L'article 3 de la directive du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales et à la libre circulation de ces données et abrogeant la décision-cadre 2008/977/JAI du Conseil définit, à son point 1, les données à caractère personnel comme " toute information se rapportant à une personne physique identifiée ou identifiable " et précise qu'est réputée être une " personne physique identifiable " " une personne physique qui peut être identifiée, directement ou indirectement notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ".
D'autre part, le même article 3 définit, à son point 2, un traitement comme " toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données à caractère personnel ou des ensemble de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction ".
En l'espèce, postérieurement à l'intervention de l'ordonnance du 18 mai 2020, la préfecture de police de Paris a mis en place, aux fins de surveiller les événements de grande ampleur se déroulant sur la voie publique, un dispositif technique reposant sur l'adjonction à l'outil de captation sans enregistrement des images par drone d'un logiciel de floutage automatique et en temps réel des données à caractère personnel dans les flux vidéo transmis à la salle de commandement de la direction de l'ordre public et de la circulation (DOPC) de la préfecture de police.
Le dispositif de surveillance litigieux, qui consiste à collecter des données, grâce à la captation d'images par drone, afin de les transmettre, après application d'un procédé de floutage, au centre de commandement de la préfecture de police pour un visionnage en temps réel, constitue un traitement au sens de la directive du 27 avril 2016.
En second lieu, si ce dispositif permet de ne renvoyer à la direction opérationnelle que des images ayant fait l'objet d'un floutage, il ne constitue que l'une des opérations d'un traitement d'ensemble des données, qui va de la collecte des images par le drone à leur envoi vers la salle de commandement, après transmission des flux vers le serveur de floutage, décomposition de ces flux image par image aux fins d'identifier celles qui correspondent à des données à caractère personnel pour procéder à l'opération de floutage, puis à la recomposition du flux vidéo comportant les éléments floutés. Dès lors que les images collectées par les appareils sont susceptibles de comporter des données identifiantes, la circonstance que seules les données traitées par le logiciel de floutage parviennent au centre de commandement n'est pas de nature à modifier la nature des données faisant l'objet du traitement, qui doivent être regardées comme des données à caractère personnel.
En jugeant que la décision attaquée n'avait pas pour effet d'autoriser un traitement de données à caractère personnel, au motif que seul le flux flouté des images captées par des drones arriverait en salle de commandement et en écartant pour ce motif le moyen tiré de ce que ce traitement aurait dû faire l'objet d'un texte l'autorisant, le juge des référés du tribunal administratif de Paris a entaché son ordonnance d'erreur de droit. L'association est, dès lors, fondée à demander son annulation.
Condition d'urgence :
Eu égard au nombre important de personnes susceptibles de faire l'objet des mesures de surveillance litigieuses et à l'atteinte qu'elles sont susceptibles de porter à la liberté de manifestation et alors que le ministre n'apporte pas d'élément de nature à établir que l'objectif de garantie de la sécurité publique lors de rassemblements de personnes sur la voie publique ne pourrait être atteint pleinement, dans les circonstances actuelles, en l'absence de recours à des drones, la condition d'urgence doit être regardée comme remplie.
Conseil d'État N° 446155 - 2020-12-22
D'autre part, le même article 3 définit, à son point 2, un traitement comme " toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données à caractère personnel ou des ensemble de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction ".
En l'espèce, postérieurement à l'intervention de l'ordonnance du 18 mai 2020, la préfecture de police de Paris a mis en place, aux fins de surveiller les événements de grande ampleur se déroulant sur la voie publique, un dispositif technique reposant sur l'adjonction à l'outil de captation sans enregistrement des images par drone d'un logiciel de floutage automatique et en temps réel des données à caractère personnel dans les flux vidéo transmis à la salle de commandement de la direction de l'ordre public et de la circulation (DOPC) de la préfecture de police.
Le dispositif de surveillance litigieux, qui consiste à collecter des données, grâce à la captation d'images par drone, afin de les transmettre, après application d'un procédé de floutage, au centre de commandement de la préfecture de police pour un visionnage en temps réel, constitue un traitement au sens de la directive du 27 avril 2016.
En second lieu, si ce dispositif permet de ne renvoyer à la direction opérationnelle que des images ayant fait l'objet d'un floutage, il ne constitue que l'une des opérations d'un traitement d'ensemble des données, qui va de la collecte des images par le drone à leur envoi vers la salle de commandement, après transmission des flux vers le serveur de floutage, décomposition de ces flux image par image aux fins d'identifier celles qui correspondent à des données à caractère personnel pour procéder à l'opération de floutage, puis à la recomposition du flux vidéo comportant les éléments floutés. Dès lors que les images collectées par les appareils sont susceptibles de comporter des données identifiantes, la circonstance que seules les données traitées par le logiciel de floutage parviennent au centre de commandement n'est pas de nature à modifier la nature des données faisant l'objet du traitement, qui doivent être regardées comme des données à caractère personnel.
En jugeant que la décision attaquée n'avait pas pour effet d'autoriser un traitement de données à caractère personnel, au motif que seul le flux flouté des images captées par des drones arriverait en salle de commandement et en écartant pour ce motif le moyen tiré de ce que ce traitement aurait dû faire l'objet d'un texte l'autorisant, le juge des référés du tribunal administratif de Paris a entaché son ordonnance d'erreur de droit. L'association est, dès lors, fondée à demander son annulation.
Condition d'urgence :
Eu égard au nombre important de personnes susceptibles de faire l'objet des mesures de surveillance litigieuses et à l'atteinte qu'elles sont susceptibles de porter à la liberté de manifestation et alors que le ministre n'apporte pas d'élément de nature à établir que l'objectif de garantie de la sécurité publique lors de rassemblements de personnes sur la voie publique ne pourrait être atteint pleinement, dans les circonstances actuelles, en l'absence de recours à des drones, la condition d'urgence doit être regardée comme remplie.
Conseil d'État N° 446155 - 2020-12-22