Vu la procédure suivante :
Par une requête, un mémoire en réplique et un nouveau mémoire, enregistrés les 17 et 30 mai et le 1er juin 2022 au secrétariat du contentieux du Conseil d'Etat, M. A... B... demande au juge des référés du Conseil d'Etat, statuant sur le fondement de l'article L. 521-1 du code de justice administrative :
1°) de suspendre l'exécution du décret n° 2022-515 du 8 avril 2022 relatif à la publication des mesures de gel de biens immobiliers prises en application du règlement (UE) n° 269/2014 du Conseil du 17 mars 2014 ;
2°) de mettre à la charge de l'Etat la somme de 5 000 euros au titre de l'article L. 761-1 du code de justice administrative.
Il soutient que :
- la condition d'urgence est satisfaite dès lors, d'une part, que la publication des propriétés faisant l'objet des mesures de gel porte une atteinte grave et immédiate à sa vie privée et met sa vie et celle de sa famille en danger et, d'autre part, qu'elle ne répond pas à un intérêt public prépondérant ;
- il existe un doute sérieux quant à la légalité du décret contesté ;
- il est intervenu à l'issue d'une procédure irrégulière faute d'une seconde saisine de la Commission nationale de l'informatique et des libertés (CNIL) et de la production d'une analyse d'impact sur les risques liés à la publication des données en application de l'article 36 du règlement général sur la protection des données ;
- il est illégal en ce qu'il ne prévoit aucune durée maximale de publication des données et n'oblige pas le ministre de l'économie à en prévoir une ;
- il est illégal en prévoyant une exception disproportionnée au principe d'anonymisation des données publiées dès lors que, d'une part, cette dérogation n'est pas nécessaire, les assujettis aux règles relatives au gel des avoirs disposant déjà de l'ensemble des ressources et fichiers permettant d'identifier les personnes en cause et de ne procéder à aucune action prohibée concernant leurs bien et, d'autre part, cette dérogation emporte des risques disproportionnés pour la vie privée et la sécurité des personnes vivant dans ces propriétés ;
- il porte atteinte à la sécurité des personnes et au droit à la vie, en méconnaissance des dispositions de l'article L. 311-5 du code des relations entre le public et l'administration et de l'article 2 de la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales ;
- il n'a pas été informé de son droit de saisir le contrôleur européen de la protection des données ni par les institutions européennes, ni par la France en méconnaissance des dispositions de l'article 4 du règlement (CE) n°45/2001 du Parlement européen et du Conseil du 18 décembre 2000.
Par un mémoire en défense et un nouveau mémoire enregistré, enregistrés les 27 mai et 2 juin 2022, le ministre de l'économie, des finances et de la souveraineté industrielle et numérique conclut au rejet de la requête. Il soutient que la condition d'urgence n'est pas satisfaite et que les moyens soulevés ne sont pas fondés.
La requête a été communiquée à la Première ministre qui n'a pas produit d'observations.
Après avoir convoqué à une audience publique, d'une part, M. A... B... et, d'autre part, la Première ministre et le ministre de l'économie, des finances et de la souveraineté industrielle et numérique ;
Ont été entendus lors de l'audience publique du 31 mai 2022, à 15 heures :
- Me Briard, avocat au Conseil d'Etat et à la Cour de cassation, avocat de M. B... ;
- les représentants de M. B... ;
- les représentants du ministre de l'économie, des finances et de la souveraineté industrielle et numérique ;
à l'issue de laquelle le juge des référés a prolongé l'instruction jusqu'au 2 juin 2022, à 12 heures ;
Vu les autres pièces du dossier ;
Vu :
- la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales ;
- le règlement (UE) n° 269/2014 du Conseil du 17 mars 2014 ;
- le règlement (UE) n°2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
- le code monétaire et financier ;
- le code des relations entre le public et l'administration ;
- le code de justice administrative ;
Considérant ce qui suit :
1. Aux termes de l'article L. 521-1 du code de justice administrative : " Quand une décision administrative, même de rejet, fait l'objet d'une requête en annulation ou en réformation, le juge des référés, saisi d'une demande en ce sens, peut ordonner la suspension de l'exécution de cette décision, ou de certains de ses effets, lorsque l'urgence le justifie et qu'il est fait état d'un moyen propre à créer, en l'état de l'instruction, un doute sérieux quant à la légalité de la décision ".
Sur le cadre juridique applicable au litige :
2. Aux termes de l'article L. 312-1 du code des relations entre le public et l'administration : " Les administrations mentionnées à l'article L. 300-2 peuvent rendre publics les documents administratifs qu'elles produisent ou reçoivent ". Aux termes de l'article L. 312-1-2 du même code : " Sauf dispositions législatives ou réglementaires contraires, lorsque les documents et données mentionnés aux articles L. 312-1 ou L. 312-1-1 comportent des mentions entrant dans le champ d'application des articles L. 311-5 ou L. 311-6, ils ne peuvent être rendus publics qu'après avoir fait l'objet d'un traitement permettant d'occulter ces mentions. / Sauf dispositions législatives contraires ou si les personnes intéressées ont donné leur accord, lorsque les documents et les données mentionnés aux articles L. 312-1 ou L. 312-1-1 comportent des données à caractère personnel, ils ne peuvent être rendus publics qu'après avoir fait l'objet d'un traitement permettant de rendre impossible l'identification de ces personnes. Une liste des catégories de documents pouvant être rendus publics sans avoir fait l'objet du traitement susmentionné est fixée par décret pris après avis motivé et publié de la Commission nationale de l'informatique et des libertés ".
3. Le décret du 8 avril 2022, dont la suspension est sollicitée par le requérant, prévoit la publication sur un site internet de la liste des biens immobiliers faisant l'objet des mesures de gel mises en œuvre en vertu du règlement UE n°269/2014 du Conseil du 17 mars 2014 concernant des mesures restrictives eu égard aux actions compromettant ou menaçant l'intégrité territoriale, la souveraineté et l'indépendance de l'Ukraine. Ce décret prévoit que ces éléments peuvent être publiés sans avoir fait l'objet d'un traitement permettant de rendre impossible l'identification de ces personnes en application du deuxième alinéa de l'article L. 312-1-2 du code des relations entre le public et l'administration.
En ce qui concerne le moyen de légalité externe :
4. Aux termes de l'article 5 du Règlement (UE) n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, " 1. Les données à caractère personnel doivent être : / a) traitées de manière licite, loyale et transparente au regard de la personne concernée (...) ; / b) collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d'une manière incompatible avec ces finalités ; (...) ; / c) adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (...) ; d) exactes et, si nécessaire, tenues à jour (...) / e) conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ; (...) / f) traitées de façon à garantir une sécurité appropriée des données à caractère personnel (...) ; 2. Le responsable du traitement est responsable du respect du paragraphe 1 et est en mesure de démontrer que celui- ci est respecté (responsabilité) ".
5. L'article 6 de ce règlement dispose que : " 1. Le traitement n'est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie : a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ; (...) ; / e) le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement ; (...) ".
6. L'article 35 de ce règlement prévoit que le responsable du traitement effectue une analyse d'impact relative à la protection des données lorsque le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques. Si cette analyse incombe au responsable du traitement, sa réalisation est en principe préalable à la mise en œuvre du traitement et l'analyse doit être actualisée après le lancement effectif du traitement afin de garantir en permanence une prise en compte adaptée des risques pour les droits et libertés des personnes physiques liées au traitement de leurs données à caractère personnel. La réalisation d'une analyse d'impact d'un traitement de données personnelles, dont l'absence peut donner lieu à des sanctions par la CNIL en application de l'article 20 de la loi du 6 janvier 1978, est liée à la mise en œuvre de ce traitement.
7. Il résulte de l'instruction que la Commission nationale de l'informatique et des libertés a été saisie pour avis, en application du deuxième alinéa de l'article L. 312-1-2 du code des relations entre le public et l'administration, du projet du décret contesté qui permet la publication de données sans avoir fait l'objet d'un traitement permettant de rendre impossible l'identification de ces personnes en application du deuxième alinéa de l'article L. 312-1-2 du code des relations entre le public et l'administration. La commission a indiqué, dans son avis, que ce traitement de données apparaissait proportionné au but poursuivi et que la dérogation à l'anonymisation des données à caractère personnel apparaissait adaptée au contexte spécifique dans lequel elle s'inscrivait. Si la commission a également invité le ministère à réaliser une analyse d'impact relative à la protection des données et à la consulter si le niveau de risque résiduel était élevé à l'issue de cette analyse, cette recommandation n'impliquait pas que la Commission soit à nouveau saisie avant la signature du décret mais, le cas échéant, avant la mise en œuvre effective du traitement. Par suite, le moyen tiré de ce que le décret serait intervenu à l'issue d'une procédure irrégulière faute d'une nouvelle saisine de la Commission nationale de l'informatique et des libertés n'est pas de nature, en l'état de l'instruction, à créer un doute sérieux quant à la légalité du décret contesté.
En ce qui concerne le moyen de légalité interne :
8. En premier lieu, il résulte de l'instruction que le décret contesté a été modifié par un décret du 18 mai 2022 pour préciser que les éléments publiés seraient supprimés du site internet par le ministre chargé de l'économie à l'expiration de la mesure du gel. Ainsi que le fait valoir le ministre, l'article 14 du règlement UE n° 269/2014 du Conseil du 17 mars 2014 prévoit que la liste des personnes dont les biens sont gelés est révisée à intervalles réguliers et au moins tous les douze mois. Dans ces conditions, le moyen tiré de ce que le décret serait illégal faute de limiter la durée de publication des données ne paraît pas, en l'état de l'instruction, de nature à créer un doute sérieux quant à la légalité du décret contesté.
9. En deuxième lieu, il résulte de l'instruction que le décret contesté a pour objet de rendre publiques des informations sur les mesures de gel arrêtées au niveau communautaire dans le cadre du règlement du 17 mars 2014 concernant les mesures prises eu égard aux actions compromettant ou menaçant l'intégrité territoriale, la souveraineté et l'indépendance de l'Ukraine. Comme le fait valoir le ministre en défense, la mention des décisions de gel au fichier immobilier ou au livre foncier dont dépendent les biens immobiliers appartenant aux personnes concernées par ces mesures de gel ne prive pas d'utilité la publication de ces données pour prévenir la location de ces biens ou la cession sous seing privé de parts de sociétés portant sur ces biens. Les données publiées ne comprennent pas de données nominatives ou de données portant directement sur les personnes mentionnées dans l'annexe du règlement du 17 mars 2014. Dans ces conditions, les moyens tirés de ce que le décret contesté porterait une atteinte disproportionnée au principe d'anonymisation des données publiées en méconnaissance des dispositions citées au point 2 et porterait atteinte à la sécurité des personnes et au droit à la vie ne paraît pas, en l'état de l'instruction, de nature à créer un doute sérieux quant à la légalité du décret contesté.
10. En troisième lieu, le règlement (CE) n° 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation des données a été abrogé par un règlement du Parlement européen et du Conseil du 23 octobre 2018. Par suite, le moyen tiré de ce que le décret contesté méconnaîtrait les dispositions de ce règlement du 18 décembre 2000 ne peut être regardé, en l'état de l'instruction, comme de nature à créer un doute sérieux quant à la légalité du décret contesté.
11. Il résulte de tout ce qui précède que la requête doit être rejetée, y compris ses conclusions présentées au titre de l'article L. 761-1 du code de justice administrative.
O R D O N N E :
------------------
Article 1er : La requête de M. B... est rejetée.
Article 2 : La présente ordonnance sera notifiée à M. A... B..., ainsi qu'au ministre de l'économie, des finances et de la souveraineté industrielle et numérique.
Copie en sera adressée à la Première ministre.
Fait à Paris, le 9 juin 2022
Signé : Mathieu Hérondart
