Par une requête et des mémoires, enregistrés le 5 août 2021, le 13 décembre 2023, le 26 mars 2024, le 26 avril 2024 et le 16 décembre 2024, M. A B et l'association La Quadrature du Net, représentés par Me Fitzjean O Cobhthaigh, demandent au tribunal :

1°) d'annuler pour excès de pouvoir la décision révélée de la maire de Moirans de mettre en œuvre le logiciel Briefcam d'analyse algorithmique d'images de télésurveillance sur le territoire de la commune ;

2°) d'enjoindre à la commune de Moirans de cesser d'utiliser ce traitement de données à caractère personnel, sous astreinte de 1 024 euros par jour de retard ;

3°) de mettre à la charge de la commune de Moirans une somme de 4 096 euros à verser à chacun des requérants au titre de l'article L. 761-1 du code de justice administrative🏛.

Ils soutiennent que :

- ils ont intérêt à agir ;

- la décision attaquée, qui fait grief, est révélée par la détention par la commune du manuel d'utilisation de ce logiciel, par les différentes lettres de la maire à destination de la Commission d'accès aux documents administratifs, les comptes-rendus de suivi de la mise en place de ce logiciel et l'affirmation d'un revendeur de Briefcam que le logiciel est utilisé par la commune ;

- cette décision ne se rattache pas au marché public conclu par la commune tendant à la mise en œuvre d'un système de vidéoprotection mais constitue une décision réglementaire autonome susceptible de faire l'objet d'un recours pour excès de pouvoir ;

- la requête n'est pas tardive en l'absence de publication de la décision ;

- le dispositif mis en place constitue un traitement de données à caractère personnel ;

- le dispositif mis en place consiste en la mise en œuvre d'un traitement de données biométriques, ou à tout le moins de données personnelles sensibles ;

- la décision attaquée est illégale dès lors qu'elle n'a pas été précédée d'une analyse d'impact sur la protection des données et n'a donné lieu à aucune consultation préalable de l'autorité de contrôle ;

- la décision attaquée est illégale en l'absence de base légale autorisant des autorités de police municipale à mettre en œuvre un dispositif algorithmique d'analyse des images et un dispositif de lecture automatisée de plaques d'immatriculation, notamment en matière de police judiciaire ;

- elle méconnaît les stipulations de l'article 8 de la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales🏛, les dispositions de l'article 4 de la directive n° 2016/680 du 27 avril 2016 et de l'article 4 de la loi n° 78-17 du 6 janvier 1978🏛 en ce que le traitement de données est excessif, inadéquat et non pertinent par rapport à la finalité tendant à aider la police municipale dans l'exploitation de la vidéosurveillance de la commune ;

- elle méconnaît les stipulations de l'article 8 de la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales, les dispositions de l'article 10 de la directive n° 2016/680 du 27 avril 2016 et de l'article 88 de la loi n° 78-17 du 6 janvier 1978🏛 en ce qu'elle met en place un dispositif entrainant le traitement de données biométriques alors que la nécessité absolue de recourir à un tel traitement n'est pas démontrée et qu'aucune garantie n'est prévue ;

- elle méconnaît les dispositions de l'article 104 de la loi n° 78-17 du 6 janvier 1978🏛 et les dispositions de l'article 13 de la directive n° 2016/680 du 27 avril 2016 relatives au droit à l'information ;

- elle méconnaît les dispositions de l'article 110 de la loi n° 78-17 du 6 janvier 1978🏛 relatives au droit d'opposition ;

- elle méconnaît les dispositions de l'article 4 de la loi n° 78-17 du 6 janvier 1978 et les dispositions de l'article 4 de la directive n° 2016/680 du 27 avril 2016 en ce qu'elle a été prise sans qu'aucune finalité n'ait été déterminée.

Par des mémoires en défense, enregistrés le 13 juin 2023, le 26 janvier 2024, le 27 mars 2024, le 17 mai 2024 et le 10 décembre 2024, la commune de Moirans, représentée par la SELARL CDMF - Avocats Affaires Publiques, conclut au rejet de la requête, au rejet de l'intervention et à ce que soit mise à la charge de chacun des requérants et des intervenants une somme de 4 000 euros au titre de l'article L. 761-1 du code de justice administrative.

Elle fait valoir que :

- la requête et l'intervention sont irrecevables en l'absence d'acte existant susceptible de faire l'objet d'un recours ;

- la requête est irrecevable en tant qu'elle est dirigée contre un acte détachable d'un contrat administratif, lequel n'a pas été contesté dans le cadre d'un recours en contestation de validité dans un délai de deux mois suivant la publication de l'avis d'attribution du marché le 12 avril 2018 ;

- la requête est irrecevable faute d'intérêt à agir des requérants ;

- l'intervention est irrecevable en l'absence d'intérêt suffisant à intervenir ;

- à défaut, les moyens soulevés par les requérants et intervenants ne sont pas fondés.

Par une intervention enregistrée le 21 février 2024, la Ligue des droits de l'Homme, le Syndicat de la magistrature et le Syndicat des avocats de France, représentés par le cabinet Andotte Avocats AARPI, demandent que le tribunal fasse droit aux conclusions de la requête.

Ils soutiennent que :

- ils ont intérêt à intervenir ;

- le traitement de données à caractère personnel mis en œuvre est dépourvu de base légale ;

- la commune n'est pas compétente pour mettre en œuvre un tel traitement de données ;

- la décision attaquée est illégale dès lors qu'elle n'a pas été précédée d'une analyse d'impact sur la protection des données ;

- elle méconnaît l'article 23 du règlement (UE) 2016/679 du 27 avril 2016 et l'article 110 de la loi n° 78-17 du 6 janvier 1978 faute de permettre aux administrés l'exercice du droit d'opposition ;

- elle méconnaît le droit au respect de la vie privée et familiale des administrés sans être assortie d'aucune garantie et de finalité déterminée.

La Commission nationale de l'informatique et des libertés a présenté des observations, enregistrées les 2 et 18 décembre 2024.

Vu les autres pièces du dossier.

Vu :

- la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales ;

- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;

- la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 ;

- le code de la sécurité intérieure ;

- la loi n° 78-17 du 6 janvier 1978🏛 ;

- le code de justice administrative.

Les parties ont été régulièrement averties du jour de l'audience.

Ont été entendus au cours de l'audience publique :

- le rapport de M. Ruocco-Nardo, rapporteur,

- les conclusions de Mme Bourion, rapporteure publique,

- et les observations de M. B et de Me Leroy, représentant la commune de Moirans.

Une note en délibéré présentée par la commune de Moirans a été enregistrée le 2 janvier 2025 et n'a pas été communiquée.

1. Par un arrêté du 10 avril 2017, le préfet de l'Isère a autorisé le maire de Moirans, pour une durée renouvelable de cinq ans, à mettre en œuvre un système de vidéoprotection comportant cinquante-cinq caméras sur vingt-sept sites. Par un arrêté du 4 octobre 2019, il a modifié l'autorisation initiale afin notamment de prendre en compte de nouvelles finalités et de ramener le nombre total de caméras à cinquante. M. B a exercé, le 25 juillet 2020 et le 25 février 2021, des demandes de communication de documents administratifs relatifs à l'usage du logiciel Briefcam par la commune de Moirans. Divers documents, dont des comptes-rendus de réunion dressés par les services de la commune, ont été communiqués à M. B. Par la présente requête, M. B et l'association La Quadrature du Net demandent l'annulation de la décision de la maire de Moirans révélée par ces documents de mettre en œuvre le logiciel Briefcam d'analyse algorithmique d'images de télésurveillance.

Sur la recevabilité de la requête :

2. En premier lieu, il ressort des pièces du dossier, et en particulier des courriers de la maire de Moirans du 1er décembre 2020 et du 9 mai 2021 adressés à la Commission d'accès aux documents administratifs, des comptes-rendus de réunion dressés par les services de la commune de Moirans portant sur le développement du système de vidéoprotection et du procès-verbal de contrôle sur place réalisé le 7 novembre 2023 par les services de la Commission nationale de l'informatique et des libertés (CNIL), que la commune de Moirans a décidé d'installer et d'exploiter le logiciel Briefcam pour ses besoins à la fin de l'année 2018 et que ce dernier a été déployé dans le courant de l'année 2019. Ces différentes pièces traduisent l'existence d'une décision révélée de la maire de Moirans de mettre en œuvre le logiciel Briefcam sur son territoire. Par ailleurs, aucune décision formelle concernant la mise en œuvre de ce logiciel n'ayant été prise, la décision révélée en cause ne saurait être considérée comme étant un acte préparatoire à une décision ultérieure. Enfin, au regard de ses effets juridiques sur les administrés, et à supposer même que le filtre de reconnaissance faciale du logiciel ne soit pas activé, une telle décision est susceptible de faire l'objet d'un recours pour excès de pouvoir. Dès lors, la fin de non-recevoir tirée de ce que la requête serait irrecevable en l'absence d'acte existant susceptible de faire l'objet d'un recours en annulation, soulevée en ces différentes branches, doit être écartée.

3. En deuxième lieu, ainsi d'ailleurs que le fait valoir la commune défenderesse au soutien de sa première fin de non-recevoir, il ne ressort pas du contenu du cahier des clauses techniques particulières versé au dossier ni d'aucune autre pièce contractuelle, que le marché de travaux relatif à la mise en œuvre d'un système de vidéoprotection conclu avec l'entreprise SPIE Citynetworks avait pour objet l'installation d'un logiciel d'analyse algorithmique d'images de télésurveillance. L'article 2.8. du cahier des clauses techniques particulières se borne à prévoir la fourniture par le titulaire du marché " des logiciels nécessaires au pilotage des caméras et aux dispositifs de masquage ". Par suite, compte tenu des fonctionnalités du logiciel Briefcam mis en œuvre qui excèdent les besoins exprimés dans le marché, la commune de Moirans n'est pas fondée à faire valoir que la décision attaquée pouvait seulement être contestée dans le cadre d'un recours en contestation de validité de ce marché dans un délai de deux mois suivant la publication de l'avis d'attribution le 12 avril 2018.

4. En troisième lieu, M. B, qui réside sur le territoire de la commune de Moirans et qui soutient sans être contredit que deux caméras installées au niveau de la gendarmerie filment l'impasse dans laquelle il habite, justifie d'un intérêt à contester la décision attaquée.

5. En quatrième lieu, si, en principe, le fait qu'une décision administrative ait un champ d'application territorial fait obstacle à ce qu'une association ayant un ressort national justifie d'un intérêt lui donnant qualité pour en demander l'annulation, il peut en aller autrement lorsque la décision soulève, en raison de ses implications, notamment dans le domaine des libertés publiques, des questions qui, par leur nature et leur objet, excèdent les seules circonstances locales.

6. En l'espèce, nonobstant le fait qu'elle dispose d'un champ d'action national, l'association La Quadrature du Net, dont l'objet statutaire est notamment de promouvoir la défense du droit à la vie privée et la protection des données à caractère personnel, justifie d'un intérêt à demander l'annulation de la décision attaquée qui pose des questions de principe débordant des seules circonstances locales.

Sur les interventions :

7. La Ligue des droits de l'Homme, le Syndicat de la magistrature et le Syndicat des avocats de France, qui ont notamment pour objet statutaire de lutter contre les atteintes aux droits et libertés, justifient d'un intérêt suffisant à intervenir au soutien de la demande d'annulation de la décision attaquée.

Sur le cadre juridique applicable au litige :

8. D'une part, l'article 2 paragraphe 2 de la directive (UE) 2016/680 du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales et à la libre circulation de ces données prévoit que " la présente directive s'applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu'au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier ". La première phrase du considérant 18 du préambule de la directive explicite à cet égard qu'" afin d'éviter de créer un risque grave de contournement, la protection des personnes physiques devrait être neutre sur le plan technologique et ne devrait pas dépendre des techniques utilisées ".

9. D'autre part, l'article 3 de cette directive définit, au paragraphe 1, les données à caractère personnel comme " toute information se rapportant à une personne physique identifiée ou identifiable " et précise qu'" est réputée être une "personne physique identifiable" une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ".

10. Enfin, le même article 3 de cette directive définit, à son paragraphe 2, un traitement comme " toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données à caractère personnel ou des ensemble de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction ".

11. En l'espèce, le manuel d'utilisation, versé en défense, indique que le logiciel Briefcam " permet une analyse et une recherche vidéo rapide, l'extraction de données vidéo en rapports quantitatifs et des alertes intelligentes, réduisant considérablement le temps d'identification des menaces de sécurité tout en augmentant la sureté et en optimisant les opérations. ". Il comprend trois modules. Le premier, dénommé " Review ", permet " la génération de synopsis vidéo sur la base de vidéos provenant de fichiers hors-ligne et de plateformes VMS en ligne, avec une gestion complète des cas et des fonctionnalités puissantes telles que la recherche multi-caméras, la similarité d'apparence et la reconnaissance faciale ". Le deuxième module, dénommé " Research ", facilite " l'exploitation des renseignements dérivés de l'analyse vidéo quantitative pour une prise de décision informée et basée sur les données, y compris les analyses de tendances avancées et dimensionnelles d'indicateurs de performance (zone, trajectoire, durée et autres) ainsi que les fonctionnalités de tableau de bord et de planification. ". Le dernier module, dénommé " Respond ", prend en charge " la fourniture de réponses proactives aux événements critiques pour une sûreté et une sécurité accrue, avec des alertes personnalisables, des rapports d'alerte et des notifications par internet ".

12. La commune de Moirans fait valoir, en produisant des attestations du responsable du service de police municipale et de vidéoprotection, que la détention de ce logiciel, compte tenu de l'utilisation qui en est faite, ne saurait caractériser l'institution d'un traitement de données à caractère personnel dès lors que la fonctionnalité permettant de procéder à la reconnaissance faciale du logiciel n'est activable que sur licence et que les modules " Research " et " Respond " n'ont pas été activés et ne sont pas utilisés.

13. Toutefois, d'une part, les images d'une personne physique collectées par une caméra constituent une " donnée à caractère personnel " au sens des dispositions précitées dès lors qu'elles permettent d'identifier l'individu concerné. Est sans incidence à cet égard l'usage effectif que fait la commune du logiciel dès lors que les images captées comportent des données identifiantes.

14. D'autre part, il ressort des pièces du dossier que le module " Review ", qui est utilisé par la commune, inclut des fonctionnalités d'analyse des images, notamment par l'application de filtres par sexe, taille, type de vêtements, de couleurs, ou d'analyse des comportements de déplacement. Il inclut, par ailleurs, un filtre de " similitude d'apparence " qui permet d'isoler les " objets " similaires à ceux présélectionnés et, notamment, de suivre une personne aperçue sur plusieurs caméras. Il comporte également une option permettant d'ajuster le " seuil de tolérance " des filtres utilisés afin de maximiser ou minimiser la correspondance des résultats en fonction des critères de recherche renseignés. Ce dispositif, qui permet notamment d'organiser, d'utiliser et de rapprocher les informations contenues dans ces images, intègre des traitements distincts de la collecte et de l'enregistrement de ces données.

15. Enfin, il ressort du procès-verbal de contrôle sur place réalisé le 7 novembre 2023 par les services de la CNIL, que le logiciel Briefcam qui analyse les images enregistrées issues de trente-huit caméras installées sur le territoire de la commune, est utilisé pour les besoins de la police municipale principalement en cas de dépôt de déchets sauvages et de dégradation du mobilier urbain et pour procéder à la reconnaissance de plaques d'immatriculation. Il est également utilisé pour les besoins de la gendarmerie nationale dans le cadre d'une convention conclue avec l'Etat.

16. Ces traitements, au regard des finalités pour lesquelles ils sont utilisés, relèvent du champ d'application de la directive (UE) 2016/680 du 27 avril 2016 précitée et du titre III de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés qui en assure la transposition en droit interne.

Sur les conclusions aux fins d'annulation :

17. Aux termes de l'article 8 de la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales : " 1. Toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance. / 2. Il ne peut y avoir ingérence d'une autorité publique dans l'exercice de ce droit que pour autant que cette ingérence est prévue par la loi et qu'elle constitue une mesure qui, dans une société démocratique, est nécessaire à la sécurité nationale, à la sûreté publique, au bien-être économique du pays, à la défense de l'ordre et à la prévention des infractions pénales, à la protection de la santé ou de la morale, ou à la protection des droits et libertés d'autrui ". Aux termes de l'article 4 de la directive (UE) 2016/680⚖️ précitée du 27 avril 2016 : " 1. Les États membres prévoient que les données à caractère personnel sont : / a) traitées de manière licite et loyale ; / b) collectées pour des finalités déterminées, explicites et légitimes et ne sont pas traitées d'une manière incompatible avec ces finalités ; / c) adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont traitées () ". Aux termes de l'article 4 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, applicable en vertu de l'article 87 de cette loi : " Les données à caractère personnel doivent être : / 1° Traitées de manière loyale et licite () ; 2° Collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d'une manière incompatible avec ces finalités. () / 3° Adéquates, pertinentes et au regard des finalités pour lesquelles elles sont collectées, limitées à ce qui est nécessaire ou, pour les traitements relevant des titres III et IV, non excessives () ".

18. Il résulte de l'ensemble de ces dispositions que l'ingérence dans l'exercice du droit de toute personne au respect de sa vie privée que constituent la collecte, la conservation et le traitement, par une autorité publique, de données à caractère personnel, ne peut être légalement autorisée que si elle répond à des finalités légitimes et que le choix, la collecte et le traitement des données sont effectués de manière adéquate et proportionnée au regard de ces finalités. Lorsque le traitement a pour objet de procéder à une analyse systématique et automatisée des images collectées au moyen d'un système de vidéoprotection de nature à augmenter considérablement le nombre et la précision des informations qui peuvent en être extraites, sa mise en œuvre doit être assortie de garanties particulières de nature à sauvegarder le droit au respect de la vie privée.

19. Il ressort des pièces du dossier que la mise en œuvre le logiciel Briefcam sur le territoire de la commune de Moirans n'a été accompagnée de la détermination d'aucune finalité déterminée et explicite et d'aucune garantie de nature à sauvegarder le droit au respect de la vie privée des administrés, notamment celles tenant au type de données pouvant être traitées, au périmètre géographique concerné, à la durée des traitements et à l'information du public. L'autorisation du préfet de l'Isère du 10 avril 2017 de mettre en œuvre un système de vidéoprotection, telle que modifiée par l'arrêté 4 octobre 2019, prise sur le fondement des articles L. 251-1 et suivants du code de la sécurité intérieure🏛, au regard de son contenu et de ce qui est relevé au point 14, n'autorise aucunement la commune à mettre en œuvre un traitement algorithmique des images collectées. En outre, si la commune défenderesse se prévaut de ce qu'elle a adopté le 22 novembre 2018 un règlement d'utilisation du système de vidéoprotection, ce dernier, qui a été adopté antérieurement au déploiement du logiciel Briefcam, ne comporte aucune disposition relative à l'utilisation d'un traitement algorithmique des images collectées par ce système de vidéoprotection. Dans ces conditions, les requérants et les intervenants sont fondés à soutenir que la décision attaquée a été prise en méconnaissance des stipulations de l'article 8 de la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales et des dispositions de l'article 4 de la directive n° 2016/680 du 27 avril 2016 et de l'article 4 de la loi n° 78-17 du 6 janvier 1978.

20. Il résulte de ce qui précède, et sans qu'il soit besoin de se prononcer sur les autres moyens de la requête, que la décision de la maire de Moirans de mettre en œuvre le logiciel Briefcam d'analyse algorithmique d'images de télésurveillance sur le territoire de la commune doit être annulée.

Sur les conclusions aux fins d'injonction :

21. Il y a lieu d'enjoindre à la commune de Moirans de cesser sans délai d'utiliser le logiciel Briefcam à compter de la notification du présent jugement. En revanche, il n'y a pas lieu d'assortir cette injonction d'une astreinte.

Sur les dispositions de l'article L. 761-1 du code de justice administrative :

22. Les dispositions de l'article L. 761-1 du code de justice administrative font obstacle à ce que soit mise à la charge des requérants et des intervenants la somme que la commune de Moirans demande au titre des frais exposés et non compris dans les dépens. En revanche, il y a lieu, dans les circonstances de l'espèce, de mettre à la charge de la commune une somme de 1 000 euros à verser à chacun des requérants au titre des frais exposés par eux et non compris dans les dépens.

Article 1er : Les interventions de la Ligue des droits de l'Homme, du Syndicat de la magistrature et du Syndicat des avocats de France sont admises.

Article 2 : La décision de la maire de Moirans de mettre en œuvre le logiciel Briefcam d'analyse algorithmique d'images de télésurveillance sur le territoire de la commune est annulée.

Article 3 : Il est enjoint à la commune de Moirans de cesser sans délai l'utilisation du logiciel Briefcam à compter de la notification du présent jugement.

Article 4 : La commune de Moirans versera une somme de 1 000 euros à M. B et une somme de 1 000 euros à l'association La Quadrature du Net au titre de l'article L. 761-1 du code de justice administrative.

Article 5 : Le surplus des conclusions des parties est rejeté.

Article 6 : Le présent jugement sera notifié à M. A B, à l'association La Quadrature du Net, à la commune de Moirans, à la Ligue des droits de l'Homme, au Syndicat de la magistrature et au Syndicat des avocats de France.

Copie en sera adressée à la Commission nationale de l'informatique et des libertés.

Délibéré après l'audience du 20 décembre 2024, à laquelle siégeaient :

M. L'Hôte, président,

M. Lefebvre, premier conseiller,

M. Ruocco-Nardo, premier conseiller.

Rendu public par mise à disposition au greffe le 24 janvier 2025.

Le rapporteur,

T. RUOCCO-NARDO

Le président,

V. L'HÔTE

La greffière,

L. ROUYER

La République mande et ordonne à la préfète de l'Isère en ce qui la concerne et à tous commissaires de justice à ce requis en ce qui concerne les voies de droit commun contre les parties privées, de pourvoir à l'exécution de la présente décision.