Renseignement policier : la CourEDH rappelle à l'ordre la Grande-Bretagne sur la conservation des données

La Cour européenne des droits de l’homme (CourEDH) a rendu un arrêt (en anglais) le 24 janvier 2019 dans la cause CATT v. UNITED-KINGDOM n° 43514/15 sur la compatibilité du traitement de données personnelles par un organisme étatique avec l’article 8 de la Convention européenne des droits de l’homme (CEDH).

Faits

Le requérant milite activement pour la paix depuis 1948. En 2005, il commença à participer à des manifestations organisées par un groupe protestataire violent, qui donnaient lieu à une forte présence policière. Il n’avait lui-même jamais été condamné pour une quelconque infraction et le risque qu’il commît des violences était faible.

Le requérant saisit les juridictions internes afin d’obtenir la suppression des informations le concernant qui avaient été consignées dans une base de données de la police relative à l’extrémisme (“Extremism database”). Les données en question comprenaient notamment son nom, son adresse, sa date de naissance et l’indication de manifestations auxquelles il avait participé. La plupart des fiches le concernant avaient trait à sa présence à des manifestations organisées par le groupe protestataire violent, mais d’autres portaient sur sa présence à des rassemblements politiques ou syndicaux.

(Résumé de la CourEDH)

Droit

La CourEDH divise son raisonnement en deux étapes : il convient d’abord de déterminer s’il y a une ingérence dans les droits protégés par l’article 8 CEDH, et dans un tel cas, si elle est justifiée. Dans l’analyse de la justification, la CourEDH commence par déterminer si la justification est fondée sur une base légale, puis regarde si celle-ci poursuit un but légitime, et enfin si elle est nécessaire dans une société démocratique.

Ingérence ?

Le gouvernement britannique reconnait qu’il y a une ingérence mais soutient qu’elle est limitée. La CourEDH rappelle qu’il est de jurisprudence constante de considérer comme une ingérence le simple fait pour un État de conserver des données au sujet d’une personne.

Justifiée ?

Existence d’une base légale

La CourEDH rappelle que l’existence d’une base légale ne suffit pas, encore faut-il que celle-ci soit accessible aux personnes concernées et que ses effets soient prévisibles.

Dans le cas d’espèce, la CourEDH s’inquiète de l’ambiguïté de la base légale pour la collecte de données, de la notion d’extrémisme (“domestic extremism”) qui n’est pas clairement définie, et du fait que les données peuvent être conservées indéfiniment. Elle relève cependant que les données en question ne sont pas communiquées à des tiers et que le requérant avait la possibilité de demander leur suppression.

Le National Coordinator du National Public Order Intelligence Unit (NPOIU) a indiqué d’ailleurs que

The term ‘domestic extremism’ is not prescribed by law. It is a descriptor generally used by the police service and partners to describe the activity of individuals or groups who carry out criminal acts of direct action to further their protest campaigns, outside the democratic process.

§ 19 du jugement de la CourEDH

Poursuite d’un but légitime

La CourEDH relève qu’il n’y a pas eu de contestation particulière sur la question de savoir si la création et la maintenance de la base de données par la police poursuit un but légitime ou non. La CourEDH indique considérer que le but poursuivi (la prévention de crimes et le maintien de l’ordre ainsi que la sauvegarde des droits et libertés des autres) est légitime.

Nécessaire dans une société démocratique

La CourEDH rappelle que cette condition répond à la question de savoir s’il y a un besoin social pressant, si l’ingérence est proportionnée au but légitime poursuivi et si les raisons pour justifier l’atteinte sont pertinentes et suffisantes. Une marge de manœuvre doit en outre être laissée aux autorités nationales.

La CourEDH admet qu’il y avait un besoin social pressant à la collecte des données personnelles (et sensibles) par la police avant que cette dernière ne détermine la valeur des informations collectées. Elle reconnait aussi que la police avait un rôle évident à jouer dans la surveillance des activités d’un groupe connu pour être violent et potentiellement criminel. Ainsi, même si le requérant n’était pas directement impliqué dans les activités criminelles, la police pouvait justifier la collecte de données à son sujet.

Il n’y avait en revanche pas de besoin social pressant à ce que ces données soient conservée. Certes, la police garde une marge de manœuvre quant à savoir quelles informations lui sont utiles pour la réalisation de ses tâches, et à cet égard il est nécessaire de conserver des données pendant une certaine période après leur collecte. Cependant, en l’espèce, ces données pouvaient être conservées indéfiniment puisqu’aucune règle relative à la durée de conservation n’était précisée. La CourEDH rappelle d’ailleurs que la Résolution (74) 29 du Conseil des Ministres (sur la protection de la sphère privée des individus dont les données sont traitées dans des bases de données publiques, ndr) indique à son paragraphe 4 que des règles doivent être édictées au sujet des durées de conservation maximales au-delà desquelles ces données ne peuvent être utilisées ou conservées que dans des situations exceptionnelles. Elle conclut donc que des données ont été collectées puis conservées plus longtemps que nécessaire alors que la police avait estimé que le requérant ne présentait aucun danger. La conservation était donc bien disproportionnée.

Selon la CourEDH, il y a lieu de s’inquiéter de l’absence de mesures de protection effectives au vu de la sensibilité des données en cause (opinions politiques). En outre, le fait de s’engager dans des manifestations pacifiques est protégé par l’article 11 CEDH, qui protège également la liberté syndicale. Revenant sur la définition du “domestic extremism” donnée par le National Coordinator (ci-dessus), qui consiste à agir en dehors de tout processus démocratique, la CourEDH constate que la police n’a pas respecté sa propre définition en conservant les données du requérant liées à ses activités politiques et syndicales pacifiques.

Elle indique enfin qu’il ne lui semble pas qu’ordonner une suppression des données concernées soit une tâche trop compliquée pour la rendre irraisonnable. Il serait d’ailleurs totalement contraire à l’art. 8 CEDH qu’un État construise une base de données d’une manière telle que les données ne puissent pas être contrôlées, modifiées et effacées.

Ainsi, la CourEDH constate à l’unanimité qu’il y a eu violation de l’art. 8 CEDH.

Commentaire

Cet arrêt est intéressant à plus d’un titre. Il revient sur la nécessité, pour les organismes publics, de gérer leurs bases de données de manière à pouvoir en effacer le contenu concernant une personne particulière, ce qui impose donc une réflexion “privacy by design” lors de la construction des bases de données. Aussi, il rappelle que les critères pour la collecte de données et leur conservation doivent être définis et, s’ils ne peuvent l’être suffisamment pour prévenir les ambiguïtés, il s’agira alors de prendre des mesures effectives pour limiter les impacts de ce “flou” sur la vie privée des personnes. Enfin, les durées de conservation doivent être prévues, ou au moins les critères qui permettent de les déterminer d’une manière telle que l’organisme public puisse prévoir des contrôles périodiques et prendre les mesures adéquates.