Vu les autres pièces du dossier ;
Vu :
- la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales ;
- la directive 2016/680 (UE) du Parlement européen et du Conseil du 27 avril 2016 ;
- le code pénal ;
- le code de procédure pénale ;
- le code de la route ;
- la loi n° 78-17 du 6 janvier 1978 ;
- le code de justice administrative ;
Après avoir entendu en séance publique :
- le rapport de Mme Christelle Thomas, maître des requêtes en service extraordinaire,
- les conclusions de M. Laurent Domingo, rapporteur public ;
La parole ayant été donnée, après les conclusions, à la SCP Spinosi, avocat de l'association Médecins du Monde et autres ;
Considérant ce qui suit :
1. Créé par arrêté du 13 octobre 2004, le " système de contrôle automatisé " est un traitement de données à caractère personnel dont les finalités étaient initialement de constater, au moyen d'appareils de contrôle automatique homologués, certaines infractions au code de la route, d'identifier les conducteurs des véhicules concernés et de procéder aux opérations relatives aux avis de contravention correspondants, notamment le recouvrement des amendes. Par un arrêté du 14 avril 2020 modifiant l'arrêté du 13 octobre 2004, le champ d'application de ce traitement a été étendu à l'ensemble des infractions non routières faisant l'objet d'une amende forfaitaire relevées au moyen d'appareils électroniques permettant l'établissement d'un procès-verbal électronique, ce qui est, notamment, fréquemment le cas pour des amendes sanctionnant la consommation de produits stupéfiants. Les associations requérantes demandent l'annulation pour excès de pouvoir de cet arrêté du 14 avril 2020.
2. Conformément au e) du 1 de l'article 4 de la directive 2016/680 (UE) du Parlement européen et du Conseil du 27 avril 2016 et des dispositions du 3° de l'article 4 de la loi du 6 janvier 1978 prises pour sa transposition, un traitement ne peut porter que sur des données à caractère personnel qui sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs. L'ingérence dans l'exercice du droit de toute personne au respect de sa vie privée que constituent la collecte, la conservation et le traitement, par une autorité publique, d'informations personnelles nominatives ne peut être légalement autorisée que si elle répond à des finalités légitimes et que le choix, la collecte et le traitement des données sont effectués de manière adéquate et proportionnée au regard de ces finalités.
3. En premier lieu, si les associations requérantes soutiennent que l'arrêté attaqué méconnaîtrait ces exigences au motif que le traitement relatif aux antécédents judiciaires permettrait déjà d'atteindre les mêmes finalités, il résulte de l'article 230-6 du code de procédure pénale que ce traitement, qui a pour objet de faciliter le rassemblement des preuves et la recherche des auteurs d'infractions à la loi pénale constitutives de crimes, délits ou contraventions de la cinquième classe, poursuit des finalités distinctes de celles assignées au système de contrôle automatisé, qui vise pour sa part à faciliter la gestion des constats d'infractions et à procéder au recouvrement des amendes forfaitaires relevant essentiellement, en vertu de l'article R. 48-1 du même code, des contraventions des quatre premières classes. Par suite, le moyen tiré de l'absence de nécessité de l'extension du périmètre du système de contrôle automatisé ne peut qu'être écarté.
4. En deuxième lieu, aux termes du 5° de l'article 4 de la loi du 6 janvier 1978, les données à caractère personnel doivent être " conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ".
5. Les associations requérantes soutiennent que les durées maximales respectives de conservation des données de dix ans pour les délits, de dix ans pour les contraventions prévues par le code de la route et de cinq ans pour les autres contraventions sont excessives eu égard aux délais de prescription de l'action publique. Toutefois, d'une part, s'agissant du délai de dix ans prévu pour la conservation des données relatives aux délits et aux contraventions routières, l'arrêté attaqué se borne à reprendre des dispositions antérieures et présente à cet égard le caractère d'une décision confirmative dont la légalité ne peut être discutée dans le cadre de la présente instance. D'autre part, eu égard aux délais de prescription de six ans des peines délictuelles et de trois ans des peines contraventionnelles, respectivement prévus par les articles 133-3 et 133-4 du code pénal, ainsi qu'aux règles de procédure qui régissent le recouvrement des amendes forfaitaires, en particulier les délais de recours et de mise en paiement, la durée de conservation de cinq ans des données relatives aux contraventions non routières et la durée de conservation de dix ans des données relatives aux délits non routiers n'est pas disproportionnée. Dès lors, le moyen tiré de ce que les durées de conservation des données prévues par l'arrêté litigieux seraient excessives doit être écarté.
6. En troisième lieu, le dernier alinéa de l'article 2 de l'arrêté attaqué, qui modifie le III de l'article 3 de l'arrêté du 13 octobre 2004, dispose que les durées maximales de conservation des données mentionnées au point précédent " s'appliquent sans préjudice de la possibilité pour le contrevenant ou le mis en cause de demander au procureur de la République territorialement compétent d'ordonner l'effacement des données le concernant lorsque la procédure le concernant a donné lieu à une décision définitive de relaxe ou, lorsqu'il s'agit d'infractions relatives à la circulation routière, qu'il a récupéré le nombre de points ayant été retirés de son permis de conduire ". Les associations requérantes soutiennent que ces dispositions étendent le champ du système de contrôle automatisé sans l'assortir de garanties suffisantes concernant le droit à l'effacement des données, dès lors qu'elles limitent ce droit aux seuls cas de relaxe et ne prévoient pas de voie de recours contre un éventuel refus du procureur de la République d'accueillir une telle demande, et portent ainsi une atteinte disproportionnée à la vie privée des personnes dont les données sont traitées.
7. D'une part, les décisions en matière d'effacement prises par le procureur de la République, qui ont pour objet la tenue à jour de ce fichier et sont détachables d'une procédure judiciaire, constituent des actes relatifs à la gestion administrative du fichier et peuvent faire l'objet d'un recours pour excès de pouvoir devant le juge administratif.
8. D'autre part, toutefois, eu égard aux finalités du système de contrôle automatisé, qui a pour objet de centraliser les opérations d'identification, de gestion et de suivi des infractions routières et non routières faisant l'objet d'une amende forfaitaire, la limitation du droit à demander l'effacement des données aux seules personnes ayant bénéficié d'une décision définitive de relaxe, à l'exclusion de celles pour lesquelles la procédure a été classée sans suite, porte une atteinte disproportionnée aux droits de ces dernières. Il s'ensuit que les associations requérantes sont fondées à demander l'annulation du dernier alinéa de l'article 2 de l'arrêté litigieux en tant qu'il ne prévoit pas la possibilité pour les personnes mises en cause dans une procédure classée sans suite de demander au procureur de la République l'effacement des données les concernant du fichier " système de contrôle automatisé " pour les infractions non routières, seules en cause dans le présent litige.
9. En quatrième lieu, les associations requérantes soutiennent que les conditions d'accès au système de contrôle automatisé constituent une ingérence excessive dans l'exercice du droit au respect de la vie privée et familiale protégé par l'article 8 de la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales, dès lors qu'y auraient accès, dans des conditions insuffisamment déterminées, d'une part, certaines personnes privées et, d'autre part, l'ensemble des personnels du Centre national de traitement et de l'Agence nationale de traitement automatisé des infractions. Les dispositions de l'article 3 de l'arrêté attaqué permettent, d'une part, aux sociétés ayant pour activité la location de véhicules ainsi qu'aux sociétés ou établissements mettant des véhicules à disposition de leurs collaborateurs ou clients et ayant signé une convention avec le Centre national de traitement d'être destinataires des seules données relatives aux infractions routières, et uniquement en ce qui concerne les éléments d'identification du véhicule. Elles donnent, d'autre part, aux personnels du Centre national de traitement et de l'Agence nationale de traitement automatisé des infractions un accès direct aux données relatives aux infractions non routières, à raison de leurs attributions et dans la limite du besoin d'en connaître. Dans ces conditions, l'article 3 de l'arrêté attaqué n'autorise pas un accès aux données collectées excédant ce qui est nécessaire aux finalités poursuivies par le traitement dont il autorise la création, la circonstance que des personnes privées soient, sous certaines conditions déterminées, destinataires d'une partie des données collectées étant sans incidence sur le caractère proportionné des conditions d'accès au traitement. Par suite, le moyen doit être écarté.
10. En dernier lieu, si les requérantes soutiennent que le système de contrôle automatisé ne serait pas assorti de garanties techniques suffisantes au regard des dispositions de l'article 121 de la loi du 6 janvier 1978, selon lesquelles " Le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès ", ces dispositions, qui sont relatives aux obligations du responsable du traitement quant à l'utilisation de ce dernier, ne peuvent être utilement invoquées à l'appui de conclusions dirigées contre l'acte par lequel le traitement est autorisé. Il s'ensuit que le moyen tiré de l'absence de garanties techniques suffisantes de nature à assurer la protection des données collectées ne peut qu'être écarté.
11. Il résulte de tout ce qui précède que les associations requérantes ne sont fondées à demander l'annulation que du dernier alinéa de l'article 2 de l'arrêté du 14 avril 2020, en tant qu'il ne prévoit pas la possibilité pour les personnes mises en cause dans une procédure classée sans suite de demander au procureur de la République l'effacement des données les concernant du fichier " système de contrôle automatisé " pour des infractions autres que routières.
12. Il n'y a pas lieu, dans les circonstances de l'espèce, de mettre à la charge de l'Etat une somme au titre de l'article L. 761-1 du code de justice administrative.
D E C I D E :
--------------
Article 1er : Le dernier alinéa de l'article 2 de l'arrêté du 14 avril 2020 est annulé en tant qu'il ne prévoit pas de procédure de demande d'effacement des données auprès du procureur de la République en cas de classement sans suite d'une procédure d'amende forfaitaire pour des infractions autres que routières.
Article 2 : Le surplus des conclusions de la requête est rejeté.
Article 3 : La présente décision sera notifiée à l'association Médecins du Monde, première requérante désignée, et au ministre de l'intérieur.