Vu la procédure suivante :

Par une requête et des mémoires, enregistrés les 12 septembre 2022, 18 janvier 2023 et 5 octobre 2023, M^me A B, représentée par la SCP Anne Sevaux et Paul Mathonnet, demande au tribunal :

1°) d’ordonner avant dire-droit à titre de mesure d’instruction la communication par le ministre de l’intérieur du décret instituant le fichier STARTRAC et les données y figurant la concernant, autres que celles intéressant la sûreté de l’Etat ;

2°) d’annuler la décision, révélée par la lettre du 30 juin 2022 de la présidente de la Commission nationale de l’informatique et des libertés (CNIL), par laquelle le ministre de l’économie, des finances et de la souveraineté industrielle et numérique a refusé sa demande d’accès indirect aux données la concernant n’intéressant pas la sûreté de l’Etat susceptibles de figurer dans le traitement automatisé de données à caractère personnel mis en œuvre par TRACFIN dénommé STARTRAC ;

3°) d’enjoindre au ministre de l’économie, des finances et de la souveraineté industrielle et numérique de procéder à l’effacement et subsidiairement à la rectification, dans un délai de deux mois sous astreinte de 100 euros par jour de retard, des données la concernant inscrites au fichier STRATRAC et n’intéressant pas la sûreté nationale, et de lui communiquer les informations la concernant contenues dans ce fichier dont la communication ne met pas en cause les finalités du fichier ;

4°) de condamner l’Etat à lui verser la somme de 2 000 euros en réparation du préjudice moral qu’elle a subi du fait du signalement dont elle a fait l’objet.

Elle soutient que :

— la décision attaquée a été prise par une autorité incompétente ;

— la décision attaquée méconnaît l’article L. 561-45 du code monétaire et financier ;

— elle méconnaît les dispositions de l’article 118 de la loi du 6 janvier 1978 ;

— elle méconnaît les stipulations de l’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales ;

— les critères fixés par le décret instituant le traitement exploité par TRACFIN dénommé STARTRAC ne sont pas réunis pour l’y inscrire ; les données à caractère personnel la concernant et n’intéressant pas la sûreté nationale sont non pertinentes, inadéquates et disproportionnées au regard des finalités poursuivies et, en tout état de cause, inexactes ;

— la communication de ces données ne se heurte pas aux finalités du fichier ;

— elle a subi ces dernières années des ralentissements au contrôle aux douanes ainsi que des contrôles routiers anormalement longs, qui ont eu des répercussions sur sa vie professionnelle.

Par un mémoire en défense, enregistré le 20 février 2023, ainsi que par un mémoire distinct, enregistré le 20 février 2023, non soumis au contradictoire en application des dispositions de l’article R. 412-2-1 du code de justice administrative, le ministre de l’économie, des finances et de la souveraineté industrielle et numérique, représenté par M^e Le Gunehec, conclut, à titre principal, à l’irrecevabilité de la requête, à titre subsidiaire, à son rejet et, en tout état de cause, à ce que soit mise à la charge de la requérante la somme de 3 500 euros sur le fondement de l’article L. 761-1 du code de justice administrative.

Il soutient que :

— la requête est tardive ;

— les moyens soulevés par M^me B ne sont pas fondés.

Par un mémoire, enregistré le 10 janvier 2024, la CNIL a présenté des observations.

Elle soutient que :

— les contentieux relatifs aux requêtes concernant la mise en œuvre de l’exercice du droit d’accès indirect vis-à-vis du fichier TRACFIN relèvent de la compétence du Conseil d’État conformément aux dispositions des articles L. 841-2 et R. 841-2 du code de la sécurité intérieure ;

— elle ne peut communiquer au tribunal des éléments concernant de telles données sans contrevenir à ces dispositions ;

— pour le reste des données contenues dans le fichier TRACFIN, l’exercice du droit d’accès indirect n’emporte pas droit à communication systématique du résultat des vérifications effectuées, que des données relatives au demandeur figurent ou non dans le fichier concerné, dès lors que le responsable du traitement s’y oppose ;

— le refus de communication des données susceptibles d’être contenues dans le fichier TRACFIN constituant l’objet même du litige, elle ne peut, compte tenu du caractère contradictoire de la procédure, communiquer au tribunal d’éléments concernant l’existence ou l’absence de telles données ;

— les vérifications qu’elle a conduites dans le cadre de l’instruction de la demande de la requérante n’ont pas permis de relever de manquements aux dispositions de la loi n° 78-17 du 6 janvier 1978 ou de ses textes d’application.

Par une ordonnance du 28 juin 2024, la clôture de l’instruction a été fixée au 29 juillet 2024.

M^me B a été admise au bénéfice de l’aide juridictionnelle totale par une décision du bureau d’aide juridictionnelle du 27 septembre 2023.

Vu les autres pièces du dossier.

Vu :

— la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales,

— le code de la sécurité intérieure,

— le code monétaire et financier,

— la loi n° 78-17 du 6 janvier 1978, modifiée notamment par la loi n° 2018-693 du 20 juin 2018 et l’ordonnance n° 2018-1125 du 12 décembre 2018,

— le décret n° 2005-1309 du 20 octobre 2005,

— le décret n° 2007-914 du 15 mai 2007,

— le décret n° 2019-536 du 29 mai 2019,

— le code de justice administrative.

Les parties ont été régulièrement averties du jour de l’audience.

Ont été entendus au cours de l’audience publique :

— le rapport de M^me Berland,

— les conclusions de M. Beaujard, rapporteur public,

— et les observations de M^e Le Gunehec, représentant le ministre de l’économie, des finances et de l’industrie.

Considérant ce qui suit :

1. M^me B a saisi la Commission nationale de l’informatique et des libertés (CNIL) d’une demande tendant à l’exercice de son droit d’accès indirect aux données à caractère personnel la concernant qui figureraient dans le fichier STARTRAC géré par le service à compétence nationale TRACFIN. Par un courrier du 30 juin 2022, la présidente de la CNIL a informé l’intéressée qu’il avait été procédé aux vérifications prévues par l’article 118 de la loi du 6 janvier 1978, sans lui apporter d’autres informations. M^me B demande au tribunal l’annulation pour excès de pouvoir de la décision du ministre de l’économie, des finances et de la souveraineté industrielle et numérique rejetant sa demande d’accès à ces informations, d’effacement ou de rectification, révélée par ce courrier de la CNIL, ainsi que le versement par l’Etat d’une somme de 2 000 euros au titre du préjudice moral qu’elle estime avoir subi.

Sur le cadre juridique du litige :

En ce qui concerne les conditions d’exercice du droit d’accès au fichier STARTRAC et les voies de recours :

2. Aux termes de l’article 31 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés : " I.- Sont autorisés par arrêté du ou des ministres compétents, pris après avis motivé et publié de la Commission nationale de l’informatique et des libertés, les traitements de données à caractère personnel mis en œuvre pour le compte de l’Etat et : 1° Qui intéressent la sûreté de l’Etat, la défense ou la sécurité publique ; () / L’avis de la commission est publié avec l’arrêté autorisant le traitement. / II.- Ceux de ces traitements qui portent sur des données mentionnées au I de l’article 6 sont autorisés par décret en Conseil d’Etat pris après avis motivé et publié de la commission. Cet avis est publié avec le décret autorisant le traitement. / III.- Certains traitements mentionnés au I et au II peuvent être dispensés, par décret en Conseil d’Etat, de la publication de l’acte réglementaire qui les autorise. Pour ces traitements, est publié, en même temps que le décret autorisant la dispense de publication de l’acte, le sens de l’avis émis par la commission. « . Aux termes de l’article 1 du décret n° 2007-914 du 15 mai 2007 : » Relèvent des dispositions du dernier alinéa du I de l’article 33 de la loi du 6 janvier 1978 susvisée les traitements automatisés de données à caractère personnel intéressant la sûreté de l’Etat, la défense ou la sécurité publique autorisés par les actes réglementaires suivants : () 10. Décret autorisant la mise en œuvre par le service à compétence nationale TRACFIN d’un traitement automatisé de données à caractère personnel dénommé « STARTRAC » ; () « . Aux termes de l’article 2 du même décret : » En application des dispositions du III de l’article 31 de la loi du 6 janvier 1978 susvisée, les actes réglementaires autorisant les traitements prévus du 1 au 8, au 10 et du 12 au 19 de l’article 1er ne sont pas publiés. "

3. Les traitements intéressant la sûreté de l’Etat et la défense sont régis par le titre IV de la loi du 6 janvier 1978. Aux termes de l’article 118 de la loi du 6 janvier 1978 : « I.- Les demandes tendant à l’exercice du droit d’accès, de rectification et d’effacement sont adressées à la Commission nationale de l’informatique et des libertés qui désigne l’un de ses membres appartenant ou ayant appartenu au Conseil d’Etat, à la Cour de cassation ou à la Cour des comptes pour mener les investigations utiles et faire procéder aux modifications nécessaires. Celui-ci peut se faire assister d’un agent de la commission. La commission informe la personne concernée qu’il a été procédé aux vérifications nécessaires et de son droit de former un recours juridictionnel. / Lorsque la commission constate, en accord avec le responsable du traitement, que la communication des données qui y sont contenues ne met pas en cause ses finalités, la sûreté de l’Etat, la défense ou la sécurité publique, ces données peuvent être communiquées au requérant. ». Aux termes du I de l’article 119 de la même loi : « I.- Par dérogation à l’article 118, lorsque le traitement est susceptible de comprendre des informations dont la communication ne mettrait pas en cause les fins qui lui sont assignées, l’acte réglementaire autorisant le traitement peut prévoir que les droits d’accès, de rectification et d’effacement peuvent être exercés par la personne concernée auprès du responsable de traitement directement saisi dans les conditions prévues aux II à III du présent article. ».

4. En vertu de l’article 143 du décret du 29 mai 2019 pris pour l’application de la loi du 6 janvier 1978, lorsque la Commission nationale de l’informatique et des libertés, saisie sur le fondement de l’article 118 de la loi, constate, en accord avec le responsable du traitement, que la communication de certaines données ne met pas en cause les finalités du traitement, la sûreté de l’Etat, la défense ou la sécurité publique, elle les communique au demandeur. En revanche, si le responsable du traitement s’oppose à cette communication, la commission se borne à informer le demandeur qu’il a été procédé aux vérifications nécessaires. De même, le cas échéant, la commission peut constater, en accord avec le responsable du traitement, que les données concernant le demandeur doivent être rectifiées ou supprimées et qu’il y a lieu de l’en informer. Cependant, en cas d’opposition du responsable du traitement, la commission informe simplement le demandeur qu’il a été procédé aux vérifications nécessaires.

5. Par ailleurs, aux termes de l’article L. 841-2 du code de la sécurité intérieure : « Le Conseil d’Etat est compétent pour connaître, dans les conditions prévues au chapitre III bis du titre VII du livre VII du code de justice administrative, des requêtes concernant la mise en œuvre de l’article 118 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, pour les traitements ou parties de traitements intéressant la sûreté de l’Etat dont la liste est fixée par décret en Conseil d’Etat ». Le législateur a ainsi entendu permettre au pouvoir réglementaire d’établir la liste des traitements relevant de la compétence du Conseil d’Etat, statuant dans les conditions particulières prévues au chapitre III bis du titre VII du livre VII du code de justice administrative, et, s’agissant de certains de ces traitements, de soustraire à la compétence du Conseil d’Etat la partie des données recueillies n’intéressant pas la sûreté de l’Etat. Aux termes de l’article R. 841-2 du même code : « Relèvent des dispositions de l’article L. 841-2 du présent code les traitements ou parties de traitements automatisés de données à caractère personnel intéressant la sûreté de l’Etat autorisés par les actes réglementaires ou dispositions suivants : / () 8° Arrêté relatif à la création d’un système de traitement automatisé de données à caractère personnel dénommé STARTRAC mis en œuvre par le service à compétence nationale TRACFIN, pour les seules données intéressant la sûreté de l’Etat ».

6. Il résulte des dispositions précédentes que la formation spécialisée du Conseil d’Etat statuant au contentieux n’est compétente, en ce qui concerne les litiges relatifs à l’accès indirect aux données recueillies dans le fichier STARTRAC, que pour celles de ces données qui intéressent la sûreté de l’Etat. Le tribunal administratif reste compétent en première instance pour connaître des litiges relatifs à l’accès indirect aux données recueillies dans ce même fichier n’intéressant pas la sûreté de l’Etat.

En ce qui concerne l’office du juge saisi d’un recours relatif aux données recueillies dans un fichier non publié qui n’intéressent pas la sûreté de l’Etat :

7. Si le caractère contradictoire de la procédure fait en principe obstacle à ce qu’une décision juridictionnelle puisse être rendue sur la base de pièces dont une des parties n’aurait pu prendre connaissance, il en va nécessairement autrement, afin d’assurer l’effectivité du droit au recours, lorsque l’acte litigieux n’est pas publié en application de l’article 31 de la loi du 26 janvier 1978 dans sa rédaction applicable au litige. Si une telle dispense de publication, que justifie la préservation des finalités des fichiers intéressant la sûreté de l’Etat, la défense ou la sécurité publique fait obstacle à la communication tant de l’acte réglementaire qui en a autorisé la création que des décisions prises pour leur mise en œuvre aux parties autres que celle qui les détient, dès lors qu’une telle communication priverait d’effet la dispense de publication, elle ne peut, en revanche, empêcher leur communication au juge lorsque celle-ci est la seule voie lui permettant d’apprécier le bien-fondé d’un moyen. Il suit de là que quand, dans le cadre de l’instruction d’un recours dirigé contre le refus de communiquer des informations relatives à une personne mentionnée dans un fichier intéressant la sûreté de l’Etat, la défense ou la sécurité publique dont l’acte de création a fait l’objet d’une dispense de publication, le ministre refuse la communication de ces informations au motif que celle-ci porterait atteinte aux finalités de ce fichier, il lui appartient néanmoins de verser au dossier de l’instruction écrite, à la demande du juge, ces informations ou, si elles sont couvertes par un secret opposable au juge, tous éléments appropriés sur leur nature et les motifs fondant le refus de les communiquer, de façon à lui permettre de se prononcer en connaissance de cause sur la légalité de ce dernier, sans que ces éléments puissent être communiqués aux autres parties, auxquelles ils révèleraient les finalités du fichier qui ont fondé la non publication du décret l’autorisant. Les dispositions de l’article R. 412-2-1 du code de justice administrative sont alors applicables.

8. Il appartient au juge de l’excès de pouvoir, saisi de conclusions dirigées contre le refus de communiquer les données relatives à une personne qui allègue être mentionnée dans un fichier intéressant la sûreté de l’Etat, la défense ou la sécurité publique, de vérifier, au vu des éléments qui lui ont été communiqués hors la procédure contradictoire et dans la limite des secrets qui lui sont opposables, si le requérant figure ou non dans le fichier litigieux. Dans l’affirmative, il lui appartient d’apprécier si les données y figurant sont pertinentes au regard des finalités poursuivies par ce fichier, adéquates et proportionnées. Lorsqu’il apparaît soit que le requérant n’est pas mentionné dans le fichier litigieux, soit que les données à caractère personnel le concernant qui y figurent ne sont entachées d’aucune illégalité, le juge rejette les conclusions du requérant sans autre précision. Dans le cas où des informations relatives au requérant figurent dans le fichier litigieux et apparaissent entachées d’illégalité, soit que les données à caractère personnel soient inexactes, incomplètes ou périmées, soit que leur collecte, leur utilisation, leur communication ou leur conservation soit interdite, cette circonstance, le cas échéant relevée d’office par le juge, implique nécessairement que l’autorité gestionnaire du fichier rétablisse la légalité en effaçant ou en rectifiant, dans la mesure du nécessaire, les données litigieuses. Il s’ensuit, dans pareil cas, que doit être annulée la décision implicite refusant de procéder à un tel effacement ou à une telle rectification.

9. Il résulte de ce qui a été dit au point 6 que les règles mentionnées aux points 7 et 8 s’appliquent, devant le tribunal administratif, aux données recueillies dans le fichier STARTRAC autres que celles qui intéressent la sûreté de l’Etat.

Sur les conclusions aux fins d’annulation, d’indemnisation et d’injonction de la requête :

10. En premier lieu, M^me B ne peut utilement soutenir que le refus qui lui a été opposé émane d’une autorité incompétente.

11. En deuxième lieu, l’article L. 561-45 du code monétaire et financier invoqué par la requérante ne régit pas le fichier STARTRAC. Le moyen tiré de sa méconnaissance est, par suite, inopérant.

12. En troisième lieu, le tribunal a procédé à l’examen des éléments fournis par le ministre. Cet examen n’a révélé aucune illégalité, et notamment aucune violation de la loi du 6 janvier 1978 ni de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales.

13. En dernier lieu, M^me B ne peut utilement se prévaloir de ce que la communication des informations demandées ne serait pas de nature à porter atteinte aux finalités du fichier STARTRAC.

14. Il résulte de ce qui précède, sans qu’il soit besoin de statuer sur la fin de non-recevoir soulevée en défense, que les conclusions à fin d’annulation de M^me B doivent être rejetées, ainsi que, par voie de conséquence, ses conclusions indemnitaires, ses conclusions à fin d’injonction et celles qui tendent à la communication du décret instituant le traitement STARTRAC, lequel a été dispensé de publication par le 10 de l’article 2 du décret du 15 mai 2007 pris pour l’application du I de l’article 33 de la loi du 6 janvier 1978.

Sur les frais liés au litige :

15. Dans les circonstances de l’espèce, il n’y a pas lieu de faire droit aux conclusions du ministre de l’économie, des finances et de la souveraineté industrielle et numérique présentées sur le fondement des dispositions de l’article L. 761-1 du code de justice administrative.

D E C I D E :

Article 1er : La requête de M^me B est rejetée.

Article 2 : Les conclusions du ministre de l’économie, des finances et de la souveraineté industrielle et numérique présentées sur le fondement des dispositions de l’article L. 761-1 du code de justice administrative sont rejetées.

Article 3 : Le présent jugement sera notifié à M^me A B et au ministre de l’économie, des finances et de la souveraineté industrielle et numérique.

Copie en sera adressée à la Commission nationale de l’informatique et des libertés.

Délibéré après l’audience du 13 décembre 2024, à laquelle siégeaient :

M^me Marzoug, présidente,

M^me Lambert, première conseillère,

M^me Berland, première conseillère.

Rendu public par mise à disposition au greffe le 13 janvier 2025.

La rapporteure,

F. Berland

La présidente,

S. MarzougLa greffière,

K. Bak-Piot

La République mande et ordonne au ministre de l’économie, des finances et de la souveraineté industrielle et numérique en ce qui le concerne ou à tous commissaires de justice à ce requis en ce qui concerne les voies de droit commun contre les parties privées, de pourvoir à l’exécution de la présente décision.

No 2219060/6-