La CJUE invalide la directive sur les données personnelles jugée « disproportionnée » et intrusive

C’est une victoire importante pour les défenseurs de la vie privée avec cette révision imposée de la législation européenne sur la conservation des données. Comme les États-Unis en leur temps avec les attentats du 11 septembre, point de départ d’une surveillance accrue de la NSA avec la création de nombreux programmes d’espionnage à grande échelle, ce sont ces attentats et ceux du 11 mars 2004 à Madrid et du 7 juillet 2005 à Londres qui ont entraîné l’adoption de ce texte, aujourd’hui invalidé.

En effet, la directive 2006/24/CE du Parlement européen et du Conseil du 15 mars 2006 obligeait les opérateurs Télécoms à conserver certaines informations relatives au « trafic et aux données de localisation » d’une personne ou d’une entité juridique ainsi que les « données connexes nécessaires pour identifier l’abonné ou l’utilisateur enregistré » pour une durée de 6 mois à 2 ans. Le contenu même des conversations n’était pas concerné par la directive.

Néanmoins, comme le souligne Le Monde, la High Court of Ireland (Haute Cour irlandaise) et le Verfassungsgerichtshof (Cour constitutionnelle autrichienne), avaient entrepris la saisine de la Cour Européenne lui demandant de statuer sur la compatibilité de ce texte avec la Charte des droits fondamentaux de l’Union Européenne.

Le jugement est donc sans appel puisque dans son arrêt la CJUE a relevé différents problèmes :
– La durée de conservation est jugée disproportionnée :

il est possible d’avancer que la directive 2006/24 constitue une ingérence particulièrement caractérisée dans le droit au respect de la vie privée

– Non respect du principe de proportionnalité et « absence générale de limites » afin d’éviter une trop grande ingérence dans la vie privée des personnes :

Les « dérogations à la protection des données à caractère personnel et les limitations de celles-ci doivent s’opérer dans les limites du strict nécessaire »

« En outre, le fait que la conservation et l’utilisation ultérieure des données sont effectuées sans que l’abonné ou l’utilisateur inscrit en soit informé est susceptible de générer dans l’esprit des personnes concernées le sentiment que leur vie privée fait l’objet d’une surveillance constante. »

– La CJUE juge donc que cette conservation des données permise par la directive « répond effectivement à un objectif d’intérêt général » mais ne doit pas se faire sans limites définies.
Elle doit donc prévenir les éventuels abus, la CJUE constatant que la directive ne prévoit aucun « critère objectif permettant de délimiter l’accès des autorités nationales compétentes aux données et à leur utilisation ultérieure ».

Les réactions à cette décision ne se sont pas faites attendre. Dans un communiqué intitulé « Un coup d’arrêt à la rétention des données », François Castex, Vice-Présidente de la Commission des Affaires juridiques du Parlement européen et député européenne, s’est félicitée de cet arrêt qui “après le rapport Moraes sur le programme d’espionnage de la NSA, et l’adoption du paquet données personnelles par les eurodéputés, [est] un signal fort envoyé au Conseil“.

Elle ajoute que “cette directive, qui a été votée dans le cadre des accords UE/États-Unis après les attentats du 11 septembre, ne répondait pas aux exigences imposées par les droits fondamentaux à la vie privée et à la protection des données” et appelle à doter l’Europe d’un « habeas corpus numérique » et « suspendre, une fois pour toute, les accords Safe Harbour et Swift/TFTP qui autorisent le transfert des données personnelles des Européens aux autorités américaines”.

Viviane Reding, vice-présidente de la Commission Européenne en charge de la justice et des droits fondamentaux, a quant à elle déclaré que cet arrêt “confirme que la sécurité n’est pas un ‘super droit’ qui prévaut sur la protection des données“.