La Cour de Justice précise le droit d'accès de la police à nos données électroniques (eu)
Europe > Droit privé > Droit européen > Protection des données personnelles
Article publié sur la blog ip NEWS
Axel Beelen
Octobre 2018
La Cour de justice vient de rendre une décision [1] qui fait suite à ses célèbres arrêts de 2012 (Digital Rights Ireland) et de 2016 (Tele2 Sverige et Watson) concernant le droit d’accès des autorités publiques (dont la police) aux données personnelles conservées par les fournisseurs de services de communications électroniques par rapport à leurs utilisateurs. Compte-rendu.
Les faits à l'origine de la décision
Le 16 février 2015, M. Hernandez Sierra a été victime d’un vol avec violence au cours duquel il a été blessé et son portefeuille ainsi que son téléphone mobile lui ont été dérobés. Il a de suite déposé une plainte auprès de la police espagnole à ce sujet.
Le 27 février 2015, la police judiciaire a saisi le juge d’instruction d’une demande tendant à ordonner à divers fournisseurs de services de communications électroniques la transmission des numéros de téléphone activés, entre le 16 février et le 27 février 2015, avec le code relatif à l’identité internationale d’équipement mobile (le « code IMEI ») du téléphone mobile volé ainsi que les données à caractère personnel relatives à l’identité civile des titulaires ou des utilisateurs des numéros de téléphone correspondant aux cartes SIM activées avec ce code, telles que leurs nom, prénom et, le cas échéant, adresse.
Par ordonnance du 5 mai 2015, le juge d’instruction a rejeté cette demande. Le ministère public a interjeté appel de cette ordonnance devant la juridiction de renvoi qui interroge la Cour de justice concernant les conditions d’accès des autorités policières aux données personnelles conservées par les fournisseurs de services de communications électroniques.
La Cour de Justice précise sa jurisprudence Digital Rights Ireland
L’accès des autorités publiques aux données personnelles conservées par les fournisseurs de services de communications électroniques est constitutif d’une double ingérence dans les droits fondamentaux protégés par la charte des droits fondamentaux de l’Union européenne.
En effet, il y a une ingérence dans l’article 7 de la charte relatif au droit fondamental au respect de la vie privée et dans son article 8 concernant le droit fondamental à la protection des données à caractère personnel.
Les Etats membres peuvent toutefois prévoir une limitation à cette double protection.
Toutefois, ces limitations doivent être établies uniquement pour des objectifs de sauvegarde de la sécurité nationale (c’est-à-dire la sûreté de l’État), de la défense et de la sécurité publique ou pour assurer la prévention, la recherche, la détection et la poursuite d’infractions pénales ou d’utilisations non autorisées du système de communications électroniques (art. 15 de la directive 2002/58 dite « directive vie privée et communications électroniques »).
La Cour de justice observe que, s’agissant de l’objectif de prévention, de recherche, de détection et de poursuite d’infractions pénales, le libellé de l’article 15.1 de la directive 2002/58 vise les « infractions pénales » en général.
La Cour de justice va ici établir une distinction que nous pouvons résumer ainsi, distinction qui lui permet de concilier la jurisprudence Digital Rights Ireland et Tele2 avec cette décision:
- Afin de lutter contre la criminalité grave, les autorités policières peuvent avoir accès aux données personnelles conservées par les fournisseurs de services de communications électroniques qui, prises dans leur ensemble, permettent de tirer des conclusions précises concernant la vie privée des personnes dont les données sont concernées (lutte contre la criminalité grave = ingérence grave) ;
- Afin de prévenir, rechercher, détecter et de poursuivre des « infractions pénales » en général, les autorités policières peuvent avoir accès à des données personnelles tant que ces données ne permettent pas, prises dans leur ensemble, de tirer des conclusions précises concernant la vie privée des personnes dont les données sont concernées.
La Cour va appliquer son raisonnement au cas d’espèce et considérer que tel n’est pas le cas ici puisque les données demandées ne portent pas sur les communications effectuéesavec le téléphone mobile volé ni sur la localisation de celui-ci.
A contrario, si tel est le cas, on pourrait considérer que l’ingérence est grave et donc uniquement possible pour lutter contre la criminalité grave.
Conlusion
Se sentant peut-être bloquée par sa jurisprudence Digital Rights Ireland et Tele2, la Cour permet ici aux autorités publiques dont policières d’avoir quand même accès aux données personnelles conservées par les fournisseurs de services de communications électroniques.
La distinction entre infractions pénales en générale et lutte contre la criminalité grave risque d’apparaître parfois subtile.
Comment aussi déterminer que des données permettent ou ne permettent pas de tirer des conclusions précises concernant la vie privée des personnes dont les données sont concernées? La Cour de justice cite en exemple les données sur le contenu des communications ou des données de géolocalisation.
D’autres litiges permettront sûrement à la Cour d’affiner encore un peu plus son raisonnement.
