Dans le cadre d’une enquête sur un vol avec violence d’un portefeuille et d’un téléphone mobile, la police judiciaire espagnole a demandé au juge d’instruction de lui accorder l’accès aux données d’identification des utilisateurs des numéros de téléphone activés depuis le téléphone volé durant une période de douze jours à compter de la date du vol.

L’Audiencia Provincial de Tarragona (cour provinciale de Tarragone) a interrogé la Cour de justice de l’Union européenne (CJUE) sur la fixation du seuil de gravité des infractions à partir duquel une ingérence dans les droits fondamentaux, telle que l’accès par les autorités nationales compétentes aux données à caractère personnel conservées par les fournisseurs de services de communications électroniques, peut être justifiée.

Dans son arrêt rendu le 2 octobre 2018, la CJUE rappelle tout d’abord que l’accès d’autorités publiques à des données à caractère personnel conservées par les fournisseurs de services de communications électroniques, dans le cadre d’une procédure d’instruction pénale, relève du champ d’application de la directive Vie privée et communications électroniques.

Elle ajoute que l’accès aux données visant à l’identification des titulaires des cartes SIM activées avec un téléphone mobile volé, telles que les nom, prénom et, le cas échéant, adresse de ces titulaires, constitue une ingérence dans les droits fondamentaux de ces derniers, consacrés dans la Charte des droits fondamentaux de l’Union européenne. Toutefois, cette ingérence ne présente pas une gravité telle que cet accès devrait être limité, en matière de prévention, de recherche, de détection et de poursuite d’infractions pénales, à la lutte contre la criminalité grave.

La Cour considère en l’espèce que l’accès aux seules données visées par la demande en cause ne saurait être qualifié d’ingérence « grave » dans les droits fondamentaux des personnes dont les données sont concernées, puisque ces données ne permettent pas de tirer de conclusions précises concernant leur vie privée. Elle en conclut que l’ingérence que comporterait un accès à de telles données est susceptible d’être justifiée par l’objectif de prévention, de recherche, de détection et de poursuite d’ »infractions pénales » en général, sans qu’il soit nécessaire que ces infractions soient qualifiées de « graves ».