Vu les procédures suivantes : 1° Sous le numéro 440376, par une requête enregistrée le 4 mai 2020 au secrétariat du contentieux du Conseil d'Etat, la société B... Avocat Victimes et Préjudices et M. C... B... demandent au Conseil d'Etat : 1°) d'annuler pour excès de pouvoir le décret n° 2020-356 du 27 mars 2020 portant création d'un traitement automatisé de données à caractère personnel dénommé " DataJust " ; 2°) de mettre à la charge de l'Etat la somme de 3 000 euros au titre de l'article L. 761-1 du code de justice administrative. 2° Sous le numéro 440976, par une requête sommaire et un mémoire complémentaire, enregistrés les 2 juin et 2 septembre 2020 au secrétariat du contentieux du Conseil d'Etat, M. P... M..., M. I... N..., Mme Z... V..., Mme X... G... et Mme L... E... demandent au Conseil d'Etat : 1°) d'annuler pour excès de pouvoir le décret n° 2020-356 du 27 mars 2020 portant création d'un traitement automatisé de données à caractère personnel dénommé " DataJust " ; 2°) de mettre à la charge de l'Etat la somme de 3 000 euros au titre de l'article L. 761-1 du code de justice administrative. .................................................................................... 3° Sous le numéro 442327, par une requête et un mémoire, enregistrés le 31 juillet 2020 et le 15 avril 2021 au secrétariat du contentieux du Conseil d'Etat, Mme W... A..., M. AA... U... et Mme Y... O... demandent au Conseil d'Etat : 1°) d'annuler pour excès de pouvoir le décret n° 2020-356 du 27 mars 2020 portant création d'un traitement automatisé de données à caractère personnel dénommé " DataJust " ; 2°) de mettre à la charge de l'Etat la somme de 5 000 euros au titre de l'article L. 761-1 du code de justice administrative. .................................................................................... 4° Sous le numéro 442361, par une requête sommaire, un mémoire complémentaire et un mémoire en réplique, enregistrés les 2 août et 2 novembre 2020 et le 13 décembre 2021 au secrétariat du contentieux du Conseil d'Etat, l'association La Quadrature du Net demande au Conseil d'Etat : 1°) d'annuler pour excès de pouvoir le décret n° 2020-356 du 27 mars 2020 portant création d'un traitement automatisé de données à caractère personnel dénommé " DataJust " ; 2°) d'enjoindre au garde des sceaux, ministre de la justice, de supprimer les données recueillies depuis l'entrée en vigueur du décret attaqué, sous astreinte de 1 024 euros par jour de retard ; 3°) de mettre à la charge de l'Etat la somme de 4 096 euros au titre de l'article L. 761-1 du code de justice administrative. .................................................................................... 5° Sous le numéro 442935, par une requête enregistrée le 18 août 2020 au secrétariat du contentieux du Conseil d'Etat, l'association APF France handicap, la Fédération nationale des victimes d'attentats et d'accidents collectifs et l'Union nationale des associations de familles de traumatisés crâniens et de cérébro-lésés demandent au Conseil d'Etat : 1°) d'annuler pour excès de pouvoir le décret n° 2020-356 du 27 mars 2020 portant création d'un traitement automatisé de données à caractère personnel dénommé " DataJust " ; 2°) de mettre à la charge de l'Etat la somme de 1 500 euros à verser à chacune des associations requérantes au titre de l'article L. 761-1 du code de justice administrative. .................................................................................... Vu les autres pièces des dossiers ; Vu : - la Constitution ; - la Convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales ; - la charte des droits fondamentaux de l'Union européenne ; - le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ; - la loi n° 78-17 du 6 janvier 1978 ; - le code de justice administrative ; Après avoir entendu en séance publique : - le rapport de M. Bruno Delsol, conseiller d'Etat, - les conclusions de M. Arnaud Skzryerbak, rapporteur public ; La parole ayant été donnée, après les conclusions, à la SCP Rocheteau, Uzan-Sarano, avocat de la société B... Avocat Victimes et Préjudices et de M. B... et à la SCP Foussard, Froger, avocat de M. M..., de M. N..., de Mme V..., de Mme G... et de Mme E... ; Considérant ce qui suit : 1. Les requêtes de la société B... Avocat Victimes et Préjudices et M. B..., de M. M... et autres, de Mme A... et autres, de l'association La Quadrature du Net et de l'association APF France handicap et autres sont dirigées contre le même décret du 27 mars 2020 portant création d'un traitement automatisé de données à caractère personnel dénommé " DataJust ". Il y a lieu de les joindre pour statuer par une même décision. 2. Le décret attaqué autorise le garde des sceaux, ministre de la justice, à mettre en œuvre, pour une durée de deux ans, un traitement ayant pour finalité, aux termes de son article 1er, " le développement d'un algorithme devant servir à : / 1° La réalisation d'évaluations rétrospectives et prospectives des politiques publiques en matière de responsabilité civile ou administrative ; / 2° L'élaboration d'un référentiel indicatif d'indemnisation des préjudices corporels ; / 3° L'information des parties et l'aide à l'évaluation du montant de l'indemnisation à laquelle les victimes peuvent prétendre afin de favoriser un règlement amiable des litiges ; / 4° L'information ou la documentation des juges appelés à statuer sur des demandes d'indemnisation des préjudices corporels. ". Son article 2 prévoit que les données " sont extraites des décisions de justice rendues en appel entre le 1er janvier 2017 et le 31 décembre 2019 par les juridictions administratives et les formations civiles des juridictions judiciaires dans les seuls contentieux portant sur l'indemnisation des préjudices corporels ". Le même article fixe la liste des catégories de données concernées et précise qu'elles peuvent comprendre celles mentionnées à l'article 6 de la loi du 6 janvier 1978. Le décret prévoit que le droit d'information et le droit d'opposition des personnes dont les données sont collectées ne s'appliqueront pas. Sur les interventions : 3. M. J... et autres d'une part, l'Union nationale des associations agréées d'usagers du système de santé d'autre part, justifient d'un intérêt suffisant à l'annulation du décret attaqué. Leurs interventions sont ainsi recevables. Sur la légalité externe du décret attaqué : 4. En premier lieu, aux termes de l'article 34 de la Constitution : " La loi fixe les règles concernant : les droits civiques et les garanties fondamentales accordées aux citoyens pour l'exercice des libertés publiques ". La loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés régit le traitement des données personnelles notamment dans le cadre du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, dit règlement général sur la protection des données dit " RGPD ". La création et la mise en œuvre d'un tel traitement sont subordonnées au respect de l'ensemble des garanties applicables prévues par cette loi, en particulier les principes, énumérés à son article 4, de licéité, tel qu'il est précisé à son article 5, de loyauté, de limitation des finalités, de minimisation des données, d'exactitude, de limitation de la conservation, d'intégrité et de confidentialité. 5. Le décret attaqué se borne à autoriser la collecte de données nécessaires au développement d'un algorithme en matière d'indemnisation du préjudice corporel sans déroger à la loi du 6 janvier 1978. Il n'a ni pour objet, ni pour effet de fixer des règles relatives aux garanties fondamentales accordées aux citoyens pour l'exercice des libertés publiques. Le moyen tiré de l'incompétence du Premier ministre pour adopter le décret attaqué, y compris en ce qu'il exclut l'exercice des droits d'information et d'opposition des personnes dont les données personnelles sont collectées, et alors même qu'initialement le gouvernement avait préparé un projet d'article législatif instituant un référentiel d'indemnisation, ne peut, en conséquence, qu'être écarté. 6. En deuxième lieu, il ressort des pièces versées au dossier par le ministre de la justice que le décret attaqué ne contient pas de disposition qui diffèrerait à la fois du projet initial du Gouvernement et du texte adopté par le Conseil d'Etat. Par suite, les requérants ne sont pas, en tout état de cause, fondés à soutenir que les règles gouvernant l'examen par le Conseil d'Etat des projets de décret auraient été méconnues. 7. En troisième lieu, les requérants se prévalent de l'irrégularité de l'avis de la Commission nationale de l'informatique et des libertés (CNIL). Toutefois, d'une part, la seule circonstance que cet avis ne comporte que la signature de sa présidente ne suffit pas à établir qu'il n'aurait pas été rendu en formation plénière dès lors qu'aucune disposition ni aucun principe n'impose d'autres signatures ni ne prévoit de mentions obligatoires devant assortir l'avis. Il s'ensuit que lorsque l'avis a la forme d'une " délibération " et mentionne qu'il a été rendu par la Commission, il ne saurait été regardé, en l'absence d'élément contraire, comme émanant de la seule présidente de la commission. D'autre part, il ressort des pièces du dossier qu'ont été publiés au Journal officiel du 29 mars 2020 le décret attaqué et la délibération n° 2020-002 du 9 janvier 2020 portant avis de la CNIL. Contrairement à ce que soutiennent les requérants, la circonstance que l'avis de la CNIL ait été publié après la signature du décret attaqué est, en tout état de cause, sans incidence sur la légalité de ce dernier. Il s'ensuit que le moyen tiré de l'irrégularité de l'avis de la CNIL doit être écarté. 8. En cinquième lieu, le moyen soulevé par l'association La Quadrature du Net et tiré de ce que tous les avis légalement requis n'auraient pas été recueillis n'est pas assorti des précisions suffisantes permettant d'en apprécier le bien-fondé. 9. En dernier lieu, l'article 22 de la Constitution dispose que " Les actes du Premier ministre sont contresignés, le cas échéant, par les ministres chargés de leur exécution. ". S'agissant d'un acte réglementaire, les ministres chargés de son exécution sont ceux qui ont compétence pour signer ou contresigner les mesures réglementaires ou individuelles que comporte nécessairement l'exécution de cet acte. Le décret attaqué n'appelant aucune mesure réglementaire ou individuelle d'exécution de la part de la ministre des solidarités et de la santé, de la ministre de l'enseignement supérieur, de la recherche et de l'innovation, ni du ministre de l'intérieur, le moyen tiré du défaut de contreseing de ces ministres ne peut qu'être écarté. Sur la légalité interne du décret attaqué : 10. Aux termes de l'article 8 de la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales : " 1. Toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance. / 2. Il ne peut y avoir ingérence d'une autorité publique dans l'exercice de ce droit que pour autant que cette ingérence est prévue par la loi et qu'elle constitue une mesure qui, dans une société démocratique, est nécessaire à la sécurité nationale, à la sûreté publique, au bien-être économique du pays, à la défense de l'ordre et à la prévention des infractions pénales, à la protection de la santé ou de la morale, ou à la protection des droits et libertés d'autrui ". Aux termes de l'article 8 de la charte des droits fondamentaux de l'Union européenne : " 1. Toute personne a droit à la protection des données à caractère personnel la concernant. / 2. Ces données doivent être traitées loyalement, à des fins déterminées et sur la base du consentement de la personne concernée ou en vertu d'un autre fondement légitime prévu par la loi. Toute personne a le droit d'accéder aux données collectées la concernant et d'en obtenir la rectification. (...) ". Le traitement en litige relève du règlement du 27 avril 2016 dit règlement général sur la protection des données. Il est soumis à l'article 4 I de la loi du 6 janvier 1978 qui exige que " Les données à caractère personnel doivent être : / 1° Traitées de manière loyale et licite (...) ; 2° Collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d'une manière incompatible avec ces finalités. (...) / 3° Adéquates, pertinentes et au regard des finalités pour lesquelles elles sont collectées, limitées à ce qui est nécessaire ou, pour les traitements relevant des titres III et IV, non excessives (...) ; / 5° Conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ". Il résulte de l'ensemble de ces textes que l'ingérence dans l'exercice du droit de toute personne au respect de sa vie privée que constituent la collecte, la conservation et le traitement, par une autorité publique, de données à caractère personnel, ne peut être légalement autorisée que si elle répond à des finalités légitimes et que le choix, la collecte et le traitement des données sont effectués de manière adéquate et proportionnée au regard de ces finalités. En ce qui concerne les finalités du traitement : 11. En premier lieu, la formulation, par l'article 1er du décret attaqué, des finalités tendant à " la réalisation d'évaluations rétrospectives et prospectives des politiques publiques en matière de responsabilité civile ou administrative " ainsi qu'à la création d'un référentiel d'indemnisation est suffisamment précise. Le moyen tiré de ce qu'elle méconnaitrait l'article 4 précité de la loi du 6 janvier 1978 au motif qu'elle ne serait ni " déterminée ", ni " explicite" doit dès lors être écarté. 12. En deuxième lieu, les requérants contestent les finalités de ce traitement aux motifs que l'algorithme qu'il a pour objet de développer serait tout à la fois contraire aux principes de l'individualisation et de la réparation intégrale des préjudices, inutile à raison de l'existence d'autres outils ayant la même finalité, et biaisé faute pour le traitement de prendre en compte les indemnités amiables ainsi que l'évolution du droit. Toutefois, il ressort des pièces du dossier que le traitement autorisé par le décret attaqué a pour objet la mise au point d'un algorithme destiné à l'élaboration d'un référentiel indicatif d'indemnisation des préjudices corporels ayant vocation à être utilisé pour évaluer ces préjudices dans le cadre du règlement tant amiable que juridictionnel des litiges. Il tend ainsi à assurer un accès plus facile à la jurisprudence sur l'indemnisation des préjudices corporels afin de garantir l'accessibilité et la prévisibilité du droit. Au surplus et à ce stade, ce traitement, dont la durée est réduite à deux ans, est limité à la phase de développement d'un outil d'intelligence artificielle, n'a qu'un caractère expérimental et n'a pas vocation, à ce stade, à être mis à la disposition des magistrats ou des parties. Il s'ensuit que le moyen tiré de ce que les finalités poursuivies par le traitement ne seraient pas légitimes doit être écarté. 13. En dernier lieu, en vertu du
Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.