Le périmètre de l’obligation
Le décret du 30 septembre 2026 impose aux acteurs concernés de conserver certaines données de connexion pendant un an, à compter de son entrée en vigueur le 21 octobre 2026. Son périmètre dépasse les fournisseurs traditionnels : les professionnels qui offrent au public une connexion, même gratuitement, doivent également examiner leurs obligations. L’enjeu consiste à identifier les données visées et les délais applicables, sans confondre ce dispositif avec les autres régimes de conservation.
Par Me Alexandre Ducharne, avocat au Barreau de Lyon.
Opérateurs, hébergeurs et accès public à internet : qui est concerné ?
L’article 1er du décret vise d’abord les opérateurs de communications électroniques. Il concerne également les fournisseurs d’accès à internet et les fournisseurs de services d’hébergement. L’article 6, I, 1 et 2, de la loi pour la confiance dans l’économie numérique, dite LCEN, définit ces acteurs.
Pour ces définitions, la LCEN renvoie au règlement européen sur les services numériques, ou DSA. Il s’agit du règlement (UE) 2022/2065, article 3, point g), i) et iii).
Le fournisseur d’accès propose un service de simple transport permettant d’accéder à des services de communication au public en ligne. L’hébergement consiste, quant à lui, à stocker des informations fournies par un utilisateur, à sa demande.
Les professionnels qui proposent une connexion au public doivent également vérifier leur situation. En effet, le II de l’article L. 34-1 du Code des postes et des communications électroniques étend les obligations applicables aux opérateurs. Il vise les professionnels qui offrent au public une connexion, à titre principal ou accessoire, y compris gratuitement.
Ainsi, l’absence de facturation ou le caractère accessoire du service ne suffisent pas à écarter ces obligations.
En revanche, le simple fait d’utiliser internet ne place pas une entreprise dans ce périmètre. Le dirigeant doit distinguer les services fournis par son entreprise de ceux dont elle est seulement cliente. Il doit ensuite examiner les conditions réelles de l’accès proposé.
Quelles données de connexion faut-il conserver pendant un an ?
L’article R. 10-12 définit les données de trafic et de localisation. Elles correspondent aux informations disponibles grâce aux procédés de communication électronique. L’opérateur peut les enregistrer à l’occasion des communications qu’il transmet.
Toutefois, le décret ne vise pas toutes les données informatiques. Il renvoie à des catégories précises, selon l’activité du fournisseur.
Les données de trafic et de localisation des opérateurs
Le V de l’article R. 10-13 vise les caractéristiques techniques, la date, l’horaire et la durée de chaque communication.
Il comprend aussi les données relatives aux services complémentaires demandés ou utilisés et à leurs fournisseurs. En outre, il couvre certaines données techniques d’identification des destinataires. Pour les communications mobiles, il inclut les informations permettant de localiser la communication.
Le 3° de ce V renvoie aux catégories des 1° à 4° du IV pour identifier les destinataires. Ce renvoi comprend l’adresse IP et le port associé, les identifiants de l’utilisateur et du terminal, ainsi que le numéro de téléphone. Il faut donc le lire dans sa fonction d’identification du destinataire.
Les informations de connexion des fournisseurs d’accès
Pour les fournisseurs d’accès, l’article 6 du décret n° 2021-1362 du 20 octobre 2021 précise les informations concernées.
Pour chaque connexion d’un abonné, il vise les dates et heures de début et de fin de la connexion. Il comprend également les caractéristiques de la ligne de l’abonné.
Les traces des opérations réalisées chez les hébergeurs
Pour les hébergeurs, le même article vise chaque opération de création d’un contenu. Les données concernées comprennent l’identifiant attribué au contenu, la nature de l’opération, sa date et son heure. Elles incluent aussi l’identifiant utilisé par son auteur lorsque celui-ci l’a fourni.
Toutefois, la notion de création ne se limite pas à la publication initiale. L’article 7 du décret du 20 octobre 2021 inclut également les modifications de contenus ou de données liées aux contenus. Il englobe aussi les suppressions de contenus.
Ainsi, un hébergeur doit distinguer la suppression du contenu de l’effacement des traces techniques de cette suppression. L’opération de suppression entre elle-même dans le périmètre du texte.
Enfin, l’article 8 du décret du 20 octobre 2021 limite la conservation aux données collectées lors de la mise en œuvre des services. Il ne justifie donc pas une collecte générale de nouvelles informations sur les utilisateurs.
Le décret de 2026 s’ajoute aux obligations de conservation existantes
L’injonction du Premier ministre ne crée pas toutes les obligations de conservation. En effet, le II bis de l’article L. 34-1 prévoit déjà plusieurs régimes pour les opérateurs.
D’abord, les informations relatives à l’identité civile relèvent d’un délai de cinq ans. Celui-ci court à compter de la fin de validité du contrat ou du service de communications interpersonnelles avec prépaiement.
Ensuite, certaines informations de souscription, de compte et de paiement relèvent d’un délai d’un an. Ce délai commence à la fin de validité du contrat ou à la clôture du compte.
Enfin, les données techniques d’identification de la source d’une connexion ou des équipements terminaux relèvent également d’un délai d’un an. Celui-ci court à compter de la connexion ou de l’utilisation des équipements.
Pour les fournisseurs d’accès et les hébergeurs, les articles 2 à 5 du décret de 2021 précisent aussi des obligations distinctes.
Ainsi, plusieurs délais d’un an peuvent coexister sans relever du même régime. Leur point de départ peut également différer. La politique de conservation doit donc distinguer les catégories de données, leurs finalités et leurs échéances.
Comment calculer la durée de conservation des données de connexion ?
Le décret entrera en vigueur le 21 octobre 2026. Toutefois, cette date ne constitue pas un point de départ unique pour toutes les données.
Pour les fournisseurs d’accès et les hébergeurs, l’article 6 du décret de 2021 précise le calcul du délai. Il court à compter du jour de la connexion ou de la création d’un contenu, pour chaque opération contribuant à cette création.
Cette règle doit donc se lire avec l’article 7. Celui-ci englobe les créations initiales, mais aussi les modifications et les suppressions.
Par ailleurs, la durée de conservation d’une donnée diffère de la durée d’application de l’injonction.
Le III de l’article L. 34-1 limite à un an la durée d’application de l’injonction du Premier ministre. Il autorise son renouvellement si les conditions qui ont justifié son adoption persistent. Cependant, son expiration n’affecte pas la durée de conservation des données concernées.
En pratique, l’expiration de l’injonction ne commande pas l’effacement simultané de toutes les données. Chaque catégorie et chaque opération doivent suivre leur délai propre.
Pourquoi la sécurité nationale justifie-t-elle cette conservation ?
Le III de l’article L. 34-1 permet au Premier ministre de prononcer une injonction pour sauvegarder la sécurité nationale. Il exige une menace grave, actuelle ou prévisible. Le décret du 30 septembre 2026 vise précisément une menace grave et actuelle.
La décision du Conseil d’État, Assemblée, 21 avril 2021, n° 393099 et autres, French Data Network et autres, éclaire ce cadre.
Dans cette affaire, les associations requérantes contestaient notamment les obligations de conservation générale des données de connexion. Free et Free Mobile formulaient également des contestations dans les requêtes jointes.
Le Conseil d’État a admis, sous conditions, une conservation généralisée des données de trafic et de localisation pour sauvegarder la sécurité nationale. Toutefois, il a exigé un réexamen périodique de la persistance de la menace.
Aux points 45 et 46, il précise que cette échéance ne saurait raisonnablement excéder un an. Ce précédent explique donc l’importance du caractère temporaire de l’injonction.
Pour autant, la décision de 2021 ne valide pas par anticipation le décret de 2026. Elle ne permet pas non plus de confondre les conditions de conservation avec celles d’accès aux données.
Comment adapter les procédures sans confondre données et contenus ?
Les professionnels doivent rapprocher leurs traitements réels des catégories définies par les textes. En pratique, cette vérification porte sur quatre points :
- Qualifier les services fournis, notamment lorsqu’une connexion au public constitue une activité accessoire.
- Recenser les données collectées, en distinguant les traces techniques des contenus et des autres informations.
- Vérifier les délais et les paramètres d’effacement, selon les catégories de données et les opérations concernées.
- Clarifier les tâches des prestataires, les habilitations et la traçabilité des consultations ou extractions.
Le cas des hébergeurs illustre l’intérêt de cette démarche. Une procédure limitée à la publication initiale risque d’ignorer les modifications et suppressions visées par l’article 7.
Cependant, le dispositif commenté ne porte pas sur le contenu des correspondances. Le VI de l’article L. 34-1 exclut les correspondances échangées et les informations consultées dans le cadre des communications concernées.
D’autres textes peuvent néanmoins imposer une conservation de contenus. Ainsi, le VI de l’article 6 de la LCEN prévoit un régime distinct pour certaines plateformes dépassant un seuil de connexions. Il concerne certains contenus signalés comme illicites, puis retirés ou rendus inaccessibles. Le décret du 30 septembre 2026 ne fixe pas la durée de ce régime.
Enfin, conserver une donnée ne donne pas un droit général de la consulter, de l’utiliser ou de la communiquer. L’injonction ne fournit pas, par elle-même, un fondement à une exploitation commerciale ou à une surveillance des salariés. Les demandes des autorités et les autres usages suivent leurs règles propres.
Sécuriser le périmètre et les délais de conservation
Le décret du 30 septembre 2026 impose une conservation d’un an pour les catégories de données auxquelles il renvoie. Les professionnels doivent d’abord examiner leur activité, y compris l’offre accessoire d’une connexion au public. Ils doivent ensuite distinguer cette injonction des obligations déjà applicables. Une politique cohérente associe donc à chaque catégorie de données son fondement, sa finalité et son délai.
FAQ — Conservation des données de connexion pendant un an
Une connexion gratuite proposée au public peut-elle entraîner des obligations ?
Oui. L’article L. 34-1, II, vise les professionnels qui offrent au public une connexion, même gratuitement et à titre accessoire. Les obligations dépendent du service effectivement fourni.
Le décret crée-t-il toutes les obligations de conservation pendant un an ?
Non. Des obligations distinctes existent déjà, notamment pour les données techniques d’identification de la source d’une connexion. Leurs finalités et points de départ diffèrent.
Le décret impose-t-il de conserver le contenu des courriels ?
Non. Le dispositif concerne les catégories de données techniques auxquelles il renvoie. Toutefois, d’autres textes peuvent prévoir des obligations distinctes concernant certains contenus.
Les suppressions de contenus entrent-elles dans le dispositif ?
Oui. L’article 7 du décret du 20 octobre 2021 inclut les opérations de suppression. Les données techniques correspondantes relèvent du dispositif dans les conditions prévues par les articles 6 et 8.
