Expertises des Systèmes d'information - Juillet 2020 - N°459 - Le mensuel du droit de l'informatique et du multimédia - 290

D

O

C

T

R

I

N

E

Cependant, lorsqu'il s'agit du
traitement de données particulières (notamment les données
biométriques) il faut se référer à
l'article 9 mais là encore le principe
de proportionnalité s'applique.
En l'espèce, la reconnaissance
faciale permet un traitement
de données biométriques. En
conséquence, c'est uniquement
sur le fondement de l'article 9 du
RGPD que s'appuient les requérants
et que les juges administratifs
effectuent
leur
contrôle
de
proportionnalité.
À titre liminaire, le tribunal
administratif de Marseille considère
que le conseil régional de ProvenceAlpes-Côte d'Azur n'était pas
compétent pour engager l'expérimentation (cons. 8). Cependant, il
ne s'arrête pas à l'incompétence et
effectue quand même un contrôle
de proportionnalité estimant que
le traitement de reconnaissance
faciale n'est (i) pas justifié par un
motif d'intérêt général ni (ii) proportionné à l'objectif poursuivi11.
Il convient à cet égard de constater
que cette décision intervient en
plein débats sur les traitements de
reconnaissance faciale. Ainsi, au
communiqué de presse de la Cnil,
s'est ajouté celui du Contrôleur
européen à la protection des
données12 qui considère qu'«  il
semble que la reconnaissance
faciale soit promue comme une
solution à un problème qui n'existe
pas. C'est pourquoi un certain
nombre de juridictions dans le
monde ont décidé d'imposer un
moratoire sur l'utilisation de la
technologie. » (nous traduisons)
Les juges relèvent que, dans sa
délibération, le conseil régional
de Provence-Alpes-Côte d'Azur
précise que le traitement a pour
finalité « d'apporter une assistance
aux agents en charge du contrôle
d'accès au lycée et de l'accueil
afin de faciliter et réduire la durée
des contrôles (pour les usagers
réguliers du site comme pour
les visiteurs occasionnels), lutter

290

contre l'usurpation d'identité et
détecter un déplacement non
souhaité ». Cependant, le tribunal
administratif de Marseille en
déduit que cette mission de
fluidification et de sécurisation
des contrôles à l'entrée des lycées
ne constitue pas un motif d'intérêt
public (cons. 13).
Si la notion d'intérêt général
est certes assez mouvante, la
solution retenue par les juges peut
surprendre. En effet, la mission de
surveillance d'un établissement
public aurait très bien pu relever
d'une mission d'intérêt général
(sous réserve qu'elle soit exercée
par le chef d'établissement, seul
compétent en la matière).
Si le tribunal administratif de
Marseille exclut la possibilité
que le traitement des données à
caractère personnel soit justifié
par un motif d'intérêt général,
il procède tout de même à un
contrôle de la proportionnalité.
Le contrôle de la légalité d'une
mesure
de
traitement
des
données personnelles prise sur
le fondement du RGPD est très
proche du contrôle de la légalité
d'une mesure de police. En
matière de police administrative,
la légalité d'une mesure s'apprécie
en fonction d'un triple test. La
mesure n'est légale que si elle
est nécessaire, proportionnée et
adéquate13.
Concernant la collecte des données
personnelles, le traitement doit
respecter les principes généraux
énumérés à l'article 5 du RGPD.
Ceux-ci supposent que les données
recueillies
soient
adéquates,
pertinentes et non excessives au
regard des finalités du traitement,
qu'elles soient exactes et mises à
jour, ou encore qu'elles ne soient
pas conservées pour une durée
excessive.
Le juge administratif exerce un
contrôle normal14 de l'application
de ces dispositions. En l'occurrence, le tribunal administratif
EXPERTISES juillet/août 2020

de Marseille s'est contenté d'établir,
en se fondant sur la décision de
la Cnil du 29 octobre 2019, que
d'autres mesures moins attentatoires à la liberté des élèves
permettent d'aboutir au même
résultat. Il considère en effet que
le recours à un contrôle par des
badges assorti éventuellement
d'une vidéosurveillance serait, en
tout état de cause, suffisant pour
assurer la sécurisation à l'entrée
des lycées.
Il ne s'appuie pas sur les dispositions de l'article  5  du RGPD
pour effectuer son contrôle
de proportionnalité et vérifier
si les données recueillies sont
adéquates, pertinentes et limitées
à ce qui est nécessaire au regard
des finalités du traitement. A cet
égard, il est intéressant de noter
que le 20 août 2019, l'autorité de
protection des données suédoise a
prononcé une sanction financière
de 18  000  € à l'encontre d'un
établissement
d'enseignement
secondaire ayant mis en œuvre
un traitement de reconnaissance faciale pour le suivi des
présences15.
L'autorité suédoise a notamment
fondé sa décision sur l'article 5 du
RGPD. Elle a en effet considéré que
l'utilisation de la reconnaissance
faciale pour le suivi des présences
réalisée de manière à constituer
une atteinte excessive à l'intégrité
personnelle était donc disproportionnée par rapport à l'objectif
poursuivi.
La décision du tribunal administratif de Marseille aborde une série
de nouvelles questions témoignant
du rôle que le juge administratif va
être amené à jouer dans le contrôle
du traitement et de la protection des
données personnelles. Ces questions
sont actuellement en réflexion dans
de nombreux pays. Ainsi l'Etat de
Washington aux Etats-Unis a adopté,
le 20 mars 2020, une décision
restreignant les possibilités d'utilisation de ce genre de technologies
par les administrations dépendant
de l'Etat16.
Expertises des Systèmes d'information - Juillet 2020 - N°459 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Juillet 2020 - N°459 - Le mensuel du droit de l'informatique et du multimédia
