| France, Conseil d'État, 10ème - 9ème chambres réunies, 08 juillet 2024, 474251

Vu les procédures suivantes :

1° Sous le n° 474251, par une requête sommaire, un mémoire complémentaire et un nouveau mémoire, enregistrés les 16 mai, 16 août 2023 et 21 mars 2024 au secrétariat du contentieux du Conseil d'Etat, la Ligue des droits de l'Homme, M. D... G..., Mme C... F..., M. H... B... et Mme I... B... demandent au Conseil d'Etat :

1°) d'annuler pour excès de pouvoir le décret n° 2023-255 du 6 avril 2023 autorisant la création d'un traitement automatisé de données à caractère personnel relatif à la prise en charge des mineurs de retour de zones d'opérations de groupements terroristes (MRZOGT) ;

2°) de mettre à la charge de l'État la somme de 4 000 euros au titre de l'article L. 761-1 du code de justice administrative.

2° Sous le n° 474841, par une requête sommaire et un mémoire complémentaire, enregistrés les 6 juin et 1er septembre 2023 au secrétariat du contentieux du Conseil d'Etat, le Conseil national des barreaux demande au Conseil d'Etat :

1°) d'annuler pour excès de pouvoir le décret n° 2023-255 du 6 avril 2023 autorisant la création d'un traitement automatisé de données à caractère personnel relatif à la prise en charge des mineurs de retour de zones d'opérations de groupements terroristes (MRZOGT) ;

2°) de mettre à la charge de l'État la somme de 6 000 euros au titre de l'article L. 761-1 du code de justice administrative.

....................................................................................

3° Sous le n° 474908, par une requête sommaire et un mémoire complémentaire, enregistrés les 8 juin et 11 septembre 2023 au secrétariat du contentieux du Conseil d'Etat, M. A... E... demande au Conseil d'Etat :

1°) d'annuler pour excès de pouvoir le décret n° 2023-255 du 6 avril 2023 autorisant la création d'un traitement automatisé de données à caractère personnel relatif à la prise en charge des mineurs de retour de zones d'opérations de groupements terroristes (MRZOGT) ;

2°) de mettre à la charge de l'État la somme de 3 000 euros au titre des articles L. 761-1 du code de justice administrative et 37 de la loi du 10 juillet 1991.

....................................................................................

Vu les autres pièces des dossiers ;

Vu :

- la Constitution ;

- la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales ;

- la convention internationale relative aux droits de l'enfant signée à New York le 26 janvier 1990 ;

- la charte des droits fondamentaux de l'Union européenne ;

- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;

- le code de la sécurité intérieure ;

- la loi organique n° 2011-333 du 29 mars 2011 ;

- la loi n° 78-17 du 6 janvier 1978 ;

- le code de justice administrative ;

Après avoir entendu en séance publique :

- le rapport de Mme Alexandra Poirson, auditrice,

- les conclusions de M. Laurent Domingo, rapporteur public ;

La parole ayant été donnée, après les conclusions, à la SCP Spinosi, avocat de la Ligue des droits de l'Homme et autres, à la SCP Piwnica et Molinié, avocat du Conseil national des barreaux et à la SCP Ohl, Vexliard, avocat de M. E... ;

Considérant ce qui suit :

1. Le décret du 6 avril 2023 crée un traitement automatisé de données concernant les mineurs français ou présumés comme tels, ainsi que les mineurs étrangers présents sur le territoire français, ayant effectivement séjourné en zone irako-syrienne ou toute autre zone d'opérations de groupements terroristes. Ce traitement comprend des informations relatives à l'identification de ces mineurs, leur situation familiale, leur mode de retour en France et leur prise en charge judiciaire, administrative, médicale et éducative.

2. Par trois requêtes, la Ligue des droits de l'Homme et autres, le Conseil national des barreaux et M. E... demandent l'annulation pour excès de pouvoir de ce décret. Il y a lieu de les joindre pour statuer par une seule décision.

Sur la requête présentée par le Conseil national des barreaux :

3. Le Conseil national des barreaux, établissement d'utilité publique doté de la personnalité morale institué par l'article 15 de la loi du 31 décembre 1990 portant réforme de certaines professions judiciaires et juridiques, a principalement pour objet de représenter la profession d'avocat auprès des pouvoirs publics. Le décret attaqué n'emporte pas d'incidences suffisamment directes et certaines sur les conditions d'exercice de la profession d'avocat pour que le Conseil national des barreaux justifie d'un intérêt lui donnant qualité pour en demander l'annulation pour excès de pouvoir.

Sur les interventions :

4. Est recevable à former une intervention, devant le juge du fond comme devant le juge de cassation, toute personne qui justifie d'un intérêt suffisant eu égard à la nature et à l'objet du litige.

5. En premier lieu, le Syndicat des avocats de France et le Syndicat de la magistrature font valoir qu'ils ont pour objet statutaire de défendre les droits et intérêts professionnels des membres des professions qu'ils représentent. D'une part, si le Syndicat de la magistrature se prévaut de ce que le traitement de données autorisé par le décret attaqué prévoit que les magistrats du parquet figurent parmi les accédants au fichier et que les droits de la défense des parents des mineurs concernés seraient affectés, les dispositions attaquées ne sont pas de nature à affecter les conditions d'emploi et de travail des magistrats judiciaires dont il défend les intérêts collectifs et ne portent par elles-mêmes aucune atteinte à leurs droits et prérogatives. Il ne justifie donc pas d'un intérêt lui donnant qualité pour demander l'annulation des dispositions qu'il conteste. D'autre part, le Syndicat des avocats de France ne fait valoir aucune atteinte qui serait portée par le décret attaqué aux intérêts collectifs des avocats. Ces syndicats professionnels, dont l'objet est régi par les dispositions de l'article L. 2131-1 du code du travail, ne sauraient utilement se prévaloir des termes généraux de leurs statuts relatifs, pour le premier, à la défense des droits et libertés à valeur constitutionnelle ou garantis par les conventions internationales et, pour le second, à l'objectif de mener toute action pour la défense des droits de la défense et des libertés dans le monde.

6. Il résulte de ce qui précède que l'intervention du Syndicat de la magistrature et celle du Syndicat des avocats de France ne sont pas recevables.

7. En second lieu, pour les raisons mentionnées au point 3, le Conseil national des barreaux ne justifie pas d'un intérêt lui donnant qualité pour intervenir au soutien de la requête de la Ligue des droits de l'Homme et autres.

Sur la légalité externe du décret attaqué :

8. En premier lieu, aux termes de l'article 34 de la Constitution : " La loi fixe les règles concernant : / les droits civiques et les garanties fondamentales accordées aux citoyens pour l'exercice des libertés publiques ". Aux termes de l'article 31 de la loi du 6 janvier 1978 : " I.- Sont autorisés par arrêté du ou des ministres compétents, pris après avis motivé et publié de la Commission nationale de l'informatique et des libertés, les traitements de données à caractère personnel mis en œuvre pour le compte de l'Etat et : / 1° Qui intéressent la sûreté de l'Etat, la défense ou la sécurité publique ; (...) / II. -Ceux de ces traitements qui portent sur des données mentionnées au I de l'article 6 sont autorisés par décret en Conseil d'Etat pris après avis motivé et publié de la commission (...) ". Le décret attaqué autorise la mise en œuvre d'un traitement de données à caractère personnel sur le fondement de l'article 31 de la loi du 6 janvier 1978. Il n'a ni pour objet ni pour effet de fixer des règles concernant les garanties fondamentales accordées aux citoyens pour l'exercice des libertés publiques relevant de la compétence du législateur en vertu de l'article 34 de la Constitution. Le moyen tiré de l'incompétence du pouvoir réglementaire ne peut qu'être écarté.

9. En second lieu, il ne ressort pas des pièces versées au dossier que le décret attaqué comporterait des dispositions qui différeraient à la fois du projet initial et du texte adopté par la section de l'intérieur du Conseil d'Etat. Par suite, le moyen tiré de la méconnaissance des règles qui gouvernent l'examen par le Conseil d'Etat de projets de décrets en Conseil d'Etat doit être écarté.

Sur la légalité interne du décret attaqué :

En ce qui concerne les finalités du traitement :

10. Aux termes de l'article 8 de la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales : " 1. Toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance. / 2. Il ne peut y avoir ingérence d'une autorité publique dans l'exercice de ce droit que pour autant que cette ingérence est prévue par la loi et qu'elle constitue une mesure qui, dans une société démocratique, est nécessaire à la sécurité nationale, à la sûreté publique, au bien-être économique du pays, à la défense de l'ordre et à la prévention des infractions pénales, à la protection de la santé ou de la morale, ou à la protection des droits et libertés d'autrui ". Aux termes de l'article 7 de la charte des droits fondamentaux de l'Union européenne : " Toute personne a droit au respect de sa vie privée et familiale, de son domicile et de ses communications. ". Aux termes de l'article 8 de cette même charte : " 1. Toute personne a droit à la protection des données à caractère personnel la concernant. / 2. Ces données doivent être traitées loyalement, à des fins déterminées et sur la base du consentement de la personne concernée ou en vertu d'un autre fondement légitime prévu par la loi. Toute personne a le droit d'accéder aux données collectées la concernant et d'en obtenir la rectification. / 3. Le respect de ces règles est soumis au contrôle d'une autorité indépendante ".

11. L'ingérence dans l'exercice du droit de toute personne au respect de sa vie privée que constituent la collecte, la conservation et le traitement, par une autorité publique, d'informations personnelles nominatives, ne peut être légalement autorisée que si elle répond à des finalités légitimes et que le choix, la collecte et le traitement des données sont effectués de manière adéquate et proportionnée au regard de ces finalités.

12. En premier lieu, aucune stipulation conventionnelle, aucune disposition législative ou réglementaire ni aucun principe ne font obstacle à ce que soit autorisé l'enregistrement, dans un traitement de données, de données relatives à des personnes mineures, sous réserve que, conformément aux exigences générales applicables aux traitements de données personnelles, l'ingérence dans l'exercice du droit de toute personne au respect de sa vie privée soit conforme aux exigences rappelées au point 11.

13. Conformément à l'article 1er du décret attaqué, le traitement autorisé a pour finalité de " permettre une meilleure coordination des services compétents en matière de prise en charge administrative, judiciaire, médicale et socio-éducative des mineurs de retour de zones d'opérations de groupements terroristes, en vue d'assurer leur protection et de prévenir leur engagement dans un processus de délinquance ou de radicalisation ".

14. Il ressort des pièces du dossier que le traitement de données ainsi créé est mis en œuvre dans le cadre du suivi, par les services de l'État et des collectivités territoriales, des mineurs ayant vécu dans des zones d'opérations de groupements terroristes ou y ayant transité, de retour sur le territoire national, conformément à l'instruction du Premier ministre du 23 mars 2017 relative à la prise en charge des mineurs de retour de zone irako-syrienne, qui implique l'intervention systématique du juge des enfants au titre des mesures d'assistance éducative, et vise à assurer une prise en charge adéquate de ces mineurs et de prévenir leur éventuel engagement dans un processus de délinquance ou de radicalisation. Institué dans l'intérêt même des mineurs concernés et dans l'intérêt de l'ordre public, ce traitement répond à des finalités d'intérêt général légitimes. Compte tenu des garanties dont il est assorti, le traitement litigieux ne porte pas une atteinte disproportionnée et discriminatoire à la vie privée des personnes mineures concernées. Il s'ensuit que le moyen tiré de ce qu'il porterait atteinte à l'intérêt supérieur de l'enfant et constituerait une ingérence illégale dans leur vie privée doit, au regard de l'objectif poursuivi par le traitement, être écarté.

15. En second lieu, la situation des mineurs revenant de zones d'action de groupements terroristes diffère, au regard de l'objet du décret et de ses finalités, de celle des autres mineurs se trouvant sur le territoire français. Par suite, le moyen tiré de ce que le décret attaqué serait contraire au principe d'égalité en ce qu'il traiterait différemment les mineurs concernés doit être écarté.

En ce qui concerne les données collectées :

S'agissant du principe de minimisation des données :

16. En vertu du principe dit de " minimisation des données " mentionné au c) du paragraphe 1 de l'article 5 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (RGPD), les données à caractère personnel collectées doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. La Ligue des droits de l'Homme soutient que ce principe serait méconnu en ce que les données collectées pour les mineurs ne seraient pas justifiées et en ce que des données relatives aux parents des mineurs concernés seraient collectées.

17. Il ressort, d'une part, des pièces du dossier que les données collectées pour les mineurs portent sur l'identification du mineur, sa situation familiale, ses modalités de prise en charge, qu'il s'agisse de la prise en charge judiciaire, administrative, médicale ou éducative. De telles données sont nécessaires à la coordination du suivi de ces mineurs et limitées à l'objet du traitement. D'autre part, si le décret attaqué prévoit aussi l'enregistrement, dans le traitement, de données relatives aux parents, et, le cas échéant, aux autres personnes exerçant l'autorité parentale sur les mineurs concernés, il ressort des pièces du dossier que la collecte de ces informations, qui sont limitées à l'identification des personnes concernées et, pour les parents, à leur éventuelle prise en charge judiciaire, est nécessaire et adaptée au regard des finalités du traitement, lequel vise à permettre une meilleure coordination des services compétents en matière de prise en charge administrative, judiciaire, médicale et socio-éducative de ces mineurs. Par suite, le moyen tiré de la méconnaissance du principe de minimisation des données doit être écarté.

S'agissant de la sécurité et la confidentialité des données dans le cadre de l'accès et de la communication :

18. D'une part, les personnes mentionnées à l'article 5 du décret attaqué ne sont autorisées à accéder ou à obtenir communication de tout ou partie des données du traitement litigieux que " dans la limite du besoin d'en connaître ". Cette notion, d'ailleurs usuelle dans les actes créant des traitements de données à caractère personnel, exige que les données en cause soient nécessaires à l'exercice des attributions dévolues à l'auteur de la demande. Contrairement à ce qui est soutenu, la circonstance que des représentants de plusieurs administrations figurent parmi les accédants et destinataires du traitement, ce qui correspond, au demeurant, à l'objet même du traitement qui est de permettre le partage d'informations pour un suivi pluridisciplinaire des mineurs, n'est pas de nature à établir que les données traitées feraient l'objet d'un niveau de sécurité et de confidentialité insuffisant. Par suite, le moyen tiré de ce que le décret n'assurerait pas suffisamment la sécurité et la confidentialité des données ou, en tout état de cause, qu'il serait entaché d'incompétence négative en omettant de définir de façon suffisamment précise les conditions d'exercice de l'accès aux données du traitement, ne peut qu'être écarté.

19. D'autre part, si les requérants soutiennent que le décret aurait dû prévoir une procédure préalable permettant d'apprécier les demandes d'accès afin de vérifier la nécessité de communiquer les données transmises, ainsi que leur limitation, mais aussi une mesure de sécurité portant sur les partages d'informations confidentielles entre les intervenants des cellules départementales de suivi pour la prévention de la radicalisation et l'accompagnement des familles en formation restreinte (CPRAF-R), au regard des dispositions de l'article 57 de la loi du 6 janvier 1978, ces dispositions, qui sont relatives aux obligations du responsable du traitement dans le fonctionnement de ce dernier, ne peuvent être utilement invoquées à l'appui de conclusions dirigées contre l'acte par lequel le traitement est autorisé. Il en va de même du moyen tiré de l'absence de contrôle préalable effectif de l'accès aux données par une juridiction ou une autorité administrative indépendante, s'agissant d'un traitement qui n'est pas relatif à des données de trafic ou des données de localisation.

S'agissant de la durée de conservation :

20. En vertu du principe dit de " limitation de la conservation " mentionné au e) du paragraphe 1 de l'article 5 du RGPD, les données à caractère personnel collectées doivent être conservées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées. Si les requérants soutiennent que la conservation des données jusqu'à la date à laquelle les mineurs accèdent à la majorité, indépendamment de leur trajectoire individuelle, méconnaît cette exigence, il ressort des pièces du dossier que cette durée est cohérente avec la finalité légitime que constitue la coordination de leur prise en charge jusqu'à l'atteinte de leur majorité. La circonstance que la durée de journalisation, c'est-à-dire la durée pendant laquelle est conservée la traçabilité des accès et des actions sur le traitement, soit le cas échéant inférieure à la durée de conservation des données du traitement est dépourvue d'incidence sur la légalité du décret attaqué.

En ce qui concerne le droit à l'information et le droit d'opposition :

21. D'une part, le paragraphe 1 de l'article 12 du RGPD dispose que : " Le responsable du traitement prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14 ainsi que pour procéder à toute communication au titre des articles 15 à 22 et de l'article 34 en ce qui concerne le traitement à la personne concernée d'une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, en particulier pour toute information destinée spécifiquement à un enfant (...) ". L'article 14 de ce même règlement précise les informations qui doivent obligatoirement être fournies aux personnes concernées. Ces dispositions n'imposent pas que les modalités de mise en œuvre de l'information des personnes concernées soient prévues par le décret instituant le traitement. Il ressort au demeurant des pièces du dossier, en particulier de la délibération de la Commission nationale de l'informatique et des libertés n° 2022-108 du 3 novembre 2022 portant avis sur le projet de décret attaqué, que ce droit à l'information des personnes concernées par le traitement litigieux sera garanti par le responsable de traitement, par l'intermédiaire de supports adaptés aux destinataires de ces informations.

22. D'autre part, l'article 21 du RGPD, auquel renvoie l'article 56 de la loi du 6 janvier 1978, prévoit que le droit d'opposition ne s'applique pas lorsque le traitement répond à une obligation légale ou, dans les conditions prévues à l'article 23 du même règlement, lorsque l'application de ces dispositions a été écartée par une disposition expresse de l'acte instaurant le traitement. Le paragraphe 1 de l'article 23 du RGPD autorise les autorités nationales à limiter la portée du droit d'opposition " lorsqu'une telle limitation respecte l'essence des libertés et droits fondamentaux et qu'elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir : (...) i) la protection de la personne concernée ou des droits et libertés d'autrui ". Il résulte de ces dispositions que le décret autorisant la mise en œuvre d'un traitement de données à caractère personnel ou précisant les modalités d'un traitement créé par la loi peut comporter une disposition expresse excluant l'exercice du droit d'opposition dès lors que cette exclusion est nécessaire et, eu égard notamment à la nature des données, aux finalités poursuivies et aux garanties prévues, proportionnée pour atteindre des objectifs importants d'intérêt public. Eu égard à l'objectif d'intérêt public tiré de la protection des mineurs poursuivi par le traitement et à la nécessité, à cette fin, de disposer d'informations exhaustives, le moyen tiré de ce que la restriction apportée au droit d'opposition par l'article 6 du décret attaqué ne serait pas justifiée doit être écarté.

23. Il résulte de tout ce qui précède que la Ligue des droits de l'Homme et autres et M. E... ne sont pas fondés à demander l'annulation pour excès de pouvoir du décret qu'ils attaquent. Dès lors, leurs conclusions doivent être rejetées, y compris celles présentées au titre de l'article L. 761-1 du code de justice administrative.

D E C I D E :

--------------

Article 1er : Les interventions du Syndicat des avocats de France, du Syndicat de la magistrature et du Conseil national des barreaux ne sont pas admises.

Article 2 : Les requêtes de la Ligue des droits de l'Homme et autres, du Conseil national des barreaux et de M. E... sont rejetées.

Article 3 : La présente décision sera notifiée à la Ligue des droits de l'Homme, première requérante dénommée sous le n° 474251, au Conseil national des barreaux, à M. A... E..., au Syndicat des avocats de France, au Syndicat de la magistrature, au Premier ministre et au ministre de l'intérieur et des outre-mer.

Délibéré à l'issue de la séance du 19 juin 2024 où siégeaient : M. Jacques-Henri Stahl, président adjoint de la section du contentieux, présidant ; M. Bertrand Dacosta, Mme Anne Egerszegi, présidents de chambre ; M. Olivier Yeznikian, M. Nicolas Polge, M. Vincent Daumas, Mme Rozen Noguellou, Mme Isabelle Lemesle, conseillers d'Etat et Mme Alexandra Poirson, auditrice-rapporteure.

Rendu le 8 juillet 2024.

Le président :

Signé : M. Jacques-Henri Stahl

La rapporteure :

Signé : Mme Alexandra Poirson

Le secrétaire :

Signé : M. Hervé Herber