La loi PACTE du 22 mai 2019 [1] a introduit un nouvel article L.450-3-3 dans le Code de commerce prévoyant la possibilité pour l’Autorité de la concurrence ou l’autorité administrative chargée de la concurrence et de la consommation, dans le cadre de leurs enquêtes contentieuses, d’accéder aux données de connexion conservées par les opérateurs de communication électroniques (« opérateurs CE »), les hébergeurs et les fournisseurs d’accès à Internet (« FAI ») moyennant l’obtention d’une autorisation préalable d’un contrôleur des demandes de données de connexion (ci-après « CDDC »).
Après trois tentatives infructueuses, les enquêteurs se voient ainsi dotés de ce nouveau pouvoir qui, selon la Présidente de l’Autorité de la concurrence (« ADLC »), constitue un «  Atout supplémentaire précieux pour l’efficacité des enquêtes  » permettant de faire face aux moyens toujours plus sophistiqués de dissimulation utilisés par certaines entreprises.
Le décret n°2019-1247 du 28 novembre 2019 [2] est venu en préciser les modalités de mise en œuvre. Ce nouveau pouvoir ne pourra cependant être exercé qu’une fois le CDDC nommé.

1. Quelles sont les garanties procédurales prévues ?

Le principe de l’autorisation préalable.

La principale garantie prévue est la nécessité même d’obtenir une autorisation préalable auprès du CDDC avant tout accès à ces données par les enquêteurs. Cette autorisation peut être sollicitée par le rapporteur général de l’ADLC, le directeur général de la DGCCRF, le chef du service national des enquêtes de la DGCCRF ou son représentant, le directeur régional de la DIRECCTE ou, dans les régions et départements d’Outre-mer, celui de la DIECCTE.
Le CDDC sera alternativement un membre du Conseil d’Etat et un magistrat de la Cour de cassation, nommé pour une durée de quatre ans non renouvelable. En vue d’assurer son indépendance, il ne pourra être mis fin à ses fonctions que sur sa demande ou en cas d’empêchement constaté et il ne pourra ni recevoir ni solliciter aucune instruction de l’ADLC ou de l’autorité administrative chargée de la concurrence et de la consommation, ni d’aucune autre autorité dans l’exercice de sa mission.

Le contenu minimal de la demande d’autorisation.

La demande d’autorisation doit être motivée par les éléments recueillis par les enquêteurs laissant présumer l’existence d’une pratique anticoncurrentielle et justifiant l’accès aux données de connexion pour les besoins de l’enquête.
Le nouvel article R.450-4-1, du Code de commerce précise seulement que cette demande d’autorisation doit être formulée par écrit et identifier les personnes concernées, les données et la période visées, sans, malheureusement, développer la nature des éléments susceptibles de motiver la demande sur le fond.
Les enquêteurs pourront formuler des demandes complémentaires et toutes les demandes devront être transmises par tout moyen permettant d’en assurer la confidentialité et d’en attester la réception.

L’utilisation des données de connexion et le principe de leur destruction.

Les données de connexion communiquées ne peuvent être utilisées que dans le cadre exclusif de l’enquête pour laquelle l’autorisation d’accès a été obtenue et doivent être recueillies et conservées selon des modalités propres à assurer leur confidentialité.
Sans préjuger de la compatibilité du dispositif issu du décret avec le cadre conventionnel, la CNIL [3] constate que «  les données détenues par les opérateurs qui peuvent être demandées sont de plus en plus nombreuses et accessibles à un nombre de plus en plus important d’organismes  ».
Eu égard à la nature de ces données, la CNIL portera une attention particulière sur les conditions de cet accès, en particulier au regard des personnes visées, des traitements de données à caractère personnel mis en œuvre à partir des données de connexion communiquées ou encore de la nécessité d’une analyse relative à la protection des données à caractère personnel (AIPD) avant leur mise en œuvre et en cas de risque élevé pour les droits et les libertés des personnes physiques. Les traitements de données à caractère personnel devraient en pratique être fréquents dès lors que les adresses IP constituent de telles données [4].

Les données de connexion, ainsi que les demandes d’autorisation et les autorisations accordées, devront ensuite être détruites :
 Soit à l’expiration d’un délai de six mois à compter d’une décision devenue définitive de l’Autorité de la concurrence, de l’autorité administrative chargée de la concurrence et de la consommation ou de la juridiction judiciaire ou administrative ;
 Soit, pour les données de connexion relatives à des faits ne faisant pas l’objet de poursuites, à l’expiration d’un délai d’un mois à compter de la décision du rapporteur général de l’Autorité de la concurrence ou de l’autorité administrative chargée de la concurrence et de la consommation, de la juridiction judiciaire ou administrative, sans préjudice de leur transmission au procureur de la République en application de l’article 40 du Code de procédure pénale.
La destruction des données, de ces demandes et autorisations devra être consignée dans un procès-verbal.

2. Quelles sont les données concernées ?

Le nouveau pouvoir d’enquête vise, selon l’article L.450-3-3, I, du Code de commerce, « l’accès aux données conservées et traitées par les opérateurs de télécommunication, dans les conditions et sous les limites prévues à l’article L. 34-1 du Code des postes et des communications électroniques [ci-après « CPCE »], et par les prestataires mentionnés aux 1 et 2 du I de l’article 6 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique » (ci-après « LCEN »), i.e. les hébergeurs et les fournisseurs d’accès à internet (« FAI ») [5].

En vertu de l’article L.34-1 du CPCE, les opérateurs CE doivent, par exception au principe de l’anonymat des données de trafic, conserver certaines données techniques pour les besoins de la recherche, de la constatation et de la poursuite d’un certain nombre d’infractions et uniquement pour être mise à disposition de certaines autorités. Les données concernées ne peuvent porter que «  sur l’identification des personnes utilisatrices des services fournis par les opérateurs, sur les caractéristiques techniques des communications assurées par ces derniers et sur la localisation des équipements terminaux  » à l’exclusion du «  contenu des correspondances échangées ou des informations consultées, sous quelque forme que ce soit, dans le cadre de ces communications  ».
Les hébergeurs et les FAI sont quant à eux tenus, en vertu de l’article 6, II, de la LCEN, de détenir et conserver «  les données de nature à permettre l’identification de quiconque a contribué à la création du contenu ou de l’un des contenus des services dont elles sont prestataires  ».
Ces données [6] doivent être conservées pendant un an à compter de leur enregistrement, de la création de contenu, de la résiliation du contrat ou de la fermeture du compte ou de la date d’émission de la facture ou de l’opération de paiement.
Le nouveau pouvoir conféré aux enquêteurs de concurrence peut donc concerner un champ très large de données techniques relatives au trafic concernant la téléphonie fixe, mobile ou par Internet, l’accès à Internet ou encore les courriers électroniques par Internet.

3. Ce dispositif est-il conforme au droit européen et à la Constitution ?

La nécessité d’obtenir une autorisation préalable par le CDDC répond à l’exigence de contrôle préalable par une juridiction ou une autorité administrative indépendante posée tant par la Cour de Justice de l’Union européenne [7] que par le Conseil Constitutionnel [8].

Cependant, ce dispositif se heurte à d’autres difficultés. En effet, en vertu de la jurisprudence européenne, l’ingérence dans les droits au respect de la vie privée et de la protection des données personnels garantis par les articles 7 et 8 de la Charte des droits fondamentaux de l’Union européenne que constitue la conservation généralisée de données de connexion doit, d’une part, être justifiée par un objectif d’intérêt général et, d’autre part, être proportionnée à l’objectif poursuivi.

S’agissant de l’objectif d’intérêt général reconnu par l’Union, la CJUE a considéré qu’«  en matière de prévention, de recherche, de détection et de poursuite d’infractions pénales, seule la lutte contre la criminalité grave est susceptible de justifier un tel accès aux données conservées  » [9], ce qui n’est pas le cas, selon l’avocat général [10], de la lutte contre les infractions simples ou le bon déroulement de procédures non pénales.
Or, la lutte contre les pratiques anticoncurrentielles ne s’inscrit pas dans le cadre d’une procédure pénale, à l’exception de la mise en œuvre de l’article L.420-6 du Code de commerce [11].
Bien que le nouveau pouvoir accordé aux autorités de concurrence soit limité aux enquêtes contentieuses, et donc aux infractions les plus graves, on peut s’interroger sur l’existence d’un objectif d’intérêt général reconnu par l’Union dans le cadre de ce dispositif : la lutte contre les pratiques anticoncurrentielles peut-elle être considérée, à l’instar de la lutte contre le terrorisme, comme visant à la sécurité publique et donc le droit à la sûreté des citoyens ?
Quant au caractère nécessaire de l’accès prévu pour atteindre cet objectif, les textes ne distinguent pas selon la gravité des infractions aux règles de concurrence et ne prévoient pas de critères objectifs permettant de considérer les éléments fournis par les enquêteurs comme suffisants pour justifier un accès aux données de connexion. En outre, le caractère indispensable de ce nouveau pouvoir, alors même que l’ADLC dispose déjà, avec la clémence, d’un moyen redoutablement efficace pour obtenir des informations sur les infractions secrètes, reste à démontrer.

Enfin, la conformité de l’obligation de conservation générale et indifférenciée des données de connexion imposée aux opérateurs CE, aux hébergeurs et aux FAI par le CPCE et la LCEN avec la Charte des droits fondamentaux de l’Union européenne est elle-même débattue et fait l’objet de deux questions préjudicielles posées par le Conseil d’Etat [12].

Par ailleurs, l’un des arguments soulevés dans le passé devant le Conseil constitutionnel quant à l’absence de sanctions en cas de divulgation des informations obtenues n’a pas été pris en compte : l’absence d’examen spécifique par le Conseil constitutionnel des dispositions de la loi Pacte relative à ce nouveau pouvoir [13] pourrait laisser la porte ouverte à d’éventuelles questions prioritaires de constitutionnalité.

4. Ce dispositif prévoit-il des droits de la défense suffisants ?

A l’instar de l’Autorité des marchés financiers, ce nouveau pouvoir fait l’objet d’un régime d’autorisation par le CDDC dissocié de l’autorisation des opérations de visite et de saisies par le juge des libertés et de la détention. L’autorisation accordée par le CDDC sera, en vertu de l’article L.450-3-3 du Code de commerce, versée au dossier d’enquête et ne sera donc soumise au principe du contradictoire que s’il y a notification de griefs.

Il est regrettable que les personnes concernées ne se voient pas reconnaître la possibilité de contester la demande d’accès aux données de connexion avant ou au moment où cet accès est accordé, d’autant plus que les textes fournissent très peu de précisions sur les éléments qui pourraient être jugés suffisants pour l’autoriser. Ainsi, un éventuel recours contre un accès abusif ne pourra être exercé que plusieurs années après la violation des données personnelles qui en résulte et uniquement si un recours au fond est exercé contre la décision de l’Autorité, ce qui pose la question de son effectivité au regard de la jurisprudence de la CEDH [14].

Les textes ne prévoient par ailleurs aucune précaution quant à la protection du secret professionnel, alors même que les données de connexion couvertes par celui-ci sont particulièrement sensibles au regard des droits fondamentaux [15].
Les textes n’apportent d’ailleurs aucune précision quant aux sanctions applicables en cas de violation des garanties qu’ils prévoient.

Les données de connexion visent l’ensemble des moyens de communication électroniques, alors même que leur importance est croissante dans la vie quotidienne et privée de chacun, et l’accès non autorisé à des données personnelles constitue une violation de données à caractère personnel, en lui-même et quelle que soit l’utilisation ultérieure des données [16].
Alors que la protection des données personnelles constitue un enjeu de plus en plus important pour les citoyens et les entreprises, on peut regretter que l’encadrement de l’accès aux données de connexion dans le cadre d’enquête de concurrence n’ait pas été plus détaillé, en particulier quant aux éléments susceptibles de justifier sa mise en œuvre.