Vu la procédure suivante :
Par un déféré, enregistré le 29 janvier 2024, le haut-commissaire de la République en Polynésie française demande au tribunal :
1°) d'annuler la note de service du maire de Bora Bora n°2023/1 du 1er décembre 2023 informant les agents communaux des modalités de la mise en place d'un système d'enregistrement du temps de travail dont la phase " d'apprentissage " a commencé en juillet 2023 et dont la date effective d'entrée en vigueur est fixée au 1er février 2024 ;
2°) d'enjoindre à la commune de Bora Bora de supprimer l'ensemble des données biométriques irrégulièrement collectées dans un délai de vingt-quatre heures, sous astreinte d'un million de francs CFP par jour de retard, cette suppression ne pouvant intervenir qu'avec l'accord du procureur de la République si le traitement en question devait faire l'objet d'une enquête pénale.
Il soutient que :
- l'auteur de l'acte est incompétent ; le conseil municipal est seul compétent pour " préciser " les modalités de décompte horaire au moyen d'un règlement intérieur, adopté par délibération, après avis du comité technique paritaire (CTP) ; en l'espèce, la mise en œuvre de ces nouvelles modalités de contrôle a été décidée par une simple note de service du maire et n'a pas donné lieu à la modification du règlement intérieur de la commune ;
- le contrôle des horaires s'effectuera par reconnaissance faciale, constituant donc un traitement de données sensibles, qui n'est autorisé que dans les cas mentionnés à l'article 9 du RGPD, dont les conditions ne sont pas remplies en l'espèce ;
- aucune information adéquate et préalable n'a été donnée aux personnels intéressés en méconnaissance des articles 12 et suivants du RGPD et 9 du règlement-type adopté par la CNIL ;
- la note de service querellée ne fixe aucune limite à la durée de conservation des données personnelles collectées en méconnaissance de l'article 5 du RGPD et de l'article 8 du règlement-type adopté par la CNIL ;
- les données biométriques ne sont pas du tout maîtrisées par les personnes concernées au moyen d'un badge ou d'un mot de passe en méconnaissance du règlement-type adopté par la CNIL.
Par un mémoire en défense, enregistré le 26 avril 2024, la commune de Bora Bora, représentée par Me Quinquis, conclut au rejet du déféré et à ce que soit mise à la charge de l'Etat une somme de 200 000 F CFP à lui verser au titre de l'article L. 761-1 du code de justice administrative.
Elle soutient que :
- les moyens soulevés ne sont pas fondés.
Par une ordonnance du 30 avril 2024, la clôture de l'instruction a été fixée au 27 mai 2024 à 11h00 (heure locale).
Vu les autres pièces du dossier ;
Vu :
- la loi organique n° 2004-192 du 27 février 2004 ;
- le règlement (UE) n° 2016/679 du Parlement européen et du conseil du 27 avril 2016 ;
- la loi n° 78-17 du 6 janvier 1978 ;
- le décret n° 2011-1040 du 29 août 2011 ;
- l'arrêté n° 1085 DIPAC du 5 juillet 2012 ;
- l'arrêté n° HC/340/DIRAJ/BAJC du 21 juin 2023 ;
- le code général des collectivités territoriales ;
- le code de justice administrative ;
Les parties ont été régulièrement averties du jour de l'audience.
Ont été entendus au cours de l'audience publique :
- le rapport de M. Devillers, président,
- les conclusions de M. Boumendjel, rapporteur public,
- les observations de Mme A représentant le haut-commissaire de la République en Polynésie française et celles de Me Quinquis pour la commune de Bora Bora.
Considérant ce qui suit :
Sur les conclusions à fin d'annulation :
1. En application du premier alinéa de l'article L. 2131-6 du code général des collectivités territoriales, le représentant de l'Etat défère au tribunal administratif les actes pris par les autorités communales mentionnés à l'article L. 2131-2 qu'il estime contraires à la légalité dans les deux mois suivant leur transmission. Le haut-commissaire de la République en Polynésie française demande au tribunal d'annuler la note de service du maire de Bora Bora n°2023/1 du 1er décembre 2023 informant les agents communaux des modalités de la mise en place d'un système d'enregistrement du temps de travail, soit l'installation d'une " pointeuse à reconnaissance faciale " destinée au contrôle des horaires de travail du personnel.
2. Aux termes de l'article 9 - " Traitement portant sur des catégories particulières de données à caractère personnel " du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données - RGPD) : " 1. Le traitement des données à caractère personnel qui révèle l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique sont interdits. 2. Le paragraphe 1 ne s'applique pas si l'une des conditions suivantes est remplie : a) la personne concernée a donné son consentement explicite au traitement de ces données à caractère personnel pour une ou plusieurs finalités spécifiques, sauf lorsque le droit de l'Union ou le droit de l'État membre prévoit que l'interdiction visée au paragraphe 1 ne peut pas être levée par la personne concernée ; b) le traitement est nécessaire aux fins de l'exécution des obligations et de l'exercice des droits propres au responsable du traitement ou à la personne concernée en matière de droit du travail, de la sécurité sociale et de la protection sociale, dans la mesure où ce traitement est autorisé par le droit de l'Union, par le droit d'un État membre ou par une convention collective conclue en vertu du droit d'un État membre qui prévoit des garanties appropriées pour les droits fondamentaux et les intérêts de la personne concernée ; c) le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne physique, dans le cas où la personne concernée se trouve dans l'incapacité physique ou juridique de donner son consentement ; d) le traitement est effectué, dans le cadre de leurs activités légitimes et moyennant les garanties appropriées, par une fondation, une association ou tout autre organisme à but non lucratif et poursuivant une finalité politique, philosophique, religieuse ou syndicale, à condition que ledit traitement se rapporte exclusivement aux membres ou aux anciens membres dudit organisme ou aux personnes entretenant avec celui-ci des contacts réguliers en liaison avec ses finalités et que les données à caractère personnel ne soient pas communiquées en dehors de cet organisme sans le consentement des personnes concernées ; e) le traitement porte sur des données à caractère personnel qui sont manifestement rendues publiques par la personne concernée ; f) le traitement est nécessaire à la constatation, à l'exercice ou à la défense d'un droit en justice ou chaque fois que des juridictions agissent dans le cadre de leur fonction juridictionnelle ; g) le traitement est nécessaire pour des motifs d'intérêt public important, sur la base du droit de l'Union ou du droit d'un État membre qui doit être proportionné à l'objectif poursuivi, respecter l'essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée ; h) le traitement est nécessaire aux fins de la médecine préventive ou de la médecine du travail, de l'appréciation de la capacité de travail du travailleur, de diagnostics médicaux, de la prise en charge sanitaire ou sociale, ou de la gestion des systèmes et des services de soins de santé ou de protection sociale sur la base du droit de l'Union, du droit d'un État membre ou en vertu d'un contrat conclu avec un professionnel de la santé et soumis aux conditions et garanties visées au paragraphe 3 ; i) le traitement est nécessaire pour des motifs d'intérêt public dans le domaine de la santé publique, tels que la protection contre les menaces transfrontalières graves pesant sur la santé, ou aux fins de garantir des normes élevées de qualité et de sécurité des soins de santé et des médicaments ou des dispositifs médicaux, sur la base du droit de l'Union ou du droit de l'État membre qui prévoit des mesures appropriées et spécifiques pour la sauvegarde des droits et libertés de la personne concernée, notamment le secret professionnel ; j) le traitement est nécessaire à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques, conformément à l'article 89, paragraphe 1, sur la base du droit de l'Union ou du droit d'un État membre qui doit être proportionné à l'objectif poursuivi, respecter l'essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée () ".
3. La commune de Bora Bora expose que la décision de procéder à un comptage horaire par l'utilisation d'un système de pointage biométrique répond aux exceptions prévues au 2 de l'article 9 du RGPD. Toutefois, il ne ressort pas de la note de service contestée, qui dispose que les agents n'en respectant pas les consignes s'exposent à des poursuites disciplinaires, que lesdits agents, s'ils ont été conviés à des réunions d'information sur la mise en place de ce dispositif, puissent être regardés comme ayant donné leur consentement explicite au traitement des données biométriques collationnées par le dispositif. Par ailleurs aucun des autres arguments invoqués par la commune, relatifs à la possibilité d'ainsi mieux aborder la question des astreintes, d'alléger les chefs de service en ce qui concerne le pointage quotidien des agents, de mieux prendre en considération des nouveaux risques sanitaires, enfin la circonstance que la mise en œuvre d'autres dispositifs n'impliquant pas l'utilisation de la biométrie se sont révélés inadaptés, ne peut être regardé comme constituant une telle exception. Il en résulte que cette note de service doit être annulée.
Sur les conclusions à fin d'injonction :
4. Il résulte de ce qui précède qu'il y a lieu, ainsi que le demande le haut-commissaire, d'enjoindre à la commune de Bora Bora de supprimer l'ensemble des données biométriques irrégulièrement collectées dans un délai de vingt-quatre heures, sous astreinte d'un million de francs CFP par jour de retard, cette suppression ne pouvant intervenir qu'avec l'accord du procureur de la République si le traitement en question devait faire l'objet d'une enquête pénale.
Sur les conclusions tendant à l'application de l'article L. 761-1 du code de justice administrative :
5. Il n'y a pas lieu, dans les circonstances de l'espèce, de faire application de ces dispositions au profit de la commune de Bora Bora.
D E C I D E :
Article 1er : La note de service du maire de Bora Bora n°2023/1 du 1er décembre 2023 est annulée.
Article 2 : Il est enjoint à la commune de Bora Bora de supprimer l'ensemble des données biométriques irrégulièrement collectées dans un délai de vingt-quatre heures, sous astreinte d'un million de francs CFP par jour de retard, cette suppression ne pouvant intervenir qu'avec l'accord du procureur de la République si le traitement en question a fait l'objet d'une enquête pénale.
Article 3 : Les conclusions de la commune de Bora Bora au titre de l'article 761-1 du code de justice administrative sont rejetées.
Article 4 : Le présent jugement sera notifié au haut-commissaire de la République en Polynésie française et à la commune de Bora Bora. Copie en sera délivrée à la procureure de la République près le tribunal judiciaire de Papeete.
Délibéré après l'audience du 3 septembre 2024, à laquelle siégeaient :
M. Devillers, président,
Mme Busidan, première conseillère,
M. Graboy-Grobesco, premier conseiller.
Rendu public par mise à disposition au greffe le 17 septembre 2024.
Le président-rapporteur,
P. Devillers
L'assesseure la plus ancienne,
H. BusidanLa greffière,
D. Oliva-Germain
La République mande et ordonne au haut-commissaire de la République en Polynésie française en ce qui le concerne ou à tous commissaires de justice à ce requis en ce qui concerne les voies de droit commun contre les parties privées, de pourvoir à l'exécution de la présente décision.
Pour expédition,
Un greffier,
N°2400028