Une région peut-elle lancer une expérimentation autorisant un contrôle d’accès facial dans un lycée ?  

La justice répond par la négative.

Par un jugement en date du 27 février 2020, le Tribunal administratif de MARSEILLE s’est prononcé à propos de la légalité d’une délibération, en date du 14 décembre 2018, par laquelle la région Provence Alpes Côte d’Azur a approuvé la convention relative à la mise en place d’un dispositif de contrôle d’accès par comparaison faciale et suivi de trajectoire.

Cette expérimentation devait se réaliser au sein de deux lycées : Ampère à Marseille et Les Eucalyptus à Nice.

Le jugement susvisé intervient dans un contexte où les mesures mises en place pour garantir la sécurité des personnes dans l’espace public se heurtent aux libertés individuelles et au respect de la vie privée.

En effet les technologies utilisées (à savoir, la reconnaissance faciale) reposent sur la collecte et l’utilisation de données personnelles. Or ces dernières font l’objet d’une protection toute particulière de la part de la Commission nationale de l'informatique et des libertés (CNIL), chargée de réguler ce type d’activités, qui a mis en place le dispositif RGPD pour permettre aux individus de garder la maîtrise de leurs données, notamment vis-à-vis des mineurs, suite aux abus qui ont été constatés ces dernières.

C’est dans ce contexte que, par une décision en date du 29 octobre 2019, la CNIL s’était opposée à la reconnaissance faciale à l’entrée des lycées au motif que « ce dispositif concernant des élèves, pour la plupart mineurs, dans le seul but de fluidifier et de sécuriser les accès n’apparaît ni nécessaire, ni proportionné pour atteindre ces finalités ».

Pourtant, malgré cet avis négatif rendu par l’institution française en charge des données personnelles, la région Provence Alpes Côte d’Azur a maintenu ce dispositif et a procédé à la signature d’une convention tripartite autorisant ce dispositif.

L’association « La Quadrature du Net », la Ligue des Droits de l’Homme, la Fédération des conseils des parents d’élèves des écoles publiques des Alpes Maritimes et le syndicat CGT Educ’action des Alpes Maritimes ont alors sollicité l’annulation de cette délibération.

Dans son jugement du 27 février 2020, le Tribunal administratif de MARSEILLE a fait droit à leur demande.

Deux points sont ainsi à relever :

Outre le rappel de la position et de la jurisprudence du Conseil d’Etat sur le recours des tiers à un contrat administratif, ce jugement est l’occasion pour les magistrats de rappeler les prérogatives de la région, conformément aux dispositions du Code de l’éducation.

Conformément aux dispositions de l’article L 214-6 du Code de l’éducation, la région assure l’accueil, la restauration, l’hébergement et l’entretien général et technique à l’exception des missions d’encadrement et de surveillance des élèves.

C’est ainsi que le Tribunal a pu estimer qu’ « (…) une telle expérimentation, dont l’un des objectifs était le renforcement de la sécurité dans les établissements scolaires, relevait ainsi non des missions d’accueil, d’hébergement ou d’entretien des lycées, mais des missions d’encadrement et de surveillance des élèves ».

En effet, ces missions relèvent des compétences exclusives du chef d’établissement, conformément à l’article R 421-10 du Code de l’éducation et non de la région, comme cette dernière a pu l’estimer.

La délibération litigieuse est ainsi, selon le Tribunal, entachée d’un vice d’incompétence.

Sur le fond et surtout, la CNIL a défini très précisément les protocoles à mettre en place pour informer l’utilisateur des méthodologies de collecte et traitement des données, et ce, pour obtenir en toute transparence son consentement quant à l’utilisation de ses données personnelles.

Le jugement du Tribunal administratif s’inscrit totalement dans cette logique.

En l’espèce, la région PACA justifiait que le consentement préalable des lycéens concernés était recueilli par leur signature d’un formulaire transmis aux lycées, ou la signature de leurs représentants légaux si ce dernier était mineur.

Or, pour le Tribunal, la signature d’un tel formulaire ne permet pas de justifier « de garanties suffisantes afin d’obtenir des lycéens ou de leurs représentants légaux qu’ils donnent leur consentement à la collecte de leurs données personnelles de manière libre et éclairée ».

Sur cette notion de consentement, le Tribunal administratif rappelle les différents cas, mentionnés par le Règlement Général de Protection des Données en son article 9, permettant le traitement des données biométriques sous couvert du consentement de la personne concernée ou d’un motif d’intérêt général.

C’est ainsi que le Tribunal administratif estime que « la région PACA n’établit ni ne fait valoir que les finalités poursuivies s’attachant à la fluidification et la sécurisation des contrôles à l’entrée des lycées concernés constituent un motif d’intérêt public ni même que ces finalités ne pourraient être atteintes de manière suffisamment efficace par des contrôles par badge, assortis, le cas échéant, de l’usage de la vidéosurveillance ».

Conformément aux dispositions du a) de l’article 9, de l’article 4 sur les définitions, de l’article 7 sur les conditions applicables au consentement, les juges estiment que la délibération litigieuse n’entre dans aucune des exceptions énumérées par le 2.de l’article 9 du règlement général sur la protection des données.

L’on ne peut que saluer cette solution au regard de la protection des données personnelles, notamment pour les personnes les plus jeunes, auxquels, la signature d’un formulaire ne permettant pas de donner un consentement libre et éclairé.

Les évolutions jurisprudentielles à venir permettront néanmoins d’apporter une définition plus précise de la notion de consentement, qui demeure difficile à cerner.