à des fins de recherche, de détection et de poursuite d’infractions graves telles qu’elles sont définies par chaque État membre dans son droit interne.
1. Aux fins de la présente directive, les définitions contenues dans la directive 95/46/CE, dans la directive 2002/21/CE du Parlement européen et du Conseil du 7 mars 2002 relative à un cadre réglementaire commun pour les réseaux et services de communications électroniques (directive ‘cadre’) […], ainsi que dans la directive 2002/58/CE s’appliquent.
a) ‘données’, les données relatives au trafic et les données de localisation, ainsi que les données connexes nécessaires pour identifier l’abonné ou l’utilisateur ;
b) ‘utilisateur’, toute entité juridique ou personne physique qui utilise un service de communications électroniques accessible au public à des fins privées ou professionnelles sans être nécessairement abonnée à ce service ;
c) ‘service téléphonique’, les appels téléphoniques (notamment les appels vocaux, la messagerie vocale, la téléconférence et la communication de données), les services supplémentaires (notamment le renvoi et le transfert d’appels), les services de messagerie et multimédias (notamment les services de messages brefs, les services de médias améliorés et les services multimédias) ;
d) ‘numéro d’identifiant’, le numéro d’identification exclusif attribué aux personnes qui s’abonnent ou s’inscrivent à un service d’accès à l’internet ou à un service de communication par l’internet ;
e) ‘identifiant cellulaire’, le numéro d’identification de la cellule où un appel de téléphonie mobile a commencé ou a pris fin ;
Les États membres prennent les mesures nécessaires pour veiller à ce que les données conservées conformément à la présente directive ne soient transmises qu’aux autorités nationales compétentes, dans des cas précis et conformément au droit interne. La procédure à suivre et les conditions à remplir pour avoir accès aux données conservées dans le respect des exigences de nécessité et de proportionnalité sont arrêtées par chaque État membre dans son droit interne, sous réserve des dispositions du droit de l’Union européenne ou du droit international public applicables en la matière, en particulier la CEDH [convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, signée à Rome le 4 novembre 1950,] telle qu’interprétée par la Cour européenne des droits de l’homme.
– L’affaire C-293/12
18 La High Court, considérant qu’elle n’est pas en mesure de trancher les questions relatives au droit national dont elle est saisie sans que la validité de la directive 2006/24 ait été examinée a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :
«1) La restriction faite aux droits de la partie requérante en matière d’utilisation de téléphonie mobile qui découle des exigences des articles 3, 4 et 6 de la directive 2006/24 est-elle incompatible avec l’article 5, paragraphe 4, TUE, en ce qu’elle est disproportionnée et qu’elle n’est pas nécessaire ou qu’elle est inappropriée pour atteindre les objectifs légitimes tels que :
b) garantir le bon fonctionnement du marché intérieur de l’Union européenne ?
a) La directive 2006/24 est-elle compatible avec le droit des citoyens à circuler et à résider librement sur le territoire des États membres, consacré à l’article 21 TFUE ?
b) La directive 2006/24 est-elle compatible avec le droit au respect de la vie privée consacré par l’article 7 de la [charte des droits fondamentaux de l’Union européenne (ci-après la «Charte»)] et par l’article 8 de la [CEDH] ?
c) La directive 2006/24 est-elle compatible avec le droit à la protection des données à caractère personnel qui figure à l’article 8 de la Charte ?
d) La directive 2006/24 est-elle compatible avec le droit à la liberté d’expression consacré par l’article 11 de la Charte et par l’article 10 de la [CEDH] ?
e) La directive 2006/24 est-elle compatible avec le droit à une bonne administration consacré par l’article 41 de la Charte ?
3) Dans quelle mesure les traités, et en particulier le principe de coopération loyale consacré à l’article 4, paragraphe 3, TUE, exigent-ils qu’une juridiction nationale examine et évalue la compatibilité des mesures nationales transposant la directive 2006/24 avec les garanties prévues par la [Charte], y compris son article 7 (tel que repris de l’article 8 de la [CEDH])
– L’affaire C-594/12
19 À l’origine de la demande de décision préjudicielle dans l’affaire C-594/12 se trouvent plusieurs recours introduits devant le Verfassungsgerichtshof, formés respectivement par la Kärntner Landesregierung ainsi que par MM. Seitlinger, Tschohl et 11 128 autres requérants demandant l’annulation de l’article 102 bis de la loi de 2003 sur les télécommunications (Telekommunikationsgesetz 2003), qui a été introduit dans cette loi par la loi fédérale modifiant celle-ci (Bundesgesetz, mit dem das Telekommunikationsgesetz 2003 – TKG 2003 geändert wird, BGBl. I, 27/2011) aux fins de la transposition de la directive 2006/24 dans le droit interne autrichien. Ces parties considèrent, notamment, que cet article 102 bis viole le droit fondamental des particuliers à la protection de leurs données.
21 C’est dans ces conditions que le Verfassungsgerichtshof a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :
«1) Sur la validité d’actes d’institutions de l’Union :
Les articles 3 à 9 de la directive 2006/24 sont-ils compatibles avec les articles 7, 8 et 11 de la [Charte] ?
2) Sur l’interprétation des traités :
a) Au vu des explications sur l’article 8 de la Charte, lesquelles ont été élaborées, aux termes de l’article 52, paragraphe 7, de la Charte, en vue de guider l’interprétation de [celle-ci] et sont dûment prises en considération par le Verfassungsgerichtshof, la directive 95/46 et le règlement (CE) n° 45/2001 du Parlement européen et du Conseil, du 18 décembre 2000, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données [(JO 2001, L 8, p. 1),] doivent-ils être considérés au même titre que les conditions fixées à l’article 8, paragraphe 2, et à l’article 52, paragraphe 1, de la Charte pour apprécier la licéité d’empiètements ?
b) Dans quel rapport se trouvent le ‘droit de l’Union’ visé à l’article 52, paragraphe 3, dernière phrase, de la Charte et les directives en matière de droit à la protection des données ?
c) Au vu des conditions et restrictions apportées par la directive 95/46 et le règlement […] n° 45/2001 à la sauvegarde du droit fondamental à la protection des données inscrit dans la Charte, faut-il prendre en considération, dans l’interprétation de l’article 8 de [celle-ci], des changements découlant du droit dérivé ultérieur ?
d) Compte tenu de l’article 52, paragraphe 4, de la Charte, le principe de la prévalence du niveau supérieur de protection inscrit à l’article 53 de la Charte a-t-il pour conséquence que les limites assignées par [cette dernière] aux restrictions que peut valablement apporter le droit dérivé doivent être tracées plus étroitement ?
e) Au regard de l’article 52, paragraphe 3, de la Charte, du cinquième alinéa du préambule et des explications sur l’article 7 de [celle-ci], indiquant que les droits garantis à l’article 7 correspondent à ceux qui sont garantis par l’article 8 de la CEDH, la jurisprudence que la Cour européenne des droits de l’homme a consacrée à l’article 8 de la CEDH peut-elle donner des indications dans l’interprétation de l’article 8 de la Charte qui rejaillissent sur l’interprétation de ce dernier article ?»
22 Par décision du président de la Cour du 11 juin 2013, les affaires C-293/12 et C-594/12 ont été jointes aux fins de la procédure orale et de l’arrêt.
– Sur la deuxième question, sous b) à d), dans l’affaire C-293/12 et la première question dans l’affaire C-594/12
23 Par la deuxième question, sous b) à d), dans l’affaire C-293/12 et la première question dans l’affaire C-594/12, qu’il convient d’examiner ensemble, les juridictions de renvoi demandent en substance à la Cour d’examiner la validité de la directive 2006/24 à la lumière des articles 7, 8 et 11 de la Charte.
29 La conservation des données aux fins de leur accès éventuel par les autorités nationales compétentes, telle que prévue par la directive 2006/24, concerne de manière directe et spécifique la vie privée et, ainsi, les droits garantis par l’article 7 de la Charte. En outre, une telle conservation des données relève également de l’article 8 de celle-ci en raison du fait qu’elle constitue un traitement des données à caractère personnel au sens de cet article et doit, ainsi, nécessairement satisfaire aux exigences de protection des données découlant de cet article (arrêt Volker und Markus Schecke et Eifert, C-92/09 et C-93/09, EU:C:2010:662, point 47).
31 Eu égard aux considérations qui précèdent, il convient, aux fins de répondre à la deuxième question, sous b) à d), dans l’affaire C-293/12 et à la première question dans l’affaire C-594/12, d’examiner la validité de la directive au regard des articles 7 et 8 de la Charte.
33 Pour établir l’existence d’une ingérence dans le droit fondamental au respect de la vie privée, il importe peu que les informations relatives à la vie privée concernées présentent ou non un caractère sensible ou que les intéressés aient ou non subi d’éventuels inconvénients en raison de cette ingérence (voir, en ce sens, arrêt Österreichischer Rundfunk e.a., C-465/00, C-138/01 et C-139/01, EU:C:2003:294, point 75).
35 En outre, l’accès des autorités nationales compétentes aux données constitue une ingérence supplémentaire dans ce droit fondamental (voir, en ce qui concerne l’article 8 de la CEDH, arrêts Cour EDH, Leander c. Suède, 26 mars 1987, série A n°116, § 48 ; Rotaru c. Roumanie [GC], n° 28341/95, § 46, CEDH 2000-V, ainsi que Weber et Saravia c. Allemagne (déc.), n° 54934/00, § 79, CEDH 2006-XI). Ainsi, les articles 4 et 8 de la directive 2006/24 prévoyant des règles relatives à l’accès des autorités nationales compétentes aux données sont également constitutifs d’une ingérence dans les droits garantis par l’article 7 de la Charte.
40 Cette conservation des données n’est pas non plus de nature à porter atteinte au contenu essentiel du droit fondamental à la protection des données à caractère personnel, consacré à l’article 8 de la Charte, en raison du fait que la directive 2006/24 prévoit, à son article 7, une règle relative à la protection et à la sécurité des données selon laquelle, sans préjudice des dispositions adoptées en application des directive 95/46 et 2002/58, certains principes de protection et de sécurité des données doivent être respectés par les fournisseurs de services de communications électroniques accessibles au public ou de réseaux publics de communications, principes selon lesquels les États membres veillent à l’adoption de mesures techniques et organisationnelles appropriées contre la destruction accidentelle ou illicite, la perte ou l’altération accidentelle des données.
42 Il ressort de la jurisprudence de la Cour que constitue un objectif d’intérêt général de l’Union la lutte contre le terrorisme international en vue du maintien de la paix et de la sécurité internationales (voir, en ce sens, arrêts Kadi et Al Barakaat International Foundation/Conseil et Commission, C-402/05 P et C-415/05 P, EU:C:2008:461, point 363, ainsi que Al-Aqsa/Conseil, C-539/10 P et C-550/10 P, EU:C:2012:711, point 130). Il en va de même de la lutte contre la criminalité grave afin de garantir la sécurité publique (voir, en ce sens, arrêt Tsakouridis, C-145/09, EU:C:2010:708, points 46 et 47). Par ailleurs, il convient de relever, à cet égard, que l’article 6 de la Charte énonce le droit de toute personne non seulement à la liberté, mais également à la sûreté.
46 À cet égard, il convient de rappeler que le principe de proportionnalité exige, selon une jurisprudence constante de la Cour, que les actes des institutions de l’Union soient aptes à réaliser les objectifs légitimes poursuivis par la réglementation en cause et ne dépassent pas les limites de ce qui est approprié et nécessaire à la réalisation de ces objectifs (voir, en ce sens, arrêts Afton Chemical, C-343/09, EU:C:2010:419, point 45 ; Volker und Markus Schecke et Eifert, EU:C:2010:662, point 74 ; Nelson e.a., C-581/10 et C-629/10, EU:C:2012:657, point 71 ; Sky Österreich, C-283/11, EU:C:2013:28, point 50, ainsi que Schaible, C-101/12, EU:C:2013:661, point 29).
47 En ce qui concerne le contrôle juridictionnel du respect de ces conditions, dès lors que des ingérences dans des droits fondamentaux sont en cause, l’étendue du pouvoir d’appréciation du législateur de l’Union peut s’avérer limitée en fonction d’un certain nombre d’éléments, parmi lesquels figurent, notamment, le domaine concerné, la nature du droit en cause garanti par la Charte, la nature et la gravité de l’ingérence ainsi que la finalité de celle-ci (voir, par analogie, en ce qui concerne l’article 8 de la CEDH, arrêt Cour EDH, S et Marper c. Royaume-Uni [GC], nos 30562/04 et 30566/04, § 102, CEDH 2008-V).
48 En l’espèce, compte tenu, d’une part, du rôle important que joue la protection des données à caractère personnel au regard du droit fondamental au respect de la vie privée et, d’autre part, de l’ampleur et de la gravité de l’ingérence dans ce droit que comporte la directive 2006/24, le pouvoir d’appréciation du législateur de l’Union s’avère réduit de sorte qu’il convient de procéder à un contrôle strict.
52 S’agissant du droit au respect de la vie privée, la protection de ce droit fondamental exige, selon la jurisprudence constante de la Cour, en tout état de cause, que les dérogations à la protection des données à caractère personnel et les limitations de celles-ci doivent s’opérer dans les limites du strict nécessaire (arrêt IPI, C-473/12, EU:C:2013:715, point 39 et jurisprudence citée).
54 Ainsi, la réglementation de l’Union en cause doit prévoir des règles claires et précises régissant la portée et l’application de la mesure en cause et imposant un minimum d’exigences de sorte que les personnes dont les données ont été conservées disposent de garanties suffisantes permettant de protéger efficacement leurs données à caractère personnel contre les risques d’abus ainsi que contre tout accès et toute utilisation illicites de ces données (voir, par analogie, en ce qui concerne l’article 8 de la CEDH, arrêts Cour EDH, Liberty et autres c. Royaume- Uni, n° 58243/00, § 62 et 63, du 1er juillet 2008 ; Rotaru c. Roumanie, précité, § 57 à 59, ainsi que S et Marper c. Royaume-Uni, précité, § 99).
55 La nécessité de disposer de telles garanties est d’autant plus importante lorsque, comme le prévoit la directive 2006/24, les données à caractère personnel sont soumises à un traitement automatique et qu’il existe un risque important d’accès illicite à ces données (voir, par analogie, en ce qui concerne l’article 8 de la CEDH, arrêts Cour EDH, S et Marper c. Royaume-Uni, précité, § 103, ainsi que M. K. c. France, n° 19522/09, § 35, du 18 avril 2013).
60 En deuxième lieu, à cette absence générale de limites s’ajoute le fait que la directive 2006/24 ne prévoit aucun critère objectif permettant de délimiter l’accès des autorités nationales compétentes aux données et à leur utilisation ultérieure à des fins de prévention, de détection ou de poursuites pénales concernant des infractions pouvant, au regard de l’ampleur et de la gravité de l’ingérence dans les droits fondamentaux consacrés aux articles 7 et 8 de la Charte, être considérées comme suffisamment graves pour justifier une telle ingérence. Au contraire, la directive 2006/24 se borne à renvoyer, à son article 1er, paragraphe 1, de manière générale aux infractions graves telles qu’elles sont définies par chaque État membre dans son droit interne.
62 En particulier, la directive 2006/24 ne prévoit aucun critère objectif permettant de limiter le nombre de personnes disposant de l’autorisation d’accès et d’utilisation ultérieure des données conservées au strict nécessaire au regard de l’objectif poursuivi. Surtout, l’accès aux données conservées par ces autorités n’est pas subordonné à un contrôle préalable effectué soit par une juridiction, soit par une entité administrative indépendante intervenant à la suite d’une demande motivée de ces autorités présentée dans le cadre de procédures de prévention, de détection ou de poursuites pénales, une telle décision visant à limiter l’accès aux données et leur utilisation à ce qui est strictement nécessaire aux fins d’atteindre l’objectif poursuivi. Il n’a pas non plus été prévu une obligation précise des États membres visant à établir de telles limitations.
66 De surcroît, en ce qui concerne les règles visant la sécurité et la protection des données conservées par les fournisseurs de services de communications électroniques, il convient de constater que la directive 2006/24 ne prévoit pas des garanties suffisantes, telles que requises par l’article 8 de la Charte, permettant d’assurer une protection efficace des données conservées contre les risques d’abus ainsi que contre tout accès et toute utilisation illicites de ces données. En effet, ’en premier lieu, l’article 7 de la directive 2006/24 ne prévoit pas de règles spécifiques et adaptées à la vaste quantité des données dont la conservation est imposée par cette directive, au caractère sensible de ces données ainsi qu’au risque d’accès illicite à celles-ci, règles qui seraient destinées notamment à régir de manière claire et stricte la protection et la sécurité des données en cause, afin de garantir leur pleine intégrité et confidentialité. En outre, il n’a pas non plus été prévu une obligation précise des États membres visant à établir de telles règles.
67 Notamment, l’article 7 de la directive 2006/24, lu en combinaison avec les articles 4, paragraphe 1, de la directive 2002/58 et 17, paragraphe 1, second alinéa, de la directive 95/46, ne garantit pas que soit appliqué par lesdits fournisseurs un niveau particulièrement élevé de protection et de sécurité par des mesures techniques et organisationnelles, mais autorise notamment ces fournisseurs à tenir compte de considérations économiques lors de la détermination du niveau de sécurité qu’ils appliquent, notamment en ce qui concerne les coûts de mise en œuvre des mesures de sécurité. En particulier, la directive 2006/24 ne garantit pas la destruction irrémédiable des données au terme de la durée de conservation de celles-ci.
68 En second lieu, il convient d’ajouter que ladite directive n’impose pas que les données en cause soient conservées sur le territoire de l’Union, de sorte qu’il ne saurait être considéré qu’est pleinement garanti le contrôle par une autorité indépendante, explicitement exigé par l’article 8, paragraphe 3, de la Charte, du respect des exigences de protection et de sécurité, telles que visées aux deux points précédents. Or, un tel contrôle, effectué sur la base du droit de l’Union, constitue un élément essentiel du respect de la protection des personnes à l’égard du traitement des données à caractère personnel (voir, en ce sens, arrêt Commission/Autriche, C-614/10, EU:C:2012:631, point 37).
71 En conséquence, il y a lieu de répondre à la deuxième question, sous b) à d), dans l’affaire C-293/12 et à la première question dans l’affaire C-594/12 que la directive 2006/24 est invalide.
– Sur la première question et la deuxième question, sous a) et e), ainsi que sur la troisième question dans l’affaire C-293/12 et sur la seconde question dans l’affaire C-594/12
72 Il résulte de ce qui a été jugé au point précédent qu’il n’y a pas lieu de répondre à la première question, à la deuxième question, sous a) et e), et à la troisième question dans l’affaire C-293/12 non plus qu’à la deuxième question dans l’affaire C-594/12.
La Cour : M. V. Skouris (président), M. K. Lenaerts (vice-président), M. A. Tizzano, Mme R. Silva de Lapuerta, MM. T. von Danwitz (rapporteur), E. Juhász, A. Borg Barthet, C. G. Fernlund et J. L. da Cruz Vilaça, (présidents de chambre), MM. A. Rosas, G. Arestis, J.-C. Bonichot, A. Arabadjiev, Mme C. Toader et M. C. Vajda (juges)
Avocats : Me G. Otto, Me E. Scheucher

References: § 48
 § 46
 § 79
 § 102
 § 62
 § 57
 § 99
 § 103
 § 35