Vu les procédures suivantes :

1° Sous le numéro 468361, par une requête sommaire, un mémoire complémentaire et un mémoire en réplique, enregistrés les 20 octobre et 21 octobre 2022 et 14 avril 2023 au secrétariat du contentieux du Conseil d’Etat, M. A C et M. B D demandent au Conseil d’Etat :

1°) d’annuler le décret n° 2022-1327 du 17 octobre 2022 portant injonction, au regard de la menace grave et actuelle contre la sécurité nationale, de conservation pour une durée d’un an de certaines catégories de données de connexion ;

2°) de mettre à la charge de l’Etat la somme de 1 000 euros au titre de l’article L. 761-1 du code de justice administrative.

2° Sous le numéro 469712, par une requête et un mémoire en réplique, enregistrés le 15 décembre 2022 et 17 avril 2023 au secrétariat du contentieux du Conseil d’Etat, les sociétés Free et Free Mobile demandent au Conseil d’Etat :

1°) d’annuler le décret n° 2022-1327 du 17 octobre 2022 portant injonction, au regard de la menace grave et actuelle contre la sécurité nationale, de conservation pour une durée d’un an de certaines catégories de données de connexion ;

2°) de mettre à la charge de l’Etat la somme de 5 000 euros au titre de l’article L. 761-1 du code de justice administrative.

Vu les autres pièces des dossiers ;

Vu :

— la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales ;

— la charte des droits fondamentaux de l’Union européenne ;

— le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;

— la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 ;

— le code des postes et des communications électroniques ;

— la loi n° 2004-575 du 21 juin 2004 ;

— la loi n° 2021-998 du 30 juillet 2021 ;

— le décret n° 2021-1362 du 20 octobre 2021 ;

— le code de justice administrative ;

Après avoir entendu en séance publique :

— le rapport de M^me Alexandra Bratos, auditrice,

— les conclusions de M. Laurent Domingo, rapporteur public ;

Considérant ce qui suit :

1. Les sociétés Free et Free mobile, M. C et M. D demandent l’annulation du décret n° 2022-1327 du 17 octobre 2022 portant injonction, au regard de la menace grave et actuelle contre la sécurité nationale, de conservation pour une durée d’un an de certaines catégories de données de connexion.

2. Les requêtes présentent à juger des questions communes. Il y a lieu de les joindre pour statuer par une seule décision.

Sur le cadre juridique applicable :

3. L’article L. 34-1 du code des postes et des communications électroniques, dans sa version résultant de la loi n° 2021-998 du 30 juillet 2021, dispose que : « II. – Les opérateurs de communications électroniques, et notamment les personnes dont l’activité est d’offrir un accès à des services de communication au public en ligne, effacent ou rendent anonymes, sous réserve des II bis à VI, les données relatives aux communications électroniques. () / II bis.-Les opérateurs de communications électroniques sont tenus de conserver : / 3° Pour les besoins de la lutte contre la criminalité et la délinquance grave, de la prévention des menaces graves contre la sécurité publique et de la sauvegarde de la sécurité nationale, les données techniques permettant d’identifier la source de la connexion ou celles relatives aux équipements terminaux utilisés, jusqu’à l’expiration d’un délai d’un an à compter de la connexion ou de l’utilisation des équipements terminaux. / III.-Pour des motifs tenant à la sauvegarde de la sécurité nationale, lorsqu’est constatée une menace grave, actuelle ou prévisible, contre cette dernière, le Premier ministre peut enjoindre par décret aux opérateurs de communications électroniques de conserver, pour une durée d’un an, certaines catégories de données de trafic, en complément de celles mentionnées au 3° du II bis, et de données de localisation précisées par décret en Conseil d’Etat. / L’injonction du Premier ministre, dont la durée d’application ne peut excéder un an, peut être renouvelée si les conditions prévues pour son édiction continuent d’être réunies. Son expiration est sans incidence sur la durée de conservation des données mentionnées au premier alinéa du présent III. ()  ».

4. Le premier alinéa du II de l’article 6 de la loi du 21 juin 2004 pour la confiance dans l’économie numérique prévoit par ailleurs que les personnes dont l’activité est d’offrir un accès à des services de communication au public en ligne et les personnes physiques ou morales qui assurent, même à titre gratuit, pour mise à disposition du public par des services de communication au public en ligne, le stockage de signaux, d’écrits, d’images, de sons ou de messages de toute nature fournis par des destinataires de ces services « détiennent et conservent les données de nature à permettre l’identification de quiconque a contribué à la création du contenu ou de l’un des contenus des services dont elles sont prestataires », « dans les conditions fixées au II bis, III et III bis du code des postes et des communications électroniques ».

Sur les dispositions contestées :

5. Aux termes de l’article 1er du décret attaqué : « Aux fins de la sauvegarde de la sécurité nationale, il est enjoint aux opérateurs de communications électroniques ainsi qu’aux personnes mentionnées aux 1 et 2 du I de l’article 6 de la loi du 21 juin 2004 susvisée de conserver, pour une durée d’un an, les données de trafic et de localisation respectivement énumérées au V de l’article R. 10-13 du code des postes et des communications électroniques et à l’article 6 du décret du 20 octobre 2021 susvisé ». Aux termes de l’article 2 : « Le présent décret sera publié au Journal officiel de la République française et entrera en vigueur le 21 octobre 2022 ».

6. En premier lieu, en considérant que l’existence d’une menace grave et actuelle contre la sécurité nationale justifiait, conformément aux termes du III de l’article L. 34-1 du code des postes et des communications électroniques, qu’il soit enjoint, par une mesure de caractère général, aux opérateurs de communications électroniques, aux hébergeurs et aux fournisseurs d’accès à internet de conserver les données de trafic et de localisation énumérées au V de l’article R. 10-13 du même code et à l’article 6 du décret n° 2021-1362 du 20 octobre 2021 pour une durée d’un an, le Premier ministre, au regard de la portée et de l’objet d’un tel acte, a suffisamment motivé le décret attaqué. Le moyen tiré de la méconnaissance de l’article 41 de la Charte des droits fondamentaux de l’Union européenne et du principe général de motivation des actes des autorités nationales pris dans le champ du droit de l’Union obligations doit, par suite, et en tout état de cause, être écarté.

7. En deuxième lieu, les dispositions du III de l’article L. 34-1 du code des postes et des communications électroniques prévoient que le Premier ministre peut enjoindre par décret aux opérateurs de communications électroniques de conserver, pour une durée d’un an, certaines catégories de données de trafic et de localisation, pour des motifs tenant à la sauvegarde de la sécurité nationale, lorsqu’est constatée une menace grave et actuelle ou prévisible contre cette dernière. Cette injonction, d’une durée maximale d’un an, ne peut être renouvelée que si les conditions prévues pour son édiction continuent d’être réunies. Il peut, en outre, y être mis fin avant le terme prévu si les conditions qui ont justifié son édiction ne sont plus réunies. Le décret est susceptible de faire l’objet d’un recours pour excès de pouvoir devant le juge administratif, assorti, le cas échéant, d’une demande de suspension de son effet sur le fondement de l’article L. 521-1 du code de justice administrative, ou d’un référé fondé sur l’article L. 521-2 du même code. Le moyen tiré de ce que les dispositions du III de l’article L. 34-1 du code des postes et des communications électroniques et le décret attaqué méconnaissent la directive 2002/58, telle qu’interprétée par la Cour de justice de l’Union européenne, faute de prévoir un réexamen périodique de l’obligation de conservation et un contrôle administratif ou juridictionnel effectif au regard des risques existant pour la sécurité nationale, ne peut, par suite, qu’être écarté. Eu égard aux garanties dont ce dispositif est entouré, les requérants ne sauraient davantage soutenir que la conservation généralisée et indifférenciée des données de trafic et de localisation, dans les conditions prévues au III de l’article L. 34-1 du code des postes et des communications électroniques, porterait une atteinte disproportionnée aux libertés fondamentales, et en particulier au droit au respect de leur vie privée.

8. En troisième lieu, il ne résulte ni de la directive 2002/58 et du règlement du 27 avril 2016 dit règlement général sur la protection des données, lus à la lumière des articles 7 et 8 de la Charte des droits fondamentaux de l’Union européenne, ni des dispositions de l’article L. 34-1 du code des postes et des communications électroniques, que l’adoption d’un nouveau décret portant injonction de conservation des données de connexion, soit subordonnée à la constatation d’une menace différente, par sa nature ou son intensité, de celle ayant justifié l’adoption d’un décret aux mêmes fins au cours de la période précédente. Il suffit, à cet égard, que le décret d’injonction de conservation justifie de l’existence d’une menace grave et actuelle ou prévisible contre la sécurité nationale.

9. Il ressort des pièces du dossier que le décret attaqué est fondé sur l’existence d’une menace grave, non seulement prévisible mais actuelle contre la sécurité nationale. Cette menace procède d’abord de la persistance d’un risque terroriste élevé, dont la menace islamiste sunnite demeure le principal vecteur, avec huit attaques abouties depuis 2020 et dix projets d’attentats déjoués, dont quatre en 2021 et trois en 2022. Au risque toujours élevé d’une menace terroriste projetée depuis la zone syro-irakienne s’ajoutent notamment les répercussions en France de l’instabilité géopolitique au Sahel. La physionomie de cette menace est évolutive, ainsi qu’en témoignent l’émergence de profils terroristes dotés d’une autonomie croissante, sur les plans idéologique et opérationnel, par rapport aux acteurs établis sur le territoire d’Etats étrangers. La menace, sur le territoire national, est accrue par le nombre élevé de personnes condamnées ou détenues pour terrorisme, ainsi que de délinquants de droit commun radicalisés. Par ailleurs, la France est particulièrement exposée au risque d’ingérence et d’espionnage, en particulier dans le contexte de la guerre en Ukraine. Elle est également confrontée à des menaces graves pour la paix publique, liées à une augmentation de l’activité de groupes radicaux et extrémistes de l’ultra-droite et de l’ultra-gauche. Elle fait enfin face à une menace cybernétique élevée, avec des tentatives d’attaques déjouées récentes sur les systèmes financiers et les systèmes industriels, notamment sur les opérateurs d’importance vitale. Ces menaces, qui pour nombre d’entre elles revêtent un caractère de particulière gravité, sont de nature à justifier l’obligation de conservation généralisée et indifférenciée des données de connexion mentionnées au III de l’article L. 34-1 du code des postes et des communications électroniques et au V de l’article R. 10-13 du même code. Il suit de là que la Première ministre n’a pas commis d’erreur d’appréciation en relevant l’existence d’une menace grave et actuelle contre la sécurité nationale justifiant qu’il soit enjoint aux opérateurs de communications électroniques, aux fournisseurs et hébergeurs de contenus de conserver les données de trafic et de localisation mentionnées au V de l’article R. 10-13 du même code.

10. Il résulte de ce qui précède que les sociétés Free et Free mobile, d’une part, et M. C et M. D, d’autre part, ne sont pas fondés à demander l’annulation du décret attaqué.

11. Les dispositions de l’article L. 761-1 du code de justice administrative font obstacle à ce qu’une somme soit mise à ce titre à la charge de l’Etat qui n’est pas, dans la présente instance, la partie perdante.

D E C I D E :

— -------------

Article 1er : Les requêtes des sociétés Free et autres et de M. C et autre sont rejetées.

Article 2 : La présente décision sera notifiée à M. C, premier dénommé sous le n° 468361, et à la société Free, première dénommée sous le n° 469172, pour l’ensemble des requérants, à la Première ministre, au ministre de l’économie, des finances et de la souveraineté industrielle et numérique, au ministre de l’intérieur et des outre-mer et à la Commission nationale de l’informatique et des libertés.

Délibéré à l’issue de la séance du 19 juin 2023 où siégeaient : M. Rémy Schwartz, président adjoint de la section du contentieux, présidant ; M. Bertrand Dacosta, M^me Anne Egerszegi, présidents de chambre ; M^me Nathalie Escaut, M. Nicolas Polge, M. Vincent Daumas, M^me Rozen Noguellou, conseillers d’Etat ; M^me Christelle Thomas, maître des requêtes et M^me Alexandra Bratos, auditrice-rapporteure.

Rendu le 30 juin 2023.

Le président :

Signé : M. Rémy Schwartz

La rapporteure :

Signé : M^me Alexandra Bratos

La secrétaire :

Signé : M^me Claudine Ramalahanoharana

Nos 468361, 469712