La première Cour du Tribunal administratif fédéral a admis le recours de Protonmail, dans son arrêt du 13 octobre 2021 (A-5373/2020). Ce fournisseur de messagerie critiquait la décision du Service de surveillance par poste et télécommunications (SCPT) révoquant son statut de fournisseur de services de télécommunications avec obligations restreintes en matière de surveillance. Protonmail exigeait, en sus, l’admission de sa qualité de fournisseur de services dérivés.

Cet arrêt est intéressant quant aux enjeux pour les sociétés actives dans le numérique. Il rappelle d’abord les lourdes obligations des fournisseurs de services de télécommunications, consistant en la délivrance, sur demande des autorités, des contenus des communications et des données secondaires. Puis, les obligations allégées des fournisseurs dérivés, qui resteront tout de même tenus de délivrer les données secondaires sur requête…si tant est que l’entité concernée n’atteigne pas une certaine taille…

A rappeler que ce changement de statut ne change rien pour l’affaire des activistes français: les adresses IP restant des données secondaires: tant les fournisseurs de services dérivés que les fournisseurs de télécommunications doivent délivrer ces données, sur demande.

Notre Haute Cour précise l’essence même de la notion de fournisseur de services dérivés. Ainsi, tout fournisseur ne délivrant pas directement ou indirectement d’accès internet et n’assumant aucune responsabilité pour la transmission de données via internet, ne saurait être qualifié de fournisseur de services de télécommunications. Ce développement concerne ainsi tant les fournisseurs de services de messagerie classiques, que les Cloudservice providers. Le Tribunal administratif fédéral laisse toutefois ouverte la question de savoir si Protonmail devra être soumis à des obligations étendues. Les résultats de cet arrêt sont donc nettement moins positifs qu’il n’y paraît, a priori: l’allègement des obligations de renseignement étant laissé à l’appréciation du Service SCPT (art. 27 al. 3 LSCPT).