Conseil d'État, 10ème et 9ème chambres réunies, 30 avril 2026, n° 433539

Vu la procédure suivante : Par une décision avant dire droit du 5 juillet 2021, le Conseil d’Etat statuant au contentieux a, d’une part, rejeté les conclusions de la ministre de la culture tendant à ce qu’il soit donné acte du désistement d’office des associations La Quadrature du Net, French Data Network, Franciliens.net et Fédération des fournisseurs d’accès à internet associatifs, d’autre part, écarté les moyens tirés d’un défaut de motivation, d’un défaut de base légale, de la méconnaissance du règlement (UE) 2016/679 du 27 avril 2016 et du droit à un recours effectif, dirigés contre la décision implicite par laquelle le Premier ministre a rejeté la demande de ces associations tendant à abroger le décret n° 2010-236 du 5 mars 2010, enfin, sursis à statuer sur les conclusions tendant à l’annulation pour excès de pouvoir de cette décision implicite, jusqu’à ce que la Cour de justice de l’Union européenne se soit prononcée sur les questions préjudicielles suivantes : 1°) Les données d’identité civile correspondant à une adresse IP sont-elles au nombre des données relatives au trafic ou de localisation soumises, en principe, à l’obligation d’un contrôle préalable par une juridiction ou une entité administrative indépendante dotée d’un pouvoir contraignant ? 2°) S’il est répondu par l’affirmative à la première question, et eu égard à la faible sensibilité des données relatives à l’identité civile des utilisateurs, y compris leurs coordonnées, la directive du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, lue à la lumière de la Charte des droits fondamentaux de l’Union européenne, doit-elle être interprétée comme s’opposant à une réglementation nationale prévoyant le recueil de ces données correspondant à l’adresse IP des utilisateurs par une autorité administrative, sans contrôle préalable par une juridiction ou une entité administrative indépendante dotée d’un pouvoir contraignant ? 3°) S’il est répondu par l’affirmative à la deuxième question, et eu égard à la faible sensibilité des données relatives à l'identité civile, à la circonstance que seules ces données peuvent être recueillies, pour les seuls besoins de la prévention de manquements à des obligations définies de façon précise, limitative et restrictive par le droit national, et à la circonstance qu’un contrôle systématique de l’accès aux données de chaque utilisateur par une juridiction ou une entité administrative tierce dotée d’un pouvoir contraignant serait de nature à compromettre l’accomplissement de la mission de service public confiée à l’autorité administrative elle-même indépendante qui procède à ce recueil, la directive fait-elle obstacle à ce que ce contrôle soit effectué selon des modalités adaptées, tel qu’un contrôle automatisé, le cas échéant sous la supervision d'un service interne à l’organisme présentant des garanties d’indépendance et d’impartialité à l’égard des agents chargés de procéder à ce recueil ? Par un arrêt du 30 avril 2024 (C-470/21), la Cour de justice de l’Union européenne a répondu aux questions préjudicielles du Conseil d’Etat. Vu les autres pièces du dossier ; Vu : - la Charte des droits fondamentaux de l’Union européenne ; - le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ; - la directive 2001/29/CE du Parlement européen et du Conseil du 22 mai 2001 ; - la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 ; - la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 ; - le code pénal ; - le code des postes et des communications électroniques ; - le code de la propriété intellectuelle ; - le code des relations entre le public et l’administration ; - loi n° 86-1067 du 30 septembre 1986 ; - le décret n° 2010-236 du 5 mars 2010 ; - l’arrêt de la Cour de justice de l’Union européenne du 30 avril 2024 (C-470/21) ; - le code de justice administrative ; Après avoir entendu en séance publique : - le rapport de M. Stéphane Eustache, maître des requêtes, - les conclusions de Mme Charline Nicolas, rapporteure publique ; Considérant ce qui suit : 1. Les associations La Quadrature du Net, French Data Network, Franciliens.net et Fédération des fournisseurs d’accès à internet associatifs ont demandé au Conseil d’Etat d’annuler pour excès de pouvoir la décision implicite par laquelle le Premier ministre a rejeté leur demande tendant à l’abrogation du décret du 5 mars 2010 relatif au traitement automatisé de données à caractère personnel autorisé par l'article L. 331-23 du code de la propriété intellectuelle dénommé " Système de gestion des mesures pour la protection des œuvres sur internet ". Par une décision avant dire droit du 5 juillet 2021, le Conseil d’Etat statuant au contentieux a sursis à statuer sur ces conclusions jusqu’à ce que la Cour de justice de l’Union européenne se soit prononcée sur les questions qu’il lui a renvoyées à titre préjudiciel. Par un arrêt C-470/21 du 30 avril 2024, la Cour de justice de l’Union européenne a répondu à ces questions. Sur le cadre juridique de l’Union européenne : 2. En vertu de l’article 2 de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques), constituent des « données relatives au trafic » « toutes les données traitées en vue de l’acheminement d’une communication par un réseau de communications électroniques ou de sa facturation » et des « données de localisation » « toutes les données traitées dans un réseau de communications électroniques indiquant la position géographique de l’équipement terminal d’un utilisateur d’un service de communications électroniques accessible au public ». Aux termes du paragraphe 1 de l’article 5 de cette directive : « Les États membres garantissent, par la législation nationale, la confidentialité des communications effectuées au moyen d’un réseau public de communications et de services de communications électroniques accessibles au public, ainsi que la confidentialité des données relatives au trafic y afférentes. En particulier, ils interdisent à toute autre personne que les utilisateurs d’écouter, d’intercepter, de stocker les communications et les données relatives au trafic y afférentes, ou de les soumettre à tout autre moyen d’interception ou de surveillance, sans le consentement des utilisateurs concernés sauf lorsque cette personne y est légalement autorisée, conformément à l’article 15, paragraphe 1. Le présent paragraphe n’empêche pas le stockage technique nécessaire à l’acheminement d’une communication, sans préjudice du principe de confidentialité ». Aux termes de l’article 6 de cette directive : « 1. Les données relatives au trafic concernant les abonnés et les utilisateurs traitées et stockées par le fournisseur d’un réseau public de communications ou d’un service de communications électroniques accessibles au public doivent être effacées ou rendues anonymes lorsqu’elles ne sont plus nécessaires à la transmission d’une communication sans préjudice des paragraphes 2, 3 et 5, du présent article ainsi que de l’article 15, paragraphe 1. / 2. Les données relatives au trafic qui sont nécessaires pour établir les factures des abonnés et les paiements pour interconnexion peuvent être traitées. Un tel traitement n’est autorisé que jusqu’à la fin de la période au cours de laquelle la facture peut être légalement contestée ou des poursuites engagées pour en obtenir le paiement. / 3.