Conservation des données : Pour une Europe où les gens sont « innocents jusqu’à preuve du contraire » 

Dans un arrêt rendu aujourd’hui, la Cour de justice de l’UE a rejeté la législation allemande sur la conservation généralisée et indifférenciée des données relatives au trafic et des données de localisation de l’ensemble de la population. Elle avertit que la conservation en masse peut révéler “les habitudes de la vie quotidienne, les lieux de résidence permanents ou temporaires de résidence, les déplacements quotidiens ou autres, les activités exercées, les relations sociales de ces personnes et les environnements sociaux qu’elles fréquentent”. Toutefois, la Cour ne s’est pas opposée à la conservation en masse rétention massive de données relatives au trafic Internet (adresses IP), qui peuvent être utilisées pour retracer l’activité en ligne. La procédure dite de gel rapide a également été a également été autorisée pour la poursuite de crimes graves.

Patrick Breyer, membre du Parlement européen (Parti pirate), appelle à ce que la Commission européenne fasse appliquer ce jugement dans toute l’Europe :

« Le jugement d’aujourd’hui confirme que la législation nationale sur la conservation des données en masse dans la plupart des États membres de l’UE est illégale , y compris les tentatives de la justifier par un “état d’urgence permanent” en France et au Danemark, ou par des taux de criminalité régionaux en Belgique. La collecte en masse d’informations sur les communications et les mouvements quotidiens de millions de personnes insoupçonnées constitue une attaque sans précédent contre notre droit à la vie privée et représente la méthode la plus invasive de surveillance de masse dirigée par l’État envers ses propres citoyens. La surveillance de masse est à l’opposé de ce que les valeurs européennes incarnent. La Commission doit maintenant enfin mettre fin à l’impunité et commencer à faire respecter notre droit à la vie privée dans toute l’Europe ! »

La CJEU précise (paras 83-84) les limites de la surveillance ‘ciblée’ qu’elle avait permise dans ses arrêts du 6 octobre 2020 (La Quadrature du Net) – un concept dès lors utilisé à torts par l’Allemagne, la Belgique et le Danemark.
Elle établit que “une obligation de conservation des données qui concerne la quasi-totalité des personnes composant la population sans que celles-ci se trouvent, même indirectement, dans une situation susceptible de donner lieu à des poursuites pénales” ne peut être considérée comme étant une conservation ciblée des données, contrairement à ce que soutient le gouvernement allemand. Le gouvernment belge n’a qu’a bien se tenir, car la loi passée au Moniteur le 8 juillet 2022 de facto rétablit cette même surveillance ce masse, sous le couvert d’un ‘ciblage’ très large!

La Belgique impose la conservation différenciée d’un point de vue géographique, de l’essentiel des données relatives au trafic et des données de localisation. Cependant, les critères choisis (le seuil de ‘crimes graves’, en dessous de la moyenne nationale) sont tels que l’étendue des données et du territoire couverts correspond, en substance, à celle des données conservées dans les affaires ayant conduit à la jurisprudence du 6 octobre 2020 (La Quadrature du Net) – où la conservation a été jugée disproportionnée et contraire aux droits.

Les résultats anecdotiques des politiques de conservation des données sont loin d’être à la hauteur des dommages que l’effet paralysant de cette arme de surveillance inflige à nos sociétés, comme l’a révélé une étude récente. Les lois sur la conservation des données n’ont aucun effet mesurable sur le taux de criminalité ou le taux d’élucidation des crimes dans aucun pays de l’UE. Le taux d’élucidation des affaires de cybercriminalité en Allemagne, par exemple, est de 58,6 % et se situe au-dessus de la moyenne même sans conservation des données IP. Il a même chuté lorsque la législation sur la conservation des données a été adoptée en 2009.

« Je remarque en Europe un phénomène dangereux consistant à ce que les gouvernements nationaux utilisent toutes sortes d’astuces pour maintenir une surveillance de masse illégale, » ajoute Breyer. « Ce faisant, ils ne respectent pas les décisions des plus hautes juridictions. L’État de droit dans l’UE et les droits fondamentaux des citoyens souffrent de l’avidité de surveillance des gouvernements et des services répressifs. La Commission européenne reste les bras croisés. La violation persistante des droits fondamentaux, le contournement de la jurisprudence, les pressions exercées sur les juges et l’ignorance des faits constituent une attaque contre l’État de droit à laquelle nous devons mettre fin. La Commission européenne doit maintenant assumer son rôle et commencer à appliquer les décisions historiques, au lieu de comploter pour rétablir la rétention des données. »

Selon des documents fuités, la Commission européenne propose pourtant à huis clos aux gouvernements de l’UE plusieurs méthodes qui, sur le papier, semblent respecter les exigences des tribunaux mais en fait rétablissent de facto la conservation généralisée. La Commission propose également d’étendre les obligations d’identification et de conservation généralisée aux services de messagerie, de conférence et de courrier électronique sur Internet. Breyer avertit :

« L’arrêt d’aujourd’hui ne décrit que les limites les plus extrêmes de ce qui est légalement possible, et ne doit pas être considéré comme un guide d’instruction. Je mets en garde la Commission européenne, qu’elle n’ignore pas le manque d’efficacité et les effets néfastes sur la société des mesures de conservation généralisée des données, en faisant une nouvelle proposition visant à placer 450 millions de citoyens européens sous une suspicion générale ! Nous devons plutôt nous focaliser sur la conservation rapide et transfrontalière des preuves numériques des suspects (quick freeze). »

Malheureusement, il semble exister actuellement un consensus entre les gouvernements sur la conservation systématique des données IP dans toute l’Europe, ce que les juges de Luxembourg ont cautionné sous une pression considérable. Il ne faut cependant en aucun cas que les internautes fassent l’objet d’une suspicion générale et que l’anonymat en ligne soit aboli ! Les adresses IP sont nos empreintes digitales sur l’internet. Leur collecte en masse compromettrait la prévention de la criminalité à d’autres niveaux (telle que sous la forme de consultations anonymes et de soins psychologiques), l’aide aux victimes par le biais de forums d’entraide anonymes, ainsi que la presse libre, qui dépend d’informateurs anonymes. Par ailleurs, rien ne prouve que la conservation des données IP augmente de manière significative le taux d’élucidation des crimes. En l’absence de conservation des données, l’Allemagne affiche aujourd’hui ici aussi un taux d’élucidation de la cybercriminalité plus élevé que dans les pays où la conservation des données IP est en place.

De plus, la conservation généralisée des données est parfois présentée comme un outil indispensable pour la lutte contre les abus sexuels sur les enfants, alors que si tel est le but, il existe des mesures bien plus efficientes, et des mesures visant à prévenir plutôt que guérir. Au lieu de la conservation des données, il faudrait renforcer les mesures et les projets de prévention, tels que les mesures de protection de l’enfance et les services de conseil et de thérapie anonymes, qui sont aujourd’hui sous-financés. Quant aux images et vidéos accessibles en ligne, la police – elle-aussi sous-financée – doit faire son travail correctement, et donc signaler ces contenus ‘connus’ afin qu’ils soient retirés.”

Auparavant, le groupe de travail allemand sur la conservation des données avait souligné que la conservation des adresses IP était “totalement inadaptée à la protection des enfants”. Mais non seulement ce n’est pas adapté, c’est aussi superflu; une question parlementaire a récemment fait émerger les données du gouvernement allemand indiquant que, sans conservation des données IP, l’Allemagne parvient déjà à retracer 97% des signalements de pornographie enfantine présumée émis par le NCMEC.  En 2020, l’Allemagne était en mesure de poursuivre 91,3 % de tous les cas de pornographie infantile sans que cette conservation obligatoire des données IP soit en vigueur.

Les commentaires de Breyer sur les solutions envisagées par la Commission pour faire renaître la conservation des données : https://www.patrick-breyer.de/en/breyer-stop-the-return-of-indiscriminate-and-general-communications-data-retention/

Un ancien juge de la CJUE estime que plusieurs des propositions de la Commission sont en violation de la jurisprudence : https://www.patrick-breyer.de/en/comeback-of-data-retention-former-eu-judge-dismisses-commissions-plans/

L’accord de coalition allemand prévoit que les données de communication ne peuvent être conservées que sur une base ad hoc et sur décision judiciaire. Le projet de loi en Allemagne visant à réformer la législation sur la conservation des données est attendu prochainement.

Un sondage publié en 2022 a révélé que seulement 39 % des personnes interrogées dans l’UE sont favorables à ce que la conservation des données soit appliquée aux personnes non suspectes, tandis que 42 % y sont opposées. Plus d’un tiers des personnes interrogées (34 %) s’abstiendraient de consulter un conseiller conjugal, un psychothérapeute ou une clinique de désintoxication par téléphone, téléphone portable ou courrier électronique si elles savaient que leur contact était enregistré. (Allemagne : 45%, Autriche : 42%, France : 38%, Belgique : 35%, Pays-Bas : 34%, Suède : 33%, République tchèque : 26% et Espagne : 13%)