Vu la procédure suivante :

Par une requête et un mémoire en réplique, enregistrés les 4 et 18 décembre 2025 au secrétariat du contentieux du Conseil d’Etat, la société Bergens demande au juge des référés du Conseil d’Etat, statuant sur le fondement de l’article L. 521-1 du code de justice administrative :

1°) de suspendre l’exécution de la position de la Commission nationale de l’informatique et des libertés (CNIL), publiée le 11 juillet 2025, sur l’utilisation de caméras « augmentées » dans les bureaux de tabac pour estimer l’âge des clients ;

2°) de mettre à la charge de la CNIL la somme de 3 000 euros au titre de l’article L. 761-1 du code de justice administrative.

Elle soutient que :

- la condition d’urgence est satisfaite dès lors que la position de la CNIL, en ce qu’elle revient à interdire l’utilisation des caméras « augmentées » dans les bureaux de tabac, porte atteinte à sa viabilité économique, la commercialisation de telles caméras étant sa seule activité et son chiffre d’affaires étant désormais quasiment nul, de sorte qu’elle a dû procéder à un emprunt, sans qu’il n’y ait lieu, en l’espèce, de tirer des conséquences, pour l’appréciation du respect de cette condition, des échanges antérieurs de son dirigeant avec la CNIL, ni de la date d’introduction de la présente requête ;

- il existe un doute sérieux quant à la légalité de l’acte contesté ;

- il est entaché d’incompétence dès lors, d’une part, qu’il revient à interdire l’utilisation des caméras « augmentées », d’autre part, qu’il prône l’utilisation d’applications telles le « mini-wallet » expérimenté sous l’égide de la Commission européenne pour vérifier l’âge des acheteurs ;

- il est entaché d’illégalité en ce qu’il retient que l’utilisation de caméras « augmentées » par les buralistes pour apprécier l’âge de leurs clients n’est pas nécessaire au sens des points c) et f) du paragraphe 1 de l’article 6 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, une telle appréciation étant erronée dès lors qu’au contraire, une telle utilisation contribue au respect des obligations légales fixées par la loi relatives à l’interdiction de la vente aux mineurs d’alcool, de produits du tabac et de vapotage ainsi que de la participation de mineurs aux jeux d’argent et de hasard ;

- il est entaché d’inexactitude matérielle en ce qu’il prône l’utilisation de l’application du « mini-wallet », dès lors qu’une telle technologie n’est ni disponible, ni adaptée, étant conçue pour la vérification de l’âge des utilisateurs de services informatiques ;

- il est entaché d’illégalité en ce qu’il retient que l’utilisation de ces caméras « augmentées » ne respecte pas le principe de proportionnalité en se bornant à prendre en considération les atteintes portées aux libertés individuelles des clients des bureaux de tabac et sans examiner également les avantages de tels dispositifs en termes de santé publique, ni l’atteinte portée à la liberté d’entreprendre susceptible d’être causée par leur interdiction ;

- il est entaché d’illégalité en ce qu’il se fonde sur une considération inopérante en indiquant que la multiplication de tels outils est de nature à habituer les citoyens à une forme de surveillance généralisée.

Par un mémoire en défense et un nouveau mémoire, enregistrés les 15 et 19 décembre 2025, la Commission nationale de l’informatique et des libertés conclut au rejet de la requête. Elle soutient que la condition d’urgence n’est pas satisfaite et que les moyens soulevés par la requérante ne sont pas propres à créer un doute sérieux quant à la légalité de l’acte contesté.

Vu les autres pièces du dossier ;

Vu :

- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;

- la loi n° 78-17 du 6 janvier 1978 ;

- le code de la santé publique ;

- le code de la sécurité intérieure ;

- le code de justice administrative ;

Après avoir convoqué à une audience publique, d’une part, la société Bergens et, d’autre part, la Commission nationale de l’informatique et des libertés ;

Ont été entendus lors de l’audience publique du 19 décembre 2025, à 14 heures 30 :

- M^e Bardoul, avocat au Conseil d’Etat et à la Cour de cassation, suppléant M^e Haas, avocat de la société Bergens ;

- le représentant de la société Bergens ;

- les représentants de la Commission nationale de l’informatique et des libertés ;

à l’issue de laquelle la juge des référés a prononcé la clôture de l’instruction ;

Considérant ce qui suit :

1. La Commission nationale de l’informatique et des libertés (CNIL) a fait connaître en juillet 2022 sa « position sur les conditions de déploiement des caméras dites « intelligentes » ou « augmentées » dans les espaces public ». Le 11 juillet 2025, après concertation avec des professionnels intéressés, elle a précisé sa position s’agissant des caméras « augmentées » utilisées « pour estimer l’âge [des acheteurs] dans les bureaux de tabac ». Elle y expose que l’analyse du visage effectuée par de telles caméras constitue un traitement de données personnelles qui doit respecter, pour être mis en œuvre, les principes posés par le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE du 24 octobre 1995, dit règlement général sur la protection des données (RGPD). Elle estime, en premier lieu, que l’utilisation de ces caméras, qui ne procèdent qu’à une estimation de l’âge des acheteurs, ne dispense pas les buralistes de demander à leurs clients une preuve de leur majorité, par la production d’un titre d’identité ou le recours à des applications mobiles de vérification d’âge, de sorte qu’elle n’apparaît pas nécessaire au sens du RGPD. En second lieu, la CNIL relève que le mode de fonctionnement de ces dispositifs au jour de sa prise de position, par défaut et en continu, présente des risques pour les droits et libertés des personnes, dès lors qu’il conduit à filmer l’ensemble des clients, y compris ceux qui sont manifestement majeurs et qu’il ne leur permet pas, en outre, d’exercer leur droit d’opposition garanti par le RGPD.

2. La société Bergens, qui commercialise de telles caméras en France, a demandé l’annulation pour excès de pouvoir de cet acte. Dans l’attente du jugement de sa requête, elle demande au juge des référés du Conseil d’Etat, statuant sur le fondement de l’article L. 521-1 du code de justice administrative, d’en suspendre l’exécution.

3. Aux termes de l’article L. 521-1 du code de justice administrative « Quand une décision administrative, même de rejet, fait l’objet d’une requête en annulation ou en réformation, le juge des référés, saisi d’une demande en ce sens, peut ordonner la suspension de l’exécution de cette décision, ou de certains de ses effets, lorsque l’urgence le justifie et qu’il est fait état d’un moyen propre à créer, en l’état de l’instruction, un doute sérieux quant à la légalité de la décision ».

Sur le moyen d’incompétence :

4. En vertu des dispositions du I de l’article 8 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, la CNIL, autorité de contrôle nationale au sens et pour l’application du RGPD, est notamment chargée d’informer toutes les personnes concernées et tous les responsables de traitements de leurs droits et obligations et de veiller à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la loi du 6 janvier 1978 et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l’Union européenne et les engagements internationaux de la France. Elle peut, à ce titre, établir et publier des lignes directrices, recommandations ou référentiels destinés à faciliter la mise en conformité des traitements de données à caractère personnel avec les textes applicables.

5. Ainsi chargée de veiller à la conformité aux dispositions de la loi du 6 janvier 1978 de tout traitement de données relevant de son champ d’application, qu’il concerne ou non des données à caractère personnel, la CNIL dispose, pour l’accomplissement de cette mission, du pouvoir de mettre en œuvre ses prérogatives selon les modalités qu’elle juge les plus appropriées, y compris en recourant à des instruments de droit souple, par lesquels elle peut livrer une interprétation du droit applicable afin d’informer toute personne intéressée et d’aider à la mise en conformité des pratiques. Ces interprétations du droit positif et orientations peuvent être énoncées dans des lignes directrices ou d’autres documents, notamment des éléments mis en ligne sur le site internet de la Commission.

6. Il résulte de ce qui précède que le moyen tiré de ce que la CNIL a excédé sa compétence en énonçant, par l’acte attaqué, à destination des personnes intéressées, son analyse sur les traitements de données à caractère personnel résultant de l’utilisation des caméras « augmentées » alors déployées dans les bureaux de tabac pour estimer l’âge des clients, sans édicter d’interdiction générale et absolue de la vente et de l’utilisation de telles caméras, n’est pas propre à créer, en l’état de l’instruction, un doute sérieux quant à la légalité de l’acte contesté.

Sur le moyen tiré de l’appréciation erronée de la nécessité du traitement de données opéré par les caméras « augmentées » :

7. D’une part, aux termes de l’article 5 du RGPD : « 1. Les données à caractère personnel doivent être : / a) traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence); / b) collectées pour des finalités déterminées, explicites et légitimes (…) (limitation des finalités); / c) adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ; (…) ». Aux termes de l’article 6 du RGPD : « 1. Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie: / a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques; (…) / c) le traitement est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis; (…) / f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant. / Le point f) du premier alinéa ne s’applique pas au traitement effectué par les autorités publiques dans l’exécution de leurs missions. / (…) / 3. Le fondement du traitement visé au paragraphe 1, points c) et e), est défini par : / a) le droit de l’Union ; ou / b) le droit de l’État membre auquel le responsable du traitement est soumis. / Les finalités du traitement sont définies dans cette base juridique ou, en ce qui concerne le traitement visé au paragraphe 1, point e), sont nécessaires à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement. (…) ». L’article 13 du RGPD impose une obligation d’information de toute personne dont des données à caractère personnel sont collectées, à la charge du responsable du traitement. Enfin, son article 21 ouvre à la personne concernée le droit de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement fondé sur l’article 6, paragraphe 1, point f).

8. D’autre part, les articles L. 3342-1 L. 3512-12 et L. 3513-5 du code de la santé publique interdisent dans tous commerces la vente aux mineurs respectivement de boissons alcooliques, de tabac et de produits du vapotage et prévoient que la personne qui délivre l’un de ces produits « exige du client qu’il établisse la preuve de sa majorité ». Le non-respect de l’interdiction de vente de ces produits aux mineurs est passible de sanctions pénales respectivement instituées aux articles L. 3353-3, R. 3515-5 et R. 3515-6 du même code. Par ailleurs, l’article L. 320-7 du code de la sécurité intérieure prévoit que « les mineurs, même émancipés, ne peuvent prendre part à des jeux d’argent et de hasard dont l’offre publique est autorisée par la loi, à l’exception des jeux d’argent et de hasard mentionnés au 2° et 7° de l’article L. 320-6 [afférents aux jeux exploités par des personnes non opérateurs de jeux ou résultant d’opérations publicitaires] ». L’article L. 320-8 de ce code dispose à cet égard que « les opérateurs de jeux d’argent et de hasard légalement autorisés sont tenus de faire obstacle à la participation de mineurs, même émancipés, aux activités de jeux et de pari qu’ils proposent ». L’article R. 324-2 du même code punit de l’amende prévue pour les contraventions de la quatrième classe le non-respect de ces dispositions.

9. Si la requérante se prévaut des dispositions du point c) du premier paragraphe de l’article 6 du RGPD, citées au point 7, les dispositions précitées du code de la santé publique et du code de la sécurité intérieure ne constituent pas au sens de ces dispositions du RGPD, telles que précisées par le paragraphe 3 de l’article 6 du RGPD, le fondement des traitements de données auxquels procèdent les caméras « augmentées » utilisées dans les bureaux de tabac pour estimer l’âge des acheteurs, dès lors que les dispositions de ces deux codes se bornent à interdire, sous peine de sanctions, la vente de certains produits aux mineurs et à imposer, pour celles figurant au code de la santé publique, que les commerçant exigent des acheteurs de boissons alcooliques, de produits de vapotage et de tabac qu’ils établissent leur majorité, et pour celles figurant au code de la sécurité intérieure, que les opérateurs de jeux d’argent et de hasard fassent obstacle à la participation de mineurs à de tels jeux. Il y a donc lieu d’examiner le moyen par lequel la société Bergens met en cause l’appréciation de la CNIL quant au caractère nécessaire des traitements de données en cause au regard seulement des dispositions du point f) du premier paragraphe du même article 6, qu’elle invoque également. A ce titre, il n’est pas contesté que les caméras « augmentées » permettent seulement d’avoir une estimation de l’âge des acheteurs dans les bureaux de tabac, de sorte que leur utilisation par les buralistes ne les dispense pas d’exiger des acheteurs de boissons alcooliques, de produits du vapotage et de tabac qu’ils établissent leur majorité, ainsi que la loi leur en fait expressément obligation pour la vente de tels produits, ni de faire obstacle, ainsi qu’ils y sont légalement tenus, à ce que les mineurs participent à des jeux d’argent et de hasard, ce qui implique qu’ils aient la preuve que les joueurs ne sont pas mineurs. Par suite, le moyen tiré de ce que la CNIL, en estimant que les traitements de données personnelles résultant de l’utilisation des caméras « augmentées » dans les bureaux de tabac ne sont pas nécessaires aux fins des intérêts légitimes poursuivis par les buralistes et que, dès lors, ils ne satisfont pas aux exigences posées au point f) du premier paragraphe de l’article 6 du RGPD, a méconnu ces dernières dispositions n’est pas propre à créer, en l’état de l’instruction, un doute sérieux quant à la légalité de l’acte contesté.

Sur les autres moyens :

10. Aucun des autres moyens présentés par la requérante, tirés de ce que l’acte contesté est entaché, en premier lieu, d’inexactitude matérielle en ce qu’il prône l’utilisation de l’application de vérification d’âge dite « mini-wallet », en deuxième lieu, d’illégalité en ce qu’il retient que l’utilisation de ces caméras « augmentées » ne respecte pas le principe de proportionnalité, en dernier lieu, d’illégalité en ce qu’il se fonde sur une considération inopérante en indiquant que la multiplication de tels outils est de nature à habituer les citoyens à une forme de surveillance généralisée, n’est propre à créer, en l’état de l’instruction, un doute sérieux quant à la légalité de l’acte contesté.

11. Il résulte de tout ce qui précède qu’en l’état de l’instruction, aucun des moyens invoqués par la société Bergens n’est de nature à créer un doute sérieux quant à la légalité de l’acte dont elle demande la suspension de l’exécution. Il y a donc lieu, sans qu’il soit besoin de se prononcer sur la condition d’urgence, de rejeter sa requête, y compris en ce qu’elle comporte des conclusions au titre de l’article L. 761-1 du code de justice administrative.

O R D O N N E :

------------------

Article 1er : La requête de la société Bergens est rejetée.

Article 2 : La présente ordonnance sera notifiée à la société Bergens et à la Commission nationale de l’informatique et des libertés.

Fait à Paris, le 24 décembre 2025

Signé : Maud Vialettes