Deux arrêts du même jour, tous les deux de grande chambre et portant tous les deux sur la problématique de la protection des données, sont à signaler.

Le premier arrêt est un arrêt en manquement contre la Hongrie, et doit bien évidemment être replacé dans le contexte des réformes liberticides dont ce pays est accusé depuis l’arrivée au pouvoir de Viktor Orban. En vertu de l’article 28§1 de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données^[1], « chaque État membre prévoit qu’une ou plusieurs autorités publiques sont chargées de surveiller l’application, sur son territoire, des dispositions adoptées par les États membres en application de la présente directive. Ces autorités exercent en toute indépendance les missions dont elles sont investies ». Jusqu’au 31 décembre 2011, l’autorité de contrôle de la protection des données à caractère personnel visée à l’article 28 de la directive 95/46 était régie en Hongrie par la loi n° LXIII de 1992, relative à la protection des données à caractère personnel et à l’accès aux données d’intérêt général : il s’agissait du commissaire à la protection des données, nommé par le Parlement. Les causes de cessation de fonction de ce commissaire, limitativement énumérées par la loi, étaient les suivantes : arrivée à échéance de son mandat, décès, démission, déclaration d’un conflit d’intérêts, mise à la retraite d’office, démission d’office.

Cependant, la Loi fondamentale de la Hongrie est entrée en vigueur le 1er janvier 2012. Or, aux termes de son article VI, paragraphe 3, « une autorité indépendante instituée par une loi organique veille au respect des droits afférents à la protection des données à caractère personnel et à l’accès aux données d’intérêt général ». Les points 3 et 5 des dispositions finales de la Loi fondamentale prévoient, respectivement, que le Parlement adoptera séparément des dispositions transitoires et que celles-ci feront partie de la Loi fondamentale. Il résulte précisément de l’article 16 de ces dispositions transitoires, adoptées par le Parlement, que « l’entrée en vigueur de la présente Loi fondamentale met fin au mandat du [commissaire] en fonction ». Le même 1^er janvier 2012, la réglementation hongroise relative à l’autorité de contrôle a été modifiée et la loi n° CXII de 2011, sur l’autodétermination en matière d’information et la liberté de l’information. Cette loi, qui selon ses termes mêmes a pour objet de transposer la directive 95/46 dans l’ordre juridique hongrois, abroge la loi de 1992 et, à la place du commissaire, établit la Nemzeti Adatvédelmi és Információszabadság Hatóság (Autorité nationale chargée de la protection des données et de la liberté de l’information). La question était évidemment de savoir si cette substitution d’une autorité à une autre est compatible avec le principe d’indépendance.

Sans grande surprise, la Cour estime que « s’il était loisible à chaque État membre de mettre fin au mandat d’une autorité de contrôle avant le terme initialement prévu de celui-ci sans respecter les règles et les garanties préétablies à cette fin par la législation applicable, la menace d’une telle cessation anticipée qui planerait alors sur cette autorité tout au long de l’exercice de son mandat pourrait conduire à une forme d’obéissance de celle-ci au pouvoir politique, incompatible avec ladite exigence d’indépendance » (point 54). Or, il est indéniable que la cessation de fonction du commissaire à la protection des données dans la présente affaire ne correspondait à aucun des cas de cessation de fonction prévus par la législation hongroise.

Il est certes vrai, comme le relève la Cour, que « les États membres sont libres d’adopter et de modifier le modèle institutionnel qu’ils estiment le plus adapté pour leurs autorités de contrôle » (point 60). Il n’en reste pas moins que, ce faisant, « ils doivent dans ce cadre veiller à ne pas porter atteinte à l’indépendance de l’autorité de contrôle résultant de l’article 28, paragraphe 1, second alinéa, de la directive 95/46 ». La solution était juridiquement prévisible, sauf à vider la notion d’indépendance de son contenu le plus fondamental. Elle n’en reste pas moins politiquement forte dans le contexte actuel, faisant de la Cour de justice la seule institution de l’Union européenne à avoir, pour l’instant, condamné la Hongrie^[2] pour ce qui pourrait légitimement apparaître comme une « violation grave et persistante par un État membre des valeurs [de l’Union] » au sens de l’article 7 TUE dont on rappellera ici, incidemment, qu’il n’a toujours pas été mis en œuvre contre la Hongrie…

Le second arrêt est plus novateur sur le plan juridique puisqu’il s’agit de la première invalidation d’un acte de droit dérivé pour incompatibilité avec la Charte des droits fondamentaux de l’Union européenne. Il s’agissait en l’espèce de la directive 2006/24/CE du Parlement européen et du Conseil, du 15 mars 2006, sur la conservation de données générées ou traitées dans le cadre de la fourniture de services de communications électroniques accessibles au public ou de réseaux publics de communications, et modifiant la directive 2002/58/CE^[3]. Cette directive a pour objectif d’harmoniser les dispositions des États membres relatives aux obligations des fournisseurs de services de communications électroniques accessibles au public ou de réseaux publics de communications en matière de conservation de certaines données qui sont générées ou traitées par ces fournisseurs, en vue de garantir la disponibilité de ces données à des fins de recherche, de détection et de poursuite d’infractions graves telles qu’elles sont définies par chaque État membre dans son droit interne. Comme son intitulé le suggère, cette directive impose qu’un certain nombre de données générées ou traitées dans le cadre de la fourniture des services de communication soient conservées pour une durée minimale de six mois et maximale de deux ans à compter de la date de la communication (art. 6), afin le cas échéant d’être transmises aux seules « autorités nationales compétentes, dans des cas précis et conformément au droit interne » (article 4).

La question posée était celle de la compatibilité de cette directive avec les articles 7, 8 et 11 de la Charte, relatifs respectivement à la vie privée, à la protection des données et à la liberté d’expression. Suivant un schéma de raisonnement très proche de celui suivi par son homologue de Strasbourg, la Cour de justice s’attache d’abord à établir l’existence d’une ingérence avant, éventuellement, de s’interroger sur la justification de l’ingérence, dans la mesure où aucun des droits invoqués n’est absolu. Mais avant cela, elle estime nécessaire de consacrer plusieurs lignes à la question de « la pertinence des articles 7, 8 et 11 de la Charte au regard de la question de la validité de la directive 2006/24 ».

La pertinence des dispositions de la Charte invoquées

Il s’agit là d’une sorte de phase de « tri » entre les griefs invoqués, de façon à distinguer les droits qui sont le plus immédiatement affectés et ceux qui ne le sont que par voie de conséquence. Au terme de ce « tri », la Cour estime devoir concentrer son appréciation sur les articles 7 et 8, l’atteinte à la liberté d’expression étant en réalité, pour reprendre l’expression de l’avocat général Pedro Cruz Villalon, une « conséquence collatérale d’une ingérence dans le droit au respect de la vie privée » (point 52 des conclusions) – l’on ajouterait même qu’il s’agit d’une conséquence seulement éventuelle, à en croire la Cour, pour qui « il n’est pas exclu que la conservation des données en cause puisse avoir une incidence sur l’utilisation, par les abonnés ou les utilisateurs inscrits, des moyens de communication visés par cette directive et, en conséquence, sur l’exercice par ces derniers de leur liberté d’expression, garantie par l’article 11 de la Charte » (point 28 – accent rajouté).

La Cour ne va cependant pas au-delà, et se refuse à examiner l’affaire sous l’angle du seul article 8 (protection des données), qui est pourtant le plus directement applicable. Pour justifier ce caractère indétachable des griefs, la Cour prend soin de relever l’importance des données conservées^[4], et en particulier le fait que « ces données, prises dans leur ensemble, sont susceptibles de permettre de tirer des conclusions très précises concernant la vie privée des personnes dont les données ont été conservées, telles que les habitudes de la vie quotidienne, les lieux de séjour permanents ou temporaires, les déplacements journaliers ou autres, les activités exercées, les relations sociales de ces personnes et les milieux sociaux fréquentés par celles-ci » (point 27). Il s’agit là d’un enseignement intéressant sur les liens entre protection des données et protection de la vie privée : lorsque les données en cause permettent une intrusion précise dans la vie privée, la première est attractive de la seconde. Ce raisonnement confine cependant, on peut le relever, à anticiper déjà la question de l’ingérence.

L’ingérence

Cette ingérence est assez facilement démontrée par la Cour. Pour l’article 7 (vie privée), elle est double : elle résulte, d’une part, de la conservation des données par les fournisseurs de services de communication et, d’autre part, de leur accessibilité pour les autorités nationales compétentes. Pour l’article 8 (protection des données), elle est simple : elle résulte ipso jurede ce que les données sont « traitées ». L’on se permettra de relever au passage l’insistance de la Cour, reprenant ici encore l’analyse de son avocat général, sur la gravité de l’ingérence (point 37) : « force est de constater que l’ingérence que comporte la directive 2006/24 dans les droits fondamentaux consacrés aux articles 7 et 8 de la Charte s’avère (…) d’une vaste ampleur et qu’elle doit être considérée comme particulièrement grave. En outre, la circonstance que la conservation des données et l’utilisation ultérieure de celles-ci sont effectuées sans que l’abonné ou l’utilisateur inscrit en soient informés est susceptible de générer dans l’esprit des personnes concernées (…) le sentiment que leur vie privée fait l’objet d’une surveillance constante ». Par une telle insistance sur la gravité de l’ingérence, la Cour, encore une fois, anticipe sur la phase suivante de son raisonnement, le test de proportionnalité mis en œuvre au stade de l’examen de la justification de l’ingérence.

La justification de l’ingérence

Dans le cadre de ce dernier, la Cour commence par relever que la directive ne porte pas atteinte au contenu essentiel des droits invoqués – ce qui aurait condamné la directive sans rémission et sans avoir à pousser plus loin l’examen. En effet, la directive ne prévoit pas la conservation des communications (préservant ainsi le « noyau dur » de la vie privée) elles-mêmes et prévoit « certains principes de protection et de sécurité des données » (préservant ainsi le noyau dur de l’article 8 de la Charte). L’objectif d’intérêt général est ensuite assez facilement identifié comme étant la lutte contre la criminalité et le terrorisme international – antienne de notre époque.

Passant alors au test de proportionnalité, la Cour remarque que l’importance du droit fondamental en cause et la gravité de l’ingérence (cf. supra) réduisent la marge d’appréciation du législateur européen et, corrélativement, accroissent l’intensité du contrôle juridictionnel. Après avoir estimé que la directive réussit le test d’adéquation (la conservation des données est « apte » à faciliter la lutte contre la criminalité et le terrorisme), la Cour estime cependant qu’elle échoue au test de nécessité, pour trois raisons majeures.

D’une part (points 56 s.), la directive s’applique à l’ensemble des données de communication de l’ensemble des personnes utilisant des services de communication, sans qu’aucun lien avec une quelconque infraction ne soit nécessaire.

D’autre part, la directive ne pose pas suffisamment de garanties quant à l’accès des autorités nationales compétentes, se contentant de renvoyer en la matière aux législations nationales (points 60 s.), ainsi que quant à la sécurité et la protection des données (points 66 s.). L’on relèvera ici au passage que la Cour ne se contente pas du fait que les Etats membres sont eux aussi astreints au respect des droits fondamentaux et de la CEDH. La directive est donc contestable par le simple fait qu’elle ne pose pas elle-même les garanties nécessaires. En ce sens, l’arrêt commenté ici contraste avec la jurisprudence antérieure, en particulier avec l’arrêt Wachauf^[5] dans lequel la Cour, observant que « la réglementation communautaire en cause laiss[ait] aux autorités nationales compétentes une marge d'appréciation suffisamment large pour leur permettre d' appliquer cette réglementation dans un sens conforme aux exigences découlant de la protection des droits fondamentaux », en déduisait que « l’argument tiré d'une contradiction entre la réglementation en cause et les exigences découlant de la protection des droits fondamentaux dans l' ordre juridique communautaire [devait] être écarté ».

Enfin (points 63 s.), la durée de conservation est fixée entre six et vingt-quatre mois, sans que soient déterminés des critères objectifs afin de garantir que cette durée est limitée au strict nécessaire.

Au final, c’est donc au terme d’un arrêt très pédagogique que la directive 2006/24 est invalidée. L’on se permettra au passage de remarquer que, si la frontière entre les grandes étapes de raisonnement de la Cour dans cette affaire peut parfois paraître un peu poreuse, comme nous l’avons relevé précédemment, elle fait en revanche preuve d’une grande rigueur dans l’enchaînement des différents points d’examen, reprenant le schéma de raisonnement de la Cour européenne des droits de l’homme avec une clarté que cette dernière pourrait parfois lui envier.

Notes de bas de page

• JOUE n° L 281, p. 31.
• Cf. déjà, à propos d’un régime national imposant la cessation de l’activité professionnelle des juges, des procureurs et des notaires ayant atteint l’âge de 62 ans : CJUE, 1^èrechambre, 6 novembre 2012, Commission européenne c. Hongrie, aff. C-286/12.
• JOUE n° L 105, p. 54.
• Ce sont, notamment, les données nécessaires pour retrouver et identifier la source d’une communication et la destination de celle-ci, pour déterminer la date, l’heure, la durée et le type d’une communication, le matériel de communication des utilisateurs, ainsi que pour localiser le matériel de communication mobile, données au nombre desquelles figurent, notamment, le nom et l’adresse de l’abonné ou de l’utilisateur inscrit, le numéro de téléphone de l’appelant et le numéro appelé ainsi qu’une adresse IP pour les services Internet.
• CJCE, 3ème chambre, 13 juillet 1989, Wachauf c. Bundesamt für Ernährung und Forstwirtschaft, aff. 5/88.