Vu la procédure suivante :

Par une requête, enregistrée le 2 août 2023, M^me A B, représentée par la SCP Anne Sevaux et Paul Mathonnet, demande au tribunal :

1°) d’annuler la décision révélée par la lettre du 30 mai 2023 de la présidente de la Commission nationale de l’informatique et des libertés (CNIL), par laquelle le ministre de l’intérieur et des outre-mer lui a refusé l’accès aux données la concernant contenues dans le fichier dénommé « Gestion de l’information et prévention des atteintes à la sécurité publique » (GIPASP) ;

2°) d’enjoindre au ministre de lui communiquer ces données et, le cas échéant, de les effacer ou de les rectifier ;

3°) de mettre à la charge de l’Etat la somme de 2 000 euros sur le fondement de l’article L. 761-1 du code de justice administrative.

Elle soutient que la décision attaquée est entachée d’erreur de droit et d’erreur d’appréciation, dès lors que les données personnelles la concernant ne relèvent pas de celles pour lesquelles le ministre de l’intérieur peut opposer, en cas de demande de communication, les finalités du fichier, la sûreté de l’Etat, la défense ou la sécurité publique ; elle ne relève pas des personnes visées par les articles R. 236-21 et R. 236-22 du code de la sécurité intérieure relatifs aux personnes dont les données sont susceptibles d’être enregistrées dans le fichier GISPAP ; en tout état de cause la conservation de données la concernant n’est pas justifiée au regard des finalités du fichier ; les informations la concernant sont inexactes et doivent être rectifiées.

Par un mémoire en défense, enregistré le 9 octobre 2023, le ministre de l’intérieur et des outre-mer conclut au rejet de la requête.

Il soutient que le refus de communication opposé par ses services est motivé par la prévention des atteintes à la sécurité publique et à la sécurité nationale, et est donc justifié.

Par une ordonnance du 14 août 2024, la clôture de l’instruction a été fixée au 30 septembre 2024.

Vu les autres pièces du dossier.

Vu :

— le code de la sécurité intérieure,

— la loi n° 78-17 du 6 janvier 1978,

— le code de justice administrative.

Les parties ont été régulièrement averties du jour de l’audience.

Ont été entendus au cours de l’audience publique :

— le rapport de M^me Berland,

— et les conclusions de M. Beaujard, rapporteur public.

Considérant ce qui suit :

1. M^me B a saisi la Commission nationale de l’informatique et des libertés (CNIL) d’une demande d’exercice de son droit d’accès indirect au fichier dénommé « Gestion de l’information et prévention des atteintes à la sécurité publique » (GIPASP). Par lettre du 30 mai 2023, la présidente de la CNIL l’a informée de ce qu’un magistrat de la commission avait procédé aux vérifications nécessaires mais que ces vérifications ne permettaient pas de lui apporter de plus amples informations, l’opposition de l’administration gestionnaire du fichier en cause faisant obstacle à toute communication de la part de la commission. M^me B demande au tribunal d’annuler la décision, révélée par la lettre de la CNIL, par laquelle le ministre de l’intérieur et des outre-mer lui a refusé l’accès aux données susceptibles de la concerner et figurant dans le fichier GIPASP.

Sur les informations éventuellement contenues dans le fichier GIPASP autres que celles intéressant la sûreté de l’Etat :

2. D’une part, aux termes de l’article 105 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés : " La personne concernée a le droit d’obtenir du responsable de traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, le droit d’accéder auxdites données ainsi qu’aux informations suivantes : / 1° Les finalités du traitement ainsi que sa base juridique ; / 2° Les catégories de données à caractère personnel concernées ; / 3° Les destinataires ou catégories de destinataires auxquels les données à caractère personnel ont été communiquées, en particulier les destinataires qui sont établis dans des Etats n’appartenant pas à l’Union européenne ou au sein d’organisations internationales ; / 4° Lorsque cela est possible, la durée de conservation des données à caractère personnel envisagée ou, à défaut lorsque ce n’est pas possible, les critères utilisés pour déterminer cette durée ; / 5° L’existence du droit de demander au responsable de traitement la rectification ou l’effacement des données à caractère personnel, et l’existence du droit de demander une limitation du traitement de ces données ; / 6° Le droit d’introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés et les coordonnées de la commission ; / 7° La communication des données à caractère personnel en cours de traitement ainsi que toute information disponible quant à leur source. « . Aux termes de l’article 106 de la même loi : » I.- La personne concernée a le droit d’obtenir du responsable de traitement : / 1° Que soient rectifiées dans les meilleurs délais des données à caractère personnel la concernant qui sont inexactes ; / 2° Que soient complétées des données à caractère personnel la concernant incomplètes, y compris en fournissant à cet effet une déclaration complémentaire ; / 3° Que soient effacées dans les meilleurs délais des données à caractère personnel la concernant lorsque le traitement est réalisé en violation des dispositions de la présente loi ou lorsque ces données doivent être effacées pour respecter une obligation légale à laquelle est soumis le responsable de traitement ; () « . Aux termes de l’article 107 de la même loi : » I.- Les droits de la personne physique concernée peuvent faire l’objet de restrictions selon les modalités prévues au II du présent article dès lors et aussi longtemps qu’une telle restriction constitue une mesure nécessaire et proportionnée dans une société démocratique en tenant compte des droits fondamentaux et des intérêts légitimes de la personne pour : / 1° Eviter de gêner des enquêtes, des recherches ou des procédures administratives ou judiciaires ; / 2° Eviter de nuire à la prévention ou à la détection d’infractions pénales, aux enquêtes ou aux poursuites en la matière ou à l’exécution de sanctions pénales ; / 3° Protéger la sécurité publique ; / 4° Protéger la sécurité nationale ; / 5° Protéger les droits et libertés d’autrui. / Ces restrictions sont prévues par l’acte instaurant le traitement. / II.- Lorsque les conditions prévues au I sont remplies, le responsable de traitement peut : / 1° Retarder ou limiter la communication à la personne concernée des informations mentionnées au II de l’article 104 ou ne pas communiquer ces informations ; / 2° Refuser ou limiter le droit d’accès de la personne concernée prévu à l’article 105 ; / 3° Ne pas informer la personne du refus de rectifier ou d’effacer des données à caractère personnel ou de limiter le traitement de ces données, ni des motifs de cette décision, par dérogation au IV de l’article 106. / III.- Dans les cas mentionnés au 2° du II du présent article, le responsable de traitement informe la personne concernée, dans les meilleurs délais, de tout refus ou de toute limitation d’accès ainsi que des motifs du refus ou de la limitation. Ces informations peuvent ne pas être fournies lorsque leur communication risque de compromettre l’un des objectifs énoncés au I. Le responsable de traitement consigne les motifs de fait ou de droit sur lesquels se fonde la décision et met ces informations à la disposition de la Commission nationale de l’informatique et des libertés. / IV.- En cas de restriction des droits de la personne concernée intervenue en application des II ou III, le responsable de traitement informe la personne concernée de la possibilité, prévue à l’article 108, d’exercer ses droits par l’intermédiaire de la Commission nationale de l’informatique et des libertés. Hors le cas prévu au 1° du II, il l’informe également de la possibilité de former un recours juridictionnel. « . Aux termes de l’article 108 de la même loi : » En cas de restriction des droits de la personne concernée intervenue en application des II ou III de l’article 107, la personne concernée peut saisir la Commission nationale de l’informatique et des libertés. / La commission désigne l’un de ses membres appartenant ou ayant appartenu au Conseil d’Etat, à la Cour de cassation ou à la Cour des comptes pour mener les investigations utiles et faire procéder aux modifications nécessaires. Celui-ci peut se faire assister d’un agent de la commission. La commission informe la personne concernée qu’il a été procédé aux vérifications nécessaires et de son droit de former un recours juridictionnel. / Lorsque la commission constate, en accord avec le responsable du traitement, que la communication des données qui y sont contenues ne met pas en cause ses finalités, la sûreté de l’Etat, la défense ou la sécurité publique, ces données peuvent être communiquées au requérant. ".

3. D’autre part, aux termes de l’article R. 236-21 du code de la sécurité intérieure : « Le ministre de l’intérieur (direction générale de la gendarmerie nationale) est autorisé à mettre en œuvre un traitement de données à caractère personnel dénommé » Gestion de l’information et prévention des atteintes à la sécurité publique « , ayant pour finalité de recueillir, de conserver et d’analyser les informations qui concernent des personnes physiques ou morales ainsi que des groupements dont l’activité individuelle ou collective indique qu’elles peuvent porter atteinte à la sécurité publique ou à la sûreté de l’Etat. / Le traitement a notamment pour finalité de recueillir, de conserver et d’analyser les informations qui concernent les personnes susceptibles de prendre part à des activités terroristes, de porter atteinte à l’intégrité du territoire ou des institutions de la République ou d’être impliquées dans des actions de violence collectives, en particulier en milieu urbain ou à l’occasion de manifestations sportives. / Les données intéressant la sûreté de l’Etat sont celles qui révèlent des activités susceptibles de porter atteinte aux intérêts fondamentaux de la Nation ou de constituer une menace terroriste portant atteinte à ces mêmes intérêts. Ces données, de façon isolée ou groupée, font l’objet d’une identification dans le traitement. ». Aux termes de l’article R. 236-22 du même code : « Peuvent être enregistrées dans le traitement mentionné à l’article R. 236-21, dans le respect des dispositions de l’article 4 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés et dans la stricte mesure où elles sont nécessaires à la poursuite des finalités mentionnées à l’article R. 236-21, les catégories de données à caractère personnel suivantes : / I.-Données concernant la personne physique pouvant porter atteinte à la sécurité publique ou à la sûreté de l’Etat () / II.-Données concernant les personnes physiques entretenant ou ayant entretenu des relations directes et non fortuites avec la personne pouvant porter atteinte à la sécurité publique ou la sûreté de l’Etat, notamment ses parents et ses enfants, dans la stricte mesure où ces données sont nécessaires pour son suivi et dans la limite des catégories mentionnées aux 1°, 2°, 3° et 5° à l’exception du c du I. / III.-Données concernant les victimes des agissements de la personne physique pouvant porter atteinte à la sécurité publique ou la sûreté de l’Etat, dans la stricte mesure où ces données sont nécessaires à la protection des intérêts de la victime et à la prévention de la réitération de faits par la personne concernée et dans la limite des catégories mentionnées aux 1°, 2°, 3°, 5° à l’exception du c du I et au c du 7° du I. / IV-Données concernant les personnes physiques entretenant ou ayant entretenu des relations directes et non fortuites avec la personne morale ou le groupement pouvant porter atteinte à la sécurité publique ou à la sûreté de l’État, ou victimes des agissements de ces personnes morales et groupements, dans la stricte mesure où ces données sont nécessaires à leur suivi et dans la limite des catégories mentionnées aux 1°, 2°, 3°, 5° à l’exception du c du I, et, concernant les victimes, au c du 7° du I. »

4. Enfin, aux termes de l’article R. 236-29 du code de la sécurité intérieure : « I.-Le droit d’opposition prévu aux articles 110 et 117 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ne s’applique pas au présent traitement. / II.-Les droits d’accès, de rectification et d’effacement concernant les données intéressant la sûreté de l’Etat s’exercent auprès de la Commission nationale de l’informatique et des libertés dans les conditions prévues à l’article 118 de la même loi. / III.-Conformément aux articles 104 à 106 de la même loi, les droits d’information, d’accès, de rectification, d’effacement et à la limitation concernant les autres données s’exercent directement auprès de la direction générale de la gendarmerie nationale. / Afin d’éviter de gêner des enquêtes, des recherches ou des procédures administratives ou judiciaires ou d’éviter de nuire à la prévention ou à la détection d’infractions pénales, aux enquêtes ou aux poursuites en la matière ou à l’exécution de sanctions pénales, de porter atteinte à la sécurité publique ou la sécurité nationale, les droits mentionnés à l’alinéa précédent peuvent faire l’objet de restrictions en application des II et III de l’article 107 de la même loi. / La personne concernée par ces restrictions exerce ses droits auprès de la Commission nationale de l’informatique et des libertés dans les conditions prévues à l’article 108 de la même loi. ».

5. Si le caractère contradictoire de la procédure fait en principe obstacle à ce qu’une décision juridictionnelle puisse être rendue sur la base de pièces dont une des parties n’aurait pu prendre connaissance, il en va nécessairement autrement, afin d’assurer l’effectivité du droit au recours, en ce qui concerne les informations susceptibles d’être contenues dans un fichier intéressant la sécurité publique dont le refus de communication constitue l’objet même du litige. Il suit de là que, quand, dans le cadre de l’instruction d’un recours dirigé contre le refus de communiquer des informations relatives à une personne mentionnée dans un fichier intéressant la sécurité publique, l’autorité gestionnaire refuse la communication de ces informations au motif que celle-ci porterait atteinte aux finalités de ce fichier, il lui appartient néanmoins de verser au dossier de l’instruction écrite, à la demande du juge, ces informations ou tous éléments appropriés sur leur nature et les motifs fondant le refus de les communiquer de façon à lui permettre de se prononcer en connaissance de cause sur la légalité de ce dernier sans que ces éléments puissent être communiqués aux autres parties.

6. Le ministre de l’intérieur et des outre-mer fait valoir que la communication d’informations concernant M^me B susceptibles de figurer au fichier GIPASP ou la simple communication de la présence ou de l’absence de données la concernant dans ce fichier porteraient atteinte à la finalité de ce traitement, dès lors que la connaissance de ces informations peut avoir des implications sur le comportement des personnes, le refus qui lui est opposé contribuant à garantir le secret nécessaire à la réalisation des missions confiées aux services du renseignement territorial. Afin de permettre au tribunal d’apprécier les mérites de cette argumentation, il y a lieu pour le tribunal d’ordonner avant dire droit au ministre de l’intérieur de communiquer au tribunal, le cas échéant, tout extrait du fichier GIPASP concernant M^me B ainsi que toutes les pièces justifiant de son inscription au fichier et, plus largement, tous les éléments la concernant figurant dans le fichier GIPASP hors ceux intéressant la sûreté de l’Etat, sans qu’ils soient versés au contradictoire, dans un délai d’un mois à compter de la mise à disposition au greffe du présent jugement.

D E C I D E :

Article 1er : Est ordonnée, avant dire droit, la production par le ministre de l’intérieur au tribunal, dans les conditions précisées dans les motifs du présent jugement, de tout extrait du fichier GIPASP concernant M^me B ainsi que de toutes les pièces justifiant de son inscription au fichier et, plus largement, de tous les éléments la concernant figurant dans le fichier GIPASP, hors ceux intéressant la sûreté de l’Etat

Article 2 : Ces éléments devront parvenir au greffe du tribunal administratif de Paris dans un délai d’un mois à compter de la mise à disposition au greffe du présent jugement.

Article 3 : Tous droits et moyens des parties sur lesquels il n’est pas expressément statué par le présent jugement sont réservés jusqu’en fin d’instance.

Article 4 : Le présent jugement sera notifié à M^me A B et au ministre de l’intérieur.

Copie en sera adressée à la Commission nationale de l’informatique et des libertés.

Délibéré après l’audience du 13 décembre 2024, à laquelle siégeaient :

M^me Marzoug, présidente,

M^me Lambert, première conseillère,

M^me Berland, première conseillère.

Rendu public par mise à disposition au greffe le 13 janvier 2025.

La rapporteure,

F. Berland

La présidente,

S. MarzougLa greffière,

K. Bak-Piot

La République mande et ordonne au ministre de l’intérieur en ce qui le concerne ou à tous commissaires de justice à ce requis en ce qui concerne les voies de droit commun contre les parties privées, de pourvoir à l’exécution de la présente décision.

No 2318292/6-