Vu les procédures suivantes :

1° Sous le n° 473506, par une requête sommaire et un mémoire complémentaire, enregistrés les 21 avril et 21 juillet 2023 au secrétariat du contentieux du Conseil d’Etat, la Ligue des droits de l’homme demande au Conseil d’Etat :

1°) d’annuler pour excès de pouvoir le décret n° 2023-283 du 19 avril 2023 relatif à la mise en œuvre de traitements d’images au moyen de dispositifs de captation installés sur des aéronefs pour des missions de police administrative ;

2°) de mettre à la charge de l’Etat la somme de 4 000 euros au titre de l’article L. 761-1 du code de justice administrative.

2° Sous le n° 473546, par requête, un nouveau mémoire et un mémoire en réplique, enregistrés les 24 avril, 31 mai et 23 octobre 2023 au secrétariat du contentieux du Conseil d’Etat, M. B et l’Association de défense des libertés constitutionnelles demandent au Conseil d’Etat :

1°) d’annuler pour excès de pouvoir le décret n° 2023-283 du 19 avril 2023 relatif à la mise en œuvre de traitements d’images au moyen de dispositifs de captation installés sur des aéronefs pour des missions de police administrative ;

2°) de saisir la Cour de justice de l’Union européenne de questions préjudicielles portant sur l’interprétation de la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016, en particulier ses articles 4, 10 et 27, et la Charte des droits fondamentaux.

3° Sous le n° 473749, par une requête, enregistrée le 28 avril 2023 au secrétariat du contentieux du Conseil d’Etat, l’association Dataring demande au Conseil d’Etat :

1°) d’annuler pour excès de pouvoir le décret n° 2023-283 du 19 avril 2023 relatif à la mise en œuvre de traitements d’images au moyen de dispositifs de captation installés sur des aéronefs pour des missions de police administrative ;

2°) de mettre à la charge de l’Etat la somme de 3 000 euros au titre de l’article L. 761-1 du code de justice administrative.

4° Sous le n° 473867, par une requête et un mémoire en réplique, enregistrés les 5 mai et 27 octobre 2023 au secrétariat du contentieux du Conseil d’Etat, l’association La Quadrature du net demande au Conseil d’Etat :

1°) d’annuler pour excès de pouvoir le décret n° 2023-283 du 19 avril 2023 relatif à la mise en œuvre de traitements d’images au moyen de dispositifs de captation installés sur des aéronefs pour des missions de police administrative ;

2°) de saisir la Cour de justice de l’Union européenne de questions préjudicielles portant sur l’interprétation de la Charte des droits fondamentaux et la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016, en particulier ses articles 4 et 10 ;

3°) de mettre à la charge de l’Etat la somme de 4 096 euros au titre de l’article L. 761-1 du code de justice administrative.

Vu les autres pièces des dossiers ;

Vu :

— la convention internationale relative aux droits de l’enfant ;

— le règlement (UE) 2016/679 du Parlement et du Conseil du 27 avril 2016 ;

— la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 ;

— le code de la sécurité intérieure ;

— la loi n° 78-17 du 6 janvier 1978 ;

— la loi n° 2022-52 du 24 janvier 2022 ;

— le décret n° 2022-712 du 27 avril 2022 ;

— la décision n° 2021-834 DC du 20 janvier 2022 du Conseil constitutionnel ;

— le code de justice administrative ;

Après avoir entendu en séance publique :

— le rapport de M^me Alexandra Bratos, auditrice,

— les conclusions de M^me Esther de Moustier, rapporteure publique ;

La parole ayant été donnée, après les conclusions, à la SCP Spinosi, avocat de la Ligue des droits de l’homme ;

Vu la note en délibéré, enregistrée le 12 décembre 2024, présentée par l’association La Quadrature du net ;

Vu la note en délibéré, enregistrée le 13 décembre 2024, présentée par l’association de défense des libertés constitutionnelles et M. B ;

Considérant ce qui suit :

1. Par les requêtes précédemment visées, la Ligue des droits de l’homme, M. B et l’association de défense des libertés constitutionnelles, l’association Dataring et la Quadrature du net demandent l’annulation pour excès de pouvoir du décret du 19 avril 2023 relatif à la mise en œuvre de traitements d’images au moyen de dispositifs de captation installés sur des aéronefs pour des missions de police administrative, couramment dénommés « drones ». Il a y lieu de joindre ces requêtes pour statuer par une seule décision.

Sur les interventions :

En ce qui concerne les interventions de la Quadrature du net :

2. La Quadrature du net justifie, eu égard à la nature et l’objet du litige, d’un intérêt suffisant pour intervenir au soutien des conclusions des requêtes n° 473506 et 473546. Ses interventions sont, par suite, recevables.

En ce qui concerne les interventions collectives présentées par le Syndicat de la magistrature, le Syndicat des avocats de France et l’Union syndicale Solidaires :

3. L’Union syndicale Solidaires justifie d’un intérêt suffisant pour intervenir au soutien des requêtes n°s 473506, 473546 et 473749. Les interventions collectives sont, par suite, recevables.

Sur le cadre juridique :

4. Les dispositions du chapitre II du titre IV du livre II du code de la sécurité intérieure, dans leur rédaction issue de la loi du 24 janvier 2022 relative à la responsabilité pénale et à la sécurité intérieure, déterminent les conditions dans lesquelles différents services de l’Etat peuvent mettre en œuvre des traitements d’images au moyen de dispositifs de captation installés sur des aéronefs.

5. Aux termes des I et II de l’article L. 242-5 du code de la sécurité intérieure, qui dressent la liste des services concernés, des missions dans le cadre desquelles ils peuvent mettre en œuvre de tels traitements et des finalités susceptibles de les justifier  : I.- Dans l’exercice de leurs missions de prévention des atteintes à l’ordre public et de protection de la sécurité des personnes et des biens, les services de la police nationale et de la gendarmerie nationale ainsi que les militaires des armées déployés sur le territoire national dans le cadre des réquisitions prévues à l’article L. 1321-1 du code de la défense peuvent être autorisés à procéder à la captation, à l’enregistrement et à la transmission d’images au moyen de caméras installées sur des aéronefs aux fins d’assurer : / 1° La prévention des atteintes à la sécurité des personnes et des biens dans des lieux particulièrement exposés, en raison de leurs caractéristiques ou des faits qui s’y sont déjà déroulés, à des risques d’agression, de vol ou de trafic d’armes, d’êtres humains ou de stupéfiants, ainsi que la protection des bâtiments et installations publics et de leurs abords immédiats, lorsqu’ils sont particulièrement exposés à des risques d’intrusion ou de dégradation ; / 2° La sécurité des rassemblements de personnes sur la voie publique ou dans des lieux ouverts au public ainsi que l’appui des personnels au sol, en vue de leur permettre de maintenir ou de rétablir l’ordre public, lorsque ces rassemblements sont susceptibles d’entraîner des troubles graves à l’ordre public ; / 3° La prévention d’actes de terrorisme ; / 4° La régulation des flux de transport, aux seules fins du maintien de l’ordre et de la sécurité publics ; / 5° La surveillance des frontières, en vue de lutter contre leur franchissement irrégulier ; / 6° Le secours aux personnes. / Le recours aux dispositifs prévus au présent I peut uniquement être autorisé lorsqu’il est proportionné au regard de la finalité poursuivie. / II.- Dans l’exercice de leurs missions de prévention des mouvements transfrontaliers de marchandises prohibées et de tabac ainsi que dans l’exercice des missions mentionnées au 5° du I, les agents des douanes peuvent être autorisés à procéder à la captation, à l’enregistrement et à la transmission d’images au moyen de caméras installées sur des aéronefs. "

6. Ces traitements, eu égard à leurs finalités, relèvent de la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, dont les dispositions ont été transposées dans la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment à son titre III. Le régime juridique qui leur est applicable sur le fondement des dispositions du code de la sécurité intérieure prévoit, en outre, certaines garanties particulières.

7. L’article L. 242-4 du code de la sécurité intérieure dispose ainsi que la mise en œuvre des traitements prévus à l’article L. 242-5 « doit être strictement nécessaire à l’exercice des missions concernées et adaptée au regard des circonstances de chaque intervention. Elle ne peut être permanente. Elle ne peut donner lieu à la collecte et au traitement que des seules données à caractère personnel strictement nécessaires à l’exercice des missions concernées et s’effectue dans le respect de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés. / Les dispositifs aéroportés ne peuvent ni procéder à la captation du son, ni comporter de traitements automatisés de reconnaissance faciale. Ces dispositifs ne peuvent procéder à aucun rapprochement, interconnexion ou mise en relation automatisé avec d’autres traitements de données à caractère personnel ». Il résulte de la réserve d’interprétation dont le Conseil constitutionnel a assorti sa décision n° 2021-834 DC du 20 janvier 2022 que ces dispositions ne peuvent être interprétées comme autorisant les services compétents à procéder à l’analyse des images au moyen d’autres systèmes automatisés de reconnaissance faciale qui ne seraient pas placés sur ces dispositifs aéroportés.

8. En vertu du IV de l’article L. 242-5 du même code, l’emploi de dispositifs de captation d’images installés sur des aéronefs est subordonné à une décision écrite et motivée du représentant de l’Etat dans le département ou, à Paris, du préfet de police, qui s’assure du respect des règles applicables, au vu d’une demande qui comporte l’ensemble des éléments lui permettant de s’assurer de la nécessité et de la proportionnalité du recours à ces dispositifs. Elle détermine la finalité poursuivie et fixe un périmètre géographique qui ne peut excéder celui strictement nécessaire à l’atteinte de cette finalité, ainsi que le nombre maximal de caméras pouvant procéder simultanément aux enregistrements. Si l’autorisation est délivrée pour une durée maximale de trois mois, renouvelable si les conditions de sa délivrance continuent d’être réunies, elle n’est délivrée que pour la durée du rassemblement concerné lorsqu’elle est sollicitée au titre de la finalité prévue au 2° du I du même article. Il résulte de la réserve d’interprétation dont le Conseil constitutionnel a assorti sa décision n° 2021-834 DC du 20 janvier 2022 que l’autorisation ne saurait être accordée qu’après que le préfet s’est assuré que le service ne peut employer d’autres moyens moins intrusifs au regard du droit au respect de la vie privée ou que l’utilisation de ces moyens serait susceptible d’entraîner des menaces graves pour l’intégrité physique des agents.

9. En vertu de l’article L. 242-2, si les images captées peuvent être transmises au poste de commandement du service concerné et aux personnels impliqués dans la conduite et l’exécution de l’intervention, ceux-ci ne peuvent les visionner en temps réel ou différé que pendant la durée strictement nécessaire à l’intervention. Aux termes du dernier alinéa de l’article L. 242-4 : « Hors le cas où ils sont utilisés dans le cadre d’une procédure judiciaire, administrative ou disciplinaire, les enregistrements comportant des données à caractère personnel sont conservés sous la responsabilité du chef du service ayant mis en œuvre le dispositif aéroporté, pendant une durée maximale de sept jours à compter de la fin du déploiement du dispositif, sans que nul ne puisse y avoir accès, sauf pour les besoins d’un signalement dans ce délai à l’autorité judiciaire, sur le fondement de l’article 40 du code de procédure pénale ». De plus, aux termes du III de l’article L. 242-5 : « Les dispositifs aéroportés mentionnés aux I et II sont employés de telle sorte qu’ils ne visent pas à recueillir les images de l’intérieur des domiciles ni, de façon spécifique, celles de leurs entrées. Lorsque l’emploi de ces dispositifs conduit à visualiser ces lieux, l’enregistrement est immédiatement interrompu. Toutefois, lorsqu’une telle interruption n’a pu avoir lieu compte tenu des circonstances de l’intervention, les images enregistrées sont supprimées dans un délai de quarante-huit heures à compter de la fin du déploiement du dispositif, sauf transmission dans ce délai dans le cadre d’un signalement à l’autorité judiciaire, sur le fondement de l’article 40 du code de procédure pénale. »

10. Enfin, l’article L. 242-3 dispose que « le public est informé par tout moyen approprié de l’emploi de dispositifs aéroportés de captation d’images et de l’autorité responsable de leur mise en œuvre, sauf lorsque les circonstances l’interdisent ou que cette information entrerait en contradiction avec les objectifs poursuivis. »

11. Aux termes de l’article L. 242-8 : « Les modalités d’application du présent chapitre et d’utilisation des données collectées sont précisées par décret en Conseil d’Etat, pris après avis de la Commission nationale de l’informatique et des libertés. Ce décret précise les exceptions au principe d’information du public prévu à l’article L. 242-3. » Le décret attaqué a été pris pour l’application des dispositions des articles L. 242-1 à L. 242-5 du code de la sécurité intérieure. Les modalités d’application de l’article L. 242-6, qui permet par ailleurs le recours à de tels dispositifs en matière de prévention, de protection et de lutte contre les risques de la sécurité civile et de secours d’urgence, ont été fixées par un décret n° 2022-712 du 27 avril 2022.

Sur la légalité externe du décret attaqué :

12. En réponse au moyen tiré de ce qu’il n’était pas établi que le décret attaqué publié au Journal officiel soit conforme au projet initial du Gouvernement ou au texte adopté par la section de l’intérieur du Conseil d’Etat, le ministre a versé au dossier le texte du décret adopté par cette section, qui a été communiqué à la Ligue des droits de l’homme. Celle-ci n’ayant pas assorti le moyen de précisions permettant d’en apprécier le bien-fondé, le moyen doit dès lors être écarté.

13. Aux termes de l’article 90 de la loi du 6 janvier 1978, applicable aux traitements relevant de la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données : « Si le traitement est susceptible d’engendrer un risque élevé pour les droits et les libertés des personnes physiques, notamment parce qu’il porte sur des données mentionnées au I de l’article 6, le responsable de traitement effectue une analyse d’impact relative à la protection des données à caractère personnel. / Si le traitement est mis en œuvre pour le compte de l’Etat, cette analyse d’impact est adressée à la Commission nationale de l’informatique et des libertés avec la demande d’avis prévue à l’article 33 () ». Aux termes du I de l’article 6 de la loi du 6 janvier 1978, sont des données sensibles celles « qui révèlent la prétendue origine raciale ou l’ethniques, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale d’une personne physique ou () des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique. »

14. Il résulte de ces dispositions que, lorsqu’est exigée une analyse d’impact préalablement à la création ou à la modification d’un traitement de données à caractère personnel mis en œuvre pour le compte de l’Etat relevant de ces dispositions, il appartient à l’administration, à peine d’irrégularité de l’acte instituant ou modifiant ce traitement, de la réaliser et de la transmettre à la Commission nationale de l’informatique et des libertés (CNIL) dans le cadre de la demande d’avis prévue à l’article 33 de la loi du 6 janvier 1978.

15. Les traitements d’images au moyen de dispositifs de captation installés sur des aéronefs, s’ils n’ont pas pour objet le recueil de données sensibles au sens du I de l’article 6 de la loi du 6 janvier 1978, données, sont néanmoins susceptibles de porter sur de telles données. Il ressort des pièces du dossier que, lors de l’élaboration du décret attaqué, qui définit le régime général de mise en œuvre de ces traitements, une analyse d’impact « cadre », portant sur les caractéristiques communes aux opérations de traitement réalisées par les services mentionnés à l’article L. 242-5 du code de la sécurité intérieure et les garanties minimales qu’elles doivent comporter au regard des atteintes qu’elles engendrent au droit au respect de la vie privée, a été transmise à la CNIL avant que celle-ci ne rende son avis. Cette analyse d’impact sera, le cas échéant, complétée par une analyse d’impact propre à chacun des traitements mis en œuvre si ses caractéristiques particulières l’exigent. Par suite, M. B, l’ADELICO et l’association Dataring ne sont pas fondés à soutenir que le décret qu’ils attaquent seraient irrégulier en l’absence de transmission à la CNIL, préalablement à l’intervention de son avis, des analyses d’impact susceptibles d’être réalisés par chacun des responsables des traitements.

Sur la légalité interne du décret attaqué :

En ce qui concerne les finalités du traitement :

16. Aux termes de l’article 4 de la loi du 6 janvier 1978 : " Les données à caractère personnel doivent être : / 1° Traitées de manière loyale et licite () ; 2° Collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d’une manière incompatible avec ces finalités. () / 3° Adéquates, pertinentes et au regard des finalités pour lesquelles elles sont collectées, limitées à ce qui est nécessaire ou, pour les traitements relevant des titres III et IV, non excessives () ; / 5° Conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ". Il résulte de ces dispositions que l’ingérence dans l’exercice du droit de toute personne au respect de sa vie privée que constituent la collecte, la conservation et le traitement, par une autorité publique, de données à caractère personnel, ne peut être légalement autorisée que si elle répond à des finalités légitimes et que le choix, la collecte et le traitement des données sont effectués de manière adéquate et proportionnée au regard de ces finalités.

17. L’article R. 242-8 du code de la sécurité intérieure, dans sa version résultant du décret attaqué, rappelle les finalités des traitements, telles qu’elles sont énoncées par l’article L. 242-5 du même code, citées au point 5 ci-dessus.

18. En premier lieu, aux termes de l’article 88 de la loi du 6 janvier 1978, qui transpose l’article 10 de la directive (UE) 2016/680, « le traitement des données mentionnées au I de l’article 6 est possible uniquement en cas de nécessité absolue () ». Si, ainsi qu’il a été dit au point 15, les traitements sont susceptibles de porter sur des données à caractère sensible au sens du I de l’article 6 de la loi du 6 janvier 1978, l’article L. 242-4 du code de la sécurité intérieure dispose que leur mise en œuvre doit être strictement nécessaire à l’exercice des missions concernées. De plus, ainsi qu’il a été dit au point 8, conformément à la réserve d’interprétation dont le Conseil constitutionnel a assorti sa décision n° 2021-834 DC du 20 janvier 2022, il revient au préfet, avant de délivrer chaque autorisation, de s’assurer que le service ne peut employer d’autres moyens moins intrusifs au regard du droit au respect de la vie privée ou que l’utilisation de ces moyens serait susceptible d’entraîner des menaces graves pour l’intégrité physique des agents. Il s’ensuit que le moyen tiré de ce que les finalités seraient formulées de façon trop générale pour garantir le respect des exigences mentionnées à l’article 10 de la loi du 6 janvier 1978 ne peut, en tout état de cause, qu’être écarté. En outre, il ne peut être sérieusement soutenu que la poursuite de l’une des finalités mentionnées à l’article L. 242-5 ne pourrait en aucun cas rendre absolument nécessaire le recours à des dispositifs de captation d’images au moyen de caméras installées sur des aéronefs.

19. En deuxième lieu, les finalités des traitements ayant été fixées par la loi, elles ne sauraient être utilement contestées dans le cadre d’un recours pour excès de pouvoir dirigé contre le décret, en l’absence de moyens tirés de l’incompatibilité de la loi avec les engagements internationaux de la France. Par suite, les moyens tirés de ce que les finalités poursuivies par le traitement ne seraient pas nécessaires et proportionnées aux objectifs poursuivis ou seraient insuffisamment précises ne peuvent qu’être écartés.

20. En troisième lieu, en ce qui concerne la finalité de secours aux personnes, mentionnée au 6° du I de l’article R. 242-8, et reprise du 6° du I de l’article L. 242-5, celle-ci ne peut s’inscrire, aux termes mêmes de ce dernier article, que dans l’exercice des missions de prévention des atteintes à l’ordre public et de protection de la sécurité des personnes et des biens. Il ressort par ailleurs des pièces du dossier, et notamment de l’avis rendu par la CNIL sur le projet de décret, que sont ainsi visées les opérations de secours aux personnes directement liées à d’autres missions de sécurité publique. En tout état de cause, à supposer même qu’une telle finalité puisse conduire les services concernés à intervenir en dehors du champ d’application de la directive (UE) 2016/680, les traitements en cause seraient alors régis par le règlement (UE) 2016/679 du Parlement et du Conseil du 27 avril 2016 (RGPD), sans que les requérants invoquent aucun moyen tiré de la méconnaissance de celui-ci.

21. En quatrième lieu, il résulte tant des dispositions législatives dont le décret attaqué vient faire application que de celles du décret lui-même que le recours aux caméras aéroportées n’est autorisé par les forces de sécurité intérieure que dans l’exercice de leurs missions de police administrative, à savoir la prévention des atteintes à l’ordre public et de protection de la sécurité des personnes et des biens. La circonstance qu’un signalement à l’autorité judiciaire puisse être réalisé sur le fondement de l’article 40 du code de procédure pénale, lequel est en tout état de cause prévu par l’article L. 242-4 du code de la sécurité intérieure, est sans incidence sur la nature des finalités poursuivies par le traitement.

22. En dernier lieu, en vertu du quatrième alinéa de l’article L. 242-4 du code de la sécurité intérieure, les enregistrements peuvent être utilisées à des fins pédagogiques et de formation. Il ne peut donc être utilement soutenu que les dispositions du décret attaqué qui précisent les modalités d’utilisation de ces données à de telles fins auraient ainsi créé une nouvelle finalité aux traitements en cause.

En ce qui concerne les données susceptibles d’être enregistrées dans le traitement :

23. Aux termes du I de l’article R. 242-9 du code de la sécurité intérieure, dans sa version résultant du décret attaqué : " Les traitements mentionnés à l’article R. 242-8 portent sur les données suivantes : / 1° Les images, à l’exclusion des sons, captées par les caméras installées sur des aéronefs ; / 2° Le jour et la plage horaire d’enregistrement ; / 3° Le nom, le prénom et/ ou le numéro d’identification administrative du télé-pilote ou de l’opérateur ainsi que, le cas échéant, le numéro d’enregistrement de l’aéronef ; / 4° Le lieu ou la zone géographique où ont été collectées les données. / Les données enregistrées dans les traitements peuvent faire apparaître, directement ou indirectement, des données mentionnées au I de l’article 6 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés. Il est interdit de sélectionner dans les traitements une catégorie particulière de personnes à partir de ces seules données ".

24. En premier lieu, ainsi qu’il a été dit au point 8, le recours à des dispositifs aéroportés ne peut être autorisé par le préfet en application des dispositions du IV de l’article L. 242-4 du code de la sécurité intérieure que s’il est proportionné au regard de la finalité poursuivie, et sous les réserves formulées par le Conseil constitutionnel dans sa décision n° 2021-834 DC du 20 janvier 2022. L’autorisation ne saurait davantage être renouvelée sans qu’il ne soit établi que le recours à des dispositifs aéroportés demeure le seul moyen d’atteindre la finalité poursuive. L’acte d’autorisation, notamment ses modalités de publication, sont susceptibles de faire l’objet d’un recours pour excès de pouvoir devant le juge administratif pouvant être assorti, le cas échéant, d’une demande de suspension de l’exécution de l’acte en cas d’urgence. Il appartient alors à l’autorité administrative de procéder, dans toute la mesure du possible, à la publication de l’acte d’autorisation dans un délai permettant de saisir utilement le juge administratif.

25. En second lieu, ainsi qu’il a été dit au point 7, le traitement de données à caractère personnel issu des captations et enregistrements réalisés par les dispositifs aéroportés ne peut pas procéder à la captation du son. Il ne peut ni comporter de traitements automatisés de reconnaissance faciale, ni procéder à des rapprochements, interconnexions ou mises en relation automatisées avec d’autres traitements. Si des données personnelles à caractère sensible sont susceptibles d’être enregistrées dans le traitement, elles ne peuvent l’être que dans la mesure où elles sont strictement nécessaires à la poursuite des finalités du traitement. Ces données sensibles excluent toute sélection d’une catégorie particulière des personnes à partir de ces seules données. Leur durée de conservation est limitée à sept jours à compter de la fin du déploiement du dispositif. Dans ces conditions, et alors que le périmètre des données susceptibles d’être collectées n’est pas, par ailleurs, excessif au regard des finalités du traitement, l’autorisation d’enregistrement de données personnelles à caractère sensible prévue par le décret attaqué présente des garanties appropriées au sens de l’article 88 de la loi du 6 janvier 1978 et de la directive 2016/680 du 27 avril 2016. Elle ne méconnaît pas, par elle-même, les exigences posées par les articles 4 et 6 de cette loi.

En ce qui concerne l’interruption de l’enregistrement recueillant les images de l’intérieur des domiciles :

26. Les dispositions du III de l’article L. 242-5 du code de la sécurité intérieure, citées au point 9, excluent que les dispositifs aéroportés puissent être employés afin de recueillir les images de l’intérieur des domiciles ou celles de leurs entrées. Ils prévoient que, si tel est le cas, l’enregistrement doit être immédiatement interrompu et que si tel n’a pas pu être le cas compte tenu des circonstances de l’intervention, les images enregistrées doivent être supprimées dans un délai de quarante-huit heures, sauf transmission dans ce délai dans le cadre d’un signalement à l’autorité judiciaire sur le fondement de l’article 40 du code de procédure pénale. Le II de l’article R. 242-11 du code de la sécurité intérieure, dans sa version résultant du décret attaqué, dispose que : « A l’issue de l’intervention et au plus tard dans un délai de quarante-huit heures à compter de la fin de celle-ci, les personnels mentionnés aux 2° et 3° du I de l’article R. 242-10 suppriment les images de l’intérieur des domiciles et, de façon spécifique, leurs entrées lorsque l’interruption de l’enregistrement n’a pu avoir lieu compte tenu des circonstances de l’intervention, sauf pour les besoins d’un signalement à l’autorité judiciaire ».

27. Les « circonstances de l’intervention » empêchant l’interruption de l’enregistrement mentionnées par les dispositions rappelées au point précédent ne sauraient renvoyer qu’à des circonstances matérielles objectives, spécifiques à chaque opération, rendant impossible l’interruption de l’enregistrement, en raison, par exemple, de la configuration des espaces survolés, des conditions de vitesse et de prévisibilité du survol de domiciles et de leurs entrées et à l’impossibilité, sauf à compromettre l’opération en cours, d’éviter ce survol. Dans ces conditions, le moyen tiré de ce que, à défaut d’avoir précisé la teneur de ces circonstances, le décret contesté méconnaîtrait le III de l’article L. 242-5 du code de la sécurité intérieure ne peut qu’être écarté.

En ce qui concerne l’utilisation des données issues du traitement à des fins de formation des personnels :

28. Ainsi qu’il a été dit au point 22, en vertu du quatrième alinéa de l’article L. 242-4 du code de la sécurité intérieure, les enregistrements peuvent être utilisées à des fins pédagogiques et de formation. Aux termes du 3° du III de l’article R. 242-10 du code la sécurité intérieure, dans sa version résultant du décret attaqué : « III.- Peuvent être destinataires de tout ou partie des données et informations enregistrées dans les traitements, dans la limite de leurs attributions respectives et du besoin d’en connaître dans le cadre d’une procédure administrative ou disciplinaire ou dans le cadre d’une action de formation et de pédagogie : () / » 3° Les agents chargés de la formation des personnels « . Aux termes des III et IV de l’article R. 242-11 du code de la sécurité intérieure, dans sa version résultant du décret attaqué : » III.- Les données n’ayant pas fait l’objet de la suppression mentionnée au II sont conservées pendant une durée maximale de sept jours à compter de la fin du déploiement du dispositif, sans que nul ne puisse y avoir accès, sauf pour les besoins d’un signalement à l’autorité judiciaire. Au terme de ce délai, ces données seront effacées, à l’exception de celles conservées pour être utilisées à des fins pédagogiques et de formation. / IV.- Les données utilisées à des fins pédagogiques et de formation sont anonymisées ".

29. En premier lieu, les données à caractère personnel issues des traitements réalisés par l’intermédiaire de caméras aéroportées ne sont accessibles qu’aux personnes dont les attributions le justifient et dans la limite du besoin d’en connaître. Elles font l’objet d’un dispositif de journalisation, dans les conditions définies par l’article R. 242-12 du code de la sécurité intérieure.

30. En second lieu, l’utilisation des données à des fins de formation et de pédagogie est prévue dans son principe par l’article L. 242-4 du code de la sécurité intérieure. Leur communication n’est permise qu’aux seuls agents chargés de la formation des personnels, lesquels ne sauraient se comprendre que comme les personnels de la police et de la gendarmerie nationales, des militaires des armées déployés sur le territoire nationale et des agents des douanes, après que les données ont fait l’objet d’une anonymisation préalable, sans qu’il ne ressorte des pièces du dossier que cette anonymisation soit techniquement impossible compte tenu de la nature des données concernées. Les données sont conservées dans un délai qui, s’il peut être supérieur à sept jours, doit être strictement nécessaire à l’objectif de leur utilisation à des fins de formation et de pédagogie, dans les conditions énoncées par le III de l’article R. 242-11 du code de la sécurité intérieure. Par suite, les moyens tirés de ce que l’utilisation des données issues des caméras aéroportées à des fins de pédagogie et de formation prévue par le décret attaqué serait contraire à l’article L. 242-5 du code de la sécurité intérieure, à l’article 91 de la loi du 6 janvier 1978 et au principe de proportionnalité et qu’elle serait incompatible avec l’article 4 de la directive 2016/680 du 27 avril 2016 ne peuvent qu’être écartés.

En ce qui concerne le recours aux doctrines d’emploi et les modalités d’information du public :

31. Il ressort des pièces du dossier, et notamment de la délibération de la CNIL sur le projet de décret attaqué, que les responsables de traitement ont prévu de rédiger, chacun en ce qui les concerne, une doctrine d’emploi rappelant le cadre juridique d’utilisation des caméras aéroportées et précisant certains cas d’usage, conditions d’emploi et conduites à tenir s’agissant, notamment, de l’information des personnes dont les données sont susceptibles d’être captées et enregistrées dans le traitement et des restrictions posées à la captation et à l’enregistrement des domiciles, qui sera transmise à la CNIL dans le cadre de l’exercice de ses pouvoirs de contrôle. Il ne revient pas au pouvoir réglementaire, dans l’établissement du cadre général d’emploi des caméras aéroportées par les forces de sécurité intérieure dans l’exercice de leurs missions de police administrative, de prévoir l’ensemble des situations concrètes ainsi que les modalités opérationnelles dans lesquelles les caméras aéroportées sont susceptibles d’être utilisées. Au surplus, il appartient à chaque acte d’autorisation de déterminer au cas par cas, notamment, les modalités d’information du public, sans qu’il ne résulte d’aucune exigence conventionnelle ou légale qu’il faille définir des modalités spécifiques d’information des personnes mineures. Par suite, les requérants ne sont pas fondés à soutenir que le décret attaqué méconnaîtrait l’article L. 242-8 du code de sécurité intérieure et l’article 88 de la loi du 6 janvier 1978, ni qu’il serait incompatible avec la directive (UE) 2016/680 du 27 avril 2016 ou l’article 16 de la convention internationale des droits de l’enfant, pour avoir renvoyé aux doctrines d’emploi la détermination des cas d’emploi et des modalités opérationnelles d’utilisation des caméras aéroportées, ni qu’il encadrerait de manière insuffisante les modalités d’information du public, notamment s’agissant des personnes mineures.

32. Il résulte de tout ce qui précède, sans qu’il y ait lieu, compte tenu des motifs de la présente décision, de saisir la Cour de justice de l’Union européenne à titre préjudiciel, que les requêtes doivent être rejetées, y compris leurs conclusions fondées sur l’article L. 761-1 du code de justice administrative.

D E C I D E :

— -------------

Article 1er : Les interventions de la Quadrature du net et les interventions collectives du Syndicat de la magistrature et autres sont admises.

Article 2 : Les requêtes de la Ligue des droits de l’homme, de M. B et de l’association de défense des libertés constitutionnelles, de l’association Dataring et de l’association La Quadrature du net sont rejetées.

Article 3 : La présente décision sera notifiée à la Ligue des droits de l’homme, à M. A B, premier requérant dénommé, à l’association Dataring, à l’association La Quadrature du net, au ministre d’Etat, ministre de l’intérieur et au Syndicat de la magistrature, premier intervenant dénommé.

Copie en sera adressée au Premier ministre, au ministre des armées et des anciens combattants, au ministre de l’économie, des finances et de la souveraineté industrielle et du numérique et à la Commission nationale de l’informatique et des libertés.