TRIBUNAL ADMINISTRATIF DE PARIS

N° 2006861/9 RÉPUBLIQUE FRANÇAISE ___________

ASSOCIATION « LA QUADRATURE DU NET » ASSOCIATION « LIGUE DES DROITS DE AU NOM DU PEUPLE FRANÇAIS L’HOMME » ___________

Ordonnance du 5 mai 2020 Le juge des référés ___________

Vu la procédure suivante :

Par une requête et deux mémoires, enregistrés les 2, 4 et 5 mai 2020, l’association « La Quadrature du Net » et l’association « Ligue des droits de l’homme », représentées par M^e Fitzjean Ó Cobhthaigh, demandent au juge des référés, saisi sur le fondement de l’article L. 521-2 du code de justice administrative :

1°) de suspendre la décision du préfet de police ayant institué depuis le 18 mars 2020 un dispositif visant à capturer des images par drones et à les exploiter afin de faire respecter les mesures de confinement ;

2°) d’enjoindre au préfet de police de cesser immédiatement, à compter du prononcé de l’ordonnance à intervenir, de capter des images par drones, de les enregistrer, de les transmettre ou de les exploiter, puis de détruire toute image déjà captée dans ce contexte, sous astreinte de 1 024 euros par jour de retard ;

3°) de mettre à la charge de l’Etat une somme de 4 096 euros en application de l’article L. 761-1 du code de justice administrative.

Elles soutiennent que :

- elles ont intérêt à agir ;

- le dispositif mis en œuvre révèle une décision implicite ou à tout le moins une atteinte grave et manifestement illégale portée à des libertés fondamentales ;

- l’atteinte grave et manifestement illégale portée aux libertés fondamentales que sont le droit à la vie privée et le droit à la protection des données personnelles caractérise en soi une situation d’urgence ;

- la préfecture de police a elle-même indiqué dans la presse que les drones captaient des images de personnes physiques au moyen « de caméras à haute résolution » suffisamment précises pour être techniquement capables d’identifier des personnes. Ces images sont enregistrées sur la carte mémoire du drone puis, selon la préfecture, effacées en fin d’opération. Au moment de leur captation, elles sont aussi transmises à des tablettes ou des postes fixes de l’autorité responsable, où elles sont consultées et utilisées, afin notamment de guider les équipes au sol, ou de mener des missions de police judiciaire. La préfecture effectue ainsi des

---

N° 2006861/9 2

traitements de données à caractère personnel entrant dans le champ de la directive 2016/680 du 27 avril 2016 et du titre III de la loi n° 78-17 du 6 janvier 1978 et susceptibles de porter atteinte aux libertés publiques que sont le droit à la vie privée et le droit à la protection des données personnelles ;

- l’atteinte ainsi portée à ces libertés est grave car les drones permettent de surveiller de très larges zones, les données peuvent être partagées entre les divers services de l’Etat, les drones sont plus mobiles que les caméras fixes de vidéosurveillance et leur utilisation n’est pas réglementée comme celles-ci, enfin l’utilisation des drones hors de tout cadre juridique renforce le sentiment de surveillance généralisée ressenti par les personnes concernées qui sont susceptibles d’altérer leur comportement et notamment de se retreindre dans l’exercice de leur liberté d’aller et de venir ;

- l’atteinte ainsi portée à ces libertés est manifestement illégale. En effet : aucun acte administratif explicite n’encadre le dispositif mis en œuvre, contrairement aux principes énoncés à l’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, à l’article 8 de la directive 2016/680 du 27 avril 2016 et à l’article 31, I, de la loi n° 78-17 du 6 janvier 1978 ;

la conservation des données n’est limitée par aucune norme juridique ;

aucune information n’est fournie aux personnes dont l’image est capturée par les drones ;

aucune norme spécifique ne limite les personnes pouvant accéder aux images capturées ;

il n’est pas justifié que la mesure mise en œuvre serait nécessaire et proportionnée au regard des finalités poursuivies ;

le préfet de police, qui ne dispose d’aucune habilitation préalable du législateur, est incompétent pour autoriser le déploiement d’un système de vidéosurveillance par drones.

Par deux mémoires, enregistrés le 5 mai 2020, le préfet de police conclut au rejet de la requête.

Il soutient que :

- la condition d’urgence n’est pas remplie ;

- les images captées ne permettent pas l’identification d’un individu ; elles ne peuvent dès lors être qualifiées de données à caractère personnel, au sens du Règlement général sur la protection des données ;

- sur les 15 drones de l’unité, un seul par jour est affecté à la gestion de la crise sanitaire, ce qui représente un temps de déploiement limité, soit deux à trois heures de renvoi d’images par jour ;

- aucune atteinte grave et manifestement illégale n’est donc portée aux droits à la vie privée et à la protection des données personnelles.

Les parties ont été informées, en application des dispositions de l’article 9 de l’ordonnance n°2020-305 du 25 mars 2020, de ce qu’il serait statué sans audience publique et de ce que la clôture de l’instruction serait fixée en dernier lieu le 5 mai 2020 à 17 heures.

Vu les autres pièces du dossier.

---

N° 2006861/9 3

Vu :

 – la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales ;

- le règlement n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;

- la directive n° 2016/680 du 27 avril 2016 ;

- la loi n° 78-17 du 6 janvier 1978 ;

- la loi n° 2020-290 du 23 mars 2020 ;

- l’ordonnance n° 2020-305 du 25 mars 2020 ;

- le code de justice administrative.

Le président du tribunal a désigné M. Dalle pour statuer sur les demandes de référé.

Considérant ce qui suit :

1. D’une part, aux termes de de l’article L. 521-2 du code de justice administrative : « Saisi d’une demande en ce sens justifiée par l’urgence, le juge des référés peut ordonner toutes mesures nécessaires à la sauvegarde d’une liberté fondamentale à laquelle une personne morale de droit public ou un organisme de droit privé chargé de la gestion d’un service public aurait porté, dans l’exercice d’un de ses pouvoirs, une atteinte grave et manifestement illégale. Le juge des référés se prononce dans un délai de quarante-huit heures.  ». En outre, aux termes de l’article 9 de l’ordonnance n° 2020-305 du 25 mars 2020 portant adaptation des règles applicables devant les juridictions de l’ordre administratif modifiée : « Outre les cas prévus à l’article L. 522-3 du code de justice administrative, il peut être statué sans audience, par ordonnance motivée, sur les requêtes présentées en référé. Le juge des référés informe les parties de l’absence d’audience et fixe la date à partir de laquelle l’instruction sera close. ».

2. D’autre part, aux termes de l’article 3 de la directive (UE) 2016/680 du parlement européen et du conseil du 27 avril 2016 : « Aux fins de la présente directive, on entend par: 1. «données à caractère personnel», toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée «personne concernée»); est réputée être une «personne physique identifiable» une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale; 2. «traitement», toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données à caractère personnel ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction (…) ». Aux termes de l’article 8 de la même directive : « 1. Les États membres prévoient que le traitement n’est licite que si et dans la mesure où il est nécessaire à l’exécution d’une mission effectuée par une autorité compétente, pour les finalités énoncées à l’article 1er, paragraphe 1, et où il est fondé sur le droit de l’Union ou le droit d’un État membre. 2. Une disposition du droit d’un État membre qui réglemente le traitement relevant

---

N° 2006861/9 4

du champ d’application de la présente directive précise au moins les objectifs du traitement, les données à caractère personnel devant faire l’objet d’un traitement et les finalités du traitement ». L’article 31 de la loi du 6 janvier 1978 dispose : « I.-Sont autorisés par arrêté du ou des ministres compétents, pris après avis motivé et publié de la Commission nationale de l’informatique et des libertés, les traitements de données à caractère personnel mis en œuvre pour le compte de l’Etat et : (…) 2° Ou qui ont pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l’exécution des condamnations pénales ou des mesures de sûreté (…) ».

3. Enfin, aux termes de l’article 4 du règlement (UE) 2016/679 du parlement européen et du conseil du 27 avril 2016 : « Aux fins du présent règlement, on entend par: 1) «données à caractère personnel», toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée «personne concernée»); est réputée être une «personne physique identifiable» une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale; 2) «traitement», toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction (…) ». L’article 6 du même règlement dispose : « 1. Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie : (…) e) le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement (…) 3. Le fondement du traitement visé au paragraphe 1, points c) et e), est défini par: a) le droit de l’Union; ou b) le droit de l’État membre auquel le responsable du traitement est soumis (…) ».

4. Il résulte des pièces du dossier, en particulier des informations communiquées à un journal par le service de la communication de la préfecture de police, qu’à compter du 18 mars 2020, la préfecture de police a mis en œuvre un dispositif de surveillance aérien engageant des drones afin d’assurer le respect des mesures de confinement destinées à protéger la population de la transmission du coronavirus. Selon ces informations, les drones « sont pilotés par des fonctionnaires de police disposant des certifications professionnelles adéquates et d’une expérience conséquente. Ils sont équipés d’une gamme d’accessoires permettant d’optimiser les différentes interventions, et notamment, d’un haut-parleur qui informe le public par des messages d’informations et de mise en garde des contrevenants. Ils sont audibles jusqu’à 40 mètres. Ces moyens aériens permettent également de guider les équipes au sol (…) Les images captées, qui sont transmises sur une tablette à disposition de l’autorité responsable du dispositif ou sur un poste fixe dédié, installé dans le centre de commandement de la direction en charge de la conduite des opérations, sont prises en utilisant un grand angle pour filmer des flux de circulation, des rassemblements, des zones urbaines ou rurales ou la progression de cortèges. Elles ne permettent donc pas l’identification d’un individu, sauf lorsqu’elles sont utilisées dans un cadre judiciaire que ce soit en flagrance, en préliminaire ou au titre d’une instruction (…) Dès la fin de la mission, les images sont supprimées de la carte mémoire. Elles ne font l’objet d’aucun recoupement avec des fichiers de police (…) ».

---

N° 2006861/9 5

5. Devant le Tribunal, le préfet de police fait valoir que les images captées sont prises en utilisant un grand angle et qu’elles ne permettent donc pas l’identification d’un individu. Aucun des éléments de l’instruction ne permet de mettre en cause cette affirmation. Il ne résulte d’aucune des pièces du dossier que les services de la préfecture de police auraient utilisé les drones dans des conditions permettant d’identifier les individus au sol. S’il résulte de ce qui a été dit au point précédent que, lorsqu’ils sont utilisés dans un cadre judiciaire, les appareils sont capables d’identifier les individus, il n’est pas non plus établi ni soutenu que les appareils auraient été utilisés dans un tel cadre, depuis le début du confinement. Dans ces conditions, même si la préfecture de police a, par ce dispositif, procédé à la collecte, à l’enregistrement provisoire et à la transmission d’images, elle ne peut être regardée comme ayant procédé à un traitement de données à caractère personnel, au sens des dispositions précitées du règlement (UE) 2016/679, de la directive (UE) 2016/680 et de la loi du 6 janvier 1978. Il n’apparaît pas, dès lors, qu’elle aurait porté une atteinte illégale aux libertés fondamentales que sont le droit à la vie privée et le droit à la protection des données personnelles, faute notamment que les traitements en cause aient été autorisés et organisés par un texte de droit interne.

6. Il résulte de ce qui précède que la requête de l’association « La Quadrature du Net » et de l’association « Ligue des droits de l’homme » ne peut qu’être rejetée.

O R D O N N E :

Article 1er : La requête de l’association « La Quadrature du Net » et de l’association « Ligue des droits de l’homme » est rejetée.

Article 2 : La présente ordonnance sera notifiée à M^e Fitzjean Ó Cobhthaigh, mandataire des associations « La Quadrature du Net » et « Ligue des droits de l’homme » et au préfet de police.

Fait à Paris, le 5 mai 2020

Le juge des référés,

D. DALLE

La République mande et ordonne au ministre de l’intérieur, en ce qui le concerne et à tous huissiers de justice à ce requis en ce qui concerne les voies de droit commun, contre les parties privées, de pourvoir à l’exécution de la présente décision.