La surveillance par drone de l'espace public.

Le cadre juridique de la surveillance par drone de l'espace public est désormais clarifié avec la décision rendue par le Conseil d'État le 30 décembre 2024. Il écarte en effet le recours déposé par la Ligue des droits de l'homme, la Quadrature du net et d'autres associations, contestant la légalité du décret du 19 avril 2023. 

Les opposants au décret avaient placé leur ultime espoir dans cette requête et le Conseil d'État met donc fin aux derniers doutes sur l'usage des drones en matière de sécurité publique.  La loi du 24 janvier 2022 relative à la responsabilité pénale et à la sécurité intérieure autorise ainsi les services de la police et de la gendarmerie nationales à recourir à la captation d’images au moyen de caméras installées sur des aéronefs, drones, hélicoptères, ballons captifs. Le décret du 19 avril 2023 prévoit le régime juridique de cet usage. Le Conseil d'État estime que les garanties juridiques que cet ensemble normatif apporte sont suffisantes pour assurer l'ordre public en protégeant la sécurité des personnes et des biens.

Des décisions au cas par cas

L'article L 242-5 du code de la sécurité intérieure énonce que l'usage de dispositifs de captation d'images est subordonné à une décision écrite et motivée du préfet, ou, à Paris, du préfet de police. Il lui appartient de s'assurer du respect des règles applicables et la demande qui lui est transmise doit être suffisamment complète pour lui permettre d'exercer efficacement de contrôle. Au demeurant, l'autorisation du préfet doit se limiter à ce qui est strictement nécessaire au regard de l'espace géographie concerné et du nombre de caméras procédant aux enregistrements. D'une manière générale, l'autorisation peut être délivrée pour trois mois lorsqu'il s'agit de lutter contre le terrorisme et la grande criminalité, ou d'assurer le contrôle des frontières. En revanche, la surveillance de chaque manifestation suppose une demande spécifique.

En jugeant que ces dispositions n'entrainent pas une atteinte excessive aux droits des personnes, le Conseil d'État se place dans la droite ligne de la jurisprudence du Conseil constitutionnel. Dans sa décision du 20 janvier 2022, celui-ci avait déjà estimé que la liste des circonstances dans lesquelles l'usage des drones était possible était satisfaisante, comme les garanties apportées par le législateur. Il avait ajouté que l'autorisation préfectorale ne pouvait être accordée qu'après que le préfet se soit assuré de l'impossibilité d'utiliser des moyens intrusifs pour la vie privée. 

Femme à la fenêtre. Jacques Voyet 1926-2010 

Le régime juridique de l'usage des drones

Les associations requérantes contestaient surtout la légalité de la captation et de la conservation de données considérées comme sensibles. Les images captées par un drone pourraient en effet donner lieu à des applications biométriques permettant d'identifier des personnes qui ne constituent, en aucun cas, un menace pour l'ordre public. Les requérants se plaignent donc que les dispositifs embarqués ne donnent pas lieu à une autorisation de la Commission nationale de l'informatique et des libertés (CNIL).

Sur ce point, le Conseil d'État mentionne que le droit positif est désormais relativement élaboré. Les drones ne peuvent ni capter du son, ni comporter des traitements de reconnaissance faciale, principes rappelés dans l'article L 242-4 du code de la sécurité intérieure. La loi de 2022 a posé cette garantie, et on se souvient que le juge des référés du Conseil d'État, dès une ordonnance du 18 mai 2020, était intervenu sur cette question à propos de la surveillance des rassemblements pendant la période de déconfinement après le Covid. Il avait alors suspendu une autorisation d'usage des drones, car aucun dispositif ne garantissait que le drone volait suffisamment haut pour empêcher l'identification des personnes. Or, s'il volait bas pour précisément capter des images identifiantes, il violait le Règlement général de protection des données (RGPD), puisque l'avis préalable de la Commission nationale de l'informatique et des libertés (CNIL) n'avait pas été demandé.

Aujourd'hui, le Conseil d'État rappelle que les systèmes embarqués sur les drones n'ont pas, en tant que tels, pour objet de capter et de conserver des données sensibles. Mais ils peuvent néanmoins en capter, en quelque sorte de manière collatérale. C'est la raison pour laquelle une analyse d'impact "cadre" est exigée par l'article L 242-5 du code de la sécurité intérieure. Cela signifie concrètement que les garanties mises en place par le système sont transmises à la CNIl qui rend un avis à leur sujet.

En pratique, ces données sensibles captées par accident sont essentiellement les images de l'intérieur des domiciles. Les associations requérantes espéraient obtenir du Conseil d'État la reconnaissance d'une illégalité globale de ce type de captation. Mais le Conseil se montre très réaliste sur ce point. en observant qu'une telle interdiction pourrait compromettre une opération en cours, alors même que l'atteinte à la vie privée est modeste. En effet, les données ainsi recueillies doivent être détruites dans un délai de 48 heures, ce qui réduit considérablement la menace pour la vie privée. Cette analyse laisse ainsi ouverte l'appréciation contextuelle de l'opération, en laissant à l'administration une certaine autonomie dans son déroulement. 

La décision du 30 décembre 2024 était hautement prévisible, car on se souvient que le juge des référés du Conseil d'État avait déjà refusé de suspendre le décret du 19 avril 2023 par une ordonnance du 24 mai 2023. La décision de fond du 30 décembre 2024 valide ainsi, définitivement, le dispositif juridique autorisant l'usage des drones dans le domaine sécuritaire. Les requérants le regretteront sans doute. Mais peut-être pourra-t-on leur apporter une consolation,  en leur faisant observer qu'ils ont contribué à fixer un droit positif clair, permettant de sanctionner plus efficacement d'éventuelles violations ?

La liberté de manifestation : Manuel de Libertés publiques version E-Book et version papier, chapitre 12, section 1 § 2

Le "Like" de Facebook : aimer sans consentir

On pense souvent que le "Like" de Facebook n'est qu'un anodin petit bouton, qui permet soit de témoigner son accord à l'égard d'un contenu partagé sur le réseau, soit de partager sur Facebook un contenu figurant sur un autre réseau, ou un autre site. La décision Fashion ID Gmbh c. Verbraucherzentrale NRW et V,, rendue par la Cour de justice de l'Union européenne (CJUE) le 29 juillet 2019, a une véritable vertu pédagogique, dans la mesure où elle montre que ce bouton est avant tout un objet commercial destiné à drainer les données personnelles des internautes. Et la CJUE en tire toutes les conséquences en déclarant que l'entreprise qui accepte de placer ce bouton et de transmettre à Facebook les données de ses clients est coresponsable de cette collecte.

Une double question préjudicielle 

En l'espèce, une entreprise de e-commerce allemande, Fashion ID, avait placé le signe "Like" de Facebook sur une page de son site. Que les visiteurs activent ou non le bouton, leurs données étaient transmises à Facebook, sans que le consentement des intéressés soit sollicité, sans même qu'ils soient informés de ce transfert. Une association allemande de consommateurs a saisi la justice pour violation des règles relatives à la protection des données personnelles. Certes, l'arrêt ID Fashion se situe sous l'empire de l'ancienne directive 95/46, désormais abrogée avec l'entrée en vigueur du règlement général de protection des données (RGPD). Mais le principe du consentement à la collecte et à la conservation des données personnelles n'a pas changé de manière substantielle.

Dans l'affaire ID Fashion, la CJUE est saisie d'un double question préjudicielle. Ecartons d'emblée celle qui porte sur l'intérêt à agir d'une association de consommateurs. L'arrêt du 6 novembre 2003 Lindqvist avait déjà estimé que les Etats membres prenaient une "mesure appropriée" en décidant qu'une association de consommateur pouvait agir en justice pour protéger les droits des internautes. Un tel recours contribue en effet à la réalisation des objectifs de la directive.

Une responsabilité conjointe

La seconde question est plus intéressante. Les juges allemands demandent en effet à la Cour si le gestionnaire d’un site Internet, tel que Fashion ID, qui insère sur son site un bouton destiné à transmettre les données de caractère personnel d'un visiteur peut être considéré comme "responsable du traitement". La réponse n'est pas évidente, dès lors que le site Fashion ID se borne à transférer des données et n'a donc aucune influence sur le traitement qui en sera fait par Facebook.

De manière traditionnelle, la CJUE adopte une définition large de la notion de  « responsable du traitement » comme visant "la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement de données à caractère personnel " (CJUE, 5 juin 2018, Wirtschaftsakademie Schleswig-Holstein). Rien n'interdit d'ailleurs, selon l'arrêt du 10 juillet 2018, Jehovan todistajat, que le "responsable du traitement" soit pluriel, constitué de plusieurs acteurs qui sont alors également soumis au droit de la protection des données. Dans ce cas, ces acteurs peuvent être impliqués à des stades divers du traitement, de la collecte, à la conservation et à l'utilisation des données.

En l'espèce, Fashion ID, en insérant le bouton sur son site, a offert à l'entreprise Facebook Ireland la possibilité d'obtenir les données personnelles des visiteurs, qu'ils soient ou non membres du réseau social, qu'ils aient ou non cliqué sur le bouton, et bien entendu sans qu'ils aient eu connaissance de cette opération. Fashion ID est donc considéré comme "responsable du traitement" dans la mesure où elle collecte et transmet des données. En revanche, elle n'est plus "responsable du traitement" pour la suite, c'est-à-dire pour l'usage qu'en fera Facebook, même si, et la Cour ne manque pas de le faire remarquer, cet usage ultérieur n'aurait pas lieu sans son intervention. Il appartiendra donc aux juges allemands d'évaluer la responsabilité respective de chacun des deux acteurs.

Voutch. 22 janvier 2019

Consentement et loyauté

Cette solution n'est guère surprenante si l'on considère que les systèmes juridiques des Etats membres n'ignorent pas les responsabilités conjointes. Derrière cette analyse, transparaît aussi l'idée qu'il existe en l'espèce un cumul des fautes. Car Fashion ID n'a pas songé à demander aux internautes de consentir à la captation de leurs données, consentement qui constitue l'un des socles sur lequel s'est construit le droit de la protection des données. Et Facebook n'a pas davantage exigé ce consentement de son co-contractant, alors même que ses dirigeants, et notamment Mark Zuckerberg, affirment leur volonté de se plier aux règles imposées par le droit européen. 

 

En l'espèce, il ne fait aucun doute que les internautes ont été victimes, à leur insu, d'une opération purement commerciale reposant précisément sur leur crédulité. La responsabilité des deux partenaires est donc engagée aussi dans la mesure où ils ont manqué à un autre principe cardinal de la protection des données, celui de la loyauté de leur collecte. La CJUE protège ainsi l'internaute crédule, comme le font les juges allemands. On se prend à espérer que les internautes participent eux-mêmes à la protection de leurs données personnelles, par exemple en évitant de les disséminer sur les réseaux sociaux.

Sur la protection des données : Chapitre 8, Section 5 du manuel de Libertés publiques sur internet.

Données de connexion : Le dialogue des juges érigé au rang des beaux-arts

Dans quatre décisions du 12 juillet 2022, la Cour de cassation "tire les conséquences" des décisions rendues par la Cour de justice de l'Union européenne (CJUE) en octobre 2020, relatives à la conservation des données de connexion et à leur communication au juge dans le cadre de procédures pénales. La formule est d'une exquise courtoisie à l'égard de la juridiction européenne, mais en réalité la Cour de cassation entend bien marquer son territoire.

Les données de connexion

Rappelons que ces "données de connexion" sont celles relatives à l'identification des personnes, au trafic et aux données de localisation, notamment les célèbres fadettes. Elles sont énumérées dans l'article R 10-13 du code des postes et des télécommunications. A l'époque des faits, l'article 34-1, III de ce même code imposait aux opérateurs de services de communication leur conservation généralisée et indifférenciée pour une durée maximale d'un an. 

 

Un chemin ouvert par le Conseil d'État  

Depuis lors, le dialogue des juges s'est quelque peu durci. Dans trois décisions rendues sur questions préjudicielles le 6 octobre 2020, la CJUE était invitée, par le Conseil d'État, à préciser la portée des règles figurant la directive "vie privée et communications électroniques" ainsi que dans le règlement général sur la protection des données (RGPD). Pour la CJUE, la conservation généralisée et indifférenciée des données de connexion, autres que les données d’identité, ne peut être imposée aux opérateurs que pour les besoins de la sécurité nationale en cas de menace grave. Dans tous les autres cas, les données doivent être immédiatement détruites.

Alors même que le Conseil d'État était lui-même l'auteur de la question préjudicielle, il ne s'est pas soumis au principe posé par le juge européen. Dans sa décision du 21 avril 2021, il commence par affirmer que "tout en consacrant l'existence d'un ordre juridique de l'Union européenne intégré à l'ordre juridique interne, l'article 88-1 de la Constitution confirme la place de la Constitution au sommet de ce dernier". La supériorité de la Constitution sur le droit européen est ainsi réaffirmée, ce qui n'est guère surprenant. Il énonce ensuite que "dans le cas où l'application d'une directive ou d'un règlement européen, aurait pour effet de priver de garanties effectives l'une de ces exigences constitutionnelles qui ne bénéficierait pas, en droit de l'Union, d'une protection équivalente, le juge administratif, saisi d'un moyen en ce sens, doit l'écarter dans la stricte mesure où le respect de la Constitution l'impose". 

Le Conseil d'État s'attribue ainsi compétence pour exercer le contrôle de l'équivalence des protections offertes par le système juridique. S'engouffrant dans une brèche ouverte par les arrêts du 6 octobre 2020, il considère que la lutte contre le terrorisme et la recherche des auteurs d'infractions pénales sont des exigences constitutionnelles. Il ne fait guère de doute qu'elles ne bénéficient pas d'une protection équivalente en droit de l'Union, l'essentiel de ces domaines relevant de la compétence des États. Reprenant alors les termes mêmes des arrêts du 6 octobre 2020, il affirme, se référant à la menace terroriste, que la conservation pendant un an des données de connexion peut se justifier, en quelque sorte exceptionnellement, "si l'État fait face à une menace grave, réelle, actuelle ou prévisible". 

 

La mauvaise tête. Spirou et Fantasio. Franquin. 1954

 

L'interprétation de la Cour de cassation

Dans les arrêts du 12 juillet 2022, la Cour de cassation suit sensiblement le même chemin. En l'espèce, elle est saisie de plusieurs demandes d'annulation de réquisitions portant sur des données de trafic et de localisation, délivrées, soit dans le cadre d'une enquête de flagrance placée sous le contrôle du procureur de la République, soit dans le cadre d'une information sur commission rogatoire du juge d'instruction. Pour les requérants, la conservation de ces données est irrégulière car non conforme à la jurisprudence européenne qui a précisément sanctionné la loi de l'époque, celle qui impose aux opérateurs de les conserver pendant un an.

Le droit européen affirme que le juge national doit interpréter le droit français de manière conforme au droit de l'Union. La Cour de cassation doit donc s'assurer régulièrement que la conservation des données de connexion pendant un an pour la protection des intérêts de la Nation et la lutte contre le terrorisme est conforme au droit de l'Union. Elle vérifie donc l'existence d'une menace grave pour la sécurité nationale.

En l'espèce, la Cour relève que les fait relevaient de la grande criminalité, qui s'analyse en soi comme une menace grave pour la sécurité nationale. Selon les pourvois, on trouve le meurtre en bande organisée, le trafic de stupéfiants à dimension internationale, avec notamment la création d'une Start Up "Uber Green" chargée de livrer le cannabis à la demande. Face à cette délinquance, la réquisition des données de connexion et leur exploitation était donc indispensable au déroulement de l'enquête.

Comme le Conseil d'État, la Cour de cassation écarte finalement la rigueur de la jurisprudence européenne, en se livrant à une interprétation qui permet d'en atténuer considérablement la portée. 

 

La loi du 30 juillet 2021

 

Par la suite, les choses ont évolué, mais sans remettre en cause l'essentiel. La loi du 30 juillet 2021 relative à la prévention d’actes de terrorisme et au renseignement a modifié le cadre juridique de la conservation des données de connexion. Définissant six types de données, elle reprend les principes posés par la jurisprudence française et persiste dans l'exigence de conservation d'un an des données, lorsqu'est constatée une menace grave, ou susceptible de le devenir, pour la sécurité nationale. Ce dispositif législatif est donc conçu pour renforcer le droit français face à une jurisprudence européenne perçue comme menaçante. 

 

La question du parquet

 

Reste un point sur lequel la Cour de cassation suit la CJUE qui, dans un arrêt du 2 mars 2021, rappelle que toutes les atteintes graves aux libertés individuelles doivent être ordonnées par un magistrat indépendant. Elle précise alors que « l’accès des autorités nationales compétentes aux données conservées est subordonné à un contrôle préalable effectué soit par une juridiction soit par une entité administrative indépendante". Sur ce point, la CJUE rejoint largement la jurisprudence de la Cour européenne des droits de l'homme (CEDH) déjà formulée dans l'affaire Moulin c. France du 23 novembre 2010

Certes, l'arrêt du 2 mars 2021 concerne le droit estonien, mais la Cour de cassation met en oeuvre ses principes. Selon les pourvois, elle opère une distinction entre les autorités susceptibles d'accéder à ces données de connexion. Le juge d'instruction, qui exerce une fonction juridictionnelle peut exercer ce droit d'accès. En revanche, le procureur ne peut y accéder directement. Selon le droit de l'Union, il dirige la procédure d'enquête préalable ou de flagrance et n'a donc pas une position de neutralité à l'égard des parties. 

Il est vrai que l'impact réel de ce ralliement à la jurisprudence de la CJUE est finalement modeste. En effet, la Cour de cassation précise que l'acte ayant autorisé l'accès aux données de connexion ne peut être annulé que si il a porté atteinte directement à la vie privée de la personne et si cette dernière a subi un préjudice. Ce principe a d'ailleurs été posé préalablement par la Cour de cassation, dans un arrêt du 7 septembre 2021. Dans les arrêts du 12 juillet 2022, il n'est pas très compliqué de démontrer que l'ingérence dans la vie privée des personnes poursuivies était prévue par la loi, poursuivait un but légitime - la recherche des auteurs d'une infraction pénale - et n'était pas manifestement disproportionnée par rapport à l'objectif poursuivi, si l'on considère la gravité des faits.

Les quatre décisions du 12 juillet 2022 peuvent être considérées comme un petit chef d'oeuvre dans le dialogue des juges mené par la Cour de cassation. On ne peut relever aucune opposition frontale à la CJUE. La nécessité de la conservation des données est interprétée à la lumière de la jurisprudence européenne, mais avec une savante exploitation des dérogations qu'elle autorise. Quant au rôle du parquet, il est certes mis en cause, mais sans que le sanction présente la moindre conséquence sur la procédure pénale en cours. Du grand art.

Sur l'indépendance du parquet : Chapitre 4  section 1, § 1 D du Manuel

Données de connexion : une clause de sauvegarde constitutionnelle

Le dialogue des juges peut parfois se révéler un peu "rugueux". Cette formule de Bruno Lasserre, vice-président du Conseil d'État illustre parfaitement la décision French Data Networks et autres rendue par le Conseil d'État le 21 avril 2021. 

Le juge administratif, saisi par différentes associations se donnant pour objet la protection des données personnelles, admet la légalité de plusieurs décrets de 2015 qui imposent aux opérateurs de télécommunication de conserver pendant un an toutes les données de connexion des utilisateurs pour les besoins du renseignement et des enquêtes pénales. En schématisant quelque peu, on peut définir ces données comme celles permettant de connaître l'identité de l'utilisateur du téléphone ou de l'ordinateur, celles donnant accès à ses interlocuteurs (les fadettes en particulier) et enfin les données de localisation permettant le "traçage" de la personne.

A cet égard, deux points de vue s'opposent de manière radicale. D'un côté, le gouvernement invoque les nécessités de la lutte contre le terrorisme et des enquêtes pénales pour justifier la conservation de ces données, pour une durée limitée à une seule année.  De l'autre côté, les associations requérantes voient dans cet accès aux données personnelles un instrument de surveillance de masse qui devait, en tant que tel, disparaître de l'ordre juridique.

 

Les arrêts de la CJUE du 6 octobre 2020

Le recours a trouvé un appui particulièrement important, et c'est d'ailleurs ce qui fait tout l'intérêt de cet arrêt, dans trois décisions rendues sur questions préjudicielles par la Cour de justice de l'Union européenne (CJUE) le 6 octobre 2020. Elle était alors invitée, par le Conseil d'État lui-même, à préciser la portée des règles figurant la directive "vie privée et communications électroniques" ainsi que dans le règlement général sur la protection des données (RGPD.

L'analyse de la CJUE repose sur le principe selon lequel la conservation généralisée et indifférenciée des données de connexion, autres que les données d’identité, ne peut être imposée aux opérateurs que pour les besoins de la sécurité nationale en cas de menace grave. Lorsqu'il s'agit de répondre aux besoins des services de renseignement, la Cour exige d'ailleurs que l'accès soit autorisé par une autorité indépendante ou un juge. En matière de criminalité, elle opère une distinction entre les crimes graves, et ceux qui ne le sont pas. Seule est autorisée l'accès aux données de connexion dans le premier cas, lorsque des personnes présentent un risque particulier. Pour satisfaire aux exigences de la Convention de Budapest sur la cybercriminalité, la CJUE autorise toutefois un "gel" des données de trafic et de localisation sur une courte période, pour les besoins d'une enquête pénale.

Cette jurisprudence s'inscrit dans la ligne de la célèbre décision Digital Rights v. Ireland de 2014 qui avait invalidé une directive obligeant les fournisseurs d'accès à conserver les données relatives aux communications de leurs abonnées pour une "durée minimale de six mois et maximale de deux ans, (...) afin de garantir "la disponibilité de ces données à des fins de recherche, de détection et de poursuite d'infractions graves". Aux yeux de la CJUE, cette obligation de conservation constituait une ingérence excessive dans les droits des personnes, dès lors que la directive ne prévoyait pas un encadrement juridique susceptible de garantir qu'elle serait limitée "au strict nécessaire". Deux ans plus, la décision Tele 2 Sverige AB du 21 décembre 2016 avait repris une formulation à peu près identique pour sanctionner une "réglementation nationale prévoyant une conservation généralisée et indifférenciée (...)" de ces données. 

Devant cette jurisprudence constante, les associations requérantes espéraient donc obtenir du Conseil d'État une soumission totale à la position de la CJUE et donc l'annulation des décrets dressant la liste des services autorisés à accéder aux données de connexion.

Le téléphone pleure. Claude François

Archives de l'INA. 1974

La position du gouvernement

Redoutant une telle solution, le gouvernement n'avait pas manqué de faire connaître sa position. Il avait d'abord donné des exemples d'utilisation de ces données, rappelé qu'elles avaient permis l'aboutissement de l'enquête pénale visant Nordal Lelandais pour l'assassinat du caporal Noyer, comme d'ailleurs celle sur les attentats terroristes de 2015 dans laquelle le "bornage" de la téléphonie a joué un rôle essentiel. 

Mais ces éléments de fait n'étaient évidemment pas suffisant pour demander au Conseil d'écarter purement et simplement la décision de la CJUE. Le gouvernement s'élevait donc contre une ingérence de la Cour dans l'ordre constitutionnel français et dans des textes ne relevant pas de sa compétence, en particulier ceux régissant le fonctionnement des services de renseignement. L'argument avait certes été déjà écarté par la CJUE au motif que tout texte autorisant la conservation de données personnelles relevait de sa compétence, mais rien n'interdit au gouvernement de le formuler une nouvelle fois, de la même manière que rien n'interdit au Conseil d'État d'écarter une décision de la CJUE en se fondant directement sur l'ordre constitutionnel français.

Certes, mais la brutalité de ce rappel de la hiérarchie des normes n'était pas souhaitée par le juge administratif, d'autant qu'il avait lui-même posé la question préjudicielle ayant suscité les arrêts d'octobre 2020. Il a donc adopté une position en apparence plus souple, celle de la clause de sauvegarde constitutionnelle. Elle lui permet de parvenir au même résultat sans remettre en question la répartition des compétences entre l'Union et les États membres.

La supériorité de la Constitution

Le Conseil d'État affirme que "tout en consacrant l'existence d'un ordre juridique de l'Union européenne intégré à l'ordre juridique interne, l'article 88-1 de la Constitution confirme la place de la Constitution au sommet de ce dernier". Tout est dit, et le Conseil d'État entend ainsi réaffirmer la supériorité de la Constitution sur le droit européen. 

Le juge administratif peut alors ajouter, et il convient de citer ce passage in extenso : " Dans le cas où l'application d'une directive ou d'un règlement européen, aurait pour effet de priver de garanties effectives l'une de ces exigences constitutionnelles qui ne bénéficierait pas, en droit de l'Union, d'une protection équivalente, le juge administratif, saisi d'un moyen en ce sens, doit l'écarter dans la stricte mesure où le respect de la Constitution l'impose". L'analyse est d'autant plus utile pour le Conseil d'État, qu'il s'attribue ainsi la compétence pour exercer le contrôle de l'équivalence des protections offertes par le système juridique.

 

Usage de la clause de sauvegarde

 

En l'espèce, le Conseil rappelle que la sauvegarde des intérêts fondamentaux de la nation, la prévention des atteintes à l'ordre public, la lutte contre le terrorisme et la recherche des auteurs d'infractions pénales sont des exigences constitutionnelles. Il ne fait guère de doute qu'elles ne bénéficient pas d'une protection équivalente en droit de l'Union, l'essentiel de ces domaines relevant de la compétence des États. 

Le Conseil, là encore, n'affirme pas clairement que le droit de l'Union n'est pas équivalent à celui issu de l'ordre constitutionnel français. Il se borne à s'engouffrer dans une brèche ouverte par la CJUE elle-même, dans ses décisions d'octobre 2020. Elle affirmait alors, songeant à la menace terroriste, que la conservation pendant un an des données de connexion peut se justifier, en quelque sorte exceptionnellement, "si l'État fait face à une menace grave, réelle, actuelle ou prévisible". Le Conseil va donc tout simplement constater que cette menace existe en France de manière ininterrompue depuis les attentats de 2015. Il se limite alors à demander au gouvernement de justifier chaque année, par décret, de la permanence de cette menace. Ce décret s'analyse comme une pure formalité, d'autant qu'il sera contrôlé par le Conseil d'État lui-même. 

Les associations requérantes voient dans cet arrêt la consécration d'un "état d'urgence permanent", formule destinée à frapper l'opinion. Mais au-delà de la controverse, l'arrêt illustre sans doute l'incompréhension qui, peu à peu, s'est développée entre l'Union européenne et les autorités des États membres. Ces dernières ne comprennent pas ce qu'elles considèrent comme une ingérence européenne dans des questions régaliennes touchant au renseignement ou à la justice. On peut d'ailleurs se demander comment la CJUE a pu sérieusement penser que les États renonceraient, en pleine période de menace terroriste, à utiliser des données de connexion qui  leurs sont tout à fait indispensables. De toute évidence, le droit de l'Union n'est pas détaché des réalités qui sont celles des États membres.

Sur la protection des données : Manuel de Libertés publiques version E-Book et version papier, chapitre 8, section 5.

La CJUE et les "valeurs européennes"

L'arrêt Commission c. Hongrie rendu le 21 avril 2026 par la Cour de justice de l'Union européenne (CJUE) se réfère directement à la notion de "valeurs européennes" pour censurer une législation hongroise. En l'espèce, il s'agit d'une loi "de protection de l'enfance" de 2021. Derrière ce prétexte de la protection de l'enfance apparaît un texte  qui interdit d'exposer les mineurs à tout contenu représentant la sexualité non hétérosexuelle comme une réalité ordinaire. L'homosexualité et la transidentité y sont présentées comme étant aussi dangereuses que la pédophilie. 

Sur le fond, il n'est guère contestable que ce texte a un contenu discriminatoire qui pourrait parfaitement être sanctionné par la Cour européenne des droits de l'homme (CEDH). A ce stade, cette dernière n'a pas encore statué sur ce texte particulier mais elle s'est déjà prononcée sur des cas à peu près semblables, notamment celui de la loi russe interdisant "la promotion de l'homosexualité" auprès des mineurs. Cette formulation s'inscrit évidemment dans un système juridique russe qui considère que toute mention de l'homosexualité dissimule la promotion d'une pratique illégale. Dans un arrêt Bayev c. Russie du 20 juin 2017, elle la sanctionne comme portant atteinte à la liberté d'expression protégée par l'article 10 de la convention européenne des droits de l'homme et au principe de non-discrimination garanti par son article 14. D'autres décisions protègent la liberté de l'orientation sexuelle.

Ce n'est donc pas le sens de la décision qui justifie l'intervention de l'Assemblée plénière de la CJUE le 21 avril 2026. On sait que cette formation est compétente pour statuer sur les affaires qui présentent un intérêt exceptionnel, susceptible d'avoir une influence très importante sur le droit de l'Union. 

Tel est le cas en l'espèce, car la décision donne une interprétation de l'article 2 du traité sur l'Union européenne (TUE) qui est utilisé comme fondement direct de la décision. Les valeurs de l'Union ne sont pas seulement un objectif à atteindre, mais constituent des principes juridiques qui fondent les décisions de la CJUE.

Madame Simone, Will Tuckett

La fille mal gardée, Royal Ballet

. Musique de Herold

L'article 2 TUE

L'article 2 TUE est ainsi rédigé :

L'Union est fondée sur les valeurs de respect de la dignité humaine, de liberté, de démocratie, d'égalité, de l'État de droit, ainsi que de respect des droits de l'homme, y compris des droits des personnes appartenant à des minorités. Ces valeurs sont communes aux États membres dans une société caractérisée par le pluralisme, la non-discrimination, la tolérance, la justice, la solidarité et l'égalité entre les femmes et les hommes.

Ces dispositions sont complétées par les articles 6 et 7 du même traité. L'un affirme que les droits figurant dans la Charte des droits fondamentaux font partie du droit de l'Union, l'autre organise la procédure politique de constatation d’un risque clair de violation grave de ces valeurs par un État membre. 

L'article 2 précise le contenu des "valeurs" en dressant une liste de principes, dignité, liberté, démocratie, égalité, auxquels il faut ajouter l"État de droit et les droits de l'homme. En clair, toutes les libertés consacrées dans la Charte européenne ont vocation à être rattachées aux "valeurs" de l'Union.

La jurisprudence de la CJUE montre qu'elle a déjà invoqué ces "valeurs". L'arrêt du 27 février 2018 Associação Sindical dos Juízes Portugueses rattache ainsi directement à l'article 2 le principe de l'indépendance judiciaire. Il en est logiquement de même des garanties statutaires dont doivent bénéficier les magistrats avec la décision Commission c. Pologne du 24 juin 2019 .

Dépasser le recours en manquement

La loi hongroise "protection de l'enfance" pouvait parfaitement être mise en cause sur le fondement de l'article 2, notamment au regard du principe d'égalité et de la protection des minorités. Bien entendu, l'arrêt de la CJUE cite également des fondements juridiques issus du droit dérivé, en particulier les textes relatifs à la circulation de l'information et Règlement général de protection des données (RGPD).

La CJUE aurait donc pu sanctionner la Hongrie sur la base d'un recours en manquement, mais elle a délibérément choisi d'aller plus loin en affirmant que ces "valeurs européennes" sont un socle commun sur lequel repose l'Union elle-même et dont les États membres ne sauraient s'affranchir. Elle entend précisément que ces "valeurs" ne relèvent pas seulement d'un engagement des États. Elles s'analysent comme des normes juridiques qui seraient sans doute appelées "principes" dans d'autres systèmes. Elles sont donc invocables dans les contentieux et, d'une certaine manière, la décision invite les requérants et les juges internes à s'y référer.

Les États membres ne s'y sont pas trompés, et seize d'entre eux sont intervenus à l'instance. On observe tout de même que, jusqu'à maintenant, les juridictions internes, au moins en France, n'utilisent pas la notion de "valeurs européennes", sans doute parce qu'elle pourrait permettre de sanctionner non pas une norme, mais une politique entière. 

Le Conseil constitutionnel comme le Conseil d'État et la Cour de cassation mobilisent plutôt la dignité, l'égalité ou le principe de non-discrimination, sans oublier évidemment la liberté d'expression. Ces notions ont fait leurs preuves comme instruments de protection des droits et libertés, et il faut bien reconnaître que les "valeurs européennes" n'apportent pas de protection supplémentaire. Comme souvent en droit de l'Union, l'importance de la décision, accentuée par la CJUE elle-même et son choix de statuer en assemblée plénière, est évaluée à l'aune de l'affirmation d'un espace juridique commun. 

Il ne fait aucun doute que l'arrêt sera critiqué comme "européisme" par certains. Le plus grave est qu'ils trouveront aussi quelques éléments de langage dans la lecture de l'arrêt. 

Les "personnes cisgenres"

C'est ainsi que la décision se réfère ainsi, à plusieurs reprises, à la discrimination des "personnes non cisgenres et non hétérosexuelles". Or la notion de personnes "cisgenres" ne se trouve pas dans la jurisprudence classique de la CJUE, si ce n'est quelquefois dans les moyens développés par les parties, ou parfois par l'avocat général. Jusqu'à aujourd'hui, la CJUE utilisait surtout les notions de sexe, d'orientation sexuelle, d'identité de genre, de changement de sexe etc. Ces notions ont un contenu juridique, spécifiquement rattaché au vocabulaire de la discrimination. La notion de "personne cisgenre" relève plutôt du vocabulaire sociologique. Il vise en effet la perception de la personne qui n'est pas transgenre et qui se reconnaît dans le sexe qui lui a été attribué à la naissance. Aujourd'hui, la référence à la "personne cisgenre" relève aussi du vocabulaire militant qui vise tout simplement à affirmer le droit à la différence ce qui, somme toute, est d'une grande banalité.

Quoi qu'il en soit, ce vocabulaire surprend un peu, venant de la CJUE. Ce petit travers risque de lui coûter cher. Ses opposants ne manqueront pas de se saisir de cet usage d'une terminologie bien peu juridique. L'amalgame devient alors très facile et certains ne manqueront pas d'affirmer que les "valeurs européennes" sont les valeurs du "wokisme". Ce n'est pas ce que dit la Cour, mais c'est ce que diront les commentateurs, évidemment. 

L'usage des drones à des fins de police administrative

Le juge des référés du Conseil d'État met fin, dans une ordonnance du 24 mai 2023 M. X et Association de défense des libertés constitutionnelles (ADELICO), aux incertitudes qui pouvaient encore exister sur la légalité du recours aux drones en matière de police administrative. Il refuse de suspendre le décret du 19 avril 2023 relatif à la mise en oeuvre de traitements d'images au moyen de dispositifs de captation installés sur des aéronefs pour des missions de police administrative. Ce texte a été pris sur le fondement de la loi du 24 janvier 2022 relative à la responsabilité pénale et à la sécurité intérieure qui autorise les services de la police et de la gendarmerie nationales à recourir à la captation d’images au moyen de caméras installées sur des aéronefs, drones, hélicoptères, ballons captifs.

 

Les précédents jugements

 

Alors même que le décret d'avril 2023 est très récent, l'ordonnance du juge des référés du Conseil d'État n'est pas la première décision de justice visant à contester l'usage des drones, notamment lorsqu'ils sont utilisés pour surveiller les manifestations. La suspension d'arrêtés préfectoraux autorisant leur utilisation avait déjà été demandée devant le juge des référés de différents tribunaux administratifs, notamment à  Paris, Lyon et Bordeaux le 1er mai 2023. Tous avaient refusé la suspension. En revanche, le juge des référés du tribunal administratif de Rouen avait suspendu un arrêté préfectoral autorisant l'usage des drones au Havre, mais dans la seule mesure où l'arrêté couvrait une période de huit heures après le début du cortège. 

L'ordonnance du Conseil d'État n'est pas en contradiction avec celles préalablement rendues par les juges des tribunaux administratifs. Au contraire, elle vient conforter la position de l'ensemble des juges saisis dans ce domaine. Après une période durant laquelle l'usage des drones, en matière de police administrative, n'était pas prévue ni encadrée par le droit, ils prennent acte de la création d'un véritable fondement juridique à cette pratique.

 

 Drone. Jason Bourque. 2017

 

Le précédent de 2020

 

Il y a eu une époque, pas si lointaine, où le drone était l'objet d'une sorte d'improvisation juridique. En 2020, les forces de police avaient utilisé à Paris quatre drones pour repérer les rassemblements de personnes, dans un contexte de sortie progressive du confinement lié à la crise sanitaire. Les images captées étaient transmises à un centre de commandement, qui décidait de la conduite à tenir, soit ne rien faire, soit utiliser le haut-parleur intégré au drone pour diffuser un message de mise en garde aux personnes présentes sur le site, soit envoyer des agents susceptibles de verbaliser. 

Le juge des référés du Conseil d'État, dans une ordonnance du 18 mai 2020, avait suspendu l'arrêté préfectoral autorisant un tel usage des drones. Sa décision ne reposait pas sur une opposition de font à cette technologie en matière de gestion des rassemblements, mais bien davantage sur l'absence de garanties offertes aux personnes dont l'image était ainsi captée. Aucun dispositif ne garantissait en effet que le drone volait suffisamment haut pour empêcher l'identification des personnes. Or, s'il volait bas pour précisément capter des images identifiantes, il violait le Règlement général de protection des données (RGPD), puisque l'avis préalable de la Commission nationale de l'informatique et des libertés (CNIL) n'avait pas été demandé.

 

Les garanties apportées par la loi

 

Depuis lors, la loi du 24 janvier 2022 est intervenue, et elle définit le socle juridique sur lequel repose l'usage des drones. L'article L 242-2 du code de la sécurité intérieure (csi) précise que les images captées ne peuvent être visionnées que pendant la durée strictement nécessaire à l'intervention. De même est-il prévu, dans l'article L 242-4 csi que ces dispositifs ne peuvent "ni procéder à la captation du son, ni comporter de traitements automatisés de reconnaissance faciale". Les images ainsi recueillies ne peuvent faire l'objet d'aucune interconnexion avec un autre traitement automatisé. Le décret du 19 avril 2023, celui-là même dont il est demandé la suspension, définit concrètement comment ces garanties sont mises en oeuvres.

Certes, mais elles peuvent être considérées comme insuffisantes et c'est précisément la thèse que soutiennent les requérants. Ils reprochent ainsi au dispositif juridique de ne pas comporter la doctrine d'emploi des drones, c'est-à-dire les situations précises dans lesquelles les drones peuvent être utilisés. De même déplorent-ils qu'il ne soit mentionné nulle part que l'usage des drones s'arrête au domicile des personnes et que le dispositif d'information du public ne soit pas détaillé.

La décision du Conseil constitutionnel du 20 janvier 2022

Les garanties apportées à l'usage des drones en matière de police administrative ont pourtant été jugées suffisantes par le Conseil constitutionnel, dans sa décision du 20 janvier 2022. Il constate que le législateur a dressé une liste précise des finalités d'ordre public qui justifient l'utilisation des drones, notamment lorsque la sécurité des personnes et des biens est particulièrement exposée à des risques de commission de certaines infractions, ou pour protéger des bâtiments publics de tentatives d'intrusion ou de dégradation. S'y ajoutent la menace terroristes et la sécurité des rassemblements de personnes sur la voie publique. Cette dernière finalité est évidemment la plus contestée au nom d'une liberté de manifestation actuellement souvent revendiquée comme absolue. Quoi qu'il en soit, cette liste est considérée comme satisfaisante par le Conseil constitutionnel. De la même manière, il note que l'autorisation préfectorale non seulement détermine cette finalité mais précise aussi le nombre de dispositifs utilisés ainsi que la durée de leur usage. 

Le Conseil constitutionnel a donc déclaré conforme à la Constitution les dispositions législatives autorisant l'usage des drones en matière de police administrative. Dans de telles questions, il était évident que le référé déposé par les requérants demandant la suspension du décret d'application de la loi de 2022 avait peu de chances de prospérer. Sans doute ont-ils pensé que les juges administratifs, qui se sont montrés très protecteurs de la liberté de manifestation en suspendant récemment bon nombre d'arrêtés d'interdiction, continueraient en quelque sorte sur leur lancée, dans une sorte de grand élan protecteur de la liberté de manifester. Mais le Conseil d'État, même en référé, n'est pas aussi enclin que les tribunaux administratifs à adopter des décisions de combat. Surtout, l'ordonnance rendue le 24 mai 2023 ne prive le Conseil d'État d'aucune de ses prérogatives. Il lui appartiendra en effet d'apprécier, au cas par cas, la légalité des arrêtés préfectoraux autorisant l'usage des drones, et de construire une jurisprudence dans ce domaine. Il ne fait aucun doute que les requérants habituels, et notamment l'association ADELICO, l'aideront dans cette mission.

La liberté de manifestation : Manuel de Libertés publiques version E-Book et version papier, chapitre 12, section 1 § 2

Les mineurs de moins de 15 ans interdits de réseaux sociaux

La proposition de loi visant à protéger les mineurs des risques auxquels les expose l'utilisation des réseaux sociaux a été adoptée en seconde lecture le 21 juillet 2026, après un accord trouvé en commission mixte paritaire. Ce texte initié par Laure Miller, du groupe Ensemble pour la République n'est toutefois pas encore promulgué, car il a été déféré au Conseil constitutionnel par deux groupes de députés, LFI, et socialistes.

Nul ne conteste la nécessité de protéger les mineurs. Les réseaux sociaux sont accusés en effet de favoriser le harcèlement scolaire, de diffuser des contenus violents ou pornographiques, voire d'encourager des pratiques addictives et d'altérer la santé mentale des plus jeunes utilisateurs. Les études se multiplient sur ces questions et traduisent une inquiétude réelle. Le législateur a donc choisi une solution simple, l'interdiction pure et simple.

Interdire le téléphone au lycée

Observons d'abord que la proposition élargit l'interdiction d'utiliser les téléphones portables durant le temps scolaire. Elle modifie l'article L511-5 du code de l'éducation pour étendre aux lycéens la "pause numérique", déjà exigée des élèves de l'enseignement primaire et du collège, La seule dérogation possible sera en faveur des élèves de l'enseignement supérieur accueillis au lycée, BTS et classes préparatoires. Cette pause numérique est loin d'être inutile. On ne voit cependant pas comment elle peut mettre les mineurs à l'abri des risques attachés à l'utilisation des réseaux sociaux. Rien n'interdit aux lycéens d'y passer leur soirée, après les cours.

Thomas Bauzou

 Tintin Mêmes et Parodies, janvier 2026

Le choix d'imposer une obligation de résultat aux plateformes

La disposition la plus importante et la plus médiatisée de la proposition de loi réside toutefois dans l'interdiction de l'accès aux réseaux sociaux des mineurs de moins de quinze ans. La norme a le mérite d'être claire. Les plateformes proposant un réseau social ne pourront plus autoriser ces enfants à ouvrir un compte. Par voie de conséquence, elles devront mettre en oeuvre un mécanisme fiable de vérification de l'âge des utilisateurs.

Observons d'emblée que l'on aurait pu envisager une autre voie, consistant à responsabiliser les familles. Elles disposent aujourd'hui en effet de moyens techniques leur permettant de suivre l'activité de leurs enfants sur les réseaux sociaux. Mais on a préféré faire peser sur les plateformes une obligation de résultat. Il leur appartient d'empêcher les enfants de moins de 15 ans d'accéder à leurs services.

Les précédents européens

Cette démarche s'inscrit dans un courant déjà engagé par le droit de l'Union européenne. Le Digital Services Act du 19 octobre 2022 impose déjà aux très grandes plateformes des obligations particulières pour protéger les mineurs. Mais il cherche davantage à adapter les plateformes aux mineurs qu'à écarter les mineurs des plateformes. Aucun contrôle d'identité n'est imposé, mais des mesures doivent être prises pour assurer un niveau élevé de protection de leur vie privée et de leur sécurité. En d'autres termes, la plateforme doit cibler les mineurs et adapter les contenus, notamment en empêchant leur profilage à des fins publicitaires.

De son coté, le Règlement général de protection des données (RGPD) fixe à 15 ans l'âge à partir duquel un mineur peut consentir au traitement de ses données personnelles. L'actuelle proposition franchit, sur ce point, une étape supplémentaire. Elle ne veut pas seulement encadrer le traitement des données, mais impose une condition d'âge pour l'accès au service.

La constitutionnalité

Il est évidemment très délicat d'anticiper une décision du Conseil constitutionnel, mais la proposition de loi n'est pas dépourvue d'arguments en faveur de sa constitutionnalité.

Certes, le Conseil n'a jamais formellement consacré la protection de l'enfance comme un principe ou un objectif de valeur constitutionnelle. En revanche, dans sa décision du 10 mars 2011, sur la Loppsi 2, il juge que le législateur peut imposer un dispositif permettant à l'administration de bloquer des sites diffusants des images pédopornographiques. Une telle ingérence dans la liberté de communication est proportionnée lorsqu'il s'agit de protéger les mineurs.

On sait que, depuis la décision Hadopi du 10 juin 2009, la liberté de communication garantie par l'article 11 de la Déclaration de 1789 impose l'accès aux services de communication en ligne. Mais en l'espèce, la communication en ligne ne concerne que les réseaux sociaux, et l'interdiction ne concerne que les mineurs de moins de quinze ans. Or, depuis bien longtemps, la jurisprudence considère qu'il n'y a pas atteinte à l'égalité lorsque des personnes en situation différente sont traitées de manière différenciée. Il est évident que les mineurs de moins de quinze ans constituent une catégorie de population justifiant une protection spécifique.

On ne saurait pourtant limiter le débat constitutionnel à ces éléments. Il pourrait en effet se déplacer vers la question de la mise en oeuvre de la loi, sujet qui n'est pas sérieusement évoqué par le législateur, comme s'il n'y avait tout simplement pas pensé.

Comment une plateforme peut-elle s'assurer qu'un utilisateur a quatorze ou seize ans?  Jusqu'à présent, une simple déclaration suffisait, mais la loi exige désormais un contrôle plus fiable. 

Les difficultés d'application

Sur ce point, aucune des solutions possibles n'est satisfaisante. On peut envisager de demander à un prestataire tiers de certifier l'âge de l'internaute, mais qui serait ce tiers et quelle serait la fiabilité de la certification ? On peut aussi imaginer que l'intelligence artificielle retrouve l'âge de l'utilisateur en établissant son profil, mais la méthode ne garantit par l'obligation de résultat.

Demander une pièce d'identité se heurte à une énorme difficulté liée à la protection des données personnelles. Pour empêcher quelques millions de mineurs de moins de quinze ans d'accéder aux réseaux sociaux, faudra-t-il que des dizaines de millions d'utilisateurs transmettent une copie de leur carte d'identité ? Le remède serait alors plus grave que le mal. Les plateformes se verraient confier des données personnelles présentant un fort risque d'utilisation commerciale ou de piratage. Le législateur français offrirait à Elon Musk ce dont il a toujours rêvé, des données identifiantes gratuites et exploitables. La question de constitutionnalité de déplace ainsi vers le contrôle de proportionnalité. Une vérification systématique de l'identité de tous les utilisateurs français des réseaux pourrait apparaitre comme disproportionnée au regard de l'objectif poursuivi.

Une autre difficulté de taille réside dans le caractère mondial des réseaux sociaux. Les principales plateformes, généralement établies hors de France, accepteront-elles de développer un système spécifique de contrôle pour les seuls utilisateurs français ? On imagine mal Tik-Tok acceptant de bonne grâce de se plier à ces exigences. Il est probable qu'elles utiliseront tous les moyens contentieux pour se soustraire à ces obligations. Si finalement, elles y sont contraintes, elles rechercheront des solutions techniques minimales.

Surtout, la dernière difficulté se trouve dans une sorte de naïveté de législateur.  Pense-t-il sérieusement qu'un jeune de moins de quinze ans ne sait pas utiliser un VPN, technique simple qui permet de contourner la législation française en faisant tourner son adresse IP entre différents pays. De même, un adolescent saura sans doute créer un compte avec une fausse date de naissance, voire utiliser celle de son grand frère ou d'un parent. En tout état de cause, ce qui est transgressif est attirant quand on a moins de quinze ans.

Finalement, il n'existe aucune solution fiable. Plus les contrôles seront rigoureux, plus ils imposeront une collecte importante de données personnelles. Plus ils seront légers, plus ils seront faciles à contourner. 

Telle qu'elle a été votée, la loi ressemble à un village Potemkine. On voit une belle construction, pleine de bons sentiments, mais aucun élément ne permet de la faire tenir debout. Le succès de la réforme ne dépend pas de la proclamation de l'interdiction, mais bien davantage de sa mise en oeuvre concrète. Si celle-ci n'est pas organisée, la loi demeurera un texte de plus destiné à satisfaire un électorat qui préfère confier à la loi l'éducation de ses enfants.

Reste évidemment, mais c'est un autre sujet, à s'interroger sur l'évolution actuelle du droit du numérique. Après avoir longtemps considéré les plateformes comme de simples intermédiaires techniques, le législateur entend leur imposer des missions qui sont pratiquement des missions de police : vérifier l'âge, détecter les contenus illicites, supprimer des publications ou suspendre des comptes. S'agit-il de déléguer des fonctions régaliennes à X, Instagram ou Tik Tok ? La question mériterait un débat. 

Drone, mode d'emploi

Trois ordonnances rendues par le juge des référés des tribunaux administratifs de Paris, Lyon et Bordeaux le 1er mai 2023 refusent la suspension des arrêtés préfectoraux autorisant l'usage des drones pour la surveillance des manifestations du 1er mai. Seul le juge des référés du tribunal administratif de Rouen donne, très partiellement, satisfaction aux demandeurs. Il sanctionne en effet une autorisation d'usage des drones au Havre qui couvrait une période de huit heures après le début du cortège. Il considère donc que l'atteinte à la liberté d'aller et venir et droit au respect de la vie privée est excessive, et suspend l'autorisation "après 14 heures", sans modifier le périmètre de survol.

Ces décisions sont pratiquement identiques, et la suspension partielle prononcée à Rouen ne modifie en rien l'analyse juridique. Celle-ci était prévisible. Après les premières hésitations sur les conditions de légalité de l'usage des drones dans le domaine de la sécurité, les autorités ont en effet renforcé les fondements juridiques de cette pratique. Les ordonnances de référé rendues le 1er mai prennent acte de cette évolution.

Les premières décisions, ou l'hésitation jurisprudentielle

Tout a commencé avec plusieurs ordonnances rendues par le juge des référés du Conseil d'État le 18 mai 2020, saisi sur le même fondement du référé-liberté. A l'époque, il agissait dans un contexte de sortie progressive du confinement lié à la crise sanitaire. Les forces de police avaient alors utilisé, dans la ville de Paris, quatre drones équipés d'un zoom optique et d'un haut-parleur, utilisés deux à trois heures par jour. Le télépilote du drone filmait les lieux dans lesquels des rassemblements étaient susceptibles de se former, en violation des mesures prescrites par l'état d'urgence sanitaire. Les images étaient transmises en temps réel dans un centre de commandement, où il était décidé de la conduite à tenir, soit ne rien faire, soit utiliser le haut-parler pour diffuser un message de mise en garde aux personnes présentes sur le site, soit envoyer des agents susceptibles de verbaliser. Le juge des référés avait suspendu l'arrêté préfectoral autorisant cette pratique pour un motif de procédure. En l'absence de dispositif technique imposant au drone de voler suffisamment haut pour ne pas capter de données identifiantes, il considère que la procédure doit être celle imposée par le Règlement général de protection des données (RGPD). Elle suppose donc un avis préalable de la CNIL, qui n'avait pas été saisie en l'espèce.

La seconde décision dans ce domaine est venue du Conseil constitutionnel. Le 20 mai 2021, il s'est prononcé sur la conformité à la Constitution de la loi "pour une sécurité globale préservant les libertés". Parmi les multiples dispositions annulées par le Conseil, se trouvent celles permettant 'utilisation des drones par les forces de police aux fins de recherche, de constatation ou de poursuite des infractions pénales, ou aux fins de maintien de l'ordre. 

Le Conseil constitutionnel ne conteste pas l'intérêt que peuvent représenter les drones pour ces différentes missions qui ne concernent pas seulement le contrôle des manifestations, mais aussi le repérage des points de drogue ou des rodéos urbains. Il affirme au contraire que le législateur peut autoriser de telles pratiques "pour répondre aux objectifs de valeur constitutionnelle de prévention des atteintes à l'ordre public et de recherche des auteurs d'infractions". Mais il note que la mobilité des drones, et la hauteur à laquelle ils peuvent évoluer, rendent possible la captation de l'image d'un grand nombre de personnes et le suivi de leur déplacement, alors même qu'elles n'ont rien à voir avec les finalités d'ordre public poursuivies. Le Conseil censure donc ces dispositions car le législateur aurait dû assortir l'usage des drones de garanties particulières destinées à garantir le respect de la vie privée des personnes.

Cette décision du Conseil offre ainsi au législateur un véritable mode d'emploi des drones dans le domaine de la sécurité. Des textes nouveaux interviennent donc pour rendre l'usage des drones conforme à la jurisprudence du Conseil constitutionnel.

 

 Gus, septembre 1969

Les textes récents

 

La loi du 24 janvier 2022 relative à la responsabilité pénale et à la sécurité intérieure a permis d’autoriser les services de la police et de la gendarmerie nationales à recourir à la captation d’images au moyen de caméras installées sur des aéronefs, drones, hélicoptères, ballons captifs. Cette fois, le Conseil constitutionnel déclare, le 20 janvier, le texte conforme à la Constitution. En effet, le législateur a précisément rédigé la loi, de manière à empêcher la captation de données identifiantes.

Les conditions d'usage des drones sont clairement précisées. Il doit avoir pour seule finalité d'assurer la sécurité des interventions des services chargés de la sécurité, pour la seule durée de ces intervention. Un usage généralisé et discrétionnaire des drones est donc illicite, ce qui suppose une définition de sa durée. De même, les images enregistrées concernent les lieux publics, ce qui interdit tout enregistrement dans une habitation privée. Enfin, les instruments biométriques de reconnaissance faciale sont prohibés, comme tout rapprochement ou interconnexion de données. Concrètement, le drone peut donc être utilisé à des fins de police administrative, pour filmer de haut les mouvements de groupes de personnes, sans que les individus puissent être identifiés.

Les manifestations sur la loi travail ont incité les pouvoirs publics à accélérer la mise en oeuvre de ces dispositions. Un décret du 19 avril 2023 définit ainsi un cadre juridique précis pour l'usage des drones en matière de police administrative. Intégré dans la partie réglementaire du code de la sécurité intérieure, il dresse la liste des cas dans lesquels les drones peuvent être utilisés. Y figure notamment "la sécurité des rassemblements de personnes sur la voie publique ou dans des lieux ouverts au public ainsi que l'appui des personnels au sol, en vue de leur permettre de maintenir ou de rétablir l'ordre public, lorsque ces rassemblements sont susceptibles d'entraîner des troubles graves à l'ordre public".

Les différents juges des référés des tribunaux administratifs saisis ne manquent pas de se référer à cette disposition. Il est évident que les manifestations récentes ont donné lieu à des troubles graves à l'ordre public, le plus souvent provoqués par une petite minorité de manifestants violents. Les juges notent également que l'usage des drones est limité à la durée de la manifestation, et d'ailleurs l'arrêté du préfet de Seine Maritime est suspendu pour la seule période allant au-delà de la durée estimée du rassemblement.

Les associations requérantes ont développé un ensemble de moyens qui auraient peut-être pu se révéler efficaces avant la loi du 24 janvier 2022 et le décret du 19 avril 2023. Hélas pour elles, les pouvoirs publics ont voulu éviter une mésaventure telle que celle du 18 mai 2020. Ils ont donc considérablement musclé le droit applicable à l'utilisation des drones en matière de police administrative. Ils ont, en quelque sorte, anticipé les recours. In fine, la question est celle de savoir si les associations requérantes ne se trompent pas de combat. Ils voient les drones, et le disent dans leur recours, comme une atteinte à la liberté de manifester. Mais au contraire, l'utilisation de cette technique, dès lors que les données recueillies ne sont pas identifiantes car filmées de très haut, permet par exemple de déceler la présence de Black Blocs, de voir les violences dès leurs prémices. Il s'agit alors de protéger les manifestants, les vrais, ceux qui viennent pour faire valoir leurs revendications.

La liberté de manifestation : Manuel de Libertés publiques version E-Book et version papier, chapitre 12, section 1 § 2

Les caméras "augmentées" devant les écoles niçoises.

L'arrêt Commune de Nice rendu par le Conseil d'État le 30 janvier 2026 affirme la légalité d'une délibération de la Commission nationale de l'informatique et des libertés du 15 mai 2025. Celle-ci rendait alors un avis négatif sur le traitement "zone d'intrusion-entrées des écoles" mis en place par la commune de Nice à proximité des écoles. Elle estimait qu'un traitement de vidéoprotection augmentée, c'est-à-dire en l'espèces systématique et doté d'outils d'intelligence artificielle, ne pouvait être mis en oeuvre en l'état du droit à proximité d'une école.

Fidèle à ses habitudes, la commune de Nice n'avait pas respecté la procédure imposant l'avis préalable de la CNIL pour la mise en oeuvre d'un traitement de vidéoprotection impliquant la captation et la conservation de données personnelles. A la suite d'un contrôle intervenu en avril 2023, la présidente de l'autorité indépendante a mis en demeure la commune de Nice de produire une étude d'impact conformément à l'article 90 de la loi du 6 janvier 1978, et de saisir la Commission pour avis. La délibération du 15 mai 2025 déférée au jugement administratifrend un avis négatif sur la conformité du système à la loi.

La vidéoprotection "augmentée" 

n'est pas la vidéoprotection ordinaire

Le traitement mis en place à Nice n'est pas, à proprement parler, biométrique. Il ne repose pas sur la reconnaissance faciale, mais sur celle des véhicules irrégulièrement stationnés à proximité des écoles. Automatiquement repérés par les caméras intelligentes, ils suscitent, de manière tout aussi automatique, l'intervention de la police municipale. Ce caractère automatisé et systématique de la captation distingue le système d'une vidéoprotection ordinaire, qui capte des données consultées ensuite par des agents publics.

La délibération de la CNIL s'inscrit dans un mouvement constant de méfiance à l'égard des dispositifs de vidéo "augmentée". En juillet 2022, elle publiait ainsi une position sur "les caméras intelligentes ou augmentées dans les espaces publics". Le texte résonnait comme une mise en garde contre le passage du risque de captation généralisée à un risque de surveillance généralisée puis à un risque d'analyse généralisée. Elle réclamait une loi permettant d'encadrer ces dispositifs.

La sortie de l'école. Robert Doisneau. 1956

Le Conseil d'État

La position du Conseil d'État n'est pas différente de celle de la CNIL Sa jurisprudence s'inscrit dans le respect du Règlement général de protection des données (RGPD) qui interdit de traiter " des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique (...). Il reste néanmoins possible de déroger à cette règle, à la condition que le traitement soit autorisé par décret en conseil d’État après avis motivé et publié de la CNIL. Il est sans doute utile de préciser que l'initiative niçoise ignorait ces dispositions.

Le juge administratif exige ainsi un cadre normatif clair. Après certaines hésitations concernant leur usage pour le maintien ou le rétablissement de l'ordre public, la loi du 24 janvier 2022 et le décret du 19 avril 2023 autorisent finalement l'usage des drones lors des manifestations. Mais les textes établissent un encadrement strict interdisant l'embarquement de dispositifs de captation du son ou de reconnaissance faciale. Quant aux images, elles ne sont conservées que le temps strictement nécessaire à la surveillance du rassemblement. Validé par le Conseil constitutionnel le 20 janvier 2022, et par le Conseil d'État le 30 décembre 2024, ce dispositif donne lieu à une jurisprudence très attentive de la juridiction administrative. 

Dans l'affaire niçoise, le Conseil d'État déplore l'absence de texte. Il n'est pas contestable que l'image des personnes dans leurs véhicules et les éléments d'identification obtenus grâce à l'immatriculation constituent des données personnelles relevant du dispositif dérogatoire à la règle de l'interdiction. Mais le régime juridique d'une telle pratique n'est pas précisé.

Il est vrai que le code de la sécurité intérieure, dans son article L 251-2, autorise la mise en oeuvre de systèmes de vidéosurveillance de la voie publique. Mais ces dispositions sont muettes sur l'utilisation éventuelle des algorithmes permettant une analyse systématique et automatisée des données collectées dans les espaces publics. Le Conseil d'État refuse d'élargir ces dispositions à un domaine qui, en tant que tel, porte atteinte aux libertés de la personne, ne serait-ce que son droit à l'image. Dans ces conditions, le dispositif mis en place par la commune de Nice est dépourvu de base légale.

La CEDH

Cette interprétation stricte s'inscrit dans la ligne de la jurisprudence européenne. Dans un arrêt Antovic et Mirkovic c. Montenegro du 28 novembre 2017, la Cour européenne des droits de l'homme (CEDH) a jugé ainsi que la vidéosurveillance dans les amphithéâtres universitaire peut relever de la vie privée et capter des données personnelles. Elle estime donc qu'une telle surveillance exige un cadre légal et des garanties effectives, notamment sur la finalité du traitement et les personnes habilitées à y accéder. 

Dans le cas des données biométriques, les exigences de la CEDH sont encore plus lourdes. Elle estime ainsi, dans un arrêt S. et Harper c. Royaume-Uni rendu en Grande Chambre le 4 décembre 2008, que le fait de conserver indéfiniment les empreintes digitales et l'ADN de personnes qui n'ont finalement pas été poursuivies devant un juge pénal constitue une ingérence disproportionnée dans la vie privée des intéressés.

On imagine facilement que, du côté de Nice, la décision du Conseil d'État va être critiquée comme illustrant parfaitement un pouvoir des juges considéré, une fois pour toutes, comme excessif. En réalité, on observe que ni le juge européenne ni le juge français ne sont hostiles d'emblée à la captation et à la conservation de ce type de données. Ils exigent simplement que le législateur définisse un cadre juridique garantissant le droit des personnes. Dans le cas présent, le fautif n'est donc pas le juge qui se borne à attendre qu'il y ait une loi, mais le législateur qui s'abstient d'intervenir dans un sujet sensible. C'est beaucoup plus facile de ne rien faire et de faire peser sur les juges la responsabilité de cette inertie.