Vu la procédure suivante :

Par une requête sommaire et un mémoire complémentaire, enregistrés les 4 mars et 4 juin 2024 au secrétariat du contentieux du Conseil d’Etat, l’association La Ligue des droits de l’homme demande au Conseil d’Etat :

1°) d’annuler pour excès de pouvoir l’arrêté du 19 décembre 2023 portant création d’un traitement automatisé de données à caractère personnel dénommé « table de correspondance des noms et prénoms » ;

2°) de mettre à la charge de l’Etat la somme de 4 000 euros au titre de l’article L. 761-1 du code de justice administrative.

Vu les autres pièces du dossier ;

Vu :

- la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales ;

- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;

- le code civil, modifié par la loi n° 2022-301 du 2 mars 2022 ;

- la loi n° 78-17 du 6 janvier 1978 ;

- le décret n°2005-850 du 27 juillet 2005 ;

- le décret n° 2013-728 du 12 août 2013 ;

- le décret n° 2019-341 du 19 avril 2019 ;

- le décret n° 2023-971 du 20 octobre 2023 ;

- l’arrêté du 12 août 2013 portant organisation interne du secrétariat général du ministère de l’intérieur ;

- le code de justice administrative ;

Après avoir entendu en séance publique :

- le rapport de M. Thomas Odinot, maître des requêtes,

- les conclusions de M^me Leila Derouich, rapporteure publique ;

La parole ayant été donnée, après les conclusions, à la SCP Spinosi, avocat de la Ligue des droits de l’homme ;

Considérant ce qui suit :

1.

L’arrêté du 19 décembre 2023 du ministre de l’intérieur et des outre-mer a été pris en application des dispositions du 4° du J de l’article 2 du décret du 19 avril 2019 relatif à la mise en œuvre de traitements comportant l’usage du numéro d’inscription au répertoire national d’identification des personnes physiques (RNIPP) ou nécessitant la consultation de ce répertoire, introduites par le décret n° 2023-971 du 20 octobre 2023. Il crée un traitement automatisé de données à caractère personnel dénommé « table de correspondance des noms et prénoms » qui porte sur les personnes ayant changé de nom ou de prénoms sur le fondement des articles 60, 61 et 61-3-1 du code civil. Placé sous la responsabilité du ministère de l’intérieur (secrétariat général), il est alimenté par l’extraction du RNIPP, relevant de l’Institut national de la statistique et des études économiques (INSEE), de huit catégories de données portant sur le nom de famille antérieur au changement de nom, celui postérieur au changement de nom, les prénoms antérieurs au changement et ceux postérieurs au changement, la date et le lieu de naissance, la date du changement de nom et prénom, le sexe et le cas échéant, la filiation. Ce traitement a pour finalités, d’une part, la consultation de l’identité des personnes ayant changé de nom ou de prénom en application des articles 60, 61 et 61-3-1 du code civil, à l’exclusion du numéro d’inscription au RNIPP (NIR), et la mise à jour de cette identité dans les traitements de données à caractère personnel que le ministère de l’intérieur ou les établissements publics qui lui sont rattachés mettent en œuvre. La Ligue des droits de l’homme demande l’annulation pour excès de pouvoir de cet arrêté.

Sur la légalité externe :

2.

Aux termes des dispositions de l’article 1er du décret du 27 juillet 2005 relatif aux délégations de signature des membres du Gouvernement : « A compter du jour suivant la publication au Journal officiel de la République française de l’acte les nommant dans leurs fonctions (…) peuvent signer, au nom du ministre ou du secrétaire d’Etat et par délégation, l’ensemble des actes, à l’exception des décrets, relatifs aux affaires des services placés sous leur autorité : / 1° Les secrétaires généraux des ministères (…) ». En vertu de l’article 3 du décret du 12 août 2013 portant organisation de l’administration centrale du ministère de l’intérieur et du ministère des outre-mer, est notamment placée sous l’autorité du secrétaire général du ministère de l’intérieur, la direction des libertés publiques et des affaires juridiques qui, en vertu de l’article 10 de l’arrêté du 12 août 2013 portant organisation interne du secrétariat général du ministère de l’intérieur, est compétente en matière de réglementation relative aux traitements de données à caractère personnel. M. A… B… a été nommé secrétaire général du ministère de l’intérieur et des outre-mer par décret du 11 janvier 2023. Dès lors, il avait compétence pour signer, au nom du ministre et par délégation, l’arrêté du 19 décembre 2023 attaqué qui, par son objet, relève des affaires traitées par la direction des libertés publiques et des affaires juridiques. Le moyen tiré de l’incompétence de l’auteur de l’arrêté attaqué ne peut, par suite, qu’être écarté.

Sur la légalité interne :

En ce qui concerne la violation des articles 8 et 14 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales au regard des finalités du traitement :

3.

La Ligue des droits de l’homme soutient, d’une part, que l’ingérence grave dans le droit au respect de la vie privée des personnes transgenres que permet le traitement en litige n’est pas nécessaire et ne présente pas un caractère proportionné au regard des finalités du traitement, d’autre part, que ce traitement conduit à cibler indirectement les personnes transgenres ainsi que les personnes d’origine étrangère en établissant ainsi une différence de traitement avec le reste de la population, et, enfin, que, compte tenu du caractère attentatoire à la vie privée et potentiellement discriminatoire du traitement, les finalités du traitement ne sont ni objectives ni raisonnables.

S’agissant des finalités du traitement :

4.

Conformément aux dispositions du 4° du J de l’article 2 du décret du 19 avril 2019 mentionné au point 1, et selon les termes de l’article 1er de l’arrêté attaqué, le traitement autorisé a pour finalités, d’une part, la consultation de l’identité des personnes ayant changé de nom ou de prénom en application des articles 60, 61 et 61-3-1 du code civil et, d’autre part, la mise à jour de cette identité dans les traitements de données à caractère personnel que le ministre de l’intérieur ou les établissements publics qui lui sont rattachés mettent en œuvre.

5.

Il ressort des pièces du dossier que le traitement de données a été créé à la suite de l’entrée en vigueur des dispositions de la loi du 2 mars 2022 relative au choix du nom issu de la filiation qui a introduit l’article 61-3-1 au code civil offrant une procédure simplifiée de changement de nom, sans préjudice de celle prévue par l’article 61 et ni de celle, également maintenue, de l’article 60 relative au changement de prénoms. Il n’est pas contesté que cette réforme a suscité une forte augmentation des changements d’identité dont la retranscription ne figure que dans les registres d’état civil. Le ministre fait valoir que, faute d’une information appropriée, le ministère de l’intérieur ou les établissements publics qui lui sont rattachés, mettant en œuvre divers traitements reposant sur les données à caractère personnel d’identité des personnes concernées, ne sont pas en mesure de connaître leurs changements de noms et de prénoms et qu’une telle situation est de nature à porter atteinte à l’exactitude, à la fiabilité et à la tenue à jour de ces fichiers. Le traitement dénommé « table de correspondance des noms et de prénoms », présenté au point 1, permet, d’une part, la consultation des changements des noms et prénoms après leur enregistrement dans le RNIPP en prévenant les risques d’homonymie. Il permet, d’autre part, la mise à jour de ces changements d’identité dans les traitements mis en œuvre par le ministère de l’intérieur ou les établissements publics qui lui sont rattachés. Il s’en déduit, d’une part, que cette finalité de consultation permet de sécuriser l’usage de chacun des traitements ainsi mis en œuvre et, d’autre part, que la finalité de mise à jour permet d’assurer le respect du principe d’exactitude et de tenue à jour garanti par le paragraphe d) du 1 de l’article 5 du RGPD. Chacune de ces deux finalités, qui sont fondées sur un critère objectif et raisonnable, repose sur un intérêt général légitime. Si la requérante soutient que le traitement ne serait pas nécessaire à la mise à jour de l’identité des personnes dans les autres traitements dont le ministre a la responsabilité et allègue que d’autres moyens, moins attentatoires à la vie privée des personnes concernées et ne comportant aucun risque de discrimination, permettraient de parvenir au même résultat, elle n’apporte aucun élément susceptible d’étayer cette affirmation. Il ne ressort pas davantage des pièces du dossier que le traitement critiqué n’aurait d’autre objectif, ainsi que l’allègue la requérante, que celui de cibler les personnes transgenres et les personnes d’origine étrangères ayant changé de nom ou de prénoms.

S’agissant de la violation de l’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales :

6.

Aux termes de l’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales : « 1. Toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance. / 2. Il ne peut y avoir ingérence d’une autorité publique dans l’exercice de ce droit que pour autant que cette ingérence est prévue par la loi et qu’elle constitue une mesure qui, dans une société démocratique, est nécessaire à la sécurité nationale, à la sûreté publique, au bien-être économique du pays, à la défense de l’ordre et à la prévention des infractions pénales, à la protection de la santé ou de la morale, ou à la protection des droits et libertés d’autrui ».

7.

L’ingérence dans l’exercice du droit de toute personne au respect de sa vie privée que constituent la collecte, la conservation et le traitement, par une autorité publique, d’informations personnelles nominatives, ne peut être légalement autorisée que si elle répond à des finalités légitimes et que le choix, la collecte et le traitement des données sont effectués de manière adéquate et proportionnée au regard de ces finalités.

8.

S’il n’est pas contesté que la collecte, la conservation et le traitement, par le ministère de l’intérieur et les établissements qui lui sont rattachés, des informations personnelles nominatives mentionnées au point 1, sont de nature à constituer une ingérence dans la vie privée des personnes concernées, il résulte de ce qui a été dit au point 5 que cette ingérence répond à des finalités légitimes. Il ressort également des pièces du dossier et des dispositions de l’arrêté contesté que le choix, la collecte et le traitement de ces données doivent être effectués de manière adéquate et proportionnée au regard des finalités déjà mentionnées. L’association requérante ne justifie pas qu’il en serait autrement pour les personnes transgenres. Par suite, elle n’est pas fondée à soutenir que l’arrêté méconnaîtrait les stipulations de l’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales.

S’agissant de la violation de l’article 14 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales :

9.

Aux termes de l’article 14 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales : « La jouissance des droits et libertés reconnus dans la présente Convention doit être assurée, sans distinction aucune, fondée notamment sur le sexe, la race, la couleur, la langue, la religion, les opinions politiques ou toutes autres opinions, l’origine nationale ou sociale, l’appartenance à une minorité nationale, la fortune, la naissance ou toute autre situation ».

10.

Il ressort des termes mêmes du décret du 20 octobre 2023 et de l’arrêté du 19 décembre 2023, mentionnés au point 1, que le traitement en litige n’opère par lui-même aucune distinction entre les personnes ayant changé de nom ou de prénoms pour des raisons qui seraient tirées de leur identité de genre ou de leur origine étrangère et les autres personnes ayant également procédé à de tels changements. Il ne ressort pas des pièces du dossier que ce traitement, lors de l’opération de consultation du traitement ou de mise à jour des fichiers destinataires, aurait nécessairement pour effet de cibler, même indirectement, les personnes transgenres qui auraient changé de nom du fait du rapprochement de ces données avec celle relative au sexe ou les personnes d’origine étrangère ayant francisé leurs prénoms après leur naturalisation. Par suite, le moyen tiré de ce que le traitement en litige porterait une atteinte discriminatoire aux droits de ces deux catégories de personnes en violation de de l’article 14 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, ne peut qu’être écarté.

En ce qui concerne le caractère sensible des données collectées :

11.

Aux termes du paragraphe 1 de l’article 9 du RGPD : « Le traitement des données à caractère personnel qui révèle l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique sont interdits ».

12.

Il ne ressort pas des pièces du dossier que par elles-mêmes ou au terme d’une opération intellectuelle de déduction ou de recoupement, notamment par le rapprochement des données relatives aux changements de nom ou de prénoms de celles relative au sexe, les huit catégories de données, rappelées au point 1, enregistrées dans le traitement en litige dénommé « table des correspondances des noms et prénoms », même si elles permettent de révéler une modification de genre, seraient susceptibles de révéler soit l’origine raciale ou ethniques des personnes concernées, soit leur vie sexuelle ou leur orientation sexuelles. Par suite, en l’absence de tout doute raisonnable quant à l’application correcte des dispositions l’article 9 du RGPD, et sans qu’il y ait lieu de saisir la Cour de justice de l’Union européenne à titre préjudiciel d’une question portant sur l’interprétation des dispositions du droit de l’Union en cause dans la présente affaire, l’association requérante n’est pas fondée à soutenir que l’arrêté attaqué méconnaîtrait ces dispositions.

En ce qui concerne la licéité du traitement :

13.

En vertu des dispositions du e) du paragraphe 1 de l’article 6 du RGPD, un traitement est licite notamment s’il est nécessaire à l’exécution d’une mission d’intérêt public. Pour soutenir que l’arrêté ne fait pas état d’une mission d’intérêt public suffisamment précise et définie à laquelle le traitement en litige est susceptible de se rattacher, l’association requérante se borne à se référer à ses moyens précédents, sans assortir le moyen fondé sur la méconnaissance des dispositions de l’article 6 du RGPD d’aucune autre précision permettant d’en apprécier le bien-fondé. Compte tenu de ce qui a déjà été dit aux points précédents, il ne peut, dès lors, qu’être écarté.

En ce qui concerne l’illégalité du décret du 20 octobre 2023 :

14.

L’association requérante soutient que l’arrêté attaqué serait illégal en raison de l’illégalité du décret du 20 octobre 2023 qui, ayant introduit les dispositions du 4° du J à l’article 2 du décret du 19 avril 2019 mentionné au point 1, en est la base légale. Elle se fonde, à l’appui de cette exception d’illégalité, sur les mêmes moyens que ceux qui viennent d’être écartés. Il s’ensuit que cette exception d’illégalité ne peut qu’être écartée.

En ce qui concerne les autres dispositions de l’arrêté attaqué :

S’agissant du principe de minimisation des données :

15.

En vertu du principe de minimisation posé par le c du paragraphe 1 de l’article 5 du RGPD, les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées.

16.

Les articles 1er et 2 de l’arrêté attaqué prévoient que le ministre de l’intérieur met en œuvre un traitement automatisé de données à caractère personnel, dénommé « table de correspondance des noms et prénoms », qui a pour finalités la consultation de cette identité à partir des huit catégories de données à caractère personnel, rappelées au point 1, et la mise à jour de ces données dans les traitements de données à caractère personnel relevant du ministère et des établissements publics qui lui sont rattachés. Compte tenu des cas d’homonymie susceptibles de se présenter et pour parer les risques qui en résulteraient en ce qui concerne les droits des personnes, ces données, dont notamment celle du sexe et celle, le cas échéant recueillie, de la filiation, apparaissent adéquates, pertinentes et limitées à ce qui est nécessaire pour identifier de manière exacte une personne physique, compte tenu de son changement de nom ou prénom. Par suite, le moyen, d’ailleurs énoncé sans être assorti de précisions, tiré de la méconnaissance du principe de minimisation des données, ne peut qu’être écarté.

S’agissant de la sécurité et de la confidentialité des données :

17.

Aux termes de l’article 5 du RGPD : « 1. Les données à caractère personnel doivent être : (…) / f) traitées de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d’origine accidentelle, à l’aide de mesures techniques ou organisationnelles appropriées (intégrité et confidentialité) ».

18.

Il ressort des termes mêmes de l’article 4 de l’arrêté attaqué que les agents qui y sont mentionnés ne sont autorisés à accéder à tout ou partie des données du traitement litigieux qu’« à raison de leurs attributions et dans la limite du besoin d’en connaître ». Il ne ressort pas des pièces du dossier que le nombre de services, d’unités, de préfectures et de sous-préfectures mentionnés dans l’arrêté ainsi que le nombre d’agents qui peuvent, au sein de ceux-ci, être spécialement désignés et habilités comme accédants seraient de nature à établir que les données traitées feraient l’objet d’un niveau de sécurité et de confidentialité insuffisant. Par suite, le moyen tiré de ce que les dispositions de l’article 4 de l’arrêté feraient craindre une dissémination incontrôlable des fichiers, au mépris de l’exigence de sécurité et de confidentialité des données, ne peut qu’être écarté.

S’agissant de la durée de conservation des données collectées :

19.

En vertu du principe dit de « limitation de la conservation » mentionné au e) du paragraphe 1 de l’article 5 du RGPD, les données à caractère personnel collectées doivent être conservées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées. Il ressort des pièces du dossier que la durée de six ans de conservation des données collectées, retenue par l’article 3 de l’arrêté attaqué, est justifiée par la finalité de mise à jour des traitements destinataires compte tenu notamment du caractère manuel de cette opération, dans l’attente de la mise en place d’une procédure de mise à jour automatisée. Par suite, une telle durée n’excédant pas celle nécessaire à cette finalité, le moyen tiré de ce que l’arrêté aurait méconnu sur ce point l’article 5 précité du RGPD doit être écarté.

S’agissant de la durée de conservation des données de journalisation :

20.

En vertu des articles 24 et 30 du RGPD, chaque responsable de traitement met en œuvre des mesures techniques et organisationnelles appropriées pour s’assurer et être en mesure de démontrer que le traitement est effectué conformément au règlement et fait tenir un registre des activités de traitement effectuées. Aucun principe du droit de la protection des données n’interdit de conserver les informations relatives aux opérations de traitement des données pour une durée plus courte que celle portant sur la conservation des données elles-mêmes, eu égard à leur finalité respective. La durée de trois ans pendant laquelle est conservée la traçabilité des accès et des actions sur le traitement n’apparaît pas, en l’espèce, insuffisante. Par suite, le moyen tiré du caractère illégal de la durée de trois ans retenue par l’article 6 de l’arrêté ne peut qu’être écarté.

S’agissant du respect du droit à l’information :

21.

D’une part, aux termes du paragraphe 1 de l’article 12 du RGPD : « Le responsable du traitement prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14 ainsi que pour procéder à toute communication au titre des articles 15 à 22 et de l’article 34 en ce qui concerne le traitement à la personne concernée d’une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, en particulier pour toute information destinée spécifiquement à un enfant (…) ».

22.

Aucune disposition de l’arrêté attaqué qui n’avait pas, par ailleurs, à rappeler celles citées au point précédent, ne fait pas obstacle à l’obligation, qui incombe au responsable du traitement, de prendre des mesures appropriées pour fournir toute information à la personne concernée dans les conditions prévues à l’article 12 du RGPD. Par suite, le moyen tiré de ce que l’arrêté attaqué méconnaîtrait le droit à l’information ne peut qu’être écarté.

S’agissant de la suppression du droit d’opposition :

23.

L’article 21 du RGPD, auquel renvoie l’article 56 de la loi du 6 janvier 1978, prévoit que le droit d’opposition ne s’applique pas lorsque le traitement répond à une obligation légale ou, dans les conditions prévues à l’article 23 du même règlement, lorsque l’application de ces dispositions a été écartée par une disposition expresse de l’acte instaurant le traitement. Le paragraphe 1 de l’article 23 du RGPD autorise les autorités nationales à limiter la portée du droit d’opposition « lorsqu’une telle limitation respecte l’essence des libertés et droits fondamentaux et qu’elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir : (…) / i) la protection de la personne concernée ou des droits et libertés d’autrui ». Il résulte de ces dispositions que l’acte réglementaire autorisant la mise en œuvre d’un traitement de données à caractère personnel ou précisant les modalités d’un traitement de données à caractère personnel créé par la loi peut comporter une disposition expresse excluant l’exercice du droit d’opposition dès lors que cette exclusion est nécessaire et, eu égard notamment à la nature des données, aux finalités poursuivies et aux garanties prévues, proportionnée pour atteindre des objectifs importants d’intérêt public.

24.

Compte tenu de l’objectif d’intérêt public qui vise à sécuriser l’usage de chacun des traitements relevant du ministère de l’intérieur et des établissements publics qui lui sont rattachés eu égard à leurs finalités propres, par l’usage de données d’identité sûres et actualisées, une telle restriction du droit d’opposition constitue une mesure nécessaire et proportionnée destinée à garantir la protection de la personne concernée ou les droits et libertés d’autrui. Par suite, le moyen tiré du caractère injustifié de cette limitation du droit d’opposition ne peut qu’être écarté.

25.

Il résulte de tout ce qui précède que la Ligue des droits de l’homme n’est pas fondée à demander l’annulation de l’arrêté qu’elle attaque. Dès lors, ses conclusions doivent être rejetées, y compris celles présentées au titre de l’article L. 761-1 du code de justice administrative.

D E C I D E :

--------------

Article 1er : La requête de la Ligue des droits de l’homme est rejetée

Article 2 : La présente décision sera notifiée à l’association La Ligue des droits de l’homme et au ministre de l’intérieur.

Délibéré à l’issue de la séance du 7 octobre 2025 où siégeaient : M. Bertrand Dacosta, président de chambre, présidant ; M. Olivier Yeznikian, conseiller d’Etat et M. Thomas Odinot, maître des requêtes-rapporteur.

Rendu le 28 novembre 2025.

Le président :

Signé : M. Bertrand Dacosta

Le rapporteur :

Signé : M. Thomas Odinot

La secrétaire :

Signé : M^me Marie-Léandre Monnerville