Au cours des discussions au sein du Conseil des ministres de l’UE sur le contrôle du chat et l’accès transfrontalier des procureurs aux « preuves dans le cloud » (e-evidence), la conservation des données est de nouveau arrivée. Tant le règlement E-Evidence qui vient d’être finalisé pour « sécuriser les preuves dans le cloud » que le règlement européen à venir pour le contrôle du chat, qui en est encore à ses balbutiements, reposent sur le fait que les ensembles de données requis sont également disponibles.

Jeudi, la Cour constitutionnelle fédérale a souligné la décision de la CJCE contre la conservation des données allemandes (VDS) à partir de septembre. Étant donné que la loi est contraire au droit de l’Union, elle ne devrait plus être appliquée. Cela signifie que la deuxième version du VDS en Allemagne est hors de propos, mais ce ne sera pas la dernière.

Nouvelle édition déjà en préparation

Depuis septembre, le sujet des données conservées a de nouveau dominé les réunions des comités compétents du Conseil (COSI et COPEN), d’autant plus qu’il n’y a pas deux pays dans l’UE avec des règles directement comparables sur le stockage des données pour les procureurs. Après huit décisions négatives de la Cour européenne de justice (CJE) sur la conservation des données, un « groupe d’experts de haut niveau » est en cours de création. Dans ce groupe, non seulement un nouveau type de conservation des données devrait être inventé, mais le fastidieux « problème du cryptage » devrait également être résolu.

La dernière fuite du comité du Conseil COSI du 20 mars révèle un tableau inquiétant du Conseil des ministres. Des avocats de haut rang de la police discutent de la meilleure façon de contourner les arrêts de la Cour suprême de l’UE et, accessoirement, documentent qu’ils ne comprennent toujours pas comment fonctionne le cryptage de bout en bout.

L’Estonie demande un amendement constitutionnel

Ces discussions ont maintenant été alimentées par une enquête menée par la présidence suédoise du Conseil dans tous les États membres sur les problèmes les plus urgents auxquels sont confrontées les forces de l’ordre dans l’espace numérique. Parmi les réponses de neuf pays de l’UE, deux ressortent particulièrement : la délégation estonienne, qui est généralement considérée comme un pionnier européen de la numérisation, montre une compréhension de la sécurité informatique qui donne à réfléchir (voir ci-dessus) et malheureusement probablement aussi typique de la niveau de connaissances techniques de la plupart des participants à l’enquête.

Cela s’accompagne d’une attitude envers la constitution de l’Union européenne qui est carrément frivole pour les avocats. La délégation estonienne, par exemple, appelle les autres délégations à suivre le raisonnement de la présidence suédoise du Conseil et à toujours souligner lors des réunions qu’il existe également d’autres droits fondamentaux qui méritent d’être protégés, comme le droit à la sécurité. En soi, les arrêts de la CJUE sont tout à fait compréhensibles, d’autant plus que la Cour n’a pas d’autre droit à sa disposition que la Charte de l’UE, sur laquelle elle doit donc fonder ses décisions. C’est une situation intenable jusqu’à ce que « l’UE présente une solution qui permette à la CJCE de réévaluer ses principes et son approche ».

L’Estonie préconise donc l’abrogation de la charte de l’UE et donc aussi de la Convention européenne des droits de l’homme en ce qui concerne la surveillance numérique. La délégation tchèque, quant à elle, ne perd pas une ligne sur des considérations juridiques, mais présente le catalogue de demandes le plus complet de toutes les délégations (voir photo).

Des experts techniques, mais lesquels ?

La Belgique, tout en étant favorable à la ligne générale, met en garde contre le fait de s’attaquer à trop de problèmes en même temps et, comme la Pologne, propose d’inclure des experts techniques dans le « groupe d’experts de haut niveau » à constituer. Raison : « Nous savons par expérience que cela nécessite une connaissance approfondie des technologies pertinentes ». L’Agence européenne des droits fondamentaux, qui a également participé à l’enquête, juge « important et approprié qu’un tel groupe d’experts comprenne également des acteurs non institutionnels ».

Cependant, il ne devrait pas s’agir uniquement « d’experts qui développent des équipements de surveillance et les vendent aux forces de l’ordre ». Il existe également un besoin d’experts capables d’auditer de manière indépendante les outils et logiciels et d’évaluer leur impact sur les droits fondamentaux. Au vu des autres avis, on peut supposer que cette proposition de l’Agence des droits fondamentaux de l’UE ne sera pas bien accueillie par les avocats de la police.

Deux demandes prioritaires peuvent déjà être grossièrement déduites des neuf autres déclarations : la conservation des données est en tête, suivie de la rupture ou du contournement du chiffrement.

La Belgique déjà avec la quatrième version

La tonalité modérée de la Belgique est trompeuse. Le pays central de l’UE est le champion européen dans la discipline consistant à contourner systématiquement la jurisprudence de la Cour suprême nationale et de la CJUE en matière de conservation des données. Le graphique ci-dessus, intitulé « La saga belge de la conservation des données », montre que la conservation des données a déjà été jugée illégale à trois reprises par la Cour constitutionnelle belge ou la CJUE. Dans tous les cas, il a fallu environ un an pour finaliser une nouvelle loi sur la conservation des données.

La version numéro trois n’a été acceptée qu’en avril 2021, et la quatrième version était déjà en vigueur en juillet 2022. Dans celle-ci, la Belgique tente une version en deux parties. Au nom de la « sécurité nationale », les adresses IP, les géodonnées, etc. sont stockées de manière exhaustive et sans motif pour les services secrets. La Belgique a donc copié la méthode française pour cela, à savoir faire basculer la conservation des données vers le domaine de la « sécurité nationale » et ainsi échapper à la juridiction de la CJCE.

La collecte des données conservées pour les procureurs a été limitée aux zones présentant un taux de criminalité particulièrement élevé compte tenu des décisions de justice carrément négatives sur le stockage des données à l’échelle de la zone avec une limitation géographique. La France a introduit la raison de l’enquête immédiatement après la première et révolutionnaire décision de la CJE contre la directive européenne pertinente de 2014 et – sans être inquiétée par les poursuites – l’a conservée à ce jour.

Comment ça se passe

Même si seulement neuf des 27 États membres de l’UE ont participé à cette exploration initiale des désirs officiels actuels, il y a de fortes chances que la conservation des données se reproduise. Hormis l’Autriche, seule l’Allemagne s’est jusqu’à présent prononcée contre elle et s’est engagée dans la méthode « Quick Freeze », dans laquelle les métadonnées des communications ne sont collectées et stockées qu’en cas d’enquêtes pénales. Les 14 États restants ne se sont pas encore déclarés et il existe déjà un large consensus au sein du Conseil sur le fait qu’un « groupe d’experts de haut niveau » devrait explorer le terrain technique et juridique d’une éventuelle nouvelle édition.

(tw)