Selon le Livre blanc de la sécurité intérieure (Ministère de l’Intérieur, octobre 2020, p. 231),  pour « maîtriser la troisième dimension, les forces de sécurité intérieure disposent de près de 500 drones (255 pour la gendarmerie, 235 pour la police) ». Largement plébiscités par les forces de sécurité intérieure pour leur facilité d’utilisation, ils constituent une capacité à part entière pour les services. Systèmes agiles et multi tâches, les drones de sécurité intérieure donnent une mobilité décisive aux technologies. Ils prolongent ainsi l’action des gendarmes, policiers et sapeurs-pompiers au plus près d’une victime à secourir, d’une zone à protéger, d’agents isolés ou encore d’une scène d’infraction dont l’accessibilité n’est pas immédiatement  souhaitable (rapport de force défavorable, zone polluée) ou possible (zone battue par les feux, zone escarpée) (Livre blanc de la sécurité intérieure, précité, p. 231).

En outre, s’agissant plus spécifiquement du maintien de l’ordre public, le schéma national du maintien de l’ordre (SMNO), rendu public le 16 septembre 2020, relève l’importance de ces vecteurs dans la manœuvre opérationnelle en soulignant:

« La maîtrise de la 3e dimension est essentielle dans le maintien de l’ordre moderne. L’engagement de moyens aériens (hélicoptères, drones) devra être renforcé et développé en faisant effort sur les capteurs optiques et les capacités de retransmission mises en œuvre dans un cadre juridique adapté. Ces moyens sont utiles tant dans la conduite des opérations que dans la capacité d’identification des fauteurs de troubles » (SNMO, Ministère de l’Intérieur, 16 septembre 2020, p. 27)

Si ces outils aériens sont incontestablement des outils précieux pour les forces de sécurité intérieure, ils ne sont pas moins soumis à des règles juridiques d’emploi. D’ailleurs, comme le SNMO (précité), le Livre blanc lui-même se donne comme priorité l’« élaboration d’un cadre d’emploi ad hoc pour les drones de la police nationale » (p. 232).

Le droit applicable aux drones de police, dans le cadre d’une mission de police administrative de surveillance de manifestations est précisément au cœur de l’ordonnance que vient de rendre le juge des référés du Conseil d’Etat le 22 décembre 2020.

Dans cette affaire, l’association « Quadrature du Net » avait saisi le juge des référés du tribunal administratif de Paris pour que soit prononcée la suspension de la décision implicite du préfet de police de Paris d’utiliser des drones pour la surveillance de manifestations publiques et que lui soit enjoint de cesser toute captation d’images à l’aide de ces moyens aériens. Le juge avait alors rejeté la requête l’estimant « pas fondée à soutenir que la décision dont elle demande la suspension a pour effet d’autoriser un traitement de données personnelles et sensibles et serait contraire au droit au respect de la vie privée, à la liberté d’expression ou à la liberté de manifester, en méconnaissance de la directive police-justice (…) » » ( TA Paris, ordonnance de référé, 04.11. novembre 2020, « Association Quadrature du Net », n° 201740/3/5, pt 6).

L’association requérante se pourvoit en cassation devant le Conseil d’Etat contre cette ordonnance en excipant des moyens soulevés devant le premier juge, à savoir, notamment:

– une méconnaissance du droit de l’Union européenne,

– une méconnaissance du droit applicable au traitement de données à caractère personnel par ces appareils, spécifiquement du fait d’une ingérence dans la vie privée  sans intervention préalable d’un texte (TA Paris, référés, 04.11.2020, précité, p. 2).

La Haute Juridiction annule l’ordonnance du tribunal administratif de Paris, considérant que le dispositif de surveillance mis en place par la préfecture de police de Paris, par le moyen de drones, constitue un traitement de données à caractère personnel nécessitant l’intervention préalable d’un texte l’autorisant. Le Conseil d’Etat estime que cette carence crée un doute sérieux quant à la légalité de la décision attaquée. La condition d’urgence, indispensable à la décision judiciaire de suspension de l’acte administratif en litige étant aussi remplie du fait du « nombre important de personnes susceptibles de faire l’objet des mesures de surveillance litigieuses et à l’atteinte qu’elles sont susceptibles de porter à la liberté de manifestation (…) » » (pt. 11 de l’ordonnance).

Cette décision, à un moment où les planifications générales du ministère de l’Intérieur (SNMO, Livre blanc) posent les grandes orientations du maintien de l’ordre public en France revêt évidemment un caractère essentiel, D’autant plus que la CNIL, dans le prolongement de la décision du juge administratif,  a aussi sanctionné le ministère de l’Intérieur pour avoir utilisé de manière illicite des drones équipés de caméras. Elle lui enjoint de faire cesser tout vol de drone jusqu’à ce qu’un cadre normatif l’autorise (Délibération CNIL, 12 janvier 2021, SAN-2021-003). Le juge des référés, dans le prolongement du cadre juridique que le Conseil d’Etat avait déjà énoncé, confirme que l’usage des drones pour faire des prises de vue de manifestations relève du droit conventionnel et national relatif aux traitement de données personnelles (I) et que seul le législateur peut l’autoriser (II).

I. La captation d’images par les drones de la préfecture de police relève du droit conventionnel et national relatif au traitement des données à caractère personnel

Comme le rappelle le rapporteur public dans la présente affaire, « il n’existe pas, actuellement, de cadre juridique spécifiquement dédié à l’utilisation des drones en matière de sécurité publique. » Mais cela « ne signifie toutefois pas qu’aucune règle ne s’applique » (Conclusions M. L. Domingo, p. 1).

Il revient alors de s’interroger sur le droit européen qui régit le traitement des données personnelles (A), moyen soulevé par les requérants, afin de vérifier si le dispositif de surveillance par drones mis en place par la préfecture de police répond aux exigences du droit conventionnel (B)

A./ Le captage d’images par les drones relève de la directive européenne « police-justice » du 27 avril 2016

La directive 2016/680 du Parlement européen et du Conseil du 27 avril 2016 « relative à la protection des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données » ( JO UE, 04.05.2016, p. L 119/89), plus couramment dénommée  « directive police – justice » pose les principes juridiques applicables en l’espèce. Elle fixe avec clarté le cadre qui entoure la mise en place de cette nouvelle réglementation européenne. Elle souligne tout particulièrement que :

« L’évolution rapide des technologies et la mondialisation ont créé de nouveaux défis pour la protection des données à caractère personnel. L’ampleur de la collecte et du partage de données à caractère personnel a augmenté de manière importante. Les technologies permettent de traiter les données à caractère personnel comme jamais auparavant dans le cadre d’activités telles que la prévention et la détection des infractions pénales, les enquêtes et les poursuites en la matière (…) » (cons. 3 de la directive). Ce constat conduit, nécessairement à adopter de nouvelles règles visant à la fois la définition des données à caractère personnel et leur traitement.

La directive s’applique au litige puisqu’elle vise à établir des règles relatives à la protection des personnes physiques à l’égard du traitement des données à caractère personnel à des fins, notamment, de protection  et de prévention contre les menaces pour la sécurité publique  (art. 1er de la directive). Elle précise aussi les définitions des notions de « données à caractère personnel » (art. 3.1) et de  « traitement » (art. 3.2).

Est ainsi une donnée à caractère personnel toute information se rapportant à une personne physique identifiée ou identifiable. Est réputée identifiable, une personne physique qui peut être identifiée, directement ou indirectement, notamment par un identifiant tel que son nom, un numéro d’identification, sa localisation, ou des éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale.

Le traitement, quant à lui, est constitué de toutes opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données à caractère personnel. Sont particulièrement cités la collecte, l’enregistrement, la conservation, l’utilisation, la communication par transmission ou la diffusion.

Le juge européen a même eu l’occasion de préciser ces définitions en arrêtant que  « (…)  l’image d’une personne enregistrée par une caméra constitue une « donnée à caractère personnel » (CJUE, 14.02.2019, Sergejs Buivids, n° C-345-17, pt 31).

La loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles et l’ordonnance n° 2018-1125 du 12 décembre 2018 prise en application de l’article 32 de la loi et portant modification de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés et portant diverses dispositions concernant la protection des données  ont transposé la directive  « police-justice » dans le droit national (titre 3 de la loi du 06.01.1978, pt 12 de l’ordonnance).

A la lumière de ces textes, la captation d’images par les drones de la préfecture de police répond, a priori, aux définitions du traitement des données à caractère personnel. Il appartient alors au juge de vérifier si les dispositifs techniques mis en œuvre par l’autorité administrative répondent aux exigences conventionnelles.

B./ Les dispositifs techniques prévus sur les drones de surveillance ne permettent pas de respecter le droit relatif à la protection des données à caractère personnel

Si le droit applicable aux captations d’images par les drones en matière de protection des données n’est pas une découverte pour la préfecture de police, il revient au juge de vérifier si, en l’espèce, l’autorité administrative s’est mise en conformité avec le droit.

La question de la protection des données à caractère personnel lors d’opérations de police administrative menées par des drones n’est pas, en effet, inconnue de la préfecture de police.

Dans une précédente affaire, sur requête du même demandeur (Association la Quadrature du Net), le juge des référés du Conseil d’Etat avait ordonné à l’Etat de cesser immédiatement la surveillance par drone du respect des règles sanitaires en vigueur lors de la période de confinement liée à la Covid 19. Pour sa défense, la préfecture de police avait indiqué que ces drones n’étaient pas utilisés pour identifier des personnes mais avaient pour seul objectif la détection des rassemblements illicites du public à Paris, en infraction avec les mesures sanitaires prescrites dans le but de les disperser. A cette fin, et pour respecter la loi relative à la protection des données, ces drones survolaient la ville à une hauteur comprise entre 80 et 100 mètres et sans capture d’images.

Le juge des référés a toutefois relevé que ces appareils sont dotés de zooms optiques et peuvent voler en dessous de 80 mètres, ce qui permet, techniquement, de collecter des données identifiantes puisque aucun dispositif technique ne permet de s’assurer que les informations collectées ne puissent permettre l’identification des personnes dont l’image aurait été captée et ce dans une finalité autre que l’identification des rassemblements publics proscrits (CE juge des référés, 18.05.2020, Association la Quadrature du Net et Ligue des droits de l’homme, n° 440442 et 440445).

Postérieurement à l’intervention de cette  dernière ordonnance, la préfecture de police a mis en place, cette fois-ci pour surveiller les événements de grande ampleur se déroulant sur la voie publique, un « dispositif technique reposant sur l’adjonction à l’outil de captation sans enregistrement des images par drone d’un logiciel de floutage automatique et en temps réel des données à caractère personnel dans les flux vidéo transmis à la salle de commandement  (…) de la préfecture de police » (pt 5 de l’ordonnance du 22.12.2020, précitée).

Le juge n’a cependant pas considéré que ces mesures techniques permettaient de répondre aux exigences conventionnelle et nationale relatives à la protection des données à caractère personnel.

Le Conseil d’Etat relève d’abord que le dispositif litigieux, consistant à collecter des données grâce à la captation d’images par des drones dans le but de les transmettre, après application d’un procédé de floutage, à la salle de commandement de la préfecture de police pour un visionnage en temps réel « constitue un traitement au sens de la directive du 27 avril 2016 (précitée) » (pt 6 de l’ordonnance).

Il analyse ensuite si le système mis en place pour  « flouter » les images visionnées en salle de commandement répond aux exigences conventionnelles. Il estime alors que  « la circonstance que seules les images traitées par le logiciel de floutage parviennent au centre de commandement n’est pas de nature à modifier la nature des données faisant l’objet du traitement qui doivent être regardées comme des données à caractère personnel » ( pt 7 de l’ordonnance).

En effet, comme l’explique le rapporteur public dans ses conclusions sur la présente affaire, la seule collecte est un traitement et les données captées sont des données personnelles  « dès lors qu’elles portent sur des personnes qui peuvent être identifiées, sans qu’ait à cet égard une incidence l’usage que la préfecture de police fait effectivement de ses drones selon sa doctrine d’emploi » (Conclusions M. L. Domingo, précitées, p. 4). Ce n’est pas parce que la doctrine d’emploi de ces appareils n’autorise pas de se rapprocher des personnes dans un but d’identification que leur usage ne doit pas être regardé comme permettant potentiellement l’identification des personnes. 

S’agissant de l’opération de floutage elle apparaît, aux yeux du juge, sans effet sur la collecte de données personnelles. Pour le rapporteur public, le floutage n’est qu’un dispositif encadré par la doctrine d’emploi de ces  engins,  « une précaution interne » mais qui pourrait aussi être très vite désactivée par une même décision interne (conclusions M. L. Domingo, précitées, p. 4). En l’espèce, ce n’est pas alors l’image finale, floutée, transmise à la salle de commandement qu’il convient de prendre en compte mais l’image captée qui, originellement, est bien une capture de données à caractère personnel.

Cette analyse conduit le juge des référés à considérer que la condition d’urgence est remplie par le fait qu’un nombre important de personnes est susceptible de faire l’objet des mesures de surveillance litigieuses et par le fait que ce dispositif peut porter atteinte à la liberté de manifestation. De plus, le juge relève que la preuve du caractère absolument indispensable de l’usage des drones pour garantir la sécurité publique lors de rassemblements sur la voie publique n’est pas, par ailleurs, apportée (pt 11 de l’ordonnance).

Le doute sérieux quant à la légalité de la décision attaquée trouve quant à lui son fondement dans l’illégalité de la mise en œuvre par la préfecture de police d’un traitement de données à caractère personnel sans l’intervention préalable d’un texte autorisant sa création et en fixant les modalités de son utilisation (pt 13 de l’ordonnance).

Ces deux conditions étant réunies, le juge ordonne la suspension de la décision du préfet de police d’utiliser des drones lors d’opérations de maintien de l’ordre public en lui enjoignant de cesser de procéder, sans délais, aux mesures de surveillance par drone des manifestations ou rassemblements sur la voie publique  « tant que n’aura pas été pris un texte autorisant la création, à cette fin, d’un traitement de données à caractère personnel » (pt 13 de l’ordonnance).

En effet, la captation d’images par drones nécessite, comme l’avait d’ailleurs conseillé le Conseil d’Etat, le vote d’une loi.

II. Seule la loi peut autoriser la captation et le traitement d’images par des drones relevant des autorités publiques

Si le Conseil d’Etat juge dans la présente affaire (pt 13 de l’ordonnance) qu’ un texte est nécessaire pour permettre la surveillance des rassemblements sur la voie publique par des drones, en procédant alors au traitement de données personnelles, cette position ne confirme que l’avis donné au gouvernement qui avait consulté le Conseil d’Etat (A), conduisant d’ailleurs à l’intervention du législateur (B) (article 22 de la loi dite « sécurité globale » –  proposition de loi relative à la sécurité globale, n° 3452, Assemblée nationale, 20 octobre 2020).

A./ Pas d’usage de drones relevant des autorités publiques pour la captation d’images sur la voie publique sans texte

Suite à l’ordonnance du 18 mai 2020 (précitée) enjoignant à l’Etat de cesser les mesures de surveillance du respect des règles de sécurité sanitaire par drone, le Gouvernement  s’est interrogé sur  « les conditions de recours à ces outils de captation d’images par les autorités concernées » (CE, avis, 20.09.2020, n° 40214).

Dans son avis, la Haute assemblée procède à un examen de la question posée en trois temps.

Elle précise d’abord les  « multiples » finalités d’utilisation par les autorités publiques des caméras aéroportées en soulignant l’importance des capacités de captation et le dynamisme de ces outils. Elle relève que ces moyens peuvent être utilisés dans le cadre de missions de police administrative intéressant la sécurité publique (prévention de la délinquance, maintien de l’ordre, police des attroupements) et pour des missions de sécurité civile (secours, lutte contre l’incendie). Ils sont aussi susceptibles d’être engagés dans des dispositifs de police judiciaire (pt 2 de l’avis).

Elle confirme, ensuite, que la captation d’images par des caméras aéroportées peut être regardée comme un traitement de données à caractère personnel au sens de la directive du 27 avril 2016 (précitée) et au sens de la loi du 6 janvier 1978 (précitée), confortée par l’ordonnance faisant l’objet de la présente analyse. En revanche, elle évoque la possibilité de mise en œuvre de dispositifs techniques empêchant l’identification, ou l’emploi dans des conditions particulières excluant l’existence de possibilités raisonnables d’identifier les personnes, qui permettraient de se dispenser du respect des règles de protection des données personnelles (pt 3, §4 de l’avis).

Enfin, le Conseil d’Etat précise les exigences normatives préalables à tout développement de tels procédés de captation d’images par des drones.

Il estime que le survol rapproché et mobile de lieux publics ou de lieux privés par des drones munis de caméras de captation d’images au bénéfice des autorités publiques dans le cadre d’une mission de police, qu’elle soit administrative ou judiciaire, nécessiterait le vote d’une loi. En effet l’usage de ces outils aériens munis de caméras serait susceptible de porter atteinte à la vie privée, cette dernière étant garantie par l’article 2 de la Déclaration des  Droits de l’homme et du citoyen de 1789 et plus globalement pourrait affecter les garanties apportées aux citoyens pour l’exercice des libertés publiques.

Pour le Conseil d’Etat cette captation relève de matières réservées au législateur par l’article 34 de la Constitution, à qui il appartient exclusivement de fixer les éléments principaux définissant les conditions permettant d’assurer la conciliation entre le respect de la vie privée et la sauvegarde de l’ordre public (pt 4 de l’avis).

C’est sans doute cette position de la Haute Juridiction qui a conduit l’Assemblée Nationale à voter, en première lecture, l’article 22 de la loi relative à la sécurité globale (précitée), complétant le Code de la sécurité intérieure et permettant aux autorités publiques de procéder au traitement d’images au moyen de caméras installées sur des aéronefs.

B./ L’article 22 de la proposition de loi relative à la sécurité globale autorisant le traitement d’images au moyen de caméras installées sur des drones

C’est un rapport parlementaire « sur la proposition de loi, après engagement de la procédure accélérée relative à la sécurité globale » (Assemblée Nationale, Rapport n° 3527 du 5 novembre 2020) qui présente la proposition de loi, notamment son titre III consacré à la vidéoprotection et à la captation d’images.

Le rapport fait d’abord le point sur l’état du droit.

Il souligne qu’ il n’existe pas de cadre juridique législatif encadrant l’usage des caméras aéroportées par les autorités publiques. La loi n° 2016-1428 du 24 octobre 2016 renforçant la sécurité et l’usage des drones civils les a incluses dans la catégorie des aéronefs sans pilote, dans le but principal de sécuriser et de réglementer l’usage de l’espace aérien.

S’agissant plus spécifiquement des forces de sécurité intérieure, l’emploi des caméras aéroportées au sein de la police nationale relève des règles applicables aux aéronefs civils, mais pouvant déroger au cadre général d’emploi (voir notamment l’article 8 de l’arrêté du 17 décembre 2017 relatif à la conception des aéronefs civils qui circulent sans personne à bord, aux conditions de leur emploi et aux capacités requises des personnes qui les utilisent, JO 24.12.2015, texte n° 22). La police nationale s’est par ailleurs dotée d’une doctrine d’emploi fixée par une circulaire du 27 juillet 2018 relative à l’emploi des aéronefs télépilotés dans la police nationale. La gendarmerie nationale se voit appliquer les réglementations militaires, notamment l’arrêté du 24 décembre 2013 fixant les règles relatives à la conception et aux conditions d’utilisation des aéronefs militaires et des aéronefs appartenant à l’Etat et utilisés par les services de douanes, de sécurité publique et de sécurité civile qui circulent sans aucune personne à bord (JO 29.12.2013, texte n° 40) et des instructions 1550/DSAE/DIRCAM du 23 novembre 2017 relative aux directives et procédures d’exécution des vols de drones en circulation aérienne militaire en temps de paix et 9400/GEND/DOE/SDSPSR/BSRFMS du 1er juillet 2019 relative à l’emploi des systèmes de drone au sein de la gendarmerie (Rapport précité, p. 98).

Le rapport souligne aussi que  « les caméras aéroportées restent encore peu utilisées, mais le développement de leur usage nécessite l’élaboration d’un cadre relatif à l’exploitation des images collectées ainsi qu’aux scénarios d’emploi (…) » (Rapport précité, p. 99).

C’est l’objectif de la proposition de loi que le rapport présente ensuite (p. 99 et suivantes du rapport). Cette dernière prévoit d’insérer un chapitre II au sein du titre IV, livre II du Code de la sécurité intérieure (CSI), créant les articles L. 242-1 à L. 242-5 6 du CSI.

La proposition de loi prévoit ainsi

que les services de l’Etat concourant à la sécurité intérieure et à la défense nationale puissent procéder, au moyen de caméras installées sur des aéronefs, à la captation, l’enregistrement et la transmission d’images aux fins d’assurer :

– la sécurité des rassemblements de personnes sur la voie publique ou dans des lieux ouverts au public, lorsque les circonstances font craindre des troubles graves à l’ordre public, ainsi que l’appui des personnels au sol en vue de maintenir ou rétablir l’ordre public,

– la prévention des actes de terrorisme,

– Le constat des infractions et la poursuite de leurs auteurs par la collecte de preuves,

– la protection des bâtiments et installations publics et leurs abords,

– la sauvegarde des installations utiles à la défense nationale,

– la régulation des flux de transport,

– la surveillance des littoraux et de zones frontalières,

– le secours aux personnes,

– la formation et la pédagogie des agents (art. L. 242-5 du CSI).

La proposition de loi prévoit aussi que ces opérations de captation d’images soient réalisées de telle sorte qu’elles ne visualisent pas les images de l’intérieur de domiciles, ni de façon spécifique, celle de leurs entrées (art L. 242-2 du CSI).

La mise en œuvre de dispositifs aéroportés de captation d’images oblige à l’information du public par tout moyen approprié,  « sauf lorsque les circonstances l’interdisent ou que cette information entrerait en contradiction avec les objectifs poursuivis » (art. L. 242-3 du CSI).

La mise en œuvre de manière permanente de ces traitements de données est proscrite et la conservation des images, hormis le cas de l’utilisation des enregistrements dans le cadre d’une procédure judiciaire, ne peut dépasser 30 jours (art. L. 242-4 du CSI).

Globalement, il ressort de ces éléments que le Législateur a voulu veiller à la conciliation entre les objectifs de valeur constitutionnelle que constitue la prévention des atteintes à l’ordre public et l’exercice des libertés publiques  constitutionnellement garanties et au nombre desquelles figurent la liberté individuelle, dont le respect de la vie privée, et la liberté d’aller et de venir ainsi que l’inviolabilité du domicile (CC, décision n° 946352 DC du 18 janvier 1995 concernant l’article 10 de la loi d’orientation et de programmation relative à la sécurité, cons. 3). C’est notamment le cas avec les précautions prises en matière d’information du public qui doivent être garanties « de manière claire et permanente » et de protection de la vie privée et de l’inviolabilité du domicile interdisant que  « soient visualisées les images de l’intérieur des immeubles ainsi que de façon spécifique leurs entrées » (CC. 18.01.1995, précité, cons. 5).

La proposition de loi a été votée par l’Assemblée Nationale, en première lecture, le 24 novembre 2020 et le Premier ministre a déjà annoncé qu’il saisirait le Conseil constitutionnel sur l’article 24 de la loi une fois celle-ci définitivement adoptée par le Parlement (France Info, 24.11.2020) ( « l’article 24 de la proposition de loi modifie la loi du 29 juillet 1881 sur la liberté de la presse afin de réprimer pénalement le fait de diffuser, dans le but qu’ il soit porté atteinte à son intégrité physique ou psychique, l’image du visage ou tout autre élément d’identification d’un fonctionnaire de la police nationale ou d’un militaire de la gendarmerie nationale lorsqu’il agit dans le cadre d’une opération de police ») (Rapport Assemblée Nationale, précité, p 106), comme le permet l’article 61 alinéa 2 de la Constitution.