Annulation d’un dispositif expérimental de reconnaissance faciale dans deux lycées

Par délibération n° 13-893 du 14 décembre 2018, le conseil régional de la région Provence-Alpes-Côte d’Azur (PACA) a autorisé l’expérimentation d’un dispositif de reconnaissance faciale à l’entrée de deux lycées, consistant, d’une part, à assurer un contrôle d’accès à l’établissement des lycéens identifiés par le système et, d’autre part, à suivre la trajectoire des lycéens et visiteurs occasionnels non identifiés par le système (v. C. Rotily et L. Archambault, Données biométriques issues d’expérimentations de reconnaissance faciale sur le territoire français : un défi à l’aune du droit 2.0 ?, Dalloz IP/IT 2020. 54 ). Ce faisant, la délibération a, premièrement, approuvé les termes de la convention tripartite entre la région, les lycées et la société implantant le dispositif, deuxièmement, lancé l’expérimentation au sein des deux établissements et, troisièmement, autorisé le président de la région à signer la convention tripartite.

Saisie par la région PACA, la CNIL s’est montrée défavorable au recours à une telle expérimentation qui « n’apparaît ni nécessaire ni proportionné pour atteindre [les finalités recherchées] » (v. son communiqué de presse). Concomitamment, quatre organisations ont saisi le tribunal administratif d’un recours pour excès de pouvoir à l’encontre de la délibération.

Le 27 février 2020, le tribunal administratif de Marseille a annulé la délibération de la région PACA, mais seulement en tant qu’elle a lancé l’expérimentation, au motif qu’elle est entachée d’incompétence et d’illégalité en ce qu’elle ne respecte pas les principes régissant le recueil du consentement et de nécessité et proportionnalité au regard des finalités recherchées.

Sur la compétence de la région PACA, celle-ci prétendait que l’objectif de cette expérimentation relève de sa mission d’accueil, d’hébergement ou d’entretien des lycées figurant à l’article L. 214-6 du code de l’éducation. Rejetant ces prétentions, le tribunal administratif rappelle qu’il résulte de l’article R. 421-10 du code de l’éducation que c’est au chef d’établissement qu’il appartient de prendre des dispositions « pour assurer la sécurité des personnes et des biens ». La région PACA a dès lors excédé ses compétences puisque l’instauration du système de reconnaissance faciale a notamment pour objet « le renforcement de la sécurité dans les établissements scolaires ».

Sur la base légale du consentement, le tribunal administratif rappelle que les données personnelles traitées dans le cadre d’un système de reconnaissance faciale sont des données biométriques, sensibles par nature et soumises aux articles 6 de la loi n° 78-17 « Informatique et Libertés » et 9 du Règlement général sur la protection des données (UE) 2016/679 du 27 avril 2016 (RGPD), qui interdisent par principe leur traitement, sauf notamment si la personne concernée a donné son consentement explicite. La région PACA se prévalait de cette exception, soutenant que le traitement des données avait pour base légale le consentement des lycéens ou, le cas échéant, de leurs représentants légaux, manifesté par la signature d’un formulaire. Cette seule signature ne constitue pas une garantie suffisante à l’obtention d’un consentement libre et éclairé selon le tribunal administratif, dans la mesure où « le public visé se trouve dans une relation d’autorité à l’égard des responsables des établissements publics d’enseignement concernés ».

Sur les finalités du traitement, le tribunal administratif juge également insuffisants au regard des articles précités les objectifs de fluidification et de sécurisation des contrôles à l’entrée des lycées avancés par la région PACA, qui ne démontre pas qu’ils « constituent un motif d’intérêt public ni même que ces finalités ne pourraient être atteintes de manière suffisamment efficace par des contrôles par badge, assortis, le cas échéant, de l’usage de la vidéosurveillance ».

Toutefois, le tribunal administratif considère comme irrecevable le recours en excès de pouvoir formé à l’encontre de la partie de la délibération approuvant la convention tripartite d’expérimentation conclue entre la région PACA, la société partenaire et les deux lycées, et autorisant le président de la région à les signer. Cette partie de l’acte doit en effet être attaquée sous la forme d’un « recours de pleine juridiction en contestation de la validité de ces conventions devant le juge du contrat ». La délibération présente en effet « le caractère d’un acte détachable aux conventions tripartites d’expérimentation […] en ce qu’elle approuve leur contenu et autorise son président à les signer ». « La légalité du choix du cocontractant, de la délibération autorisant la conclusion du contrat et de la décision de le signer » ne peut donc pas être contestée devant le juge de l’excès de pouvoir qui n’est pas compétent. Cette irrecevabilité soulève dès lors des interrogations sur l’avenir du dispositif expérimental de reconnaissance faciale, la convention tripartite d’expérimentation restant pour l’heure approuvée par la région et signée par le président du conseil régional.