La reconnaissance faciale des lycéens jugée contraire au RGPD

Plusieurs associations, dont La Quadratude du Net et la Ligue des droits de l’Homme, ont saisi le tribunal administratif de Marseille aux fins d’annulation pour excès de pouvoir d’une délibération du conseil régional de Provence-Alpes-Côté d’Azur, prise le 14 décembre 2018, autorisant deux lycées de Marseille et Nice à mettre en œuvre un dispositif de reconnaissance faciale. Ce dispositif devait comparer le visage des visiteurs aux photographies des lycéens afin d’autoriser ou d’interdire l’accès aux lycées et “suivre la trajectoire” des lycéens et des visiteurs à l’intérieur des établissements.

Le tribunal administratif de Marseille a rendu sa décision le 27 février 2020.

Les données de reconnaissance faciale sont des données biométriques, qualifiées de données sensibles par les textes européens et français. Ainsi, la loi Informatique et Libertés de 1978, dans sa version en vigueur, interdit de traiter “des données biométriques aux fins d’identifier une personne physique de manière unique” (article 6) et prévoit que “les exceptions à l’interdiction (…) sont fixées dans les conditions prévues par le 2 de l’article 9 du règlement (UE) 2016/679 du 27 avril 2016” (RGPD).

Par principe interdit, le traitement des données biométriques est exceptionnellement autorisé lorsqu’il satisfait à au moins l’une des exceptions énumérées à l’article 9.2 du RGPD. Ces exceptions peuvent être ainsi résumées :

• les personnes concernées ont donné leur consentement ;
• le traitement est nécessaire pour l’exercice de droits relatifs au droit du travail ou à la protection sociale ;
• le traitement est nécessaire à la sauvegarde des intérêts vitaux d’une personne qui n’est pas en mesure de donner son consentement ;
• le traitement est effectué par un organisme d’intérêt général (non commercial) dans une finalité politique, philosophique, religieuse ou syndicale ;
• les données traitées ont déjà été rendues publiques par la personne concernée ;
• le traitement est nécessaire à la défense en justice de la personne concernée ;
• le traitement est nécessaire pour des motifs d’intérêt public important et reconnu par le droit de l’Union européenne ;
• le traitement est justifié par des fins médicales légitimes ;
• le traitement a pour but de constituer des archives d’intérêt public.

Il était clair que le traitement des les visages des lycéens n’avait pas de but médical, juridictionnel, archivistique. Ce traitement ne pouvait donc être justifié, au regard du RGPD, que par l’existence d’un motif d’intérêt public important ou par le consentement des personnes concernées (ou de leurs représentants légaux).

Le tribunal relève que le consentement des lycéens a été recueilli “par la seule signature d’un formulaire, alors que le public visé se trouve dans une relation d’autorité à l’égard des responsables des établissements publics d’enseignement concernés”. Il s’ensuit que ce consentement est contraint et qu’il n’est pas libre et éclairé. C’est comme s’il n’avait jamais été donné.

S’agissant du motif d’intérêt public, la région PACA soutenait que le dispositif de contrôle facial devait permettre la “fluidification et la sécurisation des contrôles à l’entrée des lycées”. Toutefois, le traitement des données sensibles n’est autorisé, dans un logique d’économie des moyens, que s’il n’existe pas d’alternative moins intrusive pour atteindre le but légitime que poursuit le responsable du traitement. Or, selon le tribunal, la région PACA échoue à démontrer que les finalités qu’elle poursuit “ne pourraient être atteintes de manière suffisamment efficace par des contrôles par badge, assortis, le cas échéant, de l’usage de la vidéosurveillance”. Le traitement en cause n’est donc pas nécessaire ; il doit être interdit.

En conséquence, le tribunal administratif annule pour excès de pouvoir la délibération du conseil régional de la région PACA.