CE, 2011, Asso. pour la promotion de l'image

Contrôle de proportionnalité d'un traitement administratif de données biométriques au regard du droit au respect de la vie privée

Tout traitement administratif de données à caractère personnel constitue une ingérence dans le droit au respect de la vie privée qui n'est légalement autorisée que si elle répond à des finalités légitimes et si le choix, la collecte et le traitement des données sont adéquats, nécessaires et proportionnés à ces finalités ; ce triple contrôle conduit à l'annulation partielle d'une mesure réglementaire dès lors que la collecte excède ce qui est utile à la réalisation de l'objectif poursuivi.

« Il résulte de l'ensemble de ces dispositions que l'ingérence dans l'exercice du droit de toute personne au respect de sa vie privée que constituent la collecte, la conservation et le traitement, par une autorité publique, d'informations personnelles nominatives, ne peut être légalement autorisée que si elle répond à des finalités légitimes et que le choix, la collecte et le traitement des données sont effectués de manière adéquate et proportionnée au regard de ces finalités » (CE, ass., 26 octobre 2011, Association pour la promotion de l'image et autres, n° 317827).

Fiche de décision

Conseil d'Etat, ass., 26/10/2011, n° 317827

Faits. Un décret du 30 avril 2008, modifiant le décret du 30 décembre 2005 relatif aux passeports électroniques, institue un traitement automatisé centralisé des données à caractère personnel recueillies lors de l'établissement ou du renouvellement des passeports auprès des personnes âgées d'au moins six ans. Ce traitement, dont la finalité est l'instruction des demandes de passeport et la prévention de la fraude documentaire, enregistre l'état civil du titulaire, l'image numérisée de son visage et celle des empreintes de huit de ses doigts, alors que le composant électronique du passeport lui-même ne contient que deux empreintes digitales. L'Association pour la promotion de l'image et d'autres associations et professionnels de la photographie, ainsi que plusieurs particuliers et associations de défense des libertés, saisissent le Conseil d'État de recours pour excès de pouvoir joints contre ce décret et contre la circulaire relative au choix des communes équipées de stations d'enregistrement.

Enjeu juridique. La création d'un traitement centralisé de données biométriques conservant davantage d'empreintes digitales que celles figurant dans le document d'identité lui-même porte-t-elle, au droit au respect de la vie privée garanti notamment par l'article 8 de la convention européenne des droits de l'homme et par la loi du 6 janvier 1978, une atteinte disproportionnée aux finalités légitimes poursuivies par ce traitement ?

Solution. Le Conseil d'État écarte les moyens de légalité externe tirés de l'incompétence du pouvoir réglementaire et de l'irrégularité de la procédure suivie devant la CNIL. Sur la légalité interne, il juge que l'ingérence dans le droit au respect de la vie privée résultant d'un traitement de données à caractère personnel ne peut être légalement autorisée que si elle répond à des finalités légitimes et que le choix, la collecte et le traitement des données sont adéquats, nécessaires et proportionnés à ces finalités. La centralisation du traitement et la collecte de l'image du visage et de deux empreintes digitales sont jugées adaptées et proportionnées aux finalités d'authentification et de lutte contre la fraude documentaire. En revanche, la conservation de huit empreintes digitales, alors que seules deux figurent dans le passeport, est jugée excéder ce qui est nécessaire, l'utilité du recueil des six empreintes supplémentaires n'étant pas établie ; l'article 5 du décret est annulé en tant qu'il prévoit la collecte et la conservation des empreintes digitales ne figurant pas dans le composant électronique du passeport.

Perspective. Cette décision d’Assemblée consacre, en droit administratif français, un triple test d’adaptation, de nécessité et de proportionnalité au sens strict pour le contrôle des traitements de données à caractère personnel portés en cause au regard du droit au respect de la vie privée, directement inspiré des exigences de l’article 8 de la convention européenne des droits de l’homme et de la loi Informatique et Libertés du 6 janvier 1978. Elle s’inscrit dans le mouvement plus large de renforcement du contrôle de proportionnalité des mesures de police et des ingérences administratives dans les droits et libertés fondamentaux, ultérieurement étendu aux mesures de police restreignant la liberté d’aller et venir.