Conseil d'État
N° 442364
ECLI:FR:CECHS:2022:442364.20220426
Inédit au recueil Lebon
10ème chambre
Mme Myriam Benlolo Carabot, rapporteur
M. Laurent Domingo, rapporteur public
Lecture du mardi 26 avril 2022
Vu la procédure suivante :
Par une requête et un mémoire en réplique, enregistrés le 2 août 2020 et le 15 mars 2022 au secrétariat du contentieux du Conseil d'Etat, l'association La Quadrature du Net demande au Conseil d'Etat :
1°) à titre principal, d'annuler pour excès de pouvoir la décision implicite du Premier ministre du 18 janvier 2020 refusant d'abroger les alinéas 16 et 59 de l'article R. 40-26 du code de procédure pénale, explicitée par le courrier de la garde des sceaux, ministre de la justice, en date du 12 février 2020, et d'enjoindre au Premier ministre d'abroger ces dispositions, sous astreinte de 1 024 euros par jour de retard ;
2°) à titre subsidiaire, de surseoir à statuer sur la requête et de renvoyer à la Cour de justice de l'Union européenne la question préjudicielle suivante : " L'article 10 de la directive 2016/680, lu à la lumière des articles 7, 8, 11 et 52 de la Charte des droits fondamentaux de l'Union européenne, ne s'oppose-t-il pas à une réglementation nationale autorisant un traitement automatisé de données biométriques qui permet de révéler l'identité associée aux déplacements et aux activités de toute personne dont l'image est collectée par les autorités, notamment par le réseau de vidéosurveillance ou par des caméras embarquées, et qui, ce faisant, empêche tout anonymat dans l'espace public ' ".
3°) de mettre à la charge de l'Etat la somme de 4 096 euros au titre de l'article L. 761-1 du code de justice administrative.
Vu les autres pièces du dossier ;
Vu :
- la Charte des droits fondamentaux de l'Union européenne ;
- la directive 2016/680 (UE) du Parlement européen et du Conseil du 27 avril 2016 ;
- le règlement 2016/679 (UE) du Parlement européen et du Conseil du 27 avril 2016 ;
- le code de procédure pénale ;
- la loi n° 78-17 du 6 janvier 1978 ;
- l'arrêt de la Cour de justice de l'Union européenne du 6 octobre 2020 La Quadrature du Net et autres (C-511/18, C-512/18 et C-520/18) ;
- le code de justice administrative ;
Après avoir entendu en séance publique :
- le rapport de Mme Myriam Benlolo Carabot, maître des requêtes en service extraordinaire,
- les conclusions de M. Laurent Domingo, rapporteur public ;
Considérant ce qui suit :
1. Aux termes de l'article 230-6 du code de procédure pénale : " Afin de faciliter la constatation des infractions à la loi pénale, le rassemblement des preuves de ces infractions et la recherche de leurs auteurs, les services de la police nationale et de la gendarmerie nationale peuvent mettre en oeuvre des traitements automatisés de données à caractère personnel recueillies : / 1° Au cours des enquêtes préliminaires ou de flagrance ou des investigations exécutées sur commission rogatoire et concernant tout crime ou délit ainsi que les contraventions de la cinquième classe sanctionnant : / a) Un trouble à la sécurité ou à la tranquillité publiques ; / b) Une atteinte aux personnes, aux biens ou à l'autorité de l'Etat ; / 2° Au cours des procédures de recherche des causes de la mort mentionnées à l'article 74 ou de recherche des causes d'une disparition mentionnées à l'article 74-1./ Ces traitements ont également pour objet l'exploitation des informations recueillies à des fins de recherches statistiques ". En vertu de l'article R. 40-23 du même code, le ministre de l'intérieur est autorisé à mettre en oeuvre un traitement automatisé de données à caractère personnel, dénommé " traitement d'antécédents judiciaires " (dit " A... "), dont les finalités sont celles mentionnées à l'article 230-6 de ce code. La liste des catégories de données pouvant être enregistrées dans ce traitement est fixée à l'article R. 40-26 du même code, qui distingue, dans son 1°, les données concernant les personnes mises en cause, dans son 2°, celles qui concernent les victimes, et, dans son 3° celles qui se rapportent aux personnes faisant l'objet d'une enquête ou d'une instruction pour recherche des causes de la mort ou d'une disparition.
2. L'association La Quadrature du Net demande l'annulation pour excès de pouvoir de la décision implicite du Premier ministre du 18 janvier 2020 refusant d'abroger les alinéas 16 et 59 de l'article R. 40-26 du code de procédure pénale, explicitée par un courrier de la garde des sceaux, ministre de la justice, en date du 12 février 2020. Ces dispositions autorisent l'enregistrement dans le A... d'une " photographie comportant les caractéristiques techniques permettant le recours à un dispositif de reconnaissance faciale " concernant respectivement les personnes physiques mises en cause et les personnes physiques faisant l'objet d'une enquête ou d'une instruction pour recherche des causes de la mort ou d'une disparition.
Sur la légalité externe de la décision de refus attaquée
3. La décision par laquelle le Premier ministre a refusé d'abroger les dispositions réglementaires litigieuses présente elle-même un caractère réglementaire. Aucune disposition ni aucun principe n'en imposait la motivation. Par suite, l'association requérante ne peut utilement soutenir que cette décision serait irrégulière faute d'être suffisamment motivée.
Sur la légalité des dispositions dont l'abrogation été refusée
En ce qui concerne l'alinéa 16 de l'article R. 40-26 du code de procédure pénale relatif aux personnes mises en cause
4. Aux termes de l'article 6 de la loi du 6 janvier 1978 : " I. - Il est interdit de traiter des données à caractère personnel qui révèlent la prétendue origine raciale ou l'origine ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale d'une personne physique ou de traiter des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique. (...) / III. - De même, ne sont pas soumis à l'interdiction prévue au I les traitements, automatisés ou non, justifiés par l'intérêt public et autorisés suivant les modalités prévues au II de l'article 31 et à l'article 32 ". L'article 88 de cette même loi, pris pour la transposition de l'article 10 de la directive 2016/680 (UE) du Parlement européen et du Conseil du 27 avril 2016 et applicable au traitement litigieux eu égard à ses finalités consistant à faciliter la constatation des infractions pénales, le rassemblement des preuves et la recherche de leurs auteurs, dispose que : " Le traitement de données mentionnées au I de l'article 6 est possible uniquement en cas de nécessité absolue, sous réserve de garanties appropriées pour les droits et libertés de la personne concernée, et soit s'il est autorisé par une disposition législative ou réglementaire, soit s'il vise à protéger les intérêts vitaux d'une personne physique, soit s'il porte sur des données manifestement rendues publiques par la personne concernée ".
5. En premier lieu, l'enregistrement dans le A... d'une photographie des personnes mises en cause comportant les données biométriques nécessaires à la mise en oeuvre d'un dispositif de reconnaissance faciale a pour objet de permettre aux agents habilités à accéder à ce traitement et à procéder à ces opérations d'identifier une personne à partir de l'image de son visage, grâce à une recherche automatisée, et, le cas échéant, d'exploiter les informations de la fiche correspondante dans le A..., pour les finalités mentionnées à l'article 230-6 du code de procédure pénale. Eu égard au nombre de personnes mises en cause enregistrées dans ce traitement, qui s'élève à plusieurs millions, il est matériellement impossible aux agents compétents de procéder manuellement à une telle comparaison, de surcroît avec le même degré de fiabilité que celui qu'offre un algorithme de reconnaissance faciale correctement paramétré. Or une telle identification à partir du visage d'une personne et le rapprochement avec les données enregistrées dans le A... peuvent s'avérer absolument nécessaires à la recherche des auteurs d'infractions et à la prévention des atteintes à l'ordre public, toutes deux nécessaires à la sauvegarde de droits et de principes de valeur constitutionnelle. Par suite, l'enregistrement des données litigieuses dans ce traitement répond à la condition de nécessité absolue posée par les dispositions précitées.
6. En deuxième lieu, d'une part, il résulte des dispositions des articles R. 40-24 et R. 40-25 du code de procédure pénale que les données biométriques litigieuses, relatives aux personnes mises en cause, ne peuvent être recueillies que " dans les seuls cas où ces données résultent de la nature ou des circonstances de l'infraction ou se rapportent à des signes physiques particuliers, objectifs et permanents, en tant qu'élément de signalement des personnes, dès lors que ces éléments sont nécessaires à la mise en oeuvre des finalités mentionnées à l'article 230-6 " et uniquement s'agissant de personnes à l'encontre desquelles sont réunis, lors de l'enquête préliminaire, de l'enquête de flagrance ou sur commission rogatoire, des indices graves ou concordants rendant vraisemblable qu'elles aient pu participer, comme auteurs ou complices, à la commission d'un crime, d'un délit ou d'une contravention de cinquième classe dont la liste est limitativement établie. L'article 230-8 du même code prévoit que ce traitement est opéré sous le contrôle du procureur de la République territorialement compétent qui, d'office ou à la demande de la personne concernée, ordonne qu'elles soient effacées, complétées ou rectifiées.
7. D'autre part, le dispositif de reconnaissance faciale ne peut être utilisé par les services compétents qu'en cas de nécessité absolue, appréciée au regard des seules finalités du traitement, lorsque subsiste un doute sur l'identité d'une personne dont l'identification est requise. Cette identification, assistée par ce dispositif, relève de la responsabilité des agents eux-mêmes. Les dispositions réglementaires litigieuses, qui régissent uniquement l'utilisation du A..., n'ont pas pour objet de définir les conditions de collecte d'images de personnes circulant dans l'espace public ou mises en ligne sur les réseaux sociaux ni d'autoriser la confrontation systématique ou à grande échelle de telles images avec les gabarits biométriques enregistrés dans ce traitement. En outre, les articles R. 40-28, R. 40-29 et R. 40-29-1 du code de procédure pénale énumèrent limitativement les magistrats et agents autorisés à accéder aux données en litige et dont les opérations sont retracées dans le journal prévu à l'article R. 40-30 de ce code, conservé six ans. Par ailleurs, la mise en oeuvre du A... fait l'objet d'un suivi par un magistrat désigné à cet effet par le ministre de la justice en application des articles 230-9 et R. 40-32 du même code et est soumise au contrôle de la Commission nationale de l'informatique et des libertés, laquelle peut s'assurer du respect des droits des personnes concernées mentionnés à l'article R. 40-33. Il appartient enfin au responsable de traitement, conformément à l'article 32 de la loi du 6 janvier 1978, de prendre les mesures de sécurité appropriées au regard de la sensibilité des données en cause. Il suit de là que le traitement litigieux comporte des garanties appropriées pour les droits et libertés des personnes concernées et n'institue pas, contrairement à ce qui est soutenu, un " dispositif disproportionné ".
8. En troisième et dernier lieu, les articles 7, 8 et 11 de la Charte des droits fondamentaux de l'Union européenne garantissent le droit au respect de la vie privée et familiale, le droit à la protection des données à caractère personnel et la liberté d'expression et d'information. Il ressort de la jurisprudence de la Cour de justice de l'Union européenne, notamment de sa décision La Quadrature du Net et autres du 6 octobre 2020 (C-511/18, C-512/18 et C-520/18), d'une part, que l'article 52, paragraphe 1, de la même Charte admet des limitations à l'exercice de ces droits et libertés, pour autant que celles-ci soient prévues par la loi, qu'elles respectent le contenu essentiel de ces droits et que, dans le respect du principe de proportionnalité, elles soient nécessaires et répondent effectivement à des objectifs d'intérêt général reconnus par l'Union ou au besoin de protection des droits et des libertés d'autrui, d'autre part, que la protection du droit fondamental au respect de la vie privée exige que les dérogations à la protection des données à caractère personnel et les limitations de celle-ci s'opèrent dans les limites du strict nécessaire et, enfin, qu'au nombre des objectifs d'intérêt général reconnus par le droit de l'Union figurent la lutte contre la criminalité et la sauvegarde de la sécurité publique.
9. La directive du 27 avril 2016, en particulier son article 10 s'agissant des données sensibles, a notamment pour objet d'assurer la mise en oeuvre des dispositions de la Charte mentionnées au point 8, pour ce qui concerne les traitements de données à caractère personnel qui entrent dans son champ d'application. Pour les motifs énoncés aux points 5 à 8, et sans qu'il soit besoin, en l'absence de tout doute raisonnable quant à la portée de ces dernières dispositions, de saisir la Cour de justice de l'Union européenne d'une question préjudicielle, l'association requérante, qui ne peut utilement se prévaloir des conditions dans lesquelles les dispositions réglementaires litigieuses sont susceptibles d'être mises en oeuvre par les agents compétents, n'est, en tout état de cause, pas fondée à soutenir que celles-ci seraient contraires à la Charte en ce qu'elles méconnaîtraient l'essence même du droit à la vie privée, du droit à la protection des données et du droit à la liberté d'expression.
Sur l'alinéa 59 de l'article R. 40-26 du code de procédure pénale
10. En premier lieu, il résulte de l'article 2 du règlement européen relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (" RGPD ") que ce dernier ne s'applique pas aux traitements de données à caractère personnel effectués par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière.
11. Ainsi qu'il a été dit au point 1, l'article 230-6 du code de procédure pénale assigne au A... la finalité de " faciliter la constatation des infractions à la loi pénale, le rassemblement des preuves de ces infractions et la recherche de leurs auteurs ", notamment pour les " procédures de recherche des causes de la mort mentionnées à l'article 74 ou de recherche des causes d'une disparition mentionnées à l'article 74-1 ". En vertu de l'article 74 du même code, une enquête pénale en recherche des causes de la mort peut être ordonnée par le procureur en cas de découverte d'un cadavre. Selon l'article 74-1 de ce code, les disparitions inquiétantes peuvent donner lieu soit à l'ouverture immédiate d'une information judiciaire, soit à la réalisation d'actes d'enquête suivie le cas échéant d'investigations réalisées " dans les formes de l'enquête préliminaire ". L'alinéa 59 de l'article R. 40-26 du code de procédure pénale, qui permet l'enregistrement dans le A... de la photographie des personnes physiques faisant l'objet d'une enquête ou d'une instruction pour recherche des causes de la mort ou d'une disparition, autorise ainsi des opérations de traitement de données à caractère personnel par les autorités compétentes à des fins d'enquêtes pénales. Par suite, l'association requérante ne peut utilement soutenir que ces dispositions, auxquelles s'appliquent les dispositions législatives prises pour la transposition de la directive du 27 avril 2016 et non le RGPD, méconnaîtraient l'article 9 de ce règlement.
12. En second lieu, si l'association requérante soutient que les dispositions de l'alinéa 59 de l'article R. 40-26 du code de procédure pénale sont contraires à l'article 10 de la directive 2016/680 et aux dispositions de la Charte des droits fondamentaux de l'Union européenne mentionnées au point 8, elle n'assortit ces moyens d'aucune autre argumentation que celle qu'elle soulève contre l'alinéa 16 du même article R. 40-26. Pour les motifs précédemment mentionnés, et alors que l'association requérante ne soutient pas que la finalité mentionnée au point 11 ne serait pas légitime, ces moyens ne peuvent qu'être écartés.
13. Il résulte de tout ce qui précède que l'association La Quadrature du Net n'est pas fondée à demander l'annulation de la décision attaquée. Sa requête doit par suite être rejetée, y compris ses conclusions à fin d'injonction et celles tendant à ce qu'une somme soit mise à la charge de l'Etat au titre de l'article L. 761-1 du code de justice administrative.
D E C I D E :
--------------
Article 1er : La requête de la Quadrature du Net est rejetée.
Article 2 : La présente décision sera notifiée à l'association La Quadrature du Net, au Premier ministre et au ministre de l'intérieur.
Copie en sera adressée au garde des sceaux, ministre de la justice.
Délibéré à l'issue de la séance du 17 mars 2022 où siégeaient : M. Bertrand Dacosta, président de chambre, présidant ; M. Alexandre Lallet, conseiller d'Etat et Mme Myriam Benlolo Carabot, maître des requêtes en service extraordinaire-rapporteure.
Rendu le 26 avril 2022.
Le président :
Signé : M. Bertrand Dacosta
La rapporteure :
Signé : Mme Myriam Benlolo Carabot
La secrétaire :
Signé : Mme B... C...
N° 442364
ECLI:FR:CECHS:2022:442364.20220426
Inédit au recueil Lebon
10ème chambre
Mme Myriam Benlolo Carabot, rapporteur
M. Laurent Domingo, rapporteur public
Lecture du mardi 26 avril 2022
REPUBLIQUE FRANCAISE
AU NOM DU PEUPLE FRANCAIS
AU NOM DU PEUPLE FRANCAIS
Vu la procédure suivante :
Par une requête et un mémoire en réplique, enregistrés le 2 août 2020 et le 15 mars 2022 au secrétariat du contentieux du Conseil d'Etat, l'association La Quadrature du Net demande au Conseil d'Etat :
1°) à titre principal, d'annuler pour excès de pouvoir la décision implicite du Premier ministre du 18 janvier 2020 refusant d'abroger les alinéas 16 et 59 de l'article R. 40-26 du code de procédure pénale, explicitée par le courrier de la garde des sceaux, ministre de la justice, en date du 12 février 2020, et d'enjoindre au Premier ministre d'abroger ces dispositions, sous astreinte de 1 024 euros par jour de retard ;
2°) à titre subsidiaire, de surseoir à statuer sur la requête et de renvoyer à la Cour de justice de l'Union européenne la question préjudicielle suivante : " L'article 10 de la directive 2016/680, lu à la lumière des articles 7, 8, 11 et 52 de la Charte des droits fondamentaux de l'Union européenne, ne s'oppose-t-il pas à une réglementation nationale autorisant un traitement automatisé de données biométriques qui permet de révéler l'identité associée aux déplacements et aux activités de toute personne dont l'image est collectée par les autorités, notamment par le réseau de vidéosurveillance ou par des caméras embarquées, et qui, ce faisant, empêche tout anonymat dans l'espace public ' ".
3°) de mettre à la charge de l'Etat la somme de 4 096 euros au titre de l'article L. 761-1 du code de justice administrative.
Vu les autres pièces du dossier ;
Vu :
- la Charte des droits fondamentaux de l'Union européenne ;
- la directive 2016/680 (UE) du Parlement européen et du Conseil du 27 avril 2016 ;
- le règlement 2016/679 (UE) du Parlement européen et du Conseil du 27 avril 2016 ;
- le code de procédure pénale ;
- la loi n° 78-17 du 6 janvier 1978 ;
- l'arrêt de la Cour de justice de l'Union européenne du 6 octobre 2020 La Quadrature du Net et autres (C-511/18, C-512/18 et C-520/18) ;
- le code de justice administrative ;
Après avoir entendu en séance publique :
- le rapport de Mme Myriam Benlolo Carabot, maître des requêtes en service extraordinaire,
- les conclusions de M. Laurent Domingo, rapporteur public ;
Considérant ce qui suit :
1. Aux termes de l'article 230-6 du code de procédure pénale : " Afin de faciliter la constatation des infractions à la loi pénale, le rassemblement des preuves de ces infractions et la recherche de leurs auteurs, les services de la police nationale et de la gendarmerie nationale peuvent mettre en oeuvre des traitements automatisés de données à caractère personnel recueillies : / 1° Au cours des enquêtes préliminaires ou de flagrance ou des investigations exécutées sur commission rogatoire et concernant tout crime ou délit ainsi que les contraventions de la cinquième classe sanctionnant : / a) Un trouble à la sécurité ou à la tranquillité publiques ; / b) Une atteinte aux personnes, aux biens ou à l'autorité de l'Etat ; / 2° Au cours des procédures de recherche des causes de la mort mentionnées à l'article 74 ou de recherche des causes d'une disparition mentionnées à l'article 74-1./ Ces traitements ont également pour objet l'exploitation des informations recueillies à des fins de recherches statistiques ". En vertu de l'article R. 40-23 du même code, le ministre de l'intérieur est autorisé à mettre en oeuvre un traitement automatisé de données à caractère personnel, dénommé " traitement d'antécédents judiciaires " (dit " A... "), dont les finalités sont celles mentionnées à l'article 230-6 de ce code. La liste des catégories de données pouvant être enregistrées dans ce traitement est fixée à l'article R. 40-26 du même code, qui distingue, dans son 1°, les données concernant les personnes mises en cause, dans son 2°, celles qui concernent les victimes, et, dans son 3° celles qui se rapportent aux personnes faisant l'objet d'une enquête ou d'une instruction pour recherche des causes de la mort ou d'une disparition.
2. L'association La Quadrature du Net demande l'annulation pour excès de pouvoir de la décision implicite du Premier ministre du 18 janvier 2020 refusant d'abroger les alinéas 16 et 59 de l'article R. 40-26 du code de procédure pénale, explicitée par un courrier de la garde des sceaux, ministre de la justice, en date du 12 février 2020. Ces dispositions autorisent l'enregistrement dans le A... d'une " photographie comportant les caractéristiques techniques permettant le recours à un dispositif de reconnaissance faciale " concernant respectivement les personnes physiques mises en cause et les personnes physiques faisant l'objet d'une enquête ou d'une instruction pour recherche des causes de la mort ou d'une disparition.
Sur la légalité externe de la décision de refus attaquée
3. La décision par laquelle le Premier ministre a refusé d'abroger les dispositions réglementaires litigieuses présente elle-même un caractère réglementaire. Aucune disposition ni aucun principe n'en imposait la motivation. Par suite, l'association requérante ne peut utilement soutenir que cette décision serait irrégulière faute d'être suffisamment motivée.
Sur la légalité des dispositions dont l'abrogation été refusée
En ce qui concerne l'alinéa 16 de l'article R. 40-26 du code de procédure pénale relatif aux personnes mises en cause
4. Aux termes de l'article 6 de la loi du 6 janvier 1978 : " I. - Il est interdit de traiter des données à caractère personnel qui révèlent la prétendue origine raciale ou l'origine ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale d'une personne physique ou de traiter des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique. (...) / III. - De même, ne sont pas soumis à l'interdiction prévue au I les traitements, automatisés ou non, justifiés par l'intérêt public et autorisés suivant les modalités prévues au II de l'article 31 et à l'article 32 ". L'article 88 de cette même loi, pris pour la transposition de l'article 10 de la directive 2016/680 (UE) du Parlement européen et du Conseil du 27 avril 2016 et applicable au traitement litigieux eu égard à ses finalités consistant à faciliter la constatation des infractions pénales, le rassemblement des preuves et la recherche de leurs auteurs, dispose que : " Le traitement de données mentionnées au I de l'article 6 est possible uniquement en cas de nécessité absolue, sous réserve de garanties appropriées pour les droits et libertés de la personne concernée, et soit s'il est autorisé par une disposition législative ou réglementaire, soit s'il vise à protéger les intérêts vitaux d'une personne physique, soit s'il porte sur des données manifestement rendues publiques par la personne concernée ".
5. En premier lieu, l'enregistrement dans le A... d'une photographie des personnes mises en cause comportant les données biométriques nécessaires à la mise en oeuvre d'un dispositif de reconnaissance faciale a pour objet de permettre aux agents habilités à accéder à ce traitement et à procéder à ces opérations d'identifier une personne à partir de l'image de son visage, grâce à une recherche automatisée, et, le cas échéant, d'exploiter les informations de la fiche correspondante dans le A..., pour les finalités mentionnées à l'article 230-6 du code de procédure pénale. Eu égard au nombre de personnes mises en cause enregistrées dans ce traitement, qui s'élève à plusieurs millions, il est matériellement impossible aux agents compétents de procéder manuellement à une telle comparaison, de surcroît avec le même degré de fiabilité que celui qu'offre un algorithme de reconnaissance faciale correctement paramétré. Or une telle identification à partir du visage d'une personne et le rapprochement avec les données enregistrées dans le A... peuvent s'avérer absolument nécessaires à la recherche des auteurs d'infractions et à la prévention des atteintes à l'ordre public, toutes deux nécessaires à la sauvegarde de droits et de principes de valeur constitutionnelle. Par suite, l'enregistrement des données litigieuses dans ce traitement répond à la condition de nécessité absolue posée par les dispositions précitées.
6. En deuxième lieu, d'une part, il résulte des dispositions des articles R. 40-24 et R. 40-25 du code de procédure pénale que les données biométriques litigieuses, relatives aux personnes mises en cause, ne peuvent être recueillies que " dans les seuls cas où ces données résultent de la nature ou des circonstances de l'infraction ou se rapportent à des signes physiques particuliers, objectifs et permanents, en tant qu'élément de signalement des personnes, dès lors que ces éléments sont nécessaires à la mise en oeuvre des finalités mentionnées à l'article 230-6 " et uniquement s'agissant de personnes à l'encontre desquelles sont réunis, lors de l'enquête préliminaire, de l'enquête de flagrance ou sur commission rogatoire, des indices graves ou concordants rendant vraisemblable qu'elles aient pu participer, comme auteurs ou complices, à la commission d'un crime, d'un délit ou d'une contravention de cinquième classe dont la liste est limitativement établie. L'article 230-8 du même code prévoit que ce traitement est opéré sous le contrôle du procureur de la République territorialement compétent qui, d'office ou à la demande de la personne concernée, ordonne qu'elles soient effacées, complétées ou rectifiées.
7. D'autre part, le dispositif de reconnaissance faciale ne peut être utilisé par les services compétents qu'en cas de nécessité absolue, appréciée au regard des seules finalités du traitement, lorsque subsiste un doute sur l'identité d'une personne dont l'identification est requise. Cette identification, assistée par ce dispositif, relève de la responsabilité des agents eux-mêmes. Les dispositions réglementaires litigieuses, qui régissent uniquement l'utilisation du A..., n'ont pas pour objet de définir les conditions de collecte d'images de personnes circulant dans l'espace public ou mises en ligne sur les réseaux sociaux ni d'autoriser la confrontation systématique ou à grande échelle de telles images avec les gabarits biométriques enregistrés dans ce traitement. En outre, les articles R. 40-28, R. 40-29 et R. 40-29-1 du code de procédure pénale énumèrent limitativement les magistrats et agents autorisés à accéder aux données en litige et dont les opérations sont retracées dans le journal prévu à l'article R. 40-30 de ce code, conservé six ans. Par ailleurs, la mise en oeuvre du A... fait l'objet d'un suivi par un magistrat désigné à cet effet par le ministre de la justice en application des articles 230-9 et R. 40-32 du même code et est soumise au contrôle de la Commission nationale de l'informatique et des libertés, laquelle peut s'assurer du respect des droits des personnes concernées mentionnés à l'article R. 40-33. Il appartient enfin au responsable de traitement, conformément à l'article 32 de la loi du 6 janvier 1978, de prendre les mesures de sécurité appropriées au regard de la sensibilité des données en cause. Il suit de là que le traitement litigieux comporte des garanties appropriées pour les droits et libertés des personnes concernées et n'institue pas, contrairement à ce qui est soutenu, un " dispositif disproportionné ".
8. En troisième et dernier lieu, les articles 7, 8 et 11 de la Charte des droits fondamentaux de l'Union européenne garantissent le droit au respect de la vie privée et familiale, le droit à la protection des données à caractère personnel et la liberté d'expression et d'information. Il ressort de la jurisprudence de la Cour de justice de l'Union européenne, notamment de sa décision La Quadrature du Net et autres du 6 octobre 2020 (C-511/18, C-512/18 et C-520/18), d'une part, que l'article 52, paragraphe 1, de la même Charte admet des limitations à l'exercice de ces droits et libertés, pour autant que celles-ci soient prévues par la loi, qu'elles respectent le contenu essentiel de ces droits et que, dans le respect du principe de proportionnalité, elles soient nécessaires et répondent effectivement à des objectifs d'intérêt général reconnus par l'Union ou au besoin de protection des droits et des libertés d'autrui, d'autre part, que la protection du droit fondamental au respect de la vie privée exige que les dérogations à la protection des données à caractère personnel et les limitations de celle-ci s'opèrent dans les limites du strict nécessaire et, enfin, qu'au nombre des objectifs d'intérêt général reconnus par le droit de l'Union figurent la lutte contre la criminalité et la sauvegarde de la sécurité publique.
9. La directive du 27 avril 2016, en particulier son article 10 s'agissant des données sensibles, a notamment pour objet d'assurer la mise en oeuvre des dispositions de la Charte mentionnées au point 8, pour ce qui concerne les traitements de données à caractère personnel qui entrent dans son champ d'application. Pour les motifs énoncés aux points 5 à 8, et sans qu'il soit besoin, en l'absence de tout doute raisonnable quant à la portée de ces dernières dispositions, de saisir la Cour de justice de l'Union européenne d'une question préjudicielle, l'association requérante, qui ne peut utilement se prévaloir des conditions dans lesquelles les dispositions réglementaires litigieuses sont susceptibles d'être mises en oeuvre par les agents compétents, n'est, en tout état de cause, pas fondée à soutenir que celles-ci seraient contraires à la Charte en ce qu'elles méconnaîtraient l'essence même du droit à la vie privée, du droit à la protection des données et du droit à la liberté d'expression.
Sur l'alinéa 59 de l'article R. 40-26 du code de procédure pénale
10. En premier lieu, il résulte de l'article 2 du règlement européen relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (" RGPD ") que ce dernier ne s'applique pas aux traitements de données à caractère personnel effectués par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière.
11. Ainsi qu'il a été dit au point 1, l'article 230-6 du code de procédure pénale assigne au A... la finalité de " faciliter la constatation des infractions à la loi pénale, le rassemblement des preuves de ces infractions et la recherche de leurs auteurs ", notamment pour les " procédures de recherche des causes de la mort mentionnées à l'article 74 ou de recherche des causes d'une disparition mentionnées à l'article 74-1 ". En vertu de l'article 74 du même code, une enquête pénale en recherche des causes de la mort peut être ordonnée par le procureur en cas de découverte d'un cadavre. Selon l'article 74-1 de ce code, les disparitions inquiétantes peuvent donner lieu soit à l'ouverture immédiate d'une information judiciaire, soit à la réalisation d'actes d'enquête suivie le cas échéant d'investigations réalisées " dans les formes de l'enquête préliminaire ". L'alinéa 59 de l'article R. 40-26 du code de procédure pénale, qui permet l'enregistrement dans le A... de la photographie des personnes physiques faisant l'objet d'une enquête ou d'une instruction pour recherche des causes de la mort ou d'une disparition, autorise ainsi des opérations de traitement de données à caractère personnel par les autorités compétentes à des fins d'enquêtes pénales. Par suite, l'association requérante ne peut utilement soutenir que ces dispositions, auxquelles s'appliquent les dispositions législatives prises pour la transposition de la directive du 27 avril 2016 et non le RGPD, méconnaîtraient l'article 9 de ce règlement.
12. En second lieu, si l'association requérante soutient que les dispositions de l'alinéa 59 de l'article R. 40-26 du code de procédure pénale sont contraires à l'article 10 de la directive 2016/680 et aux dispositions de la Charte des droits fondamentaux de l'Union européenne mentionnées au point 8, elle n'assortit ces moyens d'aucune autre argumentation que celle qu'elle soulève contre l'alinéa 16 du même article R. 40-26. Pour les motifs précédemment mentionnés, et alors que l'association requérante ne soutient pas que la finalité mentionnée au point 11 ne serait pas légitime, ces moyens ne peuvent qu'être écartés.
13. Il résulte de tout ce qui précède que l'association La Quadrature du Net n'est pas fondée à demander l'annulation de la décision attaquée. Sa requête doit par suite être rejetée, y compris ses conclusions à fin d'injonction et celles tendant à ce qu'une somme soit mise à la charge de l'Etat au titre de l'article L. 761-1 du code de justice administrative.
D E C I D E :
--------------
Article 1er : La requête de la Quadrature du Net est rejetée.
Article 2 : La présente décision sera notifiée à l'association La Quadrature du Net, au Premier ministre et au ministre de l'intérieur.
Copie en sera adressée au garde des sceaux, ministre de la justice.
Délibéré à l'issue de la séance du 17 mars 2022 où siégeaient : M. Bertrand Dacosta, président de chambre, présidant ; M. Alexandre Lallet, conseiller d'Etat et Mme Myriam Benlolo Carabot, maître des requêtes en service extraordinaire-rapporteure.
Rendu le 26 avril 2022.
Le président :
Signé : M. Bertrand Dacosta
La rapporteure :
Signé : Mme Myriam Benlolo Carabot
La secrétaire :
Signé : Mme B... C...