Affaire C-548/21

CG

contre

Bezirkshauptmannschaft Landeck

(demande de décision préjudicielle, introduite par le Landesverwaltungsgericht Tirol)

Arrêt de la Cour (grande chambre) du 4 octobre 2024

« Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière – Directive 2016/680/UE – Article 3, point 2 – Notion de “traitement” – Article 4 – Principes relatifs au traitement des données à caractère personnel – Article 4, paragraphe 1, sous c) – Principe de la “minimisation des données” – Articles 7, 8 et 47 ainsi que article 52, paragraphe 1, de la charte des droits fondamentaux de l’Union européenne – Exigence selon laquelle une limitation de l’exercice d’un droit fondamental soit « prévue par la loi » – Proportionnalité – Appréciation de la proportionnalité au regard de l’ensemble des éléments pertinents – Contrôle préalable par une juridiction ou une autorité administrative indépendante – Article 13 – Informations à mettre à la disposition de la personne concernée ou à lui fournir – Limites – Article 54 – Droit à un recours juridictionnel effectif contre un responsable du traitement ou un sous-traitant – Enquête policière en matière de trafic de stupéfiants – Tentative de déverrouillage d’un téléphone portable par les autorités de police, en vue d’accéder, aux fins de cette enquête, aux données contenues dans ce téléphone »

1. Rapprochement des législations – Secteur des télécommunications – Traitement des données à caractère personnel et protection de la vie privée dans le secteur des communications électroniques – Directive 2002/58 – Champ d’application – Tentative des autorités de police d’accéder aux données à caractère personnel contenues dans un téléphone portable aux fins d’une enquête pénale – Absence d’intervention des fournisseurs de services de communications électroniques – Exclusion

   (Directive du Parlement européen et du Conseil 2002/58, telle que modifiée par la directive 2009/136, art. 1er, § 1 et 3, et 3)

   (voir points 57-59)

2. Protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale – Directive 2016/680 – Champ d’application – Tentative des autorités de police d’accéder aux données à caractère personnel contenues dans un téléphone portable aux fins d’une enquête pénale – Inclusion

   (Directive du Parlement européen et du Conseil 2016/680, art. 2, § 1 et 3, point 2)

   (voir points 71-77)

3. Protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale – Directive 2016/680 – Principes relatifs au traitement des données à caractère personnel – Principes de minimisation des données et de proportionnalité – Enquête policière en matière de trafic de stupéfiants – Réglementation nationale octroyant aux autorités compétentes la possibilité d’accéder aux données contenues dans un téléphone portable à des fins de prévention, de recherche, de détection et de poursuite d’infractions pénales en général – Admissibilité – Conditions

   [Charte des droits fondamentaux de l’Union européenne, art. 7, 8 et 52, § 1 ; directive du Parlement européen et du Conseil 2016/680, art. 4, § 1, c)]

   (voir points 84-86, 89-93, 95-106, 109, 110, disp. 1)

4. Protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale – Directive 2016/680 – Information de la personne concernée – Droit à un recours juridictionnel effectif – Enquête policière en matière de trafic de stupéfiants – Réglementation nationale autorisant les autorités compétentes à tenter d’accéder aux données contenues dans un téléphone portable sans informer la personne concernée des motifs d’une telle autorisation – Inadmissibilité – Obligation des autorités compétentes d’informer la personne concernée de ces motifs – Portée

   (Charte des droits fondamentaux de l’Union européenne, art. 47 et 52, § 1 ; directive du Parlement européen et du Conseil 2016/680, art. 13 et 54)

   (voir points 115-123, disp. 2)

Résumé

Saisie à titre préjudiciel par le Landesverwaltungsgericht Tirol (tribunal administratif régional du Tyrol, Autriche), la grande chambre de la Cour précise, d’une part, les conditions dans lesquelles les autorités nationales compétentes peuvent accéder aux données contenues dans un téléphone portable à des fins de prévention, de recherche, de détection et de poursuite d’infractions pénales en général, au regard de la directive 2016/680 ( 1 ). D’autre part, elle reconnaît le droit de la personne concernée d’être informée des motifs sur lesquels repose l’autorisation d’accès à de telles données et ceci, à partir du moment où la communication de cette information n’est plus susceptible de compromettre les missions incombant à ces autorités.

Le 23 février 2021, à l’occasion d’un contrôle en matière de stupéfiants, des agents douaniers autrichiens ont saisi un colis adressé à CG, contenant 85 grammes de cannabis. Ce colis a été transmis, pour examen, aux autorités de police autrichiennes. Le 6 mars 2021, dans le cadre d’une enquête policière en matière de trafic de stupéfiants, deux agents de police ont effectué une perquisition au domicile de CG et l’ont interrogé au sujet de l’expéditeur du colis. À la suite du refus de CG de donner accès aux agents de police aux données de connexion de son téléphone portable, ces derniers ont procédé à la saisie du téléphone.

Par la suite, le téléphone portable de CG a fait l’objet de plusieurs tentatives de déverrouillage effectuées par différents agents de police. En l’espèce, tant la saisie du téléphone que les tentatives d’exploitation ultérieures de celui-ci ont été effectuées par les agents de police sans autorisation du ministère public ou d’un juge.

Le 31 mars 2021, CG a introduit un recours devant la juridiction de renvoi afin de contester la légalité de la saisie de son téléphone portable, qui lui a été restitué le 20 avril 2021. CG n’a pas été immédiatement informé des tentatives d’exploitation de son téléphone et en a pris connaissance dans le cadre de la procédure pendante devant la juridiction de renvoi.

Dans ce contexte, la juridiction de renvoi cherche à savoir si, au regard de la directive « vie privée et communications électroniques » ( 2 ), un accès complet et non contrôlé à l’ensemble des données contenues dans un téléphone portable constitue une ingérence tellement grave dans les droits fondamentaux ( 3 ) que cet accès doit être limité à la lutte contre les infractions graves. Elle s’interroge également sur le fait de savoir, d’une part, si cette directive ( 4 ) s’oppose à une réglementation nationale en vertu de laquelle la police judiciaire peut, au cours d’une procédure d’enquête pénale, se procurer un accès complet et non contrôlé à l’ensemble des données contenues dans un téléphone portable, sans l’autorisation d’un juge ou d’une entité administrative indépendante, et, d’autre part, si cette même réglementation nationale est compatible avec le droit à un recours juridictionnel effectif, dans la mesure où elle n’oblige pas les autorités de police à informer le propriétaire d’un téléphone portable des mesures d’exploitation numérique de ce téléphone.

Appréciation de la Cour

À titre liminaire, la Cour relève qu’une tentative d’accès aux données à caractère personnel contenues dans un téléphone portable directement par les autorités de police sans aucune intervention d’un fournisseur de services de communications électroniques, telle que celle concernant CG, ne relève pas du champ d’application de la directive « vie privée et communications électroniques ».

En premier lieu, la Cour constate qu’une telle tentative d’accès relève du champ d’application de la directive 2016/680. À cet égard, elle précise que, au vu de la portée large que le législateur de l’Union européenne a entendu donner à la notion de « traitement » ( 5 ), lorsque des autorités de police saisissent un téléphone et le manipulent à des fins d’extraction et de consultation des données à caractère personnel contenues dans ce téléphone, elles entament un « traitement », même si ces autorités ne parvenaient pas, pour des raisons techniques, à accéder à ces données. En effet, l’effectivité du principe de limitation des finalités ( 6 ) exige nécessairement que la finalité de la collecte soit déterminée dès le stade où les autorités compétentes tentent d’accéder à des données à caractère personnel puisqu’une telle tentative, si elle s’avère fructueuse, est de nature à leur permettre, notamment, de collecter, d’extraire ou de consulter immédiatement les données en cause. Si une telle tentative ne pouvait pas être qualifiée de « traitement » des données, le niveau élevé de protection des données à caractère personnel des personnes physiques serait remis en cause. De même, si l’applicabilité de la directive 2016/680 dépendait du succès de la tentative d’accès à des données à caractère personnel contenues dans un téléphone portable, cela créerait tant pour les autorités nationales compétentes que pour les justiciables une incertitude incompatible avec le principe de sécurité juridique.

En deuxième lieu, la Cour analyse si le principe de « minimisation des données » ( 7 ), en tant qu’expression du principe de proportionnalité, s’oppose à une règlementation nationale qui octroie aux autorités compétentes la possibilité d’accéder aux données contenues dans un téléphone portable, à des fins de prévention, de recherche, de détection et de poursuite d’infractions pénales en général, sans soumettre l’exercice de cette possibilité à un contrôle préalable par un juge ou une entité administrative indépendante. Ainsi, la Cour rappelle que les limitations des droits fondamentaux en matière de vie privée et familiale et de protection des données à caractère personnel ( 8 ) doivent respecter le principe de proportionnalité et ne peuvent être apportées que si elles sont nécessaires et répondent effectivement à des objectifs d’intérêt général reconnus par l’Union. En ce sens, d’une part, la Cour constate qu’un traitement de données à caractère personnel dans le cadre d’une enquête policière visant la répression d’une infraction pénale, tel qu’une tentative d’accès aux données contenues dans un téléphone portable, doit être considéré, en principe, comme répondant effectivement à un objectif d’intérêt général reconnu par l’Union. D’autre part, elle note que le caractère proportionné des limitations à l’exercice des droits fondamentaux en matière de respect de la vie privée et de protection des données à caractère personnel, découlant d’un tel traitement, implique une pondération de l’ensemble des éléments pertinents de l’espèce.

Ainsi, premièrement, s’agissant de la gravité d’une limitation de ces droits fondamentaux résultant d’une réglementation permettant aux autorités de police compétentes d’accéder, sans autorisation préalable, aux données contenues dans un téléphone portable, la Cour précise qu’un tel accès est susceptible de porter, en fonction du contenu du téléphone portable en cause et des choix opérés par ces autorités, sur une palette très large de données, et pourrait ainsi permettre de tirer des conclusions très précises concernant la vie privée de la personne concernée. Dès lors, une telle ingérence dans les droits fondamentaux en matière de respect de la vie privée et de protection des données à caractère personnel doit être considérée comme étant grave, voire particulièrement grave.

Deuxièmement, la Cour indique que la gravité de l’infraction qui fait l’objet de l’enquête est un élément central lors de l’examen de la proportionnalité de l’ingérence grave que constitue l’accès aux données à caractère personnel contenues dans un téléphone portable. Toutefois, considérer que seule la lutte contre la criminalité grave est susceptible de justifier l’accès à de telles données limiterait les pouvoirs d’enquête des autorités compétentes à l’égard des infractions pénales en général, méconnaîtrait la nature spécifique des missions accomplies par ces autorités et nuirait à l’objectif de réalisation d’un espace de liberté, de sécurité et de justice au sein de l’Union. Cela étant, afin de répondre à l’exigence selon laquelle toute limitation à l’exercice d’un droit fondamental doit être « prévue par la loi » ( 9 ), il incombe au législateur national de définir de manière suffisamment précise les éléments, notamment la nature ou les catégories des infractions concernées, devant être pris en compte.

Troisièmement, la Cour note que, afin d’assurer le respect du principe de proportionnalité, lorsque l’accès des autorités nationales compétentes aux données à caractère personnel comporte le risque d’une ingérence grave, voire particulièrement grave, dans les droits fondamentaux de la personne concernée, cet accès doit être subordonné à un contrôle préalable effectué par une juridiction ou par une entité administrative indépendante. Ce contrôle doit intervenir préalablement à toute tentative d’accès aux données concernées, sauf en cas d’urgence dûment justifié, auquel cas ce contrôle doit intervenir dans de brefs délais. Dans le cadre de ce contrôle, la juridiction ou l’entité administrative indépendante doit être habilitée à refuser ou à restreindre une demande d’accès relevant du champ d’application de la directive 2016/680 lorsqu’elle constate que l’ingérence dans les droits fondamentaux que constituerait cet accès serait disproportionnée. En l’occurrence, un refus ou une restriction d’accès aux données contenues dans un téléphone portable, par les autorités de police compétentes, doit être opéré si, tenant compte de la gravité de l’infraction et des besoins de l’enquête, un accès au contenu des communications ou à des données sensibles n’apparaît pas justifié.

Au vu de ce qui précède, la Cour conclut que le principe de minimisation des données, lu à la lumière des droits à la protection des données à caractère personnel et au respect de la vie privée, ne s’oppose pas à une règlementation nationale octroyant aux autorités compétentes la possibilité d’accéder aux données contenues dans un téléphone portable, à des fins de prévention, de recherche, de détection et de poursuite d’infractions pénales en général. Une telle admissibilité est toutefois conditionnée par le respect des principes de légalité et de proportionnalité ainsi que par l’existence d’un contrôle préalable de l’exercice du droit d’accès à de telles données opéré par un juge ou par une entité administrative indépendante.

En troisième lieu, la Cour se prononce sur la question de savoir si CG aurait dû être informé des tentatives d’accès aux données contenues dans son téléphone portable ( 10 ). Elle constate à cet égard que les autorités nationales compétentes ayant été autorisées par un juge ou une entité administrative indépendante à accéder à des données conservées doivent informer les personnes concernées des motifs sur lesquels cette autorisation repose, dès le moment où la communication de cette information n’est plus susceptible de compromettre les enquêtes menées par ces autorités. Ces mêmes autorités doivent mettre à la disposition des personnes concernées l’ensemble des informations prévues par la directive 2016/680 ( 11 ) afin que ces dernières puissent exercer, notamment, leur droit à un recours effectif ( 12 ). Ainsi, une réglementation nationale qui exclurait de manière générale tout droit à obtenir de telles informations ne serait pas conforme au droit de l’Union. En l’occurrence, la Cour constate que CG aurait dû être informé au préalable des tentatives d’accès aux données contenues dans son téléphone portable. En effet, le téléphone portable de CG ayant déjà été saisi au moment des tentatives de déverrouillage des autorités de police, il n’apparaît pas que l’informer de ces tentatives d’accès était susceptible de nuire à l’enquête. Partant, la Cour conclut que les dispositions de la directive 2016/680, lues à la lumière de la Charte ( 13 ), s’opposent à une réglementation nationale autorisant les autorités compétentes à accéder à des données contenues dans un téléphone portable sans informer la personne concernée des motifs sur lesquels repose l’autorisation par un juge ou une entité administrative indépendante d’accéder à de telles données, à partir du moment où la communication de cette information n’est plus susceptible de compromettre les missions incombant à ces autorités.

( 1 ) Directive (UE) 2016/680 du Parlement européen et du Conseil, du 27 avril 2016, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (JO 2016, L 119, p. 89).

( 2 ) Et plus précisément de l’article 15, paragraphe 1, de la directive 2002/58/CE du Parlement européen et du Conseil, du 12 juillet 2002, concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques) (JO 2002, L 201, p. 37), telle que modifiée par la directive 2009/136/CE du Parlement européen et du Conseil, du 25 novembre 2009 (JO 2009, L 337, p. 11) (ci-après la « directive ‟vie privée et communications électroniques” »).

( 3 ) Prévus aux articles 7 et 8 de la charte des droits fondamentaux de l’Union européenne (ci-après la « Charte »).

( 4 ) Et plus précisément l’article 15, paragraphe 1, de la directive « vie privée et communications électroniques ».

( 5 ) En vertu de l’article 3, point 2, de la directive 2016/680, la notion de « traitement » est définie comme « toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données à caractère personnel ou des ensembles de données à caractère personnel […] ».

( 6 ) Article 4, paragraphe 1, sous b), de la directive 2016/680.

( 7 ) Tel que prévu par l’article 4, paragraphe 1, sous c), de la directive 2016/680, en vertu duquel les États membres doivent prévoir que les données à caractère personnel sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont traitées.

( 8 ) Articles 7 et 8 de la Charte.

( 9 ) Article 52, paragraphe 1, de la Charte.

( 10 ) Article 47 de la Charte.

( 11 ) Visées à l’article 13, au paragraphe 1, de la directive 2016/680.

( 12 ) Article 54 de la directive 2016/680.

( 13 ) Plus particulièrement, les articles 13 et 54 de la directive 2016/680, lus à la lumière des articles 47 et 52, paragraphe 1, de la Charte.