Faits et procédure :

Le projet de loi relatif à la protection des données personnelles a été délibéré en Conseil des ministres le 13 décembre 2017.

Ce projet a pour principal effet de modifier la loi existante en matière de protection des données personnelles, en particulier la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.

Le projet a été adopté l’Assemblée nationale le 13 février 2018, puis par le Sénat le 21 mars 2018.

Une nouvelle lecture par l’Assemblée nationale et le Sénat s’est déroulée avant que le texte ne soit définitivement adopté le 14 mai 2018.

Cette loi a été soumise à l’examen du Conseil constitutionnel par plus de soixante sénateurs car certaines dispositions seraient de nature à générer des décisions de justice fondées sur un traitement automatisé des données.

En l’absence de tout contrôle ou de toute présence d’un juge dans ces décisions, le Conseil Constitutionnel est donc valablement saisi.

Problème de droit :

Une personne peut-elle refuser de faire l’objet d’une décision fondée exclusivement sur un traitement automatisé ?

Parties à l’instance :

Requérant : Le groupe de soixante sénateurs.

Objet de la demande : Manquement à l’obligation d’accessibilité et d’intelligibilité de la loi par un dispositif de traitement automatisé des données personnelles.

Demande des requérants :

Le groupement de soixante sénateurs conteste la conformité à la Constitution de certaines dispositions de la loi relative à la protection des données personnelles, notamment les articles 1ers, 4, 5, 20, 21, 30 et 36.

Ils reprochent également à cette loi, dans son ensemble, de méconnaître l’objectif de valeur constitutionnelle d’accessibilité et d’intelligibilité de la loi sous couvert de favoriser la justice prédictive et de mettre en place des procédures automatisées sans aucune coprésence ou règlementation de contrôle.

L’article 21 du projet de loi est au cœur du litige car il mentionne la justice prédictive. Précisément, il s’intitule : « Adoption de décisions administratives individuelles sur le fondement d’un algorithme ».

Jusqu’au projet de loi soumis à l’examen du Conseil Constitutionnel, le droit français excluait que certaines décisions puissent être prises sur le fondement d’un algorithme. Cette exclusion était prévue à l’article 10 de la loi du 6 janvier 1978 qui posait dès lors une interdiction absolue.

Ainsi, aucune décision de justice impliquant une appréciation sur le comportement d’une personne ne pouvait avoir pour fondement un traitement automatisé de données à caractère personnel destiné à évaluer certains aspects de sa personnalité.

Les sénateurs estiment que l’administration par un tel projet de loi serait conduite à renoncer à l’exercice de son pouvoir d’appréciation des situations individuelles, en violation de la garantie des droits et de l’article 21 de la Constitution.

Enfin, cette violation serait renforcée en raison de l’existence d’algorithmes « auto-apprenants » susceptibles de réviser eux-mêmes les règles qu’ils appliquent, empêchant, de ce fait, l’administration de connaître les règles sur le fondement desquelles la décision administrative a été effectivement prise.

Décision du Conseil Constitutionnel :

Le Conseil constitutionnel pose des limites à l’extension de la justice prédictive et souligne qu’une personne a le droit de ne pas faire l’objet d’une décision fondée sur un traitement automatisé produisant des effets juridiques à son égard ou l’affectant de manière significative.

Autrement dit, la justice au sens d’une rencontre effective doit être maintenue dès lors que son enjeu touche les droits fondamentaux.

Le Conseil constitutionnel déclare contraire à la Constitution une partie du projet de loi.

Les juges rappellent toutefois que les autres articles du projet de loi prévoient les conditions auxquelles est subordonné le recours exclusif à un algorithme pour adopter une décision administrative individuelle ce qui est conforme à la Constitution.

Décision du 12 juin 2018 du Conseil Constitutionnel sur la conformité à la Constitution de la Loi relative à la protection des données personnelles