Actualité juridique · Publié le
Cour constitutionnelle fédérale d’Allemagne (Bundesverfassungsgericht), arrêt du 16 février 2023 (1 BvR 1547/19 et 1 BvR 2634/20) : l’analyse automatisée de données policières à grande échelle porte une atteinte grave au droit à l’autodétermination informationnelle et exige un danger concret ou qualifié
Dans son arrêt de principe du 16 février 2023 (1 BvR 1547/19 et 1 BvR 2634/20, BVerfGE 165, 363), le Premier Sénat de la Cour constitutionnelle fédérale d’Allemagne (Bundesverfassungsgericht) déclare inconstitutionnelles les dispositions des lois sur la sécurité et l’ordre public des Länder de Hesse (§ 25a HSOG) et de Hambourg (§ 49 HmbPolDVG) qui habilitaient les services de police à procéder à l’analyse automatisée et au recoupement algorithmique de vastes volumes de données policières à l’aide de plateformes logicielles d’investigation (telles que HessenData, dérivée de Gotham de la société Palantir). La Cour juge que le croisement automatisé de bases de données hétérogènes ne constitue pas une simple consultation de fichiers déjà existants, mais une ingérence nouvelle et d’une gravité particulière dans le droit fondamental à l’autodétermination informationnelle (article 2 § 1 combiné à l’article 1 § 1 de la Loi fondamentale), qui ne peut être autorisée que pour prévenir un danger concret ou au moins un danger suffisamment caractérisé menaçant des biens juridiques de premier rang.
Sommaire de l’article
- Le déploiement de plateformes logicielles de croisement automatisé des fichiers de police en Hesse et à Hambourg
- Une ingérence nouvelle dont la gravité varie selon l’ampleur des données croisées et la méthode algorithmique
- Mise en regard avec le droit de l’Union européenne (directive 2016/680) et le contrôle français des fichiers de souveraineté
- Sources
01
Le déploiement de plateformes logicielles de croisement automatisé des fichiers de police en Hesse et à Hambourg
En 2018 et 2019, les législateurs des Länder de Hesse et de Hambourg avaient introduit dans leurs lois de police des habilitations permettant aux autorités de sécurité d’agréger et d’exploiter de manière automatisée, au sein d’une interface logicielle unifiée d’exploration de données (Data Mining), l’ensemble des informations détenues dans différents fichiers de police : procédures pénales antérieures, signalements, données de télécommunications, relevés de déplacements, contacts sociaux et renseignements recueillis auprès de témoins, de victimes ou de simples tiers non impliqués.
En Hesse, le dispositif (exploité quotidiennement sous le nom HessenData) autorisait ces traitements algorithmiques dès lors qu’ils étaient jugés nécessaires pour « prévenir la commission d’infractions pénales graves », même en l’absence d’indice d’une menace imminente déterminée. Saisie de recours constitutionnels directs (Verfassungsbeschwerden) formés par des citoyens, des avocats pénalistes et l’association Gesellschaft für Freiheitsrechte, la Cour de Karlsruhe a tenu une audience publique avant de censurer les deux législations.
02
Une ingérence nouvelle dont la gravité varie selon l’ampleur des données croisées et la méthode algorithmique
Pour déclarer ces dispositions contraires au principe de proportionnalité et au droit à l’autodétermination informationnelle (consacré depuis le célèbre arrêt sur le recensement, Volkszählungsurteil, de 1983), le Premier Sénat fixe une doctrine constitutionnelle précise :
- La production de connaissances nouvelles par le croisement algorithmique : même lorsque la police n’utilise que des données qu’elle a déjà légalement collectées dans ses différents fichiers, leur mise en relation automatisée change radicalement la nature de l’atteinte à la vie privée. En un seul clic, le logiciel établit des graphes relationnels entre personnes, lieux, véhicules et communications, permettant de dresser un profil de personnalité et de comportement et d’englober dans le soupçon policier un grand nombre de personnes non mises en cause.
- L’exigence d’un seuil de déclenchement strict (danger concret ou konkretisierte Gefahr) : lorsque l’analyse automatisée porte sur des volumes étendus de données ou utilise des algorithmes prédictifs complexes, la Constitution interdit d’y recourir à des fins de prévention policière générale ou de simple recherche exploratoire. Le législateur doit subordonner l’emploi du logiciel à l’existence de faits précis laissant apparaître au moins un danger suffisamment caractérisé (konkretisierte Gefahr) pour des biens juridiques d’une importance constitutionnelle éminente, tels que la vie, l’intégrité physique, la liberté des personnes ou l’existence de l’État, et encadrer strictement le paramétrage des requêtes et la protection du secret professionnel des avocats.
03
Mise en regard avec le droit de l’Union européenne (directive 2016/680) et le contrôle français des fichiers de souveraineté
L’arrêt du 16 février 2023 de la Cour de Karlsruhe constitue aujourd’hui une référence majeure en Europe pour le contrôle des traitements algorithmiques de sécurité et des données à caractère personnel :
- Au regard du droit de l’Union européenne : la directive (UE) 2016/680 du 27 avril 2016 (dite directive « Police-Justice », transposée aux articles 87 et suivants de la loi Informatique et Libertés) impose en son article 6 une distinction claire entre les différentes catégories de personnes concernées (suspects, condamnés, victimes, témoins) et encadre sévèrement, en son article 11, toute décision ou tout profilage fondé sur un traitement automatisé susceptible d’entraîner des effets préjudiciables pour la personne.
- En droit public et constitutionnel français : tant le Conseil constitutionnel (notamment dans ses décisions relatives à l’expérimentation de traitements algorithmiques d’images ou de données de connexion) que le Conseil d’État et la CNIL exigent que l’interconnexion ou l’exploitation automatisée de fichiers de police administrative et judiciaire (TAJ, FPR, logiciels d’analyse criminelle) soit strictement proportionnée à la finalité poursuivie, limitée dans sa durée de conservation et assortie de garanties d’exactitude et de traçabilité des consultations.
04
Sources
- Bundesverfassungsgericht — Urteil des Ersten Senats vom 16. Februar 2023, 1 BvR 1547/19, 1 BvR 2634/20 (BVerfGE 165, 363)
- Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 (« Police-Justice ») — EUR-Lex
- Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (Titre III : Dispositions applicables aux traitements relevant de la directive 2016/680) — Légifrance
Votre situation
Une question sur votre dossier ?
Le cabinet examine la situation sur pièces. Cette page est une information générale ; elle ne remplace pas l’analyse d’un dossier.