Vu la procédure suivante :

Par une requête et des mémoires enregistrés le 3 décembre 2020, le 5 août 2022 et le 8 décembre 2022, l’association la Quadrature du Net, représentée par M^e Fitzjean O Cobhthaigh, demande au tribunal :

1°) de mettre fin à l’exécution du marché conclu le 2 novembre 2018 entre la commune de Marseille et la société SNEF service tertiaire portant sur l’acquisition d’un dispositif de « vidéo-protection intelligente » ;

2°) de mettre à la charge de la commune de Marseille la somme de 4 096 euros sur le fondement de l’article L. 761-1 du code de justice administrative.

Elle soutient que :

— elle a intérêt à agir dès lors que le marché en litige a pour objet un traitement de données personnelles excessif et disproportionné qui affecte l’exercice des droits fondamentaux dans l’environnement numérique, le respect de la vie privée et la protection contre la surveillance systématique, qu’elle a pour objet social de protéger ;

— le marché portant sur l’acquisition d’un dispositif de « vidéo-protection intelligente » méconnait l’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, et les articles 4, 8 et 10 de la directive « police justice » transposés aux articles 4 et 5, et 88 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés dès lors que le dispositif procède à une ingérence dans la vie privée des personnes qui est dépourvu de base légale, alors que le système mis en place dépasse les fonctionnalités classiques de la vidéoprotection et repose sur des fonctionnalités d’analyse d’image automatisées et algorithmiques inédites constituant un traitement de données personnelles et notamment biométriques ;

— le marché méconnait les articles 27 et 28 de la directive « police-justice » transposés à l’article 90 de la loi du 6 janvier 1978 dès lors qu’il a été conclu en l’absence de consultation préalable de la CNIL et en l’absence d’analyse d’impact relative à la protection des données (AIPD), ou tout au moins, avec une analyse d’impact incomplète et non définitive, et que l’absence d’étude d’impact a nui à l’information de la population et influé sur la décision prise par le conseil municipal qui aurait dû constater l’absence de nécessité d’un tel traitement de données et les risques qu’il emporte pour la protection de la vie privée des personnes circulant sur la voie publique ;

— le marché méconnait l’article 4 de la directive dite « police-justice » et l’article 4 de la loi du 6 janvier 1978, dès lors que les données personnelles ne sont ni adéquates, ni pertinentes et manifestement excessives au regard des finalités pour lesquelles elles sont collectées et traitées ;

— le marché méconnait l’article 10 de la directive « police-justice » transposée à l’article 88 de la loi du 6 janvier 1978 dès lors qu’il met en place un traitement de données biométriques sans respecter les conditions de légalité d’un tel traitement de données, sans nécessité absolue ni garanties appropriées ;

— le marché entraîne la délégation illicite de missions de police administrative de surveillance générale de la voie publique à une personne privée ;

— elle est ainsi fondée à demander à ce qu’il soit mis fin à l’exécution du marché contesté dès lors qu’il est illicite et porte une atteinte particulièrement grave à l’intérêt général en mettant en place une surveillance algorithmique automatisée de l’espace public à Marseille.

Par des mémoires en défense, enregistrés le 2 août 2021 et le 9 décembre 2022, la commune de Marseille conclut au rejet de la requête et à ce qu’une somme de 5 000 euros soit mise à la charge de l’association la Quadrature du Net sur le fondement de l’article L. 761-1 du code de justice administrative.

Elle soutient que :

— la requête est irrecevable dès lors que l’association la Quadrature du Net ne démontre pas être lésée dans ses intérêts de façon suffisamment directe et certaine par la décision refusant de faire droit à sa demande de mettre fin à l’exécution du contrat ;

— le moyen tiré de l’absence de base légale n’est pas fondé dès lors que conformément à l’article 6 du règlement européen n° 2016/679 du Parlement et du Conseil européens du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, le traitement de données permis par le dispositif de « vidéo-protection intelligente » répond à un intérêt public d’une part de prévention propre à sa compétence en matière de police administrative et d’autre part d’assistance à l’autorité judiciaire sur le fondement des articles 60-1 et suivants du code de procédure pénale ;

— le moyen tiré de l’absence d’analyse d’impact n’est pas fondé dès lors qu’aucun texte ni principe ne lui imposait de réaliser une analyse d’impact en amont de la conclusion du marché et qu’au demeurant, elle a déjà entrepris la réalisation d’une AIPD au stade du paramétrage et de l’adaptation du logiciel projeté donc en amont de toute mise en œuvre du traitement ;

— le moyen tiré du caractère disproportionné du traitement de données n’est pas fondé dès lors le dispositif litigieux n’a pas d’autre objet que celui d’améliorer le dispositif de vidéo-protection existant, et de poursuivre les mêmes finalités, au sens des dispositions de l’article 251-2 du code de la sécurité intérieure, que sont la protection des bâtiments et installations publics et de leurs abords, la constatation des infractions aux règles de la circulation, la prévention des atteintes à la sécurité des personnes et des biens dans des lieux particulièrement exposés à des risques d’agression, le respect de l’obligation d’être couvert par une assurance garantissant la responsabilité civile pour faire circuler un véhicule terrestre à moteur et la protection des abords immédiats des bâtiments et installations de commerçants installés dans les lieux particulièrement exposés à des risques d’agression ou de vol ;

— le moyen tiré du non-respect des conditions de légalité du traitement des données biométriques n’est pas fondé dès lors que le dispositif litigieux n’implique nullement le traitement de données biométriques ;

— le moyen tiré de la délégation illégale de missions de police administrative à une personne privée n’est pas fondé dès lors le marché en litige porte seulement sur le paramétrage et le développement d’une application logicielle d’analyse d’images captées sur certaines caméras de vidéo-protection, que ces prestations sont réalisées pour le compte de la commune de Marseille, seule responsable du traitement, que l’exécution du marché est placée sous le contrôle des services de la direction du numérique et du système d’information et de la direction du développement du système d’information et que le logiciel n’a ni pour objet ni pour effet de se substituer à l’analyse humaine de la police municipale, seule chargée de l’exploitation de la vidéo-protection, de l’expression fonctionnelle des besoins et de la qualification juridique des faits observés ;

— en tout état de cause, le logiciel de « vidéo-protection intelligente » n’est encore qu’à une phase expérimentale, dès lors que le marché en litige prévoit une durée d’exécution de quarante-huit mois et comprend deux tranches, une ferme et une conditionnelle, qui n’a pas été affermie ; qu’en septembre 2020, elle a suspendu l’exécution du marché au poste n°2 de la tranche ferme soit au stade de la conception dans le cadre d’un moratoire sur le projet global et pour poursuivre la réalisation de l’analyse d’impact et que le dispositif tel qu’il existe actuellement n’en est donc qu’à une phase de test, consistant en une cinquantaine de caméras fixes installées spécifiquement pour le projet, non reliées au réseau principal de vidéo-protection et exploitées au moyen de deux postes informatiques installés dans un local dédié au sein du centre de supervision urbaine, accessibles uniquement par l’équipe projet.

Vu les autres pièces du dossier.

Vu :

— le code général des collectivités territoriales ;

— le code de la sécurité intérieure ;

— la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

— le code de justice administrative.

Les parties ont été régulièrement averties du jour de l’audience.

Ont été entendus au cours de l’audience publique :

— le rapport de M^me Devictor ;

— les conclusions de M^me Simeray, rapporteure publique ;

— les observations de M. A, représentant l’association requérante et de M^e Costantini, substituant M^e Charrel, représentant la commune de Marseille.

Considérant ce qui suit :

1. Depuis l’année 2012, la commune de Marseille s’est dotée d’un dispositif de vidéo-protection dans l’espace public. Par un avis publié le 31 octobre 2015, elle a engagé une procédure de dialogue compétitif pour l’attribution d’un marché ayant pour objet l’acquisition d’un dispositif de « vidéo-protection intelligente ». Le 2 novembre 2018, elle a attribué le marché à la société SNEF service tertiaire. Le 5 août 2020, l’association la Quadrature du Net a adressé à la commune de Marseille un courrier lui demandant de résilier le marché public conclu avec la société SNEF service tertiaire, lequel a été laissé sans réponse. L’association la Quadrature du Net demande au tribunal à ce qu’il soit mis fin à l’exécution du marché conclu le 2 novembre 2018 entre la commune de Marseille et la société SNEF service tertiaire.

Sur le bien-fondé de la demande tendant à ce qu’il soit mis fin à l’exécution du contrat :

2. Un tiers à un contrat administratif susceptible d’être lésé dans ses intérêts de façon suffisamment directe et certaine par une décision refusant de faire droit à sa demande de mettre fin à l’exécution du contrat est recevable à former devant le juge du contrat un recours de pleine juridiction tendant à ce qu’il soit mis fin à l’exécution du contrat.

3. Les tiers ne peuvent utilement soulever, à l’appui de leurs conclusions tendant à ce qu’il soit mis fin à l’exécution du contrat, que des moyens tirés de ce que la personne publique contractante était tenue de mettre fin à son exécution du fait de dispositions législatives applicables aux contrats en cours, de ce que le contrat est entaché d’irrégularités qui sont de nature à faire obstacle à la poursuite de son exécution et que le juge devrait relever d’office ou encore de ce que la poursuite de l’exécution du contrat est manifestement contraire à l’intérêt général. À cet égard, ils ne peuvent se prévaloir d’aucune autre irrégularité, notamment pas celles tenant aux conditions et formes dans lesquelles la décision de refus a été prise. En outre, les moyens soulevés doivent, sauf lorsqu’ils le sont par le représentant de l’État dans le département ou par les membres de l’organe délibérant de la collectivité territoriale ou du groupement de collectivités territoriales compte-tenu des intérêts dont ils ont la charge, être en rapport direct avec l’intérêt lésé dont le tiers requérant se prévaut.

4. Saisi par un tiers dans les conditions définies ci-dessus, de conclusions tendant à ce qu’il soit mis fin à l’exécution d’un contrat administratif, il appartient au juge du contrat d’apprécier si les moyens soulevés sont de nature à justifier qu’il y fasse droit et d’ordonner après avoir vérifié que sa décision ne portera pas une atteinte excessive à l’intérêt général, qu’il soit mis fin à l’exécution du contrat, le cas échéant avec un effet différé.

Sur le moyen tiré de l’irrégularité de nature à faire obstacle à la poursuite de l’exécution du contrat :

5. Aux termes de l’article L. 2212-2 du code général des collectivités territoriales : « La police municipale a pour objet d’assurer le bon ordre, la sûreté, la sécurité et la salubrité publiques () ». Aux termes de l’article L. 251-2 du code de la sécurité intérieure : " La transmission et l’enregistrement d’images prises sur la voie publique par le moyen de la vidéoprotection peuvent être mis en œuvre par les autorités publiques compétentes aux fins d’assurer : 1° La protection des bâtiments et installations publics et de leurs abords ; 2° La sauvegarde des installations utiles à la défense nationale ; 3° La régulation des flux de transport ; 4° La constatation des infractions aux règles de la circulation ; 5° La prévention des atteintes à la sécurité des personnes et des biens dans des lieux particulièrement exposés à des risques d’agression, de vol ou de trafic de stupéfiants ainsi que la prévention, dans des zones particulièrement exposées à ces infractions, des fraudes douanières prévues par le dernier alinéa de l’article 414 du code des douanes et des délits prévus à l’article 415 du même code portant sur des fonds provenant de ces mêmes infractions ; 6° La prévention d’actes de terrorisme, dans les conditions prévues au chapitre III du titre II du présent livre ; 7° La prévention des risques naturels ou technologiques ; 8° Le secours aux personnes et la défense contre l’incendie ; 9° La sécurité des installations accueillant du public dans les parcs d’attraction ; 10° Le respect de l’obligation d’être couvert, pour faire circuler un véhicule terrestre à moteur, par une assurance garantissant la responsabilité civile ; 11° La prévention et la constatation des infractions relatives à l’abandon d’ordures, de déchets, de matériaux ou d’autres objets. Il peut être également procédé à ces opérations dans des lieux et établissements ouverts au public aux fins d’y assurer la sécurité des personnes et des biens lorsque ces lieux et établissements sont particulièrement exposés à des risques d’agression ou de vol () « . Aux termes de l’article L. 252-2 du même code : » L’autorisation préfectorale prescrit toutes les précautions utiles, en particulier quant à la qualité des personnes chargées de l’exploitation du système de vidéoprotection ou visionnant les images et aux mesures à prendre pour assurer le respect des dispositions de la loi. () « . Aux termes de l’article L. 252-3 de ce code : » L’autorisation peut prescrire que les agents individuellement désignés et dûment habilités des services de police et de gendarmerie nationales, des douanes, des services d’incendie et de secours, des services de police municipale ainsi que les agents individuellement désignés et dûment habilités mentionnés aux articles L. 531-1, L. 532-1 et L. 533-1 sont destinataires des images et enregistrements ".

6. Le contrat conclu le 2 novembre 2018 par la commune de Marseille a confié à la société SNEF service tertiaire, titulaire du marché, d’une part, « la fourniture et l’intégration d’une solution globale fonctionnelle » comprenant notamment la conception du logiciel de « vidéoprotection intelligente », le déploiement informatique, le paramétrage des fonctionnalités, la formation et la maintenance et d’autre part, l’extension du déploiement du dispositif selon les mêmes modalités. D’une part, il résulte de l’instruction que ce contrat prévoit seulement que le logiciel traite automatiquement les données issues des images de vidéoprotection de sorte à identifier les anomalies, les incidents ou les faits remarquables qu’un opérateur seul ne serait pas en mesure de détecter, afin d’alerter les agents et leur permettre de traiter ces incidents, le dispositif constituant ainsi une aide à la décision. Le visionnage des images reste ainsi effectué par les opérateurs du centre de supervision urbaine. Le contrat n’implique pas davantage que le logiciel ou les agents de la société cocontractante apprécient si les faits survenus sur la voie publique constituent une atteinte à l’ordre public ou une infraction pénale. D’autre part, il résulte de l’instruction que le paramétrage des algorithmes est effectué en collaboration et pour le compte de la commune de Marseille, et notamment de la direction de la police municipale et de la sécurité ainsi que sous le contrôle de la direction générale adjointe du numérique et du système d’information et de la direction du développement du système d’information, ces dernières étant chargées du suivi d’exécution des marchés liés à la vidéoprotection, de la conception et de la gestion de l’architecture technique et de la validation technique des solutions. Ainsi, le contrat en litige n’a pas pour objet de faire participer la société SNEF service tertiaire à l’exercice même de la mission de police administrative. Par suite, le moyen tiré de ce que le contrat procède à une délégation illicite d’une mission de police administrative à une société privée doit être écarté.

Sur le moyen tiré de ce que la poursuite de l’exécution du contrat est manifestement contraire à l’intérêt général :

7. Aux termes de l’article 4 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés : " Les données à caractère personnel doivent être : () 3° Adéquates, pertinentes et, au regard des finalités pour lesquelles elles sont traitées, limitées à ce qui est nécessaire ou, pour les traitements relevant des titres III et IV, non excessives ; () « . Aux termes de l’article 5 de la même loi : » Un traitement de données à caractère personnel n’est licite que si, et dans la mesure où, il remplit au moins une des conditions suivantes : 1° Le traitement, lorsqu’il relève du titre II, a reçu le consentement de la personne concernée, dans les conditions mentionnées au 11 de l’article 4 et à l’article 7 du règlement (UE) 2016/679 du 27 avril 2016 précédemment mentionné ; 2° Le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à la demande de celle-ci ; 3° Le traitement est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis ;

4° Le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne physique ; 5° Le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement ; 6° Sauf pour les traitements effectués par les autorités publiques dans l’exécution de leurs missions, le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant ".

8. Il résulte de l’instruction que l’exécution du marché en litige – comportant une tranche ferme consistant en trois postes correspondant à la conduite de projet, à la conception et déploiement du logiciel et à l’extension du déploiement et une tranche conditionnelle consistant en l’évolution fonctionnelle du dispositif – a, depuis le mois de septembre 2020, été suspendue par la commune au poste n°2 de la tranche ferme, soit au stade de la conception, dans le cadre d’un moratoire sur le projet global. La tranche conditionnelle n’a, quant à elle, pas été affermie. Ainsi, la commune fait valoir, sans être contestée, que le dispositif de « vidéoprotection intelligente » tel qu’il existe actuellement n’est nullement finalisé et n’en est qu’à une phase de test et de recherche pour laquelle une cinquantaine de caméras fixes ont été installées, lesquelles ne sont pas reliées au réseau principal de vidéoprotection et dont les flux vidéos sont automatiquement effacés dans un délai de dix jours. La commune fait valoir, en outre, que ces caméras sont exploitées au moyen de deux postes informatiques installés dans un local dédié du centre de supervision urbaine de la ville dont l’accès est restreint à l’équipe projet – composé de personnel municipal et de prestataires habilités – qui dispose pour ce faire d’accès informatiques individualisés. L’état actuel de l’exécution du marché reste donc à un stade très éloigné de l’objectif fixé de déployer le dispositif à l’échelle de la totalité des caméras installées sur la voie publique de la commune de Marseille. En conséquence, à supposer même que le traitement de données prévu par le dispositif acquis par la commune de Marseille soit inadéquat, non pertinent et manifestement excessif au regard des finalités poursuivies, il ne résulte pas de l’instruction que la poursuite de l’exécution du contrat à la date du présent jugement serait manifestement contraire à l’intérêt général.

Sur les autres moyens :

9. Les autres moyens soulevés par l’association la Quadrature du Net ne peuvent être utilement soulevés à l’appui d’un recours tendant à ce qu’il soit mis fin à l’exécution du contrat en litige.

10. Il résulte de tout ce qui précède, sans qu’il soit besoin de statuer sur la fin de non-recevoir opposée par la commune de Marseille, que la requête doit être rejetée.

Sur les frais liés au litige :

11. Les dispositions de l’article L. 761-1 du code de justice administrative font obstacle à ce qu’une somme soit mise à la charge de la commune de Marseille, qui n’a pas la qualité de partie perdante, au titre des frais exposés par l’association requérante et non compris dans les dépens. Il n’y a pas lieu, dans les circonstances de l’espèce, de mettre à la charge de l’association la Quadrature du Net une somme au titre des frais exposés par la commune de Marseille et non compris dans les dépens.

DÉCIDE :

Article 1er : La requête de l’association la Quadrature du Net est rejetée.

Article 2 : Les conclusions de la commune de Marseille présentées au titre de l’article L. 761-1 du code de justice administrative sont rejetées.

Article 3 : Le présent jugement sera notifié à l’association la Quadrature du Net et à la commune de Marseille.

Délibéré après l’audience du 16 mai 2023, à laquelle siégeaient :

M. Gonneau, président,

M^me Niquet, première conseillère,

M^me Devictor, première conseillère.

Rendu public par mise à disposition au greffe le 2 juin 2023.

La rapporteure,

Signé

É. DevictorLe président,

Signé

P-Y. Gonneau

La greffière,

Signé

A. Martinez

La République mande et ordonne au préfet des Bouches-du-Rhône en ce qui le concerne ou à tous commissaires de justice à ce requis en ce qui concerne les voies de droit commun contre les parties privées, de pourvoir à l’exécution de la présente décision.

Pour expédition conforme,

Pour la greffière en chef,

La greffière,