Annexes
ne serait pas strictement nécessaire aux besoins de la sauvegarde de la
sécurité nationale.
45. En troisième lieu, toutefois, ni l’article L. 34-1 du code des postes et des
communications électroniques, ni l’article 6 de la loi du 21 juin 2004
pour la confiance dans l’économie numérique ne prévoient un
réexamen périodique, au regard des risques pour la sécurité nationale,
de la nécessité de maintenir l’obligation faite aux personnes concernées
de conserver les données de connexion. Les dispositions de ces articles,
ainsi, par suite, que celles de l’article R. 10-13 du code des postes et des
communications électroniques et du décret du 25 février 2011, en tant
qu’elles ne subordonnent pas le maintien en vigueur de cette obligation
au constat, à échéance régulière, qui ne saurait raisonnablement
excéder un an, de la persistance d’une menace grave, réelle et actuelle
ou prévisible, pour la sécurité nationale sont, dans cette mesure,
contraires au droit de l’Union européenne. Par ailleurs, le fait d’imposer
aux pouvoirs publics un tel réexamen n’affecte pas, par lui-même, les
exigences constitutionnelles mentionnées au point 9.
46. Il résulte de ce qui précède que, s’agissant de l’objectif de sauvegarde
de la sécurité nationale, le refus d’abroger l’article R. 10-13 du code
des postes et des communications électroniques et l’article 1er du
décret du 25 février 2011 doit être annulé en tant seulement que leurs
dispositions ne prévoient pas un réexamen périodique de l’existence
d’une menace grave, réelle et actuelle ou prévisible pour la sécurité
nationale, s’agissant des données qu’elles mentionnent autres que
celles afférentes à l’identité civile, aux comptes et aux paiements des
utilisateurs et aux adresses IP. Il y a lieu d’enjoindre au Gouvernement
de compléter ces dispositions dans un délai de six mois à compter de la
présente décision. Dans la mesure où il résulte de la présente décision,
ainsi qu’il a été dit au point 44, que la réalité et la gravité de la menace
pesant sur la sécurité nationale justifient l’obligation de conservation
généralisée et indifférenciée de l’ensemble des données de connexion
à cette fin, les opérateurs ne sauraient, avant l’expiration de ce délai, se
soustraire à cette obligation et aux sanctions dont sa méconnaissance
est assortie au motif que la durée de l’injonction qui leur est faite n’a
pas été limitée dans le temps par le pouvoir réglementaire.
203