Décisions | Chambre administrative de la Cour de justice Cour de droit public

dans la cause

A______, B______, C______, D______,
représentés par Me Sylvain METILLE, avocat recourants

contre

DÉPARTEMENT DES INSTITUTIONS ET DU NUMÉRIQUE intimé

_________

Vu, en fait, la décision du département de la sécurité, de la population et de la santé, devenu depuis lors le département des institutions et du numérique (ci-après : le département ou DIN) du 8 juin 2023 dont le dispositif est le suivant :

1. La recommandation [du préposé cantonal à la protection des données et à la transparence (ci-après : PPDT) du 14 avril 2023 (ci-après : la recommandation)] visant à modifier la Directive de service DS.OSI.2.15 « Utilisation de Mobile Responder à la Police » [ci-après : la directive] de sorte qu’elle prévoie que "sont prises des mesures techniques et organisationnelles pour assurer l’effacement automatique des données collectées après 24 heures" n’est pas acceptée, dans la mesure où la directive sera modifiée selon les indications figurant dans les considérants.

2. La recommandation visant à modifier la directive de sorte qu’elle prévoie que
« seules des données anonymisées peuvent être analysées rétroactivement à des fins de formation et d’amélioration du dispositif technique » est acceptée avec réserve puisque les données collectées ne seront anonymisées que pour autant qu’elles doivent servir à des fins de formation et d’amélioration du dispositif technique. Les données enregistrées, si elles doivent être extraites à des fins pénales, ne sont évidemment pas anonymisées. La directive sera adaptée en conséquence.

3. La recommandation visant à prendre toutes les mesures pour s’assurer que le principe de sécurité des données personnelles est respecté est sans objet, les standards de sécurité étant garantis (analyse de risques, analyse des besoins de protection) et vérifiés régulièrement au travers d’audits de sécurité.

4. La suspension du déploiement de Mobile Responder jusqu’à l’entrée en force de la décision de la police au sens de l’article 49 al. 6 LIPAD [loi sur l’information du public, l’accès aux documents et la protection des données personnelles du
5 octobre 2001 (LIPAD ‑ A 2 08)] est refusée.

5. Il n’est pas renoncé à exploiter les données déjà collectées. Celles-ci sont détruites à l’expiration du délai de conservation applicable au moment de la collecte.

6. La suppression des données collectées, au motif qu’elles auraient été collectées illicitement, est refusée.

7. L’abstention de toute utilisation future de Mobile Responder qui ne serait pas parfaitement conforme à la directive est rejeté, dans la mesure où elle est sans objet. »

vu le recours interjeté le 6 juillet 2023 par l’A______ (ci-après : A______), le B______ (ci-après : B______), C______, D______ (ci-après : les recourants) devant la chambre administrative de la Cour de justice (ci-après : chambre administrative) , concluant, à titre principal, à l’annulation de cette décision et à ce que l’ordre soit donné au DIN de prendre les mesures techniques et organisationnelles afin que les données collectées par l’application Mobile Responder (ci-après : l’application) soient effacées automatiquement après 24 heures, de supprimer les données déjà collectées dont la durée de conservation avait déjà dépassé 24 heures et de modifier la directive afin qu’elle respecte les conclusions précédentes ; subsidiairement au renvoi de la cause au DIN pour nouvelle décision ; sur mesures provisionnelles, à la suspension de la sauvegarde des données collectées par l’application au-delà d’une durée de 24 heures et à la suppression des données déjà collectées et conservées depuis plus de 24 heures jusqu’à droit connu sur le fond ;

que, depuis 2011, les policiers étaient équipés d’un téléphone portable de dotation ; que le système de gestion de flotte d’appareils mobiles dans lequel ces smartphones étaient inscrits ne devait en « aucun cas permettre d’espionner les utilisateurs. Quant à la géolocalisation, elle n’a d’utilité que pour localiser un appareil perdu ou volé, mais pas pour pister les détenteurs des appareils mobiles » ; que les recourants avaient participé à une séance avec la direction des opérations de la police (ci-après : DIROP) durant l’été 2021, puis le 1^er avril 2023 au cours de laquelle ils avaient relevé les lacunes et risques du projet Mobile Responder ; que, de manière très inattendue le département avait mis en service le 1^er juillet 2022 Mobile Responder ; que la directive avait été élaborée à cette occasion ; que les recourants avaient contesté que les modalités d’utilisation de Mobile Responder, telles que prévues par la directive, respectent les exigences en matière de protection des données ; qu’ils ont requis, le 5 juin 2022, à titre provisionnel, notamment la suspension du déploiement de l’application ; qu’après un échange de correspondances, le département a indiqué, le 20 février 2023, saisir le PPDT ; que ce dernier a rendu une recommandation le 14 avril 2023 concluant notamment à la modification de la directive ; que le 8 juin 2023, le département avait décidé de modifier la directive pour y ajouter un objectif supplémentaire au point 2, à savoir « fournir des moyens de preuve utiles dans le cadre d’une procédure pénale », ce qui justifiait une durée de conservation des données pendant 100 jours ;

que la directive violait le droit fondamental à la sphère privée ; que la loi fédérale sur la surveillance de la correspondance par postes et télécommunications (LSCPT ; RS 780.1) et le code de procédure pénale suisse du 5 octobre 2007 (CPP - RS 312.0) prévoyaient des conditions strictes d’accès aux données ; que tel n’était pas le cas de la directive qui ne prévoyait ni conditions de gravité ni contrôle judiciaire ; qu’ils citaient la jurisprudence de la Cour de justice de l’Union européenne ; que la restriction du droit à la sphère privée entraînée par la collecte et la conservation de données personnelles via l’application devaient être qualifiées de graves ; qu’elle devait reposer sur une base légale formelle, laquelle faisait défaut ; que si le PPDT avait considéré que le traitement de données réalisé par l’intermédiaire de l’application reposait sur une base légale suffisante, il avait estimé que la collecte et la conservation pendant 24 heures des données relatives aux déplacements et à la localisation des policiers en service étaient conformes au but énuméré à l’art. 1 de la loi sur la police du 9 septembre 2014 (LPol - F 1 05) ; que cette base légale était manifestement insuffisante pour permettre la conservation des données durant 100 jours, avec une finalité qui n’était plus opérationnelle ;

que le principe de la proportionnalité était aussi violé ; qu’il n’était ni apte ni nécessaire de conserver des données plus de 24 heures pour des buts opérationnels ; que le but de formation pouvait être atteint avec des données anonymisées ; que la finalité ajoutée in extremis pour tenter de justifier la conservation de ces données n’était pas convaincante ; qu’elle permettait de déterminer où se trouvaient les agents et les véhicules de police à un moment donné et de les identifier ; que cette information n’était généralement pas pertinente pour déterminer si un policier avait commis une infraction ; qu’elle ne permettait pas de savoir quel comportement le policier avait adopté ; qu’elle n’était pas non plus nécessaire dans l’intérêt des policiers qui pourraient être condamnés sur la base desdites données ; qu’au contraire, le risque était grand que la hiérarchie utilise les données en violation de la directive ; que leur droit d’être entendu avait été violé par l’adjonction de cette dernière finalité, qui n’avait pas été communiquée aux recourants ni au PPDT avant le prononcé de la décision contestée ;

que des mesures provisionnelles étaient nécessaires pour sauvegarder la personnalité des recourants ; que le PPDT avait considéré, dans sa recommandation, que la durée de conservation des données était excessive ; qu’il était dès lors vraisemblable que cette durée de conservation soit toujours disproportionnée malgré le nouvel objectif du département ; qu’il se justifiait de suspendre la sauvegarde des données collectives au-delà d’une durée de 24 heures et l’exploitation des données déjà collectées par l’application, jusqu’à droit connu sur le fond ; qu’à défaut, le personnel policier ayant l’obligation de se connecter à ces applications subissait un préjudice irréparable sous la forme d’une atteinte à sa personnalité ;

que le département a conclu au rejet des mesures provisionnelles ;

que, dans leur réplique sur mesures provisionnelles, les recourants ont contesté que leurs conclusions sur mesures provisionnelles soient identiques à celles prises sur le fond et aboutiraient au même résultat ; que tant que l’application était en fonction, l’atteinte perdurerait ; que le risque d’utilisation illicite des données pendant la procédure existait et ne faisait qu’augmenter au fil du temps ; que les références du département au système CARLOC, en vigueur, autorisant que certaines données soient conservées pendant 122 jours, ne conféraient aucune légalité à la conservation des données de l’application pendant 100 jours ;

que sur ce, les parties ont été informées que la cause était gardée à juger sur mesures provisionnelles.

Considérant, en droit, l'art. 9 al. 1 du règlement interne de la chambre administrative du 26 mai 2020, à teneur duquel les décisions sur effet suspensif sont prises par la présidente de ladite chambre, respectivement par la vice-présidente, ou en cas d'empêchement de celles‑ci, par un juge ;

qu’aux termes de l’art. 66 de la loi sur la procédure administrative du 12 septembre 1985 (LPA - E 5 10), sauf disposition légale contraire, le recours a effet suspensif à moins que l’autorité qui a pris la décision attaquée n’ait ordonné l’exécution nonobstant recours (al. 1) ; que toutefois, lorsque aucun intérêt public ou privé prépondérant ne s’y oppose, la juridiction de recours peut, sur la demande de la partie dont les intérêts sont gravement menacés, retirer ou restituer l’effet suspensif (al. 3) ;

que selon la jurisprudence constante de la chambre administrative, des mesures provisionnelles – ne sont légitimes que si elles s’avèrent indispensables au maintien d’un état de fait ou à la sauvegarde d’intérêts compromis (ATF 119 V 503 consid. 3 ; ATA/503/2018 du 23 mai 2018 ; ATA/955/2016 du 9 novembre 2016 consid. 4 ; ATA/1244/2015 du 17 novembre 2015 consid. 2) ;

qu’elles ne sauraient, en principe, anticiper le jugement définitif (Isabelle HÄNER, Vorsorgliche Massnahmen in Verwaltungsverfahren und Verwaltungsprozess in RDS 1997 II 253-420, spéc. 265) ;

que, par ailleurs, l’octroi de mesures provisionnelles présuppose l’urgence, à savoir que le refus de les ordonner crée pour l’intéressé la menace d’un dommage difficile à réparer (ATF 130 II 149 consid. 2.2 ; 127 II 132 consid. 3 = RDAF 2002 I 405 ; ATA/941/2018 du 18 septembre 2018) ;

que le prononcé de mesures provisionnelles est subordonnée à l’existence de justes motifs, qui résident dans un intérêt public ou privé prépondérant à l’absence d’exécution immédiate de la décision (arrêt du Tribunal fédéral 2C_1161/2013 du 27 février 2014 consid. 5.5.1) ;

que la chambre de céans dispose dans l’octroi de mesures provisionnelles d’un large pouvoir d’appréciation (arrêt du Tribunal fédéral 2C_1161/2013 précité consid. 5.5.1 ; ATA/941/2018 précité) ;

qu’en l’espèce, la qualité pour recourir des quatre recourants s’analysera avec l’arrêt au fond ;

que, l’atteinte à la sphère privée des recourants du fait de l’utilisation de l’application Mobile Responder, ne paraît, prima facie et sans préjudice de l’examen au fond, pas irréparable, les données étant supprimées après un délai, en l’état litigieux ;

que les recourants ne rendent pas vraisemblable que le refus d’ordonner la suspension de la sauvegarde des données collectées par l’application au-delà d’une durée de 24 heures et la suppression des données déjà collectées et conservées depuis plus de 24 heures, jusqu’à droit connu sur le fond, est de nature à les exposer à un dommage difficile à réparer ;

que, par ailleurs, si le PPDT a recommandé le 14 avril 2023 la modification de la directive notamment pour assurer l’effacement automatique des données collectées après 24 heures, il ne s’est pas prononcé sur le nouvel objectif, ajouté au point 2 de la directive ultérieurement, visant à fournir des moyens de preuve utiles dans le cas d’une procédure pénale ;

qu’il apparaît, à première vue, que le système CARLOC avait une durée de conservation des données de géolocalisation de 122 jours ;

que la nouvelle pratique aurait en conséquence prima facie diminué la durée de conservation des données ;

que les données ne seraient, de prime abord, consultables qu’en cas de procédure pénale et pour autant que cela soit nécessaire et ne seraient accessibles qu’à l’inspection générale des services et au procureur général ;

que la directive interdit toute utilisation des données en vue de surveillance ;

qu’il n’existe en conséquence pas d’urgence à mettre fin à la conservation des données avant que la chambre de céans n’ait pu se déterminer sur le fond du litige ;

que l’autorité intimée explique, de prime abord de façon convaincante, que l’utilisation des moyens figurant dans la LSCPT ne permet pas de remplacer avec la précision voulue les données de géolocalisation issues de l’application équipant tant les tablettes des véhicules de police que les téléphones de dotation du personnel policier ;

qu’ainsi, il n’apparaît pas qu’en l’état, l’intérêt privé des recourants à la suspension de la sauvegarde des données collectives au-delà d’une durée de 24 heures et de l’exploitation des données déjà collectées par l’application jusqu’à droit connu sur le fond l’emporterait sur l’intérêt public à l’utilisation de celles-ci jusqu’à droit jugé sur le recours ;

qu’au vu de ce qui précède, la requête sur mesures provisionnelles sera rejetée ;

qu’il sera statué sur les frais de la présente décision avec l’arrêt au fond.

LA CHAMBRE ADMINISTRATIVE

rejette la requête de mesures provisionnelles ;

réserve le sort des frais du présent incident à l’arrêt au fond ;

dit que, conformément aux art. 82 ss de la loi fédérale sur le Tribunal fédéral du 17 juin 2005 (LTF - RS 173.110), la présente décision peut être portée dans les trente jours qui suivent sa notification par-devant le Tribunal fédéral, par la voie du recours en matière de droit public ; le mémoire de recours doit indiquer les conclusions, motifs et moyens de preuve et porter la signature du recourant ou de son mandataire ; il doit être adressé au Tribunal fédéral, 1000 Lausanne 14, par voie postale ou par voie électronique aux conditions de l’art. 42 LTF. Le présent arrêt et les pièces en possession des recourants, invoquées comme moyens de preuve, doivent être joints à l’envoi ;

communique la présente décision à Me Sylvain METILLE, avocat des recourants, ainsi qu'au département des institutions et du numérique.

Copie conforme de cette décision a été communiquée aux parties.