LQDN, FDN et autres intervenants contre le gouvernement français

Le 26 novembre 2018, Privacy International a transmis ses observations juridiques à la Cour de justice de l’Union européenne (CJUE) sur l’affaire LQDN, FDN et Autres contre le gouvernement français, concernant la conservation des données personnelles dans le cadre de la réglementation française en vigueur.

En juillet 2018, le Conseil d’Etat (la plus haute juridiction administrative française) a renvoyé à la CJUE des questions portant sur la potentielle ingérence dans les droits fondamentaux prévue par cette réglementation française. Ce renvoi fait suite à deux actions en justice intentées par la Quadrature du Net, French Data Network, et la Fédération des fournisseurs d’accès à Internet associatifs, rejoints par Privacy International et le Center for Democracy and Technology. Privacy International est intervenue en février 2016 devant le Conseil d’Etat, avec le Center for Democracy and Technology, en soutien à la requête d’associations françaises demandant l’annulation des dispositions réglementaires, issues notamment du Décret n° 2006-358 du 24 mars 2006, qui permettent une conservation indifférenciée des données personnelles, en violation du droit applicable de l’Union européenne.

Dans l’affaire devant la CJUE, Privacy International a argumenté, premièrement, que le droit de l’Union européenne (Article 15, paragraphe 1, de la Directive 2002/58 et la Charte des droits fondamentaux de l’Union européenne) doit être interprété en ce sens qu’il s’oppose à une réglementation nationale prévoyant, aux fins d’assurer la sécurité intérieure, une conservation généralisée et indifférenciée des données de tous les abonnés et utilisateurs. Deuxièmement, le droit de l’Union européenne doit être interprété en ce sens qu’il s’oppose à une réglementation nationale permettant le recueil en temps réel des données relatives au trafic et à la localisation d’individus déterminés, sans soumettre ce recueil à l’autorisation préalable d’une juridiction ou d’une autorité administrative indépendante. Troisièmement, le droit de l’Union européenne doit être interprété en ce sens qu’il s’oppose à une réglementation nationale permettant le recueil par des autorités nationales de données de connexion se rapportant à une ou plusieurs personnes, sans prévoir d’informer les personnes concernées, dès le moment où cette notification n’est plus susceptible de compromettre les enquêtes menées par ces autorités.

La CJUE a décidé de faire une audience commune avec trois autres affaires, les affaires C-623/17 (Privacy International) du Royaume-Uni et C-520/18 (Ordre des barreaux francophones et germanophone et autres) de la Belgique. Le 15 janvier 2020, l’Avocat général de la CJUE a émis son avis sur le jugement que devrait prononcer la Cour dans cette affaire et il a indiqué que la réglementation française de conservation des données est contraire au droit de l’Union européenne. L’Avocat général a publié également ses avis concernant les deux autres affaires.

Le 6 octobre 2020, la CJUE a rendu son jugement sur les affaires jointes de la France et de la Belgique, alors qu’elle rendait un jugement distinct sur l’affaire du Royaume-Uni. La CJUE a d’abord jugé que le droit de l’Union européenne s’applique chaque fois qu’un gouvernement exige des fournisseurs de services de communications électroniques de traiter des données, même si des raisons de sécurité nationale sont invoquées. Ensuite, la CJUE a conclu que le droit de l’Union européenne a fixé des garanties en matière de protection de la vie privée pour la collecte et la conservation des données : le Royaume-Uni, la France et la Belgique se doivent de les respecter. Les affaires sont renvoyées devant chacune des juridictions nationales pour la mise en œuvre de ce jugement.

* Image taken by Katarina Dzurekova, A l’extérieur de la Cour européenne de Justice

Cette page exist aussi en anglais ici.