Arrêt de la Cour (première chambre) du 7 septembre 2023.#A. G. contre Lietuvos Respublikos generalinė prokuratūra.#Renvoi préjudiciel – Télécommunications – Traitement des données à caractère personnel dans le secteur des communications électroniques – Directive 2002/58/CE – Champ d’application – Article 15, paragraphe 1 – Données conservées par les fournisseurs de services de communications électroniques et mises à la disposition des autorités en charge de procédures pénales – Utilisation ultérieure de ces données lors d’une enquête portant sur une faute de service.#Affaire C-162/22.

Affaire C‑162/22

Procédure engagée par A. G

(demande de décision préjudicielle,
introduite par le Lietuvos vyriausiasis administracinis teismas)

Arrêt de la Cour (première chambre) du 7 septembre 2023

« Renvoi préjudiciel – Télécommunications – Traitement des données à caractère personnel dans le secteur des communications électroniques – Directive 2002/58/CE – Champ d’application – Article 15, paragraphe 1 – Données conservées par les fournisseurs de services de communications électroniques et mises à la disposition des autorités en charge de procédures pénales – Utilisation ultérieure de ces données lors d’une enquête portant sur une faute de service »

Rapprochement des législations – Secteur des télécommunications – Traitement des données à caractère personnel et protection de la vie privée dans le secteur des communications électroniques – Directive 2002/58 – Faculté pour les États membres de limiter la portée de certains droits et obligations – Mesures nationales imposant aux fournisseurs de services de communications électroniques la conservation généralisée et indifférenciée des données relatives au trafic et à la localisation – Données mises à disposition des autorités compétentes à des fins de lutte contre la criminalité grave – Utilisation ultérieure de ces données dans le cadre d’enquêtes relatives à des fautes de service apparentées à la corruption – Inadmissibilité

(Charte des droits fondamentaux de l’Union européenne, art. 7, 8, 11 et 52, § 1 ; directive du Parlement européen et du Conseil 2002/58, art. 15, § 1)

(voir points 30-43 et disp.)

Résumé

Le Lietuvos Respublikos generalinė prokuratūra (parquet général de la République de Lituanie) (ci-après le « parquet général ») a ouvert une enquête administrative contre le requérant au principal, qui exerçait alors les fonctions de procureur auprès d’un parquet lituanien, au motif qu’il existait des indices selon lesquels il avait, dans le cadre d’une instruction qu’il dirigeait, illégalement fourni des informations pertinentes pour cette instruction au suspect et à son avocat.

Dans son rapport sur cette enquête, la commission du parquet général a constaté que le requérant au principal avait effectivement commis une faute de service. Selon ce rapport, cette faute de service était démontrée par les éléments recueillis lors de l’enquête administrative. En particulier, les informations obtenues lors des opérations de renseignement criminel et les données collectées lors de deux instructions pénales auraient confirmé l’existence de communications téléphoniques entre le requérant au principal et l’avocat du suspect dans le cadre de l’instruction visant ce dernier que le requérant au principal dirigeait. Sur le fondement de ce même rapport, le parquet général a adopté deux décrets par lesquels il a sanctionné le requérant au principal et l’a révoqué de ses fonctions. Saisi par celui-ci d’un recours tendant à l’annulation de ces deux décrets, le Vilniaus apygardos administracinis teismas (tribunal administratif régional de Vilnius, Lituanie) a rejeté ce recours, au motif, notamment, que les opérations de renseignement criminel effectuées en l’occurrence étaient légales et que les informations rassemblées conformément aux dispositions de la loi sur le renseignement criminel ( 1 ) avaient été utilisées légalement pour apprécier l’existence d’une faute de service éventuellement commise par le requérant au principal.

Ce dernier a saisi en appel le Lietuvos vyriausiasis administracinis teismas (Cour administrative suprême de Lituanie), la juridiction de renvoi dans la présente affaire, en faisant valoir que l’accès par les organes de renseignement, dans le cadre d’une opération de renseignement criminel, aux données relatives au trafic et au contenu même des communications électroniques constituait une atteinte aux droits fondamentaux d’une telle gravité que, compte tenu des dispositions de la directive « vie privée et communications électroniques » ( 2 ) et de la charte des droits fondamentaux de l’Union européenne (ci-après la « Charte »), cet accès ne pouvait être octroyé qu’aux fins de la lutte contre des infractions graves. Or, selon le requérant au principal, la loi sur le renseignement criminel ( 3 ) prévoit que de telles données peuvent être utilisées pour enquêter non seulement sur des infractions graves, mais aussi sur des fautes disciplinaires ou des fautes de service s’apparentant à des actes de corruption.

Selon la juridiction de renvoi, les questions soulevées par le requérant au principal portent sur deux éléments, à savoir, d’une part, l’accès aux données conservées par les fournisseurs de services de communications électroniques à des fins autres que la lutte contre les infractions graves et la prévention des menaces graves contre la sécurité publique et, d’autre part, cet accès étant obtenu, l’utilisation de ces données pour enquêter sur des fautes de service apparentées à la corruption.

Après avoir rappelé les enseignements tirés de l’arrêt Privacy International ( 4 ) relatifs au champ d’application de la directive « vie privée et communications électroniques », et ceux tirés de l’arrêt Prokuratuur (Conditions d’accès aux données relatives aux communications électroniques) ( 5 ) en ce qui concerne la portée de l’objectif de prévention, de recherche, de détection et de poursuite des infractions pénales, la juridiction de renvoi relève que la Cour ne se serait pas encore prononcée sur l’incidence de l’utilisation ultérieure des données en question sur l’ingérence dans les droits fondamentaux. Dans ces circonstances, la juridiction de renvoi se demande si une telle utilisation ultérieure doit également être considérée comme constituant une ingérence d’une telle gravité dans les droits fondamentaux consacrés par la Charte ( 6 ) que seules la lutte contre la criminalité grave et la prévention des menaces graves contre la sécurité publique sont de nature à la justifier, ce qui exclurait la possibilité d’utiliser ces données dans des enquêtes concernant des fautes de service apparentées à la corruption.

Par son arrêt, la Cour précise la portée de sa jurisprudence issue des arrêts La Quadrature du Net e.a. ( 7 ) et Commissioner of An Garda Síochána e.a. ( 8 ) en disant pour droit que l’article 15, paragraphe 1, de la directive « vie privée et communications électroniques », lu à la lumière de la Charte ( 9 ), s’oppose à ce que des données à caractère personnel relatives à des communications électroniques qui ont été conservées, en application d’une mesure législative prise au titre de cette disposition, par les fournisseurs de services de communications électroniques et qui ont par la suite été mises à la disposition, en application de cette même mesure, des autorités compétentes à des fins de la lutte contre la criminalité grave, puissent être utilisées dans le cadre d’enquêtes relatives à des fautes de service apparentées à la corruption.

Appréciation de la Cour

S’agissant des conditions dans lesquelles les données relatives au trafic et les données de localisation afférentes à de telles communications peuvent être utilisées lors d’une procédure administrative relative à des fautes de service apparentées à la corruption, la Cour rappelle tout d’abord qu’un accès auxdites données ne peut être octroyé, en application d’une mesure prise au titre de l’article 15, paragraphe 1, de la directive « vie privée et communications électroniques », que pour autant que ces données aient été conservées par ces fournisseurs d’une manière conforme à cette disposition. Ensuite, une utilisation ultérieure de ces mêmes données n’est possible qu’à condition, d’une part, que la conservation desdites données par les fournisseurs de services de communications électroniques était conforme à l’article 15, paragraphe 1, de la directive « vie privée et communication électronique », tel qu’interprété par la jurisprudence de la Cour, et, d’autre part, que l’accès à ces mêmes données octroyé aux autorités compétentes était lui aussi conforme à cette disposition.

En ce qui concerne les objectifs susceptibles de justifier l’utilisation, par les autorités publiques, des données conservées par les fournisseurs de services de communications électroniques en application d’une mesure conforme à l’article 15, paragraphe 1, de la directive « vie privée et communications électroniques », lu à la lumière de la Charte, la Cour rappelle que cette disposition permet aux États membres d’introduire des exceptions à l’obligation de principe de garantir la confidentialité des données à caractère personnel, énoncée à l’article 5, paragraphe 1, de ladite directive, ainsi qu’aux obligations correspondantes, mentionnées notamment aux articles 6 et 9 de la même directive, lorsqu’une telle limitation constitue une mesure nécessaire, appropriée et proportionnée, au sein d’une société démocratique, pour sauvegarder la sécurité nationale, la défense et la sécurité publique, ou assurer la prévention, la recherche, la détection et la poursuite d’infractions pénales ou d’utilisations non autorisées du système de communications électroniques. À cette fin, les États membres peuvent, entre autres, adopter des mesures législatives prévoyant la conservation de données pendant une durée limitée lorsque cela est justifié par l’un de ces motifs.

Or, la Cour précise que l’article 15, paragraphe 1, de la directive « vie privée et communication électronique » ne saurait justifier que la dérogation à l’obligation de principe de garantir la confidentialité des communications électroniques et des données y afférentes, et, en particulier, à l’interdiction de stocker ces données, prévue à l’article 5 de cette directive, devienne la règle, sauf à vider largement cette dernière disposition de sa portée.

Quant aux objectifs susceptibles de justifier une limitation des droits et des obligations prévus, notamment, aux articles 5, 6 et 9 de la directive « vie privée et communications électroniques », la Cour rappelle que l’énumération des objectifs figurant à l’article 15, paragraphe 1, première phrase, de cette directive revêt un caractère exhaustif, de telle sorte qu’une mesure législative adoptée au titre de cette disposition doit répondre effectivement et strictement à l’un de ces objectifs.

S’agissant des objectifs d’intérêt général susceptibles de justifier une mesure prise en vertu de l’article 15, paragraphe 1, de la directive « vie privée et communication électronique », la Cour rappelle qu’il ressort de sa jurisprudence, en particulier, des arrêts La Quadrature du Net e.a. et Commissioner of An Garda Síochána e.a., que, conformément au principe de proportionnalité, il existe une hiérarchie entre ces objectifs en fonction de leur importance respective et que l’importance de l’objectif poursuivi par une telle mesure doit être en relation avec la gravité de l’ingérence qui en résulte. À cet égard, l’importance de l’objectif de sauvegarde de la sécurité nationale dépasse celle des autres objectifs visés à l’article 15, paragraphe 1, de la directive « vie privée et communications électroniques », notamment des objectifs de lutte contre la criminalité en général, même grave, ainsi que de sauvegarde de la sécurité publique. Sous réserve du respect des autres exigences prévues à l’article 52, paragraphe 1, de la Charte, l’objectif de sauvegarde de la sécurité nationale est dès lors susceptible de justifier des mesures comportant des ingérences dans les droits fondamentaux plus graves que celles que pourraient justifier ces autres objectifs.

S’agissant, plus particulièrement, de l’objectif de prévention, de recherche, de détection et de poursuite d’infractions pénales, la Cour relève que, conformément au principe de proportionnalité, seules la lutte contre la criminalité grave et la prévention des menaces graves contre la sécurité publique sont de nature à justifier des ingérences graves dans les droits fondamentaux consacrés aux articles 7 et 8 de la Charte, telles que celles qu’implique la conservation des données relatives au trafic et des données de localisation. Dès lors, seules des ingérences dans lesdits droits fondamentaux ne présentant pas un caractère grave peuvent être justifiées par l’objectif de prévention, de recherche, de détection et de poursuite d’infractions pénales en général.

Il ressort de cette jurisprudence que la lutte contre la criminalité grave et la prévention des menaces graves contre la sécurité publique sont d’une importance moindre, dans la hiérarchie des objectifs d’intérêt général, que la sauvegarde de la sécurité nationale, mais, en revanche, que leur importance dépasse celle de la lutte contre des infractions pénales en général et de la prévention de menaces non graves contre la sécurité publique. Dans ce contexte, la Cour rappelle néanmoins que la possibilité pour les États membres de justifier une limitation aux droits et aux obligations prévus, notamment, aux articles 5, 6 et 9 de la directive « vie privée et communications électroniques » doit être appréciée en mesurant la gravité de l’ingérence que comporte une telle limitation et en vérifiant que l’importance de l’objectif d’intérêt général poursuivi par cette limitation est en relation avec cette gravité.

En outre, la Cour rappelle que l’accès à des données relatives au trafic et à des données de localisation conservées par des fournisseurs en application d’une mesure prise au titre de l’article 15, paragraphe 1, de la directive « vie privée et communications électroniques », qui doit s’effectuer dans le plein respect des conditions résultant de la jurisprudence ayant interprété cette directive, ne peut en principe être justifié que par l’objectif d’intérêt général pour lequel cette conservation a été imposée à ces fournisseurs. Il n’en va autrement que si l’importance de l’objectif poursuivi par l’accès dépasse celle de l’objectif ayant justifié la conservation.

Or, selon la Cour, ces considérations s’appliquent mutatis mutandis à une utilisation ultérieure des données relatives au trafic et à des données de localisation conservées par des fournisseurs de services de communications électroniques en application d’une mesure prise au titre de l’article 15, paragraphe 1, de la directive « vie privée et communications électroniques » aux fins de la lutte contre la criminalité grave. En effet, de telles données ne sauraient, après avoir été conservées et mises à la disposition des autorités compétentes aux fins de la lutte contre la criminalité grave, être transmises à d’autres autorités et utilisées afin de réaliser des objectifs, à savoir, en l’occurrence, la lutte contre des fautes de service apparentées à la corruption, qui sont d’une importance moindre, dans la hiérarchie des objectifs d’intérêt général, que celui de la lutte contre la criminalité grave et de la prévention des menaces graves contre la sécurité publique. En effet, autoriser, dans une telle situation, un accès aux données conservées et leur utilisation irait à l’encontre de cette hiérarchie des objectifs d’intérêt général rappelée précédemment.

( 1 ) Lietuvos Respublikos kriminalinės žvalgybos Įstatymas (loi de la République de Lituanie sur le renseignement criminel), du 2 octobre 2012 (Žin., 2012, no 122-6093), dans sa version applicable aux faits au principal (ci-après la « loi sur le renseignement criminel »).

( 2 ) Notamment article 15, paragraphe 1, de la directive 2002/58/CE du Parlement européen et du Conseil, du 12 juillet 2002, concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques) (JO 2002, L 201, p. 37), telle que modifiée par la directive 2009/136/CE du Parlement européen et du Conseil, du 25 novembre 2009 (JO 2009, L 337, p. 11).

( 3 ) Article 19, paragraphe 3, de la loi sur le renseignement criminel.

( 4 ) Arrêt du 6 octobre 2020, Privacy International (C‑623/17, EU:C:2020:790, point 39).

( 5 ) Arrêt du 2 mars 2021, Prokuratuur (Conditions d’accès aux données relatives aux communications électroniques) (C‑746/18, EU:C:2021:152, points 33 et 35).

( 6 ) Articles 7 et 8 de la Charte.

( 7 ) Arrêt du 6 octobre 2020, La Quadrature du Net e.a. (C‑511/18, C‑512/18 et C‑520/18, EU:C:2020:791).

( 8 ) Arrêt du 5 avril 2022, Commissioner of An Garda Síochána e.a. (C‑140/20, EU:C:2022:258).

( 9 ) Articles 7, 8 11 et article 52, paragraphe 1, de la Charte.