Tribunal Administratif d'Orléans — Décision N° TA45-2104478

Vu la procédure suivante :

Par une requête et des mémoires enregistrés le 12 décembre 2021, le 19 décembre 2022, le 23 octobre 2023 et le 5 janvier 2024, l'association La Quadrature du Net, représentée par Me Fitjzean Ó Cobhthaigh, avocat, demande au tribunal :

1°) d'annuler la convention conclue le 12 avril 2021 entre la commune d'Orléans et la société Sensivic, visant à l'expérimentation des dispositifs Sensivic sur le territoire de la commune d'Orléans ;

2°) d'enjoindre à la commune de cesser d'utiliser le dispositif de surveillance des sons de la société Sensivic et d'effacer toutes les données collectées, sous astreinte de 1 024 euros par jour de retard à compter de la notification du jugement à intervenir ;

3°) de mettre une somme de 4 096 euros à la charge de la commune d'Orléans, en application de l'article L. 761-1 du code de justice administrative.

L'association La Quadrature du Net soutient que :

- elle a intérêt à agir contre la convention litigieuse, qui lèse de façon suffisamment directe et certaine les intérêts qu'elle a pour objet statutaire de défendre ;

- M. A B a qualité pour agir en son nom, dès lors qu'il est membre du collège solidaire et qu'il a été habilité par ce collège le 10 décembre 2021 ;

- la convention litigieuse permet et met en place une expérimentation d'un dispositif constituant, qu'il y ait ou non couplage avec des caméras de vidéosurveillance, un traitement de données personnelles au sens de l'article 3 de la directive (UE) 2016/680 du 27 avril 2016 et de l'article 2 de la loi du 6 janvier 1978, dont des données sensibles au sens des articles 10 de la directive et 6 de la loi ; ce dispositif, qui entre dans le champ d'application défini par les articles 1 et 2 de la directive (UE) 2016/680 du 27 avril 2016 et par l'article 87 de la loi du 6 janvier 1978, est ainsi soumis au titre III de cette loi ;

- la convention méconnaît les articles 8 de la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales, 4 de la directive (UE) 2016/680 du 27 avril 2016 et 4 de la loi du 6 janvier 1978, dès lors que les données collectées et traitées ne sont ni adéquates, ni pertinentes, et qu'en tout état de cause elles sont manifestement excessives au regard des finalités pour lesquelles elles sont traitées, la commune ne démontrant pas que la finalité poursuivie ne pourrait être atteinte autrement ;

- la convention méconnaît les articles 8 de la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales, 10 de la directive (UE) 2016/680 du 27 avril 2016 et 88 de la loi du 6 janvier 1978, dès lors qu'elle entraîne notamment le traitement de données sensibles sans respecter les conditions de légalité d'un tel traitement, qui ne peut être mis en œuvre qu'en cas de nécessité absolue, sous réserve des garanties appropriées pour les droits et libertés des personnes concernées, et à condition d'être préalablement autorisé par une disposition législative ou réglementaire, ou de viser à protéger les intérêts vitaux d'une personne physique déterminée, ou de porter sur des données manifestement rendues publiques par la personne concernée ; aucune analyse d'impact sur la protection des données n'a été soumise à la Commission nationale de l'informatique et des libertés ;

- la convention litigieuse méconnaît l'article 8 de la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales et les articles 4, 8 et 10 combinés de la directive (UE) 2016/680 du 27 avril 2016 ainsi que 4, 5 et 88 de la loi du 6 janvier 1978, dès lors qu'aucun texte légal ou réglementaire, et notamment pas le code de la sécurité intérieure, ne fonde le traitement prévu par la convention, qui constitue une ingérence grave dans le droit à la vie privée et à la protection des données personnelles des habitants ;

- l'illicéité de l'objet même de la convention ne pourra que conduire à son annulation.

Par des mémoires enregistrés le 15 juin 2022, le 7 avril 2023, le 21 décembre 2023 et le 8 janvier 2024, la commune d'Orléans, représentée par le cabinet d'avocats Richer et associés, conclut au rejet de la requête et à ce qu'une somme de 3 000 euros soit mise à la charge de l'association requérante.

La commune soutient que :

- la requête est irrecevable, dès lors, en premier lieu, que le délai de recours contre le contrat litigieux était expiré lorsque l'association La Quadrature du Net en a demandé l'annulation, en deuxième lieu, que la requérante ne démontre pas son intérêt à agir, en troisième lieu, qu'elle ne justifie pas de la qualité pour agir de M. B, faute de démontrer, conformément aux statuts, que M. B, d'une part, serait membre du collège solidaire, d'autre part, aurait été régulièrement habilité par ce collège ;

- l'expérimentation contestée est à présent terminée ;

- le dispositif de la société Sensivic, qui notamment ne capte pas de sons mais perçoit uniquement des vibrations, ne comporte aucun traitement de données personnelles, alors même qu'il serait couplé avec des caméras - ce que la convention ne prévoit pas obligatoirement ; aucun texte n'interdit le fonctionnement d'un tel dispositif, qui concourt à la protection de chaque être humain conformément à l'article 2 de la Déclaration des droits de l'homme et du citoyen ; conformément à l'article 5 de la même Déclaration, tout ce qui n'est pas défendu par la loi ne peut être empêché ; ce dispositif n'a causé aucun préjudice ;

- aucune loi n'interdisant le dispositif litigieux, l'objet du contrat ne peut pas être illicite et le contrat ne pourra pas être annulé.

Vu les autres pièces du dossier.

Vu :

- la Constitution, notamment son préambule ;

- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;

- la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 ;

- le code général de collectivités territoriales ;

- la loi n° 78-17 du 6 janvier 1978 ;

- le code de justice administrative.

Les parties ont été régulièrement averties du jour de l'audience.

Ont été entendus au cours de l'audience publique :

- le rapport de M. Dorlencourt,

- les conclusions de Mme Doisneau-Herry, rapporteure publique,

- et les observations de Me Colombet, représentant la commune d'Orléans.

Une note en délibéré présentée pour la commune d'Orléans a été enregistrée le 1er juillet 2024.

Considérant ce qui suit :

1. Indépendamment des actions dont disposent les parties à un contrat administratif et des actions ouvertes devant le juge de l'excès de pouvoir contre les clauses réglementaires d'un contrat ou devant le juge du référé contractuel sur le fondement des articles L. 551-13 et suivants du code de justice administrative, tout tiers à un contrat administratif susceptible d'être lésé dans ses intérêts de façon suffisamment directe et certaine par sa passation ou ses clauses est recevable à former devant le juge du contrat un recours de pleine juridiction contestant la validité du contrat ou de certaines de ses clauses non réglementaires qui en sont divisibles. Ce recours doit être exercé, y compris si le contrat contesté est relatif à des travaux publics, dans un délai de deux mois à compter de l'accomplissement des mesures de publicité appropriées, notamment au moyen d'un avis mentionnant à la fois la conclusion du contrat et les modalités de sa consultation dans le respect des secrets protégés par la loi. La légalité du choix du cocontractant, de la délibération autorisant la conclusion du contrat et de la décision de le signer ne peut être contestée qu'à l'occasion du recours ainsi défini. Le représentant de l'Etat dans le département et les membres de l'organe délibérant de la collectivité territoriale ou du groupement de collectivités territoriales concerné, compte tenu des intérêts dont ils ont la charge, peuvent invoquer tout moyen à l'appui du recours ainsi défini. Les autres tiers ne peuvent invoquer que des vices en rapport direct avec l'intérêt lésé dont ils se prévalent ou ceux d'une gravité telle que le juge devrait les relever d'office. Saisi ainsi par un tiers, dans les conditions définies ci-dessus, de conclusions contestant la validité du contrat ou de certaines de ses clauses, il appartient au juge du contrat, après avoir vérifié que l'auteur du recours se prévaut d'un intérêt susceptible d'être lésé de façon suffisamment directe et certaine et que les irrégularités qu'il critique sont de celles qu'il peut utilement invoquer, lorsqu'il constate l'existence de vices entachant la validité du contrat, d'en apprécier l'importance et les conséquences. Ainsi, il lui revient, après avoir pris en considération la nature de ces vices, soit de décider que la poursuite de l'exécution du contrat est possible, soit d'inviter les parties à prendre des mesures de régularisation dans un délai qu'il fixe, sauf à résilier ou résoudre le contrat. En présence d'irrégularités qui ne peuvent être couvertes par une mesure de régularisation et qui ne permettent pas la poursuite de l'exécution du contrat, il lui revient de prononcer, le cas échéant avec un effet différé, après avoir vérifié que sa décision ne portera pas une atteinte excessive à l'intérêt général, soit la résiliation du contrat, soit, si le contrat a un contenu illicite ou s'il se trouve affecté d'un vice de consentement ou de tout autre vice d'une particulière gravité que le juge doit ainsi relever d'office, l'annulation totale ou partielle de celui-ci.

2. Le 12 octobre 2021, le maire d'Orléans a signé avec la SAS Sensivic une convention dont l'objet est, selon son article 1er, " de déterminer les conditions dans lesquelles la société Sensivic pourra réaliser () une expérimentation visant à installer des dispositifs, en certains points du territoire de la ville, pour la détection des sons, en particulier la détection automatisée des bruits anormaux ". L'association La Quadrature du Net demande au tribunal, saisi dans le cadre du recours régi par les principes exposés au point précédent, d'annuler cette convention.

Sur les fins de non-recevoir et l'exception de non-lieu à statuer opposées en défense :

3. En premier lieu, si, dans le dernier état de ses écritures, la ville d'Orléans indique que " l'expérimentation contestée est à présent terminée ", une telle circonstance est sans incidence sur la recevabilité de la requête et n'a pas pour effet de lui faire perdre son objet.

4. En deuxième lieu, aux termes de l'article 3 de ses statuts, l'association La Quadrature du Net " a pour objet désintéressé et non lucratif la promotion et la défense des droits et des libertés fondamentales dans l'environnement numérique et notamment (liste non limitative) : () / la promotion et la défense du droit à l'intimité, à la vie privée, à la protection de la confidentialité des communications et du secret des correspondances et à la protection des données à caractère personnel () / - la lutte contre la surveillance généralisée ou politique, d'origine privée ou publique ; / - la lutte contre l'utilisation d'outils numériques à des fins de surveillance illégitime () ". Eu égard à cet objet statutaire, l'association requérante est susceptible d'être lésée dans ses intérêts de façon suffisamment directe et certaine par la passation de la convention litigieuse, qui permet la captation de sons dans l'espace public.

5. En troisième lieu, aux termes de l'article 6.4 des statuts : " Le Collège solidaire est l'organe de représentation de l'association et de l'ensemble des membres. Il est ouvert librement à tou·tes les membres désireu·ses d'y participer dans une optique de long terme. Il a en charge l'organisation des différents modes de réunions des membres et de décision et la gestion des affaires courantes de l'association. Sa composition est déclarée en préfecture et mise à jour auprès de celle-ci à chaque changement substantiel ou sur demande d'un·e membre ". L'article 10.3 des statuts prévoit que : " () Le collège solidaire décide des actions en justice. La décision est prise en l'absence d'opposition bloquante. Il désigne une personne en son sein afin d'assurer la représentation en justice de l'association et/ou de mandater un avocat pour ce faire ".

6. L'association requérante produit un extrait du compte-rendu de la réunion du 10 décembre 2021 au cours de laquelle le Collège solidaire a, d'une part, décidé de former un recours devant le tribunal administratif d'Orléans contre la convention litigieuse, d'autre part, désigné M. A B - membre de ce collège, ainsi qu'il résulte de la liste établie à la suite de l'assemblée générale du 17 octobre 2021 de l'association - pour la représenter en justice, y compris en mandatant un avocat. Si la commune fait valoir que, faute pour le compte-rendu de la réunion du 10 décembre 2021 de préciser le nombre de membres du Collège convoqués et ceux effectivement présents, les conditions de désignation de M. B pour représenter l'association sont inconnues, il n'appartient pas au tribunal de se prononcer sur la régularité de la délibération du Collège solidaire, auquel ainsi qu'il a été rappelé ci-dessus les statuts donnaient compétence pour décider de saisir le juge et pour désigner à cet effet un représentant en son sein.

7. En dernier lieu, l'association La Quadrature du Net a demandé l'annulation de la convention en litige, signée le 12 octobre 2021, dans sa requête introductive d'instance enregistrée au greffe du tribunal le 12 décembre 2021. Le recours de l'association requérante a ainsi en tout état de cause été formé dans le délai de deux mois mentionné au point 1.

Sur la validité de la convention :

8. Aux termes de l'article 4 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 : " Aux fins du présent règlement, on entend par : / 1) " données à caractère personnel ", toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée "personne concernée") ; est réputée être une "personne physique identifiable" une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ; / 2) "traitement", toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction () ". Aux termes de l'article 2 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés : " La présente loi s'applique aux traitements automatisés en tout ou partie de données à caractère personnel () / Sauf dispositions contraires, dans le cadre de la présente loi s'appliquent les définitions de l'article 4 du règlement (UE) 2016/679 du 27 avril 2016 ". Aux termes de l'article 4 de cette loi : " Les données à caractère personnel doivent être : / 1° Traitées de manière licite () ". Aux termes de l'article 5 de la même loi : " Un traitement de données à caractère personnel n'est licite que si, et dans la mesure où, il remplit au moins une des conditions suivantes : / 1° Le traitement, lorsqu'il relève du titre II, a reçu le consentement de la personne concernée, dans les conditions mentionnées au 11 de l'article 4 et à l'article 7 du règlement (UE) 2016/679 du 27 avril 2016 précédemment mentionné ; / 2° Le traitement est nécessaire à l'exécution d'un contrat auquel la personne concernée est partie ou à l'exécution de mesures précontractuelles prises à la demande de celle-ci ; / 3° Le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis ; / 4° Le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne physique ; / 5° Le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement ; / 6° Sauf pour les traitements effectués par les autorités publiques dans l'exécution de leurs missions, le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant ".

9. En premier lieu, il résulte de l'instruction, et notamment de l'avis technique rendu le 14 juin 2021 par la SARL CNPP ainsi que du courrier explicatif du 24 janvier 2022 de la SAS Sensivic, produits en défense, que les dispositifs dont la convention litigieuse prévoit l'installation comportent des capteurs, constitués de microphones ayant une fréquence comprise entre 50 et 16 000 Hertz, et d'un micro-contrôleur qui traite les informations issues des capteurs. Les sons captés, qui ne font l'objet d'aucun enregistrement ni d'aucune retransmission, sont découpés en échantillons de l'ordre de 10 millisecondes et comparés avec les sons recherchés, chargés en mémoire du logiciel. En cas de correspondance entre un son capté et un type de son recherché (bris de vitre, détonations, cris ), la caméra de vidéoprotection associée au détecteur est orientée vers la source du son et un signal est émis à destination de l'agent du centre de sécurité chargé du suivi du dispositif qui peut identifier la personne se trouvant à l'origine ou à proximité du bruit anormal capté par le dispositif. En tant qu'ils collectent et utilisent ainsi des informations se rapportant à des personnes susceptibles, au moyen des caméras avec lesquelles ils sont couplés, d'être identifiées par l'opérateur, les dispositifs litigieux procèdent ainsi au traitement de données personnelles au sens des dispositions citées au point 8 ci-dessus. Si la commune d'Orléans fait valoir que lesdits dispositifs ne sont pas nécessairement couplés aux caméras de vidéoprotection, ce couplage est prévu par la convention litigieuse - notamment dans son préambule et son article 3 - et il ressort tant de la délibération par laquelle le conseil municipal d'Orléans a autorisé le maire à signer cette convention que des déclarations publiques de l'adjoint au maire chargé de la sécurité que l'objet même de l'expérimentation et son intérêt pour la ville d'Orléans résident dans ce couplage.

10. En deuxième lieu, le traitement en litige, qui ne remplit aucune des conditions prévues par l'article 5 de la loi du 6 janvier 1978 - alors notamment qu'à le supposer utile pour l'exercice des pouvoirs de police confiés au maire par les articles L. 2212-1 et suivants du code général des collectivités territoriales, il ne peut être regardé comme nécessaire à l'exercice de ces pouvoirs - méconnaît ainsi l'obligation de traitement licite des données personnelles résultant de l'article 4 de la même loi.

11. Enfin, dès lors qu'ainsi qu'il vient d'être dit le traitement objet de la convention du 12 octobre 2021 méconnaît l'obligation de traitement licite des données personnelles résultant de l'article 4 de la loi du 6 janvier 1978, la commune d'Orléans ne peut invoquer utilement l'article 5 de la Déclaration des droits de l'homme et du citoyen, aux termes duquel : " La Loi n'a le droit de défendre que les actions nuisibles à la Société. Tout ce qui n'est pas défendu par la Loi ne peut être empêché, et nul ne peut être contraint à faire ce qu'elle n'ordonne pas ". Le droit à la sûreté garanti par l'article 2 de la même Déclaration ne peut pas plus être invoqué par la commune, dès lors en tout état de cause que celle-ci n'invoque aucun risque pour la sûreté des personnes mais uniquement des risques pour leur sécurité.

Sur les conséquences du vice entachant la validité de la convention :

12. Il résulte de ce qui précède que l'objet même de la convention du 12 octobre 2021 consiste en la mise en œuvre d'un dispositif contraire à la loi. En application des principes rappelés au point 1, il y a lieu dès lors de prononcer l'annulation de cette convention, dès lors qu'une telle annulation ne porte pas une atteinte excessive à l'intérêt général.

Sur les conclusions à fin d'injonction :

13. D'une part, il résulte de l'instruction que les dispositifs Sensivic ont été découplés du dispositif de vidéoprotection de la commune à compter du 27 octobre 2022. Par suite, les conclusions tendant à ce qu'il soit enjoint à la commune de cesser d'utiliser le dispositif de surveillance des sons de la société Sensivic se trouvent privées d'objet.

14. D'autre part, ainsi qu'il a été dit, il résulte de l'instruction que les dispositifs de la société Sensivic ne procédaient à aucun enregistrement des données captées. En tout état de cause le dispositif mis en œuvre ne permettait l'enregistrement d'aucune donnée par la commune d'Orléans. Par suite, les conclusions tendant à ce qu'il soit enjoint à la commune, sous astreinte, d'effacer toutes les données collectées sont dépourvues d'objet.

Sur les conclusions relatives aux frais exposés et non compris dans les dépens :

15. En vertu des dispositions de l'article L. 761-1 du code de justice administrative, le tribunal ne peut pas faire bénéficier la partie tenue aux dépens ou la partie perdante du paiement par l'autre partie des frais qu'elle a exposés à l'occasion du litige soumis au juge. Dès lors, les conclusions présentées à ce titre par la commune d'Orléans doivent être rejetées. Il y a lieu en revanche de mettre à la charge de la commune le versement d'une somme de 1 500 euros à l'association La Quadrature du Net sur le fondement des mêmes dispositions.

D E C I D E :

Article 1er : La convention signée le 12 octobre 2021 entre la commune d'Orléans et la SAS Sensivic est annulée.

Article 2 : La commune d'Orléans versera à l'association La Quadrature du Net une somme de 1 500 euros au titre de l'article L. 761-1 du code de justice administrative.

Article 3 : Les conclusions de la commune d'Orléans relative aux frais de l'instance sont rejetées.

Article 4 : Le présent jugement sera notifié à l'association La Quadrature du Net, à la commune d'Orléans et à la SAS Sensivic.

Délibéré après l'audience du 28 juin 2024, à laquelle siégeaient :

M. Dorlencourt, président,

Mme Le Toullec, première conseillère,

M. Lardennois, premier conseiller.

Rendu public par mise à disposition au greffe le 12 juillet 2024.

L'assesseure la plus ancienne,

Hélène LE TOULLEC

Le président-rapporteur,

Frédéric DORLENCOURT

Le greffier,

Alexandre HELLOT

La République mande et ordonne à la préfète du Loiret en ce qui la concerne ou à tous commissaires de justice à ce requis en ce qui concerne les voies de droit commun contre les parties privées, de pourvoir à l'exécution de la présente décision.