Note sous Conseil d’État, 30 décembre 2009, Association SOS Racisme – Groupe d’information et de soutien aux immigrés et autres, Req. nos 312051-313760.

La question de la création de fichiers de données par le pouvoir réglementaire et de leur utilisation par les autorités administrative, policière et judiciaire se pose avec d’autant plus d’acuité que leur création s’accélère depuis 1987, date de la mise en place du fichier automatisé des empreintes digitales : 1998 pour les empreintes génétiques, 2001 pour le fichier de police relatif aux infractions constatées (2006 pour le fichier du même type pour la gendarmerie), 2004 pour celui relatif aux infractions sexuelles, etc. D’ailleurs, dès 2006, Alex Türk soulignait, lors de la conférence internationale des commissaires à la protection des données de Londres, qu’une « vague « sécuritaire » … traduite par la création ou l’extension de nombreux fichiers et la mise en place, au profit des autorités de police, de nouveaux moyens d’investigation dans les systèmes d’information, pourrait bien submerger nos autorités. »^[1]

Le fichier « ELOI » relatif aux procédures d’expulsions, un des derniers nés, avait fait l’objet d’une censure par le Conseil d’État en 2007 car adopté par un arrêté ministériel alors qu’il ne pouvait l’être que par un décret en Conseil d’État et après avis de la CNIL^[1]. La nouvelle version de ce dernier, adoptée par le décret du 26 décembre 2006, prévoit précisément qu’il a pour objet de permettre le suivi de la mise en œuvre des mesures d’éloignement des étrangers et d’établir des statistiques relatives à ces mesures et à leur exécution^[2]. L’opiniâtreté des associations requérantes a conduit le juge administratif suprême à rendre un nouvel arrêt le 30 décembre 2009 à ce propos. En France, la création de fichiers automatisés est soumise tant à des règles de droit interne (loi « Foyer » modifiée^[3]) qu’à des normes internationales telles que la Convention européenne pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel^[4] et la directive du 24 octobre 1995^[5]. Le Conseil d’État a donc assis son raisonnement sur ces normes, ce qui l’a conduit à censurer la durée trop longue de conservation de données, ainsi que l’enregistrement dans le fichier automatisé du numéro des ressortissants étrangers en France ayant demandé un titre de séjour.

Les juges du Palais-Royal ont donc censuré certaines dispositions du décret au regard de la légalité interne à travers un contrôle de proportionnalité ; il n’en reste pas moins que les questions de légalité externe présentent elles aussi un certain intérêt

LA PORTEE DU CONTROLE DE LEGALITE EXTERNE

Le contrôle de la légalité externe du décret du 26 décembre 2006 porte tant sur sa forme que sur la procédure d’adoption, particulièrement les règles relatives aux consultations obligatoires.

SUR LA FORME DU DECRET

Lorsqu’un décret doit être adopté en Conseil d’État, le texte ne peut différer du projet qui lui est soumis ou du texte adopté par celui-ci. Effectivement, la minute déposée à la section de l’intérieur du Conseil d’État prévoyait que les données relatives aux noms, prénoms et adresses des visiteurs des étrangers placés en centre de rétention administrative seraient enregistrées dans ledit fichier. Or, cette catégorie de données ne figure plus dans le texte adopté. En l’espèce, les juges du Palais-Royal considèrent que « la suppression … de ces seules dispositions, qui sont divisibles des autres dispositions du décret, ne modifie ni la portée, ni l’économie générale du texte adopté par le Conseil d’État ». Ce grief est donc écarté.

Ensuite, les requérants soutenaient que le décret publié aurait dû être soumis au contreseing du garde des sceaux aux termes de l’article 22 de la Constitution^[6]. En effet, le fichier sera enrichi des informations relatives à la détention des étrangers faisant l’objet d’une mesure d’éloignement. Il n’en reste pas moins que le décret ne prévoit aucune mesure d’exécution de la part du ministre de la justice ce qui justifie que le Conseil d’État écarte ce moyen.

La procédure d’adoption dudit décret concerne les consultations, autorisations et avis obligatoires.

SUR LES PROCEDURES D’ELABORATION DU DECRET

Selon les requérants, en tant que l’article 1er du décret (notamment l’article R. 611-25 b qu’il instaure) prévoit une utilisation statistique des données enregistrées ; il aurait du être soumis au Conseil national de l’information statistique, chargé, aux termes de la l’article 1er de la loi du 7 juin 1951, « de coordonner les enquêtes statistiques des services publics, à l’exclusion des travaux statistiques d’ordre intérieur ne comportant par le concours de personnes étrangères à l’administration »^[7]. Or, ces dispositions ne s’appliquent que lorsqu’une enquête statistique est mise en place. En l’espèce, le décret prévoit uniquement « une exploitation statistique des données »^[8] dont le but est de faciliter la gestion de mesures d’éloignement. Par conséquent, ce moyen est aussi écarté par le juge administratif.

La question des règles relatives à la consultation de la CNIL sont quant à elles davantage problématiques. L’article 25 de la loi du 6 janvier 1978 dispose que la création de fichiers automatisés doit être soumise à l’autorisation de la CNIL. Les requérants estimaient donc que le pouvoir réglementaire avait méconnu cette obligation législative en ne recueillant qu’un avis. Or, l’article 11-III de la loi relative à la maîtrise de l’immigration du 26 novembre 2003^[9] (les dispositions en question figurent à l’article L. 611-5 du Code de l’entrée et du séjour des étrangers et du droit d’asile), modifiant l’ordonnance du 2 novembre 1945, prévoit qu’un décret en Conseil d’État, pris après avis de la CNIL, fixe les modalités de création dudit traitement automatisé. Le juge administratif suprême estime naturellement que « le législateur a entendu autoriser directement la création du traitement automatisé de données objet du décret attaqué, en écartant celles des formalités et règles de la loi du 6 janvier 1978 … auxquelles il entendait déroger parmi lesquelles figurent celles de l’article 25 ». Il est naturellement loisible au législateur de contourner un texte qu’il a lui-même élaboré ; seulement, immanquablement se pose la question de la cohérence législative : quelle logique y a-t-il à adopter une loi d’envergure, à portée générale – celle de 1978 – pour ensuite contourner son dispositif par une disposition de convenance ? Plus largement se pose la question de la constitutionnalisation de la protection de la vie privée. En effet, le Conseil constitutionnel a donné valeur constitutionnelle à ce principe^[10] , ce qui n’est pas le cas des conditions de sa mise en œuvre. Selon le « Comité Veil », la constitutionnalisation du droit au respect de la vie privée « serait dépourvue de toute portée pratique, faute d’ajouter une composante significative aux contraintes juridiques auxquelles est d’ores et déjà soumis le législateur par le double effet de la jurisprudence du Conseil constitutionnel et des traités internationaux. »^[11]. A contrario, selon le député Huyghe, membre de la CNIL, « la protection des données personnelles est reconnue par le conseil Constitutionnel sic comme un principe de référence, la loi « informatique et libertés » ayant le statut des lois assurant la protection d’un principe de valeur constitutionnelle, à savoir la liberté individuelle, elle-même constitutive d’un principe fondamental garanti par les lois de la République. »^[12]. Il semble possible de contourner ce débat en le faisant glisser sur le terrain du droit processuel et non plus matériel, simplement en constitutionnalisant le principe d’autorisation de la CNIL en matière de création de fichier, ce qui, par ailleurs, serait « acceptable » par le constituant dans la mesure où les règles processuelles n’entrent pas dans le cadre du contrôle de constitutionnalité a posteriori.

Outre ces considérations de légalité externe, le juge administratif a analysé le décret au regard de sa légalité interne.

LE DECRET AU CRIBLE DU CONTROLE DE PROPORTIONNALITE

Sur le fond, les règles relatives à la création de fichiers automatisés imposent que les données recueillies soient « adéquates, pertinentes et non excessives par rapport aux finalités pour lesquelles elles sont enregistrées »^[13]. De plus, un traitement automatisé ne peut porter que sur des données recueillies de manière loyale et licite, les données collectées ne peuvent l’être que pour des finalités explicites et légitimes, enfin, ces données doivent être adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées^[14]. Ainsi, le juge administratif va-t-il devoir opérer un contrôle de proportionnalité. Selon lui, « pour l’application de ces stipulations et de ces dispositions, les données pertinentes et regard sic de la finalité d’un traitement automatisé d’informations nominatives sont celles qui sont en adéquation avec la finalité du traitement et qui sont proportionnées à cette finalité ». De ce point de vue, le Conseil d’État élabore traditionnellement un tel contrôle lorsqu’il a à connaître de fichiers automatisés^[15].

En rejetant les griefs relatifs à la question du traitement statistique, le juge administratif en précise la portée en s’assurant de la déconnexion entre la mesure statistique et l’identification des personnes recensées. À propos de la nature des données, de leur durée de conservation et de la protection de leur accessibilité, le juge administratif censure une durée de conservation excessive.

SUR L’UTILISATION DU FICHIER A DES FINS STATISTIQUES

Les requérants estimaient que les données enregistrées pourraient faire l’objet d’une utilisation illicite et déloyale. Seulement, cet argument n’est pas étayé par une preuve. Par conséquent, le moyen est écarté car manquant en fait.

Sur ce même objet, les associations parties arguaient du fait que la gestion du fichier automatisé confiée au ministère de l’immigration ne présenterait par toutes les garanties nécessaires dans la mesure où les données statistiques pourraient permettre la prise de décision à l’égard des personnes dont les noms figurent dans le traitement automatisé. En ce sens, elles pourraient faire l’objet d’une utilisation déloyale et illicite. Le juge administratif de considérer « que le ministre soutient, sans être utilement contredit, que le traitement automatisé ne permet pas de procéder à une identification nominative des intéressés à partir des résultats statistiques ». A contrario, si une telle identification avait été possible, il est envisageable que le Conseil d’État l’eût censuré dans la mesure où les moyens auraient été disproportionnés par rapport aux fins. En effet, le fichier a uniquement pour objet de permettre le suivi de la mise en œuvre des mesures d’éloignement des étrangers et d’établir des statistiques relatives à ces mesures et à leur exécution.

Le juge administratif a eu à connaître de la pertinence et de l’adéquation des données enregistrées au regard de l’objectif assigné au traitement, à savoir l’amélioration de la gestion des mesures d’éloignement.

SUR LES DONNEES ENREGISTREES ET LEUR PROTECTION

Les règles relatives à la création de fichiers automatisés précisent que les données compilées doivent être adéquates et pertinentes. Selon les requérants, elles ne le seraient pas tant au regard de la finalité statistique qu’à celle de la gestion des procédures d’éloignement. Sur la finalité statistique d’abord, le Conseil d’État estime que l’impossible identification à partir de ces données des personnes recensées assure l’adéquation des fins aux moyens. Sur l’amélioration de la gestion des procédures d’éloignement ensuite, le juge administratif suprême considère que les données relatives au nom, prénom et âge des enfants mineurs de la personne fichée, l’utilisation d’un pictogramme de couleur (en fonction de l’état de la procédure d’éloignement) « sans précision quant à la nature des faits pouvant être reprochés, de la nécessité d’une surveillance particulière, au regard de l’ordre public, de l’étranger faisant l’objet d’une procédure d’éloignement » ; que les données concernant l’éventuelle détention d’une personne frappée d’une procédure d’éloignement ou celle relatives à son hospitalisation et ses expertises médicales, que la mention faite de l’assignation à résidence (en cas de prolongation d’une mesure de rétention administrative) ainsi que les nom, prénoms et adresse de la personne hébergeant l’étranger sont des données pertinentes.

En revanche, les juges du Palais-Royal estiment que l’enregistrement du numéro national d’identification des étrangers ayant demandé un titre de séjour dans un fichier ayant pour objet la simplification du traitement des mesures d’éloignement des étrangers en situation irrégulière constitue une donnée non pertinente est disproportionnée par rapport aux finalités de ce fichier. En effet, un tel recensement aurait conduit à ficher l’ensemble des étrangers faisant une demande de titre de séjour dans une base de donnée relative à l’éloignement d’étrangers en situation irrégulière. De ce fait, le fichier aurait dépassé son objectif premier.

Ensuite, le juge administratif a eu à connaître de la durée de conservation des données enregistrées. Ainsi que le prévoit le 5e de l’article 6 de la loi du 6 janvier 1978, les données à caractère personnel « sont conservées sous une forme permettant l’identification des personnes concernées pendant une durée qui n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées ». L’article 1er du décret prévoit que les données sont effacées trois mois après la date d’éloignement effectif ; toutefois, certaines d’entre elles peuvent être conservées durant trois ans^[16].

Sur ce point, les requérants estimaient tout d’abord que le décret n’a pas prévu un dispositif permettant l’effacement immédiat des données relatives aux mesures d’éloignement ayant fait l’objet d’une annulation contentieuse définitive, d’un retrait ou d’une abrogation expresse. Le juge administratif estime que ce moyen manque en fait, le décret se bornant à préciser que ces données doivent être effacées. Seul l’avenir permettra de savoir si les requérants avaient raison ; seulement, la mauvaise gestion du système de traitement des infractions constatées (STIC) démontre amplement les dysfonctionnements dudit fichier^[17]. Seulement, le juge administratif suprême estime que si la durée de trois mois est justifiée au regard de l’objectif qui consiste à mieux gérer les procédures d’expulsion, il ne peut en être de même pour les données destinées à être conservées durant trois années. En effet, une telle durée transforme le ficher que l’on peut qualifier de système de gestion en un système de fichage des étrangers éloignés du territoire national. En conséquence, le fichier ainsi établi permettrait de faciliter une nouvelle mesure d’éloignement d’un étranger déjà éloigné et qui serait revenu sur le territoire national. C’est donc ainsi que les juges du Palais-Royal censurent cette durée de conservation disproportionnée.

Enfin, comme ultime moyen, les associations estimaient que l’article 34 de la loi du 6 janvier 1978, disposant que le responsable du traitement doit prendre toutes les mesures utiles afin de garantir la sécurité et la confidentialité des données, était méconnu. Le Conseil d’État a estimé que les agents de police et de gendarmerie en charge de la gestion des lieux de rétention administrative et de l’exécution des mesures d’éloignement devant être individuellement désignés et habilités par le directeur départemental de la sécurité publique, le directeur départemental de la police aux frontières ou le commandant de gendarmerie, le décret ne pouvait être regardé comme méconnaissant l’article 34.