Pas de communication intégrale des données de connexion à la HADOPI

Le Conseil constitutionnel a, par sa décision n° 2020-841 QPC du 20 mai 2020, censuré le droit de communication trop étendu conféré à la HADOPI s’agissant des données de connexion détenues par les opérateurs. 

Formulation trop générale sanctionnée 

Le droit de communication de la HADOPI auprès des FAI ne pourra donc pas porter sur «  tous documents, quel qu’en soit le support ». En ne précisant pas les personnes auprès desquelles il est susceptible de s’exercer, le législateur n’a ni limité le champ d’exercice de ce droit de communication ni garanti que les documents en faisant l’objet présentent un lien direct avec le manquement à l’obligation énoncée à l’article L. 336-3 du code de la propriété intellectuelle, qui justifie la procédure mise en œuvre par la commission de protection des droits. Ce droit de communication aurait pu également s’exercer sur toutes les données de connexion détenues par les opérateurs de communication électronique. Or, compte tenu de leur nature et des traitements dont elles peuvent faire l’objet, de telles données fournissent sur les personnes en cause des informations nombreuses et précises, particulièrement attentatoires à leur vie privée.

Pouvoirs de la commission de protection des droits

En vertu de l’article L. 336-3 du code de la propriété intellectuelle, le titulaire d’un accès à des services de communication au public en ligne a l’obligation de veiller à ce que cet accès ne fasse pas l’objet d’une utilisation à des fins de reproduction, de représentation, de mise à disposition ou de communication au public d’œuvres ou d’objets protégés par un droit d’auteur ou par un droit voisin, sans l’autorisation des titulaires de ses droits, lorsqu’elle est requise. Au sein de la HADOPI, la commission de protection des droits est chargée, lorsqu’elle est saisie d’un manquement à cette obligation, de prendre les mesures destinées à en assurer le respect. Il s’agit d’adresser aux auteurs des manquements à l’obligation précitée une recommandation leur rappelant le contenu de cette obligation, leur enjoignant de la respecter et leur indiquant les sanctions encourues à défaut.

Les dispositions du code de la propriété intellectuelle faisant l’objet de la QPC visaient à conférer aux agents de la Haute autorité le droit d’obtenir, d’une part, communication, par les opérateurs de communication électronique, de l’identité, de l’adresse postale, de l’adresse électronique et des coordonnées téléphoniques de l’abonné dont l’accès à des services de communication au public en ligne a été utilisé en violation de l’obligation énoncée à l’article L. 336-3 et, d’autre part, communication et copie de tous documents, quel qu’en soit le support, y compris les données de connexion détenues par les opérateurs de communication électronique.

Respect de la vie privée

En vertu de l’article 34 de la Constitution, il appartient au législateur de fixer les règles concernant les garanties fondamentales accordées aux citoyens pour l’exercice des libertés publiques. Il incombe au législateur d’assurer la conciliation entre l’objectif de valeur constitutionnelle de sauvegarde de la propriété intellectuelle et l’exercice des droits et des libertés constitutionnellement garantis. Au nombre de ces derniers figure le droit au respect de la vie privée protégé par les articles 2 et 4 de la Déclaration des droits de l’homme et du citoyen de 1789.

Ce qui reste possible pour la HADOPI

En autorisant la communication aux agents de la Haute autorité de l’identité, de l’adresse postale, de l’adresse électronique et des coordonnées téléphoniques de l’abonné dont l’accès à des services de communication au public en ligne a été utilisé illégalement, le législateur a entendu renforcer la lutte contre les pratiques de contrefaçon sur internet, qui répond à l’objectif de sauvegarde de la propriété intellectuelle. Ce droit de communication, qui n’est pas assorti d’un pouvoir d’exécution forcée, n’est ouvert qu’aux agents publics de la Haute autorité, dûment habilités et assermentés, qui sont soumis, dans l’utilisation de ces données, au secret professionnel.

Le champ des informations en cause se limite à l’identité et aux coordonnées électroniques, téléphoniques et postales des auteurs des manquements à l’obligation énoncée à l’article L. 336-3 du CPI. D’autre part, ces informations sont nécessaires à la Haute autorité pour leur adresser la recommandation leur rappelant leur obligation. Elles présentent donc un lien direct avec l’objet de la procédure mise en œuvre par la commission de protection des droits. Le Conseil constitutionnel a donc jugé que le dernier alinéa de l’article L. 331-21 du code de la propriété intellectuelle est conforme à la Constitution, hormis le mot « notamment ».

Ce qui a été jugé inconstitutionnel 

En revanche, le Conseil constitutionnel a jugé que, en faisant porter le droit de communication sur « tous documents, quel qu’en soit le support » et en ne précisant pas les personnes auprès desquelles il est susceptible de s’exercer, le législateur n’a ni limité le champ d’exercice de ce droit de communication ni garanti que les documents en faisant l’objet présentent un lien direct avec le manquement à l’obligation énoncée à l’article L. 336-3 du code de la propriété intellectuelle, qui justifie la procédure mise en œuvre par la commission de protection des droits. Le Conseil constitutionnel a jugé contraires à la Constitution les troisième et quatrième alinéas de l’article L. 331-21 du code de la propriété intellectuelle ainsi que le mot « notamment » figurant au dernier alinéa du même article.

Position conforme du Conseil

Cette appréciation confirme la vigilance particulière du Conseil à l’encontre des droits de communication institués par le législateur, en particulier lorsqu’ils portent sur des données de connexion et, plus généralement, sur des données sensibles.

Par le passé, le Conseil constitutionnel avait jugé conforme à la Constitution le droit de communication des données de connexion reconnus aux agents de l’Autorité des marchés financiers (décision n° 2001-457 DC), de la Hadopi (décision n° 2009-580 DC du 10 juin 2009) et de l’administration des douanes (décision n° 2011-214 QPC).

Le Conseil a toutefois opéré depuis un revirement de jurisprudence (décision n° 2017-646/647 QPC du 21 juillet 2017) qui rend compte de la très grande sensibilité des données de connexion.  Dans sa décision n° 2015-715 DC du 5 août 2015, le Conseil constitutionnel a eu l’occasion de se prononcer sur une procédure de  communication des données de connexion conçue en faveur de l’autorité de la concurrence, sur l’exact modèle du dispositif prévu en faveur des agents des douanes et du fisc, ainsi que de l’AMF et la Hadopi . Le Conseil a jugé « que la communication des données de connexion est de nature à porter atteinte au droit au respect de la vie privée de la personne intéressée ; que, si le législateur a réservé à des agents habilités et soumis au respect du secret professionnel le pouvoir d’obtenir ces données et ne leur a pas conféré un pouvoir d’exécution forcée, il n’a assorti la procédure prévue par le 2° de l’article 216 d’aucune autre garantie ; qu’en particulier, le fait que les opérateurs et prestataires ne sont pas tenus de communiquer les données de connexion de leurs clients ne saurait constituer une garantie pour ces derniers ; que, dans ces conditions, le législateur n’a pas assorti la procédure prévue par le 2° de l’article 216 de garanties propres à assurer une conciliation équilibrée entre, d’une part, le droit au respect de la vie privée et, d’autre part, la prévention des atteintes à l’ordre public et la recherche des auteurs d’infractions ».

Une telle élévation du niveau d’exigence en matière d’accès aux données de connexion s’observe d’ailleurs aussi au niveau communautaire (CJUE, Tele2 Sverige AB, 21 décembre 201629). Dans sa décision n° 2017-646/647 QPC du 21 juillet 2017 relative au droit de communication des enquêteurs de l’AMF, le Conseil constitutionnel a confirmé cette évolution dans la conciliation qu’il opère entre le droit au respect de la vie privée et les objectifs de valeur constitutionnelle de sauvegarde de l’ordre public et de recherche des auteurs d’infractions.

Après avoir rappelé que « la communication des données de connexion est de nature à porter atteinte au droit au respect de la vie privée de la personne intéressée », il a censuré la seconde phrase du premier alinéa de l’article L. 621- 10 du code monétaire et financier, considérant que « si le législateur a réservé à des agents habilités et soumis au respect du secret  professionnel le pouvoir d’obtenir ces données dans le cadre d’une enquête et ne leur a pas conféré un pouvoir d’exécution forcée, il n’a assorti la procédure prévue par les dispositions en cause d’aucune autre garantie. Dans ces conditions, le législateur n’a pas entouré la procédure prévue par les dispositions contestées de garanties propres à assurer une conciliation équilibrée entre, d’une part, le droit au respect de la vie privée et, d’autre part, la prévention des atteintes à l’ordre public et la recherche des auteurs d’infractions »