Une troisième loi belge tombe, pour une raison nouvelle
Le 3 septembre 2026, l'avocat général Maciej Szpunar a présenté ses conclusions dans l'affaire C-661/24, recommandant à la Cour de justice de l'UE de censurer la loi belge de conservation des données de 2022. C'est la troisième loi belge de conservation des données d'affilée à échouer devant la CJUE : la directive européenne sur la conservation des données est tombée en 2014, une deuxième loi belge est tombée après l'arrêt La Quadrature du Net de 2020, et ce remplacement de 2022 fait maintenant face au même sort.
La loi de 2022 obligeait les fournisseurs de communications à stocker des métadonnées d'identification, de trafic et de localisation pour chaque utilisateur, dans le but de lutter contre la cybercriminalité, les atteintes à la sécurité des réseaux et la fraude en ligne. Szpunar a estimé qu'elle couvre un ensemble de données particulièrement large sans imposer de méthodes de stockage garantissant une séparation réelle des différentes catégories, ce qui rend selon lui l'atteinte aux droits à la vie privée disproportionnée.
Le test qui compte vraiment : la séparation étanche
Ce qui fait que cet avis va plus loin qu'une censure de routine, c'est le critère que propose Szpunar pour ce qui passerait l'examen. Il soutient que les États peuvent conserver sans distinction un éventail plus large de données de trafic et de localisation, pas seulement des adresses IP, tant que des contrôles techniques maintiennent les catégories séparées jusqu'à ce qu'une base juridique existe pour les combiner, qualifiant cette séparation de condition de la proportionnalité plutôt que le volume de données collectées.
Il présente cela en partie comme une réponse à la façon dont la cybercriminalité fonctionne réellement : les infractions facilitées par internet ont besoin de la trace de métadonnées pour être poursuivies, soutient-il, si bien que des interdictions générales de collecte risquent une impunité systémique pour une catégorie de crime en expansion.
D'où vient réellement ce test
Szpunar n'invente pas le test de séparation de toutes pièces. En 2024, la CJUE a jugé dans une autre affaire La Quadrature du Net, celle-ci contestant le régime français d'application du droit d'auteur, que la collecte et le stockage indiscriminés d'adresses IP et de données d'identité des clients sont acceptables, même pour lutter contre des infractions en deçà du seuil de la criminalité grave, tant que les différentes catégories de métadonnées restent séparées jusqu'à ce qu'une base juridique soit établie pour les combiner.
L'avis de Szpunar demande à la Cour d'étendre cette même logique des adresses IP en particulier à l'éventail plus large de types de données de trafic et de localisation que couvre la loi belge. Un professeur de droit dublinois et président de longue date de Digital Rights Ireland l'a qualifié d'avis potentiellement très important, invitant la CJUE à reconsidérer le fondement de toute sa jurisprudence sur la conservation des données autour des contrôles de stockage et d'accès plutôt que de la collecte elle-même.
Tout le monde n'y voit pas un progrès
Les groupes de défense des droits numériques réunis sous la bannière European Digital Rights ont déjà signalé qu'ils combattraient tout cadre construit sur ce raisonnement, arguant que la conservation indiscriminée crée son propre risque de sécurité : les métadonnées qu'un État conserve à des fins répressives sont aussi des métadonnées vulnérables à la prochaine violation. Ils contestent également l'idée que la conservation indiscriminée réduise réellement la criminalité, affirmant qu'aucun lien scientifiquement prouvé n'existe entre les deux.
L'avis de Szpunar n'est que consultatif. La CJUE peut statuer différemment, bien qu'elle suive les conclusions de ses avocats généraux dans la plupart des cas, selon les observateurs juridiques qui suivent l'affaire.
La suite, et le tableau qui montre le schéma
La Commission européenne prépare discrètement de nouvelles règles à l'échelle de l'UE pour remplacer la directive sur la conservation des données, morte depuis longtemps, ayant mené une analyse d'impact et une consultation publique, et a promis d'explorer des mesures pour l'interception légale transfrontalière d'ici 2027. Un arrêt de la CJUE qui suivrait l'avis de Szpunar donnerait à ce processus de rédaction un feu vert pour une conservation plus large qu'il n'avait pas clairement auparavant. Toute entreprise traitant des métadonnées de communication sous un mandat de conservation de l'UE devrait considérer cet avis comme le premier signal de la direction que prend ce cadre, des mois avant qu'un arrêt définitif ou une proposition de la Commission n'existe.
| Année | Arrêt ou avis | Effet |
|---|---|---|
| 2014 | Directive européenne sur la conservation des données censurée | La conservation générale de métadonnées de six à 24 mois jugée surveillance de masse |
| 2020 | La Quadrature du Net (Belgique) | Conservation autorisée seulement si ciblée, avec de réelles garanties d'accès |
| 2022 | Troisième loi belge de conservation | Une large loi de conservation des métadonnées adoptée, désormais contestée |
| 2024 | La Quadrature du Net (France, droit d'auteur) | Conservation indiscriminée d'adresses IP autorisée si les catégories restent séparées |
| 2026 | Avis Szpunar, affaire C-661/24 | Propose d'étendre le test de séparation à des types de métadonnées plus larges |
Servola Journal
Nous faisons cela pour tous ceux qui essaient de suivre ce que la technologie fait à nos vies. Les personnes qui la construisent, et les personnes à qui cela arrive. Le Servola Journal existe pour que ce que nous apprenons appartienne à tous.
Personne ne nous paie pour cela. Pas de publicité, pas de mur payant, gratuit pour tous. Nous croyons simplement que comprendre ce qui nous arrive à tous ne devrait pas dépendre de qui peut se le payer.
Si cela vous a apporté quelque chose aujourd'hui, dites-le-nous en continuant à nous suivre. Suivez-nous, laissez un like ou écrivez un commentaire positif. Nous les lisons tous, et ce sont eux qui nous font continuer.
À lire ensuite: Une amende RGPD pour des dossiers laissés pourrir dans une salle de bain | Le mode IA local de Perplexity n'est pas un raccourci RGPD
