Le Quotidien

À la suite des contrôles diligentés par sa Présidente, la CNIL estime que la nouvelle version de l’application StopCovid respecte pour l’essentiel le « RGPD » (Règlement n° 2016/ du 27 avril 2016 N° Lexbase : L0189K8I) et la loi « Informatique et Libertés » (loi n° 78-17 du 6 juillet 1978 N° Lexbase : L8794AGS) ;  elle a cependant relevé plusieurs irrégularités et a mis le ministère des Solidarités et de la Santé en demeure d’y remédier.

Durant le mois de juin, la CNIL a procédé à trois contrôles afin de s’assurer que le fonctionnement de l’application « StopCovid France » répond aux exigences de protection de la vie privée et des données personnelles de ses utilisateurs.

Ces contrôles ont permis de constater que le fonctionnement de « StopCovid France » respecte pour l’essentiel les dispositions applicables relatives à la protection des données à caractère personnel. En particulier, elle a estimé régulier le fait que l’adresse IP de l’équipement terminal soit utilisée par le système de sécurité dit anti DDOS (Distributed Denial of Service, ou déni de service distribué) déployé dans le cadre de l’application Stopcovid.

Lors de ses contrôles, la CNIL a toutefois constaté certains manquements aux dispositions du « RGPD » et de la loi « Informatique et Libertés » dans la première version de l’application. Concomitamment au contrôle de la CNIL, le ministère a rapidement déployé une deuxième version de l’application afin d’apporter des changements sur la manière dont les données sont traitées. À ce jour, les deux versions de l’application coexistent.

La CNIL a notamment relevé les points suivants lors de ses contrôles :

• L’historique de contacts de l’utilisateur est désormais filtré afin de ne conserver que l’historique de proximité, à savoir les utilisateurs de l’application ayant été en contact à moins d’un mètre pendant au moins 15 minutes. La CNIL demande à ce que l’utilisation de cette nouvelle version soit généralisée parmi les utilisateurs.
• L’information fournie aux utilisateurs de l’application « StopCovid France » est quasiment conforme aux exigences du « RGPD » mais devrait être complétée en ce qui concerne les destinataires de ces données, les opérations de lecture des informations présentes sur les équipements terminaux (réalisées via le recaptcha) et le droit de refuser ces opérations de lecture.
• Le contrat de sous-traitance conclu entre le ministère et INRIA  nécessite encore d’être complété, en particulier en ce qui concerne les obligations du sous-traitant.
• L’analyse d’impact relative à la protection des données réalisée par le ministère est incomplète en ce qui concerne des traitements de données réalisées à des fins de sécurité (solution anti-DDOS collectant l’adresse IP et recaptcha).

Au regard des manquements constatés, le ministère des Solidarités et de la Santé a donc été mis en demeure de mettre l’application Stopcovid en conformité dans le délai d’un mois sur ces différents points.

Il est également invité à engager dans les meilleurs délais une démarche d’évaluation du dispositif sur la contribution de l’application Stopcovid à la stratégie sanitaire globale et à rendre compte régulièrement de ses résultats à la CNIL.

© Reproduction interdite, sauf autorisation écrite préalable

► La date à prendre en compte, pour déterminer si un membre de la famille d’un regroupant familial est un « enfant mineur », est la date de présentation de la demande d’entrée et de séjour ; dès lors, le recours contre le rejet d’une demande de regroupement familial d’un enfant mineur ne peut pas être déclaré irrecevable au seul motif que l’enfant est devenu majeur au cours de la procédure juridictionnelle (CJUE, 16 juillet 2020, aff. C-133/19 N° Lexbase : A52903RD).

Faits/procédure. En 2012, un réfugié en Belgique, avait introduit des demandes d’autorisation de séjour au titre du regroupement familial pour ses trois enfants mineurs auprès de l’ambassade de Belgique à Conakry (Guinée). Ces demandes avaient été rejetées. En 2013, il avait introduit de nouvelles demandes similaires auprès de l’ambassade de Belgique à Dakar (Sénégal). En 2014, les autorités belges compétentes avaient rejeté ces demandes au motif que celles-ci étaient fondées sur des informations frauduleuses et trompeuses. Saisi de recours contre ces décisions, le Conseil du contentieux des étrangers les a déclarés irrecevables pour défaut d’intérêt à agir. En effet, selon une jurisprudence nationale constante, l’intérêt à agir doit exister au moment de l’introduction d’un recours et subsister tout au long de la procédure. En l’espèce, même en tenant compte des dates de naissance énoncées dans les demandes, les enfants concernés étaient tous devenus majeurs au jour du prononcé de la décision du Conseil du contentieux des étrangers et ne remplissaient donc plus les conditions prévues par les dispositions régissant le regroupement familial dont peuvent bénéficier les enfants mineurs. Les trois enfants concernés se sont pourvus en cassation devant le Conseil d’État. Selon eux, l’interprétation retenue par le Conseil du contentieux des étrangers, d’une part, méconnaît le principe d’effectivité du droit de l’Union, dans la mesure où elle les empêche de bénéficier du droit au regroupement familial garanti par la Directive 2003/86/CE du 22 septembre 2003, relative au droit au regroupement familial (N° Lexbase : L5269DLQ), et, d’autre part, viole le droit à un recours effectif (Charte des droits fondamentaux de l’Union européenne, art. 47 N° Lexbase : L8117ANX) . C’est dans ce contexte que le Conseil d’État a décidé d’interroger la CJUE.

Réponse de la CJUE. Celle-ci répond, en premier lieu, que la date à laquelle il convient de se référer pour déterminer si l’on est en présence d’un « enfant mineur » est celle à laquelle est présentée la demande d’entrée et de séjour aux fins du regroupement familial, et non celle à laquelle il est statué sur cette demande par les autorités compétentes de cet État membre, le cas échéant, après un recours dirigé contre la décision de rejet d’une telle demande. Elle précise que retenir la date à laquelle il est statué sur la demande pour apprécier l’âge du demandeur ne permettrait pas de garantir un traitement identique et prévisible à tous les demandeurs, et pourrait conduire à des différences importantes dans le traitement des demandes de regroupement familial entre les États membres et à l’intérieur d’un seul et même État membre. La Cour répond, en second lieu, que le recours contre le rejet d’une demande de regroupement familial d’un enfant mineur ne peut pas être jugé irrecevable au seul motif que l’enfant est devenu majeur au cours de la procédure juridictionnelle.

© Reproduction interdite, sauf autorisation écrite préalable

► L’information du placement en garde à vue d’un mineur ne peut être faite à une personne désignée à la fois comme représentant légal et comme victime présumée des faits à l’origine de la mesure. Par ailleurs, il n’appartient pas au mineur gardé à vue de désigner la personne responsable du foyer dans lequel il est placé.

Résumé des faits. Un mineur a été placé en garde à vue pour des faits de violences exercés au sein du foyer sur une jeune fille résidente du foyer et sur un éducateur. Ses droits de personne gardé à vue lui ont été notifiés et l’intéressé a désigné ce même éducateur comme étant la personne à laquelle il était confié en qualité de mineur. L’éducateur a donc été informé de la garde à vue en tant que personne ou service auquel est confié le mineur. L’intéressé a par la suite été placé sous le statut de témoin assisté.

L’avocat du mineur a saisi la chambre de l’instruction en nullité de la garde à vue.

En cause d’appel. Les juges du fond ont écarté le moyen tiré de la nullité de la garde à vue du mineur, considérant que celui-ci avait lui-même désigné son éducateur en qualité de représentant légal et que ce responsable avait effectivement été informé de la mesure. Pour les juges d’appel, la circonstance que l’éducateur avait également été entendu en qualité de victime dans la même affaire n’était pas de nature à porter atteinte aux intérêts du mineur.

Un pourvoi en cassation a été formé au bénéfice du mineur.

Moyens du pourvoi. La défense du prévenu soutien que l’information donnée à personne responsable ne pouvait être réputée avoir été valablement réalisée auprès de l’éducateur du mineur, victime présumée des faits pour lesquels le mineur faisait l’objet d’un placement en garde à vue.

Le pourvoi soutien qu’un tel procédé a nécessairement fait grief au mineur, qu’il appartenait à la chambre de l’instruction de rechercher si le ou les responsables légaux n’étaient pas en l’espèce le père ou la mère et en tout état de cause que lorsque le représentant légal se prétend victime le nécessaire doit être fait pour délivrer ladite information à un autre représentant.

Décision. La Cour de cassation casse l’arrêt de la cour d’appel au visa de l’article 4, II, de l’Ordonnance du 2 février 1945 (N° Lexbase : L4662AGR) lequel fait obligation à l’officier de police judiciaire d’avertir le représentant légal du mineur placé en garde à vue dès que le procureur de la République ou le juge chargé de l’information a été avisé de cette mesure.

À cette occasion, la Cour précise qu’il n’appartient pas au mineur de désigner la personne responsable du foyer dans lequel il est placé.

La Cour constate logiquement que l’information de la garde à vue du mineur à une personne à la fois désignée comme représentant légal et entendue en qualité de victime mélange les intérêts contraires des parties en présence.

Précisant son appréciation du grief matérialisé en l’espèce, la Cour de cassation rappelle que l’information du responsable légal du mineur a pour objet de permettre à ce dernier d’être assisté dans ses choix par une personne agissant dans son seul intérêt. Impossible alors de considérer que la victime présumée des faits puisse endosser ce rôle.

© Reproduction interdite, sauf autorisation écrite préalable