Le 18 mai 2020, le Conseil d’Etat a rendu une décision de justice par laquelle l’Etat est sommé de cesser, sans délai, de surveiller par drone à Paris, le respect des règles de sécurité sanitaire.

Cet arrêt fait notamment application de la directive de l’Union Européenne n°2016/690 du 27 avril 2016, dite "Police-Justice".

Cette directive, dont le texte est similaire à celui du Règlement Général n°2016/679 sur la Protection des Données Personnelles (dit "RGPD"), est applicable aux autorités exerçant des prérogatives de puissance publique.

Qu’est-ce qu’un drone ?

Il s’agit d’un appareil sans pilote à bord, consistant en une plateforme de capteurs mobiles. Il est généralement piloté à distance par une personne physique. La Commission Nationale de l’Informatique et des Libertés (la "CNIL") le décrit comme "un engin d’observation, d’acquisition et de transmission de données géolocalisées".
L’utilisation de drones par les autorités étatiques est donc étroitement liée aux questions de droit à la protection des données personnelles et de droit au respect de la vie privée.

Quels sont les faits ?

Depuis le 18 mars 2020, le Préfet de police avait pris la décision de mettre en place un dispositif visant à capturer des images par drones et à les exploiter, en vue de faire respecter les mesures de confinement décidées par le gouvernement français.

L’association La Quadrature du Net et La Ligue des Droits de l’Homme ont contesté une telle décision devant le tribunal administratif de Paris, le 2 mai 2020.

Les arguments soutenus étaient notamment les suivants :
 une telle décision constitue une atteinte grave et manifestement illégale à des libertés fondamentales : le droit à la vie privée et le droit à la protection des données personnelles ;
 existence d’un traitement de données personnelles illicite, en raison de l’usage de drones survolant l’espace public, hors de tout cadre juridique, associé à un dispositif de captation d’images ;
 absence d’information des personnes concernées ;
 absence de proportionnalité du dispositif mis en place, au regard des finalités poursuivies.

Le Tribunal administratif de Paris a rejeté leurs demandes par une ordonnance du 5 mai 2020. Cette juridiction a estimé que :
 les pièces du dossier ne permettaient pas d’établir que les services de la préfecture de police auraient utilisé les drones dans des conditions permettant d’identifier les personnes ;
 en conséquence, la préfecture de police n’a pas procédé à un traitement de données personnelles ;
 il en résulte qu’aucune atteinte grave et manifestement illégale n’a été portée aux libertés fondamentales invoquées.

Les deux organismes ont dès lors former un recours devant la plus Haute juridiction de l’ordre administratif en France. Le Conseil d’Etat a rendu sa décision de justice le 18 mai 2020.

Quelle est la teneur de la décision du Conseil d’Etat ?

L’Etat est sommé de cesser, sans délai, l’usage de drones pour surveiller et contrôler la population, en ce qui concerne le respect des règles de sécurité sanitaire applicables pendant la période de déconfinement, à Paris.

En substance :

Les images captées par les drones, susceptibles de collecter des données identifiantes, mis en place pour le compte de l’Etat, hors de toute formalité réglementaire préalable, consistent en un traitement de données personnelles illicite.

En effet, dans la mesure où un tel dispositif a été mis en oeuvre par le préfet de police, pour le compte de l’Etat, et qu’il intéresse la sécurité publique, en vertu de l’article 31 de la loi française n°78-17 du 6 janvier 1978 (dite "loi Informatique et Libertés") modifiée, la mise en place de ce dispositif de surveillance par drones aurait dû être préalablement encadrée par un texte réglementaire, pris après avis de la CNIL.

Le Conseil d’Etat considère que la mise en oeuvre de ce dispositif porte une atteinte "grave et manifestement illégale au droit au respect de la vie privée" (lequel comprend le droit à la protection des données personnelles).

En détails :

Le Conseil d’Etat relève notamment que depuis le 18 mars 2020 des drones été utilisés quotidiennement par la préfecture de police afin de surveiller et contrôler le respect des règles de sécurité sanitaire ; cette autorité ayant toujours recours à ces mesures de surveillance et de contrôle dans le cadre du plan de déconfinement mis en œuvre à compter du 11 mai 2020.

En pratique :
 les drones sont "équipés d’un zoom optique x 3 et d’un haut-parleur" ;
 ils filment quelques heures par jours ;
 ils sont télé-pilotés à distance ;
 lors du survol d’un site, le télé-pilote retransmet, en temps réel, des images au centre de commandement afin que l’opérateur qui s’y trouve puisse décider de la conduite à tenir ;
 le haut-parleur intégré au drone peut être utilisé pour diffuser des messages à destination des personnes présentes sur le site.

Les apports de la décision du Conseil d’Etat.

La finalité poursuivie par le dispositif mis en place par le préfet de police est considérée légitime, eu égard aux circonstances actuelles, nécessaire pour la sécurité publique.

La confirmation de l’existence d’un traitement de "données personnelles", même en présence d’un dispositif susceptible de collecter des données identifiantes.

Le Conseil d’Etat relève qu’en pratique, les fonctionnalités techniques des drones (présence d’un zoom optique notamment) sont susceptibles de collecter des données identifiantes (et donc des données personnelles).

Sur ce point, en vain, le préfet de police soutenait, au contraire, qu’en pratique les données collectées par les drones ne conduisaient pas à l’identification des personnes filmées, et que le visionnage en temps réel des personnes filmées, sans conservation d’images, ne pouvait permettre de les identifier.

Par ailleurs, de façon classique, le Conseil d’Etat indique que « le dispositif de surveillance litigieux (...) qui consiste à collecter des données, grâce à la captation d’images par drone, à les transmettre (...) au centre de commandement de la préfecture de police pour un visionnage en temps réel et à les utiliser pour la réalisation de missions de police administrative constitue un traitement ».

Ainsi, un dispositif qui permet la collecte de données identifiantes (même si la collecte de telles données n’est ni effective, ni démontrée), est considéré comme traitant de données personnelles.

Les suites de l’arrêt du Conseil d’Etat : les investigations menées par la CNIL.

Dans un communiqué en date du même jour, le 18 mai 2020, la CNIL annonce qu’elle a mis en oeuvre des contrôles auprès du ministère de l’Intérieur (police nationale et gendarmerie) et de plusieurs services de polices municipales, concernant l’usage de drones dans plusieurs villes et communes.

L’objet de ces investigations porte sur les faits de surveillance par drones durant la période de confinement et dans le cadre de la situation actuelle.

Les premières demandes d’information à l’initiative de la CNIL n’ont pas attendus la procédure devant le Conseil d’Etat précitée. Elles datent en effet du 23 avril 2020 et sont en cours d’instruction.

La CNIL informe qu’elle prendra prochainement position sur cette question, une fois les procédures de contrôle achevées.

Pour aller plus loin :
 Décision du Conseil d’Etat datée du 18 mai 2020
 Décision du Tribunal administratif de Paris datée du 5 mai 2020
 Les préconisations de la CNIL concernant l’usage d’un drone de loisir

Catherine Heng Yee HUYNH Avocate en Propriété Intellectuelle et Données Personnelles [->huynh.catherine@avocat-conseil.fr]