Le tribunal administratif de Marseille a invalidé l’expérimentation du contrôle d’accès par reconnaissance faciale dans deux lycées de Marseille et de Nice sur le fondement du RGPD.
Les données collectées par ce moyen constituent des données biométriques qui sont interdites de traitement, selon l’article 9 du RGPD. Ce texte prévoit toutefois des exceptions, notamment si la personne concernée donne son consentement explicite. Or, le tribunal administratif de Marseille a estimé, dans sa décision du 27 février 2020, que la région Paca, qui a lancé l’expérimentation de ce dispositif de contrôle d’accès virtuel, ne justifie pas avoir prévu des garanties suffisantes afin d’obtenir des lycéens ou de leurs parents qu’ils donnent un consentement à la collecte de leurs données de manière libre et éclairée. La région s’était bornée à envisager le recueil du consentement par la seule signature d’un formulaire alors que les personnes se trouvent dans une relation d’autorité face aux responsables d’établissement d’enseignement public. Le tribunal administratif reproche aussi à la région de ne pas avoir recherché si les finalités de fluidification et de sécurisation des contrôles d’entrée dans les lycées constituaient un motif d’intérêt public ou si elles ne pouvaient pas être atteintes pas d’autres moyens suffisamment efficaces comme les badges, voire la vidéosurveillance. Le tribunal a donc suivi le raisonnement de la Cnil qui s’était prononcée contre cette expérimentation par une délibération du 29 octobre 2019. Elle avait estimé que ce dispositif n’apparaissait ni nécessaire, ni proportionné pour atteindre ces finalités et que d’autres moyens moins intrusifs, tels que les badges, pouvaient être employés.
Le tribunal a par ailleurs jugé que la délibération de la région d’engager cette expérimentation était entachée d’incompétence dans la mesure où les missions d’encadrement des élèves relèvent de la compétence des chefs d’établissement. Quand bien même la région aurait obtenu le consentement des établissements scolaires, la région a excédé ses compétences conférées par le code de l’éducation.
Par une délibération du 14 décembre 2018, la région Provence-Alpes-Côte d’Azur avait lancé une expérimentation de contrôle d’accès par reconnaissance faciale dans deux lycées de Marseille et Nice, elle avait approuvé la convention tripartite d’expérimentation conclue entre la société Cisco et chacun des deux établissements et elle avait autorisé son président à la signer. Mais la Quadrature du net, la fédération de parents d’élèves FCPE, la CGT Educ’Action des Alpes Maritimes ont engagé un recours pour excès de pouvoir contre cette délibération devant le tribunal administratif de Marseille qui leur a donné gain de cause.