Le Conseil d’État réaffirme la suprématie de la norme constitutionnelle face au droit de l’Union européenne

Par Thibaut Larrouturou

Après avoir saisi la CJUE d’une question préjudicielle relative à la possibilité de conserver de manière générale et indifférenciée les données de connexion, le Conseil d’État réaffirme la suprématie de la norme constitutionnelle dans une configuration inédite et prive d’effets la réponse du juge européen.

After having requested a preliminary ruling from the CJEU regarding a general and indiscriminate retention of all traffic and location data, the French Council of State reaffirms the supremacy of the Constitution in an unprecedented way and deprives the European caselaw of concrete effect.

Par Thibaut Larrouturou, Docteur en droit public de l’Université Jean Monnet Saint-Étienne, CERCRID

En accédant au présent billet de blog, l’amateur de droit constitutionnel aura été à l’origine d’un certain nombre de données de connexion : sa localisation, le terminal qu’il utilise et son adresse IP en constituent autant d’exemples. Ce mince filet d’informations a rejoint instantanément l’ensemble de celles déjà créées au cours de la journée par ledit lecteur, qu’il s’agisse de la localisation de son téléphone portable, des contacts qu’il a joints par SMS ou téléphone, de la liste des sites Internet consultés ou de l’historique des courriels reçus et envoyés. Ce qui peut d’ores et déjà être comparé à un torrent d’informations – véritable fenêtre numérique donnant sur la vie privée et professionnelle de l’intéressé – ne constitue pourtant qu’une infime goutte d’eau dans l’ensemble proprement abyssal des données relatives aux communications électroniques produites quotidiennement par les personnes présentes sur le territoire national. Or, le droit français permet la conservation généralisée et indifférenciée de ces « métadonnées » (exclusives des contenus à proprement parler des échanges) pour une durée maximale d’un an, notamment afin de permettre leur accès et leur exploitation par les services de renseignement et de police.

C’est précisément ce régime juridique des métadonnées de communication qui constitue la toile de fond de ce qui restera sans doute l’une des plus importantes décisions adoptées par l’Assemblée du Conseil d’État en 2021, la décision French Data Network[1]. La solution retenue ne manquera pas, par sa richesse, d’attirer l’attention au‑delà du seul cercle des spécialistes du droit administratif. Tout d’abord, parce qu’elle aboutit à la préservation de la capacité française de conservation et de traitement des données de connexion malgré une jurisprudence européenne qui paraissait la condamner, elle a une incidence de premier ordre sur les droits et libertés des citoyens et les capacités des services assurant leur sécurité. Dans la mesure, ensuite, où elle refuse le contrôle de l’ultra vires, c’est-à-dire le contrôle du respect par les institutions de l’Union de la répartition des compétences entre celle-ci et les États membres, elle est d’un intérêt prononcé pour les européanistes. Enfin, parce que la décision réaffirme sans détour, dans une hypothèse originale, la suprématie de la norme constitutionnelle, et parce qu’elle peut en un sens être qualifiée de première manifestation jurisprudentielle d’un conflit irréductible entre Constitution française et droit dérivé, elle est d’une importance cardinale pour les constitutionnalistes comme pour les européanistes.

L’aboutissement attendu d’un dialogue jurisprudentiel nourri

Une brève genèse de l’affaire s’impose, afin d’en saisir toute la portée, tant elle constitue l’aboutissement d’échanges jurisprudentiels soutenus entre Cour de justice de l’Union européenne et Conseil d’État. Bien qu’il soit possible de faire remonter le point de départ de ces interactions à l’année 2014[2], un souci de concision permet d’en limiter la présentation à partir de l’arrêt de la CJUE Télé2 Sverige AB, datant de 2016[3]. Selon l’interprétation alors retenue par le juge européen, la directive « vie privée et communications électroniques »[4] s’opposait à une réglementation nationale prévoyant, à des fins de lutte contre la criminalité, une conservation généralisée et indifférenciée de l’ensemble des données de connexion, et autorisant leur accès en l’absence de contrôle préalable par une juridiction ou une AAI. Inquiet du risque d’affaiblissement de l’efficacité des services de renseignement et de police induit par l’évidente inconventionnalité du régime juridique français alors en vigueur, le Conseil d’État saisit la Cour de justice, dans le cadre de la présente affaire, en l’invitant à tempérer son analyse[5]. Dans un arrêt du 6 octobre 2020[6], la grande chambre de la Cour de justice resta sur sa position de principe, tout en l’assortissant d’exceptions tenant principalement à la préservation de la sécurité nationale, notamment face à la menace terroriste[7]. La décision French Data Network présentée dans ces lignes opère la réception du dernier état de la position de la CJUE. Cette réception est paradoxalement placée à la fois sous le sceau d’une claire incompatibilité entre exigences constitutionnelles et européennes et sous celui d’un ultime effort visant à éviter la reconnaissance d’une telle incompatibilité.

Sur ce dernier point, l’intérêt de la décision French Data Network peut être mis en exergue à travers l’analyse de la construction intellectuelle du Conseil d’État. Il est loisible de présenter celle-ci en trois mouvements distincts, d’inégale importance.

L’enrichissement des conséquences déduites de la suprématie de la norme constitutionnelle

La présentation que fait d’emblée le Conseil d’État des « exigences inhérentes à la hiérarchie des normes » constitue une véritable synthèse de sa jurisprudence en la matière, en même temps qu’une remarquable extension de celle-ci à des domaines qu’elle ne couvrait pas jusqu’alors. Après avoir rappelé que le respect du droit de l’Union s’impose en vertu des traités européens autant que de l’article 88-1 de la Constitution, le juge administratif souligne qu’il a l’obligation de laisser inappliquée « toute disposition contraire [à ce droit], qu’elle résulte d’un engagement international de la France, d’une loi ou d’un acte administratif » (point 4). La Constitution, grande absente de cette affirmation, fait l’objet dans la suite de la décision de développements substantiels et pour partie novateurs. Le Conseil d’État commence par réaffirmer solennellement sa jurisprudence constante, partagée avec le Conseil constitutionnel et la Cour de cassation, selon laquelle la Constitution se place au sommet de l’ordre juridique français. Il est à peine besoin de rappeler que cette position ne s’accorde guère avec le principe de primauté affirmé par la CJUE, selon lequel aucune norme interne ne saurait faire obstacle à l’application des normes européennes. De cette jurisprudence centrée sur la suprématie constitutionnelle, le Conseil d’État déduit deux éléments intimement liés, destinés à assurer si possible la conciliation entre normes constitutionnelles et européennes et à garantir si nécessaire, en dernier ressort, la suprématie des premières face aux secondes.

D’une part, dans la lignée de la décision Kandyrine^[8], il appartient au juge administratif de donner au droit de l’Union « la lecture la plus conforme aux exigences constitutionnelles autres que celles qui découlent de l’article 88‑1, dans la mesure où les énonciations des arrêts de la [CJUE] le permettent » (point 5). La précision, devenue classique pour le droit international général mais inédite – à la connaissance de l’auteur – dans le champ du droit de l’Union, s’inscrit dans une optique conciliatrice de dissolution des conflits normatifs plutôt que d’affirmation de la supériorité d’une norme sur une autre. La sagesse du Conseil d’État peut ici être saluée puisque, en limitant cette technique d’interprétation aux marges de manœuvre laissées par le juge européen, il évite d’ériger l’interprétation du droit de l’Union à la lumière de la Constitution en concurrente potentielle de son interprétation authentique par la Cour de justice. Cette limite conduit toutefois à l’hypothèse d’un conflit de normes qui ne saurait pas être vidé par la seule volonté de l’interprète.

Le Conseil d’État n’élude nullement ce cas de figure dans la mesure où, d’autre part, il distingue deux hypothèses procédurales lorsqu’il est allégué devant lui que l’application d’une directive ou d’un règlement européen conduirait à heurter une norme constitutionnelle.

La première est celle de la décision Arcelor[9]. Saisi d’un moyen mettant en doute la constitutionnalité d’un acte de transposition d’une directive de l’Union européenne, et pouvant donc théoriquement conduire à la paralysie de cette dernière, le Conseil d’État procède depuis des années à la « translation » du conflit normatif, selon l’expression du juge Mattias Guyomar. La démarche consiste à faire sortir, dans la mesure du possible, la norme constitutionnelle de l’équation contentieuse afin de faciliter la résolution de celle-ci au sein d’un unique ordre juridique, en l’occurrence celui de l’Union européenne. Le principe d’équivalence permet dans la plupart des cas de transmuter un conflit entre norme réglementaire et droit constitutionnel en un conflit entre directive européenne et droit primaire de l’Union, plus aisément résolu. Seule, précisément, l’inexistence d’une norme européenne équivalente à la norme constitutionnelle dont la violation est alléguée contraint le Conseil d’État à rester sur le terrain du contrôle de constitutionnalité. En dernière analyse, la Constitution n’est jamais écartée en faveur du droit de l’Union dans cette configuration : soit le juge administratif peut résoudre le conflit normatif par son office de juge de la conventionnalité, soit il accepte de faire prévaloir la Constitution face au droit de l’Union.

La seconde hypothèse est celle, originale, induite par la configuration contentieuse de l’affaire French Data Network. Dans le cadre du contrôle de conventionnalité d’une disposition réglementaire ou législative, le Conseil d’État admet que le défendeur soulève un moyen suivant lequel la règle nationale, quand bien même elle serait contraire au droit de l’Union, « ne saurait être écartée sans priver de garanties effectives une exigence constitutionnelle » (point 7). À la différence de l’hypothèse d’Arcelor, le paramètre constitutionnel est ici inséré par l’action du défendeur dans un litige d’où il est initialement absent. La logique qui préside à l’examen de ce moyen de constitutionnalité est toutefois similaire : s’il existe en droit de l’Union une exigence équivalente à celle, constitutionnelle, invoquée par le défendeur, il y a déport du conflit normatif dans l’ordre juridique européen. En l’absence d’équivalence, le juge administratif doit au contraire examiner si l’application du droit de l’Union priverait de garanties effectives l’existence constitutionnelle propre à l’ordre juridique français, ainsi que le soutient le défendeur. Le cas échéant, il lui faut écarter le moyen d’inconventionnalité formulé par le requérant malgré son caractère bien fondé, en conséquence de la suprématie de la norme constitutionnelle. Sur ce point, il est nécessaire de relever que le Conseil d’État fait preuve d’une certaine prudence, puisqu’il se refuse apparemment – suivant en cela les conclusions de son rapporteur public Alexandre Lallet – à soulever d’office un tel moyen de constitutionnalité.

L’extension de la jurisprudence Arcelor à cette seconde configuration contentieuse est en soi absolument remarquable. La doctrine ne manquera toutefois pas de noter que, si la technique juridique à l’œuvre dans les deux cas distingués par le Conseil d’État puise dans la même veine jurisprudentielle, les logiques en cause sont parfaitement opposées, à l’image d’une photographie et de son négatif. Ainsi, pour reprendre une analyse du professeur Édouard Dubout, « tandis que dans l’hypothèse Arcelor il s’agissait de ne pas remettre en cause constitutionnellement le droit de l’Union à l’occasion d’un acte le respectant, dans l’hypothèse French Data Network, il est au contraire procédé à une remise en cause constitutionnelle du droit de l’Union lors du contrôle d’un acte qui y porte atteinte »[10]. La primauté du droit de l’Union européenne trouve donc ici une nouvelle « contre‑limite » constitutionnelle, qui se révèle autrement plus concrète que celles auparavant posées par les juridictions françaises. En effet, si la décision French Data Network est fondamentale par son principe, à savoir l’extension des conséquences à tirer de la suprématie de la norme constitutionnelle, elle l’est aussi en ce qu’elle donne corps à des raisonnements qui étaient jusqu’ici restés des hypothèses d’école.

La reconnaissance inédite d’une absence d’équivalence entre Constitution et droit de l’Union

La jurisprudence du Conseil constitutionnel en matière de lois transposant des directives ou adaptant le droit interne à des règlements européens, qui a inspiré la décision Arcelor et donc la décision French Data Network, n’a pour l’heure jamais été concrétisée. Nul n’est d’ailleurs en mesure de dire avec certitude à quoi renvoient précisément les « règles ou principes inhérents à l’identité constitutionnelle de la France »[11] que le juge constitutionnel affirme pouvoir opposer au droit de l’Union. De même, aucun cas d’absence d’équivalence n’a encore vu le jour dans le contentieux appliquant la jurisprudence Arcelor. Par contraste, dès sa première affirmation par le Conseil d’État, la possibilité de juguler le contrôle de conventionnalité par une exigence constitutionnelle a pris corps. La Haute juridiction administrative précise en effet que « la sauvegarde des intérêts fondamentaux de la Nation, la prévention des atteintes à l’ordre public […], la lutte contre le terrorisme, ainsi que la recherche des auteurs d’infractions pénales constituent des objectifs de valeur constitutionnelle » (point 9), visiblement rattachés à l’article 12 de la DDHC. Or, selon le Conseil d’État, de telles exigences constitutionnelles ne bénéficient pas en droit de l’Union d’une protection équivalente à celle que garantit la Constitution. L’affirmation, sommairement motivée, est principalement soutenue par le fait que ces exigences s’appliquent à des domaines relevant exclusivement ou essentiellement de la compétence des États membres, au regard de l’article 4 § 2 du TUE. De manière inédite, le Conseil d’État affirme ainsi la singularité d’une norme constitutionnelle française, d’où s’ensuit l’impossible translation du conflit normatif et, partant, la potentielle opposition d’une exigence constitutionnelle à une obligation issue du droit de l’Union et revêtue comme telle de la primauté.

La manœuvre d’évitement du conflit assumé entre Constitution et droit de l’Union

Alors que tout était en place pour que le Conseil d’État oppose pour la première fois de son histoire le droit constitutionnel français à l’application du droit de l’Union européenne, ce qui n’aurait pas manqué de créer un véritable tremblement de terre juridique affectant en premier lieu le principe de primauté, le juge administratif a évité d’adosser formellement droit constitutionnel et droit européen au terme d’un « exercice périlleux qui relève véritablement de la haute voltige »[12]. Le raffinement du raisonnement qu’il tient s’accommode mal d’un exposé lapidaire, mais peut être dépeint dans ses grandes lignes de la façon suivante : la conservation généralisée et indifférenciée des données de connexion pour une période d’un an, imposée par les dispositions critiquées devant lui par la voie de l’excès de pouvoir, est indispensable à la lutte contre la criminalité (point 50). En effet, toute autre manière de procéder, y compris celle suggérée par l’arrêt de la Cour de justice de l’Union européenne, semble insuffisante pour garantir l’efficacité des enquêtes (points 51-57). Pour autant, une telle obligation est clairement contraire au droit de l’Union européenne si elle est motivée par la lutte contre la criminalité. Sur le papier, les exigences constitutionnelles apparaissent ainsi irréductiblement incompatibles avec le droit européen. La reconnaissance explicite d’un tel conflit est toutefois soigneusement évitée sous la plume du Conseil d’État, car la conservation généralisée et indifférenciée des données de connexion est permise par le droit de l’Union si elle vise un objectif de sauvegarde de la sécurité nationale, objectif que le juge administratif estime poursuivi en l’espèce (lutte contre le terrorisme, risque d’espionnage et d’ingérence étrangère, activité de groupes radicaux et extrémistes sont à ce titre mis en avant au point 44). Puisque les données ainsi conservées dans un objectif toléré par le droit de l’Union (la sécurité nationale) peuvent, en application de ce même droit, faire l’objet d’un accès par les autorités judiciaires et services de renseignement dans un autre objectif (la lutte contre la criminalité, notamment), la mise à l’écart des dispositions prévoyant la conservation des données à des fins de lutte contre la criminalité ne porte de facto pas atteinte aux exigences constitutionnelles propres à l’ordre juridique français (point 58).

En définitive, à regarder le seul dispositif de la décision, il est prima facie possible de penser que le Conseil d’État applique scrupuleusement la jurisprudence européenne. Il annule ainsi le refus du Premier ministre d’abroger les dispositions réglementaires critiquées en tant, d’une part, qu’elles ne limitent pas les finalités de l’obligation de conservation généralisée et indifférenciée des données de connexion à la sauvegarde de la sécurité nationale et, d’autre part, en tant qu’elles ne prévoient pas un réexamen périodique de l’existence d’une menace grave, réelle et actuelle ou prévisible pour la sécurité nationale. Il annule par ailleurs d’autres dispositions en tant qu’elles permettent l’accès de certains services de sécurité à ces données sans contrôle préalable par une AAI dotée d’un pouvoir d’avis conforme ou par une juridiction. Néanmoins, sans l’admettre, le Conseil d’État fait en réalité prévaloir la substance des exigences constitutionnelles françaises sur celles issues du droit de l’Union. En effet, du fait de la validation du principe de la conservation généralisée des données de connexion dans le but de contrer l’existence d’une menace à la sécurité nationale – dont le rapporteur public admet qu’elle ne connaîtra pas de fin dans un futur prévisible -, la décision du Conseil d’État conduit au maintien virtuellement infini d’une captation indifférenciée et d’une exploitation massive des données de connexion de l’ensemble de la population, que la Cour de justice a précisément condamnées. Il n’est pas certain que la CJUE analyse la décision French Data Network autrement que comme une jurisprudence procédant à une « substitution des motifs » d’une atteinte inconventionnelle aux droits et libertés garantis par le droit européen, et concrétisant de fait une contre-limite constitutionnelle à la primauté du droit européen.

Pour autant, le choix du juge administratif de faire prévaloir subrepticement plutôt que frontalement les exigences constitutionnelles sur le droit de l’Union semble relever d’une ultime main tendue à la CJUE, et non de l’hypocrisie. Du fait de cette motivation particulière, le défi adressé à la primauté n’est sans doute pas suffisamment affiché pour que le juge européen soit absolument tenu de relever le gant, particulièrement à l’approche d’une réforme du droit de l’Union sur le sujet des données de connexion, dans un contexte où la Cour européenne des droits de l’homme a par ailleurs fait le choix de ne pas s’opposer au principe de la surveillance de masse des communications[13]. La Cour de justice pourrait toutefois opter pour le conflit tant il paraît évident que l’esprit, sinon la lettre, de sa jurisprudence est contourné par le Conseil d’État. Si la CJUE devait choisir de poursuivre le bras de fer entamé par ce dernier, la décision French Data Network affirme sans ambages qu’elle fera face à une juridiction nationale résolue à faire prévaloir, en dernier recours, l’effectivité de sa norme constitutionnelle sur la primauté du droit de l’Union. À ce seul titre, cette décision régénère une nouvelle fois l’impérissable question des rapports entre normes constitutionnelles et normes européennes et constitue indubitablement une grande décision de la jurisprudence administrative.

[1] CE, Ass., décision Association French Data Network et autres, 21 avril 2021, n^o 393099.

[2] Voir : CJUE, GC, arrêt Digital Rights Ireland Ltd, 8 avril 2014, n^os C-293/12 et C-594/12 ; CE, 10^ème/9^ème CR, décision Association French Data Network et autres, 12 février 2016, n^o 388134.

[3] CJUE, GC, arrêt Tele2 Sverige AB c/ Post-och telestyrelsen et Secretary of State for the Home Department c. Tom Watson et autres, 21 décembre 2016, n^os C-203/15 et C-698/15.

[4] Directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques.

[5] Voir, sur cette décision de saisine de la CJUE : A. Bouveresse, « La protection des données personnelles inconciliable avec la sécurité intérieure », RTD Eur., 2019, pp. 541 s.

[6] CJUE, GC, arrêt La Quadrature du net et autres, 6 octobre 2020, n^os C-511/18, C-512/18 et C-520/18.

[7] Voir, sur cet arrêt : D. Berlin, « La Cour de justice revient sur l’interdiction absolue des mesures générales de conservation et de traitement des données à caractère personnel, pour finalement en dresser le régime dérogatoire », JCP G, 23 novembre 2020, n^o 48, pp. 2111 s.

[8] CE, Ass., décision Kandyrine de Brito Païva, 23 décembre 2011, n^o 303678.

[9] CE, Ass., décision Société Arcelor Atlantique et Lorraine et autres, 8 février 2007, n^o 287110.

[10] É. Dubout, « Le Conseil d’État, gardien de la sécurité », RDLF, 2021, chron. n^o 18.

[11] CC, décision Loi relative au droit d’auteur et aux droits voisins dans la société de l’information, 27 juillet 2006, n^o 2006-540 DC.

[12] B. Bertrand, « L’arrêt French Data Network du Conseil d’État : un dialogue des juges en trompe l’œil », in https://blog.leclubdesjuristes.com/larret-french-data-network-du-conseil-detat-un-dialogue-des-juges-en-trompe-loeil/

[13] CEDH, GC, arrêt Big Brother Watch et autres c. Royaume-Uni, 25 mai 2021, n^os 58170/13 et autres ; CEDH, GC, arrêt Centrum för rättvisa c. Suède, 25 mai 2021, n^o 35252/08.

 Crédit photo: Chris Ried