La Quadrature du Net et la Ligue des Droits de l’Homme avaient déposé un référé devant le tribunal administratif de Paris. Elles réclamaient l'arrêt des drones de la préfecture de police de Paris, pour surveiller les règles de confinement. Si le tribunal administratif avait rejeté leur recours, le Conseil d’État vient de l’accueillir favorablement. Explications.
Les deux associations considèrent que ces solutions constituent « une ingérence grave et manifestement illégale dans plusieurs libertés fondamentales parmi lesquelles le droit à la vie privée et le droit à la protection des données personnelles ».
Atteinte à la vie privée, atteinte aux données personnelles, surveillance « en temps réel de très larges zones » dont « des jardins privés ou l’intérieur des habitations »… Pour elles, « la mobilité des drones rend ces derniers infiniment plus liberticides que des caméras fixes ».
Et pour cause, « non seulement l’atteinte aux libertés et, en particulier, au droit à la vie privée, n’est plus limitée par les contraintes inhérentes au dispositif, relatives à l’emplacement et à l’orientation des caméras ; mais encore, à la différence des caméras fixes qui peuvent – et doivent (…) être paramétrées afin de ne pas capter des images relatives à des entrées d’immeuble, à l’intérieur des bâtiments et, d’une manière générale, à des espaces privés, les images captées par des drones mobiles captent nécessairement des images relatives à ces espaces protégés ».
Le 5 mai, le tribunal administratif rejetait toutefois sèchement leur recours. Malgré de solides arguments, il a été sensible à ceux du préfet de police selon lesquels « les images captées sont prises en utilisant un grand angle » et donc qu’elles ne permettent pas « l’identification d’un individu ».
« Aucun des éléments de l’instruction ne permet de mettre en cause cette affirmation » indique la décision. « Dans ces conditions, même si la préfecture de police a, par ce dispositif, procédé à la collecte, à l’enregistrement provisoire et à la transmission d’images, elle ne peut être regardée comme ayant procédé à un traitement de données à caractère personnel ».
Conclusion : « il n’apparaît pas, dès lors, qu’elle aurait porté une atteinte illégale aux libertés fondamentales que sont le droit à la vie privée et le droit à la protection des données personnelles, faute notamment que les traitements en cause aient été autorisés et organisés par un texte de droit interne ».
Les deux associations ont cependant porté le dossier devant le Conseil d’État, toujours en référé. Bien leur a pris, puisque la haute juridiction a profité de l’occasion pour fixer les limites à l’usage de ces drones policiers.
Des drones DJI type Mavic Enterprise, volant 3 h par jour à plus de 80 m de haut
Dans son ordonnance rendue aujourd’hui, la juridiction donne plusieurs détails. Ainsi, « depuis le 18 mars 2020, un drone de la flotte de quinze appareils que compte la préfecture de police a ainsi été utilisé quotidiennement pour effectuer cette mission de police administrative ». Mieux : « la préfecture de police continue de recourir à ces mesures de surveillance et de contrôle dans le cadre du plan de déconfinement mis en oeuvre à compter du 11 mai 2020 ».
Au fil de l’instruction, on apprend que ces vols de surveillance « sont réalisés à partir des quatre appareils de marque DJI type Mavic Enterprise, équipés d'un zoom optique X 3 et d'un haut-parleur ». Le drone ne filme pas de manière continue, mais seulement deux à trois heures en moyenne par jour. L’appareil est également couplé à un dispositif humain : des équipes sur sites et d’autres au centre d'information et de commandement de la préfecture de police.
L’organisation de ces deux groupes est détaillée :
« La première est composée de trois personnes, le télépilote en charge de manier le drone, un télépilote adjoint et un agent chargé de leur protection. Le télépilote procède au guidage de l’appareil à partir de son propre écran vidéo ou en effectuant un vol à vue afin qu’il accède au site dont l’opérateur a demandé, depuis la salle de commandement, le survol. Lorsque le drone survole le site désigné, le télépilote procède à la retransmission, en temps réel, des images au centre de commandement afin que l’opérateur qui s’y trouve puisse, le cas échéant, décider de la conduite à tenir. Il peut également être décidé de faire usage du haut-parleur dont est doté l’appareil afin de diffuser des messages à destination des personnes présentes sur le site »
Cette flotte de drones n’a pas pour objet de distribuer des amendes, mais de faciliter le déploiement d’unités d’interventions sur place afin de « procéder à la dispersion du rassemblement en cause » ou pour évacuer les « lieux fermés au public » ou encore « de prévenir le trouble à l’ordre public que constitue la méconnaissance des règles de sécurité sanitaire ».
Selon une « doctrine » datant du 14 mai, les vols sont enfin réalisés à une hauteur de 80 à 100 mètres. La caméra filme en grand-angle, sans activation du zoom. Il n’est par ailleurs procédé à aucun enregistrement ni conservation d’image.
Une finalité légitime, mais…un traitement de données personnelles
Voilà pour l’opérationnel. Le Conseil d’État a jugé cette finalité légitime et, comme le tribunal administratif, il a considéré « qu’un usage du dispositif de surveillance par drone effectué conformément à la doctrine d’emploi fixée par la note du 14 mai 2020 n’est pas de nature à porter, par lui-même, une atteinte grave et manifestement illégale aux libertés fondamentales invoquées ».
Et toujours selon son analyse, cet usage relève de la directive du 27 avril 2016 Police-Justice dont l’article 1er prévoit son application aux traitements de données à caractère personnel institués « y compris [pour] la protection contre les menaces pour la sécurité publique et la prévention de telles menaces ».
Seulement, la juridiction relève que « les appareils en cause qui sont dotés d’un zoom optique et qui peuvent voler à une distance inférieure à celle fixée par la note du 14 mai 2020 sont susceptibles de collecter des données identifiantes ».
Or, ils ne comportent « aucun dispositif technique de nature à éviter, dans tous les cas, que les informations collectées puissent conduire, au bénéfice d’un autre usage que celui actuellement pratiqué, à rendre les personnes auxquelles elles se rapportent identifiables ».
Les données susceptibles d’être collectées ont donc bien un caractère personnel, comme l’affirmaient la LDH et la Quadrature du Net à l’aide de la définition très large adoptée par la directive précitée.
Mieux : en filmant et renvoyant les images en direct à un centre de contrôle, ces drones réalisent bien un traitement de données personnelles, traitement dont la directive adopte une définition très généreuse, là encore similaire au RGPD.
Ces caractéristiques posées, et contrairement au tribunal administratif, le Conseil d’État n’a pas eu de difficulté à considérer que la préfecture de police a de plus violé la loi CNIL de 1978 modifiée.
Son article 31 autorise certes « les traitements de données à caractère personnel mis en œuvre pour le compte de l'État et (…) qui ont pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l'exécution des condamnations pénales ou des mesures de sûreté ». Seulement, le texte exige préalablement un arrêté pris après avis motivé et publié de la Commission nationale de l'informatique et des libertés. Texte qui fait ici défaut !
Pas de texte, pas de bridage ? Pas de drone !
Au final, le Conseil d’État enjoint l’État de cesser de procéder aux mesures de surveillance par drone, dans le cadre du contrôle des règles de sécurité sanitaire et ce « tant qu’il n’aura pas été remédié à cette défaillance ». Soit en prenant un arrêté spécifique pris après avis de la CNIL soit en bridant les appareils utilisés afin de « rendre impossible, quels que puissent en être les usages retenus, l’identification des personnes filmées ».
L’ordonnance du juge des référés a donc été naturellement annulée dans le cadre de cette décision importante pour l’encadrement de l’usage de drones par les autorités.
