Expertises des Systèmes d'information - Mai 2021 - N°468 - Le mensuel du droit de l'informatique et du multimédia - 210

ces deux types de prestataires
techniques et le décret n° 2011-219
du 25 février 2011 relatif à la conservation et à la communication des
données permettant d'identifier
toute personne ayant contribué à la
création d'un contenu mis en ligne
décrit le type de données à conserver selon les prestataires.
Ajoutons que le non-respect de
cette obligation de conservation
est sanctionné pénalement d'un an
d'emprisonnement et de 250 000 €
d'amende
(L.
n°
2004-575,
21 juin 2004, art. 6, VI, 1 mod. par L.
n° 2020-766, 24 juin 2020 , visant à
lutter contre les contenus haineux
sur internet).
On constate que selon l'activité du
prestataire technique, les données
concernées ne sont pas identiques
mais sont tout autant intrusives
les unes que les autres, dans la vie
privée des clients.
En ce qui concerne l'atteinte à la vie
privée et les abus potentiels (vols de
données) que cela peut provoquer,
il n'est que de citer le cas du mot de
passe des clients. Les autorités judiciaires peuvent obtenir, de la part
des opérateurs (FAI et hébergeurs),
les mots de passe en clair, aux fins
d'identification des créateurs de
contenu. Ce stockage des mots
de passe constitue un réel danger
pour la vie privée dans la mesure
où celui-ci permet d'entrer dans
l'espace réservé à la personne sur
Internet. Et, sachant que nombre
d'internautes utilisent un seul mot
de passe ...
L'autre élément à noter est la durée
de conservation des données. Si
celle-ci est simple dans son énoncé
- elle est de 1 an -, la durée peut
être prolongée dans la mesure où
chaque modification du contenu
entraîne une création de contenu
et donc un renouvellement de la
durée. L'année de conservation
peut donc devenir plusieurs années
de conservation.
Or, la décision ne traite que les
données
personnelles
issues

210

des flux des communications.
Doit-on procéder par analogie en
ce qui concerne les données stockées par les hébergeurs ?
Rappelons que la divulgation très
large et indifférencié aux autorités
américaines (NSA) des données
personnelles des ressortissants
européens, hébergées sur les
serveurs des entreprises américaines a été l'un des arguments qui
a entraîné l'invalidation du Privacy
Shield en juillet 2020.
D'ores et déjà, protégeant la vie
privée, l'hébergeur ne communique pas, sur simple demande,
le nom de la personne ayant créé
un contenu sous un pseudonyme.
Malgré le fait qu'un contenu peut
être potentiellement qualifié de
délit de diffamation, l'hébergeur
ne communiquera le nom de la
personne que sur injonction du
juge d'instruction3.
L'ouverture de la porte sur les
données personnelles confidentielles est donc confiée à l'autorité judiciaire laquelle doit être
considérée comme suffisamment
indépendante.

Une autorité indépendante, maître des clés
Ayant répondu sur l'application en
l'espèce du principe de proportionnalité, les juges abordent la mise en
œuvre pragmatique de l'instruction
et rappellent le principe de l'indépendance de l'autorité judiciaire
en matière pénale. Poursuivant
la protection de la vie privée et le
risque d'intrusion, ce principe
d'indépendance s'étend également
à d'autres domaines.

En matière pénale, la remise
en cause de l'indépendance du
ministère public
Considérant que l'accès aux
données personnelles liées aux
communications
électroniques
doit être une exception (article
15 paragraphe 1 de la directive
2002/58), il convient bien évidemment d'en confier l'accès à une
EXPERTISES Mai 2021

autorité indépendante. Or, se pose
la question selon laquelle le ministère public estonien qui dirige la
procédure d'instruction pénale et
qui examine les éléments à charge
et à décharge est-il suffisamment
indépendant lorsque l'on sait
que « l'objectif de cette procédure
n'en reste pas moins la collecte
d'éléments de preuve ainsi que
la réunion des autres conditions
nécessaires à la tenue d'un procès ».
La CJUE rappelle que pour respecter
le principe de proportionnalité (tel
qu'exposé au I A ci-dessus), l'accès
aux données doit être « subordonné
à un contrôle préalable effectué
soit par une juridiction soit par
une entité administrative indépendante » (point 51). L'article 15 paragraphe 1 de la directive 2002/58 ne
reconnaît pas l'indépendance du
ministère public lorsque celui-ci
dirige la procédure d'instruction
puis exerce le cas échéant, l'action
publique lors d'une procédure
ultérieure.
En France, le juge d'instruction
avait pourtant été reconnu comme
un juge habilité par la loi à exercer
des fonctions judiciaires dans
sa décision du 29 mars 2010,
Medvedyev et autres c. France, req.
n° 3394/03.
Plus
récemment,
cependant,
la CJUE, dans sa décision du
8 décembre 2020 (aff. C-584/19),
avait refusé de reconnaître l'indépendance du parquet en matière
de décision d'enquête européenne
(DEE) alors qu'elle reconnaissait
celle-ci pour émettre un mandat
d'arrêt européen (MAE). Pour elle,
les droits fondamentaux de la
personne concernée par la décision d'enquête européenne sont
suffisamment protégés tant au
stade de son émission qu'à celui
de son exécution dans un autre
État membre. En effet, tant au stade
de l'émission ou de la validation
que de l'exécution de la décision
d'enquête européenne, la directive
contient un ensemble de garanties
qui permettent d'assurer la protection des droits fondamentaux de la
personne.

Expertises des Systèmes d'information - Mai 2021 - N°468 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Mai 2021 - N°468 - Le mensuel du droit de l'informatique et du multimédia