Données de connexion : censure du droit de communication de la HATVP

Le Conseil constitutionnel a censuré plusieurs dispositions issues des lois pour la Confiance dans la vie politique. On remarquera en particulier celles visant le droit de communication de la Haute autorité pour la transparence de la vie publique (HATVP). Plus qu'un symbole, un message fort : il s'est saisi d'office sur cet article. 

Dans sa décision rendue ce jour, le Conseil constitutionnel a examiné plusieurs dispositions de ces deux lois à la demande de soixante députés. Dans leur saisine, plusieurs reproches ont été exprimés. Si le juge en a suivi certains, il a surtout dégommé dans son coin, une défaillance trouvée à l’article 9.

Pour comprendre, il faut revenir à l’article 6 de la loi de 2013 sur la transparence. Il prévoit que « la Haute Autorité peut demander à l'administration fiscale d'exercer le droit de communication (…) en vue de recueillir toutes informations utiles à l'accomplissement de sa mission de contrôle », en particulier la prévention des conflits d'intérêts dans les emplois publics.

L’article 9 de la loi sur la Confiance voulait armer la HATVP du pouvoir d’exercer à l’avenir elle-même ce droit. Et donc directement auprès des opérateurs de communications électroniques, des FAI et des hébergeurs.

Seulement, dans son empressement, le législateur a omis de prévoir qu’un tel accès devait nécessairement être encadré (délai, recours, durée de conservation, etc.). Une contrainte pourtant dite et répétée par la Cour de justice de l’Union européenne, mais également par le Conseil constitutionnel.

Saisine d'office et censure 

Celui-ci a donc relevé d’office, c’est-à-dire sans que la défaillance ne lui soit signalée par les auteurs de la saisine, un motif de censure. Une première en la matière, selon l’avocat Alexandre Archambault.

L’explication est donnée au paragraphe 83 de la décision : « La communication des données de connexion est de nature à porter atteinte au droit au respect de la vie privée des personnes faisant l'objet du contrôle, exposent les « Sages ». Faute d'avoir assorti la procédure prévue par les dispositions en cause de garanties suffisantes, le législateur a porté une atteinte disproportionnée à ce droit ». 

Bref, c’est un signe d’impatience forte et une remise en cause directe adressée au législateur.

Déjà plusieurs rappels à l'ordre 

Il faut dire qu’en la matière, la documentation commence à être tout de même épaisse. Le 8 avril 2014, la Cour de justice de l’Union européenne avait invalidé la directive sur la conservation des données de connexion, faute pour elle d’avoir prévu les garanties nécessaires pour la sauvegarde de la vie privée.

En effet, les juges rappelaient que les données de connexion, « prises dans leur ensemble, sont susceptibles de permettre de tirer des conclusions très précises concernant la vie privée des personnes (…) telles que les habitudes de la vie quotidienne, les lieux de séjour permanents ou temporaires, les déplacements journaliers ou autres, les activités exercées, les relations sociales de ces personnes et les milieux sociaux fréquentés par celles-ci ». 

En septembre 2014, la section des études du Conseil d’État insistait dans son rapport sur les libertés numériques à ce que la France tire les conséquences de cet arrêt dit « Digital Rights Ireland », en particulier concernant  « l’accès aux données de connexion collectées au titre de l’obligation de conservation systématique prévue par notre législation ». Des remarques partagées par le député Lionel Tardy, qui a démultiplié les questions parlementaires sur le sujet lors de la précédente législature.

L'AMF, l'Autorité de la concurrence, la HATVP...

Mais ces vœux ont été pieux. Un an plus tard, le Conseil constitutionnel a censuré un article de la loi Macron qui offrait un accès aux métadonnées aux agents de l’Autorité de la concurrence sans encadrement sérieux. Le 21 juillet dernier, rebelote, il a sanctionné un pouvoir identique reconnu aux agents de l’Autorité des marchés financiers. Le Conseil a là encore reproché au législateur de n’avoir « assorti la procédure prévue par les dispositions en cause d'aucune autre garantie ». 

Autant dire que l’exécutif et le législateur seraient désormais bien inspirés de relire l’arrêt initial de la CJUE, sa réplique de 2016 et cette jurisprudence constitutionnelle aujourd’hui limpides. Sur ces sujets, cependant, les résistances sont fortes. En témoigne cet état des lieux dressé par Privacy International relatif à la conservation des données, où la France se distingue par son immobilisme.