1.

Ces dernières années, la Cour a maintenu une jurisprudence constante en matière de conservation et d’accès aux données à caractère personnel, dont les arrêts suivants constituent des jalons importants :

2.

Ces arrêts (en particulier le deuxième) préoccupent les autorités de certains États membres, car elles estiment qu’ils ont pour conséquence de les priver d’un instrument qu’ils jugent indispensable à la sauvegarde de la sécurité nationale et à la lutte contre la criminalité et le terrorisme. C’est pourquoi quelques-uns de ces États membres plaident en faveur du renversement ou de l’atténuation de cette jurisprudence.

3.

Certaines juridictions des États membres ont exprimé cette même préoccupation dans le cadre de quatre renvois préjudiciels ( 7 ), sur lesquels je présente mes conclusions ce jour.

4.

Les quatre affaires soulèvent avant tout le problème de l’application de la directive 2002/58 à des activités liées à la sécurité nationale et à la lutte contre le terrorisme. Si ladite directive était applicable dans ce contexte, il conviendrait par la suite de déterminer dans quelle mesure les États membres peuvent restreindre les droits à la protection de la vie privée qu’elle garantit. Enfin, il conviendra d’analyser jusqu’à quel point les différentes réglementations nationales (du Royaume-Uni ( 8 ), belge ( 9 ) et française ( 10 )) en la matière sont conformes au droit de l’Union tel qu’il a été interprété par la Cour.

5.

Je renvoie au point correspondant de mes conclusions dans les affaires jointes La Quadrature du Net e.a. (C‑511/18 et C‑512/18, EU:C:2020:6).

6.

Conformément à l’article 94 du Telecommunications Act 1984 ( 11 ), le Secretary of State (secrétaire d’État, Royaume‑Uni) peut, après avoir consulté un opérateur de réseau public de communications électroniques, donner à cet opérateur des instructions générales ou spécifiques qui lui semblent être nécessaires dans l’intérêt de la sécurité nationale ou des relations avec un gouvernement étranger.

7.

L’article 1er du Data Retention and Investigatory Powers Act 2014 ( 12 ) dispose :

« (1)   Le secrétaire d’État peut, aux termes d’un acte ordonnant la conservation, exiger d’un opérateur de télécommunications publiques de conserver des données pertinentes relatives à des communications s’il estime que cette exigence est nécessaire et proportionnée à un ou plusieurs des objectifs visés aux points a) à h) de la section 22, paragraphe 2, du Regulation of Investigatory Powers Act 2000 [loi de 2000 portant réglementation des pouvoirs d’enquête].

(2)   Un acte ordonnant la conservation peut :

(3)   Le secrétaire d’État peut, par voie de règlements, adopter davantage de dispositions concernant la conservation des données pertinentes relatives aux communications.

(4)   Ces dispositions peuvent porter, en particulier, sur :

[...]

(5)   La période maximale prévue en application du paragraphe 4, sous b), ne doit pas excéder 12 mois à compter de la date précisée en relation avec les données concernées par les règlements visés au paragraphe 3.

(6)   Un opérateur de télécommunications publiques qui conserve des données pertinentes relatives aux communications en application du présent article ne peut les divulguer à moins que :

(7)   Le secrétaire d’État peut, par voie de règlements, adopter des dispositions relatives aux différentes dispositions adoptées (ou susceptibles d’être adoptées) en application du paragraphe 4, points d) à g), ou du paragraphe 6, concernant les données relatives aux communications conservées par les fournisseurs de services de télécommunications conformément à un code des bonnes pratiques, en vertu de l’article 102 de l’Anti-Terrorism, Crime and Security Act 2001 [loi sur la sécurité et la répression de la criminalité et du terrorisme de 2001] ».

8.

L’article 21 de la loi de 2000 portant réglementation des pouvoirs d’enquête est rédigé comme suit :

« [...]

(4)   Dans le présent chapitre, on entend par “données relatives aux communications” l’une quelconque des notions suivantes :

[...]

(6)   Dans cette section, la notion de “donnée relative au trafic”, concernant toute communication, fait référence à :

[...] »

9.

L’article 22 de la loi de 2000 portant réglementation des pouvoirs d’enquête est libellé comme suit :

« (1)   Le présent article s’applique dès lors qu’une personne responsable aux fins de ce chapitre estime qu’il est nécessaire, pour les raisons relevant du paragraphe 2 du présent article, d’obtenir toute donnée de communication.

(2)   Il y a lieu, pour des raisons relevant du présent paragraphe, d’obtenir les données relatives à des communications si elles sont nécessaires :

(4)   Sous réserve du paragraphe 5, la personne responsable peut, lorsqu’il lui semble qu’un opérateur de télécommunications ou un opérateur postal est en possession de données, pourrait l’être ou pourrait être capable de l’être, exiger par requête à l’opérateur de télécommunications ou à l’opérateur postal que cet opérateur

(5)   La personne responsable ne doit pas donner d’autorisation conformément au paragraphe 3 ou faire une requête en vertu du paragraphe 4, sauf si elle considère que l’obtention des données en question résultant d’un comportement autorisé ou exigé en vertu d’une autorisation ou d’une requête est proportionnée avec le but recherché par l’obtention des données. »

10.

Conformément à l’article 65 de la loi de 2000 portant réglementation des pouvoirs d’enquête, des plaintes peuvent être déposées auprès de la juridiction de renvoi, l’Investigatory Powers Tribunal (tribunal chargé des pouvoirs d’enquête, Royaume‑Uni), s’il existe une raison de penser que des données ont été obtenues de manière inappropriée.

11.

D’après l’Investigatory Powers Tribunal (tribunal chargé des pouvoirs d’enquête), le litige au principal porte sur l’acquisition et l’utilisation par les United Kingdom Security and Intelligence Agencies (services de sécurité et de renseignement, Royaume‑Uni, ci‑après les « SSR ») des données de communications en masse.

12.

Ces données concernent « celui qui » utilise le téléphone et Internet et « quand, où, comment et avec qui » il les utilise. Elles comprennent la localisation des téléphones mobiles et fixes depuis lesquels des appels sont passés et reçus, ainsi que celle des ordinateurs à partir desquels on accède à Internet. Elles n’incluent pas le contenu des communications, qui ne peut être obtenu que par voie d’ordonnance.

13.

Privacy International, la requérante au principal, est une organisation non gouvernementale de protection des droits de l’homme qui a introduit un recours devant la juridiction de renvoi. Elle considère en effet que l’acquisition et l’utilisation des données précitées par les SSR violent le droit au respect de la vie privée consacré à l’article 8 de la convention de sauvegarde des droits de l’homme et des libertés fondamentales, signée à Rome le 4 novembre 1950 (ci-après la « CEDH »), et qu’elles sont contraires au droit de l’Union.

14.

Les défenderesses ( 13 ) font valoir que l’exercice de leur compétence dans ce cadre est légitime et essentiel, en particulier pour protéger la sécurité nationale.

15.

Selon les informations figurant dans la décision de renvoi, conformément aux instructions émises par le secrétaire d’État en vertu de l’article 94 de loi de 1984 sur les télécommunications, les SSR obtiennent les données de communications en masse par l’intermédiaire des opérateurs de réseau public de communications électroniques.

16.

Ces données incluent des informations sur le trafic et la localisation ainsi que sur les activités sociales, commerciales et financières, les communications et les voyages des utilisateurs. Une fois en leur possession, les données sont conservées par les SSR de manière sécurisée grâce à des techniques (telles que le filtrage et l’agrégation) généralisées, c’est‑à‑dire qu’elles ne sont pas dirigées vers des cibles spécifiques et connues.

17.

La juridiction de renvoi considère qu’il ne fait aucun doute que ces techniques sont essentielles pour le travail des SSR dans la lutte contre les menaces graves pour la sécurité nationale, en particulier le terrorisme, l’espionnage et la prolifération nucléaire. La capacité d’acquérir et d’utiliser les données, de la part des SSR, serait essentielle pour protéger la sécurité nationale du Royaume‑Uni.

18.

Pour la juridiction de renvoi, les mesures litigieuses sont conformes au droit national et à l’article 8 de la CEDH. Toutefois, elle doute de leur compatibilité avec le droit de l’Union au regard de l’arrêt Tele2 Sverige et Watson e.a.

19.

Dans ce contexte, l’Investigatory Powers Tribunal (tribunal chargé des pouvoirs d’enquête) a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :

20.

La juridiction de renvoi replace ses questions dans leur contexte de la manière suivante :

21.

La demande de décision préjudicielle a été enregistrée au greffe de la Cour le 31 octobre 2017.

22.

Le gouvernement du Royaume-Uni, les gouvernements belge, tchèque, allemand, estonien, irlandais, espagnol, français, chypriote, letton, hongrois, néerlandais, polonais, portugais, suédois et norvégien, ainsi que la Commission européenne, ont déposé des observations écrites.

23.

Le 9 septembre 2019 s’est tenue une audience publique, organisée conjointement avec celles des affaires C‑511/18, C‑512/18 et C‑520/18, auxquelles ont assisté les parties aux quatre renvois préjudiciels, les gouvernements précités, la Commission et le Contrôleur européen de la protection des données.

24.

Dans les conclusions que je présente ce jour également dans les affaires jointes C‑511/18 et C‑512/18, j’explique les raisons pour lesquelles, à mon avis, « la directive 2002/58 s’applique, en principe, lorsque les fournisseurs de services électroniques sont tenus par la loi de conserver les données de leurs abonnés et de permettre aux autorités publiques d’y accéder. Que les obligations soient imposées aux fournisseurs pour des raisons de sécurité nationale n’y change rien » ( 15 ).

25.

Tout en exposant mes arguments, j’évoque l’incidence des arrêts du 30 mai 2006, Parlement/Conseil et Commission ( 16 ), et du 21 décembre 2016, Tele2 Sverige et Watson e.a., en préconisant une interprétation qui inclue les deux ( 17 ).

26.

Dans ces mêmes conclusions, après avoir affirmé l’applicabilité de la directive 2002/58, j’examine l’exclusion de la sécurité nationale qui y figure et l’incidence de l’article 4, paragraphe 2, TUE ( 18 ).

27.

Sans préjudice de ce que j’exposerai dans les développements suivants, je renvoie à ce qui a déjà été dit dans les conclusions rappelées ci‑dessus et dans celles de l’affaire C‑520/18.

28.

Aux termes des dispositions litigieuses en l’espèce, les fournisseurs de services de communications électroniques sont destinataires d’une obligation impliquant, outre leur conservation, un traitement des données en leur possession en raison du service qu’ils fournissent aux utilisateurs des réseaux publics de communications de l’Union ( 19 ).

29.

En effet, les opérateurs susvisés doivent obligatoirement transmettre ces données aux SSR. La question qui se pose ici est de savoir si l’article 15, paragraphe 1, de la directive 2002/58 permet que cette transmission, compte tenu de son objectif, soit purement et simplement exclue du droit de l’Union.

30.

Je ne le pense pas. On peut qualifier la conservation des données susvisées suivie de leur transmission ultérieure de traitement de données à caractère personnel effectué par les fournisseurs de services de télécommunications électroniques, de sorte qu’elles relèvent tout naturellement du champ d’application de la directive 2002/58.

31.

Comme la juridiction de renvoi le suggère, les raisons de sécurité nationale ne peuvent pas prévaloir sur ce constat, avec pour conséquence que l’obligation litigieuse n’entrerait plus dans le champ d’application du droit de l’Union. À mon avis, je le répète, les fournisseurs sont tenus de procéder à un traitement des données dans le cadre de la fourniture de services de communications électroniques accessibles au public sur les réseaux publics de communications de l’Union, ce qui correspond justement au champ d’application de la directive 2002/58, conformément à son article 3, paragraphe 1.

32.

Partant de cette prémisse, le débat porte non pas sur les activités des SSR (qui, comme je l’ai souligné précédemment, pourraient ne pas être couvertes par le droit de l’Union si elles ne concernaient pas les fournisseurs de communications électroniques), mais sur la conservation et la transmission ultérieure des données en possession de ces opérateurs. De ce point de vue, ce sont les droits fondamentaux garantis par l’Union qui sont en cause.

33.

L’élément clé pour trancher ce débat réside, une fois de plus, dans l’obligation de conservation généralisée et indifférenciée des données qui sont rendues accessibles aux autorités publiques.

34.

Étant donné que, dans cette affaire, la juridiction nationale accorde une importance particulière à l’activité des SSR concernant la sécurité nationale, je me permets de reproduire certains points figurant dans mes conclusions dans les affaires jointes La Quadrature du Net e.a. (C‑511/18 et C‑512/18, EU:C:2020:6), à ce sujet :

[...]

[...]

[...]

35.

La juridiction de renvoi s’est concentrée sur l’interprétation faite par la Cour dans l’arrêt Tele2 Sverige et Watson e.a., en exposant les difficultés que comporterait, selon elle, son application à la présente affaire.

36.

En effet, l’arrêt Tele2 Sverige et Watson e.a. indique les conditions que doit remplir une réglementation nationale instaurant l’obligation de conserver les données relatives au trafic et les données de localisation, pour que celles‑ci soient ultérieurement accessibles aux autorités publiques.

37.

Comme dans les affaires jointes C‑511/18 et C‑512/18, et pour les mêmes raisons, je considère que les règles nationales sur lesquelles porte le présent renvoi ne respectent pas les conditions fixées dans l’arrêt Tele2 Sverige et Watson e.a. puisqu’elles impliquent une conservation généralisée et indifférenciée de données à caractère personnel qui fournit un récit détaillé de la vie des personnes concernées pendant une longue période.

38.

Dans mes conclusions dans les affaires jointes La Quadrature du Net e.a. (C‑511/18 et C‑512/18, EU:C:2020:6), je m’interroge sur le point de savoir s’il serait possible d’atténuer ou de compléter les enseignements dégagés dans cet arrêt compte tenu de ses conséquences sur la lutte contre le terrorisme ou sur la protection de l’État en présence d’autres menaces similaires contre la sécurité nationale.

39.

Je me permets également de reproduire ci‑après certains points tirés de ces conclusions, dans lesquels je soutiens, en substance, que, puisqu’il est possible de nuancer la jurisprudence précitée, il convient de la confirmer dans son principe :

40.

La juridiction de renvoi formule sa seconde question pour le cas où la réponse à la première serait affirmative. Dans ce cas, elle souhaiterait savoir quelle « autre exigence en plus de celles imposées par la CEDH » ou de celles découlant de l’arrêt Tele2 Sverige et Watson e.a. il conviendrait d’exiger.

41.

À cet égard, elle déclare que l’imposition des conditions spécifiées dans l’arrêt Tele2 Sverige et Watson e.a. « ferait échec aux mesures prises par les SSR pour protéger la sécurité nationale ».

42.

Étant donné la réponse que je suggère d’apporter à la première question, il n’est pas indispensable d’aborder la seconde. Comme le souligne la juridiction de renvoi, celle‑ci est subordonnée à la reconnaissance de la compatibilité avec le droit de l’Union de « l’acquisition de masse et [d]es techniques de traitement automatisé » des données à caractère personnel de tous les utilisateurs du Royaume‑Uni, que les opérateurs de services de communications électroniques devraient transmettre aux SSR.

43.

Dans l’hypothèse où la Cour estimerait qu’il est indispensable de répondre à la seconde question, je pense qu’elle devrait confirmer les conditions précitées tirées de l’arrêt Tele2 Sverige et Watson e.a. concernant :

44.

Il suffirait, je le répète, de confirmer ces conditions, qui sont impératives, pour les raisons que j’ai exposées dans mes conclusions dans les affaires jointes La Quadrature du Net e.a. (C‑511/18 et C‑512/18, , EU:C:2020:6) ainsi que dans l’affaire Ordre des barreaux francophones et germanophone e.a. (C‑520/18, EU:C:2020:7), sans qu’il soit nécessaire d’en fixer d’« autres » au sens où l’entend la juridiction de renvoi.

45.

À la lumière des considérations qui précèdent, je propose à la Cour de répondre à l’Investigatory Powers Tribunal (tribunal chargé des pouvoirs d’enquête, Royaume‑Uni) dans les termes suivants :

L’article 4 TUE et l’article 1er, paragraphe 3, de la directive 2002/58/CE du Parlement européen et du Conseil, du 12 juillet 2002, concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques), doivent être interprétés en ce sens qu’ils s’opposent à une réglementation nationale imposant à un fournisseur de réseaux de communications électroniques l’obligation de fournir aux services de sécurité et de renseignement d’un État membre les « données de communications en masse » qui impliquent au préalable leur collecte généralisée et indifférenciée.

À titre subsidiaire :

L’accès, par les services de sécurité et de renseignement d’un État membre, aux données transmises par les fournisseurs de réseaux de communications électroniques doit respecter les conditions établies dans l’arrêt du 21 décembre 2016, Tele2 Sverige et Watson e.a. (C‑203/15 et C‑698/15, EU:C:2016:970).