Conseil d'État
N° 489990
ECLI:FR:CEORD:2023:489990.20231221
Inédit au recueil Lebon
Juge des référés
Mme Anne Courrèges, président
Mme A Courrèges, rapporteur
FELTESSE WARUSFEL PASQUIER & ASSOCIES, avocats
Lecture du jeudi 21 décembre 2023
Vu la procédure suivante :
La Ligue des droits de l'homme, le Syndicat de la magistrature et l'Union syndicale Solidaires, d'une part, l'Association de défense des libertés constitutionnelles et le Syndicat des avocats de France, d'autre part, ont demandé au juge des référés du tribunal administratif de Caen, statuant sur le fondement de l'article L. 521-2 du code de justice administrative, d'enjoindre à la communauté de communes Coeur Côte Fleurie de cesser immédiatement l'usage du logiciel édité par la société BriefCam, de mettre sous séquestre auprès de la Commission nationale informatique et libertés (CNIL) la version du logiciel utilisé et l'ensemble des données et métadonnées issues du traitement de données litigieux et d'ordonner toutes mesures utiles afin de faire cesser les atteintes graves et manifestement illégales portées aux libertés fondamentales.
Par une ordonnance nos 2303004, 2303012 du 22 novembre 2023, le juge des référés du tribunal administratif de Caen a enjoint à la communauté de communes Coeur Côte Fleurie de procéder, dans un délai de cinq jours à compter de la notification de l'ordonnance, à l'effacement des données à caractère personnel contenues dans le fichier initialement constitué et dans toutes les copies, totales ou partielles, qui auraient pu en être faites, à l'exception d'un seul exemplaire à placer sous séquestre auprès de la CNIL dans un délai d'un mois.
Par une requête, un nouveau mémoire et un mémoire en réplique, enregistrés les 7, 12 et 14 décembre 2023 au secrétariat du contentieux du Conseil d'Etat, la communauté de communes Coeur Côte Fleurie demande au juge des référés du Conseil d'Etat, statuant sur le fondement de l'article L. 521-2 du code de justice administrative :
1°) d'annuler cette ordonnance ;
2°) de rejeter les demandes présentées par la Ligue des droits de l'homme, le Syndicat de la magistrature, l'Union syndicale Solidaires, l'Association de défense des libertés constitutionnelles et le Syndicat des avocats de France ;
3°) de mettre à la charge de la Ligue des droits de l'homme, du Syndicat de la magistrature, de l'Union syndicale Solidaires, de l'Association de défense des libertés constitutionnelles et du Syndicat des avocats de France la somme de 4 000 euros au titre de l'article L. 761-1 du code de justice administrative.
Elle soutient que :
- l'ordonnance attaquée a été rendue au terme d'une procédure irrégulière, en méconnaissance du caractère contradictoire de l'instruction ;
- la condition d'urgence n'est pas satisfaite dès lors que ses communes membres et elle-même n'utilisent pas les fonctionnalités de reconnaissance faciale du logiciel BriefCam et n'ont aucune intention d'y recourir, que seule une cinquantaine de caméras est concernée, qu'à la suite des opérations mises en oeuvre pour exécuter l'ordonnance attaquée, le logiciel a été détérioré dans des conditions rendant impossible l'usage des fonctionnalités dénoncées et nécessitant une réinstallation qui ne pourra intervenir à court terme et que le temps mis à saisir le juge des référés est excessif dès lors que l'utilisation du logiciel BriefCam et ses fonctionnalités sont connues depuis de nombreuses années ;
- elle n'a pas porté d'atteinte grave et manifestement illégale à une liberté fondamentale ;
- si une minorité des caméras de vidéoprotection installées sur son territoire est connectée au logiciel BriefCam, aucune fonctionnalité de reconnaissance faciale n'a été activée, aucune des requêtes effectuées par les utilisateurs n'a concerné l'utilisation de telles fonctionnalités et celle-ci n'est pas possible ;
- elle ne dispose d'aucun pouvoir de police et d'aucune compétence pour prendre des décisions en cette matière à la place de ses communes membres et ne saurait être regardée comme responsable de traitement au sens du RGPD et de la directive 2016/680 du 27 avril 2016 ;
- l'utilisation par elle de la fonction " Research " n'est faite qu'à des fins purement statistiques sur la mobilité et au vu de résultats agrégés, sans accès à la vidéo ;
- la fonction " Review " n'est pas utilisée en temps réel et la technologie contestée n'est pas utilisée pour analyser de façon proactive les comportements des individus ;
- le système mis en place est fondé sur les dispositions du code de la sécurité intérieure relatives à la vidéoprotection, a été autorisé par le préfet et respecte les exigences légales ;
- les moyens invoqués en première instance manquent en fait ;
- l'injonction prononcée est impossible à mettre en oeuvre, est disproportionnée et a des conséquences graves pour la protection de l'ordre public.
Par un mémoire en défense, enregistré le 13 décembre 2023, la Ligue des droits de l'homme conclut au rejet de la requête, par la voie de l'appel incident à ce qu'il soit enjoint à la communauté de communes Coeur Côte Fleurie de cesser de faire usage du logiciel BriefCam et de prendre toutes mesures utiles pour informer les personnes susceptibles d'avoir été filmées de l'existence des traitements de données à caractère personnel illégalement opérés ainsi que de leurs droits relatifs à ces traitements et à ce que soit mise à la charge de la communauté de communes Coeur Côte Fleurie une somme de 4 000 euros au titre de l'article L. 761-1 du code de justice administrative. Elle soutient que les délais laissés à la communauté de communes pour préparer sa défense et organiser sa présence à l'audience étaient suffisants pour assurer le caractère contradictoire de l'instruction, que la communauté de communes, qui doit être regardée comme responsable de traitements de données personnelles, a mis en place de tels traitements, notamment de vidéosurveillance augmentée, dans des conditions portant une atteinte grave et manifestement illégale au droit au respect de la vie privée et au droit au respect des données personnelles faute d'autorisation et de base légale et en raison, en tout état de cause, du non-respect des règles de protection des données personnelles prévues par la RGPD et la loi du 6 janvier 1978, que la condition d'urgence est satisfaite et que les injonctions prononcées doivent être complétées pour tirer les conséquences du constat de l'usage illégal du logiciel BriefCam.
Par un mémoire en intervention, enregistré le 13 décembre 2023, l'association La Quadrature du Net s'associe aux conclusions présentées par la Ligue des droits de l'homme, le Syndicat de la magistrature, l'Union syndicale Solidaires, l'Association de défense des libertés constitutionnelles et le Syndicat des avocats de France. Elle soutient que son intervention est recevable et précise que la communauté de communes Coeur Côte Fleurie est responsable du traitement de données personnelles que constitue le logiciel BriefCam, que la condition d'urgence est remplie et que la mise en oeuvre sans base légale du logiciel BriefCam porte une atteinte grave et manifestement illégale au droit à la vie privée et au droit à la protection des données personnelles.
Par un mémoire en défense, enregistré le 14 décembre 2023, l'Association de défense des libertés constitutionnelles, le Syndicat de la magistrature, l'Union syndicale Solidaires et le Syndicat des avocats de France concluent au rejet de la requête, par la voie de l'appel incident à ce qu'il soit enjoint à la communauté de communes Coeur Côte Fleurie de retirer immédiatement le logiciel BriefCam ainsi que tout autre traitement permettant d'appliquer des algorithmes aux images issues de son dispositif de télésurveillance et, subsidiairement, de faire procéder au blocage définitif des fonctions " Review " et " Research " de ce logiciel et de tout autre traitement comparable et à ce que soit mise à la charge de la communauté de communes Coeur Côte Fleurie une somme de 5 000 euros au titre de l'article L. 761-1 du code de justice administrative. Elle soutient que les moyens soulevés par la communauté de communes requérante ne sont pas fondés, que la condition d'urgence est satisfaite, que la communauté de communes, qui doit être regardée comme responsable du traitement litigieux, a mis en place un traitement de données à caractère personnel dans des conditions portant une atteinte grave et manifestement illégale au droit au respect de la vie privée qui comprend le droit au respect des données personnelles et à la liberté d'aller et venir en l'absence de base légale ou règlementaire en violation de l'article 34 de la Constitution et de l'article 8 de la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales ainsi que de l'article 8 de la directive (UE) 2016/680 dite " police justice " et en raison, en tout état de cause, du non-respect des garanties prévues par les dispositions applicables du droit de l'Union européenne et du droit interne, notamment faute d'analyse d'impact, et que les injonctions prononcées doivent être complétées pour tirer les conséquences du constat de l'usage illégal du logiciel BriefCam.
Par un mémoire en intervention, enregistré le 14 décembre 2023, la Confédération générale du travail s'associe aux conclusions présentées par la Ligue des droits de l'homme, le Syndicat de la magistrature, l'Union syndicale Solidaires, l'Association de défense des libertés constitutionnelles et le Syndicat des avocats de France. Elle soutient que son intervention est recevable et précise qu'aucun texte n'encadre ni n'autorise le recours à un système de vidéosurveillance couplé avec des logiciels d'intelligence artificielle, que les finalités déclarées ne sont pas au nombre de celles prévues à l'article L. 251-2 du code de la sécurité intérieure et que la communauté de communes ne démontre pas que des mesures suffisantes auraient été prises pour prévenir et faire obstacle à des usages non conformes aux règles en matière de protection des données.
La requête a été communiquée au ministre de l'intérieur et des outre-mer qui n'a pas produit d'observations.
Après avoir convoqué à une audience publique, d'une part, la communauté de communes Coeur Côte Fleurie, d'autre part, la Ligue des droits de l'homme, le Syndicat de la magistrature, l'Union syndicale Solidaires, l'Association de défense des libertés constitutionnelles, le Syndicat des avocats de France, l'association La Quadrature du Net et la Confédération générale du travail et, enfin, le ministre de l'intérieur et des outre-mer et la CNIL ;
Ont été entendus lors de l'audience publique du 15 décembre 2023, à 10 heures 30 :
- Me Colin, avocat au Conseil d'Etat et à la Cour de cassation, avocat de la communauté de communes Coeur Côte Fleurie ;
- les représentants de la communauté de communes Coeur Côte Fleurie ;
- Me Spinosi, avocat au Conseil d'Etat et à la Cour de cassation, avocat de la Ligue des droits de l'homme ;
- la représentante de la Ligue des droits de l'homme et de la Confédération générale du travail ;
- Me Mathonnet, avocat au Conseil d'Etat et à la Cour de cassation, avocat du Syndicat de la magistrature, de l'Union syndicale Solidaires et du Syndicat des avocats de France, ainsi que de l'Association de défense des libertés constitutionnelles ;
- les représentants du Syndicat de la magistrature et de l'Association de défense des libertés constitutionnelles ;
- Me de La Burgade, avocat au Conseil d'Etat et à la Cour de cassation, avocat de l'association La Quadrature du Net ;
- le représentant de l'association La Quadrature du Net ;
- les représentants de la CNIL.
Durant l'audience, les organisations en défense ont soulevé une exception de non-lieu, indiquant que le litige avait perdu son objet compte tenu de la détérioration du logiciel litigieux sans perspective de réinstallation à court terme.
A l'issue de l'audience, la juge des référés a différé la clôture de l'instruction au 18 décembre 2023 à 12 heures.
Par un nouveau mémoire en intervention, enregistré le 17 décembre 2023, l'association La Quadrature du Net soutient que le litige conserve un objet et qu'il existe bien un traitement de données personnelles dont la communauté de communes est responsable, qui entre dans le champ d'application de la directive dite " police-justice " et qui est dépourvu de base légale.
Par deux nouveaux mémoires, enregistrés le 18 décembre 2023, la communauté de communes Coeur Côte Fleurie persiste dans ses conclusions et demande en outre que l'intervention de la Confédération générale du travail (CGT) soit déclarée irrecevable et qu'une somme de 4 000 euros soit mise à la charge de celle-ci au titre de l'article L. 761-1 du code de justice administrative. Elle soutient que l'injonction prononcée par l'ordonnance attaquée lui fait grief, que le litige conserve un objet dès lors qu'elle n'est pas définitivement hors d'état d'utiliser le logiciel contesté, que l'intervention de la CGT est irrecevable, que l'urgence est d'autant moins caractérisée que l'acquisition de ce logiciel par un nombre important de collectivités publiques et les interrogations sur les règles juridiques applicables sont publiquement connues depuis plusieurs années et qu'aucune illégalité manifeste ne saurait être retenue.
La Commission nationale de l'informatique et des libertés a produit des observations, enregistrées le 18 décembre 2023.
Par un nouveau mémoire en intervention, enregistré le 18 décembre 2023, la CGT indique que le logiciel contesté permet à la communauté de communes d'utiliser la technologie de reconnaissance faciale et de télésurveillance algorithmique en temps réel, que l'intercommunalité utilise en temps réel cette seconde fonctionnalité, qui n'a pas été désactivée, alors qu'elle doit être autorisée par la loi, que l'analyse algorithmique d'images enregistrées en temps différé n'est pas réalisée dans des conditions permettant aux intéressés de faire valoir leur droit d'opposition, que le traitement est en réalité illégalement exploité pour le compte de l'Etat, au bénéfice des autorités de police et de gendarmerie, et que les conclusions dirigées contre elle au titre de l'article L. 761-1 du code de justice administrative sont irrecevables.
Vu les autres pièces du dossier ;
Vu :
- la Constitution ;
- la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales ;
- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
- la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 ;
- le code de la sécurité intérieure ;
- la loi n° 78-17 du 6 janvier 1978 ;
- le code de justice administrative ;
Considérant ce qui suit :
1. Aux termes de l'article L. 521-2 du code de justice administrative : " Saisi d'une demande en ce sens justifiée par l'urgence, le juge des référés peut ordonner toutes mesures nécessaires à la sauvegarde d'une liberté fondamentale à laquelle une personne morale de droit public ou un organisme de droit privé chargé de la gestion d'un service public aurait porté, dans l'exercice d'un de ses pouvoirs, une atteinte grave et manifestement illégale. (...) ".
2. Aux termes de l'article L. 251-2 du code de la sécurité intérieure : " Des systèmes de vidéoprotection peuvent être mis en oeuvre sur la voie publique par les autorités publiques compétentes aux fins d'assurer : / 1° La protection des bâtiments et installations publics et de leurs abords ; / (...) 3° La régulation des flux de transport ; / 4° La constatation des infractions aux règles de la circulation ; / 5° La prévention des atteintes à la sécurité des personnes et des biens dans des lieux particulièrement exposés (...) ". En vertu de l'article L. 251-1 du même code : " Les systèmes de vidéoprotection remplissant les conditions fixées à l'article L. 251-2 sont des traitements de données à caractère personnel régis par le présent titre, par le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/ CE (règlement général sur la protection des données) et par la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ". Selon l'article L. 252-1 de ce code : " L'installation d'un système de vidéoprotection dans le cadre du présent titre est subordonnée à une autorisation du représentant de l'Etat dans le département (...) après avis de la commission départementale de vidéoprotection (...) ".
3. Sur le fondement de ces dispositions, le préfet du Calvados a, par arrêté du 23 septembre 2019, reconduit, pour une durée de cinq ans, l'autorisation délivrée à la communauté de communes Coeur Côte Fleurie d'installer un système de vidéoprotection en divers emplacements de son territoire et, par des arrêtés du 24 octobre 2019 et 17 juin 2021, autorisé l'exploitation d'un tel système pour les déchetteries de cette intercommunalité. Ce système comporte environ 200 caméras, relevant soit de la sphère de compétence de la communauté de communes soit de celle des communes, avec des serveurs dédiés pour chaque commune mais gérés par la communauté de communes. Il résulte de l'instruction qu'une quarantaine de ces caméras, situées principalement en périphérie et placées à des endroits stratégiques qualifiés de " lignes de fuite ", ont été couplées au logiciel algorithmique édité par la société BriefCam.
4. La Ligue des droits de l'homme, le Syndicat de la magistrature et l'Union syndicale Solidaires, d'une part, l'Association de défense des libertés constitutionnelles et le Syndicat des avocats de France, d'autre part, ont demandé au juge des référés du tribunal administratif de Caen, statuant sur le fondement de l'article L. 521-2 du code de justice administrative, d'enjoindre à la communauté de communes Coeur Côte Fleurie de cesser immédiatement l'usage du logiciel édité par la société BriefCam, Par une ordonnance du 22 novembre 2023, ce juge des référés a enjoint à la communauté de communes Coeur Côte Fleurie de procéder, dans un délai de cinq jours, à l'effacement des données à caractère personnel contenues dans le fichier initialement constitué et dans toutes les copies, totales ou partielles, qui auraient pu en être faites, à l'exception d'un seul exemplaire à placer sous séquestre auprès de la Commission nationale de l'informatique et des libertés (CNIL) dans un délai d'un mois. La communauté de communes Coeur Côte Fleurie relève appel de cette ordonnance.
Sur les interventions :
5. Eu égard à leur objet statutaire et à la nature du litige, l'association La Quadrature du Net et la Confédération générale du travail justifient d'un intérêt suffisant pour intervenir en défense. Ainsi, leur intervention est recevable.
Sur la demande de référé :
6. Il appartient au requérant qui saisit le juge des référés sur le fondement des dispositions de l'article L. 521-2 du code de justice administrative de justifier des circonstances particulières caractérisant la nécessité pour lui de bénéficier à très bref délai d'une mesure de la nature de celles qui peuvent être ordonnées sur le fondement de cet article.
7. En premier lieu, si les requérants font valoir les atteintes qu'ils estiment portées à plusieurs libertés fondamentales, dont le droit au respect de la vie privée, qui comprend le droit à la protection de ses données personnelles, et la liberté d'aller et venir, la circonstance qu'une atteinte à une liberté fondamentale serait avérée n'est, par elle-même, pas de nature à caractériser l'existence d'une situation d'urgence.
8. En second lieu, d'une part, s'il n'est pas contesté que le logiciel litigieux dispose de fonctionnalités qui permettent de procéder à de la reconnaissance faciale, alors que l'usage de telles techniques est légalement interdit, il résulte des déclarations en appel de la communauté de communes Coeur Côte Fleurie, qui n'avait pas défendu en première instance, que ces fonctionnalités, pourtant présentes depuis 2018 à la suite d'une mise à jour du logiciel, n'ont jamais été activées dans son ressort. La communauté de communes produit des attestations du préfet du Calvados, de la Procureure de la République du tribunal judiciaire de Lisieux et des communes dont les services de police municipale utilisent les images des caméras couplées au logiciel BriefCam, selon lesquelles les " surcouches " en cause n'ont pas été utilisées ni leur mobilisation demandée. Elle produit également le constat d'un commissaire de justice réalisé dans le cadre de la présente procédure dont il ressort, sans que cela soit sérieusement contesté, que les fonctionnalités en cause sont désactivées et ne sont pas utilisables, même en phase de test. Par ailleurs, si la communauté de communes utilise le module " Research " du logiciel, il résulte de l'instruction qu'elle en fait un usage à des fins purement statistiques sur la mobilité par la détermination des flux de circulation sur les grands axes et au vu de résultats agrégés sur le nombre de véhicules, sans accès aux images.
9. D'autre part, s'il est vrai que le logiciel en cause comporte, dans le module " Review ", des fonctionnalité d'analyse des images, notamment par l'application de filtres, par exemple par sexe, taille ou par type de vêtements, ou d'analyse des comportements de déplacement, la communauté de communes indique, que le logiciel n'est pas utilisé pour assurer, par la mise en oeuvre de traitements algorithmiques, un suivi de manière automatisée des personnes ou détecter des événements et déclencher des alertes en temps réel, le module " Respond " dont peut être équipé le logiciel n'étant d'ailleurs pas disponible. Déployé dans l'intercommunalité depuis plusieurs années, pour un nombre limité de caméras, il apparaît, en l'état de l'instruction, que ce système, tel qu'il est calibré et peut raisonnablement être mobilisé, n'est utilisé que pour une relecture en différé, sur une zone et un temps limités, des images collectées par les caméras concernées, notamment en vue d'une analyse de véhicules et une recherche de plaques d'immatriculation, pour les besoins d'une enquête et participe au bon déroulement de celle-ci en réduisant les délais de lecture et d'exploitation de ces images.
10. Enfin et en tout état de cause, il ressort d'une expertise technique menée à la demande de la communauté de communes que les opérations mises en oeuvre pour assurer l'exécution de l'ordonnance attaquée ont causé la détérioration du logiciel, qui n'est plus fonctionnel, notamment en ce qu'il n'est plus possible d'importer des éléments vidéo et de les exploiter. Il en ressort également que les efforts pour le remettre en service, malgré le support de l'éditeur du logiciel, n'ont pas pu aboutir. Il en résulte qu'à la date de la présente ordonnance, aucune utilisation du logiciel n'est techniquement possible. Selon les déclarations de la communauté de communes à l'audience, une remise en service ne serait pas envisageable avant plusieurs semaines. Si une telle circonstance n'est pas de nature, contrairement ce que soutiennent les organisations en défense, à priver d'objet le litige dès lors que l'injonction prononcée, notamment la mise sous séquestre ordonnée, continue de produire des effets et que l'impossibilité actuelle d'utiliser le logiciel n'est pas définitive, elle limite, à l'heure actuelle et pour un certain temps, les atteintes susceptibles de découler de la détention, dans le ressort de la communauté de communes Coeur Côte Fleurie, du logiciel litigieux.
11. Dans ces conditions et alors que comme l'a indiqué la CNIL, une procédure de contrôle de l'usage par les collectivités publiques du logiciel contesté est en cours et devrait aboutir dans quelques semaines et que, par ailleurs, la question des conditions d'utilisation d'algorithmes sur des séquences vidéo enregistrées fera l'objet de travaux de sa part au cours du premier semestre 2024, il n'est pas justifié, à la date de la présente ordonnance, d'une situation d'urgence particulière, de nature à conduire le juge des référés à prendre à très bref délai des mesures conservatoires sur le fondement de l'article L. 521-2 du code de justice administrative.
12. Il résulte de ce qui précède que la communauté de communes Coeur Côte Fleurie est fondée à soutenir que c'est à tort que, par l'ordonnance attaquée, le juge des référés du tribunal administratif de Caen a prononcé une injonction à son encontre. Il y a lieu d'annuler cette ordonnance et de rejeter les conclusions présentées en première instance et en appel par la Ligue des droits de l'homme, le Syndicat de la magistrature et l'Union syndicale Solidaires, l'Association de défense des libertés constitutionnelles et le Syndicat des avocats de France.
Sur les conclusions au titre de l'article L. 761-1 du code de justice administrative :
13. Les dispositions de l'article L. 761-1 du code de justice administrative font obstacle à ce qu'une somme soit mise, à ce titre, à la charge de la communauté de communes Coeur Côte Fleurie, qui n'est pas, dans la présente instance, la partie perdante. Il n'y a pas lieu, dans les circonstances de l'espèce, de faire droit aux conclusions présentées par cette communauté de communes au titre des mêmes dispositions.
O R D O N N E :
------------------
Article 1er : Les interventions de l'association La Quadrature du Net et de la CGT sont admises.
Article 2 : L'ordonnance du juge des référés du tribunal administratif de Caen du 22 novembre 2023 est annulée.
Article 3 : Les demandes présentées par la Ligue des droits de l'homme, le Syndicat de la magistrature et l'Union syndicale Solidaires, l'Association de défense des libertés constitutionnelles et le Syndicat des avocats de France devant le juge des référés du tribunal administratif de Caen sont rejetées.
Article 4 : Les conclusions présentées au titre de l'article L. 761-1 du code de justice administrative sont rejetées.
Article 5 : La présente ordonnance sera notifiée à la communauté de communes Coeur Côte Fleurie ainsi qu'à la Ligue des droits de l'homme, au Syndicat de la magistrature, à l'Union syndicale Solidaires, à l'Association de défense des libertés constitutionnelles, au Syndicat des avocats de France, à l'association La Quadrature du Net et à la Confédération générale du travail.
Copie en sera adressée au ministre de l'intérieur et des outre-mer et à Commission nationale informatique et libertés.
Fait à Paris, le 21 décembre 2023
Signé : Anne Courrèges
N° 489990
ECLI:FR:CEORD:2023:489990.20231221
Inédit au recueil Lebon
Juge des référés
Mme Anne Courrèges, président
Mme A Courrèges, rapporteur
FELTESSE WARUSFEL PASQUIER & ASSOCIES, avocats
Lecture du jeudi 21 décembre 2023
REPUBLIQUE FRANCAISE
AU NOM DU PEUPLE FRANCAIS
AU NOM DU PEUPLE FRANCAIS
Vu la procédure suivante :
La Ligue des droits de l'homme, le Syndicat de la magistrature et l'Union syndicale Solidaires, d'une part, l'Association de défense des libertés constitutionnelles et le Syndicat des avocats de France, d'autre part, ont demandé au juge des référés du tribunal administratif de Caen, statuant sur le fondement de l'article L. 521-2 du code de justice administrative, d'enjoindre à la communauté de communes Coeur Côte Fleurie de cesser immédiatement l'usage du logiciel édité par la société BriefCam, de mettre sous séquestre auprès de la Commission nationale informatique et libertés (CNIL) la version du logiciel utilisé et l'ensemble des données et métadonnées issues du traitement de données litigieux et d'ordonner toutes mesures utiles afin de faire cesser les atteintes graves et manifestement illégales portées aux libertés fondamentales.
Par une ordonnance nos 2303004, 2303012 du 22 novembre 2023, le juge des référés du tribunal administratif de Caen a enjoint à la communauté de communes Coeur Côte Fleurie de procéder, dans un délai de cinq jours à compter de la notification de l'ordonnance, à l'effacement des données à caractère personnel contenues dans le fichier initialement constitué et dans toutes les copies, totales ou partielles, qui auraient pu en être faites, à l'exception d'un seul exemplaire à placer sous séquestre auprès de la CNIL dans un délai d'un mois.
Par une requête, un nouveau mémoire et un mémoire en réplique, enregistrés les 7, 12 et 14 décembre 2023 au secrétariat du contentieux du Conseil d'Etat, la communauté de communes Coeur Côte Fleurie demande au juge des référés du Conseil d'Etat, statuant sur le fondement de l'article L. 521-2 du code de justice administrative :
1°) d'annuler cette ordonnance ;
2°) de rejeter les demandes présentées par la Ligue des droits de l'homme, le Syndicat de la magistrature, l'Union syndicale Solidaires, l'Association de défense des libertés constitutionnelles et le Syndicat des avocats de France ;
3°) de mettre à la charge de la Ligue des droits de l'homme, du Syndicat de la magistrature, de l'Union syndicale Solidaires, de l'Association de défense des libertés constitutionnelles et du Syndicat des avocats de France la somme de 4 000 euros au titre de l'article L. 761-1 du code de justice administrative.
Elle soutient que :
- l'ordonnance attaquée a été rendue au terme d'une procédure irrégulière, en méconnaissance du caractère contradictoire de l'instruction ;
- la condition d'urgence n'est pas satisfaite dès lors que ses communes membres et elle-même n'utilisent pas les fonctionnalités de reconnaissance faciale du logiciel BriefCam et n'ont aucune intention d'y recourir, que seule une cinquantaine de caméras est concernée, qu'à la suite des opérations mises en oeuvre pour exécuter l'ordonnance attaquée, le logiciel a été détérioré dans des conditions rendant impossible l'usage des fonctionnalités dénoncées et nécessitant une réinstallation qui ne pourra intervenir à court terme et que le temps mis à saisir le juge des référés est excessif dès lors que l'utilisation du logiciel BriefCam et ses fonctionnalités sont connues depuis de nombreuses années ;
- elle n'a pas porté d'atteinte grave et manifestement illégale à une liberté fondamentale ;
- si une minorité des caméras de vidéoprotection installées sur son territoire est connectée au logiciel BriefCam, aucune fonctionnalité de reconnaissance faciale n'a été activée, aucune des requêtes effectuées par les utilisateurs n'a concerné l'utilisation de telles fonctionnalités et celle-ci n'est pas possible ;
- elle ne dispose d'aucun pouvoir de police et d'aucune compétence pour prendre des décisions en cette matière à la place de ses communes membres et ne saurait être regardée comme responsable de traitement au sens du RGPD et de la directive 2016/680 du 27 avril 2016 ;
- l'utilisation par elle de la fonction " Research " n'est faite qu'à des fins purement statistiques sur la mobilité et au vu de résultats agrégés, sans accès à la vidéo ;
- la fonction " Review " n'est pas utilisée en temps réel et la technologie contestée n'est pas utilisée pour analyser de façon proactive les comportements des individus ;
- le système mis en place est fondé sur les dispositions du code de la sécurité intérieure relatives à la vidéoprotection, a été autorisé par le préfet et respecte les exigences légales ;
- les moyens invoqués en première instance manquent en fait ;
- l'injonction prononcée est impossible à mettre en oeuvre, est disproportionnée et a des conséquences graves pour la protection de l'ordre public.
Par un mémoire en défense, enregistré le 13 décembre 2023, la Ligue des droits de l'homme conclut au rejet de la requête, par la voie de l'appel incident à ce qu'il soit enjoint à la communauté de communes Coeur Côte Fleurie de cesser de faire usage du logiciel BriefCam et de prendre toutes mesures utiles pour informer les personnes susceptibles d'avoir été filmées de l'existence des traitements de données à caractère personnel illégalement opérés ainsi que de leurs droits relatifs à ces traitements et à ce que soit mise à la charge de la communauté de communes Coeur Côte Fleurie une somme de 4 000 euros au titre de l'article L. 761-1 du code de justice administrative. Elle soutient que les délais laissés à la communauté de communes pour préparer sa défense et organiser sa présence à l'audience étaient suffisants pour assurer le caractère contradictoire de l'instruction, que la communauté de communes, qui doit être regardée comme responsable de traitements de données personnelles, a mis en place de tels traitements, notamment de vidéosurveillance augmentée, dans des conditions portant une atteinte grave et manifestement illégale au droit au respect de la vie privée et au droit au respect des données personnelles faute d'autorisation et de base légale et en raison, en tout état de cause, du non-respect des règles de protection des données personnelles prévues par la RGPD et la loi du 6 janvier 1978, que la condition d'urgence est satisfaite et que les injonctions prononcées doivent être complétées pour tirer les conséquences du constat de l'usage illégal du logiciel BriefCam.
Par un mémoire en intervention, enregistré le 13 décembre 2023, l'association La Quadrature du Net s'associe aux conclusions présentées par la Ligue des droits de l'homme, le Syndicat de la magistrature, l'Union syndicale Solidaires, l'Association de défense des libertés constitutionnelles et le Syndicat des avocats de France. Elle soutient que son intervention est recevable et précise que la communauté de communes Coeur Côte Fleurie est responsable du traitement de données personnelles que constitue le logiciel BriefCam, que la condition d'urgence est remplie et que la mise en oeuvre sans base légale du logiciel BriefCam porte une atteinte grave et manifestement illégale au droit à la vie privée et au droit à la protection des données personnelles.
Par un mémoire en défense, enregistré le 14 décembre 2023, l'Association de défense des libertés constitutionnelles, le Syndicat de la magistrature, l'Union syndicale Solidaires et le Syndicat des avocats de France concluent au rejet de la requête, par la voie de l'appel incident à ce qu'il soit enjoint à la communauté de communes Coeur Côte Fleurie de retirer immédiatement le logiciel BriefCam ainsi que tout autre traitement permettant d'appliquer des algorithmes aux images issues de son dispositif de télésurveillance et, subsidiairement, de faire procéder au blocage définitif des fonctions " Review " et " Research " de ce logiciel et de tout autre traitement comparable et à ce que soit mise à la charge de la communauté de communes Coeur Côte Fleurie une somme de 5 000 euros au titre de l'article L. 761-1 du code de justice administrative. Elle soutient que les moyens soulevés par la communauté de communes requérante ne sont pas fondés, que la condition d'urgence est satisfaite, que la communauté de communes, qui doit être regardée comme responsable du traitement litigieux, a mis en place un traitement de données à caractère personnel dans des conditions portant une atteinte grave et manifestement illégale au droit au respect de la vie privée qui comprend le droit au respect des données personnelles et à la liberté d'aller et venir en l'absence de base légale ou règlementaire en violation de l'article 34 de la Constitution et de l'article 8 de la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales ainsi que de l'article 8 de la directive (UE) 2016/680 dite " police justice " et en raison, en tout état de cause, du non-respect des garanties prévues par les dispositions applicables du droit de l'Union européenne et du droit interne, notamment faute d'analyse d'impact, et que les injonctions prononcées doivent être complétées pour tirer les conséquences du constat de l'usage illégal du logiciel BriefCam.
Par un mémoire en intervention, enregistré le 14 décembre 2023, la Confédération générale du travail s'associe aux conclusions présentées par la Ligue des droits de l'homme, le Syndicat de la magistrature, l'Union syndicale Solidaires, l'Association de défense des libertés constitutionnelles et le Syndicat des avocats de France. Elle soutient que son intervention est recevable et précise qu'aucun texte n'encadre ni n'autorise le recours à un système de vidéosurveillance couplé avec des logiciels d'intelligence artificielle, que les finalités déclarées ne sont pas au nombre de celles prévues à l'article L. 251-2 du code de la sécurité intérieure et que la communauté de communes ne démontre pas que des mesures suffisantes auraient été prises pour prévenir et faire obstacle à des usages non conformes aux règles en matière de protection des données.
La requête a été communiquée au ministre de l'intérieur et des outre-mer qui n'a pas produit d'observations.
Après avoir convoqué à une audience publique, d'une part, la communauté de communes Coeur Côte Fleurie, d'autre part, la Ligue des droits de l'homme, le Syndicat de la magistrature, l'Union syndicale Solidaires, l'Association de défense des libertés constitutionnelles, le Syndicat des avocats de France, l'association La Quadrature du Net et la Confédération générale du travail et, enfin, le ministre de l'intérieur et des outre-mer et la CNIL ;
Ont été entendus lors de l'audience publique du 15 décembre 2023, à 10 heures 30 :
- Me Colin, avocat au Conseil d'Etat et à la Cour de cassation, avocat de la communauté de communes Coeur Côte Fleurie ;
- les représentants de la communauté de communes Coeur Côte Fleurie ;
- Me Spinosi, avocat au Conseil d'Etat et à la Cour de cassation, avocat de la Ligue des droits de l'homme ;
- la représentante de la Ligue des droits de l'homme et de la Confédération générale du travail ;
- Me Mathonnet, avocat au Conseil d'Etat et à la Cour de cassation, avocat du Syndicat de la magistrature, de l'Union syndicale Solidaires et du Syndicat des avocats de France, ainsi que de l'Association de défense des libertés constitutionnelles ;
- les représentants du Syndicat de la magistrature et de l'Association de défense des libertés constitutionnelles ;
- Me de La Burgade, avocat au Conseil d'Etat et à la Cour de cassation, avocat de l'association La Quadrature du Net ;
- le représentant de l'association La Quadrature du Net ;
- les représentants de la CNIL.
Durant l'audience, les organisations en défense ont soulevé une exception de non-lieu, indiquant que le litige avait perdu son objet compte tenu de la détérioration du logiciel litigieux sans perspective de réinstallation à court terme.
A l'issue de l'audience, la juge des référés a différé la clôture de l'instruction au 18 décembre 2023 à 12 heures.
Par un nouveau mémoire en intervention, enregistré le 17 décembre 2023, l'association La Quadrature du Net soutient que le litige conserve un objet et qu'il existe bien un traitement de données personnelles dont la communauté de communes est responsable, qui entre dans le champ d'application de la directive dite " police-justice " et qui est dépourvu de base légale.
Par deux nouveaux mémoires, enregistrés le 18 décembre 2023, la communauté de communes Coeur Côte Fleurie persiste dans ses conclusions et demande en outre que l'intervention de la Confédération générale du travail (CGT) soit déclarée irrecevable et qu'une somme de 4 000 euros soit mise à la charge de celle-ci au titre de l'article L. 761-1 du code de justice administrative. Elle soutient que l'injonction prononcée par l'ordonnance attaquée lui fait grief, que le litige conserve un objet dès lors qu'elle n'est pas définitivement hors d'état d'utiliser le logiciel contesté, que l'intervention de la CGT est irrecevable, que l'urgence est d'autant moins caractérisée que l'acquisition de ce logiciel par un nombre important de collectivités publiques et les interrogations sur les règles juridiques applicables sont publiquement connues depuis plusieurs années et qu'aucune illégalité manifeste ne saurait être retenue.
La Commission nationale de l'informatique et des libertés a produit des observations, enregistrées le 18 décembre 2023.
Par un nouveau mémoire en intervention, enregistré le 18 décembre 2023, la CGT indique que le logiciel contesté permet à la communauté de communes d'utiliser la technologie de reconnaissance faciale et de télésurveillance algorithmique en temps réel, que l'intercommunalité utilise en temps réel cette seconde fonctionnalité, qui n'a pas été désactivée, alors qu'elle doit être autorisée par la loi, que l'analyse algorithmique d'images enregistrées en temps différé n'est pas réalisée dans des conditions permettant aux intéressés de faire valoir leur droit d'opposition, que le traitement est en réalité illégalement exploité pour le compte de l'Etat, au bénéfice des autorités de police et de gendarmerie, et que les conclusions dirigées contre elle au titre de l'article L. 761-1 du code de justice administrative sont irrecevables.
Vu les autres pièces du dossier ;
Vu :
- la Constitution ;
- la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales ;
- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
- la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 ;
- le code de la sécurité intérieure ;
- la loi n° 78-17 du 6 janvier 1978 ;
- le code de justice administrative ;
Considérant ce qui suit :
1. Aux termes de l'article L. 521-2 du code de justice administrative : " Saisi d'une demande en ce sens justifiée par l'urgence, le juge des référés peut ordonner toutes mesures nécessaires à la sauvegarde d'une liberté fondamentale à laquelle une personne morale de droit public ou un organisme de droit privé chargé de la gestion d'un service public aurait porté, dans l'exercice d'un de ses pouvoirs, une atteinte grave et manifestement illégale. (...) ".
2. Aux termes de l'article L. 251-2 du code de la sécurité intérieure : " Des systèmes de vidéoprotection peuvent être mis en oeuvre sur la voie publique par les autorités publiques compétentes aux fins d'assurer : / 1° La protection des bâtiments et installations publics et de leurs abords ; / (...) 3° La régulation des flux de transport ; / 4° La constatation des infractions aux règles de la circulation ; / 5° La prévention des atteintes à la sécurité des personnes et des biens dans des lieux particulièrement exposés (...) ". En vertu de l'article L. 251-1 du même code : " Les systèmes de vidéoprotection remplissant les conditions fixées à l'article L. 251-2 sont des traitements de données à caractère personnel régis par le présent titre, par le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/ CE (règlement général sur la protection des données) et par la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ". Selon l'article L. 252-1 de ce code : " L'installation d'un système de vidéoprotection dans le cadre du présent titre est subordonnée à une autorisation du représentant de l'Etat dans le département (...) après avis de la commission départementale de vidéoprotection (...) ".
3. Sur le fondement de ces dispositions, le préfet du Calvados a, par arrêté du 23 septembre 2019, reconduit, pour une durée de cinq ans, l'autorisation délivrée à la communauté de communes Coeur Côte Fleurie d'installer un système de vidéoprotection en divers emplacements de son territoire et, par des arrêtés du 24 octobre 2019 et 17 juin 2021, autorisé l'exploitation d'un tel système pour les déchetteries de cette intercommunalité. Ce système comporte environ 200 caméras, relevant soit de la sphère de compétence de la communauté de communes soit de celle des communes, avec des serveurs dédiés pour chaque commune mais gérés par la communauté de communes. Il résulte de l'instruction qu'une quarantaine de ces caméras, situées principalement en périphérie et placées à des endroits stratégiques qualifiés de " lignes de fuite ", ont été couplées au logiciel algorithmique édité par la société BriefCam.
4. La Ligue des droits de l'homme, le Syndicat de la magistrature et l'Union syndicale Solidaires, d'une part, l'Association de défense des libertés constitutionnelles et le Syndicat des avocats de France, d'autre part, ont demandé au juge des référés du tribunal administratif de Caen, statuant sur le fondement de l'article L. 521-2 du code de justice administrative, d'enjoindre à la communauté de communes Coeur Côte Fleurie de cesser immédiatement l'usage du logiciel édité par la société BriefCam, Par une ordonnance du 22 novembre 2023, ce juge des référés a enjoint à la communauté de communes Coeur Côte Fleurie de procéder, dans un délai de cinq jours, à l'effacement des données à caractère personnel contenues dans le fichier initialement constitué et dans toutes les copies, totales ou partielles, qui auraient pu en être faites, à l'exception d'un seul exemplaire à placer sous séquestre auprès de la Commission nationale de l'informatique et des libertés (CNIL) dans un délai d'un mois. La communauté de communes Coeur Côte Fleurie relève appel de cette ordonnance.
Sur les interventions :
5. Eu égard à leur objet statutaire et à la nature du litige, l'association La Quadrature du Net et la Confédération générale du travail justifient d'un intérêt suffisant pour intervenir en défense. Ainsi, leur intervention est recevable.
Sur la demande de référé :
6. Il appartient au requérant qui saisit le juge des référés sur le fondement des dispositions de l'article L. 521-2 du code de justice administrative de justifier des circonstances particulières caractérisant la nécessité pour lui de bénéficier à très bref délai d'une mesure de la nature de celles qui peuvent être ordonnées sur le fondement de cet article.
7. En premier lieu, si les requérants font valoir les atteintes qu'ils estiment portées à plusieurs libertés fondamentales, dont le droit au respect de la vie privée, qui comprend le droit à la protection de ses données personnelles, et la liberté d'aller et venir, la circonstance qu'une atteinte à une liberté fondamentale serait avérée n'est, par elle-même, pas de nature à caractériser l'existence d'une situation d'urgence.
8. En second lieu, d'une part, s'il n'est pas contesté que le logiciel litigieux dispose de fonctionnalités qui permettent de procéder à de la reconnaissance faciale, alors que l'usage de telles techniques est légalement interdit, il résulte des déclarations en appel de la communauté de communes Coeur Côte Fleurie, qui n'avait pas défendu en première instance, que ces fonctionnalités, pourtant présentes depuis 2018 à la suite d'une mise à jour du logiciel, n'ont jamais été activées dans son ressort. La communauté de communes produit des attestations du préfet du Calvados, de la Procureure de la République du tribunal judiciaire de Lisieux et des communes dont les services de police municipale utilisent les images des caméras couplées au logiciel BriefCam, selon lesquelles les " surcouches " en cause n'ont pas été utilisées ni leur mobilisation demandée. Elle produit également le constat d'un commissaire de justice réalisé dans le cadre de la présente procédure dont il ressort, sans que cela soit sérieusement contesté, que les fonctionnalités en cause sont désactivées et ne sont pas utilisables, même en phase de test. Par ailleurs, si la communauté de communes utilise le module " Research " du logiciel, il résulte de l'instruction qu'elle en fait un usage à des fins purement statistiques sur la mobilité par la détermination des flux de circulation sur les grands axes et au vu de résultats agrégés sur le nombre de véhicules, sans accès aux images.
9. D'autre part, s'il est vrai que le logiciel en cause comporte, dans le module " Review ", des fonctionnalité d'analyse des images, notamment par l'application de filtres, par exemple par sexe, taille ou par type de vêtements, ou d'analyse des comportements de déplacement, la communauté de communes indique, que le logiciel n'est pas utilisé pour assurer, par la mise en oeuvre de traitements algorithmiques, un suivi de manière automatisée des personnes ou détecter des événements et déclencher des alertes en temps réel, le module " Respond " dont peut être équipé le logiciel n'étant d'ailleurs pas disponible. Déployé dans l'intercommunalité depuis plusieurs années, pour un nombre limité de caméras, il apparaît, en l'état de l'instruction, que ce système, tel qu'il est calibré et peut raisonnablement être mobilisé, n'est utilisé que pour une relecture en différé, sur une zone et un temps limités, des images collectées par les caméras concernées, notamment en vue d'une analyse de véhicules et une recherche de plaques d'immatriculation, pour les besoins d'une enquête et participe au bon déroulement de celle-ci en réduisant les délais de lecture et d'exploitation de ces images.
10. Enfin et en tout état de cause, il ressort d'une expertise technique menée à la demande de la communauté de communes que les opérations mises en oeuvre pour assurer l'exécution de l'ordonnance attaquée ont causé la détérioration du logiciel, qui n'est plus fonctionnel, notamment en ce qu'il n'est plus possible d'importer des éléments vidéo et de les exploiter. Il en ressort également que les efforts pour le remettre en service, malgré le support de l'éditeur du logiciel, n'ont pas pu aboutir. Il en résulte qu'à la date de la présente ordonnance, aucune utilisation du logiciel n'est techniquement possible. Selon les déclarations de la communauté de communes à l'audience, une remise en service ne serait pas envisageable avant plusieurs semaines. Si une telle circonstance n'est pas de nature, contrairement ce que soutiennent les organisations en défense, à priver d'objet le litige dès lors que l'injonction prononcée, notamment la mise sous séquestre ordonnée, continue de produire des effets et que l'impossibilité actuelle d'utiliser le logiciel n'est pas définitive, elle limite, à l'heure actuelle et pour un certain temps, les atteintes susceptibles de découler de la détention, dans le ressort de la communauté de communes Coeur Côte Fleurie, du logiciel litigieux.
11. Dans ces conditions et alors que comme l'a indiqué la CNIL, une procédure de contrôle de l'usage par les collectivités publiques du logiciel contesté est en cours et devrait aboutir dans quelques semaines et que, par ailleurs, la question des conditions d'utilisation d'algorithmes sur des séquences vidéo enregistrées fera l'objet de travaux de sa part au cours du premier semestre 2024, il n'est pas justifié, à la date de la présente ordonnance, d'une situation d'urgence particulière, de nature à conduire le juge des référés à prendre à très bref délai des mesures conservatoires sur le fondement de l'article L. 521-2 du code de justice administrative.
12. Il résulte de ce qui précède que la communauté de communes Coeur Côte Fleurie est fondée à soutenir que c'est à tort que, par l'ordonnance attaquée, le juge des référés du tribunal administratif de Caen a prononcé une injonction à son encontre. Il y a lieu d'annuler cette ordonnance et de rejeter les conclusions présentées en première instance et en appel par la Ligue des droits de l'homme, le Syndicat de la magistrature et l'Union syndicale Solidaires, l'Association de défense des libertés constitutionnelles et le Syndicat des avocats de France.
Sur les conclusions au titre de l'article L. 761-1 du code de justice administrative :
13. Les dispositions de l'article L. 761-1 du code de justice administrative font obstacle à ce qu'une somme soit mise, à ce titre, à la charge de la communauté de communes Coeur Côte Fleurie, qui n'est pas, dans la présente instance, la partie perdante. Il n'y a pas lieu, dans les circonstances de l'espèce, de faire droit aux conclusions présentées par cette communauté de communes au titre des mêmes dispositions.
O R D O N N E :
------------------
Article 1er : Les interventions de l'association La Quadrature du Net et de la CGT sont admises.
Article 2 : L'ordonnance du juge des référés du tribunal administratif de Caen du 22 novembre 2023 est annulée.
Article 3 : Les demandes présentées par la Ligue des droits de l'homme, le Syndicat de la magistrature et l'Union syndicale Solidaires, l'Association de défense des libertés constitutionnelles et le Syndicat des avocats de France devant le juge des référés du tribunal administratif de Caen sont rejetées.
Article 4 : Les conclusions présentées au titre de l'article L. 761-1 du code de justice administrative sont rejetées.
Article 5 : La présente ordonnance sera notifiée à la communauté de communes Coeur Côte Fleurie ainsi qu'à la Ligue des droits de l'homme, au Syndicat de la magistrature, à l'Union syndicale Solidaires, à l'Association de défense des libertés constitutionnelles, au Syndicat des avocats de France, à l'association La Quadrature du Net et à la Confédération générale du travail.
Copie en sera adressée au ministre de l'intérieur et des outre-mer et à Commission nationale informatique et libertés.
Fait à Paris, le 21 décembre 2023
Signé : Anne Courrèges