Conseil d'État
N° 433539
ECLI:FR:CECHR:2021:433539.20210705
Inédit au recueil Lebon
10ème - 9ème chambres réunies
M. Laurent Roulaud, rapporteur
M. Alexandre Lallet, rapporteur public
Lecture du lundi 5 juillet 2021
Vu la procédure suivante :
Par une requête et deux mémoires complémentaires, enregistrés les 12 août 2019, 12 novembre 2019 et 6 mai 2021 au secrétariat du contentieux du Conseil d'Etat, les associations La Quadrature du Net, French Data Network, Franciliens.net et Fédération des fournisseurs d'accès à internet associatifs demandent au Conseil d'Etat :
1°) d'annuler pour excès de pouvoir la décision implicite par laquelle le Premier ministre a rejeté leur demande tendant à l'abrogation du décret n° 2010-236 du 5 mars 2010 relatif au traitement automatisé des données à caractère personnel autorisé par l'article L. 331-29 du code de la propriété intellectuelle dénommé " Système de gestion des mesures pour la protection des oeuvres sur internet " ;
2°) d'enjoindre au Premier ministre d'abroger ce décret sous astreinte de 1 000 euros par jours de retard ;
3°) de mettre à la charge de l'Etat la somme de 4 096 euros à verser à chacune d'entre elles en application de l'article L. 761-1 du code de justice administrative.
Vu les autres pièces du dossier ;
Vu :
- la Constitution ;
- la Charte des droits fondamentaux de l'Union européenne ;
- la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 ;
- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
- le code de la propriété intellectuelle ;
- le code des relations entre le public et l'administration ;
- la loi n°78-17 du 6 janvier 1978 ;
- la décision du Conseil constitutionnel n° 2020-841 QPC du 20 mai 2020 ;
- le code de justice administrative ;
Après avoir entendu en séance publique :
- le rapport de M. Laurent Roulaud, maître des requêtes en service extraordinaire,
- les conclusions de M. Alexandre Lallet, rapporteur public ;
Considérant ce qui suit :
1. Les associations La Quadrature du Net, French Data Network, Franciliens.net et Fédération des fournisseurs d'accès à internet associatifs demandent au Conseil d'Etat l'annulation pour excès de pouvoir de la décision implicite par laquelle le Premier ministre a rejeté leur demande tendant à l'abrogation du décret du 5 mars 2010 relatif au traitement automatisé de données à caractère personnel autorisé par l'article L. 331-29 du code de la propriété intellectuelle.
Sur le cadre juridique du litige :
2. En vertu de l'article L. 336-3 du code de la propriété intellectuelle, le titulaire d'un accès à des services de communication au public en ligne a l'obligation de veiller à ce que cet accès ne fasse pas l'objet d'une utilisation à des fins de reproduction, de représentation, de mise à disposition ou de communication au public d'oeuvres ou d'objets protégés par un droit d'auteur ou par un droit voisin sans l'autorisation des titulaires de ces droits, lorsqu'elle est requise. Au sein de la Haute autorité pour la diffusion des oeuvres et la protection des droits sur internet (Hadopi), la commission de protection des droits est chargée, lorsqu'elle est saisie d'un manquement à cette obligation, de prendre les mesures destinées à en assurer le respect. Il s'agit, conformément à l'article L. 331-25 du même code, d'adresser aux auteurs des manquements une recommandation leur rappelant le contenu de cette obligation, leur enjoignant de la respecter et leur indiquant les sanctions encourues. En cas de renouvellement de faits susceptibles de constituer un tel manquement dans un délai de six mois, le deuxième alinéa du même article L. 331-25 prévoit que la commission peut adresser une nouvelle recommandation comportant les mêmes informations que la précédente mais assortie " d'une lettre remise contre signature ou de tout autre moyen propre à établir la preuve de la date de présentation de cette recommandation ". Si, dans l'année suivant cette seconde recommandation, des faits susceptibles de constituer un manquement à l'obligation de surveillance de son accès à internet par le titulaire de l'abonnement sont à nouveau constatés, la commission de protection des droits peut saisir l'autorité judiciaire en vue de l'engagement de poursuites pénales sur le fondement de l'article R. 335-5 du code de la propriété intellectuelle relatif à la contravention pour " négligence caractérisée ".
3. L'article L. 331-21 du code de la propriété intellectuelle, dans sa rédaction antérieure à la décision du Conseil constitutionnel n° 2020-841 QPC du 20 mai 2020, dispose que : " Pour l'exercice, par la commission de protection des droits, de ses attributions, la Haute Autorité dispose d'agents publics assermentés habilités par le président de la Haute Autorité dans des conditions fixées par un décret en Conseil d'Etat. Cette habilitation ne dispense pas de l'application des dispositions définissant les procédures autorisant l'accès aux secrets protégés par la loi. / Les membres de la commission de protection des droits et les agents mentionnés au premier alinéa reçoivent les saisines adressées à ladite commission dans les conditions prévues à l'article L. 331-24. Ils procèdent à l'examen des faits. / Ils peuvent, pour les nécessités de la procédure, obtenir tous documents, quel qu'en soit le support, y compris les données conservées et traitées par les opérateurs de communications électroniques en application de l'article L. 34-1 du code des postes et des communications électroniques et les prestataires mentionnés aux 1 et 2 du I de l'article 6 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique. / Ils peuvent également obtenir copie des documents mentionnés à l'alinéa précédent. / Ils peuvent, notamment, obtenir des opérateurs de communications électroniques l'identité, l'adresse postale, l'adresse électronique et les coordonnées téléphoniques de l'abonné dont l'accès à des services de communication au public en ligne a été utilisé à des fins de reproduction, de représentation, de mise à disposition ou de communication au public d'oeuvres ou d'objets protégés sans l'autorisation des titulaires des droits prévus aux livres Ier et II lorsqu'elle est requise ".
4. Aux termes de l'article L. 331-29 du même code : " Est autorisée la création, par la Haute Autorité, d'un traitement automatisé de données à caractère personnel portant sur les personnes faisant l'objet d'une procédure dans le cadre de la présente sous-section. / Ce traitement a pour finalité la mise en oeuvre, par la commission de protection des droits, des mesures prévues à la présente sous-section, de tous les actes de procédure afférents et des modalités de l'information des organismes de défense professionnelle et des sociétés de perception et de répartition des droits des éventuelles saisines de l'autorité judiciaire ainsi que des notifications prévues au cinquième alinéa de l'article L. 335-7. Un décret en Conseil d'Etat, pris après avis de la Commission nationale de l'informatique et des libertés, fixe les modalités d'application du présent article. Il précise notamment, les catégories de données enregistrées et leur durée de conservation ; les destinataires habilités à recevoir communication de ces données, notamment les personnes dont l'activité est d'offrir un accès à des services de communication au public en ligne ; les conditions dans lesquelles les personnes intéressées peuvent exercer, auprès de la Haute Autorité, leur droit d'accès aux données les concernant conformément à la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés. ". Pris pour l'application de ces dispositions, le décret du 5 mars 2010 dont les associations requérantes ont demandé l'abrogation au Premier ministre fixe les modalités d'un traitement de données à caractère personnel dénommé " Système de gestion des mesures pour la protection des oeuvres sur internet ".
5. L'article R. 331-37 du code de la propriété intellectuelle renvoie à ce décret en disposant que : " Les opérateurs de communications électroniques mentionnés à l'article L. 34-1 du code des postes et des communications électroniques et les prestataires mentionnés aux 1 et 2 du I de l'article 6 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique sont tenus de communiquer, par une interconnexion au traitement automatisé de données à caractère personnel mentionné à l'article L. 331-29 ou par le recours à un support d'enregistrement assurant leur intégrité et leur sécurité, les données à caractère personnel et les informations mentionnées au 2° de l'annexe du décret n° 2010-236 du 5 mars 2010 dans un délai de huit jours suivant la transmission par la commission de protection des droits des données techniques nécessaires à l'identification de l'abonné dont l'accès à des services de communication au public en ligne a été utilisé à des fins de reproduction, de représentation, de mise à disposition ou de communication au public d'oeuvres ou d'objets protégés sans l'autorisation des titulaires des droits prévus aux livres Ier et II lorsqu'elle est requise. / Ces opérateurs et prestataires sont également tenus de fournir les documents et les copies des documents mentionnés aux troisième et quatrième alinéas de l'article L. 331-21 dans un délai de quinze jours suivant la demande qui leur en est faite par la commission de protection des droits ".
Sur les conclusions de la ministre de la culture tendant à ce qu'il soit donné acte du désistement d'office de la requête :
6. Aux termes de l'article R. 611-22 du code de justice administrative : " Lorsque la requête ou le recours mentionne l'intention du requérant de présenter un mémoire complémentaire, la production annoncée doit parvenir au secrétariat du contentieux du Conseil d'Etat dans un délai de trois mois à compter de la date à laquelle la requête a été enregistrée. / Si le délai n'est pas respecté, le requérant ou le ministre est réputé s'être désisté à la date d'expiration de ce délai (...). Le Conseil d'Etat donne acte de ce désistement. ". Contrairement à ce qui est soutenu, les associations requérantes, qui ont indiqué dans leur mémoire introductif d'instance du 12 août 2019 que celui-ci serait complété d'un mémoire complémentaire, l'ont communiqué au Conseil d'Etat le 12 novembre 2019. Les conclusions présentées en défense par la ministre de la culture tendant à ce que, faute de production d'un mémoire complémentaire dans le délai de trois mois imparti par les dispositions de l'article R. 611-22 du code de justice administrative, il soit donné acte du désistement d'office de la requête des associations requérantes ne peuvent, dès lors, qu'être écartées.
Sur la légalité externe de la décision attaquée :
7. Aux termes de l'article L. 232-4 du code des relations entre le public et l'administration : " Une décision implicite intervenue dans les cas où la décision explicite aurait dû être motivée n'est pas illégale du seul fait qu'elle n'est pas assortie de cette motivation. / Toutefois, à la demande de l'intéressé, formulée dans les délais du recours contentieux, les motifs de toute décision implicite de rejet devront lui être communiqués dans le mois suivant cette demande (...) ". S'il résulte de ces dispositions que le silence gardé sur une demande de communication des motifs d'une décision implicite de rejet est susceptible d'entacher cette décision d'illégalité, c'est à la condition toutefois qu'elle soit intervenue dans un cas où une décision expresse aurait dû être motivée.
8. La décision par laquelle le Premier ministre a refusé d'abroger le décret du 5 mars 2010 a un caractère réglementaire. Ni les dispositions des articles L. 211-2 et L. 211-3 du code des relations entre le public et l'administration, qui s'appliquent aux décisions individuelles, ni aucune autre disposition ni aucun principe n'imposaient sa motivation. Par suite, les associations requérantes ne sauraient en tout état de cause soutenir que cette décision serait illégale faute de réponse à leur demande de communication de ses motifs.
Sur le moyen tiré de l'inconstitutionnalité de l'article L. 331-21 du code de la propriété intellectuelle :
9. Par sa décision n° 2020-841 QPC du 20 mai 2020, le Conseil constitutionnel a déclaré les troisième et quatrième alinéas de l'article L. 331-21 du code de la propriété intellectuelle cité au point 2, ainsi que le mot " notamment " figurant au cinquième alinéa du même article, contraires à la Constitution, en l'absence de garanties propres à assurer une conciliation qui ne soit pas manifestement déséquilibrée entre le droit au respect de la vie privée et l'objectif de sauvegarde de la propriété intellectuelle. L'article 2 du dispositif de cette décision précise que la déclaration d'inconstitutionnalité prend effet dans les conditions prévues au paragraphe 21, qui prévoit qu'il " y a lieu de reporter au 31 décembre 2020 la date de l'abrogation des dispositions contestées ". En revanche, le reste du dernier alinéa de l'article L. 331-21, qui permet à la Haute Autorité pour la diffusion des oeuvres et la protection des droits sur internet d'obtenir des opérateurs de communications électroniques l'identité, l'adresse postale, l'adresse électronique et les coordonnées téléphoniques de l'abonné est déclaré conforme à la Constitution.
10. Lorsqu'il est saisi de conclusions à fin d'annulation du refus d'abroger un acte réglementaire, le juge de l'excès de pouvoir est amené à contrôler la légalité de ce refus en appréciant celle de l'acte réglementaire dont l'abrogation a été demandée au regard des règles applicables à la date de sa décision.
11. Si les associations requérantes soutiennent que, à la date de la présente décision, le décret du 5 mars 2010 dont elles ont demandé l'abrogation au Premier ministre se trouve privé de base légale du fait de la décision du Conseil constitutionnel mentionnée au point 9, il ressort des termes mêmes du 2° de l'annexe à laquelle renvoie l'article 2 de ce décret que les données à caractère personnel recueillies en application de l'article R. 331-37 du code de la propriété intellectuelle pour être enregistrées dans le traitement dénommé " Système de gestion des mesures pour la protection des oeuvres sur internet " sont au nombre de celles mentionnées au cinquième alinéa de l'article L. 321-21 du code de la propriété intellectuelle dont la communication à la Hadopi a été déclarée conforme à la Constitution. Par suite, les requérantes ne sont pas fondées à soutenir que le décret dont elles ont demandé l'abrogation se trouverait privé de base légale.
Sur les moyens tirés de la méconnaissance du droit de l'Union européenne :
12. En premier lieu, le moyen tiré de ce que le décret du 5 mars 2010 dont les associations requérantes ont demandé l'abrogation méconnaitrait les dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 dit règlement général sur la protection des données n'est pas assorti des précisions permettant d'en apprécier le bien-fondé.
13. En second lieu, la directive du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, qui a été prise sur le fondement de l'article 95 du traité instituant la Communauté européenne, désormais repris à l'article 114 du traité sur le fonctionnement de l'Union européenne, procède de la volonté de rapprocher les législations des Etats membres afin de permettre l'établissement et le fonctionnement du marché intérieur. Elle a pour objet, ainsi que l'énonce le paragraphe 1 de son article 3, le " traitement des données à caractère personnel dans le cadre de la fourniture de services de communications électroniques accessibles au public sur les réseaux publics de communication dans la Communauté ". Son article 15 prévoit que " Les États membres peuvent adopter des mesures législatives visant à limiter la portée des droits et des obligations prévus aux articles 5 et 6, à l'article 8, paragraphes 1, 2, 3 et 4, et à l'article 9 de la présente directive lorsqu'une telle limitation constitue une mesure nécessaire, appropriée et proportionnée, au sein d'une société démocratique, pour sauvegarder la sécurité nationale - c'est-à-dire la sûreté de l'État - la défense et la sécurité publique, ou assurer la prévention, la recherche, la détection et la poursuite d'infractions pénales ou d'utilisations non autorisées du système de communications électroniques, comme le prévoit l'article 13, paragraphe 1, de la directive 95/46/CE. À cette fin, les États membres peuvent, entre autres, adopter des mesures législatives prévoyant la conservation de données pendant une durée limitée lorsque cela est justifié par un des motifs énoncés dans le présent paragraphe. Toutes les mesures visées dans le présent paragraphe sont prises dans le respect des principes généraux du droit communautaire, y compris ceux visés à l'article 6, paragraphes 1 et 2, du traité sur l'Union européenne ".
14. Par son arrêt du 6 octobre 2020 La Quadrature du Net et autres (C-511/18, C-512/18, C-520/18), la Cour de justice de l'Union européenne a dit pour droit que les dispositions précitées de l'article 15, paragraphe 1, de la directive du 12 juillet 2002, lues à la lumière des articles 7, 8, et 11 et 52, paragraphe 1, de la Charte des droits fondamentaux de l'Union européenne, ne s'opposent pas à des mesures législatives prévoyant, aux fins de la sauvegarde de la sécurité nationale, de la lutte contre la criminalité et de la sauvegarde de la sécurité publique, une conservation généralisée et indifférenciée des données relatives à l'identité civile des utilisateurs de moyens de communications électroniques. Ainsi, s'agissant des données relatives à l'identité civile des utilisateurs de moyens de communications électroniques, une telle conservation est possible, sans délai particulier, aux fins de recherche, de détection et de poursuite des infractions pénales en général.
15. D'une part, pour la mise en oeuvre de la procédure dite de " réponse graduée " détaillée au point 2, la commission de protection des droits de la Hadopi doit pouvoir identifier les utilisateurs concernés afin de leur adresser les recommandations prévues par l'article L. 331-25 du code de la propriété intellectuelle. Cette identification est réalisée à partir des données recueillies auprès des opérateurs de communications électroniques pour être enregistrées dans le traitement " Système de gestion des mesures pour la protection des oeuvres sur internet " qui, selon les dispositions du 2 de l'annexe du décret du 5 mars 2010, portent uniquement sur les noms et coordonnées de leurs abonnés. Ces données sont ainsi conservées dans le but de prévenir la commission des infractions pénales de négligence caractérisée et de contrefaçon. Ainsi qu'il a été dit au point 14, s'agissant de données relatives à l'identité civile des utilisateurs de moyens de communications électroniques, la directive du 12 juillet 2002 ne s'oppose pas à ce qu'elles puissent être recueillies dans le cadre de la lutte contre toute infraction pénale, quelle qu'en soit la gravité. Le moyen tiré de ce que le décret du 5 mars 2010 serait illégal en ce qu'il a été pris dans le cadre de la lutte contre des infractions dépourvues de gravité ne peut donc qu'être écarté.
16. D'autre part, par son arrêt du 21 décembre 2016 Tele2 Sverige AB c/ Post-och telestyrelsen et Secretary of State for the Home Department c/ Tom Watson et autres (C 203/15 et C 698/15), la Cour de justice de l'Union européenne a dit pour droit que l'article 15 de la directive du 12 juillet 2002 devait : " être interprété en ce sens qu'il s'oppose à une réglementation nationale régissant la protection et la sécurité des données relatives au trafic et des données de localisation, en particulier l'accès des autorités nationales compétentes aux données conservées, (...) sans soumettre ledit accès à un contrôle préalable par une juridiction ou une autorité administrative indépendante ". Le point 120 de cet arrêt précise que " Aux fins de garantir, en pratique, le plein respect de ces conditions, il est essentiel que l'accès des autorités nationales compétentes aux données conservées soit, en principe, sauf cas d'urgence dûment justifiés, subordonné à un contrôle préalable effectué soit par une juridiction soit par une entité administrative indépendante, et que la décision de cette juridiction ou de cette entité intervienne à la suite d'une demande motivée de ces autorités présentée, notamment, dans le cadre de procédures de prévention, de détection ou de poursuites pénales ". Si la Cour de justice n'a rappelé cette règle dans son arrêt du 6 octobre 2020 mentionné au point 14 qu'à propos du recueil en temps réel des données de connexion par les services de renseignement, elle a rappelé l'obligation d'un contrôle préalable de l'accès des autorités nationales aux données de connexion par une juridiction ou une autorité administrative indépendante dans son arrêt du 2 mars 2021 H.K. / Prokuratuur (C 746/18).
17. Il ressort du rapport d'activité 2019 de la Hadopi que, depuis sa création en 2009, plus de 12.7 millions de recommandations ont été adressés aux titulaires d'abonnements en application de la procédure dite de " réponse graduée " détaillée au point 2, dont 827 791 recommandations au titre de la seule année 2019. Pour la mise en oeuvre de cette procédure, les agents de la commission de protection des droits de la Hadopi doivent pouvoir recueillir, chaque année, un nombre considérable de données relatives à l'identité civile des utilisateurs concernés. Le fait de soumettre ce recueil à un contrôle préalable risque ainsi de rendre impossible la mise en oeuvre des recommandations. Dans ces conditions, la question de savoir si les données d'identité civile correspondant à une adresse IP sont au nombre des données relatives au trafic ou de localisation soumises, en principe, à l'obligation d'un contrôle préalable par une juridiction ou une entité administrative indépendante dotée d'un pouvoir contraignant soulève une difficulté d'interprétation du droit de l'Union européenne. S'il est répondu par l'affirmative à la première question, et eu égard à la faible sensibilité des données relatives à l'identité civile des utilisateurs, y compris leurs coordonnées, la directive du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, lue à la lumière de la Charte des droits fondamentaux de l'Union européenne, doit-elle être interprétée comme s'opposant à une réglementation nationale prévoyant le recueil de ces données correspondant à l'adresse IP des utilisateurs par une autorité administrative, sans contrôle préalable par une juridiction ou une entité administrative indépendante dotée d'un pouvoir contraignant ' S'il est répondu par l'affirmative à la deuxième question, et eu égard à la faible sensibilité des données relatives à l'identité civile, à la circonstance que seules ces données peuvent être recueillies, pour les seuls besoins de la prévention de manquements à des obligations définies de façon précise, limitative et restrictive par le droit national, et à la circonstance qu'un contrôle systématique de l'accès aux données de chaque utilisateur par une juridiction ou une entité administrative tierce dotée d'un pouvoir contraignant serait de nature à compromettre l'accomplissement de la mission de service public confiée à l'autorité administrative elle-même indépendante qui procède à ce recueil, la directive fait-elle obstacle à ce que ce contrôle soit effectué selon des modalités adaptées, tel qu'un contrôle automatisé, le cas échéant sous la supervision d'un service interne à l'organisme présentant des garanties d'indépendance et d'impartialité à l'égard des agents chargés de procéder à ce recueil '
18. Enfin, s'agissant, des voies de recours, si l'article 7 du décret du 5 mars 2010 écarte, conformément au second alinéa de l'article 110 de la loi du 6 janvier 1978, le droit d'opposition prévu par cette loi, il n'a ni pour objet ni pour effet de priver l'abonné dont les données à caractère personnel ont été enregistrées dans le traitement " Système de gestion des mesures pour la protection des oeuvres sur internet " des voies de recours prévues par la loi, notamment du droit d'obtenir l'effacement de données en application des dispositions du 3° de l'article 106 de la même loi et, le cas échéant, de contester devant le juge administratif le refus qui lui serait opposé.
19. Les questions énoncées au point 17 sont déterminantes pour la solution complète du litige que doit trancher le Conseil d'Etat. Elles présentent, ainsi qu'il a été dit, des difficultés sérieuses d'interprétation du droit de l'Union européenne. Il y a lieu, par suite, d'en saisir la Cour de justice de l'Union européenne en application de l'article 267 du traité sur le fondement de l'Union européenne et, jusqu'à ce que celle-ci se soit prononcée, de surseoir à statuer sur la requête des associations requérantes.
D E C I D E :
--------------
Article 1er : Il est sursis à statuer sur la requête de " La Quadrature du Net " et autres jusqu'à ce que la Cour de justice de l'Union européenne se soit prononcée sur les questions suivantes :
1. Les données d'identité civile correspondant à une adresse IP sont-elles au nombre des données relatives au trafic ou de localisation soumises, en principe, à l'obligation d'un contrôle préalable par une juridiction ou une entité administrative indépendante dotée d'un pouvoir contraignant '
2. S'il est répondu par l'affirmative à la première question, et eu égard à la faible sensibilité des données relatives à l'identité civile des utilisateurs, y compris leurs coordonnées, la directive du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, lue à la lumière de la Charte des droits fondamentaux de l'Union européenne, doit-elle être interprétée comme s'opposant à une réglementation nationale prévoyant le recueil de ces données correspondant à l'adresse IP des utilisateurs par une autorité administrative, sans contrôle préalable par une juridiction ou une entité administrative indépendante dotée d'un pouvoir contraignant '
3. S'il est répondu par l'affirmative à la deuxième question, et eu égard à la faible sensibilité des données relatives à l'identité civile, à la circonstance que seules ces données peuvent être recueillies, pour les seuls besoins de la prévention de manquements à des obligations définies de façon précise, limitative et restrictive par le droit national, et à la circonstance qu'un contrôle systématique de l'accès aux données de chaque utilisateur par une juridiction ou une entité administrative tierce dotée d'un pouvoir contraignant serait de nature à compromettre l'accomplissement de la mission de service public confiée à l'autorité administrative elle-même indépendante qui procède à ce recueil, la directive fait-elle obstacle à ce que ce contrôle soit effectué selon des modalités adaptées, tel qu'un contrôle automatisé, le cas échéant sous la supervision d'un service interne à l'organisme présentant des garanties d'indépendance et d'impartialité à l'égard des agents chargés de procéder à ce recueil '
Article 2 : La présente décision sera notifiée aux associations La Quadrature du Net, French Data Network, Franciliens.net et Fédération des fournisseurs d'accès à internet associatifs, au Premier ministre et à la ministre de la culture.
Copie en sera adressée à la Commission nationale de l'informatique et des libertés.
N° 433539
ECLI:FR:CECHR:2021:433539.20210705
Inédit au recueil Lebon
10ème - 9ème chambres réunies
M. Laurent Roulaud, rapporteur
M. Alexandre Lallet, rapporteur public
Lecture du lundi 5 juillet 2021
REPUBLIQUE FRANCAISE
AU NOM DU PEUPLE FRANCAIS
AU NOM DU PEUPLE FRANCAIS
Vu la procédure suivante :
Par une requête et deux mémoires complémentaires, enregistrés les 12 août 2019, 12 novembre 2019 et 6 mai 2021 au secrétariat du contentieux du Conseil d'Etat, les associations La Quadrature du Net, French Data Network, Franciliens.net et Fédération des fournisseurs d'accès à internet associatifs demandent au Conseil d'Etat :
1°) d'annuler pour excès de pouvoir la décision implicite par laquelle le Premier ministre a rejeté leur demande tendant à l'abrogation du décret n° 2010-236 du 5 mars 2010 relatif au traitement automatisé des données à caractère personnel autorisé par l'article L. 331-29 du code de la propriété intellectuelle dénommé " Système de gestion des mesures pour la protection des oeuvres sur internet " ;
2°) d'enjoindre au Premier ministre d'abroger ce décret sous astreinte de 1 000 euros par jours de retard ;
3°) de mettre à la charge de l'Etat la somme de 4 096 euros à verser à chacune d'entre elles en application de l'article L. 761-1 du code de justice administrative.
Vu les autres pièces du dossier ;
Vu :
- la Constitution ;
- la Charte des droits fondamentaux de l'Union européenne ;
- la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 ;
- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
- le code de la propriété intellectuelle ;
- le code des relations entre le public et l'administration ;
- la loi n°78-17 du 6 janvier 1978 ;
- la décision du Conseil constitutionnel n° 2020-841 QPC du 20 mai 2020 ;
- le code de justice administrative ;
Après avoir entendu en séance publique :
- le rapport de M. Laurent Roulaud, maître des requêtes en service extraordinaire,
- les conclusions de M. Alexandre Lallet, rapporteur public ;
Considérant ce qui suit :
1. Les associations La Quadrature du Net, French Data Network, Franciliens.net et Fédération des fournisseurs d'accès à internet associatifs demandent au Conseil d'Etat l'annulation pour excès de pouvoir de la décision implicite par laquelle le Premier ministre a rejeté leur demande tendant à l'abrogation du décret du 5 mars 2010 relatif au traitement automatisé de données à caractère personnel autorisé par l'article L. 331-29 du code de la propriété intellectuelle.
Sur le cadre juridique du litige :
2. En vertu de l'article L. 336-3 du code de la propriété intellectuelle, le titulaire d'un accès à des services de communication au public en ligne a l'obligation de veiller à ce que cet accès ne fasse pas l'objet d'une utilisation à des fins de reproduction, de représentation, de mise à disposition ou de communication au public d'oeuvres ou d'objets protégés par un droit d'auteur ou par un droit voisin sans l'autorisation des titulaires de ces droits, lorsqu'elle est requise. Au sein de la Haute autorité pour la diffusion des oeuvres et la protection des droits sur internet (Hadopi), la commission de protection des droits est chargée, lorsqu'elle est saisie d'un manquement à cette obligation, de prendre les mesures destinées à en assurer le respect. Il s'agit, conformément à l'article L. 331-25 du même code, d'adresser aux auteurs des manquements une recommandation leur rappelant le contenu de cette obligation, leur enjoignant de la respecter et leur indiquant les sanctions encourues. En cas de renouvellement de faits susceptibles de constituer un tel manquement dans un délai de six mois, le deuxième alinéa du même article L. 331-25 prévoit que la commission peut adresser une nouvelle recommandation comportant les mêmes informations que la précédente mais assortie " d'une lettre remise contre signature ou de tout autre moyen propre à établir la preuve de la date de présentation de cette recommandation ". Si, dans l'année suivant cette seconde recommandation, des faits susceptibles de constituer un manquement à l'obligation de surveillance de son accès à internet par le titulaire de l'abonnement sont à nouveau constatés, la commission de protection des droits peut saisir l'autorité judiciaire en vue de l'engagement de poursuites pénales sur le fondement de l'article R. 335-5 du code de la propriété intellectuelle relatif à la contravention pour " négligence caractérisée ".
3. L'article L. 331-21 du code de la propriété intellectuelle, dans sa rédaction antérieure à la décision du Conseil constitutionnel n° 2020-841 QPC du 20 mai 2020, dispose que : " Pour l'exercice, par la commission de protection des droits, de ses attributions, la Haute Autorité dispose d'agents publics assermentés habilités par le président de la Haute Autorité dans des conditions fixées par un décret en Conseil d'Etat. Cette habilitation ne dispense pas de l'application des dispositions définissant les procédures autorisant l'accès aux secrets protégés par la loi. / Les membres de la commission de protection des droits et les agents mentionnés au premier alinéa reçoivent les saisines adressées à ladite commission dans les conditions prévues à l'article L. 331-24. Ils procèdent à l'examen des faits. / Ils peuvent, pour les nécessités de la procédure, obtenir tous documents, quel qu'en soit le support, y compris les données conservées et traitées par les opérateurs de communications électroniques en application de l'article L. 34-1 du code des postes et des communications électroniques et les prestataires mentionnés aux 1 et 2 du I de l'article 6 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique. / Ils peuvent également obtenir copie des documents mentionnés à l'alinéa précédent. / Ils peuvent, notamment, obtenir des opérateurs de communications électroniques l'identité, l'adresse postale, l'adresse électronique et les coordonnées téléphoniques de l'abonné dont l'accès à des services de communication au public en ligne a été utilisé à des fins de reproduction, de représentation, de mise à disposition ou de communication au public d'oeuvres ou d'objets protégés sans l'autorisation des titulaires des droits prévus aux livres Ier et II lorsqu'elle est requise ".
4. Aux termes de l'article L. 331-29 du même code : " Est autorisée la création, par la Haute Autorité, d'un traitement automatisé de données à caractère personnel portant sur les personnes faisant l'objet d'une procédure dans le cadre de la présente sous-section. / Ce traitement a pour finalité la mise en oeuvre, par la commission de protection des droits, des mesures prévues à la présente sous-section, de tous les actes de procédure afférents et des modalités de l'information des organismes de défense professionnelle et des sociétés de perception et de répartition des droits des éventuelles saisines de l'autorité judiciaire ainsi que des notifications prévues au cinquième alinéa de l'article L. 335-7. Un décret en Conseil d'Etat, pris après avis de la Commission nationale de l'informatique et des libertés, fixe les modalités d'application du présent article. Il précise notamment, les catégories de données enregistrées et leur durée de conservation ; les destinataires habilités à recevoir communication de ces données, notamment les personnes dont l'activité est d'offrir un accès à des services de communication au public en ligne ; les conditions dans lesquelles les personnes intéressées peuvent exercer, auprès de la Haute Autorité, leur droit d'accès aux données les concernant conformément à la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés. ". Pris pour l'application de ces dispositions, le décret du 5 mars 2010 dont les associations requérantes ont demandé l'abrogation au Premier ministre fixe les modalités d'un traitement de données à caractère personnel dénommé " Système de gestion des mesures pour la protection des oeuvres sur internet ".
5. L'article R. 331-37 du code de la propriété intellectuelle renvoie à ce décret en disposant que : " Les opérateurs de communications électroniques mentionnés à l'article L. 34-1 du code des postes et des communications électroniques et les prestataires mentionnés aux 1 et 2 du I de l'article 6 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique sont tenus de communiquer, par une interconnexion au traitement automatisé de données à caractère personnel mentionné à l'article L. 331-29 ou par le recours à un support d'enregistrement assurant leur intégrité et leur sécurité, les données à caractère personnel et les informations mentionnées au 2° de l'annexe du décret n° 2010-236 du 5 mars 2010 dans un délai de huit jours suivant la transmission par la commission de protection des droits des données techniques nécessaires à l'identification de l'abonné dont l'accès à des services de communication au public en ligne a été utilisé à des fins de reproduction, de représentation, de mise à disposition ou de communication au public d'oeuvres ou d'objets protégés sans l'autorisation des titulaires des droits prévus aux livres Ier et II lorsqu'elle est requise. / Ces opérateurs et prestataires sont également tenus de fournir les documents et les copies des documents mentionnés aux troisième et quatrième alinéas de l'article L. 331-21 dans un délai de quinze jours suivant la demande qui leur en est faite par la commission de protection des droits ".
Sur les conclusions de la ministre de la culture tendant à ce qu'il soit donné acte du désistement d'office de la requête :
6. Aux termes de l'article R. 611-22 du code de justice administrative : " Lorsque la requête ou le recours mentionne l'intention du requérant de présenter un mémoire complémentaire, la production annoncée doit parvenir au secrétariat du contentieux du Conseil d'Etat dans un délai de trois mois à compter de la date à laquelle la requête a été enregistrée. / Si le délai n'est pas respecté, le requérant ou le ministre est réputé s'être désisté à la date d'expiration de ce délai (...). Le Conseil d'Etat donne acte de ce désistement. ". Contrairement à ce qui est soutenu, les associations requérantes, qui ont indiqué dans leur mémoire introductif d'instance du 12 août 2019 que celui-ci serait complété d'un mémoire complémentaire, l'ont communiqué au Conseil d'Etat le 12 novembre 2019. Les conclusions présentées en défense par la ministre de la culture tendant à ce que, faute de production d'un mémoire complémentaire dans le délai de trois mois imparti par les dispositions de l'article R. 611-22 du code de justice administrative, il soit donné acte du désistement d'office de la requête des associations requérantes ne peuvent, dès lors, qu'être écartées.
Sur la légalité externe de la décision attaquée :
7. Aux termes de l'article L. 232-4 du code des relations entre le public et l'administration : " Une décision implicite intervenue dans les cas où la décision explicite aurait dû être motivée n'est pas illégale du seul fait qu'elle n'est pas assortie de cette motivation. / Toutefois, à la demande de l'intéressé, formulée dans les délais du recours contentieux, les motifs de toute décision implicite de rejet devront lui être communiqués dans le mois suivant cette demande (...) ". S'il résulte de ces dispositions que le silence gardé sur une demande de communication des motifs d'une décision implicite de rejet est susceptible d'entacher cette décision d'illégalité, c'est à la condition toutefois qu'elle soit intervenue dans un cas où une décision expresse aurait dû être motivée.
8. La décision par laquelle le Premier ministre a refusé d'abroger le décret du 5 mars 2010 a un caractère réglementaire. Ni les dispositions des articles L. 211-2 et L. 211-3 du code des relations entre le public et l'administration, qui s'appliquent aux décisions individuelles, ni aucune autre disposition ni aucun principe n'imposaient sa motivation. Par suite, les associations requérantes ne sauraient en tout état de cause soutenir que cette décision serait illégale faute de réponse à leur demande de communication de ses motifs.
Sur le moyen tiré de l'inconstitutionnalité de l'article L. 331-21 du code de la propriété intellectuelle :
9. Par sa décision n° 2020-841 QPC du 20 mai 2020, le Conseil constitutionnel a déclaré les troisième et quatrième alinéas de l'article L. 331-21 du code de la propriété intellectuelle cité au point 2, ainsi que le mot " notamment " figurant au cinquième alinéa du même article, contraires à la Constitution, en l'absence de garanties propres à assurer une conciliation qui ne soit pas manifestement déséquilibrée entre le droit au respect de la vie privée et l'objectif de sauvegarde de la propriété intellectuelle. L'article 2 du dispositif de cette décision précise que la déclaration d'inconstitutionnalité prend effet dans les conditions prévues au paragraphe 21, qui prévoit qu'il " y a lieu de reporter au 31 décembre 2020 la date de l'abrogation des dispositions contestées ". En revanche, le reste du dernier alinéa de l'article L. 331-21, qui permet à la Haute Autorité pour la diffusion des oeuvres et la protection des droits sur internet d'obtenir des opérateurs de communications électroniques l'identité, l'adresse postale, l'adresse électronique et les coordonnées téléphoniques de l'abonné est déclaré conforme à la Constitution.
10. Lorsqu'il est saisi de conclusions à fin d'annulation du refus d'abroger un acte réglementaire, le juge de l'excès de pouvoir est amené à contrôler la légalité de ce refus en appréciant celle de l'acte réglementaire dont l'abrogation a été demandée au regard des règles applicables à la date de sa décision.
11. Si les associations requérantes soutiennent que, à la date de la présente décision, le décret du 5 mars 2010 dont elles ont demandé l'abrogation au Premier ministre se trouve privé de base légale du fait de la décision du Conseil constitutionnel mentionnée au point 9, il ressort des termes mêmes du 2° de l'annexe à laquelle renvoie l'article 2 de ce décret que les données à caractère personnel recueillies en application de l'article R. 331-37 du code de la propriété intellectuelle pour être enregistrées dans le traitement dénommé " Système de gestion des mesures pour la protection des oeuvres sur internet " sont au nombre de celles mentionnées au cinquième alinéa de l'article L. 321-21 du code de la propriété intellectuelle dont la communication à la Hadopi a été déclarée conforme à la Constitution. Par suite, les requérantes ne sont pas fondées à soutenir que le décret dont elles ont demandé l'abrogation se trouverait privé de base légale.
Sur les moyens tirés de la méconnaissance du droit de l'Union européenne :
12. En premier lieu, le moyen tiré de ce que le décret du 5 mars 2010 dont les associations requérantes ont demandé l'abrogation méconnaitrait les dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 dit règlement général sur la protection des données n'est pas assorti des précisions permettant d'en apprécier le bien-fondé.
13. En second lieu, la directive du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, qui a été prise sur le fondement de l'article 95 du traité instituant la Communauté européenne, désormais repris à l'article 114 du traité sur le fonctionnement de l'Union européenne, procède de la volonté de rapprocher les législations des Etats membres afin de permettre l'établissement et le fonctionnement du marché intérieur. Elle a pour objet, ainsi que l'énonce le paragraphe 1 de son article 3, le " traitement des données à caractère personnel dans le cadre de la fourniture de services de communications électroniques accessibles au public sur les réseaux publics de communication dans la Communauté ". Son article 15 prévoit que " Les États membres peuvent adopter des mesures législatives visant à limiter la portée des droits et des obligations prévus aux articles 5 et 6, à l'article 8, paragraphes 1, 2, 3 et 4, et à l'article 9 de la présente directive lorsqu'une telle limitation constitue une mesure nécessaire, appropriée et proportionnée, au sein d'une société démocratique, pour sauvegarder la sécurité nationale - c'est-à-dire la sûreté de l'État - la défense et la sécurité publique, ou assurer la prévention, la recherche, la détection et la poursuite d'infractions pénales ou d'utilisations non autorisées du système de communications électroniques, comme le prévoit l'article 13, paragraphe 1, de la directive 95/46/CE. À cette fin, les États membres peuvent, entre autres, adopter des mesures législatives prévoyant la conservation de données pendant une durée limitée lorsque cela est justifié par un des motifs énoncés dans le présent paragraphe. Toutes les mesures visées dans le présent paragraphe sont prises dans le respect des principes généraux du droit communautaire, y compris ceux visés à l'article 6, paragraphes 1 et 2, du traité sur l'Union européenne ".
14. Par son arrêt du 6 octobre 2020 La Quadrature du Net et autres (C-511/18, C-512/18, C-520/18), la Cour de justice de l'Union européenne a dit pour droit que les dispositions précitées de l'article 15, paragraphe 1, de la directive du 12 juillet 2002, lues à la lumière des articles 7, 8, et 11 et 52, paragraphe 1, de la Charte des droits fondamentaux de l'Union européenne, ne s'opposent pas à des mesures législatives prévoyant, aux fins de la sauvegarde de la sécurité nationale, de la lutte contre la criminalité et de la sauvegarde de la sécurité publique, une conservation généralisée et indifférenciée des données relatives à l'identité civile des utilisateurs de moyens de communications électroniques. Ainsi, s'agissant des données relatives à l'identité civile des utilisateurs de moyens de communications électroniques, une telle conservation est possible, sans délai particulier, aux fins de recherche, de détection et de poursuite des infractions pénales en général.
15. D'une part, pour la mise en oeuvre de la procédure dite de " réponse graduée " détaillée au point 2, la commission de protection des droits de la Hadopi doit pouvoir identifier les utilisateurs concernés afin de leur adresser les recommandations prévues par l'article L. 331-25 du code de la propriété intellectuelle. Cette identification est réalisée à partir des données recueillies auprès des opérateurs de communications électroniques pour être enregistrées dans le traitement " Système de gestion des mesures pour la protection des oeuvres sur internet " qui, selon les dispositions du 2 de l'annexe du décret du 5 mars 2010, portent uniquement sur les noms et coordonnées de leurs abonnés. Ces données sont ainsi conservées dans le but de prévenir la commission des infractions pénales de négligence caractérisée et de contrefaçon. Ainsi qu'il a été dit au point 14, s'agissant de données relatives à l'identité civile des utilisateurs de moyens de communications électroniques, la directive du 12 juillet 2002 ne s'oppose pas à ce qu'elles puissent être recueillies dans le cadre de la lutte contre toute infraction pénale, quelle qu'en soit la gravité. Le moyen tiré de ce que le décret du 5 mars 2010 serait illégal en ce qu'il a été pris dans le cadre de la lutte contre des infractions dépourvues de gravité ne peut donc qu'être écarté.
16. D'autre part, par son arrêt du 21 décembre 2016 Tele2 Sverige AB c/ Post-och telestyrelsen et Secretary of State for the Home Department c/ Tom Watson et autres (C 203/15 et C 698/15), la Cour de justice de l'Union européenne a dit pour droit que l'article 15 de la directive du 12 juillet 2002 devait : " être interprété en ce sens qu'il s'oppose à une réglementation nationale régissant la protection et la sécurité des données relatives au trafic et des données de localisation, en particulier l'accès des autorités nationales compétentes aux données conservées, (...) sans soumettre ledit accès à un contrôle préalable par une juridiction ou une autorité administrative indépendante ". Le point 120 de cet arrêt précise que " Aux fins de garantir, en pratique, le plein respect de ces conditions, il est essentiel que l'accès des autorités nationales compétentes aux données conservées soit, en principe, sauf cas d'urgence dûment justifiés, subordonné à un contrôle préalable effectué soit par une juridiction soit par une entité administrative indépendante, et que la décision de cette juridiction ou de cette entité intervienne à la suite d'une demande motivée de ces autorités présentée, notamment, dans le cadre de procédures de prévention, de détection ou de poursuites pénales ". Si la Cour de justice n'a rappelé cette règle dans son arrêt du 6 octobre 2020 mentionné au point 14 qu'à propos du recueil en temps réel des données de connexion par les services de renseignement, elle a rappelé l'obligation d'un contrôle préalable de l'accès des autorités nationales aux données de connexion par une juridiction ou une autorité administrative indépendante dans son arrêt du 2 mars 2021 H.K. / Prokuratuur (C 746/18).
17. Il ressort du rapport d'activité 2019 de la Hadopi que, depuis sa création en 2009, plus de 12.7 millions de recommandations ont été adressés aux titulaires d'abonnements en application de la procédure dite de " réponse graduée " détaillée au point 2, dont 827 791 recommandations au titre de la seule année 2019. Pour la mise en oeuvre de cette procédure, les agents de la commission de protection des droits de la Hadopi doivent pouvoir recueillir, chaque année, un nombre considérable de données relatives à l'identité civile des utilisateurs concernés. Le fait de soumettre ce recueil à un contrôle préalable risque ainsi de rendre impossible la mise en oeuvre des recommandations. Dans ces conditions, la question de savoir si les données d'identité civile correspondant à une adresse IP sont au nombre des données relatives au trafic ou de localisation soumises, en principe, à l'obligation d'un contrôle préalable par une juridiction ou une entité administrative indépendante dotée d'un pouvoir contraignant soulève une difficulté d'interprétation du droit de l'Union européenne. S'il est répondu par l'affirmative à la première question, et eu égard à la faible sensibilité des données relatives à l'identité civile des utilisateurs, y compris leurs coordonnées, la directive du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, lue à la lumière de la Charte des droits fondamentaux de l'Union européenne, doit-elle être interprétée comme s'opposant à une réglementation nationale prévoyant le recueil de ces données correspondant à l'adresse IP des utilisateurs par une autorité administrative, sans contrôle préalable par une juridiction ou une entité administrative indépendante dotée d'un pouvoir contraignant ' S'il est répondu par l'affirmative à la deuxième question, et eu égard à la faible sensibilité des données relatives à l'identité civile, à la circonstance que seules ces données peuvent être recueillies, pour les seuls besoins de la prévention de manquements à des obligations définies de façon précise, limitative et restrictive par le droit national, et à la circonstance qu'un contrôle systématique de l'accès aux données de chaque utilisateur par une juridiction ou une entité administrative tierce dotée d'un pouvoir contraignant serait de nature à compromettre l'accomplissement de la mission de service public confiée à l'autorité administrative elle-même indépendante qui procède à ce recueil, la directive fait-elle obstacle à ce que ce contrôle soit effectué selon des modalités adaptées, tel qu'un contrôle automatisé, le cas échéant sous la supervision d'un service interne à l'organisme présentant des garanties d'indépendance et d'impartialité à l'égard des agents chargés de procéder à ce recueil '
18. Enfin, s'agissant, des voies de recours, si l'article 7 du décret du 5 mars 2010 écarte, conformément au second alinéa de l'article 110 de la loi du 6 janvier 1978, le droit d'opposition prévu par cette loi, il n'a ni pour objet ni pour effet de priver l'abonné dont les données à caractère personnel ont été enregistrées dans le traitement " Système de gestion des mesures pour la protection des oeuvres sur internet " des voies de recours prévues par la loi, notamment du droit d'obtenir l'effacement de données en application des dispositions du 3° de l'article 106 de la même loi et, le cas échéant, de contester devant le juge administratif le refus qui lui serait opposé.
19. Les questions énoncées au point 17 sont déterminantes pour la solution complète du litige que doit trancher le Conseil d'Etat. Elles présentent, ainsi qu'il a été dit, des difficultés sérieuses d'interprétation du droit de l'Union européenne. Il y a lieu, par suite, d'en saisir la Cour de justice de l'Union européenne en application de l'article 267 du traité sur le fondement de l'Union européenne et, jusqu'à ce que celle-ci se soit prononcée, de surseoir à statuer sur la requête des associations requérantes.
D E C I D E :
--------------
Article 1er : Il est sursis à statuer sur la requête de " La Quadrature du Net " et autres jusqu'à ce que la Cour de justice de l'Union européenne se soit prononcée sur les questions suivantes :
1. Les données d'identité civile correspondant à une adresse IP sont-elles au nombre des données relatives au trafic ou de localisation soumises, en principe, à l'obligation d'un contrôle préalable par une juridiction ou une entité administrative indépendante dotée d'un pouvoir contraignant '
2. S'il est répondu par l'affirmative à la première question, et eu égard à la faible sensibilité des données relatives à l'identité civile des utilisateurs, y compris leurs coordonnées, la directive du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, lue à la lumière de la Charte des droits fondamentaux de l'Union européenne, doit-elle être interprétée comme s'opposant à une réglementation nationale prévoyant le recueil de ces données correspondant à l'adresse IP des utilisateurs par une autorité administrative, sans contrôle préalable par une juridiction ou une entité administrative indépendante dotée d'un pouvoir contraignant '
3. S'il est répondu par l'affirmative à la deuxième question, et eu égard à la faible sensibilité des données relatives à l'identité civile, à la circonstance que seules ces données peuvent être recueillies, pour les seuls besoins de la prévention de manquements à des obligations définies de façon précise, limitative et restrictive par le droit national, et à la circonstance qu'un contrôle systématique de l'accès aux données de chaque utilisateur par une juridiction ou une entité administrative tierce dotée d'un pouvoir contraignant serait de nature à compromettre l'accomplissement de la mission de service public confiée à l'autorité administrative elle-même indépendante qui procède à ce recueil, la directive fait-elle obstacle à ce que ce contrôle soit effectué selon des modalités adaptées, tel qu'un contrôle automatisé, le cas échéant sous la supervision d'un service interne à l'organisme présentant des garanties d'indépendance et d'impartialité à l'égard des agents chargés de procéder à ce recueil '
Article 2 : La présente décision sera notifiée aux associations La Quadrature du Net, French Data Network, Franciliens.net et Fédération des fournisseurs d'accès à internet associatifs, au Premier ministre et à la ministre de la culture.
Copie en sera adressée à la Commission nationale de l'informatique et des libertés.