En bref : dans l’arrêt French Data Network et autres (CE Ass., 21 avril 2021, n° 393099 et autres), le Conseil d’État tranche l’articulation entre le droit de l’Union européenne et la Constitution française à propos de la conservation généralisée des données de connexion. C’est un des grands arrêts sur le principe de légalité en droit administratif.

Il refuse d’exercer un contrôle ultra vires sur la Cour de justice de l’Union européenne, mais consacre une réserve de constitutionnalité : lorsqu’une exigence constitutionnelle française n’a pas d’équivalent en droit de l’Union, cette exigence peut faire obstacle à l’application de celui-ci.

Trois exigences sont identifiées comme dépourvues de protection équivalente : la sauvegarde des intérêts fondamentaux de la Nation, la lutte contre le terrorisme et la recherche des auteurs d’infractions pénales. La méthode prolonge celle de l’arrêt Arcelor (CE Ass. 8 février 2007), en la transposant du contrôle de constitutionnalité au contrôle de conventionnalité.

C’est probablement l’arrêt qui donne le plus de sueurs froides aux étudiants de L2. Non pas parce que la solution serait obscure, mais parce que trois difficultés s’empilent : un contexte technique (les métadonnées), un contexte procédural (le renvoi préjudiciel) et un enjeu théorique majeur (la hiérarchie des normes entre Constitution et droit de l’UE).

L’objectif de cet article est simple : qu’à la fin, vous ayez tout compris et que vous sachiez quoi en dire dans vos copies de droit administratif.

Qu’est-ce qu’une métadonnée ?

Une métadonnée, ou donnée de connexion, désigne tout ce qui entoure une communication, à l’exclusion de son contenu.

C’est la première chose à poser clairement, car toute l’affaire repose là-dessus.

Ce qui est une métadonnée ✅	Ce qui n’EST PAS une métadonnée ❌
L’adresse IP	Le texte d’un SMS
Le nom associé à un numéro de téléphone	Le contenu d’un e-mail
Les « fadettes » : date, heure et durée des appels, numéros appelés	Le contenu d’une conversation téléphonique
Les données de localisation (bornage sur antenne relais)
Les sites consultés

Ces données sont précieuses pour les services d’enquête et de renseignement : elles permettent de reconstituer un réseau, de suivre les déplacements d’une personne, d’identifier des contacts. Mais leur conservation massive porte atteinte au droit au respect de la vie privée.

La question centrale de l’affaire tient en une phrase : jusqu’où un État peut-il conserver et exploiter ces métadonnées pour lutter contre la criminalité et le terrorisme ?

Quel est le contexte de l’affaire ?

Le point de départ : la jurisprudence Tele2 Sverige

Tout commence par un arrêt rendu par la Cour de justice de l’UE : CJUE, 21 décembre 2016, Tele2 Sverige AB et Watson. Cet arrêt a été rendu à propos de l’interprétation de la directive 2002/58/CE du 12 juillet 2002 (dite « vie privée et communications électroniques »).

La CJUE y pose 2 règles fortes :

1. Interdiction pour les États membres d’imposer une conservation généralisée et indifférenciée des données de connexion aux fins de lutte contre la criminalité.
   
2. Exigence d’un contrôle préalable (par une juridiction ou une autorité administrative indépendante) pour l’accès à ces données.

L’objectif de la CJUE est clair : empêcher une surveillance de masse, en s’appuyant sur le droit au respect de la vie privée.

Le problème français

Or la réglementation française fait exactement l’inverse.

Les dispositions attaquées (notamment l’article R. 10-13 du Code des postes et des communications électroniques, le décret du 25 février 2011 et des décrets de 2015-2016) imposent aux opérateurs (Orange, SFR, Free, Bouygues Telecom…) et aux hébergeurs de conserver de façon généralisée et indifférenciée, pendant un an, les données de trafic et de localisation de l’ensemble de leurs utilisateurs.

Le motif invoqué : la lutte contre le terrorisme et la criminalité grave.

Le droit français paraît donc contraire au droit de l’Union tel qu’interprété par la CJUE.

Exemple – Article R. 10-13 du Code des postes et des communications électroniques (dans sa version au moment de l’arrêt) : “I. – En application du III de l’article L. 34-1 les opérateurs de communications électroniques conservent pour les besoins de la recherche, de la constatation et de la poursuite des infractions pénales :
a) Les informations permettant d’identifier l’utilisateur ;
b) Les données relatives aux équipements terminaux de communication utilisés ;
c) Les caractéristiques techniques ainsi que la date, l’horaire et la durée de chaque communication ;
d) Les données relatives aux services complémentaires demandés ou utilisés et leurs fournisseurs ;
e) Les données permettant d’identifier le ou les destinataires de la communication.
II. – Pour les activités de téléphonie l’opérateur conserve les données mentionnées au II et, en outre, celles permettant d’identifier l’origine et la localisation de la communication.
III. – La durée de conservation des données mentionnées au présent article est d’un an à compter du jour de l’enregistrement.

Les requérants

Plusieurs acteurs du secteur saisissent le Conseil d’État pour obtenir l’abrogation ou l’annulation de ces dispositions :

• les associations French Data Network, La Quadrature du Net et la Fédération des fournisseurs d’accès à internet associatifs,
• l’association Igwan.net,
• les sociétés Free et Free Mobile.

Pourquoi un renvoi préjudiciel devant la CJUE ?

Par ses décisions du 26 juillet 2018, le Conseil d’État sursoit à statuer et pose une question préjudicielle à la Cour de justice de l’Union européenne.

Le mécanisme de la question préjudicielle

La question préjudicielle est la procédure par laquelle une juridiction nationale interroge la CJUE sur l’interprétation ou la validité du droit de l’Union.

Concrètement :

1. Le juge national sursoit à statuer (le procès est mis en pause).
2. La CJUE répond sur le point de droit posé.
3. Le juge national reprend l’instance et tranche le litige à la lumière de cette réponse.

La stratégie du Conseil d’État

Le Conseil d’État perçoit immédiatement l’enjeu. Une application stricte de Tele2 Sverige le conduirait à annuler le régime français, ce qui affaiblirait considérablement les capacités d’enquête et de renseignement.

Il interroge donc la CJUE pour savoir si une lecture plus souple de la directive est possible, prenant en compte les impératifs de sécurité nationale.

Qu’a répondu la CJUE en 2020 ?

Par CJUE (grande chambre), 6 octobre 2020, La Quadrature du Net et autres (C-511/18, C-512/18, C-520/18), la Cour affine sa jurisprudence en distinguant trois hypothèses.

Hypothèse	Conservation généralisée ?	Conditions
Menace grave pour la sécurité nationale (ex. : risque avéré d’attentat)	✅ Possible	Durée limitée, menace réelle et actuelle, contrôle préalable d’une juridiction ou d’une autorité administrative indépendante
Lutte contre la criminalité grave (trafics, homicides…)	❌ Impossible	Seulement une conservation ciblée (certaines personnes, certaines zones) ou une conservation rapide (gel des données d’un suspect)
Autres infractions	❌ Impossible	—

Deux notions à retenir absolument :

• La conservation ciblée : on ne conserve pas les données de tout le monde, mais celles de catégories de personnes ou de zones géographiques déterminées.
• La conservation rapide (quick freeze) : dès qu’un suspect apparaît, les autorités demandent à l’opérateur de geler ses métadonnées pour la durée de l’enquête.

La CJUE ouvre donc une brèche : la conservation généralisée redevient possible, mais uniquement au titre de la sécurité nationale et sous conditions.

📚 Retrouvez la portée de l’arrêt French Data Network et de tous les autres arrêts à connaître dans le RAIDA, le Recueil des arrêts importants de droit administratif.

Le Conseil d’État accepte-t-il le contrôle ultra vires ?

Non. Le Conseil d’État refuse d’exercer un contrôle ultra vires sur les décisions de la Cour de justice de l’Union européenne.

Qu’est-ce que le contrôle ultra vires ?

C’est le contrôle consistant à vérifier qu’une institution de l’Union européenne n’a pas agi au-delà des compétences que les traités lui attribuent.

L’argument du gouvernement

En défense, le gouvernement français considérait que la CJUE avait empiété sur des compétences réservées aux États membres (la sécurité nationale, l’ordre public et la lutte contre le terrorisme) et demandait au Conseil d’État d’écarter sa jurisprudence pour ce motif.

Le refus du Conseil d’État

Le Conseil d’État refuse. Il ne se reconnaît pas compétent pour censurer la Cour de justice sur le terrain de la répartition des compétences.

💡 Élément de comparaison à replacer en copie : la Cour constitutionnelle allemande, elle, avait franchi le pas peu avant, dans sa décision PSPP du 5 mai 2020, en jugeant ultra vires une décision de la CJUE. Le Conseil d’État choisit délibérément la voie du dialogue des juges plutôt que celle de l’affrontement frontal. Cette comparaison France / Allemagne est un excellent élément de contextualisation en dissertation.

Comment le Conseil d’État résout-il le conflit ?

Réuni en assemblée du contentieux (sa formation la plus solennelle, équivalent de l’assemblée plénière de la Cour de cassation), le Conseil d’État statue le 21 avril 2021.

Le dilemme

Option 1	Option 2
Appliquer strictement le droit de l’Union → annuler les dispositions litigieuses	Maintenir le régime au nom d’exigences constitutionnelles, dont la sécurité nationale
Respecte la primauté (CJCE, 15 juillet 1964, Costa c/ ENEL)	Respecte la suprématie de la Constitution dans l’ordre interne (CE Ass., 30 octobre 1998, Sarran et Levacher)

Le rappel des « exigences inhérentes à la hiérarchie des normes »

Le Conseil d’État commence par rappeler le principe de primauté : le droit de l’Union prime sur les lois, les règlements et les traités internationaux conclus par la France.

💡 Le détail qui fait la différence en commentaire : dans cette énumération, la Constitution n’est pas citée. Ce silence est stratégique. Il prépare l’affirmation qui suit : la Constitution est la norme suprême de l’ordre juridique interne. Relever ce silence dans un commentaire d’arrêt est exactement le type de finesse qui distingue une copie.

La méthode : la recherche d’une protection équivalente

Le Conseil d’État construit alors un raisonnement en deux temps :

Étape 1 — La règle constitutionnelle invoquée a-t-elle un équivalent en droit de l’Union européenne ?

• Oui → le droit de l’Union protège déjà l’exigence. On l’applique, la primauté joue normalement.
• Non → et si son application compromet cette exigence constitutionnelle, alors la Constitution l’emporte dans l’ordre interne. C’est la réserve de constitutionnalité.

Étape 2 — Application au cas d’espèce

Le Conseil d’État identifie trois exigences constitutionnelles dépourvues de protection équivalente en droit de l’Union :

1. La sauvegarde des intérêts fondamentaux de la Nation
2. La lutte contre le terrorisme
3. La recherche des auteurs d’infractions pénales

En conséquence, ces exigences peuvent faire obstacle à l’application du droit de l’Union européenne.

La solution retenue

Le Conseil d’État valide l’essentiel du dispositif français :

• la conservation généralisée est justifiée par la menace pour la sécurité nationale ;
• mais il oblige le gouvernement de procéder à un réexamen périodique de l’existence de cette menace ;
• et il exige que l’exploitation de ces données par les services de renseignement soit subordonnée à l’autorisation d’une autorité indépendante.

Certaines dispositions sont toutefois annulées, notamment le refus implicite du Premier ministre d’abroger l’article R. 10-13 du Code des postes et des communications électroniques et le décret du 25 février 2011.

Quel lien avec l’arrêt Arcelor ?

L’arrêt French Data Network prolonge la méthode inaugurée par CE Ass., 8 février 2007, Société Arcelor Atlantique et Lorraine. Mais il ne s’agit pas d’une simple répétition, et c’est ici que beaucoup d’étudiants se trompent.

	Arcelor (2007)	French Data Network (2021)
Acte attaqué	Décret de transposition d’une directive	Décrets et dispositions réglementaires sur la conservation des données
Norme de référence invoquée	La Constitution	Le droit de l’Union européenne
Nature du contrôle	Contrôle de constitutionnalité d’un acte administratif	Contrôle de conventionnalité d’un acte administratif
Qui invoque quoi	Le requérant invoque la Constitution contre le décret	Le gouvernement invoque la Constitution pour défendre le décret
Méthode commune	Recherche d’une protection équivalente en droit de l’Union	Idem

⚠️ Erreur fréquente dans une copie : écrire que French Data Network est un contrôle de constitutionnalité, comme Arcelor. C’est faux. Ici, les requérants invoquent le droit de l’Union pour obtenir l’annulation des décrets : on est dans un contrôle de conventionnalité, exercé dans le cadre d’un recours pour excès de pouvoir. Ce qui est repris d’Arcelor, c’est la méthode (la recherche d’équivalence), pas le type de contrôle.

Quelle est la portée de l’arrêt French Data Network ?

Trois apports à retenir, par ordre d’importance.

1. La consécration d’une réserve de constitutionnalité. Lorsqu’une exigence constitutionnelle française n’a pas d’équivalent en droit de l’Union européenne, elle peut faire obstacle à l’application de ce dernier dans l’ordre juridique interne. Le Conseil d’État affirme qu’il vérifie que l’application du droit européen ne compromet pas les exigences de la Constitution française.

2. L’identification de trois exigences constitutionnelles sans équivalent : sauvegarde des intérêts fondamentaux de la Nation, lutte contre le terrorisme, recherche des auteurs d’infractions pénales.

3. Le refus du contrôle ultra vires. C’esst un apport plus accessoire mais significatif : le Conseil d’État se démarque de la Cour constitutionnelle allemande et préserve le dialogue des juges.

Sur le fond du droit du numérique, l’arrêt valide la conservation généralisée au titre de la sécurité nationale, sous réserve d’un réexamen périodique de la menace et d’un contrôle par une autorité indépendante.

📌 Suite législative : la loi du 30 juillet 2021 relative à la prévention d’actes de terrorisme et au renseignement a modifié le cadre légal pour tirer les conséquences de cette jurisprudence. Mentionner cette suite montre que votre travail ne s’arrête pas à l’arrêt lui-même. Toujours précieux pour préciser la portée de l’arrêt.

Comment utiliser cet arrêt en copie ?

La fiche d’arrêt minimale

Élément	Contenu
Juridiction	Conseil d’État
Formation	Assemblée du contentieux
Date	21 avril 2021
Nom	French Data Network et autres
Portée	Réserve de constitutionnalité : une exigence constitutionnelle sans équivalent en droit de l’UE peut faire obstacle à l’application du droit de l’UE

Les 3 pièges à éviter :

1. Confondre contrôle de constitutionnalité et contrôle de conventionnalité (voir le tableau Arcelor ci-dessus).
   
2. Dire que le Conseil d’État écarte la primauté du droit de l’Union. Il ne l’écarte pas : il la reconnaît, puis réserve une hypothèse résiduelle. La réserve de constitutionnalité est un ultime recours, pas un principe.
   
3. Oublier de mentionner la formation de jugement. L’assemblée du contentieux signale une décision majeure : ne pas le relever, c’est passer à côté d’un signal fort.

Deux réflexes pour aller plus loin

• Lisez les conclusions du rapporteur public, Alexandre Lallet, disponibles sur ArianeWeb (site du Conseil d’État). Elles sont longues, mais éclairantes (et citer un rapporteur public dans un commentaire produit toujours son effet).
  
• Reliez systématiquement l’arrêt à sa lignée jurisprudentielle : Costa c/ ENEL (1964), Nicolo (1989), Sarran et Levacher (1998), Mlle Fraisse (2000), décision LCEN (2004), Arcelor (2007). French Data Network est le dernier maillon d’une chaîne, pas un arrêt isolé.

FAQ : les questions fréquentes sur l’arrêt French Data Network

En résumé

L’arrêt French Data Network est difficile parce qu’il superpose 3 couches : une matière technique, une procédure européenne et une question théorique fondamentale.

Mais son apport se résume en une phrase : le Conseil d’État reconnaît la primauté du droit de l’UE, tout en réservant l’hypothèse où une exigence constitutionnelle française n’y trouverait aucun équivalent (auquel cas la Constitution l’emporte dans l’ordre interne).

Retenez la chronologie (Tele2 Sverige 2016 → renvoi préjudiciel 2018 → La Quadrature du Net 2020 → French Data Network 2021), la méthode d’équivalence héritée d’Arcelor, et la distinction entre contrôle de constitutionnalité et contrôle de conventionnalité. Avec ces trois éléments, vous tenez l’arrêt.

Pour aller plus loin : la portée de cet arrêt, comme celle de tous les grands arrêts du droit administratif, figure dans le RAIDA (Recueil des arrêts importants du droit dministratif), classée par thématique. Et mes fiches de droit administratif replacent l’arrêt dans le chapitre du principe de légalité.