Breyer c. Allemagne

Avrupa İnsan Hakları Mahkemesi

Karar Metni

Note d’information sur la jurisprudence de la Cour 236

Janvier 2020

Breyer c. Allemagne - 50001/12

Arrêt 30.1.2020 [Section V]

Article 8

Article 8-1

Respect de la vie privée

Obligation légale pour les opérateurs de téléphonie mobile de recueillir des données personnelles des utilisateurs de cartes SIM prépayées et de les tenir à la disposition des autorités : non-violation

En fait – En 2004, la loi sur les télécommunications imposa aux opérateurs de téléphonie mobile l’obligation de recueillir certaines informations personnelles relatives à tous leurs clients et de conserver ces données avec le numéro de téléphone attribué, y compris en dehors de toute nécessité liée à la facturation ou au contrat.

Diverses autorités publiques peuvent ensuite demander l’extraction et la transmission de ces données sans avoir à disposer d’une décision de justice ou à en notifier les personnes concernées. Les demandes d’extraction de données peuvent dans certaines conditions être automatisées et donner lieu à des listes basées sur de simples similitudes (extraction sur la base d’indications fragmentaires) concernant les noms ou les numéros. Pareilles demandes d’informations sont permises lorsqu’elles sont estimées nécessaires « à la poursuite des infractions pénales et administratives, à la prévention d’un danger et à l’accomplissement de tâches liées au renseignement ».

Ayant acheté des cartes SIM prépayées, les requérants durent faire enregistrer auprès de leurs opérateurs respectifs leurs nom, adresse et date de naissance lors de l’activation de la carte. Ils saisirent la Cour constitutionnelle fédérale mais n’obtinrent pas gain de cause.

Pour se situer dans le même champ temporel que la juridiction constitutionnelle, la Cour examine la disposition litigieuse telle qu’elle était en vigueur au 1er janvier 2008.

En droit – Article 8 : L’ingérence litigieuse réside dans la conservation même – et non dans une éventuelle utilisation ultérieure – des données. La Cour constitutionnelle fédérale a toutefois estimé que, compte tenu des possibilités de traitement et de combinaison, aucune donnée à caractère personnel n’était en elle-même insignifiante.

La question de la prévisibilité et du caractère suffisamment détaillé des dispositions pertinentes est en l’espèce étroitement liée aux questions plus larges de savoir si l’ingérence était nécessaire dans une société démocratique et si elle était proportionnée.

À cet égard, compte tenu de l’absence de consensus européen quant à la collecte et à la conservation d’informations sur les détenteurs de cartes SIM prépayées, les États membres du Conseil de l’Europe jouissent d’une certaine marge d’appréciation. Celle-ci, selon la Cour, n’a pas été outrepassée en l’espèce, pour les raisons exposées ci-après.

D’emblée, la Cour admet que la conservation des données en question constituait, d’un point de vue général, une réponse adéquate à l’évolution des moyens de télécommunication et des comportements en matière de communication :

– l’enregistrement préalable des abonnés à la téléphonie mobile ayant nettement simplifié et accéléré les enquêtes menées par les organes administratifs ou judiciaires compétents, il peut contribuer à l’effectivité de l’application des lois, de la défense de l’ordre et de la prévention des infractions pénales ;

– le fait qu’il existe des moyens de contourner certaines obligations légales ne saurait constituer une raison de remettre en question l’utilité et l’effectivité globales de celles-ci ;

– outre l’absence de consensus, le fait que des raisons de sécurité nationale soient en jeu justifie l’existence d’une certaine marge d’appréciation.

Reste la question de savoir si l’ingérence était proportionnée. La Cour répond par l’affirmative, à l’issue de l’analyse ci-après.

a) Le niveau de l’ingérence dans la vie privée – La conservation de données opérée en l’espèce, contrairement à celle qui était en cause dans de précédentes affaires traitées par la Cour, ne portait pas sur des informations hautement personnelles ou permettant de créer des profils de personnes ou de retracer les déplacements des abonnés. De plus, aucune donnée concernant des communications particulières n’était conservée. Sans être insignifiante, l’ingérence a donc été de nature relativement limitée.

b) Garanties – Sur l’enregistrement et la conservation des données, la Cour relève ce qui suit :

– les requérants n’ont pas prétendu que la conservation des données avait impliqué des problèmes de sécurité technique ;

– la durée de la conservation est limitée à l’année civile qui suit l’année où la relation contractuelle a pris fin ; cette durée ne paraît pas excessive, car une enquête sur une infraction pénale peut durer longtemps et s’étendre au-delà de la fin de la relation contractuelle ;

– les données conservées se bornent aux informations nécessaires pour identifier clairement l’abonné concerné.

Il faut néanmoins tenir compte de possibilités de consultation et d’utilisation futures des données conservées. La Cour considère qu’il existe des garanties suffisantes à cet égard, compte tenu des éléments exposés ci-dessous.

i. Compétence pour déposer une demande d’informations

Demandes automatisées – Il est vrai que la disposition y relative a grandement simplifié l’extraction de données pour les autorités. La procédure centralisée et automatisée permet une consultation largement affranchie des difficultés pratiques de la collecte de données, et met les données à la disposition des autorités à tout moment et sans délai.

Toutefois, les autorités habilitées à demander l’accès à des données sont spécifiquement énumérées. La liste paraît certes large, mais toutes les autorités qui y figurent œuvrent pour l’application des lois ou la protection de la sécurité nationale.

Demandes manuelles – Les autorités habilitées à demander l’accès à des données par la disposition ici pertinente sont désignées par leurs fonctions mais non énumérées de manière explicite.

Si cette description basée sur les fonctions est moins précise et plus sujette à interprétation, le contenu de la disposition en question est cependant suffisamment détaillé pour indiquer clairement quelles sont les autorités habilitées à demander des informations.

Concernant les services de renseignement, la Cour constitutionnelle fédérale a conclu que les vastes prérogatives légales leur permettant de demander des informations à des fins préventives étaient justifiées par le caractère limité de leurs activités.

ii. Objet des demandes d’informations – Le service demandeur doit pouvoir se prévaloir d’une base légale complémentaire pour justifier l’extraction de données. La Cour constitutionnelle fédérale compare cela à un « système à double porte » : la loi sur les télécommunications permet uniquement à l’Agence fédérale des réseaux ou à l’opérateur concerné de transmettre les données ; puis il faut encore une autre disposition pour permettre aux autorités indiquées de demander les informations.

iii. Portée des demandes d’informations – L’extraction se limite aux données nécessaires (dans le cadre de la poursuite d’une infraction, par exemple, il faut qu’il existe au moins un soupçon initial). L’autorité qui extrait les informations est soumise à une obligation générale de supprimer sans délai excessif toutes les données dont elle n’a pas besoin.

En outre, l’exigence de « nécessité » est inhérente non seulement aux dispositions légales précisément visées dans la présente requête, mais aussi au droit allemand et européen en matière de protection des données.

Si l’accès à la procédure manuelle est plus ouvert que l’accès à la procédure automatisée, l’obligation de déposer la demande d’informations par écrit est de nature à encourager les autorités à ne rechercher des informations que si elles en ont vraiment besoin. En pratique, le nombre d’extractions manuelles semble bien inférieur à celui des extractions opérées dans le cadre de la procédure automatisée.

iv. Examen et contrôle des demandes d’informations – Les opérateurs de télécommunication n’étant pas compétents pour examiner la recevabilité d’une demande dès lors que les informations sont demandées par écrit et qu’une base légale est invoquée, la responsabilité quant à la légalité de la demande incombe à l’autorité qui procède à l’extraction. Toutefois :

– l’Agence fédérale des réseaux est compétente pour examiner, lorsqu’elle perçoit des raisons de le faire, s’il est acceptable de transmettre les données concernées ;

– toute extraction ainsi que les informations concernant celle-ci doivent être consignées aux fins du contrôle au titre de la protection des données, qui est confié à des autorités indépendantes pouvant être saisies par toute personne concernée ;

– il est également possible, sur le fondement des dispositions générales du droit interne, de contester une mesure d’extraction d’informations, en particulier dans le cadre d’un recours contre une décision définitive émanant d’un service demandeur.

Compte tenu de ces possibilités de contrôle, l’absence de notification concernant une procédure d’extraction ne soulève pas de problème au regard de la Convention.

Quoi qu’il en soit, malgré l’importance qu’il revêt, le niveau d’examen et de contrôle ne saurait être un élément déterminant dans l’appréciation de la proportionnalité de la collecte et de la conservation d’un éventail de données si limité.

Conclusion : non-violation (six voix contre une).

(Voir aussi les fiches thématiques Surveillance de masse et Protection des données personnelles)

Cliquez ici pour accéder aux Notes d'information sur la jurisprudence

Full & Egal Universal Law Academy