Décret n° 2021-1362 : conservation des données en ligne

Objet, champ d’application et catégories de données

Le décret précise les obligations de conservation de données prévues par le II de l’article 6 de la loi du 21 juin 2004. Elles concernent les personnes mentionnées aux 1 et 2 du I de cet article, dans les conditions prévues par les II bis, III et III bis de l’article L. 34-1 du code des postes et des communications électroniques. Les données ne sont concernées que lorsqu’elles sont collectées dans le cadre de la mise en œuvre de services de communication au public en ligne.

Le texte distingue les informations relatives à l’identité civile et les autres informations fournies lors de la souscription d’un contrat ou de la création d’un compte. L’identité civile comprend notamment les nom et prénom, les éléments d’état civil ou la raison sociale, les adresses postales et électroniques ainsi que les numéros de téléphone. Les autres informations comprennent l’identifiant utilisé, les pseudonymes et les données permettant de vérifier ou de modifier le mot de passe.

En cas d’injonction du Premier ministre, le décret prévoit également la conservation de certaines données de trafic et de localisation. Pour les connexions d’abonnés, sont notamment concernés les dates et heures de début et de fin de connexion ainsi que les caractéristiques de la ligne. Pour chaque opération contribuant à la création d’un contenu, sont visés l’identifiant du contenu, la nature et la date de l’opération ainsi que l’identifiant fourni par son auteur; ces opérations couvrent les créations initiales, les modifications et les suppressions.

Règles principales : précisions des articles 3, 7 et 8

L’article 3 inclut dans les informations à conserver les données permettant à l’utilisateur de vérifier ou de modifier son mot de passe, y compris, le cas échéant, au moyen d’une double authentification. Seule leur dernière version actualisée est concernée. L’article 7 précise que la contribution à la création d’un contenu couvre les créations initiales, les modifications des contenus ou des données associées, ainsi que les suppressions.

L’article 8 limite l’obligation aux données effectivement collectées par les personnes concernées lorsqu’elles assurent la mise en œuvre de services de communication au public en ligne. Le décret n’a pas été modifié ni abrogé par la réforme législative du 21 mai 2024; son contenu demeure inchangé, sous réserve de la nouvelle dénomination des fournisseurs d’accès à internet. Cette continuité a été relevée par le tribunal judiciaire de Paris dans une décision du 8 octobre 2024.

Application du décret par les juridictions

Le tribunal judiciaire de Paris a retenu que le décret demeure applicable depuis la modification législative du 21 mai 2024. Il a relevé que cette réforme n’avait ni modifié ni abrogé le décret et que la substance du dispositif restait inchangée. Seule la dénomination des fournisseurs d’accès à internet avait évolué.

Dans les procédures visant l’identification d’un utilisateur, les juridictions se réfèrent aux catégories définies par les articles 2 à 5 du décret. Le tribunal judiciaire de Paris a ainsi été saisi de demandes portant sur les données d’identification d’utilisateurs de comptes de réseaux sociaux, tandis qu’une cour d’appel a rappelé le cadre de conservation prévu par le décret. Les demandes sont examinées au regard des données effectivement conservées par le prestataire.

La conservation des données de connexion peut également conduire à la communication d’un horodatage précis. Une décision relayée par LegalPlanet prévoit ainsi la transmission de l’heure exacte, à la seconde près, ainsi que du fuseau horaire associé aux adresses IP utilisées pour publier les contenus litigieux. Cette application rattache l’horodatage aux données techniques permettant d’identifier la connexion.

Articulation avec le code des postes et des communications électroniques

Le décret met en œuvre les obligations prévues par le II de l’article 6 de la loi du 21 juin 2004 dans le cadre des II bis, III et III bis de l’article L. 34-1 du code des postes et des communications électroniques. Les catégories réglementaires correspondent ainsi aux informations d’identité civile, aux autres informations fournies lors de la souscription ou de la création d’un compte, ainsi qu’à certaines données de trafic et de localisation. L’article R10-13 du même code reprend ce dispositif réglementaire pour les opérateurs de communications électroniques.

Le périmètre doit être apprécié au regard de la fonction effectivement exercée par le prestataire et des données qu’il collecte dans le cadre d’un service de communication au public en ligne. Le décret ne permet donc pas d’exiger une donnée qui ne relève pas des catégories prévues par ses articles 2 à 6 ou qui n’est pas détenue par le prestataire. Cette limite ressort notamment de l’article 8, qui rattache la conservation aux données effectivement collectées.

Les demandes judiciaires doivent distinguer les données d’identification prévues par le décret des données techniques sollicitées pour établir une connexion ou une création de contenu. Les débats soumis au tribunal judiciaire de Paris ont ainsi porté sur la communication de ports sources, d’horodatages, de fuseaux horaires ou d’adresses IP de destination, en plus des données visées par les articles 2 à 5. La qualification de chaque donnée au regard de l’article L. 34-1 et du décret constitue donc un point de vigilance dans la formulation de la demande.

Exemples tirés de nos contenus

Questions fréquentes