Vu la procédure suivante :
Par une requête sommaire et un mémoire complémentaire, enregistrés les 17 octobre 2022 et 17 janvier 2023 au secrétariat du contentieux du Conseil d'Etat, l'association Act Up Paris demande au Conseil d'Etat :
1°) d'annuler pour excès de pouvoir le décret n° 2022-1161 du 17 août 2022 relatif à la création d'un traitement de données à caractère personnel dénommé " Traitement de données de santé nécessaires à l'accompagnement adapté des personnes en situation de handicap " ;
2°) de mettre à la charge de l'Etat la somme de 3 000 euros au titre de l'article L. 761-1 du code de justice administrative.
Vu les autres pièces du dossier ;
Vu :
- la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales ;
- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
- le code de l'action sociale et des familles ;
- le code pénal ;
- le code de la santé publique ;
- le code du travail ;
- la loi n° 78-17 du 6 janvier 1978 ;
- le code de justice administrative ;
Après avoir entendu en séance publique :
- le rapport de M. Jean de L'Hermite, conseiller d'Etat,
- les conclusions de M. Laurent Domingo, rapporteur public ;
La parole ayant été donnée, après les conclusions, à la SCP Sevaux, Mathonnet, avocat de l'association Act Up Paris ;
Considérant ce qui suit :
1. Aux termes de l'article L. 5312-1 du code du travail : " Pôle emploi est une institution nationale publique dotée de la personnalité morale et de l'autonomie financière qui a pour mission de : / 1° Prospecter le marché du travail, développer une expertise sur l'évolution des emplois et des qualifications, procéder à la collecte des offres d'emploi, aider et conseiller les entreprises dans leur recrutement, assurer la mise en relation entre les offres et les demandes d'emploi et participer activement à la lutte contre les discriminations à l'embauche et pour l'égalité professionnelle ; / 2° Accueillir, informer, orienter et accompagner les personnes, qu'elles disposent ou non d'un emploi, à la recherche d'un emploi, d'une formation ou d'un conseil professionnel, prescrire toutes actions utiles pour développer leurs compétences professionnelles et améliorer leur employabilité, favoriser leur reclassement et leur promotion professionnelle, faciliter leur mobilité géographique et professionnelle et participer aux parcours d'insertion sociale et professionnelle. (...) ".
2. L'article L. 5214-3-1 du même code dispose que : " Des organismes de placement spécialisés, chargés de la préparation, de l'accompagnement, du suivi durable et du maintien dans l'emploi des personnes handicapées, participent au dispositif d'insertion professionnelle et d'accompagnement spécifique prévu pour les travailleurs handicapés mis en œuvre par l'Etat, le service public de l'emploi, l'association chargée de la gestion du fonds de développement pour l'insertion professionnelle des handicapés et le fonds pour l'insertion professionnelle des personnes handicapées dans la fonction publique. / Ils sont conventionnés à cet effet et peuvent, à cette condition, mobiliser les aides, actions et prestations proposées par l'association et le fonds mentionnés au premier alinéa. / Les organismes de placement spécialisés assurent, en complémentarité avec l'institution mentionnée à l'article L. 5312-1, une prise en charge adaptée des demandeurs d'emploi bénéficiaires de l'obligation d'emploi dans des conditions définies par une convention. "
3. Le décret dont l'association Act Up Paris demande l'annulation autorise la création d'un traitement de données à caractère personnel, dénommé " Traitement de données de santé nécessaires à l'accompagnement adapté des personnes en situation de handicap ", par Pôle Emploi et les organismes spécialisés de placement mentionnés à l'article L. 5214-3-1 du code du travail, afin d'améliorer l'accompagnement des demandeurs d'emploi en situation de handicap.
Sur la légalité externe du décret attaqué :
4. En premier lieu, aux termes de l'article 6 de la loi du 6 janvier 1978 : " I.- Il est interdit de traiter des données à caractère personnel qui révèlent la prétendue origine raciale ou l'origine ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale d'une personne physique ou de traiter des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique. / II.- Les exceptions à l'interdiction mentionnée au I sont fixées dans les conditions prévues par le 2 de l'article 9 du règlement (UE) 2016/679 du 27 avril 2016 et par la présente loi. / III.- De même, ne sont pas soumis à l'interdiction prévue au I les traitements, automatisés ou non, justifiés par l'intérêt public et autorisés suivant les modalités prévues au II de l'article 31 et à l'article 32. "
5. L'article 31 de la même loi dispose que : " I.- Sont autorisés par arrêté du ou des ministres compétents, pris après avis motivé et publié de la Commission nationale de l'informatique et des libertés, les traitements de données à caractère personnel mis en œuvre pour le compte de l'Etat et : / 1° Qui intéressent la sûreté de l'Etat, la défense ou la sécurité publique ; / 2° Ou qui ont pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l'exécution des condamnations pénales ou des mesures de sûreté. / L'avis de la commission est publié avec l'arrêté autorisant le traitement. / II.- Ceux de ces traitements qui portent sur des données mentionnées au I de l'article 6 sont autorisés par décret en Conseil d'Etat pris après avis motivé et publié de la commission. Cet avis est publié avec le décret autorisant le traitement. " L'article 32 de la même loi prévoit, pour sa part, que sont autorisés par décret en Conseil d'Etat, pris après avis motivé et publié de la Commission nationale de l'informatique et des libertés (CNIL), les traitements de données à caractère personnel mis en œuvre pour le compte de l'Etat, agissant dans l'exercice de ses prérogatives de puissance publique, qui portent sur des données génétiques ou sur des données biométriques nécessaires à l'authentification ou au contrôle de l'identité des personnes.
6. Il résulte de l'ensemble de ces dispositions que la légalité de l'acte instituant un traitement portant sur les catégories particulières de données à caractère personnel mentionnées au I de l'article 6 de la loi du 6 janvier 1978 est subordonnée à la condition, prévue au II de cet article, que ce traitement relève de l'une des exceptions énumérées au point 2 de l'article 9 du règlement du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, dit RGPD, ou, s'il s'agit d'un traitement relevant du champ d'application du II de l'article 31 ou de l'article 32 de la même loi, à la condition, prévue au III de l'article 6 de cette loi, qu'il soit justifié par l'intérêt public et autorisé par décret en Conseil d'Etat pris après avis motivé et publié de la CNIL.
7. Le traitement de données à caractère personnel dont la création est autorisée par le décret litigieux, qui inclut le traitement des données de santé énumérées à l'article D. 5312-51 du code du travail, ne relève pas, eu égard à ses finalités et aux données traitées, des dispositions des articles 31 et 32 de la loi du 6 janvier 1978. Ni les dispositions de l'article 6 de cette loi, ni celles du II de l'article 31 de la même loi, qui ne visent que des traitements relevant du I du même article, ni aucune autre disposition législative n'imposaient que ce traitement soit autorisé par décret en Conseil d'Etat. Par suite, le moyen tiré de ce que le décret attaqué serait entaché d'irrégularité faute d'avoir été précédé de la consultation du Conseil d'Etat ne peut qu'être écarté.
8. En deuxième lieu, aux termes de l'article 8 de la loi du 6 janvier 1978 : " I. La commission nationale de l'informatique et des libertés (...) 4° a) est consultée sur tout projet de loi ou de décret ou toute disposition de projet de loi ou de décret relatifs à la protection des données à caractère personnel ou au traitement de telles données ". Il ressort des pièces du dossier que la CNIL a été consultée sur le projet de décret, sur le fondement de ces dispositions, et qu'elle a rendu un avis le 21 avril 2022. En tout état de cause, en-dehors des cas prévus par les dispositions des articles 31 et 32 de la loi du 6 janvier 1978, aucune disposition ne prévoit la publication de son avis. Par suite, le moyen tiré de ce que le décret attaqué serait irrégulier faute d'avoir été précédé d'un avis motivé et publié.de la CNIL ne peut qu'être écarté.
9. En troisième lieu, contrairement à ce qui est soutenu par l'association requérante, ni les dispositions de l'article 62 de la loi du 6 janvier 1978, ni celles de l'article 35 du RGPD, ni aucune autre disposition législative ou réglementaire ne subordonne la légalité de l'acte créant un traitement de données à caractère personnel relevant du RGPD et justifiant la réalisation d'une analyse d'impact des opérations de traitement envisagées à la condition que cette analyse soit réalisée et transmise à la CNIL préalablement à la signature de cet acte.
Sur la légalité interne du décret attaqué :
10. En premier lieu, aux termes de l'article 4 de la loi du 6 janvier 1978 : " Les données à caractère personnel doivent être : (...) / 2° Collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d'une manière incompatible avec ces finalités. (...) ; / 3° Adéquates, pertinentes et, au regard des finalités pour lesquelles elles sont traitées, limitées à ce qui est nécessaire (...) ". Pour l'application de ces dispositions, les données pertinentes au regard de la finalité d'un traitement automatisé d'informations nominatives sont celles qui sont en adéquation avec la finalité du traitement et qui sont proportionnées à cette finalité. De plus, aux termes du g) de l'article 9 du RGPD, l'interdiction du traitement des données concernant la santé prévue par cet article ne s'applique pas lorsque " le traitement est nécessaire pour des motifs d'intérêt public important, sur la base du droit de l'Union ou du droit d'un État membre qui doit être proportionné à l'objectif poursuivi, respecter l'essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée ".
11. D'une part, il résulte de l'article D. 5312-50 introduit dans le code du travail par le décret attaqué que le traitement litigieux vise à permettre à Pôle emploi et aux organismes de placement spécialisés d'assurer l'information, l'accueil, l'orientation et l'accompagnement de manière adaptée des demandeurs d'emploi en situation de handicap vers l'emploi, l'élaboration et le suivi du projet personnalité d'accès à l'emploi, l'attribution et le versement d'aides et la mobilisation de prestations, la gestion électronique de documents et la production de statistiques. Il ressort des pièces du dossier que la création de ce traitement s'inscrit dans le cadre d'un projet visant à proposer aux demandeurs d'emplois en situation de handicap une offre de service intégrée, leur permettant notamment de bénéficier d'un suivi unifié de leur accompagnement associant les conseillers de Pôle Emploi, ceux des organismes spécialisés de placement, ainsi que des autres organismes mentionnés à l'article L. 5214-3-1 du code du travail, par la mise en commun et le partage des informations dont ils disposent respectivement sur la situation des personnes qu'ils assistent. Ces objectifs présentent un caractère d'intérêt public important au sens des dispositions de l'article 9 du RGPD. Contrairement à ce que soutient l'association requérante, la circonstance que des données à caractère personnel identiques fassent l'objet d'autres traitements ayant une finalité connexe est sans incidence sur le caractère légitime, au sens de l'article 4 de la loi du 6 janvier 1978, des finalités précédemment mentionnées.
12. D'autre part, il résulte des termes de l'article D. 5312-51 introduit dans le code du travail par le décret litigieux que les données de santé limitativement énumérées à cet article ne peuvent être enregistrées que si cette opération est strictement nécessaire à la poursuite des finalités mentionnées au point 11. A ce titre, si le décret attaqué permet légalement la collecte et la conservation d'informations relatives non seulement au type de handicap, mais aussi à son " origine ", dès lors que celles-ci ont une incidence sur les besoins d'accompagnement et de rétablissement du demandeur d'emploi et sur l'exercice des missions dévolues à Pôle emploi et aux organismes de placement spécialisés, il n'a pas pour objet et ne saurait avoir légalement pour effet, ainsi d'ailleurs que le fait valoir le ministre, d'autoriser le traitement de données détaillant les conditions dans lesquelles le handicap est apparu, notamment la nature précise de la maladie ou les circonstances de l'accident qui en est à l'origine, dès lors que de telles informations ne sont pas strictement nécessaires à cet accompagnement ou aux autres finalités poursuivies. En outre, les données relatives au " besoin lié au rétablissement de la personne en situation de handicap permettant d'identifier les modalités de soutien nécessaires à son insertion professionnelle, y compris ses habitudes de vie et interactions sociales ", qui ne peuvent d'ailleurs être fournies que par les personnes concernées, ne peuvent elles aussi être enregistrées que dans la stricte mesure où elles sont nécessaires à la poursuite des finalités du traitement, présentent un caractère adéquat, pertinent et proportionné. Les dispositions du décret qui en autorisent l'enregistrement ne méconnaissent pas l'objectif à valeur constitutionnelle de clarté et d'intelligibilité de la norme. Il résulte de ce qui précède que l'association requérante n'est pas fondée à soutenir que ce décret méconnaîtrait à ce titre le droit au respect de la vie privée garanti par la Constitution et l'article 8 de la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales, ainsi que les dispositions de l'article 9 du RGPD et de l'article 4 de la loi du 6 janvier 1978.
13. En deuxième lieu, aux termes de l'article D. 5312-52 du code du travail, issu du décret attaqué : " I.- Sont autorisées à enregistrer ou à consulter les données du traitement mentionné à l'article D. 5312-50, dans les conditions fixées par les responsables conjoints de traitement et dans la limite de ce qui est nécessaire à l'exercice de leurs missions, les personnes désignées et habilitées à cette fin au sein : / 1° De Pôle emploi ; / 2° Des organismes de placement spécialisés mentionnés à l'article L. 5214-3-1. / II. -Sont destinataires de tout ou partie des données à caractère personnel incluses dans ce même traitement, dans les conditions fixées par les responsables conjoints de traitement et dans les limites strictement nécessaires à l'exercice de leurs missions, les personnes désignées et habilitées à cette fin au sein : / 1° De l'association de gestion du fonds pour l'insertion professionnelle des handicapés ; / 2° Du fonds pour l'insertion des personnes handicapées dans la fonction publique. "
14. D'une part, les dispositions issues du décret attaqué, citées au point 13, limitent l'accès aux données à caractère personnel concernant la santé des demandeurs d'emploi figurant dans le traitement aux seuls agents, soumis au secret professionnel sous les sanctions prévues à l'article 226-13 du code pénal et habilités à cet effet eu égard à leurs fonctions, des organismes qu'elles énumèrent et à condition que ces agents aient besoin d'en connaître pour l'exercice des missions d'accompagnement et de soutien aux demandeurs d'emploi en situation de handicap qui leur sont dévolues. Contrairement à ce que soutient l'association requérante, peuvent légalement figurer au nombre de ces agents des personnels de Pôle emploi ayant besoin d'en connaître, eu égard aux missions dévolues à cet établissement public en matière d'accompagnement des demandeurs d'emploi en situation de handicap. Dans ces conditions, le moyen tiré de ce que le décret méconnaîtrait le droit au respect de la vie privée et l'article 4 de la loi du 6 janvier 1978 en ce qu'il autoriserait la transmission de données de santé à un nombre indéfini et excessif d'agents qui ne seraient pas tenus au secret professionnel, ne peut qu'être écarté.
15. D'autre part, le décret n'a ni pour objet, ni pour effet d'autoriser la collecte de données concernant la santé des personnes en méconnaissance des exigences du secret médical et de l'article L. 1110-4 du code de la santé publique, qui fixe les conditions dans lesquelles les professionnels intervenant dans le système de santé peuvent ou non partager les informations venues à leur connaissance dans le cadre de la prise en charge d'un patient. Aucune disposition ni aucun principe n'exige que le décret attaqué le rappelle ni ne précise les modalités selon lesquelles les données concernant la santé des personnes figurant dans le traitement sont collectées. Le moyen tiré de ce que l'auteur du décret attaqué n'aurait, ce faisant, pas épuisé sa compétence et aurait méconnu le secret médical et l'article L. 1110-4 du code de la santé publique ne peut donc qu'être écarté.
16. Enfin, aucune règle n'imposait que le décret attaqué mentionne les conditions dans lesquelles seront désignées et habilitées les personnes autorisées à traiter les données de santé conservées dans le traitement. L'association requérante n'est donc pas fondée à soutenir que le décret qu'elle attaque serait entaché d'illégalité faute d'apporter ces précisions.
17. En troisième et dernier lieu, dès lors, qu'eu égard à l'importance des finalités rappelées au point 11 et aux garanties dont est entourée la mise en œuvre du traitement litigieux, ainsi que la CNIL l'a d'ailleurs admis dans son avis, c'est à bon droit que le décret attaqué a été pris sur le fondement des dispositions précitées de l'exception prévue au g) du paragraphe 2 de l'article 9 du RGPD, l'association requérante n'est pas fondée à soutenir que ce décret serait illégal faute de prévoir le consentement explicite des demandeurs d'emploi dont les données seront traitées.
18 Il résulte de tout ce qui précède, et sans qu'il soit besoin de se prononcer sur la fin de non-recevoir soulevée par le ministre du travail, du plein emploi et de l'insertion, que l'association Act Up Paris n'est pas fondée à demander l'annulation pour excès de pouvoir du décret attaqué.
19. Les dispositions de l'article L. 761-1 du code de justice administrative font obstacle à ce qu'une somme soit mise à ce titre à la charge de l'Etat, qui n'est pas, dans la présente instance, la partie perdante.
D E C I D E :
--------------
Article 1er : La requête de l'association Act Up Paris est rejetée.
Article 2 : La présente décision sera notifiée à l'association Act Up Paris et au ministre du travail, du plein emploi et de l'insertion.
Copie en sera adressée à la Première ministre, au ministre de la santé et de la prévention et à la Commission nationale de l'informatique et des libertés.
Délibéré à l'issue de la séance du 29 novembre 2023 où siégeaient : M. Jacques-Henri Stahl, président adjoint de la section du contentieux, présidant ; M. Bertrand Dacosta, Mme Anne Egerszegi, présidents de chambre ; Mme Nathalie Escaut, M. Nicolas Polge, M. Vincent Daumas, Mme Isabelle Lemesle, Mme Rozen Noguellou, conseillers d'Etat et M. Jean de L'Hermite, conseiller d'Etat-rapporteur.
Rendu le 20 décembre 2023.
Le président :
Signé : M. Jacques-Henri Stahl
Le rapporteur :
Signé : M. Jean de L'Hermite
La secrétaire :
Signé : Mme Chloé-Claudia Sediang
