L’article 8 de la Convention européenne « n’interdit pas de recourir à l’interception en masse afin de protéger la sécurité nationale ou d’autres intérêts nationaux essentiels contre des menaces extérieures graves, et les États jouissent d’une ample marge d’appréciation pour déterminer de quel type de régime d’interception ils ont besoin à cet effet (…) l’interception en masse recèle à l’évidence un potentiel considérable d’abus susceptibles de porter atteinte au droit des individus au respect de leur vie privée (…) les États contractants ont légitimement besoin d’opérer dans le secret, ce qui implique qu’ils ne rendent publiques que peu d’informations sur le fonctionnement du système, voire aucune”
Très attendus, les deux arrêts du 25 mai 2021 de la Cour Européenne des Droits de l’Homme (CEDH) précisent les conditions dans lesquelles un régime de surveillance de masse des communications électroniques peut être compatible avec les articles 8 et 10 de la Convention européenne des droits de l’homme.
Faisant référence à la jurisprudence de la Cour de Justice de l’Union Européenne (arrêt Digital rights Ireland / Quadrature du Net), la CEDH est plus laxiste que la CJUE car elle condamne le Royaume-Uni et la Suède non sur le principe de la surveillance de masse mais pour ne pas avoir entouré de suffisamment de garanties leurs régimes.
La CEDH va donc se limiter à contrôler si le cadre juridique national définit clairement :
- les motifs pour lesquels l’interception en masse peut être autorisée ;
- les circonstances dans lesquelles les communications d’un individu peuvent être interceptées ;
- la procédure d’octroi d’une autorisation ;
- les procédures à suivre pour la sélection, l’examen et l’utilisation des éléments interceptés ;
- les précautions à prendre pour la communication de ces éléments à d’autres parties ;
- les limites posées à la durée de l’interception et de la conservation des éléments interceptés, et les circonstances dans lesquelles ces éléments doivent être effacés ou détruits ;
- les procédures et modalités de supervision, par une autorité indépendante, du respect des garanties énoncées ci-dessus, et les pouvoirs de cette autorité en cas de manquement ;
- les procédures de contrôle indépendant a posteriori du respect des garanties et les pouvoirs conférés à l’organe compétent pour traiter les cas de manquement
Pour rappel, l’affaire Big Brother Watch fait suite aux révélations d’Edward Snowden sur la coopération entre les services de renseignement britanniques et la National Security Agency américaine en matière de surveillance de masse. La Cour n’émet pas d’objection de principe et estime :
“que la transmission, par un État contractant, d’informations obtenues au moyen d’une interception en masse à des États étrangers ou à des organisations internationales devrait être limitée aux éléments recueillis et conservés d’une manière conforme à la Convention, et qu’elle devrait être soumise à certaines garanties supplémentaires relatives au transfert lui-même. Premièrement, les circonstances dans lesquelles pareil transfert peut avoir lieu doivent être clairement énoncées dans le droit interne. Deuxièmement, l’État qui transfère les informations en question doit s’assurer que l’État destinataire a mis en place, pour la gestion des données, des garanties de nature à prévenir les abus et les ingérences disproportionnées. L’État destinataire doit, en particulier, garantir la conservation sécurisée des données et restreindre leur divulgation à d’autres parties. Cela ne signifie pas nécessairement qu’il doive garantir une protection comparable à celle de l’État qui transfère les informations, ni qu’une assurance doive être donnée avant chaque transfert. Troisièmement, des garanties renforcées sont nécessaires lorsqu’il est clair que les éléments transférés appellent une confidentialité particulière – par exemple, s’il s’agit de communications journalistiques confidentielles. Enfin, la Cour considère que le transfert d’informations à des partenaires de renseignement étrangers doit également être soumis à un contrôle indépendant”
incompréhensible décision dans un contexte où la surveillance de masse en question était contraire aux droits américains et européens et que le RGPD exige pour le transfert des données un niveau de protection adéquate. Alors que le contrôle des garantis devrait être a priori et non a posteriori, la CEDH estime qu’un tel contrôle “ne signifie pas nécessairement qu’il doive garantir une protection comparable à celle de l’État qui transfère les informations, ni qu’une assurance doive être donnée avant chaque transfert”.
Ainsi, la CEDH consacre un degré de protection minimale et sacrifie la vie privée au nom des politiques sécuritaires.
https://www.dalloz-actualite.fr/flash/cedh-admet-principe-de-surveillance-electronique-de-masse