TA Paris, réf., 5 mai 2020, et CE, réf., 18 mai 2020, n° 440442 et 440445, La Quadrature du Net et la Ligue des droits de l’homme.
Dans le cadre des mesures de protection ou de surveillance prises, en mars 2020, pour freiner la propagation du coronavirus, et spécifiquement pour faire respecter les mesures dites de confinement, le préfet de police de Paris décida de recourir à l’usage d’un drone pour observer les flux de circulation et repérer d’éventuels rassemblements de personnes, alors interdits.
Considérant que le procédé, utilisé en dehors de tout encadrement législatif et réglementaire, constituait, du fait de la possible identification des personnes, une atteinte grave au respect de la vie privée et à la protection des données personnelles, La Quadrature du Net et la Ligue des droits de l’homme saisirent le juge des référés, juge de l’urgence, du tribunal administratif de Paris pour qu’il ordonne la cessation de son utilisation. Leur requête ayant été rejetée par une ordonnance dudit juge, du 5 mai 2020, ils firent appel de la décision. Par une ordonnance du 18 mai 2020, le juge des référés du Conseil d’État conclut en sens inverse. Il a annulé la première décision et, en l’absence de garanties réglementaires ou de mesures pratiques, a « enjoint à l’État de cesser, sans délai, de procéder aux mesures de surveillance par drone ».
L’ordonnance du juge des référés du tribunal administratif
À l’appui de leur demande auprès du juge des référés du tribunal administratif, les requérants firent valoir : qu’« aucun acte administratif explicite n’encadre le dispositif mis en œuvre, contrairement aux principes énoncés à l’article 8 de la Convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, à l’article 8 de la directive 2016/680, du 27 avril 2016, et à l’article 31, I, de la loi n° 78-17, du 6 janvier 1978 » ; que « la conservation des données n’est limitée par aucune norme juridique » ; qu’« aucune information n’est fournie aux personnes dont l’image est capturée par les drones » ; qu’« il n’est pas justifié que la mesure mise en œuvre serait nécessaire et proportionnée au regard des finalités poursuivies » ; et que « le préfet de police, qui ne dispose d’aucune autorisation préalable du législateur, est incompétent pour autoriser le déploiement d’un système de vidéosurveillance par drones ».
Pour réfuter cette argumentation et conclure au rejet de la requête, le préfet de police fit notamment valoir que « les images captées ne permettent pas l’identification d’un individu » et qu’« elles ne peuvent dès lors être qualifiées de données à caractère personnel » ; et qu’« aucune atteinte grave et manifestement illégale n’est donc portée aux droits à la vie privée et à la protection des données personnelles ».
Convaincu par cette argumentation, le juge a estimé qu’il n’apparaît pas que, par l’usage d’un drone, la préfecture « aurait porté une atteinte illégale aux libertés fondamentales que sont le droit à la vie privée et le droit à la protection des données personnelles, faute notamment que les traitements en cause aient été autorisés et organisés par un texte de droit interne ». Il en conclut que la requête présentée devant lui ne pouvait qu’être rejetée. De cette première décision, les requérants firent appel devant le Conseil d’État.
L’ordonnance du juge des référés du Conseil d’État
À l’appui de leur appel, les requérants ont notamment soutenu que « les caractéristiques des drones en cause permettent l’identification des individus » ; que leur usage « constitue un traitement de données à caractère personnel illicite et, à tout le moins, une ingérence grave et manifestement illégale dans l’exercice du droit au respect de la vie privée et du droit à la protection des données personnelles » ; et, comme ils l’avaient fait devant le premier juge, que « l’absence de tout acte administratif explicite encadrant spécifiquement le dispositif en cause viole l’article 8 de la Convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, le I de l’article 31 de la loi informatique et libertés et l’article 6, paragraphe 3, du règlement général pour la protection des données ». Se référant à ces mêmes dispositions, ils dénoncèrent également « l’absence d’information des personnes concernées » ; « l’absence de garantie organisationnelle » ; « l’absence de proportionnalité du dispositif au regard des finalités poursuivies ». De tout cela, ils firent à nouveau valoir que « la décision du préfet de police porte une atteinte grave et manifestement illégale au droit au respect de la vie privée et familiale, au droit à la protection des données personnelles et à la liberté d’aller et venir ».
En sens inverse, le ministre de l’intérieur prétendit que « la demande tendant à la suspension de l’exécution de la décision du préfet de police ayant institué un dispositif visant à capturer des images par drones et à les exploiter afin de faire respecter les mesures de confinement est privée d’objet » et que « le dispositif contesté ne porte pas une atteinte grave et manifestement illégale à une liberté fondamentale » de nature à justifier l’intervention du juge des référés.
Ledit juge considère, pour sa part, que le recours aux mesures de surveillance en cause « est seulement destiné […] à donner aux forces de l’ordre, chargées de faire respecter effectivement les règles de sécurité sanitaire, une physionomie générale de l’affluence sur le territoire parisien en contribuant à détecter, sur des secteurs déterminés exclusivement situés sur la voie ou dans des espaces publics, les rassemblements de public contraires aux mesures de restriction en vigueur ». Pour lui, « la finalité poursuivie par le dispositif litigieux, qui est, en particulier dans les circonstances actuelles, nécessaire pour la sécurité publique, est légitime » et l’usage de surveillance par drone « n’est pas de nature à porter, par lui-même, une atteinte grave et manifestement illégale aux libertés fondamentales invoquées ».
Il retient cependant – alors qu’il est soutenu par l’autorité publique – que « les données collectées par les drones utilisés par la préfecture de police ne revêtent pas un caractère personnel » et qu’il apparaît que « les appareils en cause, qui sont dotés d’un zoom […] sont susceptibles de collecter des données identifiantes » qui « doivent être regardées comme revêtant » ce caractère. Pour le juge, il s’ensuit que « le dispositif litigieux constitue un traitement de données à caractère personnel qui relève du champ d’application de la directive du 27 avril 2016 » et que ledit traitement, « mis en œuvre pour le compte de l’État, relève dès lors des dispositions de la loi du 6 janvier 1978 » et notamment de son article 31 qui impose une autorisation par arrêté ou par décret, après avis de la Commission nationale de l’informatique et des libertés (Cnil).
Pour ce juge, et à l’inverse du premier, « compte tenu des risques d’un usage contraire aux règles de protection des données personnelles qu’elle comporte, la mise en œuvre, pour le compte de l’État, de ce traitement de données à caractère personnel sans l’intervention préalable d’un texte réglementaire en autorisant la création et en fixant les modalités d’utilisation […] caractérise une atteinte grave et manifestement illégale du droit au respect de la vie privée » justifiant sa compétence. Il en conclut qu’« il y a lieu d’enjoindre à l’État de cesser […] de procéder aux mesures de surveillance par drone […] tant qu’il n’aura pas été remédié à l’atteinte […] soit par l’intervention d’un texte réglementaire, pris après l’avis de la Cnil, autorisant, dans le respect des dispositions » légales françaises et européennes, « la création d’un traitement de données à caractère personnel, soit en dotant les appareils utilisés par la préfecture de police de dispositifs techniques de nature à rendre impossible […] l’identification des personnes filmées ».
Par voie de conséquence, « l’ordonnance du juge des référés du tribunal administratif de Paris, du 5 mai 2020, est annulée » et injonction est adressée à l’État, tant que les mesures mentionnées ne seraient pas prises, « de cesser, sans délai, de procéder aux mesures de surveillance par drone ».
Entre mesures de sécurité (sanitaire) et respect des libertés individuelles telles que celle du droit au respect de la vie privée et des données personnelles, les préoccupations et les préférences des uns ou des autres varient. Les différences d’analyse et d’appréciation de l’autorité administrative ou des requérants, mais aussi des juges des référés du tribunal administratif et du Conseil d’État, le montrent.
