Drones civils de surveillance : interdiction
par la justice
1.
La
Préfecture de police déploie un drone contre le coronavirus
A
partir du 18 mars 2020, la Préfecture de police de Paris a déployé un drone
civil dans le cadre du confinement, puis du déconfinement, afin de lutter
contre les rassemblements de personnes de nature à favoriser la propagation du
coronavirus.
Le
25 avril 2020, le journal en ligne Mediapart s’est ému de l’immixtion
des drones dans l’espace public de plusieurs communes, et notamment à Paris, et
du déficit d’informations quant à la conservation des images captées et à la
possibilité qu’elles fassent l’objet de recoupements automatisés avec d’autres fichiers de données personnelles mis en œuvre par les autorités publiques.
Dans
ce contexte, le service de la communication de la Préfecture de police a
diffusé deux documents destinés à éclairer les administrés sur la réalité et le
cadre juridique d’utilisation des drones. Dans un communiqué, il indiquait que
le dispositif de surveillance « a été déployé avec le concours de l’unité des moyens
aériens de la direction opérationnelle des services techniques et logistiques
(DOSTL). Ces drones sont pilotés par des fonctionnaires de police disposant des
certifications professionnelles adéquates et d’une expérience
conséquente. »
Le communiqué précisait également que les drones étaient
équipés d’un haut-parleur permettant d’informer le public sur les règles du
confinement, de mettre en garde les contrevenants à ces règles, mais également
de guider au sol les équipes de fonctionnaires de police. Un second document
mis à disposition par le Service de communication de la Préfecture de police de
Paris – un échange de cinq questions/réponses avec les journalistes de Mediapart
– détaillait plus avant les caractéristiques du dispositif : les images
captées par les drones étaient transmises sur la tablette de l’autorité
responsable ou dans un centre de commandement, et étaient détruites à la fin de
la mission.
2.
Mediapart pose une mauvaise question…
Mediapart y demandait d’abord si le dispositif avait fait l’objet d’un dépôt de dossier auprès
de la Commission départementale de vidéoprotection « comme pour les
caméras fixes » ou si la Préfecture de police se plaçait dans le cadre
dérogatoire des missions de sécurité civile.
Cette question était mal posée parce qu’elle confondait deux
législations qui n’ont pas le même objet. En effet, un premier corps de règles
issu du Code de la sécurité intérieure (articles L 251-1 et suivants) prévoit que l’installation d’un système de vidéoprotection doit faire l’objet
d’une autorisation du représentant de l’Etat dans le département après avis de
la Commission départementale de vidéoprotection. S’il existe bien des
hypothèses dérogatoires dans lesquelles l’urgence dispense de saisir cette
commission, elles ne concernent pas la sécurité civile, mais les risques de
sécurité liés à une action terroriste (article L 223-4 du Code de la sécurité
intérieure) ou à une manifestation ou un rassemblement de grande ampleur
(article L 252-6 du Code de la sécurité intérieure).
La dérogation à laquelle Mediapart fait référence
concerne quant à elle deux arrêtés du 17 décembre 2015 relatifs, respectivement
« à la conception des aéronefs civils qui circulent sans personne à
bord, aux conditions de leur emploi et aux capacités requises des personnes qui
les utilisent », et « à l'utilisation de l'espace aérien par
les aéronefs qui circulent sans personne à bord ». Cette législation
régit les caractéristiques techniques des drones, leur poids, les conditions de
survol de certaines zones, ou encore la distance autorisée entre le pilote et
la machine, auxquelles il est permis de déroger « dans le cadre de
missions de secours, de sauvetage, de douane, de police ou de sécurité civile,
peuvent évoluer en dérogation aux dispositions du présent arrêté lorsque les
circonstances de la mission et les exigences de l'ordre et de la sécurité
publics le justifient ».
Les journalistes confondaient donc deux sujets distincts, puisque
la réglementation de la vidéoprotection concerne essentiellement la protection
des données personnelles des personnes susceptibles d’être filmées, tandis que
le cadre normatif propre aux drones a trait au risque d’atteintes matérielles
et physiques susceptibles d’être causées par les appareils volants.
3.
…
et l’administration apporte une mauvaise réponse
Dans ses réponses, la Préfecture de police dévoilait sa
position quant au cadre légal applicable au dispositif qu’elle avait déployé.
Elle affirmait que le Code de la sécurité intérieure ne lui était pas
applicable dans la mesure où il concernait les caméras fixes, ni la loi du 6
janvier 1978 dite « Informatique et
libertés » qu’elle ne citait pas, mais simplement l’article 9 du
Code civil et l’article 226-1 du Code pénal qui protègent en termes très
généraux la vie privée, étant donné que les caméras qui équipaient ses drones n’utilisaient
qu’un grand angle et « ne permettent donc pas l’identification d’un
individu » sauf dans les cas d’enquêtes de police ou d’instruction
judiciaire régis spécifiquement par le Code de procédure pénale..
En résumé, pour l’administration les caméras transportées par
les drones ne permettaient pas de capter des images de personnes identifiables,
elles ne traitaient donc pas de données personnelles au sens juridique de ces
termes, aussi le dispositif n’était pas soumis à une législation et à une
procédure protectrice de leurs données personnelles.
4.
La
justice administrative interdit le dispositif
Deux
associations – La Quadrature du net et La Ligue des droits de
l’homme – ont alors saisi le Tribunal administratif de Paris d’une requête
en « référé-liberté » à l’encontre de cette utilisation des drones
civils, en vue d’obtenir sa suspension immédiate. Il faut rappeler que le
référé-liberté permet, en vertu de l’article L 521-2 du Code de justice
administrative, de demander au juge administratif en cas d’extrême urgence, de
prendre dans un délai de quarante-huit heures toute mesure nécessaire à la
sauvegarde d’une liberté fondamentale à laquelle il est porté une atteinte grave
et manifestement illégale par un organisme public ou parapublic.
Par
une ordonnance du 5 mai 2020, le juge des référés du Tribunal administratif de
Paris a rejeté l’argumentation des associations en conduisant un raisonnement classique
en deux temps.
Dans
un premier temps, il a cité trois textes de loi applicables aux traitements de
données personnelles. Il s’agissait de la directive du 27 avril 2016 relative « à
la protection des personnes physiques à l'égard du traitement des données à
caractère personnel par les autorités compétentes à des fins de prévention et
de détection des infractions pénales, d'enquêtes et de poursuites en la matière
ou d'exécution de sanctions pénales, et à la libre circulation de ces données »,
de la loi « Informatique
et libertés », et enfin du règlement
général sur la protection des données du 27 avril 2016 dit RGPD. De ces
dispositions, il résultait notamment que relevait de la catégorie juridique des
données personnelles toute information relative à une « personne
physique identifiée ou identifiable », qu’une personne était
identifiable par référence à un identifiant ou à un élément spécifique et
notamment physique, qu’une opération de « traitement de données » recouvrait
une large gammes de procédés, et qu’un tel traitement en matière pénale
nécessitait une autorisation du Ministre compétent pris après avis de la
Commission nationale de l’informatique et des libertés (CNIL).
Dans
un second temps, le juge a pris appui sur les affirmations de la Préfecture de
police selon lesquelles les drones avaient été utilisés dans des conditions ne
permettant pas d’identification de personnes physiques – même si cette
opération était techniquement à leur portée – pour en déduire qu’aucune donnée
personnelle de personnes identifiables physiquement n’avait fait l’objet d’un
traitement par les caméras transportées, de sorte que les textes relatifs à la
protection des données personnelles n’étaient ni applicables ni, a fortiori,
enfreints par le dispositif et par l’absence d’arrêté ministériel l’autorisant.
L’ordonnance
du juge parisien a fait l’objet d’un appel devant le juge des référés du
Conseil d’Etat, et a été annulée par sa décision du 18 mai 2020. Il a suffi d’une simple nuance de
raisonnement pour censurer la position du Tribunal administratif et de la Préfecture de police.
En
effet, les deux juridictions ont tiré des conclusions opposées de ce que les
caméras embarquées pouvaient techniquement identifier des personnes physiques
mais ne le faisaient pas dans le cadre du dispositif objet du procès. Pour le
Tribunal de Paris, cette circonstance excluait que soit invoquée la notion de
personne identifiable et donc que des données personnelles soient en jeu. Pour
le Conseil d’Etat au contraire, le fait qu’existe la possibilité technique d’une
captation et transmission d’image assez précise pour permettre une identification
rendait applicable la législation sur les données personnelles, et sanctionnable
le déploiement d’un dispositif qui ne se fondait par sur un arrêté ou un décret
pris après avis de la CNIL, prévoyant et respectant toutes les garanties requises
en la matière.
Dès
lors, la juridiction suprême a décidé qu’un tel dispositif ne pouvait exister
qu’à deux conditions alternatives, soit en privant les drones de la capacité technique
de filmer les personnes avec une précision les rendant identifiables, soit en
les conservant tels quels sous réserve que le pouvoir exécutif ait pris une
réglementation autorisant et encadrant ledit dispositif. Aussi a-t-il été interdit
par cette décision de justice, qui a ordonné à l’Etat d’y mettre un terme.
Le
même jour, la CNIL a diffusé un communiqué de presse dans lequel elle indiquait
avoir déclenché une série de contrôles relatifs à l’utilisation de drones
civils de surveillance dans plusieurs communes et qu’elle attendait les
réponses du Ministère de l’intérieur pour les mener à terme et prendre une
position.
