1. Après les attentats commis à Paris et à Bruxelles, le législateur a décidé de mettre fin à l’anonymat des cartes de téléphonie mobiles prépayées.

Comme ces cartes étaient très répandues dans les milieux criminels, l’introduction de la mesure avait principalement pour objectif de permettre l’identification de leurs utilisateurs par les autorités judiciaires ainsi que par les services de renseignement et de sécurité. À l’inverse des utilisateurs qui disposent d’un abonnement de GSM, l’identité de ceux utilisant des cartes de téléphonie n’était pas collectée au moment de l’achat de ces cartes. Or, une telle identification s’avère être un préalable indispensable pour ces autorités et services afin de procéder, le cas échéant, à d’autres mesures d’instruction criminelle (comme, par exemple, le repérage, la localisation, les écoutes téléphoniques et l’enregistrement des communications).

2. Pour atteindre cet objectif, l’article 127 de la loi du 13 juin 2005 ‘relative aux communications électroniques’, tel qu’il a été modifié par l’article 2 de la loi du 1er septembre 2016 ‘portant modification de l’article 127 de la loi du 13 juin 2005 relative aux communications électroniques et de l’article 16/2 de la loi du 30 novembre 1998 organique des services de renseignement et de sécurité’ impose aux magasins des opérateurs ainsi qu’à tous les autres canaux de vente (tels que les supermarchés ou les night shops) une obligation d’identification des acheteurs de cartes prépayées.

Toutefois, cette disposition légale ne précise pas quelles sont les données d’identification que ces points de vente doivent collecter ni les documents d’identification dont la force probante peut être admise. C’est en effet l’arrêté royal du 27 novembre 2016 ‘relatif à l’identification de l’utilisateur final de services de communications électroniques publics mobiles fournis sur la base d’une carte prépayée’ qui les énumère.

Malgré un avis contraire de la Commission de la protection de la vie privée, qui recommandait de définir ces éléments dans la loi, le législateur a donc préféré déléguer la détermination de ceux-ci au pouvoir exécutif.

3. C’est dans ce contexte qu’en 2017, trois conseillers communaux ont introduit un recours en annulation auprès de la Cour constitutionnelle, notamment contre la disposition précitée de la loi de 2016.

Utilisant des cartes de téléphonie prépayées, ces personnes s’estimaient directement lésées, entres autres, dans leur droit fondamental au respect de la vie privée.

Parmi leurs arguments, les requérants contestaient notamment la légalité de la mesure : l’article 22 de la Constitution, lu conjointement avec l’article 8 de la Convention européenne des droits de l’homme, prévoit que toute ingérence dans le droit au respect de la vie privée n’est admissible que si elle est prévue par une norme légale formelle. En réservant au législateur le pouvoir de fixer dans quels cas et à quelles conditions il peut être porté atteinte au droit au respect de la vie privée, l’article 22 de la Constitution garantit à tout justiciable qu’aucune ingérence dans l’exercice de ce droit ne peut avoir lieu qu’en vertu de règles adoptées par une assemblée délibérante et démocratiquement élue. Selon les parties requérantes, la disposition attaquée accordait donc une délégation excessive au Roi.

4. Dans son arrêt n° 158/2021 du 18 novembre 2021 , la Cour constitutionnelle suit le raisonnement des parties requérantes sur ce point en rappelant qu’en matière de vie privée une délégation au pouvoir exécutif est contraire au principe de légalité si celle-ci porte sur l’exécution de mesures dont les éléments essentiels n’ont pas été fixés préalablement par le législateur.

Par conséquent, elle dit pour droit que la disposition attaquée viole le principe de légalité garanti par l’article 22 de la Constitution en ce qu’elle ne détermine pas les données d’identification qui sont collectées et traitées ni les documents d’identification qui entrent en considération.

Dans cette mesure, la Cour annule l’article 2 de la loi attaquée du 1er septembre 2016.

Elle maintient toutefois les effets de la disposition annulée jusqu’à l’entrée en vigueur d’une norme législative qui énumère ces données d’identification et ces documents d’identification. Le législateur a donc jusqu’au 31 décembre 2022 pour revoir sa copie.

5. Pour le surplus, relevons que droit européen applicable en l’espèce était la directive 95/46/CE, soit l’ancêtre de l’actuel règlement général sur la protection des données (RGPD). Ce dernier renforce le principe de légalité garanti par l’article 22 de la Constitution puisqu’il découle de celui-ci que, dorénavant, les éléments de traitement essentiels à préciser dans une norme légale formelle sont les suivants : la finalité du traitement, l’identité du responsable du traitement, les catégories de personnes concernées, les catégories de données à traiter, le délai de conservation maximal et (le cas échéant) l’échange avec / la communication à / l’accès aux données par un (des) tiers (des instances tierces).

Cela a notamment été confirmé par Cour constitutionnelle dans son arrêt n° 2/2021 du 14 janvier 2021 . Autant dire que le législateur a tout intérêt à faire preuve de précision et de minutie lors de la refonte de la disposition annulée par la Cour.

6. Enfin, mentionnons que le Gouvernement fédéral a d’ores et déjà préparé un avant-projet de loi ayant notamment pour objet de tenir compte des enseignements de la Cour constitutionnelle.

Dans sa version actuelle, ce texte précise que la carte d’identité électronique belge figure parmi les documents d’identification qui peuvent être demandés par les canaux de vente de cartes prépayées. De plus, ce texte prévoit que lorsque qu’un document d’identification comprenant le numéro de registre national est présenté à un point de vente, celui-ci est dans l’obligation de le collecter et de le transmettre à l’opérateur de téléphonie concerné.

Bien évidemment, cet avant-projet de loi doit encore non seulement être discuté au Parlement avant de pouvoir être adopté, mais également être soumis à l’avis préalable de l’Autorité de protection des données. Lors de son examen, cet organisme analysera évidemment la conformité du projet avec le principe de légalité inscrit à l’article 22 de la Constitution mais également son adéquation avec le principe de minimisation prévu à l’article 5 du RGPD, selon lequel les données traitées doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont collectées. À cet égard, le projet risque de faire couler de l’encre si, comme le prévoit le texte actuel, il permet à l’opérateur ou au point de vente de réaliser, « de manière automatique, une comparaison entre les paramètres biométriques sur la photo de la pièce d’identité de l’[utilisateur] et ceux de son visage ». Pour rappel, les données biométriques sont des données à caractère personnel qui, par leur nature, sont particulièrement sensibles car leur traitement peut comporter des risques significatifs pour les libertés et droits fondamentaux.