Ils soutiennent que :
- ils justifient d'un intérêt pour agir contre ce décret ;
- la condition d'urgence est remplie dès lors que l'exécution du décret porte une atteinte grave et immédiate au droit au respect de la vie privée des personnes, eu égard au caractère personnel des données collectées, à leur extrême sensibilité, au périmètre des motifs d'enregistrement dans le traitement, au caractère excessif de la durée maximale de conservation de ces données et à l'absence d'impératifs justifiant la mise en oeuvre de ce décret ;
- il existe un doute sérieux quant à la légalité du décret contesté ;
- le décret n'a pas fait l'objet d'une consultation régulière du Conseil d'Etat, faute de toute justification permettant de s'assurer que le décret est conforme au projet de décret soumis par le Gouvernement au Conseil d'Etat ou à la minute de la section du Conseil d'Etat qui l'a examiné ;
- le décret porte une atteinte disproportionnée au droit au respect de la vie privée et à la liberté d'opinion, de conscience et de religion et méconnaît les dispositions de l'article 4 de la loi du 6 janvier 1978 eu égard, en premier lieu, au caractère inadéquat et non pertinent des données collectées, en deuxième lieu, au périmètre excessivement étendu de l'accès aux données et, en dernier lieu, au caractère excessif de la durée de conservation des données ;
- les données collectées ne sont pas adéquates, en raison d'une définition trop imprécise et de la possibilité de collecter des données relatives aux opinions politiques et aux convictions philosophiques, religieuses et syndicales, des données de santé révélant une dangerosité ou une vulnérabilité particulière ou portant sur des troubles psychologiques, des données relatives aux identifiants utilisés sur les réseaux sociaux et aux activités sur les réseaux sociaux, des données relatives aux antécédents judiciaires, aux suites judiciaires et aux mesures administratives ou judiciaires restrictives de droits, décidées ou proposées, en méconnaissance des dispositions de l'article 777-3 du code de procédure pénale, portent sur un périmètre excessif en raison de l'étendue des personnes concernées par la collecte et ne sont pas pertinentes au regard de la finalité censée justifier la collecte et le traitement ;
- le périmètre de l'accès aux données est excessivement étendu en permettant l'accès aux données aux forces de l'ordre alors mêmes qu'elles ne seraient dotées d'aucune mission de renseignement sans garanties suffisantes, en permettant cet accès pour des enquêtes dont l'objet ne nécessiterait pas d'avoir accès à des données sensibles et compte tenu de l'interconnexion avec le fichier dénommé " Automatisation de la consultation centralisée de renseignements et de données " ;
- la durée de conservation des données présente un caractère excessif, la durée de conservation étant identique sans distinction de ce que la personne est mineure ou majeure et le décret permettant le rapprochement avec d'autres traitements ayant une durée de conservation encore plus longue ;
- le décret méconnaît l'article 88 de la loi du 6 janvier 1978, l'article 1er de la Constitution, le droit au respect de la vie privée et la liberté de pensée, de conscience et de religion en autorisant la collecte de données sensibles relevant de l'article 6 de la loi du 6 janvier 1978 sans, d'une part, soumettre la collecte de ces données à une nécessité absolue et, d'autre part, l'assortir de garanties appropriées.
Par un mémoire en défense, enregistré le 22 décembre 2020, le ministre de l'intérieur conclut au rejet de la requête. Il soutient que la condition d'urgence n'est pas remplie et qu'aucun des moyens n'est de nature à créer un doute sérieux quant à la légalité des dispositions contestées.
Par un mémoire en intervention, enregistré le 22 décembre 2020, l'association " La Quadrature du Net " conclut à ce qu'il soit fait droit à la requête de la Confédération générale du travail et autres. Elle soutient que :
- le décret méconnaît les dispositions de l'article 62 de la loi du 6 janvier 1978 et l'article 27 de la directive 2016/680 du 27 avril 2016 en mettant en prévoyant une conservation massive des données personnelles sans étude d'impact rendue publique préalablement à son adoption ;
- le décret méconnaît les articles 4 et 88 de la loi du 6 janvier 1978 en autorisant le traitement de données personnelles inadéquates et non pertinentes au regard des finalités pour lesquelles elles sont traitées et non limitées à ce qui est absolument nécessaire en prévoyant la collecte, la conservation et le traitement de données relatives à des données de santé révélant une dangerosité particulière ou de données relatives aux activités sur les réseaux sociaux ;
- le décret méconnaît l'article 92 de la loi du 6 janvier 1978 en instaurant des opérations de rapprochements avec d'autres fichiers dont la nécessité et la proportionnalité à l'objectif poursuivi font défaut et en instaurant des opérations d'interconnexion et de rapprochement avec le traitement de données à caractère personnel relatif aux passeports et aux cartes nationales d'identité et avec le traitement des antécédents judiciaires ;
- le décret méconnaît l'article 101 de la loi du 6 janvier 1978 en instaurant des opérations d'interconnexion sans prévoir un enregistrement de ces dernières dans un journal d'opérations ;
- le décret méconnaît l'article 88 de la loi du 6 janvier 1978 en ne prévoyant pas de garanties appropriées pour les droits et libertés des personnes concernées pour le traitement de données de santé.
Par un mémoire en intervention, enregistré le 22 décembre 2020, le Syndicat national des journalistes conclut à ce qu'il soit fait droit à la requête de la Confédération générale du travail et autres et à ce qu'une somme de 2 000 euros soit mise à la charge de l'Etat au titre de l'article L. 761-1 du code de justice administrative. Il soutient que :
- le décret porte atteinte à la liberté syndicale en permettant la collecte de données relatives aux activités publiques ou au sein de groupements ou de personnes morales et la collecte de données relatives à des opinions politiques, des convictions philosophiques, religieuses ou à une appartenance syndicale ;
- le décret porte atteinte à la vie privée garanti en élargissant les données pouvant être collectées en permettant notamment la collecte de données relatives aux pratiques sportives, syndicales et aux éléments de santé ;
- le décret méconnaît l'article 1er de la Constitution en permettant la collecte de données sur l'origine géographique, sur les pratiques et comportements religieux ou sur les pratiques syndicales ;
- le décret porte une atteinte grave et manifestement illégale à la liberté d'association en étendant les données collectées aux personnes morales, en permettant la collecte de données relatives aux activités publiques ou au sein de groupements ou de personnes morales et la collecte de données relatives à des opinions politiques, des convictions philosophiques, religieuses ou à une appartenance syndicale ;
- le décret porte une atteinte grave et manifestement illégale au droit à la liberté individuelle en permettant une collecte inédite de données personnelles ;
- le décret porte une atteinte grave et manifestement illégale au pluralisme de l'expression des opinions comme corollaire de la liberté de la presse ;
- le décret porte une atteinte grave et manifestement illégale au secret des sources.
Par un mémoire en intervention, enregistré le 23 décembre 2020, la Ligue des droits de l'Homme et la Section française de l'Observatoire international des prisons concluent à ce qu'il soit fait droit à la requête de la Confédération générale du travail et autres, aux moyens de laquelle elles s'associent.
La requête a été communiquée au Premier ministre, qui n'a pas produit d'observations.
Vu les autres pièces du dossier ;
Vu :
- la Constitution, notamment son Préambule ;
- la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales, notamment ses articles 8 à 11 ;
- la convention relative aux droits de l'enfant, notamment son article 3 ;
- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
- la directive 2016/680/UE du Parlement européen et du Conseil du 27 avril 2016 ;
- le code de procédure pénale ;
- le code de la sécurité intérieure ;
- la loi n° 78-17 du 6 janvier 1978 ;
- le code de justice administrative ;
Après avoir convoqué à une audience publique, la Confédération générale du travail, la Confédération générale du travail - Force ouvrière, la Fédération syndicale unitaire, l'Union syndicale Solidaires, le Syndicat de la magistrature, le Syndicat des avocats de France, le Groupe d'information et de soutien des immigré.e.s et l'Union nationale des étudiants de France, d'autre part, le Premier ministre et le ministre de l'intérieur ;
Ont été entendus lors de l'audience publique du 23 décembre 2020, à 15 heures :
- Me Mathonnet, avocat au Conseil d'Etat et à la Cour de cassation, avocat de la Confédération générale du travail, de la Confédération générale du travail - Force ouvrière, de la Fédération syndicale unitaire, de l'Union syndicale Solidaires, du Syndicat de la magistrature, du Syndicat des avocats de France, du Groupe d'information et de soutien des immigré.e.s et de l'Union nationale des étudiants de France ;
- le secrétaire général de la Confédération générale du travail ;
- le secrétaire général de la Confédération générale du travail - Force ouvrière ;
- la représentante du ministre de l'intérieur ;
à l'issue de laquelle le juge des référés a clos l'instruction.
Considérant ce qui suit :
1. Aux termes du premier alinéa de l'article L. 521-1 du code de justice administrative : " Quand une décision administrative, même de rejet, fait l'objet d'une requête en annulation ou en réformation, le juge des référés, saisi d'une demande en ce sens, peut ordonner la suspension de l'exécution de cette décision, ou de certains de ses effets, lorsque l'urgence le justifie et qu'il est fait état d'un moyen propre à créer, en l'état de l'instruction, un doute sérieux quant à la légalité de la décision ".
2. La Confédération générale du travail et autres demandent au juge des référés du Conseil d'Etat, sur le fondement de l'article L. 521-1 du code de justice administrative, d'ordonner la suspension de l'exécution du décret du 2 décembre 2020 modifiant les dispositions du code de la sécurité intérieure relatives aux traitements de données à caractère personnel dénommés " Enquêtes administratives liées à la sécurité publique ".
3. L'association " La Quadrature du Net ", la Ligue des droits de l'homme et son co-intervenant et le Syndicat national des journalistes justifient d'un intérêt suffisant pour intervenir au soutien des requêtes.
4. Aux termes de l'article 6 de la loi du 6 janvier 1978 : " I. Il est interdit de traiter des données à caractère personnel qui révèlent la prétendue origine raciale ou l'origine ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale d'une personne physique ou de traiter des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique. / II. Les exceptions à l'interdiction mentionnée au I sont fixées dans les conditions prévues par le 2 de l'article 9 du règlement (UE) 2016/679 du 27 avril 2016 et par la présente loi. / III. De même, ne sont pas soumis à l'interdiction prévue au I les traitements, automatisés ou non, justifiés par l'intérêt public et autorisés suivant les modalités prévues au II de l'article 31 et à l'article 32 ". Aux termes de l'article 31 de la loi du 6 janvier 1978 : " (...) II. Ceux de ces traitements qui portent sur des données mentionnées au I de l'article 6 sont autorisés par décret en Conseil d'Etat pris après avis motivé et publié de la commission. Cet avis est publié avec le décret autorisant le traitement (...) ". Aux termes de l'article 90 de la même loi, applicable aux traitements de données à caractère personnel relevant de la directive 2016/680 du 27 avril 2016 : " Si le traitement est susceptible d'engendrer un risque élevé pour les droits et les libertés des personnes physiques, notamment parce qu'il porte sur des données mentionnées au I de l'article 6, le responsable de traitement effectue une analyse d'impact relative à la protection des données à caractère personnel. / Si le traitement est mis en oeuvre pour le compte de l'Etat, cette analyse d'impact est adressée à la Commission nationale de l'informatique et des libertés avec la demande d'avis prévue à l'article 33 ".
5. En premier lieu, il résulte de la copie de la minute de la section de l'intérieur du Conseil d'Etat, produite dans le cadre de l'instruction par le ministre de l'intérieur, que le décret publié ne contient pas de disposition qui différerait à la fois du projet initial du Gouvernement et du texte adopté par la section de l'intérieur du Conseil d'Etat. Par suite, le moyen tiré de la méconnaissance des règles qui gouvernent l'examen par le Conseil d'Etat des projets de décret ne peut être regardé comme de nature à faire naître un doute sérieux sur la légalité du décret contesté.
6. En deuxième lieu, il résulte de l'instruction que la Commission nationale de l'informatique et des libertés a été saisie d'une demande d'avis sur ce décret, une étude d'impact devant être transmise avec ce projet de décret qui portait sur des données mentionnées au I de l'article 6 de la loi du 6 janvier 1978 en application de l'article 90 de cette même loi, cet article n'imposant pas que cette étude d'impact soit rendue publique.
7. En troisième lieu, aux termes de l'article 4 de la loi du 6 janvier 1978 : " Les données à caractère personnel doivent être : (...) 3° Adéquates, pertinentes et, au regard des finalités pour lesquelles elles sont traitées, limitées à ce qui est nécessaire ou, pour les traitements relevant des titres III et IV, non excessives (...) ". Aux termes de l'article 88 de la même loi, applicable aux traitements relevant de la directive 2016/680 du 27 avril 2016 : " Le traitement de données mentionnées au I de l'article 6 est possible uniquement en cas de nécessité absolue, sous réserve de garanties appropriées pour les droits et libertés de la personne concernée ".
8. L'article R. 236-3 du code de la sécurité intérieure permettait déjà, par dérogation à l'interdiction prévue au I de l'article 6 de la loi du 6 janvier 1978, l'enregistrement dans le traitement litigieux de données, contenues dans un rapport d'enquête, relatives à un comportement incompatible avec l'exercice des fonctions ou des missions envisagées alors même que ce comportement aurait une motivation politique, philosophique ou syndicale. Le décret contesté prévoit que peuvent également être enregistrées dans le traitement des données, contenues dans un rapport d'enquête, relatives à un comportement incompatible avec l'exercice des fonctions ou des missions envisagées qui tiendrait à la dangerosité que feraient apparaître les données, obtenues conformément aux dispositions législatives et réglementaires en vigueur, relatives aux troubles psychologiques ou psychiatriques de l'intéressé. Ces données ne pourront être enregistrées que dans le cadre des catégories de données prévues à l'article R. 236-2 du code de la sécurité intérieure. Cet article, dans sa rédaction issue de l'article 2 du décret contesté précise que seules les activités " susceptibles de porter atteinte à la sécurité publique ou à la sûreté de l'Etat " pourront donner lieu à l'enregistrement de données sur des activités publiques ou au sein de groupements ou de personnes morales ou des activités sur les réseaux sociaux, ce qui interdit notamment un enregistrement de personnes dans le traitement fondé sur une simple appartenance syndicale. Il convient également de relever, comme l'a fait valoir l'administration devant le juge des référés, que la possibilité d'enregistrer des données relatives aux activités susceptibles de porter atteinte à la sécurité publique sur les réseaux ne pourra provenir que de données collectées individuellement et manuellement. Il précise également, comme l'article R. 236-3, que les données relatives aux troubles psychologiques ou psychiatriques susceptibles de révéler des facteurs de dangerosité ne peuvent être collectées que si elles sont obtenues conformément aux dispositions législatives et réglementaires en vigueur ce qui assure à la fois l'adéquation des données collectées et le respect du secret médical. Il convient de relever, à cet égard, que les données relatives aux addictions ou aux comportements auto-agressifs, également invoquées par les requérants, ne comportent normalement pas de motivation médicale. Le dernier alinéa de l'article R. 236-2 ne permet pas de recherches automatisées sur ces données. Enfin, à la suite des observations de la Commission nationale de l'informatique et des libertés, le décret précise que les données intéressant la sûreté de l'Etat sont celles qui révèlent des activités " susceptibles de porter atteinte aux intérêts fondamentaux de la Nation ou de constituer une menace terroriste portant atteinte à ces mêmes intérêts " et que " ces données font l'objet d'une identification dans le traitement ", permettant ainsi de distinguer de manière précise au sein du traitement les données traitées pour des finalités relevant de la prévention des atteintes à la sécurité publique ou pour des finalités relevant de la prévention des atteintes à la sûreté de l'Etat. Dans ces conditions, il n'apparaît pas, en l'état de l'instruction, que le traitement de ces données dans le traitement ne répondrait pas à une nécessité absolue au regard des finalités de réalisation d'enquêtes administratives liées à la sécurité publique et à la sûreté de l'Etat et ne serait pas assorti de garanties appropriées. Par suite, ne sauraient également être regardés comme de nature à faire naître un doute sérieux sur la légalité du décret contesté les moyens tirés de ce que le décret porterait une atteinte disproportionnée à la liberté d'opinion, de conscience et de religion, qu'il méconnaîtrait l'article 1er de la Constitution et qu'il porterait atteinte à la liberté syndicale, à la liberté d'association, au pluralisme des expressions comme corollaire de la liberté de la presse ou à la protection du secret des sources.
9. En quatrième lieu, à la suite des observations de la Commission nationale de l'informatique et des libertés, l'article 2 du décret précise la nature des données qui peuvent être collectées au titre des identifiants utilisés sur les réseaux sociaux, qui ne peuvent être regardés comme des données relatives à des opinions politiques, des convictions philosophiques, religieuses ou une appartenance syndicale, en indiquant qu'il s'agit des pseudonymes, sites ou réseaux concernés et autres identifiants techniques à l'exclusion des mots de passe. Le moyen tiré de ce que ces données ne seraient ni adéquates, ni pertinentes et excessives au regard des finalités du traitement en cause n'apparaît pas, en l'état de l'instruction, comme de nature à faire naître un doute sérieux sur la légalité du décret contesté.
10. En cinquième lieu, aux termes du deuxième alinéa de l'article 777-3 du code de procédure pénale : " Aucun fichier ou traitement à données à caractère personnel détenu par une personne quelconque ou par un service de l'Etat ne dépendant pas du ministère de la justice ne pourra mentionner, hors les cas et dans les conditions prévues par la loi, des jugements ou arrêts de condamnation ". Comme l'a relevé la Commission nationale de l'informatique et des libertés dans son avis du 25 juin 2020, si l'article 2 du projet de décret permet la collecte de données relatives aux " agissements susceptibles de recevoir une qualification pénale ", aux " antécédents judiciaires (nature des faits et date) ", aux " suites judiciaires " et aux " mesures administratives ou judiciaires restrictives de droits, décidées ou proposées ", cette collecte ne pourra porter sur des jugements ou des arrêts de condamnation conformément aux dispositions de l'article 777-3 du code de procédure pénale.
11. En sixième lieu, l'article R. 236-6 du code de la sécurité intérieure prévoyait déjà, avant l'intervention du décret contesté, que les personnels de la police nationale ou les militaires de la gendarmerie nationale pouvaient, sans avoir un accès direct au traitement, être destinataire de données enregistrées dans celui-ci sur demande expresse, précisant l'identité du demandeur, l'objet et les motifs de la consultation, le cas échéant. L'article 4 étend la liste des personnes pouvant avoir communication des données mentionnées dans le traitement aux personnes ayant autorité sur les services ou unités ayant un accès aux données enregistrées dans le traitement, aux procureurs de la République et, sur autorisation expresse, aux agents d'un service de la police nationale ou d'une unité de gendarmerie nationale chargés d'une mission de renseignement et aux agents des services de renseignement mentionnés aux articles R. 811-1 et R. 811-2 du code de la sécurité intérieure. La possibilité d'être destinataire de ces données " dans la limite du besoin d'en connaître " apparaît suffisamment encadrée dès lors qu'elle renvoie ainsi aux finalités du traitement. Le décret contesté n'a ni pour objet, ni pour effet de modifier les modalités de fonctionnement du traitement automatisé de données à caractère personnel dénommé " Automatisation de la consultation centralisée de renseignement et de données ". Par suite, ne saurait être regardé, en l'état de l'instruction, comme de nature à faire naître un doute sérieux sur la légalité du décret contesté le moyen tiré du périmètre excessivement étendu de l'accès aux données.
12. En septième lieu, le décret contesté ne modifie pas la durée de conservation des données fixée par l'article R. 236-4 du code de la sécurité intérieure. La circonstance que le décret litigieux permettrait le rapprochement avec d'autres traitements ayant une durée de conservation des données plus longue ne modifie pas la durée de conservation des données enregistrées dans le traitement. Par suite, le moyen tiré de ce que le décret attaqué instituerait une durée de conservation ayant un caractère excessif ne peut être regardé comme de nature à faire naître un doute sérieux sur la légalité du décret.
13. Il résulte de ce qui précède que le moyen tiré de ce que le décret attaqué porterait une atteinte disproportionnée au droit au respect de la vie privée du caractère inadéquat et non pertinent des données collectées, du périmètre excessivement étendu de l'accès aux données et du caractère excessif de la durée de conservation des données n'est pas de nature, en l'état de l'instruction, à faire naître un doute sérieux sur la légalité du décret attaqué.
14. En huitième lieu, aux termes de l'article 92 de la loi du 6 janvier 1978 applicable aux traitements relevant de la directive 2016/680 du 27 avril 2016 : " Les traitements effectués pour l'une des finalités énoncées au premier alinéa de l'article 87 autre que celles pour lesquelles les données ont été collectées sont autorisés s'ils sont nécessaires et proportionnés à cette finalité, sous réserve du respect des dispositions prévues au chapitre Ier du titre Ier et au présent titre ". Aux termes de l'article 101 de cette même loi également applicable à ces traitements : " Le responsable de traitement ou son sous-traitant établit pour chaque traitement automatisé un journal des opérations de collecte, de modification, de consultation, de communication, y compris les transferts, d'interconnexion et d'effacement, portant sur de telles données. / Les journaux des opérations de consultation et de communication permettent d'en établir le motif, la date et l'heure. Ils permettent également, dans la mesure du possible, d'identifier les personnes qui consultent ou communiquent les données et les destinataires de celles-ci. / Ce journal est uniquement utilisé à des fins de vérification de la licéité du traitement, d'autocontrôle, de garantie de l'intégrité et de la sécurité des données et à des fins de procédures pénales ".
15. La circonstance que l'article 7 du décret litigieux prévoit l'enregistrement des opérations de rapprochement avec d'autres traitements et que son article 2 définit les données intéressant la sûreté de l'Etat enregistrées dans le traitement comme celles qui révèlent des activités susceptibles de porter atteinte aux intérêts fondamentaux de la Nation ou de constituer une menace terroriste portant atteinte à ces mêmes intérêts ne saurait faire regarder, par elle-même, le décret comme instaurant des opérations de rapprochement méconnaissant les dispositions des articles 92. De la même manière, la circonstance que le décret prévoit l'indication de l'enregistrement ou non de la personne dans six traitements ne saurait le faire regarder comme instaurant des opérations d'interconnexion entre le traitement et ces traitements sans enregistrement dans le journal des opérations en méconnaissance de l'article 101 de la loi du 6 janvier 1978. Des tels moyens ne peuvent, par suite, être regardés comme de nature à faire naître un doute sérieux sur la légalité du décret.
16. Aucun des moyens n'apparaît donc de nature, en l'état de l'instruction, à faire naître un doute sérieux sur la légalité du décret attaqué. Les conclusions aux fins de suspension de son exécution doivent, par suite, être rejetées.
17. Les dispositions de l'article L. 761-1 du code de justice administrative font obstacle à ce qu'il soit fait droit aux conclusions de la requête et de l'intervention du Syndicat national des journalistes à ce titre.
O R D O N N E :
------------------
Article 1er : L'intervention de l'association " La Quadrature du Net ", de la Ligue des droits de l'homme et son co-intervenant et du Syndicat national des journalistes est admise.
Article 2 : La requête de la Confédération générale du travail et autres et les conclusions du Syndicat national des journalistes présentées au titre de l'article L. 761-1 sont rejetées.
Article 3 : La présente ordonnance sera notifiée à la Confédération générale du travail, première requérante dénommée, au ministre de l'intérieur, à l'association Quadrature du net, à la Ligue des droits de l'homme et au Syndicat national des journalistes.
Copie en sera adressée au Premier ministre.