Navigation – Plan du site

AccueilNuméros23ChroniquesChronique de jurisprudence des dr...

Chroniques

Chronique de jurisprudence des droits numériques 2023-2025

A Chronicle of Digital Rights Case Law 2023-2025
Alexandre Labbay et Yann Paquier
p. 133-141

Résumés

Portant sur les années 2023 à 2025, la chronique évoque certains nouveaux dispositifs redéfinissant la police administrative et ouvrant la voie à une surveillance des masses en temps réel. Ces outils posent en termes nouveaux les exigences de respect du droit à la vie privée et de protection des données personnelles.

Haut de page

Texte intégral

  • 1 A. Lassale, « De Big Brother à Big Data : l’avenir de la police administrative à l’ère de la vidéos (...)

1Alors que la pandémie de Covid-19 a été un remarquable catalyseur d’expérimentations en matière de surveillance algorithmique, force est de constater que le solutionnisme technologique continue de se propager, mais cette fois-ci principalement en dehors d’un cadre sanitaire. Le déploiement de la vidéoprotection dans l’espace public, conjugué aux avancées en matière d’intelligence artificielle, conduit à l’émergence de dispositifs de caméras dites « augmentées » ou « intelligentes » qui, une fois mis en œuvre, portent une atteinte particulière à la protection des données à caractère personnel, et donc à la vie privée. Plus encore, ces nouveaux dispositifs redéfinissent la police administrative1, ouvrant la voie à une surveillance des masses en temps réel (I). Le droit à la vie privée est également mis au défi dans le cadre du procès civil. Depuis la récente reconnaissance de la recevabilité de la preuve obtenue de manière déloyale par l’assemblée plénière de la Cour de cassation, il est donc désormais possible pour un responsable de traitement d’envisager la mise en œuvre d’un traitement de données à caractère personnel délibérément déloyal dans le but de recueillir des éléments qui viendront appuyer ses prétentions dans le cadre d’une demande de droit civil. Différentes hypothèses d’atteintes au droit à la protection des données personnelles sont d’ores et déjà identifiables et la conciliation entre cette nouvelle règle et la protection des données nécessite un équilibre qui reste encore à définir (II).

I. Vers une surveillance algorithmique de l’espace public

2La surveillance algorithmique de l’espace public peut inclure de larges dispositifs d’analyse de données biométriques permettant notamment la détection en temps réel d’événements prédéterminés susceptibles de présenter ou de révéler des risques d’atteinte à l’ordre public. Le recours à ces systèmes particulièrement intrusifs pour la vie privée se déroule parfois de façon « sauvage » par les entités publiques sans la moindre garantie légale et constitutionnelle pour les personnes concernées par ces traitements (A). Toutefois, même lorsque le législateur intervient pour instaurer à titre expérimental l’utilisation de caméras « intelligentes » dans l’espace public, il apparaît que les garanties particulières de nature à sauvegarder le respect de la vie privée sont insuffisantes, et ce malgré une absence de censure par le Conseil constitutionnel (B).

A. Le recours à des traitements algorithmiques biométriques dans l’espace public en dehors d’un cadre légal

  • 2 Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protectio (...)
  • 3 Loi nº 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée.
  • 4 Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protecti (...)

3À titre liminaire, il convient de rappeler que le recours aux systèmes de vidéoprotection dans l’espace public est encadré par la loi aux articles L. 251-1 et suivants du Code de la sécurité intérieure. Ils constituent des traitements de données à caractère personnel soumis au Règlement général sur la protection des données (RGPD)2, ainsi qu’à la loi informatique et libertés3. Toutefois, lorsque le traitement poursuit une finalité de « police-justice », c’est la directive du même nom qui s’applique4, et particulièrement le chapitre XIII de la loi informatique et libertés qui la transpose.

4Contrairement à l’expérimentation qui sera ultérieurement analysée, qui s’inscrit dans un cadre légal, certaines initiatives « sauvages » menacent particulièrement la vie privée, car elles sont interdites, et donc menées sans la moindre garantie pour les droits et libertés. Les traitements litigieux recourent même parfois à des données biométriques. En droit, le RGPD qualifie de données biométriques les

  • 5 RGPD, p. 34.

[…] données à caractère personnel résultant d’un traitement technique spécifique, relatives aux caractéristiques physiques, physiologiques ou comportementales d’une personne physique, qui permettent ou confirment son identification unique, telles que des images faciales ou des données dactyloscopiques5.

Quant à la Commission nationale de l’informatique et des libertés (CNIL), elle les définit comme le regroupement de

[…] l’ensemble des techniques informatiques permettant de reconnaître automatiquement un individu à partir de ses caractéristiques physiques, biologiques, voire comportementales. Les données biométriques sont des données personnelles car elles permettent d’identifier une personne. Elles ont, pour la plupart, la particularité d’être uniques et permanentes (ADN, empreintes digitales, etc.)6.

  • 7 J.-S. Boda, « La vidéosurveillance algorithmique devant le Conseil d’État : un mauvais coup pour le (...)
  • 8 TA Caen, ord., 22 novembre 2023, nº 2303004, 2303012.

5Plusieurs juridictions administratives ont eu à connaître récemment de cette problématique. L’une des affaires les plus médiatisées et commentées7 a donné lieu à une ordonnance rendue par le tribunal administratif de Caen le 22 novembre 20238. La communauté de communes de Cœur Côte Fleurie a utilisé un logiciel de vidéosurveillance algorithmique développé par la société Briefcam. Ce programme informatique poursuit plusieurs objectifs grâce à l’analyse de données issues des caméras de vidéoprotection déployées dans l’espace public. Un premier module est en capacité d’effectuer des recherches en temps réel, notamment en utilisant la reconnaissance faciale. D’autres modules permettent quant à eux des analyses quantitatives de certaines scènes, voire génèrent des alertes de sécurité lorsqu’ils détectent des événements prédéterminés. Il est alors possible de transformer des caméras augmentées en des caméras biométriques par un simple clic.

6Le juge des référés a estimé que :

  • 9 Ibid., § 9.

[…] le dispositif de caméras augmentées utilisé par la communauté de communes Cœur Côte Fleurie en dehors de tout cadre légal ou réglementaire, qui a pour objet de simplifier l’exploitation du contenu de vidéosurveillance et d’accélérer le temps d’identification des menaces de sécurité, permet d’identifier des personnes physiques en fonction de leurs caractéristiques propres. Il n’est pas établi ni même allégué que d’autres moyens moins intrusifs au regard de la vie privée ne pouvaient être mis en œuvre afin de préserver l’ordre public. Dès lors, les requérants sont fondés à soutenir que l’utilisation du dispositif litigieux porte une atteinte grave et manifestement illégale au respect de la vie privée9.

Dès lors, il convenait d’enjoindre à la communauté de communes de procéder à l’effacement des données constituées par ledit logiciel dans un délai de cinq jours, mais d’en conserver une copie à placer sous séquestre auprès de la CNIL.

  • 10 CE, ord., 21 décembre 2023, nº 489990.

7Mais le juge des référés du Conseil d’État a annulé l’ordonnance du tribunal administratif de Caen par ordonnance du 21 décembre 202310 après que la communauté de communes de Cœur Côte Fleurie a interjeté appel. S’il n’était pas contesté que le logiciel Briefcam comporte bien un module de reconnaissance faciale, ce qui est interdit en France, cette fonctionnalité n’avait jamais été activée par le responsable du traitement. Au surplus, les manipulations opérées sur le système informatique pour exécuter l’ordonnance du tribunal administratif de Caen l’ont rendu inopérant. L’ordonnance du tribunal administratif de Caen du 22 novembre 2023 ne pouvait qu’être annulée notamment pour défaut d’urgence particulière.

  • 11 TA Nice, ord., 23 novembre 2023, nº 2305692, 2306593, 2305712.

8Le juge des référés du tribunal administratif de Nice a aussi eu à connaître de la supposée utilisation du logiciel Briefcam sur le flux de caméras de vidéoprotection de la commune de Nice11. Dans son ordonnance du 23 novembre 2023, il met en exergue la difficulté probatoire pour les requérants de démontrer que les collectivités publiques recourent au module « review » du logiciel litigieux qui permet l’activation de la reconnaissance faciale dans l’espace public. En effet, à défaut de pouvoir démontrer l’utilisation de ce module, il n’est pas établi que les fonctionnalités de base de Briefcam constitueraient une atteinte grave et manifestement illégale aux libertés fondamentales telles que le droit au respect de la vie privée, la liberté d’aller et venir, la liberté de conscience, la liberté d’expression et le droit de manifester. Dès lors, l’urgence à statuer au titre d’un référé-liberté n’est pas établie.

  • 12 TA Lille, ord., 29 novembre 2023, nº 2310103, 2310163.

9L’utilisation de ce logiciel par la commune de Roubaix a également fait l’objet de requêtes provenant d’associations devant le tribunal administratif de Lille12. Là encore, c’est la fonctionnalité mettant en œuvre la reconnaissance faciale qui cristallise les attentions. Le juge des référés retient que la commune de Roubaix a acquis ce logiciel de surveillance algorithmique et qu’il n’est pas contesté que

  • 13 Ibid., § 9.

[…] ce logiciel dispose d’une fonctionnalité qui, lorsqu’elle est activée, permet, d’une part, d’identifier des personnes physiques en fonction de leurs caractéristiques propres, à savoir leur taille, couleur de peau, couleur de cheveux, âge, sexe, couleur des vêtements et apparence, ainsi que leur manière de se mouvoir et, d’autre part, de les suivre de manière automatisée13.

10Mais il ne résultait pas de l’état de l’instruction que ce module était activé : la société qui commercialise la licence Briefcam sur le territoire français a attesté que la détection faciale ne pouvait être activée que par une reconfiguration ne pouvant être opérée que par elle et non par la commune, et qu’elle n’avait pas reçu l’instruction de sa part pour l’installer. Sans devoir étudier la condition d’urgence, le juge des référés n’a pas constaté d’atteinte grave et manifestement illégale à des libertés fondamentales.

  • 14 TA Grenoble, 24 janvier 2025, nº 2105328.

11Enfin, le tribunal administratif de Grenoble a, sur le fond, par jugement en date du 24 janvier 202514, annulé la décision de la maire de la commune de Moirans de mettre en œuvre le logiciel Briefcam d’analyse d’images de vidéoprotection au motif que

  • 15 Ibid., § 18.

Lorsque le traitement a pour objet de procéder à une analyse systématique et automatisée des images collectées au moyen d’un système de vidéoprotection de nature à augmenter considérablement le nombre et la précision des informations qui peuvent en être extraites, sa mise en œuvre doit être assortie de garanties particulières de nature à sauvegarder le droit au respect de la vie privée15.

12Or, l’analyse en droit opérée par la juridiction laisse à penser que la détection systématique et automatisée des images collectées par des dispositifs de vidéoprotection peut être mise en place dès lors que les garanties adéquates de respect des libertés fondamentales sont prises en compte par le responsable du traitement sur le fondement de l’article 8 de la Convention européenne des droits de l’homme, de l’article 4 de la directive Police-Justice et de l’article 4 de la loi informatique et libertés modifiée. Pourtant, cette approche est à notre sens erronée puisque les dispositifs de caméras augmentées, qui répondent notamment à une finalité dite de « police-justice », sont interdits en l’absence de cadre légal spécifique. Ce corpus réglementaire ne saurait apporter les garanties nécessaires à l’utilisation de tels dispositifs en l’état du droit, ni permettre au responsable de traitement de recourir à des garanties qu’il fixerait de son propre chef pour protéger le cas échéant la vie privée. La CNIL avait d’ailleurs insisté, dans sa délibération en date de 2022 sur le premier projet de loi relatif aux Jeux olympiques et paralympiques de 2024, sur le fait que les

[…] les dispositifs mis en œuvre à des fins de police administrative générale ou de police judiciaire étaient susceptibles d’affecter les garanties fondamentales apportées aux citoyens pour l’exercice des libertés publiques et relevaient donc du domaine constitutionnellement réservé à la loi par l’article 34 de la Constitution16.

  • 17 Loi nº 2023-380 du 19 mai 2023 relative aux Jeux olympiques et paralympiques de 2024 et portant div (...)
  • 18 Art. 230-20 sq. et art. R. 40-39 sq. du Code de procédure pénale ; décret nº 2012-687 du 7 mai 2012 (...)
  • 19 Voir infra.

13C’est pourquoi il revenait au législateur, et non aux responsables de traitement, de définir les conditions de l’expérimentation prévue par cette loi, ainsi que de prévoir les garanties spécifiques nécessaires à la protection de la vie privée. Et il ne fait aucun doute que, dans le cas du recours au logiciel Briefcam, des fonctionnalités, en dehors même du module de reconnaissance faciale, consistent à configurer des alertes d’événements prédéterminés en temps réel qui sont du ressort de l’expérimentation établie par la loi du 13 mai 2023 relative aux Jeux olympiques et paralympiques de 2024 (JOP2024)17. Or, à l’exception de l’utilisation de logiciel d’analyse automatique d’images en différé, qui bénéficie d’un régime juridique pour les besoins d’enquêtes judiciaires18, le seul régime juridique des caméras dites augmentées pour la surveillance de l’espace public en temps réel n’était autorisé à titre expérimental que depuis août 2023, et dans des conditions et avec des garanties particulières fixées par le législateur19 qui n’ont pas pu être mises en œuvre dans l’affaire citée car les faits sont antérieurs. En effet, il résulte de l’instruction que la commune de Moirans a décidé de recourir au logiciel Briefcam dès 2018.

B. La détection en temps réel à titre expérimental des événements prédéterminés susceptibles de présenter ou de révéler des risques d’actes de terrorisme ou d’atteintes graves à la sécurité des personnes

  • 20 A. Guillard, V. Louis, « La loi “jeux olympiques” : l’arbre de l’expérimentation algorithmique cach (...)
  • 21 Commission nationale consultative des droits de l’homme (CNCDH), avis relatif à la surveillance de (...)
  • 22 La CNIL avait déjà appelé à la vigilance sur l’utilisation des caméras dites intelligentes et des c (...)
  • 23 Étude d’impact. Projet de loi relatif aux Jeux olympiques et paralympiques de 2024, 20 décembre 202 (...)

14L’expérimentation est dans de nombreux domaines l’antichambre d’une irrémédiable pérennisation et aussi la première pierre vers des usages plus généralisés. Cette affirmation est particulièrement vraie en matière de droit du numérique. Une fois installée dans l’espace public, la technologie se retrouve alors banalisée, et il y a lieu de constater une intensification progressive du déploiement de ces dispositifs20. Or, les caméras de vidéoprotection déjà installées dans l’espace public peuvent se retrouver couplées à des traitements algorithmiques dont la technologie permet aujourd’hui d’analyser en temps réel des individus ou certaines situations prédéterminées. Ces nouvelles méthodes d’analyse des flux de vidéoprotection ne sont pas sans soulever des inquiétudes de la part des défenseurs des droits et libertés21 ou encore de la CNIL22. La tentation d’utiliser des dizaines de milliers de caméras déjà déployées dans l’espace public afin de détecter des événements prédéterminés en temps réel était grande, ne serait-ce que parce qu’aucun moyen humain n’est en mesure d’exploiter toutes ces collectes de données de façon simultanée23.

15L’article 10, § I de la JOP2024 marque indéniablement l’entrée dans une nouvelle ère de contrôle social, qui n’est plus seulement centrée sur la surveillance individuelle, mais sur celle des masses. Il permet, par exemple, le suivi des mouvements de foule, soulevant non seulement des enjeux relatifs à la protection des données personnelles, mais aussi à celle des libertés collectives et de leurs éventuelles sauvegardes. Cette dernière acception est insuffisamment saisie par le droit du numérique.

  • 24 Le recours à des dispositions à caractère expérimental, pour un objet et une durée limités, est aut (...)

16Cette loi autorisait à titre expérimental24 jusqu’au 31 mars 2025, et à certaines conditions, le traitement des données de caméras de vidéoprotection positionnées dans les lieux accueillant les manifestations sportives, récréatives ou culturelles particulièrement exposées au risque terroriste et à leurs abords ainsi que dans les véhicules et les emprises de transport public et sur les voies les desservant ou installées sur des aéronefs. Les traitements en question

  • 25 Loi nº 2023-380 du 19 mai 2023, art. 10, § I.

[…] ont pour unique objet de détecter, en temps réel, des événements prédéterminés susceptibles de présenter ou de révéler ces risques et de les signaler en vue de la mise en œuvre des mesures nécessaires par les services de la police nationale et de la gendarmerie nationale, les services d’incendie et de secours, les services de police municipale et les services internes de sécurité de la SNCF et de la Régie autonome des transports parisiens dans le cadre de leurs missions respectives25.

  • 26 CNIL, délibération nº 2022-118 du 8 décembre 2022.
  • 27 CE, avis nº 406383 du 15 décembre 2022 sur un projet de loi relatif aux Jeux olympiques et paralymp (...)

17La CNIL avait relevé, sur la première version du projet de loi, puisqu’elle n’a pas été sollicitée sur la version du texte adopté, que « le déploiement, même expérimental, de ces dispositifs de caméras augmentées est un tournant qui va contribuer à définir le rôle qui sera confié dans notre société à ces technologies, et plus généralement à l’intelligence artificielle »26. Quant au Conseil d’État, dans son avis, il considérait que cette expérimentation était susceptible d’assurer une plus grande efficacité dans le maintien de l’ordre et la sécurisation des manifestations d’ampleur, et a même proposé que l’expérimentation, initialement prévue jusqu’au 31 décembre 2024, se poursuive jusqu’à juin 202527.

  • 28 CC, déc. nº 94-352 DC du 18 janvier 1995, Loi d’orientation et de programmation relative à la sécur (...)
  • 29 CC, déc. nº 2023-850 DC du 17 mai 2023, Loi relative aux Jeux olympiques et paralympiques de 2024 e (...)
  • 30 Ibid., cons. 32.
  • 31 Ibid., cons. 33.

18Dans leur décision nº 2023-850 DC du 17 mai 2023 sur la loi relative aux Jeux olympiques et paralympiques de 2024 et portant diverses dispositions, les Sages ont reconnu, au même titre que dans leur décision de 1995 sur la vidéosurveillance28, que le traitement algorithmique d’images captées par des caméras de vidéoprotection porte une atteinte particulière au droit au respect de la vie privée29. Or, c’est au législateur qu’il appartient, au titre de l’article 34 de la Constitution, d’établir, d’une part, les garanties fondamentales à accorder aux citoyens pour l’exercice des libertés publiques, et d’autre part, la conciliation entre les droits et libertés en jeu30. L’une des originalités de cette décision est, de la part du Conseil constitutionnel, de considérer que la prévention des atteintes à l’ordre public permet au législateur d’autoriser le traitement algorithmique des images collectées au moyen d’un système de vidéoprotection ou des caméras installées sur un aéronef dès lors que ces traitements sont « assorti[s] de garanties particulières de nature à sauvegarder le droit au respect de la vie privée »31. Il est donc assez peu probable que des usages aussi intrusifs soient un jour prohibés par les Sages.

  • 32 Art. 15 de la proposition de loi relative au renforcement de la sûreté dans les transports, adoptée (...)
  • 33 CC, déc. nº 2025-878 DC du 24 avril 2025, Loi relative au renforcement de la sûreté dans les transp (...)

19Il convient d’analyser la manière dont le Conseil constitutionnel s’est approprié cette nouvelle menace pour la vie privée, et particulièrement la façon dont il a apprécié le contrôle des garanties censées sauvegarder le respect de la vie privée, et ce d’autant que cette expérimentation devait se prolonger jusqu’au 1er mars 2027, aux termes de la proposition de loi relative au renforcement de la sûreté dans les transports adoptée par les parlementaires32. Cette disposition de la loi a cependant été censurée au motif qu’il s’agissait d’un cavalier législatif33.

  • 34 CC, déc. nº 2023-850 DC du 17 mai 2023, cons. 38.
  • 35 Ibid.
  • 36 Rapport du comité d’évaluation relatif à l’expérimentation de traitements algorithmiques d’images l (...)
  • 37 « Le comité, et tout particulièrement le collège des personnalités qualifiées, s’est montré particu (...)

20Concernant la mise en œuvre de ces traitements, elle ne peut être autorisée que par le représentant de l’État dans le département, ou, à Paris, par le préfet de police. La mesure doit également être proportionnée à la finalité poursuivie34. Comme toute mesure de police administrative, la décision doit être motivée et comporter le périmètre géographique, la durée de l’autorisation, la manifestation pour laquelle le dispositif est déployé. Cette décision peut naturellement faire l’objet d’un recours devant les juges des référés35. En pratique, ces garanties ne sont que théoriques puisqu’il a été démontré que les autorisations administratives dans le cadre des Jeux olympiques et paralympiques de Paris 2024 n’ont parfois été délivrées que trop tardivement, voire, lorsqu’elles l’ont été dans les temps, n’ont été publiées dans le recueil des actes administratifs que cinq jours plus tard, neutralisant l’une des garanties les plus essentielles qui est le droit au recours effectif contre ces décisions36. Bien que cette information ait été communiquée par la Défenseure des droits au comité chargé de l’évaluation de l’expérimentation, les auteurs du rapport n’ont retenu aucune atteinte aux droits et libertés37, ce qui peut susciter des interrogations. La durée de l’autorisation ne doit pas excéder un mois et elle ne peut être renouvelée que si les conditions initiales de l’autorisation perdurent. Lorsque les conditions ne sont plus réunies dans le délai de l’autorisation délivrée, et il s’agit d’une réserve d’interprétation posée par le Conseil, le préfet doit mettre fin immédiatement à l’autorisation.

  • 38 CC, déc. nº 2023-850 DC du 17 mai 2023, cons. 40.

21Le Conseil constitutionnel ne voit pas davantage d’inconvénients à ce que le public ne soit pas préalablement informé de l’emploi de ces traitements algorithmiques lorsque les circonstances « l’interdisent ou que cette information entrerait en contradiction avec les objectifs poursuivis »38.

  • 39 Ibid., cons. 43.
  • 40 Ibid., cons. 44.
  • 41 Ibid., cons. 45.

22Les Sages considèrent également que les traitements ne sont pas en mesure de fonder par eux-mêmes des décisions individuelles, ni aucun acte de poursuite. Le Conseil est toutefois attentif à ce que les modèles d’apprentissage utilisés dans le cadre de l’expérimentation soient vérifiés afin qu’ils n’engendrent pas de biais ou de mauvaises utilisations39. Dans un souci de transparence, la loi mentionne que, lorsque les traitements algorithmiques employés se fondent sur un apprentissage, ils doivent reposer sur des « critères objectifs », permettre d’identifier et de prévenir les biais et éventuelles erreurs, et, enfin, le traitement doit être « loyal et éthique ». Pour le Conseil constitutionnel, ces garanties sont suffisantes40, alors même que l’éthique, dans un tel contexte, n’est nullement définie. Il en est de même des fameux « critères objectifs » qui laissent à penser que les traitements algorithmiques peuvent tendre vers une forme de neutralité technique protectrice des droits et libertés. Au surplus, pour le juge constitutionnel, le législateur a prévu que le fonctionnement desdits logiciels est en permanence sous le contrôle de personnes humaines41.

  • 42 En effet, c’est le décret nº 2023-828 du 28 août 2023 relatif aux modalités de mise en œuvre des tr (...)
  • 43 CC, déc. nº 2023-850 DC du 17 mai 2023, cons. 41.

23Le grief soulevé par les députés requérants, selon lequel le législateur aurait méconnu l’étendue de sa compétence – en renvoyant à un décret pris après avis de la CNIL, et le cas échéant sous le contrôle du juge, la fixation des événements prédéterminés, les modalités d’information du public, ainsi que les conditions d’exercice des droits des personnes susceptibles d’être filmées dans le cadre du dispositif de vidéoprotection42 –, n’a pas été retenu par le Conseil constitutionnel, qui n’a pas estimé que ce renvoi traduisait une incompétence négative43. Toutefois, il convient de considérer, qu’en matière de numérique, les garanties d’ordre constitutionnel sont en réalité traitées essentiellement dans les informations qui sont établies par décret, ce qui rend en grande partie inopérant le contrôle de constitutionnalité.

  • 44 CNIL, délibération nº 2022-118 du 8 décembre 2022.
  • 45 B. Dorizzi, « De la biométrie classique à la biométrie comportementale », Polytechnique Insights, 3 (...)
  • 46 Voir supra.

24Plus inquiétant, le raisonnement des Sages est lacunaire en ce qu’il ne retient pas que ces dispositifs collectent et traitent des données biométriques. Cette approche est, certes, partagée par la CNIL dans sa délibération sur la première version du projet de loi, mais elle doit être combattue, ne serait-ce que parce que le contrôle des garanties établies par le législateur, et opéré par le Conseil constitutionnel, s’en retrouve nécessairement altéré. Le fait que la CNIL n’estime pas que cette expérimentation traite des données biométriques44 est peu compréhensible. Cette expérimentation ne recourait certes pas à la reconnaissance faciale, mais il n’en demeure pas moins qu’elle autorisait l’analyse des démarches des individus à travers la détection d’événements prédéterminés. À titre d’exemple, l’analyse de la dynamique corporelle en vue de détecter des mouvements de foule ou la survenance de comportements violents, tels que l’usage d’une arme, suppose nécessairement la collecte de données relatives à la démarche des individus, incluant leur manière de se mouvoir ainsi que des éléments gestuels propres à chacun. Ce type de données relève de la biométrie comportementale45, laquelle constitue, sans équivoque, une catégorie de données biométriques au sens du droit applicable. Quand bien même le traitement de cette catégorie de données biométriques serait moins intrusif que la biométrie classique, elle mérite l’apport de garanties particulières. En effet, dans le cadre de finalités dites de « police-justice », les données biométriques sont considérées comme une catégorie particulière de données à caractère personnel qui doivent être utilisées en cas de nécessité absolue et sous réserve de garanties appropriées pour les droits et libertés de la personne concernée46. En ne reconnaissant pas que cette expérimentation implique le recours à des données biométriques, force est de constater que le Conseil constitutionnel, le Conseil d’État et la CNIL manquent à leur devoir de contre-pouvoirs institutionnels.

II. Droit à la preuve et protection des données personnelles : un équilibre à définir

  • 47 Le droit à la protection des données personnelles est consacré par différents textes. Voir, par exe (...)
  • 48 RGPD, cons. 4.

25Si le droit à la protection des données à caractère personnel, principalement encadré par le RGPD et la loi informatique et libertés, est un droit fondamental47, il n’est pas absolu et doit être mis en balance avec les autres droits fondamentaux dans le cadre d’un contrôle de proportionnalité48. Cette partie se concentrera sur les récentes évolutions en matière de recevabilité des preuves obtenues de manière déloyale ou illicite et sur les impacts de ces nouvelles règles sur le droit à la protection des données personnelles en particulier. Dans le cadre d’un procès civil, un responsable de traitement a désormais la possibilité de mettre en œuvre un traitement en vue de récolter des données à l’insu de la personne concernée (A). Toutefois, ce traitement comporte, en conséquence, plusieurs non-conformités au droit à la protection des données, affaiblissant l’effectivité de ce dernier (B).

A. L’exercice du droit à la preuve comme justification de la mise en œuvre d’un traitement de données visant à récolter des données à l’insu de la personne concernée

26Après un retour sur l’évolution de la jurisprudence vers la reconnaissance de la recevabilité d’éléments de preuves obtenus par le biais de procédés déloyaux (1), les développements qui suivent se concentreront sur quelques exemples qui illustrent les cas dans lesquels le procédé déloyal permettant la collecte d’éléments de preuves consiste en un traitement de données à caractère personnel (2).

1. La récente reconnaissance de la recevabilité de la preuve obtenue de manière déloyale

  • 49 Et suivant les principes dégagés de ces dispositions par la Cour européenne des droits de l’homme ; (...)

27Le juge reconnaît depuis longtemps la recevabilité de la preuve obtenue de manière illicite. En effet, jusqu’alors, le juge, en se fondant sur l’article 6, § 1 de la Convention européenne des droits de l’homme49 et sur l’article 9 du Code de procédure civile, reconnaissait

  • 50 Cass. ass. plén., 22 décembre 2023, nº 20-20.648, § 5.

[…] un droit à la preuve qui permet de déclarer recevable une preuve illicite lorsque cette preuve est indispensable au succès de la prétention de celui qui s’en prévaut et que l’atteinte portée aux droits antinomiques en présence est strictement proportionnée au but poursuivi […]50

  • 51 Voir, par exemple, Cass. ass. plén., 7 janvier 2011, nº 09-14.316 et 09-14.667 ; Cass. 2e civ., 9 j (...)

sous réserve toutefois du respect du principe de loyauté dans l’administration de la preuve qui impliquait l’irrecevabilité systématique des preuves obtenues de manière déloyale51.

  • 52 Cass. ass. plén., 22 décembre 2023, nº 20-20.648, § 6.

28Le juge excluait ainsi la possibilité de produire des éléments obtenus « […] à l’insu de la personne ou obtenue par une manœuvre ou un stratagème »52. Toutefois, dans un récent arrêt de l’assemblée plénière, la Cour de cassation a opéré un revirement majeur en reconnaissant désormais la possibilité pour une partie à un procès civil de présenter des preuves obtenues non seulement de manière illicite, mais également de manière déloyale. Le juge doit dorénavant opérer un subtil contrôle de proportionnalité l’invitant à examiner la nécessité d’un tel moyen de preuve au regard des intérêts antinomiques en présence et notamment si de tels éléments sont nécessaires à l’exercice effectif du droit à la preuve. Désormais, le juge considère que :

  • 53 Ibid., § 12.

[…] dans un procès civil, l’illicéité ou la déloyauté dans l’obtention ou la production d’un moyen de preuve ne conduit pas nécessairement à l’écarter des débats. Le juge doit, lorsque cela lui est demandé, apprécier si une telle preuve porte une atteinte au caractère équitable de la procédure dans son ensemble, en mettant en balance le droit à la preuve et les droits antinomiques en présence, le droit à la preuve pouvant justifier la production d’éléments portant atteinte à d’autres droits à condition que cette production soit indispensable à son exercice et que l’atteinte soit strictement proportionnée au but poursuivi53.

  • 54 Ibid., § 10.
  • 55 Ibid., § 9.
  • 56 Ibid., § 11.

29Cette solution, impulsée par l’opportunité d’effectuer un alignement des règles en matière d’administration de la preuve dans le procès civil sur celles ayant cours devant les juridictions pénales54 et européenne55, motivée en particulier par la difficulté de faire une distinction claire entre une preuve déloyale et une preuve illicite56, interroge l’effectivité de la protection accordée aux autres droits en présence. En particulier, au regard de la thématique de cette chronique, les implications en matière de protection des données à caractère personnel sont importantes.

2. Des atteintes tolérées au droit à la protection des données dans le cadre de l’exercice du droit à la preuve au regard de la jurisprudence postérieure à l’arrêt du 22 décembre 2023

  • 57 La Cour de justice de l’Union européenne reconnaît notamment qu’afin « […] d’assurer que les justic (...)

30L’exercice du droit à la preuve n’exclut pas qu’une partie puisse produire des documents contenant des données à caractère personnel de l’autre partie ou de tiers afin de prouver le bien-fondé de ses prétentions. Le juge admet effectivement qu’il s’agit d’une conciliation acceptable entre le droit au procès équitable et le droit à la protection des données dès lors que l’atteinte à ce dernier est strictement proportionnée au but poursuivi et qu’il n’existe pas de moyens moins intrusifs57. Toutefois, dans ce cas de figure, il s’agit de données produites de manière loyale sous le contrôle du juge.

  • 58 Cass. soc., 14 février 2024, nº 22-23.073 ; Cass. soc., 26 février 2025, nº 22-24.474.
  • 59 CA Paris, 9e ch., 6 mars 2024, nº 21/07702 ; CA Montpellier, 2e ch. soc., 24 avril 2024, nº 21/0201 (...)
  • 60 CA Douai, ch. soc., 19 avril 2024, nº 22/01020.
  • 61 CA Orléans, ch. soc., 30 janvier 2024, nº 22/00301.
  • 62 Cass. soc., 26 février 2025, nº 22-24.474, § 7 et 8.

31En revanche, le revirement opéré par la Cour de cassation permet désormais à une partie de récolter les éléments nécessaires au succès de sa prétention de manière déloyale. La jurisprudence postérieure à l’arrêt de l’assemblée plénière comporte ainsi de nombreux exemples de situations dans lesquelles des traitements de données mis en œuvre à des fins probatoires sont réalisés à l’insu de la personne concernée. Sont notamment recevables les éléments de preuves obtenues par le biais d’enregistrements vidéo réalisés dans des locaux professionnels à l’insu des salariés58, d’enregistrements de conversations téléphoniques ou via un dictaphone59, via le système de géolocalisation d’un véhicule professionnel60, ou encore dans le cadre d’une filature61. Dans toutes ces hypothèses, le juge reconnaît que, bien que la collecte de données personnelles à l’insu de la personne concernée constitue un procédé déloyal et une atteinte à la vie privée, la production des éléments qui en résulte est indispensable à l’exercice du droit à la preuve et proportionnée au but poursuivi62.

32En conséquence, la possibilité de collecter des données personnelles via des procédés déloyaux affecte certaines des caractéristiques essentielles du droit à la protection des données, en dehors des hypothèses prévues par le RGPD permettant un aménagement des règles en matière de protection des données.

B. Les atteintes au droit à la protection des données dans le cadre de preuves obtenues de manière déloyale au moyen de traitements de données

  • 63 La question de la base légale retenue pour fonder le traitement ne sera pas étudiée car on peut rap (...)

33La nouvelle configuration induite par le revirement opéré par la Cour de cassation emporte plusieurs conséquences sur le droit à la protection des données. Ces atteintes sont de deux ordres63.

  • 64 Groupe de travail « Article 29 » sur la protection des données, Lignes directrices concernant l’ana (...)

34En premier lieu, il existe désormais une contradiction d’emblée entre la reconnaissance de la possibilité de produire une preuve obtenue de manière déloyale et le droit à la protection des données dont l’un des principes fondamentaux est, précisément, la loyauté du traitement. En effet, l’article 5, § 1, a du RGPD prévoit que les données à caractère personnel doivent être « […] traitées de manière licite, loyale et transparente au regard de la personne concernée […] ». Pourtant, cette solution autorise en pratique un responsable de traitement à mettre en œuvre un traitement de données qui ne respecte pas le principe de loyauté puisque cette collecte a précisément pour objet d’être réalisée à l’insu de la personne concernée. Au regard de la jurisprudence citée précédemment, on remarque également que le responsable de traitement est généralement l’employeur, qui se trouve par nature dans une position d’autorité hiérarchique vis-à-vis des salariés, considérés comme des personnes vulnérables en termes de protection des données64. La possibilité laissée à l’employeur de mettre en œuvre des traitements de données à l’insu des salariés accentue le déséquilibre des pouvoirs inhérent à la relation employeur / employé.

  • 65 RGPD, art. 13, § 1.
  • 66 Ibid.
  • 67 Ibid., cons. 39.
  • 68 Par ailleurs, le principe de transparence dispose d’une résonance particulière en droit du travail. (...)

35En second lieu, cette solution affecte les droits des personnes sur leurs données personnelles et notamment le droit à l’information dont bénéficient les personnes faisant l’objet d’un traitement de données. Le RGPD prévoit en effet que le responsable de traitement fournit à la personne concernée des informations concernant les caractéristiques principales du traitement dès lors que « des données à caractère personnel relatives à une personne concernée sont collectées auprès de cette personne »65, et ce dès l’instant où les données en question sont obtenues66. Le principe de transparence ainsi posé par le RGPD constitue une garantie fondamentale pour les personnes dès lors que c’est de cette manière qu’elles auront connaissance « des risques, règles, garanties et droits liés au traitement des données à caractère personnel et des modalités d’exercice de leurs droits »67. La transparence est donc une condition nécessaire pour assurer l’exercice effectif des autres droits reconnus par le RGPD et protège les personnes contre la récolte de données réalisée à leur insu68.

36En d’autres termes, en permettant à une partie de collecter des données personnelles par un procédé déloyal, le juge reconnaît la possibilité de mettre en œuvre des traitements de données non conformes au RGPD si cela est nécessaire à la garantie de l’effectivité du droit à la preuve.

  • 69 RGPD, art. 77, § 1.
  • 70 « Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illici (...)
  • 71 Cass. crim., 30 avril 2024, nº 23-80.962.

37Ainsi, en toute hypothèse, il n’est pas exclu qu’un tel dispositif puisse être sanctionné par la CNIL. De ce point de vue, la personne ayant fait l’objet d’un traitement de données à son insu serait légitime à déposer une plainte auprès de l’autorité de contrôle, dès lors que « toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle […] si elle considère que le traitement de données à caractère personnel la concernant constitue une violation du [RGPD] »69. Dans le même sens, outre le risque de sanction administrative auquel s’expose le responsable de traitement, celui-ci est également susceptible de faire l’objet de poursuites pénales. En effet, la mise en œuvre d’un traitement de données visant à collecter des données à l’insu de la personne concernée constitue un délit au sens de l’article L. 226-18 du Code pénal70. Sur ce fondement, la chambre criminelle a par exemple déjà retenu la culpabilité d’un prévenu du chef de collecte déloyale de données personnelles71.

38La cour précise utilement que

  • 72 Ibid., § 10.

[…] le fait que les données à caractère personnel collectées par le prévenu aient été pour partie en accès libre sur internet ne retire rien au caractère déloyal de cette collecte, dès lors qu’une telle collecte, de surcroît réalisée à des fins dévoyées de profilage des personnes concernées et d’investigation dans leur vie privée, à l’insu de celles-ci, ne pouvait s’effectuer sans qu’elles en soient informées72.

  • 73 Un arrêt rendu le 9 avril 2025 par la chambre sociale de la Cour de cassation fait figure d’excepti (...)

39Si les faits ne sont pas comparables aux exemples mentionnés plus haut, cet arrêt retient notre attention du fait de la reconnaissance d’une responsabilité pénale suite à une collecte de données déloyale. Une clarification serait ainsi bienvenue afin de résoudre les difficultés engendrées par l’articulation entre ces différentes règles73. Pour l’heure, cette situation entraîne nécessairement une diminution du niveau de protection accordée aux personnes par la réglementation en matière de protection des données à caractère personnel et relève mécaniquement le seuil de tolérance des atteintes à la vie privée des personnes.

Haut de page

Notes

1 A. Lassale, « De Big Brother à Big Data : l’avenir de la police administrative à l’ère de la vidéosurveillance intelligente », Revue française de droit administratif, 2024, p. 955.

2 Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation des données et abrogeant la directive 95/46/CE (règlement général sur la protection des données), Journal officiel de l’Union européenne, L 119, 4 mai 2016, p. 1-88.

3 Loi nº 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée.

4 Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil.

5 RGPD, p. 34.

6 CNIL, définition de la biométrie, en ligne : https://www.cnil.fr/fr/definition/biometrie.

7 J.-S. Boda, « La vidéosurveillance algorithmique devant le Conseil d’État : un mauvais coup pour les libertés publiques », La semaine juridique, administrations et collectivités territoriales, nº 51-52, 23 décembre 2024, p. 2347.

8 TA Caen, ord., 22 novembre 2023, nº 2303004, 2303012.

9 Ibid., § 9.

10 CE, ord., 21 décembre 2023, nº 489990.

11 TA Nice, ord., 23 novembre 2023, nº 2305692, 2306593, 2305712.

12 TA Lille, ord., 29 novembre 2023, nº 2310103, 2310163.

13 Ibid., § 9.

14 TA Grenoble, 24 janvier 2025, nº 2105328.

15 Ibid., § 18.

16 CNIL, délibération nº 2022-118 du 8 décembre 2022 portant avis sur un projet de loi portant sur les Jeux olympiques et paralympiques de 2024 (demande d’avis nº 22017438).

17 Loi nº 2023-380 du 19 mai 2023 relative aux Jeux olympiques et paralympiques de 2024 et portant diverses autres dispositions.

18 Art. 230-20 sq. et art. R. 40-39 sq. du Code de procédure pénale ; décret nº 2012-687 du 7 mai 2012 relatif à la mise en œuvre de logiciels de rapprochement judiciaire à des fins d’analyse criminelle.

19 Voir infra.

20 A. Guillard, V. Louis, « La loi “jeux olympiques” : l’arbre de l’expérimentation algorithmique cache la forêt de l’extension sécuritaire », Lettre « Actualités Droits-Libertés » de La revue des droits de l’homme, septembre 2023, DOI : https://doi.org/10.4000/revdh.18490.

21 Commission nationale consultative des droits de l’homme (CNCDH), avis relatif à la surveillance de l’espace public, 20 juin 2024, A-2024-5 ; Conseil national des barreaux (CNB), résolution relative à l’opposition au traitement algorithmique des images de vidéosurveillance, à l’extension de la procédure de criblage et aux dispositions pénales prévues par le projet de loi relatif aux Jeux olympiques et paralympiques de 2024, 3 février 2023, en ligne : https://www.cnb.avocat.fr/fr/archives-travaux-de-la-commission-libertes-et-droits-de-lhomme.

22 La CNIL avait déjà appelé à la vigilance sur l’utilisation des caméras dites intelligentes et des caméras thermiques lors de la pandémie de Covid-19 : « Leur développement incontrôlé présente le risque de généraliser un sentiment de surveillance chez les citoyens, de créer un phénomène d’accoutumance et de banalisation de technologies intrusives, et d’engendrer une surveillance accrue, susceptible de porter atteinte au bon fonctionnement de notre société démocratique » (communiqué du 17 juin 2020, en ligne : https://www.cnil.fr/fr/la-cnil-appelle-la-vigilance-sur-lutilisation-des-cameras-dites-intelligentes-et-des-cameras).

23 Étude d’impact. Projet de loi relatif aux Jeux olympiques et paralympiques de 2024, 20 décembre 2022, p. 76, en ligne : https://www.senat.fr/leg/etudes-impact/pjl22-220-ei/pjl22-220-ei.pdf.

24 Le recours à des dispositions à caractère expérimental, pour un objet et une durée limités, est autorisé par l’article 37-1 de la Constitution. Toutefois, cette possibilité s’exerce sous réserve de l’article 34 de la Constitution, lequel confie à la loi le soin de fixer les garanties fondamentales accordées aux citoyens pour l’exercice des libertés publiques.

25 Loi nº 2023-380 du 19 mai 2023, art. 10, § I.

26 CNIL, délibération nº 2022-118 du 8 décembre 2022.

27 CE, avis nº 406383 du 15 décembre 2022 sur un projet de loi relatif aux Jeux olympiques et paralympiques de 2024 et portant diverses autres dispositions, § 27.

28 CC, déc. nº 94-352 DC du 18 janvier 1995, Loi d’orientation et de programmation relative à la sécurité, cons. 4.

29 CC, déc. nº 2023-850 DC du 17 mai 2023, Loi relative aux Jeux olympiques et paralympiques de 2024 et portant diverses autres dispositions, cons. 33.

30 Ibid., cons. 32.

31 Ibid., cons. 33.

32 Art. 15 de la proposition de loi relative au renforcement de la sûreté dans les transports, adoptée le 18 mars 2025.

33 CC, déc. nº 2025-878 DC du 24 avril 2025, Loi relative au renforcement de la sûreté dans les transports, cons. 138.

34 CC, déc. nº 2023-850 DC du 17 mai 2023, cons. 38.

35 Ibid.

36 Rapport du comité d’évaluation relatif à l’expérimentation de traitements algorithmiques d’images légalement collectées au moyen de systèmes de vidéoprotection, janvier 2025, p. 92, en ligne : https://www.vie-publique.fr/files/rapport/pdf/297322.pdf.

37 « Le comité, et tout particulièrement le collège des personnalités qualifiées, s’est montré particulièrement attentif, dans le cadre de ses investigations et de ses réflexions, au respect par le traitement algorithmique expérimenté des libertés publiques. Il n’a pas relevé d’atteinte aux exigences posées par la Constitution, le droit de l’Union européenne ou le cadre légal et réglementaire mais souligne néanmoins les enjeux qui s’attachent à un contrôle très attentif de la mise en œuvre d’un tel outil, afin notamment de prévenir toute éventualité de détournement de ses finalités légales ou de biais discriminatoires dans son utilisation » (ibid.).

38 CC, déc. nº 2023-850 DC du 17 mai 2023, cons. 40.

39 Ibid., cons. 43.

40 Ibid., cons. 44.

41 Ibid., cons. 45.

42 En effet, c’est le décret nº 2023-828 du 28 août 2023 relatif aux modalités de mise en œuvre des traitements algorithmiques sur les images collectées au moyen de systèmes de vidéoprotection et de caméras installées sur des aéronefs, pris en application de l’article 10 de la loi nº 2023-380 du 19 mai 2023 relative aux Jeux olympiques et paralympiques de 2024 et portant diverses autres dispositions qui a précisé ces garanties, dont les événements prédéterminés faisant l’objet d’une détection en temps réel, à savoir : la présence d’objets abandonnés ; la présence ou l’utilisation d’armes, parmi celles mentionnées à l’article R. 311-2 du Code de la sécurité intérieure ; le non-respect par une personne ou un véhicule du sens de circulation commun ; le franchissement ou la présence d’une personne ou d’un véhicule dans une zone interdite ou sensible ; la présence d’une personne au sol à la suite d’une chute ; un mouvement de foule ; une densité trop importante de personnes ; des départs de feux.

43 CC, déc. nº 2023-850 DC du 17 mai 2023, cons. 41.

44 CNIL, délibération nº 2022-118 du 8 décembre 2022.

45 B. Dorizzi, « De la biométrie classique à la biométrie comportementale », Polytechnique Insights, 30 mars 2021, en ligne : https://www.polytechnique-insights.com/tribunes/science/de-nos-empreintes-digitales-a-notre-facon-de-marcher-a-quoi-servent-vraiment-nos-donnees-biometriques.

46 Voir supra.

47 Le droit à la protection des données personnelles est consacré par différents textes. Voir, par exemple, art. 8, § 1 de la Charte des droits fondamentaux de l’Union européenne, Journal officiel des Communautés européennes, C 364, 18 décembre 2000, p. 1-22 ; art. 16, § 1 du traité sur le fonctionnement de l’Union européenne, Journal officiel de l’Union européenne, C 326, 26 octobre 2012, p. 47-390 (ex-article 286 du traité instituant la Communauté européenne). S’il n’est pas un droit absolu, la rédaction du considérant 4 du RGPD évoque également le caractère fondamental du droit à la protection des données personnelles : « Le droit à la protection des données à caractère personnel n’est pas un droit absolu ; il doit être considéré par rapport à sa fonction dans la société et être mis en balance avec d’autres droits fondamentaux, conformément au principe de proportionnalité ». On notera également la Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel (STE, nº 108), premier texte juridiquement contraignant adopté en matière de protection des données dont l’objet, énoncé à son article premier, est de garantir à chaque personne le respect de « ses droits et de ses libertés fondamentales, et notamment de son droit à la vie privée, à l’égard du traitement automatisé des données à caractère personnel la concernant ».

48 RGPD, cons. 4.

49 Et suivant les principes dégagés de ces dispositions par la Cour européenne des droits de l’homme ; voir, notamment, Cour EDH, 10 octobre 2006, L. L. c. France, nº 7508/02.

50 Cass. ass. plén., 22 décembre 2023, nº 20-20.648, § 5.

51 Voir, par exemple, Cass. ass. plén., 7 janvier 2011, nº 09-14.316 et 09-14.667 ; Cass. 2e civ., 9 janvier 2014, nº 12-17.875 ; Cass. com., 10 novembre 2021, nº 20-14.669 et nº 20-14.670, cités par Cass. ass. plén., 22 décembre 2023, nº 20-20.648, § 6.

52 Cass. ass. plén., 22 décembre 2023, nº 20-20.648, § 6.

53 Ibid., § 12.

54 Ibid., § 10.

55 Ibid., § 9.

56 Ibid., § 11.

57 La Cour de justice de l’Union européenne reconnaît notamment qu’afin « […] d’assurer que les justiciables puissent jouir d’un droit à une protection juridictionnelle effective et notamment d’un droit à un procès équitable, […] les parties à une procédure juridictionnelle civile doivent être en mesure d’accéder aux preuves nécessaires pour établir à suffisance le bien-fondé de leurs griefs, qui peuvent éventuellement inclure des données à caractère personnel des parties ou de tiers » (CJUE, 2 mars 2023, Norra Stockholm Bygg AB c. Per Nycander AB, C-268/21, § 53). La Cour de cassation adopte une position similaire. Voir, par exemple, Cass. soc., 8 mars 2023, nº 21-12.492 ; Cass. soc., 1er juin 2023, nº 22-13.238.

58 Cass. soc., 14 février 2024, nº 22-23.073 ; Cass. soc., 26 février 2025, nº 22-24.474.

59 CA Paris, 9e ch., 6 mars 2024, nº 21/07702 ; CA Montpellier, 2e ch. soc., 24 avril 2024, nº 21/02015.

60 CA Douai, ch. soc., 19 avril 2024, nº 22/01020.

61 CA Orléans, ch. soc., 30 janvier 2024, nº 22/00301.

62 Cass. soc., 26 février 2025, nº 22-24.474, § 7 et 8.

63 La question de la base légale retenue pour fonder le traitement ne sera pas étudiée car on peut rapidement envisager que le traitement serait fondé sur la base de l’intérêt légitime du responsable de traitement prévu par l’article 6, § 1f du RGPD. On peut également supposer que la mise en balance entre l’intérêt légitime du responsable de traitement et les droits fondamentaux de la personne concernée imposée par ces dispositions serait réputée satisfaite par l’application du contrôle de proportionnalité issu de l’arrêt du 22 décembre 2023.

64 Groupe de travail « Article 29 » sur la protection des données, Lignes directrices concernant l’analyse d’impact relative à la protection des données (AIPD) et la manière de déterminer si le traitement est « susceptible d’engendrer un risque élevé » aux fins du règlement (UE) 2016/679, 4 avril 2017, 17/FR WP 248, p. 12.

65 RGPD, art. 13, § 1.

66 Ibid.

67 Ibid., cons. 39.

68 Par ailleurs, le principe de transparence dispose d’une résonance particulière en droit du travail. En effet, l’article L. 1222-4 du Code du travail prévoit qu’« [a]ucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance ». En application de ces dispositions, dans un arrêt antérieur à l’arrêt du 22 décembre 2023, la Cour de cassation avait jugé que l’installation d’un système de vidéosurveillance dans des locaux professionnels sans information préalable du salarié violait les dispositions de l’article L. 1222-4 du Code du travail. Les preuves, ayant été récoltées de manière déloyale, avaient été jugées irrecevables ; voir Cass. soc., 10 novembre 2021, nº 20-12.263.

69 RGPD, art. 77, § 1.

70 « Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende » (Code pénal, art. L. 226-18).

71 Cass. crim., 30 avril 2024, nº 23-80.962.

72 Ibid., § 10.

73 Un arrêt rendu le 9 avril 2025 par la chambre sociale de la Cour de cassation fait figure d’exception en ne reprenant pas les nouvelles règles dégagées par l’assemblée plénière dans son arrêt du 22 décembre 2023, alors même que les faits concernent la collecte par un employeur de données à l’insu d’un salarié. Il convient sans doute de considérer cet arrêt comme une solution isolée qui ne sera pas suivie, l’analyse juridique des règles relatives à la protection des données apparaissant, par ailleurs, discutable sur d’autres aspects. Voir Cass. soc., 9 avril 2025, nº 23-13.159.

Haut de page

Pour citer cet article

Référence papier

Alexandre Labbay et Yann Paquier, « Chronique de jurisprudence des droits numériques 2023-2025 »Cahiers de la recherche sur les droits fondamentaux, 23 | 2025, 133-141.

Référence électronique

Alexandre Labbay et Yann Paquier, « Chronique de jurisprudence des droits numériques 2023-2025 »Cahiers de la recherche sur les droits fondamentaux [En ligne], 23 | 2025, mis en ligne le 22 octobre 2025, consulté le 23 janvier 2026. URL : http://journals.openedition.org/crdf/9833 ; DOI : https://doi.org/10.4000/1506x

Haut de page

Auteurs

Alexandre Labbay

Délégué à la protection des données mutualisé au centre de gestion de la fonction publique territoriale du Calvados

Délégué à la protection des données mutualisé au centre de gestion de la fonction publique territoriale du Calvados et membre de l’Association française des correspondants à la protection des données à caractère personnel (AFCDP).

Articles du même auteur

Yann Paquier

Docteur en droit public de l’université de Caen Normandie
Directeur mutualisé des affaires juridiques et de la commande publique de la commune de Bayeux et de la communauté de communes de Bayeux Intercom et délégué à la protection des données
Institut caennais de recherche juridique (ICREJ, UR 967)

Docteur en droit public de l’université de Caen Normandie, sa thèse a porté sur le principe de transparence des traitements algorithmiques en tant qu’enjeu démocratique à l’ère du numérique, sous la direction de Jean-Manuel Larralde. Il est actuellement directeur des affaires juridiques et de la commande publique mutualisé de la commune de Bayeux et de la communauté de communes de Bayeux Intercom. Il est par ailleurs délégué à la protection des données.

Articles du même auteur

Haut de page

Droits d’auteur

CC-BY-4.0

Le texte seul est utilisable sous licence CC BY 4.0. Les autres éléments (illustrations, fichiers annexes importés) sont susceptibles d’être soumis à des autorisations d’usage spécifiques.

Haut de page
Rechercher dans OpenEdition Search

Vous allez être redirigé vers OpenEdition Search