Après en avoir délibéré le 4 mai 2021,
1. Contexte de la saisine
L'article L. 36-5 du code des postes et des communications électroniques prévoit que l'Arcep est consultée sur les projets de loi, de décret ou de règlement relatifs au secteur des communications électroniques, et participe à leur mise en œuvre.
Par un courrier en date du 2 avril 2021, le directeur des libertés publiques et des affaires juridiques du ministère de l'intérieur a sollicité l'avis de l'Autorité sur certaines dispositions concernant le projet de loi relatif à la prévention d'actes de terrorisme et au renseignement. En réponse à cette saisine, l'Arcep a rendu l'avis du 15 avril 2021 susvisé.
Par lettre en date du 26 avril 2021, l'adjointe au directeur des libertés publiques et des affaires juridiques du ministère de l'intérieur a adressé à l'Autorité une saisine rectificative sur certaines dispositions concernant le projet de loi relatif à la prévention d'actes de terrorisme et au renseignement afin, notamment, de « tirer les conséquences des arrêts rendus, d'une part par la Cour de justice de l'Union européenne le 6 octobre 2020 […] et, d'autre part, par le Conseil d'Etat le 21 avril 2021 ».
L'Arcep note que les articles 11 bis, 11 ter, 11 quater de ce texte reprennent des dispositions sur lesquelles elle a d'ores et déjà rendu l'avis susvisé. Elle renvoie donc à cet avis s'agissant desdits articles. Son analyse porte en conséquence exclusivement sur les dispositions de l'article 11 quinquies qui pourraient avoir un impact, d'une part, sur le bon fonctionnement des réseaux et des services de communications électroniques et sur les acteurs qu'elles régulent et, d'autre part, sur la sécurité juridique dont doivent bénéficier les opérateurs
L'Arcep tient à rappeler qu'elle ne s'est pas penchée sur les aspects relatifs à la protection des données à caractère personnel et des libertés, qui ne relèvent pas de ses attributions.
2. Observations de l'Arcep
L'Arcep note que les dispositions nouvellement introduites visent à modifier le cadre juridique actuel en matière de conservation et de communication des données techniques, notamment applicables aux opérateurs de communications électroniques, faisant suite à la décision rendue par le Conseil d'Etat en date du 21 avril dernier.
A titre liminaire, l'Arcep regrette d'une part, que les délais de saisine aient été particulièrement contraints et d'autre part, que les informations transmises ne comportent pas d'éléments suffisamment détaillés. L'Arcep n'a donc eu ni le temps, ni les informations suffisantes pour apprécier précisément ce qui sera imposé aux opérateurs en matière de conservation des données et ainsi d'en évaluer l'impact pour les opérateurs de communication électroniques, leurs services et leurs réseaux.
En particulier, l'Arcep observe que si les catégories de données qui doivent être conservées par les opérateurs dans le cadre nominal prévu au II bis sont listées dans le présent projet de texte, celles qui devront être conservées de manière généralisée et indifférenciée en complément de celles prévues au II bis en cas d'une menace grave, actuelle ou prévisible sur la sécurité nationale ne le sont pas. Le texte prévoit cependant qu'un décret en Conseil d'État devra déterminer les informations et catégories de données conservées en application des II bis et III. Il conviendra de veiller à ce que les obligations qui en résulteront pour les opérateurs soient proportionnées, en particulier s'il s'agit de données devant être conservées en application du III.
S'agissant du délai auquel l'effacement doit être différé concernant les données relatives à l'identité civile du client, l'Arcep relève que celui-ci est passé « d'un an à compter du jour de l'enregistrement » à « cinq ans après la fin de validité du contrat d'abonnement ». L'Arcep insiste sur la nécessité de s'assurer que cette disposition ne constitue pas une demande disproportionnée de conservation faite aux opérateurs.
Si l'Arcep prend acte du mécanisme de réexamen annuel de l'existence d'une menace grave, réelle et actuelle ou prévisible pour la sécurité nationale autorisant le gouvernement à demander une conservation généralisée et indifférenciée des données par les opérateurs, elle l'invite à veiller à rester proportionné en mobilisant ce dispositif, qui pourrait être dimensionnant pour les opérateurs.
Par ailleurs, si les textes prévoient l'indemnisation des opérateurs pour les surcoûts spécifiques exposés pour répondre à ces différentes demandes, ceux-ci rencontrent parfois avec certaines autorités administratives des difficultés dans le paiement des sommes correspondantes. A cet égard, l'Arcep invite le Gouvernement à veiller à l'indemnisation rapide et homogène des surcoûts exposés par les opérateurs.
Enfin, l'Autorité tient de nouveau à souligner que l'impact de ces dispositions sur la confiance des utilisateurs finals dans leur fournisseur d'accès à internet ou leurs fournisseurs de services numériques doit être pris en considération. Elle ajoute qu'il est important à la fois pour des questions de non-discrimination et d'efficacité, d'imposer les mêmes obligations à l'ensemble des opérateurs qui entrent désormais dans le champ du nouveau code européen des communications électroniques, en cours de transposition en droit national, et notamment aux fournisseurs de services de communications interpersonnelles non fondés sur la numérotation.
Le présent avis sera transmis à l'adjointe au directeur des libertés publiques et des affaires juridiques du ministère de l'intérieur et sera publié au Journal officiel de la République française.