Collecte massive des données de connexion et de localisation : recadrage de la CJUE

Dans un arrêt fleuve du 6 octobre 2020, la Cour de justice de l‘Union européenne a jugé le droit de l’Union, dont l’article 15-1 de la directive vie privée et communications électroniques, s’oppose à une réglementation nationale imposant à un fournisseur de services de communications électroniques la transmission ou la conservation généralisée et indifférenciée de données relatives au trafic et à la localisation des personnes, à des fins de lutte contre les infractions en général ou de sauvegarde de la sécurité nationale. Toutefois elle ne l’exclut pas dans certaines conditions très précises, « dès lors que ces mesures assurent, par des règles claires et précises, que la conservation des données en cause est subordonnée au respect des conditions matérielles et procédurales y afférentes et que les personnes concernées disposent de garanties effectives contre les risques d’abus ». Ainsi aux fins de la sauvegarde de la sécurité nationale, une législation nationale peut autoriser « le recours à une injonction faite aux fournisseurs de services de communications électroniques de procéder à une conservation généralisée et indifférenciée des données relatives au trafic et des données de localisation, dans des situations où l’État membre concerné fait face à une menace grave pour la sécurité nationale qui s’avère réelle et actuelle ou prévisible, la décision prévoyant cette injonction pouvant faire l’objet d’un contrôle effectif, soit par une juridiction, soit par une entité administrative indépendante, dont la décision est dotée d’un effet contraignant, visant à vérifier l’existence d’une de ces situations ainsi que le respect des conditions et des garanties devant être prévues, et ladite injonction ne pouvant être émise que pour une période temporellement limitée au strict nécessaire, mais renouvelable en cas de persistance de cette menace ».