De l'expérimentation au droit commun : l'impératif de nécessité absolue

L'usage de la vidéosurveillance algorithmique, notamment dans le cadre de l'expérimentation liée aux Jeux Olympiques de 2024, marque un tournant technologique majeur pour la sécurité publique en France. Si le cadre actuel est strictement limité par la loi n° 2023-380 à une phase expérimentale, la question de sa pérennisation au-delà de cet événement exceptionnel soulève des enjeux de droit fondamental sans précédent. Le débat doctrinal se cristallise autour d'une tension entre l'utilité opérationnelle démontrée par les outils d'intelligence artificielle et les exigences de nécessité et de proportionnalité imposées par le droit de l'Union européenne. La problématique centrale consiste à déterminer si la pérennisation de ces dispositifs peut reposer sur une simple évaluation de leur efficacité technique, ou si elle exige une rupture législative fondée sur la démonstration d'une nécessité absolue et l'établissement d'une base légale précise.

I. L'insuffisance de l'utilité technique comme fondement de la pérennisation

Une première lecture de la question suggère que l'efficacité d'un dispositif de surveillance constitue le préalable indispensable à toute décision de maintien. Selon cette approche, l'évaluation technique, opérationnelle et sociétale est la condition de validité permettant au législateur de juger de l'opportunité d'une prolongation. Toutefois, une analyse plus rigoureuse du droit positif révèle que l'utilité d'un outil ne saurait se confondre avec sa licéité.

A. L'indépendance de la nécessité juridique face à l'efficacité opérationnelle

L'un des points de convergence de la doctrine est que l'utilité opérationnelle d'un dispositif ne saurait constituer un fondement juridique suffisant pour justifier le traitement de données biométriques ou intrusives. L'efficacité technique d'un algorithme est un paramètre de performance, tandis que la nécessité juridique est un critère de légalité.

Le principe de minimisation des données, tel qu'énoncé par le règlement (UE) 2016/679 du 27 avril 2016, impose que les données soient « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées ». Dès lors, la simple performance d'un système de détection ne suffit pas à justifier son déploiement si des moyens moins attentatoires aux libertés peuvent atteindre le même objectif. À cet égard, la jurisprudence de la Cour de justice de l'Union européenne est constante : l'exigence de nécessité est remplie lorsque « l’exigence de nécessité est remplie lorsque l’objectif poursuivi par le traitement de données en cause ne peut raisonnablement être atteint de manière aussi efficace par d’autres moyens moins attentatoires aux droits fondamentaux » (Arrêt de la Cour (cinquième chambre) du 26 janvier 2023. · C-205/21. https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:62021CJ0205).

En outre, la licéité de tout traitement de données à caractère personnel est subordonnée au respect de finalités déterminées et explicites. La directive (UE) 2016/680 du 27 avril 2016 précise que les données doivent être traitées pour des finalités « déterminées, explicites et légitimes ». Une pérennisation qui ne ferait que prolonger un cadre expérimental sans redéfinir strictement ces finalités risquerait de violer le principe de limitation des finalités.

B. Le risque de dénaturation de l'expérimentation par son élargissement

Un second courant doctrinal alerte sur le risque de voir l'expérimentation se transformer, par un effet de glissement, en un régime de droit commun. Cette pérennisation déguisée pourrait résulter d'un élargissement substantiel du périmètre matériel et spatial du dispositif, comme le souligne la position de l'autorité de contrôle dans sa Délibération 2026-023 du 12 mars 2026 (https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000053716494), qui relève qu'une durée d'expérimentation relativement longue, conjuguée à un élargissement de son champ, pourrait conduire en pratique à pérenniser un dispositif pourtant présenté comme exceptionnel.

Le respect de la temporalité de la mesure est également une garantie de protection de la vie privée. La jurisprudence de la Cour de cassation est sans équivoque sur ce point : « le maintien en place de ce dispositif au-delà de la période autorisée, suivi d'une nouvelle mesure, même autorisée par le magistrat compétent, portant nécessairement atteinte au droit au respect de la vie privée de la personne concernée par la mesure » (Cass. crim., 14 avril 2026, n° 25-87.105. https://www.courdecassation.fr/decision/69e1c317cdc6046d47885fff). Toute pérennisation qui ne passerait pas par un renouvellement formel et une nouvelle base légale constituerait une irrégularité manifeste.

II. L'exigence d'un cadre juridique renforcé pour le régime de droit commun

Si l'on admet que l'utilité technique est insuffisante, le passage d'un régime expérimental à un régime de droit commun ne peut être une simple formalité administrative. Il impose une rupture législative caractérisée par une nouvelle base légale et le respect de standards de protection accrus.

A. La nécessité d'une base légale nouvelle et précise

Le passage à la permanence exige la création d'un acte législatif explicite, distinct de la loi d'expérimentation. La directive (UE) 2016/680 du 27 avril 2016 impose que toute disposition nationale réglementant le traitement précise au moins « les objectifs du traitement, les données à caractère personnel devant faire l'objet d'un traitement et les finalités du traitement ».

La loi n° 2023-380 organise la transition en prévoyant que le législateur détermine, avant l'expiration de l'expérimentation, si celle-ci doit être prolongée, modifiée ou généralisée. Toutefois, cette procédure de prorogation, limitée à un an en cas de dépôt d'un projet de loi, ne doit être qu'un mécanisme de transition et non un outil de pérennisation par défaut. La pérennisation ne peut être validée que si la nouvelle loi répond aux exigences de précision et de proportionnalité.

La Cour de justice de l'Union européenne rappelle d'ailleurs l'importance de la motivation de l'autorité : une législation nationale ne peut être valide si elle ne prévoit pas « l'obligation, pour l'autorité compétente, de motiver de façon adéquate, dans chaque cas particulier, la « nécessité absolue », au sens de cet article 10, de procéder à la collecte des données biométriques » (Arrêt de la Cour (cinquième chambre) du 19 mars 2026. · C-371/24. https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:62024CJ0371).

B. Le standard de la nécessité absolue pour les données sensibles

L'enjeu le plus critique réside dans le traitement des données biométriques, dont l'usage est par principe interdit par le règlement (UE) 2016/679 du 27 avril 2016, qui dispose que le traitement des données biométriques aux fins d'identifier une personne physique de manière unique [...] sont interdits, sauf exceptions limitatives.

Pour toute pérennisation impliquant de tels traitements, le standard de la « nécessité absolue » doit être appliqué. La Cour de cassation a précisé que « le traitement des données génétiques, comme celui des données biométriques aux fins d'identifier une personne physique de manière unique, est autorisé uniquement en cas de nécessité absolue, sous réserve de garanties appropriées pour les droits et libertés de la personne concernée » (Cass. crim., 4 avril 2024, n° 23-84.520. https://www.courdecassation.fr/decision/660e4e946c7c880008cba7d0).

Il est crucial de noter que la charge de la preuve de cette nécessité incombe exclusivement à l'autorité publique. La Cour de justice de l'Union européenne a affirmé, dans son arrêt du 28 novembre 2024, que l'obligation de démontrer cette nécessité absolue ne peut être déléguée à une juridiction saisie pour ordonner l'exécution forcée de la collecte (Arrêt de la Cour (cinquième chambre) du 28 novembre 2024. · C-80/23. https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:62023CJ0080). L'autorité doit être en mesure de démontrer que le traitement est indispensable et qu'aucune alternative moins intrusive n'est possible.

En conclusion, la pérennisation de la vidéosurveillance algorithmique ne peut être le fruit d'une simple validation technique de son utilité. Elle exige un cadre législatif nouveau, définissant des finalités précises, et une démonstration rigoureuse de la nécessité absolue de recourir à des traitements de données sensibles, dont la charge de la preuve incombe à l'État.

Si l'on admet que l'utilité technique est insuffisante, comment le législateur peut-il définir juridiquement une « nécessité absolue » qui ne soit pas simplement une reconnaissance de l'inéluctabilité technologique ?