Conseil d'État, 10ème et 9ème chambres réunies, 1 décembre 2025, n° 490070

Vu la procédure suivante : Par une requête sommaire et un mémoire complémentaire, enregistrés les 11 décembre 2023 et 12 mars 2024 au secrétariat du contentieux du Conseil d'Etat, le Syndicat de la magistrature, le Syndicat des avocats de France, la Confédération générale du travail et l’association « SOS homophobie » demandent au Conseil d'Etat : 1°) d’annuler pour excès de pouvoir le décret n° 2023-935 du 10 octobre 2023 autorisant la création d’un traitement automatisé de données à caractère personnel dénommé « Système informatisé de suivi de politiques pénales prioritaires » (SISPoPP) ; 2°) de mettre à la charge de l’Etat le versement à chacun des requérants de la somme de 1 500 euros au titre de l'article L. 761-1 du code de justice administrative. Vu les autres pièces du dossier ; Vu : - la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales ; - le code de procédure pénale ; - la loi n° 78-17 du 6 janvier 1978 ; - le décret n° 2020-1427 du 20 novembre 2020 ; - le code de justice administrative ; Après avoir entendu en séance publique : - le rapport de M. Jean de L'Hermite, conseiller d'Etat, - les conclusions de Mme Leila Derouich, rapporteure publique ; La parole ayant été donnée, après les conclusions, à la SCP Sevaux, Mathonnet, avocat du syndicat de la magistrature, du syndicat des avocats de France, de la société confédération générale du travail et de l'association SOS homophobie ; Considérant ce qui suit : 1. Le syndicat de la magistrature et autres demandent l’annulation pour excès de pouvoir du décret, pris pour l’application des articles 30, 35, 39-1 et 39-2 du code de procédure pénale, qui autorise le ministre de la justice à mettre en œuvre, dans le ressort de chaque tribunal judiciaire et de chaque cour d’appel, un traitement automatisé de données à caractère personnel ayant pour finalité de contribuer à sept politiques pénales prioritaires mentionnées en son article 1er, en permettant la mise en œuvre, le suivi et le pilotage de mesures de prévention et de détection des infractions pénales et des procédures pénales, ainsi que l’échange d’informations dans le cadre des instances locales de concertation auxquelles participent les représentants du ministère public. Il prévoit notamment, à son article 3, les catégories de données à caractère personnel qui peuvent y être enregistrées, concernant les personnes faisant l’objet d’un signalement à l’autorité judiciaire, mises en cause, mises en examen, placées sous le statut de témoin assisté, poursuivies ou condamnées pour des infractions relevant de ces politiques, ainsi que les victimes de telles infractions et précise dans un tableau annexe les catégories de données à caractère personnel sensibles, au sens de l’article 6 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, qui peuvent également y être enregistrées. Sur la légalité externe du décret attaqué : 2. Il résulte de l’article 31 de la loi du 6 janvier 1978 déjà citée que les traitements de données à caractère personnel mis en œuvre pour le compte de l’Etat, qui intéressent la prévention, la recherche, la constatation ou la poursuite des infractions pénales et qui portent sur des données dites sensibles mentionnées au I de l’article 6 de la même loi sont autorisés par décret en Conseil d’Etat pris après avis motivé et publié de la Commission nationale de l’informatique et des libertés (CNIL). En ce qui concerne la consultation du Conseil d’Etat : 3. Il ressort de la copie de la minute de la section de l’intérieur du Conseil d’Etat, produite dans le cadre de l’instruction par le garde des sceaux, ministre de la justice, que le décret publié ne contient pas de disposition qui différerait à la fois du projet initial du Gouvernement et du texte adopté par le Conseil d’Etat. Par suite, le moyen tiré de la méconnaissance des règles qui gouvernent l’examen par le Conseil d’Etat des projets de décret en Conseil d’Etat doit être écarté. En ce qui concerne la consultation de la CNIL : 4. L’organisme dont une disposition législative ou réglementaire prévoit la consultation avant l’intervention d'un texte doit être mis à même d’exprimer son avis sur l’ensemble des questions soulevées par ce texte. Dans le cas où, après avoir recueilli son avis, l’autorité compétente pour prendre ce texte envisage d’apporter à son projet des modifications qui posent des questions nouvelles, elle doit le consulter à nouveau. 5. Si les requérants soutiennent que le projet sur lequel la CNIL a été consultée ne comprenait pas le tableau annexe précisant les données personnelles susceptibles d’être traitées pour chacune des politiques pénales prioritaires, il ressort des pièces du dossier que ni les précisions apportées ultérieurement sur les données susceptibles d’être enregistrées pour le suivi des sept politiques pénales ni l’ajout d’une annexe limitant les cas dans lesquels des données à caractère personnel sensibles relevant de l’article 6 de la loi du 6 janvier 1978 peuvent être enregistrées, ne soulèvent de question nouvelle par rapport à celles qui étaient soumises à la CNIL lorsque ces éléments étaient plus largement définis. Dans ces conditions, le moyen tiré de ce que la CNIL n’aurait pas été régulièrement consultée doit être écarté. En ce qui concerne la consultation du comité social d’administration : 6. Aux termes de l’article 48 du décret du 20 novembre 2020 relatif aux comités sociaux d’administration dans les administrations et les établissements publics de l’Etat : « Le comité social d’administration est consulté sur : / 1° Les projets de texte réglementaire relatifs au fonctionnement et à l’organisation des services ; (…) ». Le décret attaqué ne peut être regardé comme ayant trait à l’organisation ou au fonctionnement des services du ministère de la justice. Par suite, le moyen tiré du défaut de consultation du comité social d’administration du ministère de la justice doit être écarté. Sur la légalité interne du décret attaqué : En ce qui concerne la méconnaissance des dispositions de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés : 7. Aux termes de l’article 4 de la loi du 6 janvier 1978 déjà citée : « Les données à caractère personnel doivent être : / (…) 2° Collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d'une manière incompatible avec ces finalités. (…) / 3° Adéquates, pertinentes et, au regard des finalités pour lesquelles elles sont traitées, limitées à ce qui est nécessaire ou, pour les traitements relevant des titres III et IV, non excessives ; / 4° Exactes et, si nécessaire, tenues à jour. Toutes les mesures raisonnables doivent être prises pour que les données à caractère personnel qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder ; / 5° Conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées (…) ». Aux termes du I de l’article 6 de la même loi : « Il est interdit de traiter des données à caractère personnel qui révèlent la prétendue origine raciale ou l'origine ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale d'une personne physique ou de traiter des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique.