Conclusions de l'avocat général M. M. Szpunar, présentées le 3 septembre 2026.##

CONCLUSIONS DE L’AVOCAT GÉNÉRAL

M. MACIEJ SZPUNAR

présentées le 3 septembre 2026 (1)

Affaire C‑661/24

Ordre des barreaux francophones et germanophone,

Académie Fiscale ASBL,

UA,

vzw Liga voor Mensenrechten,

Ligue des droits humains ASBL,

JU,

LV,

Ministry of Privacy

contre

Premier ministre/Eerste Minister

[demande de décision préjudicielle formée par la Cour constitutionnelle (Belgique)]

« Renvoi préjudiciel – Secteur des télécommunications – Traitement des données à caractère personnel et protection de la vie privée dans le secteur des communications électroniques – Directive 2002/58/CE – Faculté pour les États membres de prendre des mesures de conservation de données en vue d’assurer la prévention, la recherche, la détection et la poursuite d’utilisations non autorisées du système de communications électroniques »

I. Introduction

1. Par l’adoption de la loi du 20 juillet 2022 relative à la collecte et à la conservation des données d’identification et des métadonnées dans le secteur des communications électroniques et à la fourniture de ces données aux autorités (ci-après la « loi du 20 juillet 2022 »), le législateur belge a entendu mettre la législation nationale en conformité avec l’arrêt de la Cour constitutionnelle (Belgique) annulant la loi du 29 mai 2016 relative à la collecte et à la conservation des données dans le secteur des communications électroniques (2).

2. Cet arrêt avait été rendu à la suite de l’arrêt, La Quadrature du Net e.a. (3), relatif à l’interprétation de l’article 15, paragraphe 1, de la directive 2002/58/CE (4), lu à la lumière des articles 7, 9 et 11 ainsi que de l’article 52, paragraphe 1, de la charte des droits fondamentaux de l’Union européenne (ci-après la « Charte »).

3. Saisie de cinq recours visant l’annulation totale ou partielle de la loi du 20 juillet 2022, la Cour constitutionnelle interroge à nouveau la Cour sur l’interprétation de ces dispositions, relativement à la nouvelle législation nationale permettant, notamment, la conservation d’un certain nombre de données de trafic et de localisation.

4. La présente affaire offre donc à la Cour l’opportunité de préciser sa jurisprudence déjà fournie en la matière, en particulier quant à la portée des dernières évolutions y relatives découlant de l’arrêt La Quadrature du Net e.a. (Données personnelles et lutte contre la contrefaçon) (5).

II. Le cadre juridique

A. Le droit de l’Union

5. Les considérants 2, 6, 7, 11, 14, 15, 20, 22, 26, 29, 30, 35 et 36 de la directive 2002/58 énoncent :

« (2) La présente directive vise à respecter les droits fondamentaux et observe les principes reconnus notamment par la [Charte]. En particulier, elle vise à garantir le plein respect des droits exposés aux articles 7 et 8 de cette charte.

[...]

(6) L’Internet bouleverse les structures commerciales traditionnelles en offrant une infrastructure mondiale commune pour la fourniture de toute une série de services de communications électroniques. Les services de communications électroniques accessibles au public sur l’Internet ouvrent de nouvelles possibilités aux utilisateurs, mais présentent aussi de nouveaux dangers pour leurs données à caractère personnel et leur vie privée.

(7) Dans le cas des réseaux publics de communications, il convient d’adopter des dispositions législatives, réglementaires et techniques spécifiques afin de protéger les droits et les libertés fondamentaux des personnes physiques et les intérêts légitimes des personnes morales, notamment eu égard à la capacité accrue de stockage et de traitement automatisés de données relatives aux abonnés et aux utilisateurs.

[...]

(11) À l’instar de la directive 95/46/CE[(6)], la présente directive ne traite pas des questions de protection des droits et libertés fondamentaux liées à des activités qui ne sont pas régies par le droit [de l’Union]. Elle ne modifie donc pas l’équilibre existant entre le droit des personnes à une vie privée et la possibilité dont disposent les États membres de prendre des mesures telles que celles visées à l’article 15, paragraphe 1, de la présente directive, nécessaires pour la protection de la sécurité publique, de la défense, de la sûreté de l’État (y compris la prospérité économique de l’État lorsqu’il s’agit d’activités liées à la sûreté de l’État) et de l’application du droit pénal. Par conséquent, la présente directive ne porte pas atteinte à la faculté des États membres de procéder aux interceptions légales des communications électroniques ou d’arrêter d’autres mesures si cela s’avère nécessaire pour atteindre l’un quelconque des buts précités, dans le respect de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, [signée à Rome le 4 novembre 1950 (ci-après la “CEDH”),] telle qu’interprétée par la Cour européenne des droits de l’homme [(ci-après la “Cour EDH”)] dans ses arrêts. Lesdites mesures doivent être appropriées, rigoureusement proportionnées au but poursuivi et nécessaires dans une société démocratique. Elles devraient également être subordonnées à des garanties appropriées, dans le respect de la [CEDH].

[...]

(14) Par “données de localisation”, on peut entendre la latitude, la longitude et l’altitude du lieu où se trouve l’équipement terminal de l’utilisateur, la direction du mouvement, le degré de précision quant aux informations sur la localisation, l’identification de la cellule du réseau où se situe, à un moment donné, l’équipement terminal, ou encore le moment auquel l’information sur la localisation a été enregistrée.

(15) Une communication peut inclure toute information consistant en une dénomination, un nombre ou une adresse, fournie par celui qui émet la communication ou celui qui utilise une connexion pour effectuer la communication. Les données relatives au trafic peuvent inclure toute traduction de telles informations effectuée par le réseau par lequel la communication est transmise en vue d’effectuer la transmission. Les données relatives au trafic peuvent, entre autres, comporter des données concernant le routage, la durée, le moment ou le volume d’une communication, le protocole de référence, l’emplacement des équipements terminaux de l’expéditeur ou du destinataire, le réseau de départ ou d’arrivée de la communication, ou encore le début, la fin ou la durée d’une connexion. Elles peuvent également représenter le format dans lequel la communication a été acheminée par le réseau.

[...]

(20) Il convient que les fournisseurs de services prennent les mesures appropriées pour assurer la sécurité de leurs services, le cas échéant conjointement avec le fournisseur du réseau, et informent les abonnés des risques particuliers liés à une violation de la sécurité du réseau. De tels risques peuvent notamment toucher les services de communications électroniques fournis par l’intermédiaire d’un réseau ouvert tel que l’Internet ou la téléphonie mobile analogique. Il est particulièrement important que les abonnés et les utilisateurs de ces services soient pleinement informés par leur fournisseur de service des risques existants en matière de sécurité contre lesquels ce dernier est dépourvu de moyens d’action. Il convient que les fournisseurs de services qui proposent des services de communications électroniques accessibles au public sur l’Internet informent les utilisateurs et les abonnés des mesures qu’ils peuvent prendre pour sécuriser leurs communications, par exemple en recourant à des types spécifiques de logiciels ou de techniques de cryptage. L’obligation qui est faite à un fournisseur de service d’informer les abonnés de certains risques en matière de sécurité ne le dispense pas de prendre immédiatement les mesures appropriées pour remédier à tout nouveau risque imprévisible en matière de sécurité et rétablir le niveau normal de sécurité du service, les frais en étant à sa seule charge. L’information de l’abonné sur les risques en matière de sécurité devrait être gratuite, excepté les frais nominaux qu’un abonné peut être amené à supporter lorsqu’il reçoit ou collecte des informations, par exemple en téléchargeant un message reçu par courrier électronique. La sécurité s’apprécie au regard de l’article 17 de la directive [95/46].

[...]

(22) L’interdiction du stockage des communications et des données relatives au trafic y afférentes par des personnes autres que les utilisateurs ou sans le consentement de ceux-ci ne vise pas à interdire tout stockage automatique, intermédiaire et transitoire de ces informations si ce stockage a lieu dans le seul but d’effectuer la transmission dans le réseau de communications électroniques, pour autant que les informations ne soient pas stockées pour une durée plus longue que le temps nécessaire à la transmission et à la gestion du trafic et qu’au cours de la période de stockage la confidentialité des informations reste garantie [...]

[...]

(26) Les données relatives aux abonnés qui sont traitées dans des réseaux de communications électroniques pour établir des connexions et transmettre des informations contiennent des informations sur la vie privée des personnes physiques et touchent au droit au secret de leur correspondance ainsi qu’aux intérêts légitimes des personnes morales. Ces données ne peuvent être stockées que dans la mesure où cela est nécessaire à la fourniture du service, aux fins de la facturation et des paiements pour interconnexion, et ce pour une durée limitée. Tout autre traitement de ces données [...] ne peut être autorisé que si l’abonné a donné son accord sur la base d’informations précises et complètes fournies par le fournisseur du service de communications électroniques accessible au public sur la nature des autres traitements qu’il envisage d’effectuer, ainsi que sur le droit de l’abonné de ne pas donner son consentement à ces traitements ou de retirer son consentement. Il convient également d’effacer ou de rendre anonymes les données relatives au trafic utilisées pour la commercialisation de services de communications [...]

[...]

(29) Au besoin, et au cas par cas, le fournisseur d’un service peut traiter des données relatives au trafic qui concernent des abonnés ou des utilisateurs s’il s’agit de déceler une défaillance technique ou une erreur dans la transmission des communications. Des données relatives au trafic nécessaires pour la facturation peuvent aussi être traitées par le fournisseur d’un service s’il s’agit de déceler et de faire cesser des pratiques frauduleuses consistant à utiliser le service de communications électroniques sans le payer.

(30) Les systèmes mis au point pour la fourniture de réseaux et de services de communications électroniques devraient être conçus de manière à limiter au strict minimum la quantité de données personnelles nécessaires [...]

[...]

(35) Dans les réseaux de communications mobiles, des données de localisation indiquant la position géographique de l’équipement terminal de l’utilisateur mobile sont traitées afin de permettre la transmission des communications. Ces données sont des données relatives au trafic couvertes par l’article 6 de la présente directive. Toutefois, les réseaux numériques mobiles peuvent aussi avoir la capacité de traiter des données de localisation qui sont plus précises que ne l’exige la transmission des communications et qui sont utilisées pour la fourniture de services à valeur ajoutée tels que des services personnalisés d’information sur la circulation et de guidage des conducteurs. Le traitement de ces données en vue de la fourniture de services à valeur ajoutée ne devrait être autorisé que lorsque les abonnés ont donné leur consentement. Même dans ce cas, les abonnés devraient disposer d’un moyen simple pour interdire temporairement le traitement des données de localisation et ce gratuitement.

(36) Les États membres peuvent prévoir une limitation du droit de l’utilisateur ou de l’abonné à la vie privée en ce qui concerne l’identification de la ligne appelante lorsque cela est nécessaire pour déterminer l’origine des appels malveillants et en ce qui concerne les données d’identification et de localisation de la ligne appelante lorsque cela est nécessaire pour permettre aux services d’urgence d’intervenir le plus efficacement possible. À ces fins, les États membres peuvent adopter des mesures spécifiques autorisant les fournisseurs de services de communications électroniques à mettre à disposition les données d’identification et de localisation de la ligne appelante sans le contentement préalable de l’utilisateur ou de l’abonné concerné. »

6. L’article 1^er, paragraphe 1, de cette directive, intitulé « Champ d’application et objectif », dispose :

« La présente directive prévoit l’harmonisation des dispositions nationales nécessaires pour assurer un niveau équivalent de protection des droits et libertés fondamentaux, et en particulier du droit à la vie privée et à la confidentialité, en ce qui concerne le traitement des données à caractère personnel dans le secteur des communications électroniques, ainsi que la libre circulation de ces données et des équipements et services de communications électroniques dans [l’Union européenne]. »

7. Selon l’article 2 de ladite directive, intitulé « Définitions » :

« Sauf disposition contraire, les définitions figurant dans la directive [95/46] et dans la directive 2002/21/CE du Parlement européen et du Conseil, du 7 mars 2002, relative à un cadre réglementaire commun pour les réseaux et les services de communications électroniques (directive “cadre”)[ (7)] s’appliquent aux fins de la présente directive.

Les définitions suivantes sont aussi applicables :

a) “utilisateur” : toute personne physique utilisant un service de communications électroniques accessible au public à des fins privées ou professionnelles sans être nécessairement abonnée à ce service ;

b) “données relatives au trafic” : toutes les données traitées en vue de l’acheminement d’une communication par un réseau de communications électroniques ou de sa facturation ;

c) “données de localisation” : toutes les données traitées dans un réseau de communications électroniques ou par un service de communications électroniques indiquant la position géographique de l’équipement terminal d’un utilisateur d’un service de communications électroniques accessible au public ;

d) “communication” : toute information échangée ou acheminée entre un nombre fini de parties au moyen d’un service de communications électroniques accessible au public. Cela ne comprend pas les informations qui sont acheminées dans le cadre d’un service de radiodiffusion au public par l’intermédiaire d’un réseau de communications électroniques, sauf dans la mesure où un lien peut être établi entre l’information et l’abonné ou utilisateur identifiable qui la reçoit ;

[...] »

8. Aux termes de l’article 5 de la même directive, intitulé « Confidentialité des communications » :

« 1. Les États membres garantissent, par la législation nationale, la confidentialité des communications effectuées au moyen d’un réseau public de communications et de services de communications électroniques accessibles au public, ainsi que la confidentialité des données relatives au trafic y afférentes. En particulier, ils interdisent à toute autre personne que les utilisateurs d’écouter, d’intercepter, de stocker les communications et les données relatives au trafic y afférentes, ou de les soumettre à tout autre moyen d’interception ou de surveillance, sans le consentement des utilisateurs concernés sauf lorsque cette personne y est légalement autorisée, conformément à l’article 15, paragraphe 1. Le présent paragraphe n’empêche pas le stockage technique nécessaire à l’acheminement d’une communication, sans préjudice du principe de confidentialité.

[...]

3. Les États membres garantissent que le stockage d’informations, ou l’obtention de l’accès à des informations déjà stockées, dans l’équipement terminal d’un abonné ou d’un utilisateur n’est permis qu’à condition que l’abonné ou l’utilisateur ait donné son accord, après avoir reçu, dans le respect de la directive [95/46], une information claire et complète, entre autres sur les finalités du traitement. Cette disposition ne fait pas obstacle à un stockage ou à un accès techniques visant exclusivement à effectuer la transmission d’une communication par la voie d’un réseau de communications électroniques, ou strictement nécessaires au fournisseur pour la fourniture d’un service de la société de l’information expressément demandé par l’abonné ou l’utilisateur. »

9. L’article 6 de la directive 2002/58, intitulé « Données relatives au trafic », dispose :

« 1. Les données relatives au trafic concernant les abonnés et les utilisateurs traitées et stockées par le fournisseur d’un réseau public de communications ou d’un service de communications électroniques accessibles au public doivent être effacées ou rendues anonymes lorsqu’elles ne sont plus nécessaires à la transmission d’une communication sans préjudice des paragraphes 2, 3 et 5, du présent article ainsi que de l’article 15, paragraphe 1.

2. Les données relatives au trafic qui sont nécessaires pour établir les factures des abonnés et les paiements pour interconnexion peuvent être traitées. Un tel traitement n’est autorisé que jusqu’à la fin de la période au cours de laquelle la facture peut être légalement contestée ou des poursuites engagées pour en obtenir le paiement.

3. Afin de commercialiser des services de communications électroniques ou de fournir des services à valeur ajoutée, le fournisseur d’un service de communications électroniques accessible au public peut traiter les données visées au paragraphe 1 dans la mesure et pour la durée nécessaires à la fourniture ou à la commercialisation de ces services, pour autant que l’abonné ou l’utilisateur que concernent ces données ait donné son consentement préalable. Les utilisateurs ou abonnés ont la possibilité de retirer à tout moment leur consentement pour le traitement des données relatives au trafic.

[...]

5. Le traitement des données relatives au trafic effectué conformément aux dispositions des paragraphes 1, 2, 3 et 4 doit être restreint aux personnes agissant sous l’autorité des fournisseurs de réseaux publics de communications et de services de communications électroniques accessibles au public qui sont chargées d’assurer la facturation ou la gestion du trafic, de répondre aux demandes de la clientèle, de détecter les fraudes et de commercialiser les services de communications électroniques ou de fournir un service à valeur ajoutée ; ce traitement doit se limiter à ce qui est nécessaire à de telles activités.

[...] »

10. L’article 9 de cette directive, intitulé « Données de localisation autres que les données relatives au trafic », prévoit, à son paragraphe 1 :

« Lorsque des données de localisation, autres que des données relatives au trafic, concernant des utilisateurs ou abonnés de réseaux publics de communications ou de services de communications électroniques accessibles au public ou des abonnés à ces réseaux ou services, peuvent être traitées, elles ne le seront qu’après avoir été rendues anonymes ou moyennant le consentement des utilisateurs ou des abonnés, dans la mesure et pour la durée nécessaires à la fourniture d’un service à valeur ajoutée. Le fournisseur du service doit informer les utilisateurs ou les abonnés, avant d’obtenir leur consentement, du type de données de localisation autres que les données relatives au trafic qui sera traité, des objectifs et de la durée de ce traitement, et du fait que les données seront ou non transmises à un tiers en vue de la fourniture du service à valeur ajoutée [...] »

11. L’article 15 de ladite directive, intitulé « Application de certaines dispositions de la directive [95/46] », énonce :

« 1. Les États membres peuvent adopter des mesures législatives visant à limiter la portée des droits et des obligations prévus aux articles 5 et 6, à l’article 8, paragraphes 1, 2, 3 et 4, et à l’article 9 de la présente directive lorsqu’une telle limitation constitue une mesure nécessaire, appropriée et proportionnée, au sein d’une société démocratique, pour sauvegarder la sécurité nationale – c’est-à-dire la sûreté de l’État – la défense et la sécurité publique, ou assurer la prévention, la recherche, la détection et la poursuite d’infractions pénales ou d’utilisations non autorisées du système de communications électroniques, comme le prévoit l’article 13, paragraphe 1, de la directive [95/46]. À cette fin, les États membres peuvent, entre autres, adopter des mesures législatives prévoyant la conservation de données pendant une durée limitée lorsque cela est justifié par un des motifs énoncés dans le présent paragraphe. Toutes les mesures visées dans le présent paragraphe sont prises dans le respect des principes généraux du droit [de l’Union], y compris ceux visés à l’article 6, paragraphes 1 et 2, [TUE].

[...]

2. Les dispositions du chapitre III de la directive [95/46] relatif aux recours juridictionnels, à la responsabilité et aux sanctions sont applicables aux dispositions nationales adoptées en application de la présente directive ainsi qu’aux droits individuels résultant de la présente directive.

[...] »

B. Le droit belge

12. La loi du 20 juillet 2022 a modifié, entre autres, la loi du 17 janvier 2003 relative au statut du régulateur des secteurs des postes et des télécommunications belge (ci-après la « loi du 17 janvier 2003 ») ainsi que la loi du 13 juin 2005 relative aux communications électroniques (ci-après la « loi du 13 juin 2005 »).

1. La loi du 17 janvier 2003

13. L’article 25/1 de la loi du 17 janvier 2003, tel que modifié par l’article 24 de la loi du 20 juillet 2022, est libellé comme suit :

« § 1^er. Afin de rechercher, de constater ou de poursuivre une infraction visée à l’article 145, § 3 ou § 3bis, de la [loi du 13 juin 2005] ou à l’article 24, § 1^er, 2°, un officier de police judiciaire de l’[Institut belge des services postaux et des télécommunications (ci-après « l’Institut »)] peut, par écrit :

1° exiger d’un opérateur de répondre à une demande de données d’identification qui est nécessaire à ces fins ;

2° requérir la collaboration des personnes et institutions visées à l’article 46quater, § 1^er, du Code d’instruction criminelle et d’associations les représentant, sur la base de la référence de paiement en ligne spécifique à un service de communications électroniques qui a préalablement été communiquée par un opérateur conformément au 1°, afin d’identifier la personne qui a payé le service ;

3° requérir la collaboration des centres fermés ou des lieux d’hébergement au sens des articles 74/8 et 74/9 de la loi du 15 décembre 1980 sur l’accès au territoire, le séjour, l’établissement et l’éloignement des étrangers, où la souscription de l’abonné à un service de communications électroniques a été effectuée, sur la base des coordonnées du centre ou du lieu d’hébergement qui ont préalablement été communiquées par un opérateur conformément au 1°, afin d’identifier l’abonné ;

4° requérir la collaboration de toute autre personne morale qui est l’abonnée d’un opérateur ou qui souscrit à un service de communications électroniques au nom et pour le compte de personnes physiques, sur la base des données qui ont préalablement été communiquées par un opérateur conformément au 1°, afin d’identifier l’abonné ou l’utilisateur habituel du service.

Une demande visée à l’alinéa 1^er ne peut être transmise à un acteur visé à l’alinéa 1^er qu’après autorisation écrite d’un officier de police judiciaire visé à l’article 24, § 2. Cette autorisation ne peut être octroyée que sur demande écrite et motivée adressée à cet officier conformément au paragraphe 5.

§ 2. Pour les besoins de l’accomplissement de ses missions, un officier de police judiciaire de l’Institut peut exiger d’un opérateur, par écrit, de répondre à une demande de métadonnées, qui est nécessaire afin de rechercher, de constater ou de poursuivre une infraction visée à l’article 145, § 3, ou § 3bis, de la [loi du 13 juin 2005] ou à l’article 24, § 1^er, 2°.

Sauf en cas d’urgence dûment justifiée, l’officier de police judiciaire de l’Institut ne peut adresser la demande à l’opérateur qu’après avoir soumis une demande écrite et motivée au juge d’instruction et après autorisation écrite de ce dernier.

En cas d’urgence dûment justifiée visée à l’alinéa 2, l’officier de police judiciaire de l’Institut communique au juge d’instruction, sans délai après l’envoi de la demande à l’opérateur, une copie de cette demande, la motivation de la demande et la justification de l’urgence. Un contrôle ultérieur est effectué par le juge d’instruction.

Lorsqu’à la suite de ce contrôle ultérieur, le juge d’instruction refuse de confirmer la validité de la demande envoyée par l’officier de police judiciaire de l’Institut à l’opérateur, cet officier le notifie sans délai à l’opérateur concerné et supprime les métadonnées reçues.

§ 3. Par dérogation aux paragraphes 1^er et 2, afin de contrôler le respect des articles 126, 126/1, 126/2, 126/3 ou 127 de la [loi du 13 juin 2005] et de leurs arrêtés d’exécution et à la demande écrite et motivée d’un officier de police judiciaire de l’Institut, un opérateur fournit, dans le délai fixé dans le réquisitoire, un accès permettant de consulter ses bases de données qui mettent en œuvre un de ces articles ou un de ces arrêtés d’exécution.

Une demande visée à l’alinéa 1^er ne peut être transmise à un opérateur qu’après autorisation écrite d’un officier de police judiciaire de l’Institut visé à l’article 24, § 2. Cette autorisation ne peut être octroyée que sur demande écrite et motivée conformément au paragraphe 5.

La demande adressée à l’opérateur précise les noms des officiers de police judiciaire de l’Institut qui peuvent consulter la base de données.

Ces officiers ne peuvent prendre une copie des données et documents consultés dans le cadre de l’alinéa 1^er que dans le but de constater des infractions commises par l’opérateur.

§ 4. Pour l’application des paragraphes 1^er et 2, les acteurs visés au paragraphe 1^er, alinéa 1^er, auxquels un officier de police judiciaire de l’Institut a demandé des données, lui communiquent ces données en temps réel ou, le cas échéant, au moment précisé dans le réquisitoire.

Pour l’application des paragraphes 1^er à 3, toute personne qui, du chef de sa fonction, a connaissance de la mesure ou y prête son concours, est tenue de garder le secret. Toute violation du secret est punie conformément à l’article 458 du Code pénal.

Toute personne qui refuse de communiquer les données ou qui ne les communique pas en temps réel ou, le cas échéant, au moment précisé dans le réquisitoire est punie d’une amende de vingt-six euros à dix mille euros.

Toute personne qui refuse de permettre la consultation de la base de données conformément au paragraphe 3 ou qui ne permet pas cette consultation dans le délai fixé dans le réquisitoire est punie d’une amende de vingt-six euros à dix mille euros.

§ 5. Pour l’application des paragraphes 1^er à 3, la motivation de la demande adressée à l’officier de police judiciaire visé à l’article 24, § 2, ou au juge d’instruction doit être développée au regard des circonstances de l’enquête.

Pour l’application des paragraphes 1^er et 2, cette motivation indique :

1° le lien entre les données demandées et l’objectif de recherche, de constat ou de poursuite de l’infraction spécifique qui justifie la demande ;

2° le caractère strictement nécessaire des données demandées dans le cadre de l’enquête.

§ 6. Les officiers de police judiciaire de l’Institut consignent dans un registre :

1° l’ensemble des demandes visées aux paragraphes 1^er, 2 et 3 ;

2° la motivation de la demande et la justification de l’urgence communiquées au juge d’instruction conformément au paragraphe 2, alinéa 3 ;

3° les autorisations prévues aux paragraphes 1^er, 2 et 3. »

2. La loi du 13 juin 2005

14. L’article 2 de la loi du 13 juin 2005, tel que modifié par l’article 2 de la loi du 20 juillet 2022, prévoit :

« Pour l’application de la présente loi, il faut entendre par :

[...]

5/5° “une fraude” : un acte malhonnête fait dans l’intention de tromper en contrevenant à la loi, aux règlements ou au contrat et de se procurer ou de procurer à autrui un avantage illicite au préjudice de l’opérateur ou de l’utilisateur final, commis par le biais de l’utilisation d’un service de communications électroniques ;

5/6° “utilisation malveillante du réseau ou du service” : utilisation du réseau ou du service de communications électroniques afin d’importuner son correspondant ou de provoquer des dommages ;

[...]

11° “opérateur” : toute personne ayant introduit une notification conformément à l’article 9 ;

[...] »

15. L’article 122 de cette loi, tel que modifié par l’article 5 de la loi du 20 juillet 2022, dispose :

« § 1^er. Les opérateurs suppriment les données de trafic concernant les abonnés ou les utilisateurs finaux de leurs données de trafic ou rendent ces données anonymes, dès qu’elles ne sont plus nécessaires pour la transmission de la communication.

[...]

§ 4. Par dérogation au paragraphe 1^er, de manière à pouvoir prendre les mesures appropriées visées à l’article 121/8, § 1^er, de permettre d’établir la fraude ou l’utilisation malveillante du réseau ou du service ou d’identifier son auteur et son origine, et pour autant qu’il les traite ou les génère dans le cadre de la fourniture de ce réseau ou de ce service, l’opérateur :

1° conserve, dans le cadre de la fourniture d’un service de communications interpersonnelles et pendant quatre mois à partir de la date de la communication, les données de trafic nécessaires à ces fins parmi les données de trafic suivantes :

– l’identifiant de l’origine de la communication ;

– l’identifiant de la destination de la communication ;

– les dates et heures précises de début et de fin de la communication ;

– la localisation des équipements terminaux des parties à la communication au début et à la fin de la communication ;

2° conserve pendant douze mois à partir de la date de la communication les données de trafic suivantes relatives aux communications entrantes dans le cadre de la fourniture de services de communications interpersonnelles afin d’identifier l’auteur de la communication :

– le numéro de téléphone à l’origine de la communication entrante, ou ;

– l’adresse IP ayant servi à l’envoi de la communication entrante, l’horodatage et le port utilisé, et ;

– les dates et heures précises du début et de fin de la communication entrante ;

3° conserve les données visées au 1° qui sont relatives à une fraude spécifique identifiée ou une utilisation malveillante du réseau spécifique identifiée le temps nécessaire à son analyse et à sa résolution, le cas échéant au-delà du délai de quatre mois visé au 1° ;

4° conserve les données de trafic visées au 2° et relatives à une utilisation malveillante spécifique du réseau, le temps nécessaire au traitement de cette dernière, le cas échéant au-delà du délai de douze mois visé au 2° ;

5° traite les données de trafic nécessaires à ces fins, en ce compris, lorsque c’est nécessaire, les données visées au paragraphe 2.

Par dérogation au paragraphe 1^er, de manière à pouvoir prendre les mesures appropriées visées à l’article 121/8, § 1^er, de permettre d’établir la fraude ou l’utilisation malveillante du réseau ou du service ou d’identifier son auteur et son origine, l’opérateur peut conserver et traiter d’autres données que celles visées à l’alinéa 1^er considérées nécessaires à ces fins.

Le Roi peut préciser et étendre, par arrêté délibéré en Conseil des ministres et après avis de l’Institut et de l’Autorité de protection des données, les données de trafic dont la conservation doit être considérée comme nécessaire pour la poursuite des finalités prévues au présent paragraphe.

En cas de fraude présumée ou d’utilisation malveillante présumée, les opérateurs peuvent transmettre aux autorités compétentes toutes les données légalement conservées en relation avec la fraude présumée ou l’utilisation malveillante présumée.

§ 4/1. Par dérogation au paragraphe 1^er, les opérateurs peuvent conserver et traiter les données de trafic qui sont nécessaires pour assurer la sécurité et le bon fonctionnement de leurs réseaux et services de communications électroniques, et en particulier pour détecter et analyser une atteinte potentielle ou réelle à cette sécurité, en ce compris identifier l’origine de cette atteinte.

Les opérateurs peuvent les conserver pour une durée de douze mois à partir de la date de la communication.

Les opérateurs peuvent conserver les données visées à l’alinéa 1^er relatives à une atteinte spécifique à la sécurité du réseau pendant la durée nécessaire pour la traiter, le cas échéant au-delà du délai de douze mois visé à l’alinéa 2.

En cas d’atteinte à la sécurité de leurs réseaux et services de communications électroniques, les opérateurs peuvent transmettre aux autorités compétentes toutes les données légalement conservées en relation avec l’atteinte à la sécurité de leurs réseaux et services de communications électroniques.

§ 4/2. Par dérogation au paragraphe 1^er, les opérateurs conservent et traitent les données de trafic nécessaires pour répondre à une obligation imposée par une norme législative formelle, pour la durée requise à cette fin.

§ 5. Les données énumérées dans le présent article ne peuvent être traitées que par les personnes chargées par l’opérateur de la facturation ou de la gestion du trafic, du traitement des demandes de renseignements des abonnés, de la lutte contre les fraudes ou l’utilisation malveillante du réseau, de la sécurité du réseau, du respect de ses obligations légales, du marketing des services de communications électroniques propres ou de la fourniture de services qui font usage de données de trafic ou de localisation et par les membres de sa Cellule de coordination visée à l’article 127/3.

[...] »

16. L’article 123 de ladite loi, tel que modifié par l’article 6 de la loi du 20 juillet 2022, est libellé comme suit :

« § 1^er. Sans préjudice de l’application du [règlement (UE) 2016/679 (8)] et de la loi du 30 juillet 2018, les opérateurs de réseaux mobiles ne peuvent conserver et traiter de données de localisation autres que les données relatives au trafic se rapportant à un abonné ou un utilisateur final que dans les cas suivants :

1° lorsque cela est nécessaire pour le bon fonctionnement et la sécurité du réseau ou du service, les données étant conservées maximum douze mois à partir de la date de la communication, sauf en cas d’atteinte spécifique à la sécurité du réseau nécessitant de prolonger la conservation des données concernées au-delà de ce délai ;

2° lorsque cela est nécessaire pour détecter ou analyser les fraudes ou l’utilisation malveillante du réseau, les données étant conservées maximum quatre mois à partir de la date de la communication, sauf en cas de fraude ou d’utilisation malveillante spécifique nécessitant de prolonger la conservation des données concernées au-delà de ce délai ;

3° lorsque les données ont été rendues anonymes ;

4° lorsque le traitement s’inscrit dans le cadre de la fourniture d’un service qui fait usage de données de trafic ou de localisation ;

5° lorsque le traitement est nécessaire pour répondre à une obligation imposée par une norme législative formelle.

[...]

§ 4. Les données visées au présent article ne peuvent être traitées que par des personnes qui travaillent sous l’autorité de l’opérateur ou du tiers qui fournit le service qui fait usage de données de trafic ou de localisation, ou par la Cellule de coordination de l’opérateur visée à l’article 127/3.

Le traitement est limité à ce qui est strictement nécessaire pour pouvoir fournir au service concerné les données de trafic ou de localisation.

[...] »

III. Le litige au principal, les questions préjudicielles et la procédure devant la Cour

17. Les associations sans but lucratif Académie Fiscale ASBL, Ordre des barreaux francophones et germanophone, la Liga voor Mensenrechten VZW, la Ligue des droits humains ASBL, la fondation privée Ministry of Privacy, UA, LV ainsi que JU ont saisi la Cour constitutionnelle de cinq recours visant l’annulation partielle ou totale de la loi du 20 juillet 2022, au motif que celle-ci violerait les articles 10, 11, 12, 13, 15, 22, 23 et 29 de la Constitution belge, lue en combinaison avec les articles 5, 6, 8, 9, 10, 11, 14 et 18 de la CEDH, avec les articles 7, 8, 11, 47 et l’article 52, paragraphe 1, de la Charte, avec l’article 5, paragraphe 4, TUE, avec l’article 6 de la directive 2002/58, avec la directive (UE) 2016/680 (9) ainsi qu’avec le RGPD.

18. Cette juridiction considère que seuls les griefs des parties requérantes relatifs aux articles 5, 6 et 24 de la loi du 20 juillet 2022 soulèvent des doutes, au sens de la jurisprudence issue des arrêts du 6 octobre 1982, Cilfit (283/81, EU:C:1982:335), et du 6 octobre 2021, Consorzio Italian Management et Catania Multiservizi (C‑561/19, EU:C:2021:799), quant à l’interprétation de l’article 15 de la directive 2002/58.

19. Tout d’abord, en ce qui concerne l’article 5 de cette loi, les requérants au principal auraient en substance, entre autres, avancé que cet article impose aux fournisseurs de services de communications électroniques une conservation généralisée et indifférenciée des données relatives au trafic et des données de localisation pendant des périodes longues ou indéterminées, sans que cette conservation soit nécessaire et limitée au strict nécessaire.

20. Il ressortirait des travaux préparatoires que l’article 5, 4° et 5°, de ladite loi vise à transposer notamment l’article 15, paragraphe 1, de la directive 2002/58. Le législateur belge aurait précisé dans ces travaux qu’il n’était pas possible de prévoir une conservation de données « réactive et ciblée dès le départ » en raison de la structure même des réseaux et des services concernés. Il aurait, en outre, estimé que la conservation des données relatives au trafic prévue à l’article 5, 4° et 5°, de la même loi est « dans l’intérêt des utilisateurs finaux des services de l’opérateur » et vise à permettre aux victimes d’une fraude ou d’une utilisation malveillante du réseau d’identifier l’auteur de celle-ci. Par ailleurs, cette conservation serait présentée, dans lesdits travaux, comme étant « intrinsèquement liée à la fourniture du service de communications électroniques » et comme permettant de moderniser la loi du 13 juin 2005 au regard de l’importance croissante de l’objectif de lutte contre la fraude et l’utilisation malveillante du réseau dans le droit de l’Union (Doc. parl., Chambre, 2021-2022, DOC 55 2572/001, p. 26 à 29).

21. Selon la juridiction de renvoi, il convient d’examiner si l’ingérence dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel que comporte l’article 122, § 4 et § 4/1, de cette loi, tel qu’il a été inséré par l’article 5, 4° et 5°, de la loi du 20 juillet 2022, ne produit pas des effets disproportionnés pour les personnes dont les données sont concernées.

22. L’article 122, § 4, de la loi du 13 juin 2005 prévoirait, à charge des opérateurs, une obligation de conservation de plusieurs données relatives au trafic en vue de « prendre les mesures appropriées visées à l’article 121/8, § 1^er, de permettre d’établir la fraude ou l’utilisation malveillante du réseau ou du service ou d’identifier son auteur et son origine », pour autant que ces opérateurs traitent ces données « dans le cadre de la fourniture de ce réseau ou de ce service ». Les données relatives au trafic à conserver seraient « l’identifiant de l’origine de la communication », « l’identifiant de la destination de la communication », « les dates et heures précises de début et de fin de la communication » et « la localisation des équipements terminaux des parties à la communication au début et à la fin de la communication » (alinéa 1^er, 1°, de ce § 4). Il serait en outre prévu que lesdits opérateurs conservent plusieurs données relatives au trafic lié aux communications entrantes afin d’identifier l’auteur de la communication, à savoir « le numéro de téléphone à l’origine de la communication entrante », « l’adresse IP ayant servi à l’envoi de la communication entrante, l’horodatage et le port utilisé » ainsi que « les dates et heures précises du début et de fin de la communication entrante » (alinéa 1^er, 2°, dudit § 4).

23. Pourtant, la liste des données énumérées à l’article 122, § 4, alinéa 1^er, de cette loi ne serait pas exhaustive, dans la mesure où l’alinéa 2 de cette disposition permettrait aux opérateurs de conserver et traiter d’autres données que celles visées à l’alinéa 1^er de ladite disposition, considérées comme nécessaires aux fins d’établir la fraude ou l’utilisation malveillante du réseau ou du service ou d’identifier son auteur et son origine. Cette faculté des opérateurs de conserver et de traiter des données autres que celles visées à l’article 122, § 4, alinéa 1^er, de ladite loi ne serait pas soumise à un avis préalable de l’Institut ou de l’Autorité de protection des données ni à une notification à ces autorités. Les travaux préparatoires relatifs à cette même disposition ne fourniraient aucune justification quant à ladite faculté.

24. Ensuite, l’article 122, § 4, alinéa 3, de la même loi prévoirait que « le Roi peut préciser et étendre, par arrêté délibéré en Conseil des ministres et après avis de l’[Institut] et de l’Autorité de protection des données, les données de trafic dont la conservation doit être considérée comme nécessaire pour la poursuite des finalités prévues au présent paragraphe ». Les travaux préparatoires justifieraient cette habilitation par le fait que les fraudes évoluent de manière significative dans le temps et que les données conservées peuvent différer selon le type de service de communications électroniques, la taille de l’opérateur, les outils dont celui-ci dispose et les utilisateurs de ce service.

25. En ce qui concerne les délais de conservation, les données visées à l’article 122, § 4, alinéa 1^er, 1°, de la loi du 13 juin 2005 seraient, en principe, conservées pendant quatre mois, alors que les données visées à l’article 122, § 4, alinéa 1^er, 2°, de cette loi le seraient pendant douze mois. Ces délais de conservation pourraient être prolongés. À cet égard, l’article 122, § 4, alinéa 1^er, 3°, de ladite loi disposerait que les données visées au 1° de cette disposition qui sont relatives à une fraude spécifique ou à une utilisation malveillante du réseau spécifique peuvent être conservées « le temps nécessaire à son analyse et à sa résolution, le cas échéant au-delà du délai de quatre mois visé au 1° ». En outre, l’article 122, § 4, 4°, de cette même loi préciserait que les données visées au 2° de cette disposition qui sont relatives à une utilisation malveillante spécifique du réseau peuvent être conservées « le temps nécessaire au traitement de cette dernière, le cas échéant au-delà du délai de douze mois visé au 2° ».

26. L’article 122, § 4/1, de la loi du 13 juin 2005 prévoit quant à lui, à charge des opérateurs, la possibilité de conserver et de traiter les données « nécessaires pour assurer la sécurité et le bon fonctionnement de leurs réseaux et services de communications électroniques, et en particulier pour détecter et analyser une atteinte potentielle ou réelle à cette sécurité, en ce compris identifier l’origine de cette atteinte ». Cette faculté des opérateurs ne serait pas non plus soumise à un avis préalable de l’Institut ou de l’Autorité de protection des données ni à une notification à ces autorités. Les données ainsi visées pourraient, en vertu de l’article 122, § 4/1, alinéa 3, de cette loi en principe, être conservées pour une durée de douze mois. Les données relatives à une atteinte « spécifique » à la sécurité du réseau pourraient cependant être conservées « pendant la durée nécessaire pour la traiter, le cas échéant au-delà du délai de douze mois visé à l’alinéa 2 ».

27. La juridiction de renvoi conclut que l’article 122, § 4, de ladite loi prévoit une conservation généralisée et systématique des données relatives au trafic qu’il vise et que l’obligation de conservation des données ne constitue pas l’exception mais la règle. Ce constat vaudrait d’autant plus qu’en vertu de l’article 122, § 4, alinéa 4, de la même loi, les données de trafic conservées par les opérateurs qui présentent un lien avec une fraude présumée ou avec une utilisation malveillante présumée peuvent être transférées aux autorités compétentes, notamment aux autorités judiciaires, aux services de police et aux officiers de police judiciaire de l’Institut, de sorte que la conservation et le traitement de données effectués par les opérateurs sur la base de l’article 122, § 4, de la loi du 13 juin 2005 peuvent donner lieu à des poursuites pénales.

28. En ce qui concerne l’article 122, § 4/1, de cette loi, la juridiction de renvoi observe que cette disposition ne précise pas quelles données peuvent être conservées. Par ailleurs, les données relatives à une « atteinte spécifique » à la sécurité du réseau pourraient être conservées « au-delà du délai de douze mois visé à l’alinéa 2 », sans que le libellé de l’article 122, § 4/1, de ladite loi ni les travaux préparatoires de la loi du 20 juillet 2022 précisent ce que constitue une « atteinte spécifique ».

29. Or la juridiction de renvoi observe que la Cour ne s’est pas encore prononcée sur l’interprétation de l’article 15 de la directive 2002/58 lorsque sont en cause des mesures de conservation des données relatives aux communications électroniques en vue d’assurer la prévention, la recherche, la détection et la poursuite d’utilisations non autorisées du système de communications électroniques. En outre, les points de vue des parties sur l’interprétation de l’article 15, paragraphe 1, de cette directive, présentés devant elle, divergeraient.

30. Ensuite, quant à l’article 6 de la loi du 20 juillet 2022, la juridiction de renvoi relève que les griefs des requérants porteraient sur la conservation des données de localisation, autres que les données relatives au trafic, qui relèvent de l’article 15, paragraphe 1, de ladite directive et qui sont visées à l’article 123, § 1^er, 1°, 2° et 5°, de la loi du 13 juin 2005, tel qu’il a été remplacé par l’article 6 de la loi du 20 juillet 2022.

31. L’article 123, § 1^er, de la loi du 13 juin 2005 prévoirait que les opérateurs concernés ne peuvent conserver et traiter ces données de localisation se rapportant à un abonné ou à un utilisateur final que « lorsque cela est nécessaire pour le bon fonctionnement et la sécurité du réseau ou du service » (1° de ce § 1^er) et « lorsque cela est nécessaire pour détecter ou analyser les fraudes ou l’utilisation malveillante du réseau » (2° dudit § 1^er). Les données visées à l’article 123, § 1^er, 1°, de cette loi seraient, en principe, conservées pendant douze mois à partir de la date de la communication et celles qui sont visées à l’article 123, § 1^er, 2°, de ladite loi le seraient, en principe, pendant quatre mois.

32. Les hypothèses visées à l’article 123, § 1^er, 1° et 2°, de la même loi chercheraient à garantir la prévention, la recherche, la détection et la poursuite d’utilisations non autorisées du système de communications électroniques, au sens de l’article 15, paragraphe 1, de la directive 2002/58.

33. Il appartiendrait à la juridiction de renvoi de vérifier si l’ingérence que comportent ces dispositions dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel est nécessaire, raisonnable et proportionnée au sein d’une société démocratique en vue de prévenir les utilisations non autorisées du système de communications électroniques. À cet égard, la juridiction de renvoi relève qu’il incombe aux opérateurs d’identifier les données de localisation autres que les données relatives au trafic qu’ils considèrent nécessaire de conserver et de traiter. Ces opérateurs apprécieraient également, dans chaque cas, la nécessité de cette conservation et de ce traitement. Par ailleurs, il serait prévu que la durée de douze mois peut être prolongée « en cas d’atteinte spécifique à la sécurité du réseau nécessitant de prolonger la conservation des données concernées au-delà de ce délai » et que la durée de quatre mois précitée peut être prolongée « en cas de fraude ou d’utilisation malveillante spécifique nécessitant de prolonger la conservation des données concernées au-delà de ce délai ». Enfin, il incomberait auxdits opérateurs de décider s’il convient de prolonger le délai de conservation.

34. Pour les mêmes motifs que ceux qui seraient en cause en ce qui concerne l’article 5 de la loi du 20 juillet 2022, l’article 6 de cette loi soulèverait un doute quant à l’interprétation de l’article 15, paragraphe 1, de la directive 2002/58.

35. En ce qui concerne, pour finir, l’article 24 de ladite loi, la juridiction de renvoi relève que cette disposition insère, dans la loi du 17 janvier 2003, un article 25/1 régissant l’accès de l’officier de police judiciaire de l’Institut aux métadonnées. Les griefs de la partie requérante demandant l’annulation de cet article 24 seraient issus de la violation des droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel, garantis par l’article 22 de la Constitution belge, par l’article 8 de la CEDH, par les articles 7, 8 et l’article 52, paragraphe 1, de la Charte, par la directive 2002/58, par la directive 2016/680 et par le RGPD. Etant donné que l’article 24 de la loi du 20 juillet 2022 renvoie aux articles 5 et 6 de cette loi, à propos desquels il y aurait lieu de poser des questions préjudicielles à la Cour, la juridiction de renvoi estime qu’il convient de surseoir à statuer sur l’examen des griefs relatifs à cet article 24, dans l’attente de la réponse de la Cour à ces questions préjudicielles.

36. C’est dans ces conditions que la Cour constitutionnelle a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :

« 1) L’article 15, paragraphe 1, de la [directive 2002/58], lu en combinaison avec les articles 7 [et 8 ainsi que l’article 52], paragraphe 1, de la [Charte], doit-il être interprété en ce sens :

a) qu’il s’oppose à une législation nationale qui prévoit une obligation pour les opérateurs de services de communications électroniques de conserver et de traiter les données de trafic visées dans cette législation dans le cadre de la fourniture de ce réseau ou de ce service, pendant une période de quatre ou douze mois, selon le cas, afin qu’ils prennent les mesures appropriées, proportionnées, préventives et curatives de manière à éviter les fraudes et les utilisations malveillantes sur leurs réseaux et à empêcher que les utilisateurs finaux subissent un préjudice ou soient importunés, ainsi qu’à établir les fraudes ou les utilisations malveillantes du réseau ou du service ou à pouvoir en identifier les auteurs et l’origine ;

b) qu’il s’oppose à une législation nationale qui permet à ces opérateurs de conserver et de traiter les données de trafic concernées au-delà des délais précités, en cas de fraude spécifique identifiée ou d’utilisation malveillante du réseau spécifique identifiée, le temps nécessaire à son analyse et à sa résolution ou le temps nécessaire au traitement de cette utilisation malveillante ;

c) qu’il s’oppose à une législation nationale qui, sans prévoir l’obligation de solliciter un avis préalable ou de notifier à une autorité indépendante, permet à ces opérateurs de conserver et de traiter d’autres données que celles visées dans la loi, en vue de permettre d’établir la fraude ou l’utilisation malveillante du réseau ou du service, ou d’identifier son auteur et son origine ;

d) qu’il s’oppose à une législation nationale qui, sans prévoir l’obligation de solliciter un avis préalable ou de notifier à une autorité indépendante, permet à ces opérateurs de conserver et de traiter pour une durée de douze mois les données de trafic qu’ils estiment nécessaires pour garantir la sécurité et le bon fonctionnement de leurs réseaux et services de communications électroniques, et en particulier pour détecter et analyser une atteinte potentielle ou réelle à cette sécurité, en ce compris pour identifier l’origine de cette atteinte et, en cas d’atteinte spécifique à la sécurité du réseau, pendant la durée nécessaire pour la traiter ?

2) L’article 15, paragraphe 1, de la [directive 2002/58], lu en combinaison avec les articles 7 [et 8 ainsi que l’article 52], paragraphe 1, de la [Charte], doit-il être interprété en ce sens :

a) qu’il s’oppose à une législation nationale qui permet aux opérateurs de réseaux mobiles de conserver et de traiter les données de localisation, sans que la législation décrive précisément quelles données sont visées, dans le cadre de la fourniture de ce réseau ou de ce service, pendant une période de quatre ou douze mois, selon le cas, lorsque cela est nécessaire pour le bon fonctionnement et la sécurité du réseau ou du service, ou pour détecter ou analyser les fraudes ou l’utilisation malveillante du réseau ;

b) qu’il s’oppose à une législation nationale qui permet à ces opérateurs de conserver et de traiter les données de localisation au-delà des délais précités, en cas d’atteinte spécifique, de fraude spécifique ou d’utilisation malveillante spécifique ?

3) Si, sur la base des réponses données à la première ou à la deuxième question préjudicielle, la Cour constitutionnelle devait arriver à la conclusion que certaines dispositions de la [loi du 20 juillet 2022] violent une ou plusieurs des obligations découlant des dispositions mentionnées dans ces questions, pourrait-elle maintenir provisoirement les effets des dispositions précitées de la loi du 20 juillet 2022 afin d’éviter une insécurité juridique et de permettre que les données collectées et conservées précédemment puissent encore être utilisées pour les objectifs visés dans la loi ? »

37. Des observations écrites ont été déposées par la Ligue des droits humains, par les gouvernements belge, estonien, irlandais, espagnol et finlandais ainsi que par la Commission européenne. Ces parties, ainsi que l’Académie Fiscale et le gouvernement italien, ont été entendues lors de l’audience qui s’est tenue le 14 avril 2026.

IV. Analyse

A. Remarques liminaires

38. La question de la compatibilité des régimes nationaux de conservation et d’accès aux données de trafic et de localisation avec l’article 15, paragraphe 1, de la directive 2002/58, lu à la lumière des articles 7 et 8 de la Charte, a été examinée par la Cour à de nombreuses reprises.

39. Pour autant, la Cour reste régulièrement interrogée à cet égard. La persistance des renvois préjudiciels relatifs à l’interprétation de ces dispositions s’explique assurément par le caractère éminemment casuistique des questions posées à la Cour dans cette matière. Il ne saurait ainsi être ignoré que cette jurisprudence a récemment fait l’objet d’évolutions substantielles, la Cour ayant été saisie pour la première fois de la question de la conservation et de l’accès à des données de trafic s’agissant de la détection et de la poursuite d’infractions exclusivement constituées en ligne. Il apparaît dès lors opportun de procéder à un bref rappel de ladite jurisprudence, en particulier de ses développements les plus récents (section B).

40. Toutefois, cette persistance peut également être le signe des difficultés que peuvent rencontrer les juges nationaux dans leur pratique quotidienne à mettre en œuvre la jurisprudence de la Cour lorsqu’ils sont amenés à évaluer la compatibilité de dispositions nationales relatives à la conservation et l’accès à des données de trafic et de localisation avec le droit de l’Union. En effet, il me semble que la jurisprudence pertinente de la Cour peut apparaître, par son développement casuistique, complexe, voire, par certains aspects, de lecture difficile (section C).

41. Je tenterai dès lors de procéder à une systématisation de la jurisprudence de la Cour relative à la conservation des données de trafic et de localisation (section D), avant d’examiner, à la lumière de ces principes, les questions préjudicielles dont la Cour est saisie dans la présente affaire (section E).

B. La jurisprudence relative à l’interprétation de l’article 15, paragraphe 1, de la directive 2002/58 s’agissant de régimes visant la conservation des données de trafic et de localisation

1. L’exception prévue à l’article 15, paragraphe 1, de la directive 2002/58

42. La directive 2002/58 énonce un certain nombre de principes entourant la conservation et le traitement par les fournisseurs de services de communications électroniques des données de trafic et de localisation.

43. Tout d’abord, l’article 5, paragraphe 1, de cette directive prévoit le principe de confidentialité tant des communications électroniques que des données relatives au trafic y afférentes et implique, notamment, l’interdiction faite, en principe, à toute personne autre que les utilisateurs de stocker, sans le consentement de ceux-ci, ces communications et ces données (10).

44. Ensuite, l’article 6, paragraphe 1, de ladite directive prévoit que les données relatives au trafic concernant les abonnés et les utilisateurs doivent être effacées et rendues anonymes lorsqu’elles ne sont plus nécessaires à la transmission d’une communication (11).

45. L’article 9 de la même directive, enfin, prévoit que les données de localisation autres que les données relatives au trafic ne peuvent être traitées que sous certaines conditions et après avoir été rendues anonymes ou moyennant le consentement des utilisateurs ou des abonnés (12).

46. Ainsi, en adoptant la directive 2002/58, le législateur de l’Union a concrétisé les droits consacrés aux articles 7 et 8 de la Charte, de telle sorte que les utilisateurs de moyens de communication électronique sont en droit de s’attendre, en principe, à ce que leurs communications et les données y afférentes restent, en l’absence de leur consentement, anonymes et ne puissent pas faire l’objet d’un enregistrement. Partant, cette directive ne se limite pas à encadrer l’accès à de telles données par des garanties visant à prévenir les abus, mais consacre aussi, en particulier, le principe de l’interdiction de leur stockage par des tiers (13).

47. L’article 15, paragraphe 1, de ladite directive permet précisément aux États membres d’adopter des mesures législatives visant à « limiter la portée » des droits et des obligations prévus, notamment, aux articles 5, 6 et 9 de cette même directive, tels que ceux découlant des principes de confidentialité des communications et de l’interdiction du stockage des données y afférentes.

48. Cette disposition établit par ailleurs une liste des objectifs susceptibles de justifier une limitation des droits et des obligations prévus, notamment, aux articles 5, 6 et 9 de la directive 2002/58. Il peut ainsi s’agir de sauvegarder la sécurité nationale, la défense et la sécurité publique, ou encore d’assurer la prévention, la recherche, la détection et la poursuite d’infractions pénales ou d’utilisations non autorisées du système de communications électroniques. La Cour a déjà jugé que l’énumération des objectifs figurant à l’article 15, paragraphe 1, première phrase, de cette directive revêt un caractère exhaustif, de telle sorte qu’une mesure législative adoptée au titre de cette disposition doit répondre effectivement et strictement à l’un de ces objectifs (14).

49. L’article 15, paragraphe 1, de ladite directive constitue donc une exception à la règle générale prévue à ces dispositions et doit donc, conformément à une jurisprudence constante, faire l’objet d’une interprétation stricte (15).

50. Ce faisant, l’article 15, paragraphe 1, de la même directive reflète également la circonstance que les droits consacrés aux articles 7, 8 et 11 de la Charte n’apparaissent pas comme étant des prérogatives absolues, mais comme devant être pris en considération par rapport à leur fonction dans la société. En effet, ainsi qu’il ressort de son article 52, paragraphe 1, la Charte admet des limitations à l’exercice de ces droits, pour autant que ces limitations soient prévues par la loi, qu’elles respectent le contenu essentiel desdits droits et que, dans le respect du principe de proportionnalité, elles soient nécessaires et répondent effectivement à des objectifs d’intérêt général reconnus par l’Union ou au besoin de protection des droits et des libertés d’autrui. Ainsi, l’interprétation de l’article 15, paragraphe 1, de la directive 2002/58, lu à la lumière de la Charte, requiert de tenir compte également de l’importance que revêtent les objectifs de protection de la sécurité nationale et de lutte contre la criminalité grave en contribuant à la protection des droits et des libertés d’autrui et de celle des droits consacrés aux articles 3, 4, 6 et 7 de la Charte, dont sont susceptibles de découler des obligations positives à la charge des pouvoirs publics (16).

51. La Cour juge ainsi de façon constante que, face à ces différentes obligations positives, il convient de procéder à une conciliation des différents intérêts légitimes et des droits en cause. Dans ce cadre, il découle des termes mêmes de l’article 15, paragraphe 1, première phrase, de cette directive que les États membres peuvent adopter une mesure dérogeant au principe de confidentialité lorsqu’une telle mesure est « nécessaire, appropriée et proportionnée, au sein d’une société démocratique ». Le considérant 11 de ladite directive indique, à cet effet, qu’une mesure de cette nature doit être « rigoureusement » proportionnée au but poursuivi (17).

2. La proportionnalité comme élément central de l’analyse d’un régime de conservation des données, à la lumière de l’article 15, paragraphe 1, de la directive 2002/58

52. Comme je l’avais énoncé dans mes secondes conclusions dans l’affaire Quadrature du Net e.a. (Données personnelles et lutte contre la contrefaçon), le principe de proportionnalité est donc au cœur de l’analyse d’une mesure nationale de conservation des données relatives au trafic et à la localisation, à la lumière de l’article 15, paragraphe 1, de la directive 2002/58, et comporte deux volets (18).

53. D’une part, la Cour juge que, pour satisfaire à l’exigence de proportionnalité, une législation doit prévoir des règles claires et précises régissant la portée et l’application de la mesure en cause et imposant des exigences minimales, de telle sorte que les personnes dont les données à caractère personnel sont concernées disposent de garanties suffisantes permettant de protéger efficacement ces données contre les risques d’abus. Cette législation doit être légalement contraignante en droit interne et, en particulier, indiquer en quelles circonstances et sous quelles conditions une mesure prévoyant le traitement de telles données peut être prise, garantissant ainsi que l’ingérence soit limitée au strict nécessaire (19). En d’autres termes, il convient de garantir que le régime en cause répond à un certain nombre de conditions visant à limiter la portée de l’ingérence qu’il suppose.

54. D’autre part, il est de jurisprudence constante que la possibilité pour les États membres de justifier une limitation aux droits et aux obligations prévus, notamment, aux articles 5, 6 et 9 de la directive 2002/58 doit être appréciée en mesurant la gravité de l’ingérence que comporte cette limitation et en vérifiant que l’importance de l’objectif d’intérêt général poursuivi par ladite limitation se rapporte à cette gravité (20). Autrement dit, il s’agit d’assurer que l’importance des objectifs poursuivis correspond au niveau de gravité de l’ingérence que le régime de conservation des données de trafic et de localisation entraîne. En effet, il existe, selon la Cour, une hiérarchie entre ces objectifs en fonction de leur importance respective (21), la sauvegarde de la sécurité nationale étant susceptible de justifier des ingérences plus importantes dans les droits fondamentaux, là où la lutte contre la criminalité en général ne peut fonder que des ingérences de moindre gravité.

55. C’est sur la base de ces principes que la Cour a notamment jugé qu’une mesure nationale prévoyant la conservation généralisée et indifférenciée des données de trafic et de localisation peut être seulement justifiée par l’objectif de sauvegarde de la sécurité nationale (22), tandis qu’il est exclu qu’une telle mesure puisse être justifiée par l’objectif de lutte contre la criminalité en général (23).

56. Dans ce même ordre d’idées, la Cour admet la possibilité d’une conservation ciblée de ces données, notamment sur la base d’un critère géographique, afin de poursuivre l’objectif de lutte contre la criminalité grave (24), et de la conservation des adresses IP attribuées à la source d’une connexion dans le but de poursuivre cet objectif (25).

57. En revanche, s’agissant des données relatives à l’identité civile des utilisateurs, elles peuvent, en raison du moindre degré d’ingérence dans les droits fondamentaux que leur conservation suppose, en faire l’objet dans le but de lutter contre la criminalité en général (26).

58. Cette approche est également celle suivie par la Cour EDH. Lors de l’examen d’une éventuelle violation de l’article 8 de la CEDH par une mesure nationale prévoyant la conservation de certaines données de trafic et de localisation, la Cour EDH fait de la proportionnalité de cette mesure l’élément central de son analyse. Ainsi, en considération de la gravité de l’ingérence considérée dans l’exercice par les requérants de leurs droits relevant de la sphère de l’article 8 de la CEDH (27), elle juge qu’une législation nationale prévoyant la conservation généralisée et indifférenciée de données de communication viole cet article dès lors qu’elle est insuffisante à limiter à ce qui est nécessaire dans une société démocratique l’ingérence qu’elle entraîne dans le droit au respect de la vie privée (28).

3. La récente adaptation de la jurisprudence relative à l’interprétation de l’article 15, paragraphe 1, de la directive 2002/58 s’agissant de la criminalité exclusivement commise en ligne

59. Plus récemment, la Cour a précisé l’examen de la proportionnalité d’une mesure de conservation de certaines données de trafic et de localisation, lorsque cette mesure vise la détection et la poursuite d’infractions exclusivement commises en ligne (29). La Cour a ainsi modulé son interprétation de l’article 15, paragraphe 1, de la directive 2002/58, à deux égards.

60. En premier lieu, la Cour a affiné l’examen de la gravité de l’ingérence que comporte une mesure de conservation de certaines données de trafic et de localisation – en l’espèce, d’adresses IP attribuées à la source d’une connexion. Ainsi, la Cour juge qu’une mesure, au titre de l’article 15, paragraphe 1, de cette directive, permettant la conservation généralisée et indifférenciée de ces adresses IP, peut, le cas échéant, être justifiée par l’objectif de lutte contre les infractions pénales en général (30), lorsqu’il est effectivement exclu que cette conservation puisse engendrer des ingérences graves dans la vie privée de la personne concernée en raison de la possibilité de tirer des conclusions précises sur celle-ci moyennant, notamment, une mise en relation desdites adresses IP avec un ensemble de données de trafic ou de localisation qui auraient également été conservées par ces fournisseurs (31).

61. La Cour précise par ailleurs qu’un État membre qui entend imposer aux fournisseurs de services de communications électroniques une telle obligation doit s’assurer que les modalités de conservation de ces données soient de nature à garantir qu’est exclue toute combinaison de ces mêmes adresses IP avec d’autres données conservées qui permettraient de tirer des conclusions précises sur la vie privée des personnes dont les données sont conservées (32). Il lui incombe dès lors de prévoir des modalités de conservation de ces données qui doivent concerner la structure même de cette conservation qui, en substance, doit être organisée de manière à garantir une séparation effectivement étanche des différentes catégories de données conservées (33).

62. L’arrêt Quadrature du Net II constitue ainsi une évolution de la jurisprudence antérieure relative à l’interprétation de l’article 15, paragraphe 1, de la directive 2002/58. Non seulement il est clairement énoncé que la gravité de l’ingérence dépend des conclusions qu’il est possible de tirer sur la vie privée des personnes dont les données sont conservées, mais, en outre, la Cour admet que les États membres ont la possibilité, en prévoyant des modalités spécifiques de conservation des données en cause, d’avoir une influence sur le niveau de gravité d’une ingérence (34).

63. En second lieu, la Cour rappelle que, s’agissant d’infractions commises en ligne, l’accès à certaines données, notamment l’adresse IP à la source d’une connexion, peut constituer le seul moyen d’investigation permettant l’identification effective de la personne à laquelle cette adresse était attribuée au moment de la commission de l’infraction dont il est question (35).

64. Selon la Cour, cette seule circonstance tend à établir que la conservation des données pertinentes est, s’agissant de la lutte contre les infractions pénales commises en ligne, strictement nécessaire à la réalisation de l’objectif poursuivi et répond donc à l’exigence de proportionnalité qu’impose l’article 15, paragraphe 1, de la directive 2002/58 (36). En effet, l’absence de conservation de ces données (et d’accès subséquent à celles-ci) entraîne un risque d’impunité systémique des infractions pénales commises en ligne, qui ne saurait être ignoré afin d’apprécier, dans le cadre d’une mise en balance des différents droits et intérêts en présence, si une ingérence dans les droits garantis aux articles 7, 8 et 11 de la Charte est une mesure proportionnée au regard de l’objectif de lutte contre les infractions pénales (37).

65. Ce faisant, l’arrêt Quadrature du Net II me semble conduire à un certain assouplissement de la jurisprudence de la Cour relative à l’article 15, paragraphe 1, de cette directive ou, à tout le moins, à une application pragmatique de ses principes.

66. Sa lecture d’ensemble révèle toutefois, à mon sens, certaines limites.

C. Les écueils de la jurisprudence relative à l’interprétation de l’article 15, paragraphe 1, de la directive 2002/58 s’agissant de régimes visant la conservation des données de trafic et de localisation

67. La coexistence d’une jurisprudence souple, s’agissant de la conservation de données nécessaires à la lutte contre les infractions pénales commises en ligne conformément à l’article 15, paragraphe 1, de la directive 2002/58, et de la jurisprudence classique de la Cour relative à l’interprétation de cette disposition me semble produire deux limites.

68. En premier lieu, et d’un point de vue pratique, je relève que la lecture combinée de l’arrêt Quadrature du Net II et des arrêts antérieurs conduit à exiger des fournisseurs de services de communications électroniques la multiplication de fichiers de conservation des données, devant répondre à différentes caractéristiques techniques, selon l’objectif poursuivi par cette conservation.

69. Si une telle problématique pouvait déjà exister, avant l’arrêt Quadrature du Net II, en raison des différents régimes de conservation des données selon l’objectif poursuivi, elle apparaît plus prégnante encore.

70. La jurisprudence de la Cour impose en effet désormais aux États membres de prévoir, lorsqu’ils imposent, pour la poursuite d’un objectif de moindre importance que la défense de la sécurité nationale, la conservation de données de trafic et de localisation permettant, en principe, de tirer des conclusions précises sur la vie privée des utilisateurs, des modalités de conservation assurant que les différentes catégories de données soient conservées de manière pleinement séparée (38).

71. Selon la jurisprudence de la Cour, ces modalités de conservation doivent garantir que, sur un plan technique, la séparation des différentes catégories de données conservées est effectivement étanche, moyennant un dispositif informatique sécurisé et fiable (39). En outre, la mise en relation des différentes données ainsi conservées doit se faire par l’usage d’un procédé technique performant ne remettant pas en cause l’efficacité de la séparation étanche de ces catégories de données (40). Par ailleurs, la fiabilité de cette séparation étanche doit faire l’objet d’un contrôle régulier par une autorité publique autre que celle qui cherche à obtenir l’accès aux données à caractère personnel conservées par les fournisseurs de services de communications électroniques (41).

72. Ainsi, la conservation des données de trafic et de localisation nécessaires à la détection et à la poursuite des infractions exclusivement commises en ligne suppose, pour être effectuée conformément à l’article 15, paragraphe 1, de la directive 2002/58, un certain nombre d’adaptations techniques de la part des fournisseurs de services de communications électroniques.

73. Or il n’existe aucune exigence de cette sorte s’agissant des données de trafic et de localisation conservées dans le but de faire face à une menace grave pour la sécurité nationale. Dans une telle hypothèse, ces données peuvent être conservées dans un fichier unique, facilitant ainsi les recoupements entre elles, sans que cela remette en cause la compatibilité d’un tel mécanisme avec l’article 15, paragraphe 1, de cette directive.

74. Il s’ensuit que les exigences découlant de la jurisprudence de la Cour relative à l’interprétation de cette disposition me semblent conduire à la multiplication des fichiers de conservation de données de trafic et de localisation, répondant en outre à des caractéristiques différentes.

75. Une telle solution entraîne, selon moi, un risque non négligeable quant à la sécurité des données de trafic et de localisation devant être conservées dans un fichier assurant leur séparation étanche de sorte qu’on ne puisse pas en tirer de conclusions précises sur la vie des utilisateurs. Les mêmes données faisant l’objet de deux modes de conservation différents, il ne saurait être exclu le recours, à tout le moins accidentel, au fichier le moins sécurisé pour l’obtention de données en dehors d’une menace grave pour la sécurité nationale.

76. En outre, ainsi que l’a souligné la Ligue des droits humains lors de l’audience, il me semble que la multiplication de fichiers de conservation pour des données identiques comporte également le risque d’absence de mise en œuvre effective de la jurisprudence la plus récente de la Cour. Dans la mesure où l’ensemble des données de trafic et de localisation sont déjà collectées dans un fichier unique à des fins de sauvegarde de la sécurité nationale, il existe une probabilité non négligeable que les fournisseurs de services de communications électroniques ne procèdent, in fine, à aucune structuration des données lorsque celles-ci sont conservées pour la poursuite d’autres objectifs énoncés à l’article 15, paragraphe 1, de la directive 2002/58.

77. En second lieu, une lecture d’ensemble de la jurisprudence de la Cour relative à l’interprétation de l’article 15, paragraphe 1, de cette directive me pousse à m’interroger sur la logique même de cette dernière.

78. En effet, il ressort clairement de celle-ci que la gravité de l’ingérence qu’implique la conservation de données de trafic et de localisation tient aux conclusions qu’il est possible de tirer de ces données quant à la vie privée des utilisateurs. En outre, la Cour admet que l’ingérence peut être limitée par des mesures techniques visant précisément à garantir que de telles conclusions ne puissent pas être tirées.

79. Il ressort à mon sens de ces éléments, au centre du test de proportionnalité de l’article 15, paragraphe 1, de la directive 2002/58, que la détermination du niveau d’ingérence dans les droits fondamentaux dépend essentiellement de l’usage subséquent qui peut être fait des données en cause.

80. Il est vrai que la Cour juge de façon constante que la conservation des données de trafic et de localisation constitue une ingérence dans les droits fondamentaux sans qu’il importe de savoir si les informations relatives à la vie privée concernées présentent ou non un caractère sensible ou si les intéressés ont subi ou non d’éventuels inconvénients en raison de cette ingérence (42). De même, il est sans pertinence que les données conservées soient ou non utilisées par la suite, l’accès à de telles données constituant, quelle que soit l’utilisation qui en est faite ultérieurement, une ingérence distincte dans les droits fondamentaux (43).

81. Il ne s’agit donc pas ici de contester l’idée que la seule conservation des données de trafic et de localisation est, en soi, une ingérence dans les droits fondamentaux.

82. Toutefois, il me semble que cette ingérence résulte avant tout du fait que ces données sont susceptibles d’être utilisées de sorte à tirer des conclusions sur la vie privée des utilisateurs. La Cour le souligne d’ailleurs : la conservation des données n’intervient qu’aux seules fins de rendre, le cas échéant, ces données accessibles aux autorités nationales compétentes (44). En effet, en l’absence de conservation des données de trafic et de localisation, la question de l’ingérence qu’entraîne l’accès à ces dernières ne se pose pas (45).

83. Autrement dit, selon moi, la conservation des données de trafic et de localisation est une ingérence dans les droits fondamentaux, car elle est la condition nécessaire à leur accès subséquent, peu importe que cet accès ait lieu ou non.

84. Ce faisant, je suis d’avis, à l’instar de la Commission, qu’un régime de conservation généralisée et indifférenciée des données de trafic et de localisation ne devrait pas, par principe, être exclu dès lors qu’il ne vise pas la sauvegarde de la sécurité nationale. En effet, dans la mesure où un tel régime demeure soumis à des modalités de structuration dans la conservation de ces données telles que celles développées par la Cour dans l’arrêt Quadrature du Net II et à des limites temporelles strictes, il me semble que l’ingérence dans les droits fondamentaux qu’il implique reste proportionnée.

85. Il en va d’autant plus ainsi que la jurisprudence de la Cour, même antérieure à l’arrêt Quadrature du Net II, me semble porter en elle les prémisses d’une telle solution. En effet, en admettant la possibilité de la conservation des données sur la base d’un critère géographique, pour des motifs autres que relatifs à la sauvegarde de la sécurité nationale (46), la Cour reconnaît implicitement qu’une conservation généralisée et indifférenciée de ces données peut, sous conditions, être admise au titre de l’article 15, paragraphe 1, de la directive 2002/58.

86. En revanche, le fait d’admettre la compatibilité d’un tel régime de conservation des données de trafic et de localisation avec l’article 15, paragraphe 1, de cette directive ne peut qu’aller de pair avec un renforcement important des conditions relatives à l’accès à ces données, en particulier lorsque cet accès est demandé dans le but de poursuivre les objectifs de moindre importance dans la hiérarchie de cette disposition.

87. En particulier, et de manière schématique, l’accès aux données ainsi conservées devrait être refusé lorsqu’il est justifié par un objectif de l’article 15, paragraphe 1, de ladite directive de moindre importance, alors même que l’ingérence dans les droits fondamentaux qu’il implique présente un degré de gravité important. Autrement dit, l’exigence d’une correspondance entre la gravité de l’ingérence dans les droits fondamentaux et l’importance de l’objectif poursuivi ne disparaît pas, mais se concentre au stade de l’étude de l’ingérence dans les droits fondamentaux du fait de cet accès.

88. Une telle solution permettrait tout d’abord, selon moi, de palier le risque d’impunité systémique des infractions exclusivement commises en ligne ou dont la commission ou la préparation est facilitée par les caractéristiques propres à l’internet. Elle garantit en effet l’existence des données nécessaires à leur poursuite, alors même que le développement et l’importance toujours grandissante de l’internet entraînent dans le même temps l’accroissement des comportements cybercriminels (47).

89. Ensuite, assortie à un renforcement des conditions permettant l’accès aux données pertinentes, cette solution assure dans le même temps la limitation de l’ingérence dans les droits fondamentaux qu’une telle conservation implique.

90. Enfin, en ce qu’elle évite la multiplication des techniques de conservation de ces données, ladite solution permet également d’éviter le contournement, dans les États membres, de la jurisprudence de la Cour – accidentel ou non – par l’accès, pour des motifs étrangers à la défense de la sécurité nationale, aux données conservées dans un fichier général non structuré dans le but de poursuivre ce dernier objectif, ou par son absence de mise en œuvre effective par les fournisseurs de services de communications électroniques.

91. Dès lors, je suis d’avis qu’il est possible, et même souhaitable, d’étendre la solution développée par la Cour dans l’arrêt Quadrature du Net II à l’ensemble des régimes de conservation des données de trafic et de localisation adoptés sur le fondement de l’article 15, paragraphe 1, de la directive 2002/58 (48).

D. Une proposition de systématisation

92. L’article 15, paragraphe 1, de la directive 2002/58 devrait ainsi être interprété en ce sens qu’il ne s’oppose pas à une législation nationale prévoyant, pour la poursuite des objectifs énoncés à cette disposition, la conservation généralisée et indifférenciée des données de trafic et de localisation, à condition que, en vertu de cette législation, ces données soient conservées dans des conditions et selon des modalités techniques garantissant qu’il soit exclu que cette conservation puisse permettre de tirer des conclusions précises sur la vie privée des utilisateurs, ce qui peut être accompli, en particulier, en imposant aux fournisseurs de services de communications électroniques une obligation de conservation des différentes catégories de données à caractère personnel garantissant une séparation effectivement étanche de ces différentes catégories de données empêchant, au stade de cette conservation, toute exploitation combinée desdites différentes catégories de données, et ce pour une durée ne dépassant pas le strict nécessaire.

93. Une telle législation doit en outre prévoir des règles claires et précises régissant la portée et l’application de la mesure en cause et imposant des exigences minimales, de telle sorte que les personnes dont les données à caractère personnel sont concernées disposent de garanties suffisantes permettant de protéger efficacement ces données contre les risques d’abus. Cette législation doit être légalement contraignante en droit interne et, en particulier, indiquer en quelles circonstances et sous quelles conditions une mesure prévoyant le traitement de telles données peut être prise, garantissant ainsi que l’ingérence soit limitée au strict nécessaire.

94. C’est sur la base de ces principes que je procéderai à l’analyse des questions préjudicielles.

E. La réponse aux questions préjudicielles

1. Sur la première question préjudicielle

95. Par sa première question, la juridiction de renvoi demande, en substance, si l’article 15, paragraphe 1, de la directive 2002/58, lu à la lumière des articles 7 et 8 ainsi que de l’article 52, paragraphe 1, de la Charte, s’oppose à une législation qui :

– prévoit une obligation pour les fournisseurs de services de communications électroniques de conserver et de traiter les données de trafic visées dans cette législation, pendant une période de quatre ou douze mois, selon le cas, afin que ces fournisseurs prennent les mesures appropriées, proportionnées, préventives et curatives de manière à éviter les fraudes et les utilisations malveillantes sur leurs réseaux et à empêcher que les utilisateurs finaux subissent un préjudice ou soient importunés, ainsi qu’à établir les fraudes ou les utilisations malveillantes du réseau ou du service ou à pouvoir en identifier l’auteur et l’origine ;

– permet aux fournisseurs de services de communications électroniques de conserver et de traiter les données de trafic concernées au-delà des délais précités, en cas de fraude ou d’utilisation malveillante du réseau spécifique identifiée, le temps nécessaire à son analyse et à sa résolution ou le temps nécessaire au traitement de cette utilisation malveillante ;

– permet aux fournisseurs de services de communications électroniques, sans prévoir l’obligation de solliciter un avis préalable ou de notifier à une autorité indépendante, de conserver et de traiter d’autres données que celles visées dans cette directive, en vue de permettre d’établir la fraude ou l’utilisation malveillante du réseau ou du service, ou d’identifier son auteur et son origine ;

– permet aux fournisseurs de services de communications électroniques, sans prévoir l’obligation de solliciter un avis préalable ou de notifier à une autorité indépendante, de conserver et de traiter pour une durée de douze mois les données de trafic qu’ils estiment nécessaires pour garantir la sécurité et le bon fonctionnement de leurs réseaux et services de communications électroniques, et en particulier pour détecter et analyser une atteinte potentielle ou réelle à cette sécurité, en ce compris pour identifier l’origine de cette atteinte, et, en cas d’atteinte spécifique à ladite sécurité, de conserver ces données pendant la durée nécessaire pour traiter ladite atteinte.

96. La première question préjudicielle concerne donc l’article 122, § 4 et § 4/1, de la loi du 13 juin 2005. Cette disposition prévoit à la fois une obligation et une faculté, imposées aux fournisseurs de services de communications électroniques, de conserver un certain nombre de données de trafic et de localisation dans le but de détecter ou d’identifier l’auteur d’une fraude ou d’une utilisation malveillante du réseau ou du service.

97. Le gouvernement belge défend l’idée selon laquelle une telle législation est justifiée par l’objectif énoncé à l’article 15, paragraphe 1, de la directive 2002/58 de prévention, recherche, détection et poursuite d’utilisations non autorisées du système de communications électroniques et qu’elle est en outre strictement proportionnée à cet objectif.

98. Tel ne me semble pas être le cas.

99. Je commencerai par relever que les données visées à l’article 122, § 4 et § 4/1, de la loi du 13 juin 2005 représentent un ensemble particulièrement large de données. Sont en cause dans cette disposition : les identifiants de l’origine et de la destination de la communication, les dates et heures précises de début et de fin de la communication, la localisation des équipements terminaux des parties à la communication, le numéro de téléphone à l’origine de la communication entrante, l’adresse IP à la source de la communication entrante, l’horodatage et le port utilisé, les dates et heures précises de la communication entrante, ainsi que toutes les données nécessaires pour assurer la sécurité et le bon fonctionnement des réseaux et des services de communications électroniques. Ce faisant, les données que conservent les fournisseurs de services de communications électroniques permettent de retrouver et d’identifier la source d’une communication et la destination de celle-ci, de déterminer la date, l’heure, la durée ainsi que la localisation des utilisateurs (49). Il est donc indéniable que ces données permettent de tirer des conclusions précises sur la vie privée de ces utilisateurs.

100. Si, selon ma lecture de la jurisprudence de la Cour relative à l’article 15, paragraphe 1, de la directive 2002/58, l’existence d’une telle ingérence dans les droits fondamentaux peut néanmoins être justifiée sur le fondement de cette disposition, c’est seulement à condition que la législation en cause impose, pour la conservation de cet ensemble de données, un mode de conservation précis de sorte à limiter l’ingérence résultant de la conservation dudit ensemble de données.

101. Or il ne ressort nullement de la législation nationale que les données en cause sont conservées dans des conditions et selon des modalités techniques garantissant qu’il soit exclu que tel puisse être le cas. En effet, elle n’impose aucunement des modalités de conservation de ces données de sorte à garantir une séparation effectivement étanche des différentes catégories de données empêchant, au stade de cette conservation, toute exploitation combinée de ces différentes catégories de données.

102. Dès lors, l’ingérence qu’implique la conservation des données visées à l’article 122, § 4 et § 4/1, de la loi du 13 juin 2005 n’est pas, à mon sens, proportionnée à l’objectif poursuivi.

103. En tout état de cause, je relève que la législation en cause au principal se caractérise, selon moi, par une grande incertitude tant quant aux données qui sont effectivement conservées par les fournisseurs de services de communications électroniques que quant à la durée de cette conservation.

104. En effet, d’une part, je relève que, outre les données expressément listées, l’article 122, § 4/1, de la loi du 13 juin 2005 permet aux fournisseurs de services de communications électroniques de conserver « les données de trafic nécessaires pour assurer la sécurité et le bon fonctionnement de leurs réseaux » et qu’il prévoit également que ces données expressément listées peuvent être complétées par un arrêté du Roi.

105. D’autre part, l’article 122, § 4 et § 4/1, de cette loi autorise les fournisseurs de services de communications électroniques à conserver les données en cause pendant la durée nécessaire au traitement d’une fraude ou d’une utilisation malveillante du réseau identifiée, au-delà de la durée expressément prévue par le législateur.

106. Ce faisant, c’est aux fournisseurs de services de communications électroniques qu’il revient in fine de décider s’ils procèdent à la conservation de données, de déterminer l’étendue des données concernées et la durée de leur conservation.

107. Ainsi, en l’absence de règles claires et précises relatives tant à l’étendue des données conservées qu’à la durée de leur conservation, laissant ouverte la possibilité d’une conservation non limitée à l’initiative exclusive des fournisseurs de services de communications électroniques, la législation nationale en cause au principal ne saurait être jugée proportionnée à l’objectif poursuivi.

108. De même, une telle législation me semble manifestement contraire à l’exigence selon laquelle toute limitation de l’exercice des droits fondamentaux doit être prévue par la loi, ce qui implique que la base légale qui permet l’ingérence dans ces droits doit définir elle-même la portée de la limitation de l’exercice du droit concerné (50).

109. Partant, je suis d’avis que l’article 15, paragraphe 1, de la directive 2002/58, lu à la lumière des articles 7 et 8 ainsi que de l’article 52, paragraphe 1, de la Charte, doit être interprété en ce sens qu’il s’oppose à une législation nationale telle que celle visée par la juridiction de renvoi dans sa première question préjudicielle.

2. Sur la deuxième question préjudicielle

110. Par sa deuxième question, la juridiction de renvoi demande, en substance, si l’article 15, paragraphe 1, de la directive 2002/58, lu à la lumière des articles 7 et 8 ainsi que de l’article 52, paragraphe 1, de la Charte, s’oppose à une législation qui :

– permet aux fournisseurs de services de communications électroniques de conserver et de traiter les données de localisation, sans que cette législation décrive précisément quelles données sont visées, dans le cadre de la fourniture d’un réseau ou d’un service, pendant une période de quatre ou douze mois, selon le cas, lorsque cela est nécessaire pour le bon fonctionnement et la sécurité de ce réseau ou de ce service, ou pour détecter ou analyser les fraudes ou les utilisations malveillantes dudit réseau ;

– permet aux fournisseurs de services de communications électroniques de conserver et de traiter les données de localisation au-delà des délais précités, en cas d’atteinte, de fraude ou d’utilisation malveillante spécifique.

111. La deuxième question concerne donc l’article 123 de la loi du 13 juin 2005, qui prévoit l’obligation pour les fournisseurs de services de communications électroniques de conserver les données de localisation pendant une période de quatre ou douze mois selon les cas ainsi que la faculté de prolonger ces délais de conservation.

112. Cette question vise la conservation des données de localisation autres que les données relatives au trafic. À cet égard, je rappelle, ainsi que l’énonce le considérant 35 de la directive 2002/58, que les données de localisation indiquant la position géographique de l’équipement terminal de l’utilisateur mobile sont des données relatives au trafic couvertes par l’article 6 de cette directive lorsqu’elles sont traitées afin de permettre la transmission des communications. Toutefois, les réseaux numériques mobiles peuvent aussi avoir la capacité de traiter des données de localisation qui sont plus précises que ne l’exige la transmission des communications et qui sont utilisées pour la fourniture de services à valeur ajoutée tels que des services personnalisés d’information sur la circulation et de guidage des conducteurs. Ce type de données relève de l’article 9 de ladite directive, qui prévoit que ces données ne peuvent être traitées que de manière anonyme ou moyennant le consentement des utilisateurs ou des abonnés (51).

113. En ce que la législation nationale en cause au principal limite la portée des droits et obligations prévus à cette disposition, elle doit respecter les exigences prévues à l’article 15, paragraphe 1, de la même directive, tel qu’interprété par la jurisprudence de la Cour.

114. Je relève que la législation faisant l’objet de la deuxième question préjudicielle présente, à mon sens, les mêmes caractéristiques que celle visée par la première question, lesquelles m’ont conduit à la considérer contraire à l’article 15, paragraphe 1, de la directive 2002/58.

115. En effet, d’une part, elle ne prévoit aucune exigence de structuration des données et, d’autre part, elle manque de précision tant s’agissant des données conservées que de la durée de leur conservation, ces deux éléments étant laissés à la discrétion des fournisseurs de services de communications électroniques.

116. Dès lors, pour les mêmes raisons que celles identifiées dans ma réponse à la première question (52), l’article 15, paragraphe 1, de la directive 2002/58, lu à la lumière des articles 7 et 8 ainsi que de l’article 52, paragraphe 1, de la Charte, doit être interprété en ce sens qu’il s’oppose à une législation nationale telle que celle visée par la juridiction de renvoi dans sa deuxième question préjudicielle.

3. Sur la troisième question préjudicielle

117. Par sa troisième question, la juridiction de renvoi demande, en substance, si, en cas de réponse affirmative aux deux premières questions préjudicielles, elle peut maintenir temporairement les effets des dispositions de la loi du 20 juillet 2022 incompatibles avec le droit de l’Union, afin d’éviter une situation d’insécurité juridique et de permettre que les données collectées et conservées précédemment puissent être utilisées conformément aux objectifs poursuivis par cette loi.

118. À cet égard, je rappelle que la Cour a répondu négativement à une question similaire, notamment, dans l’affaire ayant donné lieu à l’arrêt Quadrature du Net I (53). Il n’y a pas lieu, selon moi, de parvenir à un résultat différent.

119. Ainsi, elle a rappelé que le principe de la primauté du droit de l’Union consacre la prééminence du droit de l’Union sur le droit des États membres et impose dès lors à toutes les instances des États membres de donner leur plein effet aux différentes normes de l’Union, le droit des États membres ne pouvant affecter l’effet reconnu à ces différentes normes sur le territoire de ces États (54). En vertu de ce principe, à défaut de pouvoir procéder à une interprétation de la législation nationale conforme aux exigences du droit de l’Union, le juge national chargé d’appliquer, dans le cadre de sa compétence, les dispositions du droit de l’Union a l’obligation d’assurer le plein effet de celles-ci en laissant au besoin inappliquée, de sa propre autorité, toute disposition contraire de la législation nationale, même postérieure, sans qu’il ait à demander ou à attendre l’élimination préalable de celle-ci par voie législative ou par tout autre procédé constitutionnel (55).

120. Seule la Cour peut, à titre exceptionnel et pour des considérations impérieuses de sécurité juridique, accorder une suspension provisoire de l’effet d’éviction exercé par une règle du droit de l’Union à l’égard du droit national contraire à celle-ci. Une telle limitation dans le temps des effets de l’interprétation de ce droit donnée par la Cour ne peut être accordée que dans l’arrêt même qui statue sur cette interprétation. Il serait porté atteinte à la primauté et à l’application uniforme du droit de l’Union si des juridictions nationales avaient le pouvoir de donner aux dispositions nationales la primauté par rapport au droit de l’Union auquel ces dispositions contreviennent, serait-ce à titre provisoire (56).

121. En outre, selon une jurisprudence constante, l’interprétation que la Cour donne d’une règle du droit de l’Union, dans l’exercice de la compétence que lui confère l’article 267 TFUE, éclaire et précise la signification et la portée de cette règle, telle qu’elle doit ou aurait dû être comprise et appliquée depuis le moment de son entrée en vigueur. Il s’ensuit que ladite règle ainsi interprétée peut et doit être appliquée par le juge à des rapports juridiques nés et constitués avant le prononcé de l’arrêt statuant sur cette demande d’interprétation si, par ailleurs, les conditions permettant de porter devant les juridictions compétentes un litige relatif à l’application de cette même règle se trouvent réunies (57).

122. À cet égard, il convient encore de préciser qu’une limitation dans le temps des effets de l’interprétation retenue n’a pas été opérée dans les arrêts Tele2 Sverige et Watson e.a. (58), Quadrature du Net I ou encore Commissioner of An Garda Síochána e.a.(59), de sorte qu’elle ne saurait intervenir dans un arrêt de la Cour postérieur à ceux-ci.

123. Dans ces conditions, je suis d’avis qu’il convient de répondre à la troisième question préjudicielle en ce sens que le droit de l’Union s’oppose à ce qu’une juridiction nationale fasse application d’une disposition de droit national limitant les effets dans le temps d’une déclaration d’invalidité lui incombant, en vertu de ce droit, à l’égard d’une législation nationale imposant aux fournisseurs de services de communications électroniques une obligation de conservation généralisée et indifférenciée des données relatives au trafic et des données de localisation incompatible avec l’article 15, paragraphe 1, de la directive 2002/58, lu à la lumière des articles 7, 8 et 11 ainsi que de l’article 52, paragraphe 1, de la Charte.

V. Conclusion

124. Eu égard à l’ensemble des considérations qui précèdent, je propose à la Cour de répondre comme suit aux questions préjudicielles posées par la Cour constitutionnelle (Belgique) :

1) L’article 15, paragraphe 1, de la directive 2002/58/CE du Parlement européen et du Conseil, du 12 juillet 2002, concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques), telle que modifiée par la directive 2009/136/CE du Parlement européen et du Conseil, du 25 novembre 2009, lu à la lumière des articles 7, 8 et 11 ainsi que de l’article 52, paragraphe 1, de la charte des droits fondamentaux de l’Union européenne,

doit être interprété en ce sens que :

il s’oppose à une législation nationale qui :

– prévoit une obligation pour les fournisseurs de services de communications électroniques de conserver et de traiter les données de trafic visées dans cette législation, pendant une période de quatre ou douze mois, selon le cas, afin qu’ils prennent les mesures appropriées, proportionnées, préventives et curatives de manière à éviter les fraudes et les utilisations malveillantes sur leurs réseaux et à empêcher que les utilisateurs finaux subissent un préjudice ou soient importunés, ainsi qu’à établir les fraudes ou les utilisations malveillantes du réseau ou du service ou à pouvoir en identifier l’auteur et l’origine ;

– permet aux fournisseurs de services de communications électroniques, sans prévoir l’obligation de solliciter un avis préalable ou de notifier à une autorité indépendante, de conserver et de traiter d’autres données que celles visées dans cette directive, en vue de permettre d’établir la fraude ou l’utilisation malveillante du réseau ou du service, ou d’identifier son auteur et son origine ;

– permet aux fournisseurs de services de communications électroniques, sans prévoir l’obligation de solliciter un avis préalable ou de notifier à une autorité indépendante, de conserver et de traiter pour une durée de douze mois les données de trafic qu’ils estiment nécessaires pour garantir la sécurité et le bon fonctionnement de leurs réseaux et services de communications électroniques, et en particulier pour détecter et analyser une atteinte potentielle ou réelle à cette sécurité, en ce compris pour identifier l’origine de cette atteinte, et, en cas d’atteinte spécifique à ladite sécurité, de conserver ces données pendant la durée nécessaire pour traiter ladite atteinte.

2) L’article 15, paragraphe 1, de ladite directive, lu à la lumière des articles 7, 8 et 11 ainsi que de l’article 52, paragraphe 1, de la charte des droits fondamentaux,

doit être interprété en ce sens que :

il s’oppose à une législation nationale qui :

– permet aux fournisseurs de services de communications électroniques de conserver et de traiter les données de localisation au-delà des délais précités , en cas d’atteinte, de fraude ou d’utilisation malveillante spécifique.

3) Le droit de l’Union doit être interprété en ce sens qu’il s’oppose à ce qu’une juridiction nationale fasse application d’une disposition de droit national limitant les effets dans le temps d’une déclaration d’invalidité lui incombant, en vertu de ce droit, à l’égard d’une législation nationale imposant aux fournisseurs de services de communications électroniques une obligation de conservation généralisée et indifférenciée des données relatives au trafic et des données de localisation incompatible avec l’article 15, paragraphe 1, de la même directive, lu à la lumière des articles 7, 8 et 11 ainsi que de l’article 52, paragraphe 1, de la charte des droits fondamentaux.

1 Langue originale : le français.

2 Arrêt n^o 57/2021 du 22 avril 2021 (ECLI:BE:GHCC:2021:AR.057).

3 Arrêt du 6 octobre 2020 (C‑511/18, C‑512/18 et C‑520/18, ci-après l’« arrêt La Quadrature du Net I », EU:C:2020:791).

4 Directive du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques) (JO 2002, L 201, p. 37), telle que modifiée par la directive 2009/136/CE du Parlement européen et du Conseil, du 25 novembre 2009 (JO 2009, L 337, p. 11) (ci-après la « directive 2002/58 »).

5 Arrêt du 30 avril 2024 (C‑470/21, ci-après l’« arrêt La Quadrature du Net II », EU:C:2024:370).

6 Directive du Parlement européen et du Conseil du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO 1995, L 281, p. 31).

7 JO 2002, L 108, p. 33.

8 Règlement du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1, ci-après le « RGPD »).

9 Directive du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (JO 2016, L 119, p. 89).

10 Arrêts La Quadrature du Net I (point 107), du 5 avril 2022, Commissioner of An Garda Síochána e.a. (C‑140/20, EU:C:2022:258, point 35) ainsi que du 20 septembre 2022, SpaceNet et Telekom Deutschland (C‑793/19 et C‑794/19, EU:C:2022:702, point 52).

11 Arrêts du 21 décembre 2016, Tele2 Sverige et Watson e.a. (C‑203/15 et C‑698/15, EU:C:2016:970, point 86), La Quadrature du Net I (point 108), du 5 avril 2022, Commissioner of An Garda Síochána e.a. (C‑140/20, EU:C:2022:258, point 38) ainsi que du 20 septembre 2022, SpaceNet et Telekom Deutschland (C‑793/19 et C‑794/19, EU:C:2022:702, point 55).

12 Arrêts du 21 décembre 2016, Tele2 Sverige et Watson e.a. (C‑203/15 et C‑698/15, EU:C:2016:970, point 86), La Quadrature du Net I (point 108), du 5 avril 2022, Commissioner of An Garda Síochána e.a. (C‑140/20, EU:C:2022:258, point 38) ainsi que du 20 septembre 2022, SpaceNet et Telekom Deutschland (C‑793/19 et C‑794/19, EU:C:2022:702, point 55).

13 Arrêts du 5 avril 2022, Commissioner of An Garda Síochána e.a. (C‑140/20, EU:C:2022:258, point 39) et du 20 septembre 2022, SpaceNet et Telekom Deutschland (C‑793/19 et C‑794/19, EU:C:2022:702, point 56).

14 Arrêts La Quadrature du Net I (point 112), du 5 avril 2022, Commissioner of An Garda Síochána e.a. (C‑140/20, EU:C:2022:258, point 41), du 20 septembre 2022, SpaceNet et Telekom Deutschland (C‑793/19 et C‑794/19, EU:C:2022:702, point 58), ainsi que La Quadrature du Net II (point 67),

15 Arrêts La Quadrature du Net I (points 110 et 111), du 5 avril 2022, Commissioner of An Garda Síochána e.a. (C‑140/20, EU:C:2022:258, point 40) ainsi que du 20 septembre 2022, SpaceNet et Telekom Deutschland (C‑793/19 et C‑794/19, EU:C:2022:702, point 57).

16 Arrêts La Quadrature du Net I (points 120 à 122), du 5 avril 2022, Commissioner of An Garda Síochána e.a. (C‑140/20, EU:C:2022:258, points 48 et 49) ainsi que du 20 septembre 2022, SpaceNet et Telekom Deutschland (C‑793/19 et C‑794/19, EU:C:2022:702, points 63 et 64).

17 Arrêts La Quadrature du Net I (points 127 à 129), du 5 avril 2022, Commissioner of An Garda Síochána e.a. (C‑140/20, EU:C:2022:258, points 50 et 51) ainsi que du 20 septembre 2022, SpaceNet et Telekom Deutschland (C‑793/19 et C‑794/19, EU:C:2022:702, points 65 et 66).

18 C‑470/21, EU:C:2023:711, points 42 et 43.

19 Arrêt La Quadrature du Net I (point 132).

20 Arrêts La Quadrature du Net I (point 131), du 5 avril 2022, Commissioner of An Garda Síochána e.a. (C‑140/20, EU:C:2022:258, point 53) ainsi que du 20 septembre 2022, SpaceNet et Telekom Deutschland (C‑793/19 et C‑794/19, EU:C:2022:702, point 68).

21 Arrêt du 20 septembre 2022, SpaceNet et Telekom Deutschland (C‑793/19 et C‑794/19, EU:C:2022:702, point 71).

22 Arrêt La Quadrature du Net I (point 168).

23 Arrêt 21 décembre 2016, Tele2 Sverige et Watson e.a. (C‑203/15 et C‑698/15, EU:C:2016:970, point 112).

24 Arrêts du 8 avril 2014, Digital Rights Ireland e.a. (C‑293/12 et C‑594/12, EU:C:2014:238, point 59), du 21 décembre 2016, Tele2 Sverige et Watson e.a. (C‑203/15 et C‑698/15, EU:C:2016:970, point 108) ainsi que La Quadrature du Net I (point 168).

25 Arrêt La Quadrature du Net I (point 168).

26 Arrêt La Quadrature du Net I (point 168).

27 Cour EDH, 28 mai 2024, Pietrzak et Bychawska-Siniarska et autres c. Pologne, CE:ECHR:2024:0528JUD007203817, point 259.

28 Cour EDH, 28 mai 2024, Pietrzak et Bychawska-Siniarska et autres c. Pologne, CE:ECHR:2024:0528JUD007203817, point 264.

29 Arrêt La Quadrature du Net II.

30 Et non seulement la criminalité grave, comme cela avait été jugé dans l’arrêt La Quadrature du Net I.

31 Arrêt La Quadrature du Net II (point 83).

32 Arrêt La Quadrature du Net II (point 84).

33 Arrêt La Quadrature du Net II (point 85).

34 La Cour énonce un certain nombre de conditions propres à assurer l’étanchéité effective de la séparation des différentes catégories de données conservées. Voir, à cet égard, arrêt La Quadrature du Net II (points 86 à 89). Voir, sur ce point, également point 71 des présentes conclusions.

35 Arrêts La Quadrature du Net I (point 154), et La Quadrature du Net II (point 117).

36 Arrêt La Quadrature du Net II (point 118).

37 Voir, en ce sens, arrêt La Quadrature du Net II (point 119).

38 Arrêt La Quadrature du Net II (point 86).

39 Arrêt La Quadrature du Net II (point 87).

40 Arrêt La Quadrature du Net II (point 88).

41 Arrêt La Quadrature du Net II (point 89).

42 Arrêts La Quadrature du Net I (point 115) et La Quadrature du Net II (point 69).

43 Arrêts La Quadrature du Net I (point 116) et La Quadrature du Net II (point 69).

44 Arrêt du 21 décembre 2016, Tele2 Sverige et Watson e.a. (C‑203/15 et C‑698/15, EU:C:2016:970, point 79).

45 Voir, sur la nécessité de la conservation des données de trafic et de localisation dans la perspective de leur accès subséquent, Eurojust and Europol, Common Challenges in Cybercrime – 2024 Review by Eurojust and Europol, Office des publications de l’Union eruropéenne, Luxembourg, 2025, p. 7.

46 Arrêts du 8 avril 2014, Digital Rights Ireland e.a. (C‑293/12 et C‑594/12, EU:C:2014:238, point 59), du 21 décembre 2016, Tele2 Sverige et Watson e.a. (C‑203/15 et C‑698/15, EU:C:2016:970, point 108) ainsi que La Quadrature du Net I (point 168).

47 Voir, sur ce point, Déclaration conjointe des chefs de police européenne de mars 2023 (adresse Internet : EDOC-#1384205-v1-Joint_Declaration_of_the_European_Police_Chiefs.PDF).

48 Une telle solution me semble en outre être en ligne avec la jurisprudence de la Cour EDH qui, en faisant de la proportionnalité d’une mesure de conservation des données le cœur de son analyse, permet précisément de tenir compte des éventuelles garanties mises en place visant à limiter l’ingérence que cette mesure suppose dans les droits des utilisateurs. Voir, notamment, sur la nécessité de mise en place de garanties appropriées, Cour EDH, 28 mai 2024, Pietrzak et Bychawska-Siniarska et autres c. Pologne, CE:ECHR:2024:0528JUD007203817, points 250 et 251.

49 Arrêt du 21 décembre 2016, Tele2 Sverige et Watson e.a. (C‑203/15 et C‑698/15, EU:C:2016:970, point 98).

50 Arrêts du 6 octobre 2020, Privacy International (C‑623/17, EU:C:2020:790, point 65), et du 21 juin 2022, Ligue des droits humains (C‑817/19, EU:C:2022:491, point 114).

51 Arrêt du 21 décembre 2016, Tele2 Sverige et Watson e.a. (C‑203/15 et C‑698/15, EU:C:2016:970, point 86).

52 Voir, en particulier, points 99 et suiv. des présentes conclusions.

53 Points 214 à 220.

54 Arrêt La Quadrature du Net I (point 214). Voir également arrêt du 5 avril 2022, Commissioner of An Garda Síochána e.a. (C‑140/20, EU:C:2022:258, point 118).

55 Arrêts du 22 juin 2010, Melki et Abdeli (C‑188/10 et C‑189/10, EU:C:2010:363, point 43), La Quadrature du Net I (point 215) ainsi que du 5 avril 2022, Commissioner of An Garda Síochána e.a. (C‑140/20, EU:C:2022:258, point 118).

56 Arrêts La Quadrature du Net I (points 216 et 217) ainsi que du 5 avril 2022, Commissioner of An Garda Síochána e.a. (C‑140/20, EU:C:2022:258, point 119).

57 Arrêt du 5 avril 2022, Commissioner of An Garda Síochána e.a. (C‑140/20, EU:C:2022:258, point 125).

58 Arrêt du 21 décembre 2016 (C‑203/15 et C‑698/15, EU:C:2016:970).

59 Arrêt du 5 avril 2022 (C‑140/20, EU:C:2022:258).

CELEX	62024CC0661
Type	Arrêt CJUE
Date	jeudi 3 septembre 2026

Conclusions de l'avocat général M. M. Szpunar, présentées le 3 septembre 2026.###

Texte intégral

Documents similaires