TRIBUNAL ADMINISTRATIF
DE MARSEILLE
N° 1901249 RÉPUBLIQUE FRANÇAISE
___________
LA QUADRATURE DU NET
et autres AU NOM DU PEUPLE FRANÇAIS
___________
M. Youssef Khiat
Rapporteur Le tribunal administratif de Marseille
___________
(9ème chambre)
M. Pierre-Yves Gonneau
Rapporteur public
___________
Audience du 3 février 2020
Lecture du 27 février 2020
___________
26-07-01-02
135-04-02-01-01
C+
Vu la procédure suivante :
Par une requête, enregistrée le 14 février 2019, l’association « La Quadrature du Net » et
la Ligue des droits de l’Homme, la fédération des conseils des parents d’élèves des écoles
publiques des Alpes-Maritimes et le syndicat CGT Educ’Action des Alpes-Maritimes, représentés
par Me Alexis Fitzjean O Cobhthaigh, demandent au Tribunal :
1°) d’annuler pour excès de pouvoir la délibération n° 18-893 du 14 décembre 2018 par
laquelle le conseil régional de Provence-Alpes-Côte d’Azur a approuvé la convention tripartite
d’expérimentation région-lycée-société Cisco International Limited relative à la mise en place d’un
dispositif de contrôle d’accès par comparaison faciale et de suivi de trajectoire, a autorisé son
président à signer cette convention et a lancé cette expérimentation au sein des lycées Ampère
(Marseille) et Les Eucalyptus (Nice) ;
2°) de mettre à la charge de la région Provence-Alpes-Côte d’Azur la somme de 1 024
euros au titre de l’article L. 761-1 du code de justice administrative.
Elles soutiennent que :
- la délibération attaquée est entachée d’incompétence : concernant la sécurité à l’entrée
des lycées, elle relève de la compétence des seuls chefs d’établissement ;
- elle est entachée d’un vice de procédure en ce qu’elle autorise la mise en œuvre d’un
traitement de données biométriques alors qu’aucune étude d’impact n’a été réalisée au moment de
son adoption, nuisant à la bonne information de la population et du conseil régional ;
N° 1901249 2
- elle méconnaît les stipulations de l’article 8 de la convention européenne de sauvegarde
des droits de l’homme et des libertés fondamentales en ce qu’elle prévoit la mise en œuvre d’un
traitement entraînant une ingérence dans le droit à la vie privée des personnes concernées en dehors
de toute base légale ;
- elle méconnaît les dispositions des articles 5 et 9 du règlement général de protection des
données dès lors, d’une part, que les finalités avancées pour justifier le traitement en cause ne sont
ni explicites, ni légitimes, et, d’autre part, que les données collectées ne sont ni adéquates, ni
pertinentes et qu’elles sont, en tout état de cause, manifestement excessives au regard des finalités
pour lesquelles elles sont collectées et traitées.
Par un mémoire en défense, enregistré le 29 novembre 2019, la région Provence-Alpes-
Côte d’Azur, représentée par l’AARPI Baron, Aidenbaum & associés, agissant par Me Baron,
sollicite le rejet de la requête et demande que soit mise à la charge des requérants la somme de
2 500 euros au titre de l’article L. 761-1 du code de justice administrative.
Elle fait valoir que :
- la co-secrétaire générale du syndicat CGT Educ’Action des Alpes-Maritimes n’a pas
qualité pour ester en justice au nom de cette organisation ;
- les moyens de légalité externe soulevés par les requérants ne sont pas fondés ;
- leurs moyens de légalité interne sont dépourvus d’objet.
La clôture de l’instruction a été fixée au 8 janvier 2020 par une ordonnance du même jour,
en application des dispositions des articles R. 611-11-1 et R. 613-1 du code de justice
administrative.
Les parties ont été informées, en application des dispositions de l’article R. 611-7 du code
de justice administrative, de ce que le jugement était susceptible d’être fondé sur les moyens
relevés d’office tirés, d’une part, de l’irrecevabilité de la requête présentée par l’association « La
Quadrature du Net » en ce qu’elle ne justifie pas d’un intérêt à agir contre la délibération en litige,
et, d’autre part, de l’irrecevabilité des conclusions tendant à l’annulation de la délibération du
conseil régional de PACA du 14 décembre 2018 en tant qu’elle approuve la convention tripartite
d’expérimentation avec la société Cisco International Limited et chacun des deux lycées et autorise
son président à les signer, en tant que ces décisions constituent des actes détachables insusceptibles
de recours pour excès de pouvoir.
Vu les autres pièces du dossier.
Vu :
- le règlement (UE) n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
- la loi n° 78-17 du 6 janvier 1978 ;
- le code de l’éducation ;
- le code de justice administrative.
Les parties ont été régulièrement averties du jour de l’audience.
Ont été entendus au cours de l’audience publique :
- le rapport de M. Khiat,
- les conclusions de M. Gonneau, rapporteur public,
- les observations de Me Fitzjean O Cobhthaigh pour les requérants et de Me Baron pour
la région Provence-Alpes-Côte d’Azur.
N° 1901249 3
Considérant ce qui suit :
1. Par la délibération n° 13-893 du 14 décembre 2018, le conseil régional de la région
Provence-Alpes-Côte d’Azur (PACA) a, d’une part, lancé l’expérimentation du dispositif de
contrôle d’accès virtuel dans les lycées « Ampère » (Marseille) et « Les Eucalyptus » (Nice) et,
d’autre part, approuvé la convention tripartite d’expérimentation conclue avec la société Cisco
International Limited et chacun des deux lycées et autorisé son président à les signer. Par la
présente requête, l’association « La Quadrature du Net », la Ligue des droits de l’Homme, la
fédération des conseils des parents d’élèves des écoles publiques des Alpes-Maritimes et le
syndicat CGT Educ’Action des Alpes-Maritimes demandent au Tribunal l’annulation pour excès
de pouvoir de cette délibération.
Sur l’exception de non-lieu opposée par la région PACA :
2. En faisant valoir que les moyens de légalité interne sont dépourvus d’objet en tant que
l’expérimentation n’a pas pu être mise en œuvre faute d’autorisation donnée par la Commission
nationale de l’informatique et des libertés, la région PACA doit être regardée comme opposant une
exception de non-lieu à statuer aux conclusions de la requête. La seule circonstance que
l’expérimentation n’ait pas été mise en œuvre n’est cependant pas de nature à priver d’objet les
conclusions en excès de pouvoir dirigées contre la délibération du conseil régional de PACA du 14
décembre 2018, dès lors que celle-ci n’a été ni abrogée, ni retirée. Il en résulte que l’exception de
non-lieu à statuer opposée par la région PACA doit être écartée.
Sur la recevabilité de la requête :
En ce qui concerne la fin de non-recevoir opposée par la région :
3. Aux termes de l’article 23 du XI des statuts du syndicat CGT Educ’Action des Alpes-
Maritimes : « Le/la secrétaire général-e ou en cas d’absence ou d’impossibilité, un-e secrétaire
mandaté-e par le bureau- est habilité-e pour représenter le syndicat en justice et dans tous les
actes de la vie civile. ». Le syndicat CGT Educ’Action des Alpes-Maritimes ne justifie d’aucun
mandat de son bureau autorisant sa co-secrétaire générale à ester en justice en son nom dans le
cadre de la présente instance. Dans ces conditions, la fin de non-recevoir tirée de l’absence de
justification de la qualité de la co-secrétaire générale pour agir au nom du syndicat CGT
Educ’Action des Alpes-Maritimes doit être accueillie.
En ce qui concerne la recevabilité des conclusions tendant à l’annulation de la délibération
litigieuse en tant qu’elle approuve les conventions tripartites d’expérimentation et autorise le
président du conseil régional à les signer :
4. Indépendamment des actions dont disposent les parties à un contrat administratif et des
actions ouvertes devant le juge de l’excès de pouvoir contre les clauses réglementaires d’un contrat
ou devant le juge du référé contractuel sur le fondement des articles L. 551-13 et suivants du code
de justice administrative, tout tiers à un contrat administratif susceptible d’être lésé dans ses
intérêts de façon suffisamment directe et certaine par sa passation ou ses clauses est recevable à
former devant le juge du contrat un recours de pleine juridiction contestant la validité du contrat ou
de certaines de ses clauses non réglementaires qui en sont divisibles. La légalité du choix du
cocontractant, de la délibération autorisant la conclusion du contrat et de la décision de le signer ne
peut être contestée qu’à l’occasion du recours ainsi défini. Il en résulte que des conclusions d’excès
de pouvoir d’un tiers contre ces actes détachables du contrat sont irrecevables.
N° 1901249 4
5. Par sa décision n° 358994 du 4 avril 2014, le Conseil d’Etat, statuant au contentieux, a
jugé que le recours défini ci-dessus ne trouve à s’appliquer, selon les modalités précitées et quelle
que soit la qualité dont se prévaut le tiers, qu’à l’encontre des contrats signés à compter de la
lecture de cette même décision.
6. La délibération du conseil régional de PACA du 14 décembre 2018 présente le caractère
d’un acte détachable aux conventions tripartites d’expérimentation conclues entre la région, la
société Cisco International Limited et chacun des deux lycées concernés en ce qu’elle approuve
leur contenu et autorise son président à les signer. Dès lors, les requérants, tiers à ces contrats
administratifs conclus postérieurement au 4 avril 2014, ne pouvaient former qu’un recours de
pleine juridiction en contestation de la validité de ces conventions devant le juge du contrat. Il
s’ensuit que les conclusions tendant à l’annulation de la délibération contestée sont irrecevables en
tant que cette délibération approuve le contenu des conventions tripartites d’expérimentation
conclues entre la région, la société Cisco International Limited et chacun des deux lycées en cause
et autorise le président du conseil régional de PACA à les signer.
Sur la légalité de la délibération du conseil régional de PACA du 14 décembre 2018 en ce
qu’elle lance l’expérimentation du dispositif de contrôle d’accès virtuel dans les lycées « Ampère »
(Marseille) et « Les Eucalyptus » (Nice) :
7. En premier lieu, aux termes du deuxième alinéa de l’article L. 214-6 du code de
l’éducation, dans sa rédaction applicable à la date de la délibération en litige : « La région assure
l’accueil, la restauration, l’hébergement ainsi que l’entretien général et technique, à l’exception
des missions d’encadrement et de surveillance des élèves, dans les établissements dont elle a la
charge. ». En outre, aux termes de l’article R. 421-10 du même code : « En qualité de représentant
de l’Etat au sein de l’établissement, le chef d’établissement : / (…) 3° Prend toutes dispositions, en
liaison avec les autorités administratives compétentes, pour assurer la sécurité des personnes et
des biens, l’hygiène et la salubrité de l’établissement ; (…) ».
8. Il ressort des pièces du dossier que, par la délibération en litige, le conseil régional de
PACA a engagé l’expérimentation d’un dispositif dit de contrôle d’accès virtuel dans les lycées
« Ampère » et « Les Eucalyptus » consistant en l’installation de portiques de reconnaissance
faciale à l’entrée de ces établissements. Cette expérimentation comporte, d’une part, un volet
« contrôle d’accès biométrique » concernant les personnes identifiées (lycéens) et, d’autre part, un
volet « suivi de trajectoire » concernant les personnes identifiées et non identifiées (visiteurs
occasionnels). Une telle expérimentation, dont l’un des objectifs était le renforcement de la sécurité
dans les établissements scolaires, relevait ainsi non des missions d’accueil, d’hébergement ou
d’entretien des lycées, mais des missions d’encadrement et de surveillance des élèves. En outre,
contrairement à ce qu’elle fait valoir, la région PACA ne s’est pas bornée à munir les lycées en
cause des équipements de reconnaissance faciale ou même à leur proposer l’adoption d’un
dispositif expérimental de reconnaissance faciale, mais a elle-même pris la décision d’initier cette
expérimentation. Dès lors, en engageant cette expérimentation, alors même qu’elle s’inscrit dans
les missions d’encadrement et de surveillance des élèves qui ressortissent à la compétence des
chefs d’établissements, la région PACA a excédé les compétences qu’elle tient des dispositions
précitées de l’article L. 214-6 du code de l’éducation, quand bien même les établissements
scolaires retenus auraient eu donné leur consentement. Par suite, les requérants sont fondés à
soutenir que la délibération litigieuse est entachée d’incompétence.
9. En second lieu, l’article 6 de la loi du 6 janvier 1978 dispose, dans sa rédaction
applicable, que : « I.- Il est interdit de traiter des données à caractère personnel qui révèlent la
prétendue origine raciale ou l'origine ethnique, les opinions politiques, les convictions religieuses
N° 1901249 5
ou philosophiques ou l'appartenance syndicale d'une personne physique ou de traiter des données
génétiques, des données biométriques aux fins d'identifier une personne physique de manière
unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation
sexuelle d'une personne physique. / II.- Les exceptions à l'interdiction mentionnée au I sont fixées
dans les conditions prévues par le 2 de l'article 9 du règlement (UE) 2016/679 du 27 avril 2016 et
par la présente loi ». Ces dispositions assurent la mise en œuvre en droit national de celles de
l’article 9 du règlement général sur la protection des données, lesquelles ont abrogé et remplacé
celles de l’article 8 paragraphe 1 de la directive 95/46/CE du 24 octobre 1995.
10. Aux termes de l’article 9 du règlement général sur la protection des données,
applicable à un traitement de données biométriques au nombre desquelles appartiennent les
données collectées par la reconnaissance faciale : « 1. Le traitement des données à caractère
personnel qui révèle l'origine raciale ou ethnique, les opinions politiques, les convictions
religieuses ou philosophiques ou l'appartenance syndicale, ainsi que le traitement des données
génétiques, des données biométriques aux fins d'identifier une personne physique de manière
unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation
sexuelle d'une personne physique sont interdits. / 2. Le paragraphe 1 ne s'applique pas si l'une des
conditions suivantes est remplie : / a) la personne concernée a donné son consentement explicite
au traitement de ces données à caractère personnel pour une ou plusieurs finalités spécifiques,
sauf lorsque le droit de l'Union ou le droit de l'État membre prévoit que l'interdiction visée au
paragraphe 1 ne peut pas être levée par la personne concernée ; (…) / g) le traitement est
nécessaire pour des motifs d'intérêt public important, sur la base du droit de l'Union ou du droit
d'un État membre qui doit être proportionné à l'objectif poursuivi, respecter l'essence du droit à la
protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des
droits fondamentaux et des intérêts de la personne concernée (…) ».
11. Le 11) de l’article 4 du règlement sur la protection des données définit le
consentement comme « toute manifestation de volonté, libre, spécifique, éclairé et univoque par
laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des
données à caractère personnel la concernant fassent l’objet d’un traitement ». En outre, l’article 7
du même règlement relatif aux conditions applicables au consentement dispose : « 1. Dans les cas
où le traitement repose sur le consentement, le responsable du traitement est en mesure de
démontrer que la personne concernée a donné son consentement au traitement de données à
caractère personnel la concernant. / 2. Si le consentement de la personne concernée est donné
dans le cadre d'une déclaration écrite qui concerne également d'autres questions, la demande de
consentement est présentée sous une forme qui la distingue clairement de ces autres questions,
sous une forme compréhensible et aisément accessible, et formulée en des termes clairs et simples.
Aucune partie de cette déclaration qui constitue une violation du présent règlement n'est
contraignante. / (…) Au moment de déterminer si le consentement est donné librement, il y a lieu
de tenir le plus grand compte de la question de savoir, entre autres, si l'exécution d'un contrat, y
compris la fourniture d'un service, est subordonnée au consentement au traitement de données à
caractère personnel qui n'est pas nécessaire à l'exécution dudit contrat. ».
12. Il ressort des pièces du dossier que la région PACA a entendu justifier légalement le
traitement de données biométriques en cause par le consentement préalable des lycéens concernés
ou, dans le cas où ces derniers sont mineurs, par celui de leurs représentants légaux. En se bornant
toutefois à prévoir que ce consentement serait recueilli par la seule signature d’un formulaire, alors
que le public visé se trouve dans une relation d’autorité à l’égard des responsables des
établissements publics d’enseignement concernés, la région ne justifie pas avoir prévue des
garanties suffisantes afin d’obtenir des lycéens ou de leurs représentants légaux qu’ils donnent leur
consentement à la collecte de leurs données personnelles de manière libre et éclairée.
N° 1901249 6
13. En dernier lieu, selon les termes de la délibération en cause, ce dispositif a pour
finalités « (…) d’apporter une assistance aux agents en charge du contrôle d’accès au lycée et de
l’accueil afin de faciliter et réduire la durée des contrôles (pour les usagers réguliers du site
comme pour les visiteurs occasionnels), lutter contre l’usurpation d’identité et détecter un
déplacement non souhaité ». Cependant, la région PACA n’établit ni ne fait valoir que les finalités
poursuivies s’attachant à la fluidification et la sécurisation des contrôles à l’entrée des lycées
concernés constituent un motif d’intérêt public ni même que ces finalités ne pourraient être
atteintes de manière suffisamment efficace par des contrôles par badge, assortis, le cas échéant, de
l’usage de la vidéosurveillance. Les requérantes sont donc fondées à soutenir que le traitement de
données biométriques institué par la région PACA ne satisfait pas aux exigences prévues par le a)
de l’article 9 du règlement général sur la protection des données telles qu’éclairées notamment par
ses articles 4 et 7, ni davantage aux conditions énoncées par le g) du même règlement, et qu’il
n’entre dans aucune des exceptions énumérées par le 2. de l’article 9 du règlement général sur la
protection des données. Elles sont, par suite, fondées à soutenir que la délibération qu’elles
contestent est entachée d’illégalité au regard de l’article 9 du règlement général sur la protection
des données.
14. Il résulte de tout de ce qui précède, et sans qu’il soit besoin d’examiner les autres
moyens de la requête, que l’association « La Quadrature du Net », la Ligue des droits de l’Homme
et la fédération des conseils des parents d’élèves des écoles publiques des Alpes-Maritimes sont
fondées à demander l’annulation de la délibération du conseil régional de Provence-Alpes-Côte
d’Azur du 14 décembre 2018 en tant qu’elle a lancé l’expérimentation du dispositif de contrôle
d’accès virtuel dans les lycées « Ampère » (Marseille) et « Les Eucalyptus » (Nice).
Sur les frais non compris dans les dépens :
15. Il y a lieu de mettre à la charge de la région PACA le versement d’une somme totale
de 1 000 euros à l’association « La Quadrature du Net », à la Ligue des droits de l’Homme et à la
fédération des conseils des parents d’élèves des écoles publiques des Alpes-Maritimes au titre de
l’article L. 761-1 du code de justice administrative. En revanche, ces dispositions font obstacle à ce
que les requérants, qui ne sont la partie perdante à l’instance, versent à la région PACA une somme
au titre des frais exposés et non compris dans les dépens.
DÉCIDE:
Article 1er : La délibération du conseil régional de Provence-Alpes-Côte d’Azur du 14 décembre
2018 est annulée en tant qu’elle a lancé l’expérimentation du dispositif de contrôle d’accès virtuel
dans les lycées « Ampère » (Marseille) et « Les Eucalyptus » (Nice).
Article 2 : La région Provence-Alpes-Côte d’Azur versera à l’association « La Quadrature du Net »
à la Ligue des droits de l’Homme et à la fédération des conseils des parents d’élèves des écoles
publiques des Alpes-Maritimes une somme totale de 1 000 euros au titre de l’article L. 761-1 du
code de justice administrative.
Article 3 : Le surplus des conclusions des parties est rejeté.
N° 1901249 7
Article 4 : Le présent jugement sera notifié à l’association « La Quadrature du Net », à la Ligue des
droits de l’Homme, à la fédération des conseils des parents d’élèves des écoles publiques des
Alpes-Maritimes, au syndicat CGT Educ’Action des Alpes-Maritimes et à la région Provence-
Alpes-Côte d’Azur.
Délibéré après l'audience du 3 février 2020, à laquelle siégeaient :
Mme Hogedez, présidente,
Mme Balussou, première conseillère,
M. Khiat, conseiller.
Assistés de Mme Renard-Martinez, greffière.
Lu en audience publique le 27 février 2020.
Le rapporteur, La présidente,
Signé Signé
Y. Khiat I. Hogedez
La greffière,
Signé
N. Renard-Martinez
La République mande et ordonne au préfet de la région Provence- Alpes-Côte d'Azur en ce qui le
concerne ou à tous huissiers de justice à ce requis en ce qui concerne les voies de droit commun
contre les parties privées, de pourvoir à l’exécution de la présente décision.
Pour expédition conforme,
La greffière,