Panorama rapide de l’actualité « Technologies de l’information » du 18 novembre 2024

Données personnelles

Les conditions de l’usage des données de géolocalisation pour le forfait post-stationnement d’un véhicule

• Par sa décision du 18 novembre 2024, du Conseil d’État précise que toute décision fondée sur des dispositifs automatisés de géolocalisation pour le contrôle du stationnement soit étayée par des preuves fiables et vérifiées.
  Un recours formé par une automobiliste devant le Conseil d’État contestait la délivrance d’un avis de paiement de forfait de post-stationnement (FPS) fondé sur un contrôle par géolocalisation de son véhicule, dont l’automobiliste contestait la fiabilité.
  Ces FPS, qui sont imposés lorsqu’un automobiliste stationne son véhicule sans payer la redevance de stationnement ou qu’il a dépassé le temps pour lequel il a payé la redevance, sont distribués par des voitures équipées d’un système à lecture automatique des plaques d’immatriculation (LAPI) qui assurent un contrôle automatique par géolocalisation.
  Ces systèmes, fondés sur la collecte et le traitement de données personnelles (géolocalisation, photographie de véhicules, etc.), doivent respecter des normes strictes de fiabilité. Le Conseil d’État rappelle que ces données, si elles servent de base à une décision administrative, ne peuvent être utilisées sans vérification humaine préalable (qui reste le rôle de l’agent assermenté), conformément aux principes énoncés par le Règlement général sur la protection des données (RGPD, art. 22) et la loi française sur les données personnelles (art. 47 de la loi du 6 janv. 1978). Il est donc impératif que les collectivités territoriales mettent toutes les mesures en place pour garantir la fiabilité de ces données.
  En cas de contestation, le Conseil d’État affirme que les données personnelles issues de dispositifs automatisés, comme la géolocalisation ou les photographies, doivent être suffisamment précises et accompagnées de preuves pour confirmer les constats de l’administration. Cette exigence vise à limiter les risques d’erreurs inhérents aux systèmes automatisés et à garantir le droit des administrés à contester efficacement une décision fondée sur ces données. L’administration doit donc fournir des éléments probants lors des recours administratifs ou contentieux.
  En l’absence de preuves photographiques horodatées ou si les données de géolocalisation sont contestées de manière crédible, l’administration ne peut s’appuyer uniquement sur une présomption de validité et le FPS doit être annulé. Ce cadre tend à garantir un équilibre entre les besoins de gestion publique et la protection des données personnelles. (CE 18 nov. 2024, n° 472912, A)

Le projet EMC2 du Health Data Hub est conforme au RGPD

• Par une décision rendue le 19 novembre 2024, le Conseil d’État confirme la conformité du projet « EMC2 » géré par le groupement d’intérêt public, la Plateforme des données de santé (GIP PDS, Health Data Club en anglais), aux dispositions du RGPD.
  Ce projet a été initié par l’Agence européenne du médicament, et permet la création d’un entrepôt de données de santé, ayant pour objectif de faciliter les recherches, études et évaluations en pharmaco-épidémiologie. L’entrepôt des données prévu par le projet « EMC2 » est alimenté par les données de quatre établissements de santé partenaires en France ayant fait l’objet d’un appariement à la base principale du Système national des données de santé (SNDS), et il implique un traitement automatisé de données à caractère personnel ayant pour finalité la constitution de l’entrepôt de données de santé.
  Par une délibération du 21 décembre 2023, la CNIL a autorisé le projet « EMC2 » (v. Panorama rapide de l’actualité « Technologies de l’information » de la semaine du 29 janv. 2024, Dalloz actualité, 6 févr. 2024), ce que plusieurs entreprises et associations, parmi lesquelles Clever Cloud, Nexedi, Rapid. Space, l’Open Internet Project et l’Association de Défense des Libertés, ont contesté devant le Conseil d’État. Les requérants estiment que le projet « EMC2 » ne respecte pas les exigences du RGPD, notamment en raison du rôle...