Vu la procédure suivante :

Par une requête sommaire et un mémoire complémentaire, enregistrés les 11 décembre 2023 et 12 mars 2024 au secrétariat du contentieux du Conseil d’Etat, le Syndicat de la magistrature, le Syndicat des avocats de France, la Confédération générale du travail et l’association « SOS homophobie » demandent au Conseil d’Etat :

1°) d’annuler pour excès de pouvoir le décret n° 2023-935 du 10 octobre 2023 autorisant la création d’un traitement automatisé de données à caractère personnel dénommé « Système informatisé de suivi de politiques pénales prioritaires » (SISPoPP) ;

2°) de mettre à la charge de l’Etat le versement à chacun des requérants de la somme de 1 500 euros au titre de l’article L. 761-1 du code de justice administrative.

Vu les autres pièces du dossier ;

Vu :

- la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales ;

- le code de procédure pénale ;

- la loi n° 78-17 du 6 janvier 1978 ;

- le décret n° 2020-1427 du 20 novembre 2020 ;

- le code de justice administrative ;

Après avoir entendu en séance publique :

- le rapport de M. Jean de L’Hermite, conseiller d’Etat,

- les conclusions de M^me Leila Derouich, rapporteure publique ;

La parole ayant été donnée, après les conclusions, à la SCP Sevaux, Mathonnet, avocat du syndicat de la magistrature, du syndicat des avocats de France, de la société confédération générale du travail et de l’association SOS homophobie ;

Considérant ce qui suit :

1. Le syndicat de la magistrature et autres demandent l’annulation pour excès de pouvoir du décret, pris pour l’application des articles 30, 35, 39-1 et 39-2 du code de procédure pénale, qui autorise le ministre de la justice à mettre en œuvre, dans le ressort de chaque tribunal judiciaire et de chaque cour d’appel, un traitement automatisé de données à caractère personnel ayant pour finalité de contribuer à sept politiques pénales prioritaires mentionnées en son article 1er, en permettant la mise en œuvre, le suivi et le pilotage de mesures de prévention et de détection des infractions pénales et des procédures pénales, ainsi que l’échange d’informations dans le cadre des instances locales de concertation auxquelles participent les représentants du ministère public. Il prévoit notamment, à son article 3, les catégories de données à caractère personnel qui peuvent y être enregistrées, concernant les personnes faisant l’objet d’un signalement à l’autorité judiciaire, mises en cause, mises en examen, placées sous le statut de témoin assisté, poursuivies ou condamnées pour des infractions relevant de ces politiques, ainsi que les victimes de telles infractions et précise dans un tableau annexe les catégories de données à caractère personnel sensibles, au sens de l’article 6 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, qui peuvent également y être enregistrées.

Sur la légalité externe du décret attaqué :

2. Il résulte de l’article 31 de la loi du 6 janvier 1978 déjà citée que les traitements de données à caractère personnel mis en œuvre pour le compte de l’Etat, qui intéressent la prévention, la recherche, la constatation ou la poursuite des infractions pénales et qui portent sur des données dites sensibles mentionnées au I de l’article 6 de la même loi sont autorisés par décret en Conseil d’Etat pris après avis motivé et publié de la Commission nationale de l’informatique et des libertés (CNIL).

En ce qui concerne la consultation du Conseil d’Etat :

3. Il ressort de la copie de la minute de la section de l’intérieur du Conseil d’Etat, produite dans le cadre de l’instruction par le garde des sceaux, ministre de la justice, que le décret publié ne contient pas de disposition qui différerait à la fois du projet initial du Gouvernement et du texte adopté par le Conseil d’Etat. Par suite, le moyen tiré de la méconnaissance des règles qui gouvernent l’examen par le Conseil d’Etat des projets de décret en Conseil d’Etat doit être écarté.

En ce qui concerne la consultation de la CNIL :

4. L’organisme dont une disposition législative ou réglementaire prévoit la consultation avant l’intervention d’un texte doit être mis à même d’exprimer son avis sur l’ensemble des questions soulevées par ce texte. Dans le cas où, après avoir recueilli son avis, l’autorité compétente pour prendre ce texte envisage d’apporter à son projet des modifications qui posent des questions nouvelles, elle doit le consulter à nouveau.

5. Si les requérants soutiennent que le projet sur lequel la CNIL a été consultée ne comprenait pas le tableau annexe précisant les données personnelles susceptibles d’être traitées pour chacune des politiques pénales prioritaires, il ressort des pièces du dossier que ni les précisions apportées ultérieurement sur les données susceptibles d’être enregistrées pour le suivi des sept politiques pénales ni l’ajout d’une annexe limitant les cas dans lesquels des données à caractère personnel sensibles relevant de l’article 6 de la loi du 6 janvier 1978 peuvent être enregistrées, ne soulèvent de question nouvelle par rapport à celles qui étaient soumises à la CNIL lorsque ces éléments étaient plus largement définis. Dans ces conditions, le moyen tiré de ce que la CNIL n’aurait pas été régulièrement consultée doit être écarté.

En ce qui concerne la consultation du comité social d’administration :

6. Aux termes de l’article 48 du décret du 20 novembre 2020 relatif aux comités sociaux d’administration dans les administrations et les établissements publics de l’Etat : « Le comité social d’administration est consulté sur : / 1° Les projets de texte réglementaire relatifs au fonctionnement et à l’organisation des services ; (…) ». Le décret attaqué ne peut être regardé comme ayant trait à l’organisation ou au fonctionnement des services du ministère de la justice. Par suite, le moyen tiré du défaut de consultation du comité social d’administration du ministère de la justice doit être écarté.

Sur la légalité interne du décret attaqué :

En ce qui concerne la méconnaissance des dispositions de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés :

7. Aux termes de l’article 4 de la loi du 6 janvier 1978 déjà citée : « Les données à caractère personnel doivent être : / (…) 2° Collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d’une manière incompatible avec ces finalités. (…) / 3° Adéquates, pertinentes et, au regard des finalités pour lesquelles elles sont traitées, limitées à ce qui est nécessaire ou, pour les traitements relevant des titres III et IV, non excessives ; / 4° Exactes et, si nécessaire, tenues à jour. Toutes les mesures raisonnables doivent être prises pour que les données à caractère personnel qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder ; / 5° Conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées (…) ». Aux termes du I de l’article 6 de la même loi : « Il est interdit de traiter des données à caractère personnel qui révèlent la prétendue origine raciale ou l’origine ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale d’une personne physique ou de traiter des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique. » Aux termes du second alinéa de son article 87, applicable aux traitements de données à caractère personnel mis en œuvre, à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces : « (…) Le traitement assure notamment la proportionnalité de la durée de conservation des données à caractère personnel, compte tenu de l’objet du fichier et de la nature ou de la gravité des infractions concernées. » Enfin, aux termes de son article 88 : « Le traitement de données mentionnées au I de l’article 6 est possible uniquement en cas de nécessité absolue, sous réserve de garanties appropriées pour les droits et libertés de la personne concernée ».

8. En premier lieu, si l’article 2 du décret attaqué prévoit notamment que les données sont susceptibles de concerner les « personnes mises en cause » ou les « personnes faisant l’objet d’un signalement porté à l’attention de l’autorité judiciaire », les requérants ne sont pas fondés à soutenir que ces deux notions souffrent d’une imprécision susceptible d’entraîner une méconnaissance de l’exigence de nécessité absolue, prévue par les dispositions précitées de l’article 88 de la loi du 6 janvier 1978.

9. En deuxième lieu, les tableaux annexés au décret attaqué fixent, pour l’ensemble des données propres aux différentes politiques pénales prioritaires, dont le recueil est prévu au II de son article 3, ainsi que pour les données à caractère personnel sensibles relevant des dispositions de l’article 6 de la loi du 6 janvier 1978 précité, mentionnées au IV du même article, celles qui sont susceptibles d’être enregistrées pour chacune des politiques pénales prioritaires, selon que ces données concernent, soit une personne faisant l’objet d’un signalement, mise en cause, mise en examen, placée sous le statut de témoin assisté, poursuivie ou condamnée pour une infraction relevant d’une de ces politiques, soit une personne victime d’une telle infraction. Il résulte des termes mêmes du IV de l’article 3 du décret attaqué que celui-ci n’autorise l’enregistrement des données à caractère personnel relevant de l’article 6 de la loi du 6 janvier 1978 que dans la stricte mesure où celles-ci sont nécessaires aux finalités du traitement, telles que définies à son article 1er. Par ailleurs, il ne ressort pas des pièces du dossier que les tableaux annexés au décret permettraient la collecte de données qui ne seraient pas susceptibles d’être nécessaires aux finalités de chaque politique pénale concernée. Les requérants ne sont, par suite, pas fondées à soutenir que, faute de lien entre chacune des catégories de données enregistrées et la politique pénale prioritaire en cause, le décret attaqué méconnaîtrait l’exigence de nécessité absolue prévue par les dispositions précitées de l’article 88 de la loi du 6 janvier 1978. Enfin, si les requérants contestent la possibilité, prévue par l’article 4 du décret, que figurent dans le traitement des données relatives aux personnes apparaissant dans les pièces de procédure et autres documents qui y sont versés, il résulte des dispositions du décret attaqué que de telles données ne sont susceptibles d’être enregistrées qu’à titre incident et dans la mesure de leur stricte nécessité.

10. En troisième lieu, les associations requérantes ne peuvent utilement soutenir que la définition des catégories de données à caractère personnel pouvant être enregistrées dans le traitement litigieux serait trop imprécise pour que leur exactitude soit assurée conformément aux dispositions du 4° de l’article 4 de la loi du 6 juillet 1978, dès lors qu’aucune disposition du décret attaqué ne déroge à l’obligation qui, en application de ces dispositions, pèse sur le responsable du traitement et les agents habilités à l’alimenter, de veiller à l’exactitude et à la mise à jour des données qu’ils enregistrent.

11. Enfin, les associations requérantes soutiennent que les dispositions de l’article 5 du décret attaqué permettent une conservation illimitée sans justification des données personnelles relatives aux personnes mises en cause, mises en examen, placées sous le statut de témoin assisté, poursuivies ou condamnées au titre d’une infraction faisant l’objet d’une politique pénale prioritaire ou aux victimes d’une telle infraction, ainsi que des données personnelles relatives aux autres personnes dont le nom apparaît dans ces procédures. Toutefois, il résulte des dispositions de cet article 5 que les données à caractère personnel enregistrées dans le traitement sont organisées en fiches de suivi en fonction de la situation ayant motivé leur enregistrement, qu’elles sont conservées pendant un délai maximal de trois mois pour les personnes ayant fait l’objet d’un signalement à l’autorité judiciaire et à l’encontre desquelles aucune procédure judiciaire n’a été ouverte et pendant un délai de trois ans pour les personnes à l’encontre desquelles une procédure a été engagée, ou pour les victimes d’infraction, ce dernier délai ne pouvant être prolongé pour de nouvelles périodes de trois ans que par l’actualisation, effectuée avant son expiration, des informations en cause sur la fiche de suivi. Il résulte également de ces dispositions que les données relatives aux personnes pouvant apparaître dans les pièces de procédure sont conservées selon les règles applicables à la fiche de suivi au titre de laquelle elles sont enregistrées et que, lorsqu’il est mis fin à la déclinaison locale ou thématique d’une politique pénale prioritaire, toutes les données qui s’y rapportent sont supprimées dans les meilleurs délais. Dans ces conditions, le décret attaqué qui, contrairement à ce que soutiennent les associations requérantes, ne prévoit pas une conservation perpétuelle des données personnelles collectées, ne méconnaît pas les dispositions de l’article 87 de la loi du 6 juillet 1978.

En ce qui concerne le moyen tiré de la méconnaissance des dispositions de l’article 11 du code de procédure pénale :

12. Aux termes de l’article 11 du code de procédure pénale : « Sauf dans le cas où la loi en dispose autrement et sans préjudice des droits de la défense, la procédure au cours de l’enquête et de l’instruction est secrète. / Toute personne qui concourt à cette procédure est tenue au secret professionnel dans les conditions et sous les peines prévues à l’article 434-7-2 du code pénal. (…) ».

13. Il résulte des termes des articles 2, 3 et 4 du décret attaqué que peuvent être enregistrées dans le traitement des données relatives aux personnes apparaissant dans les pièces de procédures pénales et que certaines de ces pièces peuvent directement y figurer lorsqu’elles sont nécessaires au suivi de la situation ou de la personne concernée. Si les dispositions du 2° du III de l’article 6 prévoient notamment que les préfets et les élus du ressort du tribunal judiciaire concerné par une procédure peuvent avoir accès à tout ou partie des informations enregistrées dans le traitement, elles précisent que cet accès ne peut intervenir qu’à l’initiative du procureur de la République, dans le cadre des échanges partenariaux et du partage d’informations strictement nécessaires à l’exercice de leurs missions respectives, dans le respect des dispositions du code de procédure pénale et du besoin d’en connaître. De plus, il résulte des dispositions de l’article 6 que les différentes catégories de personnes pouvant avoir directement accès au traitement à raison de leur fonction ne sont autorisés à y accéder qu’aux mêmes conditions de fond. Par suite, aucune disposition du décret attaqué ne faisant obstacle au respect du secret des procédures judiciaires garanti par l’article 11 du code de procédure pénale, le moyen tiré de la méconnaissance de ces dispositions doit être écarté.

En ce qui concerne le moyen tiré de l’atteinte portée à la vie privée et familiale des personnes concernées par le traitement :

14. Il résulte de ce qui a été dit aux points 8 à 11 qu’aucune des dispositions du décret attaqué contestées par les associations requérantes, ni non plus leur cumul, ne portent à la vie privée et familiale des personnes concernées par le traitement litigieux une atteinte disproportionnée au regard du caractère d’intérêt général des finalités assignées à celui-ci.

15. Il résulte de tout ce qui précède que les requérants ne sont pas fondés à demander l’annulation du décret attaqué. Par suite, leurs conclusions au titre de l’article L. 761-1 du code de justice administrative doivent également être rejetées.

D E C I D E :

--------------

Article 1er : La requête du syndicat de la magistrature et autres est rejetée.

Article 2 : La présente décision sera notifiée au syndicat de la magistrature, premier requérant dénommé, au Premier ministre, au garde des sceaux, ministre de la justice, au ministre de l’intérieur et à la Commission nationale de l’informatique et des libertés.

Délibéré à l’issue de la séance du 3 novembre 2025 où siégeaient : M. Denis Piveteau, président adjoint de la section du contentieux, présidant ; M. Bertrand Dacosta, M^me Anne Egerszegi, présidents de chambre ; M. Olivier Yeznikian, M^me Rozen Noguellou, M. Nicolas Polge, M. Vincent Daumas, M. Christophe Barthélemy, conseillers d’Etat et M. Jean de L’Hermite, conseiller d’Etat-rapporteur.

Rendu le 1er décembre 2025.

Le président :

Signé : M. Denis Piveteau

Le rapporteur :

Signé : M. Jean de L’Hermite

La secrétaire :

Signé : M^me Reine-May Solente