Conseil d'État
N° 498746
ECLI:FR:CECHS:2026:498746.20260707
Inédit au recueil Lebon
10ème chambre jugeant seule
Mme Rozen Noguellou, présidente
Mme Sophie Delaporte, rapporteure
Mme Charline Nicolas, rapporteure publique
FITZJEAN O COBHTHAIGH, avocats
Lecture du mardi 7 juillet 2026
Vu les procédures suivantes :
1° Sous le n° 498746, par une requête sommaire, un mémoire complémentaire et un mémoire en réplique, enregistrés le 5 novembre 2024, le 5 janvier 2025 et le 12 mars 2026 au secrétariat du contentieux du Conseil d’Etat, les associations Toutes des femmes, Inter-LGBT, AIDES, SOS Homophobie, OUTrans et Acceptess-T demandent au Conseil d’Etat :
1°) d’annuler pour excès de pouvoir la décision implicite par laquelle le ministre de l’intérieur a refusé d’abroger l’arrêté du 19 décembre 2023 portant création d’un traitement automatisé de données à caractère personnel dénommé « table de correspondance des noms et prénoms » ;
2°) d’enjoindre au ministre de l’intérieur d’abroger cet arrêté, dans un délai de sept jours et sous astreinte de 5 000 euros par jour de retard ;
3°) à titre subsidiaire, de saisir la Cour de justice de l’Union européenne de plusieurs questions préjudicielles ;
4°) de mettre à la charge de l’Etat la somme de 6 000 euros au titre de l’article L. 761-1 du code de justice administrative.
Elles soutiennent que la décision attaquée, qui est irrégulière faute d’être motivée, a été prise en violation des dispositions de l’article L. 243-2 du code des relations entre le public et l’administration en ce que l’arrêté du 19 décembre 2023 qu’elle refuse d’abroger :
- méconnaît les dispositions de l’article 6 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés et de l’article 9 du règlement général sur la protection des données (RGPD), dès lors que l’arrêté litigieux a pour objet et pour effet de collecter et de traiter des données à caractère personnel relevant des catégories particulières de données au sens de ces dispositions, communément appelées « données sensibles », sans que les conditions imposées par ces dispositions soient respectées ;
- méconnaît les stipulations de l’article 2 du Traité sur l’Union européenne et des articles 7, 8, 21 et 51 (§ 1er) de la Charte des droits fondamentaux de l’Union européenne, ainsi que les dispositions de l’article 5 du RGPD ;
- méconnaît les dispositions du 1° de l’article 4 et de l’article 5 de la loi du 6 janvier 1978 ainsi que celles de l’article 5 du RGPD, notamment le a) du 1er paragraphe, et de l’article 6, dès lors que le traitement litigieux est illicite en ce qu’il n’est fondé sur aucune des « bases juridiques » visées à l’article 5 de la loi ;
- méconnaît les dispositions des 2° et 3° de l’article 4 de la loi du 6 janvier 1978 ainsi que celles du b) et c) du 1er paragraphe de l’article 5 et celles du a) du 2ème paragraphe de l’article 23 du RGPD, dès lors que les finalités assignées au traitement par l’article 1er de l’arrêté sont insuffisamment déterminées et explicites ;
- méconnaît les dispositions des 3° et 5° de l’article 4 de la loi du 6 janvier 1978 ainsi que celles des c) et e) du 1er paragraphe de l’article 5 du RGPD ainsi que les stipulations de l’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, dès lors que le champ des données concernées, leur durée de conservation, ainsi que le périmètre des personnes autorisées à accéder à ces données excèdent ce qui est nécessaire à la poursuite des finalités assignées à ce traitement ;
- a été pris sur le fondement et en application du 4° du J de l’article 2 du décret n° 2019-341 du 19 avril 2019 alors que ces dispositions violent le 3° de l’article 4 de la loi du 6 janvier 1978, le c) du 1 de l’article 5 du RGPD et le principe de minimisation des données, ainsi que les stipulations de l’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales ;
- méconnaît les dispositions de l’article 5 du RGPD, notamment le f) de son 1er paragraphe, et de ses articles 24, 25, 32 (§2) et 79 , ainsi que les stipulations des articles 6, 8 et 13 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, dès lors que les informations relatives aux opérations de consultation et de communication de ce traitement ne sont conservées que pendant un délai de 3 ans ;
- méconnaît les dispositions de l’article 56 de la loi du 6 janvier 1978 et celles des articles 21 et 23 du RGPD, ainsi que les stipulations de l’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, en ce que le I de son article 5 prévoit une dérogation au droit d’opposition ;
- méconnaît les stipulations de l’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, dès lors que ses dispositions engendrent une ingérence dans le droit au respect de la vie privée et familiale qui n’est pas prévue par la loi au sens de ces stipulations et qui n’est pas nécessaire dans une société démocratique ;
- méconnaît les dispositions du 5° de l’article 5 de la loi du 6 janvier 1978 et celles du e) de l’article 6 du RGPD, ainsi que les stipulations de l’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, en ce qu’il ne fait pas état d’une mission d’intérêt public suffisamment précise et définie à laquelle le traitement en litige serait susceptible de se rattacher.
2° Sous le n° 498747, par une requête sommaire, un mémoire complémentaire et un mémoire en réplique, enregistrés le 5 novembre 2024, le 5 janvier 2025 et le 12 mars 2026 au secrétariat du contentieux du Conseil d’Etat, les associations Toutes des femmes, Inter-LGBT, AIDES, SOS Homophobie, OUTrans et Acceptess-T demandent au Conseil d’Etat :
1°) d’annuler pour excès de pouvoir la décision implicite par laquelle le Premier ministre a refusé d’abroger le 4° du J de l’article 2 du décret n° 2019-341 du 19 avril 2019 relatif à la mise en œuvre de traitements comportant l'usage du numéro d'inscription au répertoire national d'identification des personnes physiques ou nécessitant la consultation de ce répertoire, issu du décret n° 2023-971 du 20 octobre 2023 ;
2°) d’enjoindre au Premier ministre d’abroger ces dispositions, dans un délai de sept jours et sous astreinte de 5 000 euros par jour de retard ;
3°) de mettre à la charge de l’Etat la somme de 6 000 euros au titre de l’article L. 761-1 du code de justice administrative.
Elles soutiennent que décision attaquée, qui est irrégulière faute d’être motivée, a été prise en violation des dispositions de l’article L. 243-2 du code des relations entre le public et l’administration en ce qu’elle :
- méconnaît les dispositions du 1° de l’article 4 et de l’article 5 de la loi du 6 janvier 1978, ainsi que celles de l’article 5 du RGPD, notamment le a) du 1er paragraphe, et de l’article 6, dès lors que le traitement litigieux est illicite en ce qu’il n’est fondé sur aucune des bases juridiques visées à l’article 5 de la loi ;
- méconnaît les dispositions des 2° et 3° de l’article 4 de la loi du 6 janvier 1978 ainsi que celles du b) et c) du 1er paragraphe de l’article 5 et celles du a) du 2ème paragraphe de l’article 23 du RGPD, dès lors que les finalités assignées au traitement par l’article 1er de l’arrêté sont insuffisamment déterminées et explicites ;
- prévoit un accès aux données en litige qui n’est ni nécessaire, ni même utile ;
- méconnaît les stipulations de l’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales dès lors que ses dispositions engendrent une ingérence dans le droit au respect de la vie privée et familiale qui n’est pas prévue par la loi au sens de ces stipulations et qui n’est pas nécessaire dans une société démocratique.
Par un mémoire en défense, enregistré le 16 octobre 2025, le ministre de l’intérieur conclut au rejet des deux requêtes. Il soutient que les moyens soulevés par les associations ne sont pas fondés.
Vu les autres pièces des dossiers ;
Vu :
- la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales ;
- le Traité sur l’Union européenne ;
- la Charte des droits fondamentaux de l’Union européenne ;
- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
- le code civil ;
- le code pénal ;
- le code de procédure pénale ;
- le code des relations entre le public et l’administration ;
- la loi n° 78-17 du 6 janvier 1978 ;
- le décret n° 2019-341 du 19 avril 2019 ;
- le décret n° 2023-971 du 20 octobre 2023 ;
- le code de justice administrative ;
Après avoir entendu en séance publique :
- le rapport de Mme Sophie Delaporte, conseillère d'Etat,
- les conclusions de Mme Charline Nicolas, rapporteure publique ;
Considérant ce qui suit :
1. L’arrêté litigieux du 19 décembre 2023 du ministre de l’intérieur et des outre-mer a été pris en application des dispositions du 4° du J de l’article 2 du décret du 19 avril 2019 relatif à la mise en œuvre de traitements comportant l'usage du numéro d'inscription au répertoire national d'identification des personnes physiques (RNIPP) ou nécessitant la consultation de ce répertoire, introduites par le décret n° 2023-971 du 20 octobre 2023. Il crée un traitement automatisé de données à caractère personnel dénommé « table de correspondance des noms et prénoms » ayant pour finalités la consultation de l’identité des personnes ayant changé de nom ou de prénom en application des articles 60, 61 et 61-3-1 du code civil, à l’exclusion du numéro d’inscription au RNIPP, et la mise à jour de cette identité dans les traitements de données à caractère personnel que le ministère de l’intérieur ou les établissements publics qui lui sont rattachés mettent en œuvre. Placé sous la responsabilité du ministère de l’intérieur, il est alimenté par l’extraction du RNIPP, relevant de l’Institut national de la statistique et des études économiques (INSEE). Il porte sur huit catégories de données à caractère personnel et d’informations relatives au nom de famille, aux prénoms, à la date et au lieu de naissance, à la date du changement de nom et prénom, au sexe et, le cas échéant, à la filiation. Par deux requêtes, qui présentent à juger des questions semblables et qu’il y a lieu de joindre, les associations requérantes demandent l’annulation pour excès de pouvoir des décisions implicites par lesquelles le Premier ministre et le ministre de l’intérieur ont refusé d’abroger, l’un, les dispositions du 4° du J de l’article 2 du décret du 19 avril 2019 et l’autre, l’arrêté du 19 décembre 2023 précités.
2. L'autorité compétente, saisie d'une demande tendant à l'abrogation d'un règlement illégal, est tenue d'y déférer, soit que ce règlement ait été illégal dès la date de sa signature, soit que l'illégalité résulte de circonstances de droit ou de fait postérieures à cette date. De même, lorsqu'elle est saisie d'une demande tendant à la réformation d'un règlement illégal, l'autorité compétente est tenue d'y substituer des dispositions de nature à mettre fin à cette illégalité.
3. Aux termes de l’article 2 du décret du 19 avril 2019 relatif à la mise en œuvre de traitements comportant l'usage du numéro d'inscription au répertoire national d'identification des personnes physiques ou nécessitant la consultation de ce répertoire : « Pour la mise en œuvre de l'article 30 de la loi du 6 janvier 1978 susvisée, les finalités et les catégories de responsables de traitement sont celles énumérées ci-après : (…) / J. ‒ Autres champs : / (…) / 4° Pour la consultation des seules informations relatives à l'identité des personnes ayant changé de nom ou de prénom en application des articles 60,61 et 61-3-1 du code civil, à l'exclusion du numéro d'inscription des personnes au répertoire national d'identification des personnes physiques, aux fins de transmission ou de mise à disposition de ces informations aux services compétents du ministère de l'intérieur et des établissements qui lui sont rattachés et de mise à jour de cette identité dans les traitements de données à caractère personnel mis en œuvre par eux : le service compétent désigné par le ministère de l'intérieur ».
4. Aux termes de l’article 1er de l’arrêté du 19 décembre 2023 portant création d’un traitement automatisé de données à caractère personnel dénommé « table de correspondance des noms et prénoms » : « Le ministre de l’intérieur (secrétariat général) met en œuvre un traitement automatisé de données à caractère personnel, dénommé « table de correspondance des noms et prénoms », ayant pour finalités la consultation de l’identité des personnes ayant changé de nom ou de prénom en application des articles 60, 61 et 61-3-1 du code civil et la mise à jour de cette identité dans les traitements de données à caractère personnel que lui-même ou les établissements publics qui lui sont rattachés mettent en œuvre ».
Sur la légalité externe :
5. Les décisions par lesquelles le Premier ministre et le ministre de l’intérieur ont refusé d’abroger respectivement les dispositions du 4° du J de l’article 2 du décret du 19 avril 2019 et l’arrêté du 19 décembre 2023, cités aux points 2 et 3, ont un caractère réglementaire. Ni les dispositions des articles L. 211-2 et L. 211-3 du code des relations entre le public et l’administration, qui s’appliquent aux décisions individuelles, ni aucune autre disposition, ni aucun principe n’imposaient leur motivation. Par suite, le moyen tiré de ce que ces décisions seraient illégales du fait qu’elles ne sont pas motivées, ne peut qu’être écarté.
Sur la légalité interne :
En ce qui concerne la licéité du traitement :
6. En vertu du 1° de l’article 4 de la loi du 6 janvier 1978 qui reprend les dispositions du a) du 1 de l’article 5 du RGPD, les données à caractère personnel doivent être traitées de manière licite. En vertu du 5° de l’article 5 de la même loi, qui repend les termes du e) de l’article 6 du RGPD, un traitement de données à caractère personnel est licite s’il est nécessaire à l'exécution d'une mission d'intérêt public.
7. Il ressort des pièces du dossier que le traitement en litige a été créé à la suite de l’entrée en vigueur des dispositions de la loi du 2 mars 2022 relative au choix du nom issu de la filiation qui a introduit l’article 61-3-1 du code civil offrant une procédure simplifiée de changement de nom, sans préjudice de celle prévue par l’article 61 et ni de celle, également maintenue, de l’article 60 relative au changement de prénoms. Le ministre de l’intérieur soutient, sans être sérieusement contredit, que cette réforme ayant suscité une forte augmentation des changements d’identité dont la retranscription ne figure que dans les registres d’état civil, les procédures traditionnelles de mise à jour des fichiers dont il a la charge ne sont plus adaptées. Il fait également valoir qu’en l’absence de la « table de correspondance des noms et prénoms », les données à caractère personnel d’identité des personnes concernées contenues dans les fichiers que ses services ou ceux des établissements publics qui lui sont rattachés mettent en œuvre, ne reposent plus sur une information exacte, fiable et tenue à jour, portant ainsi atteinte au bon exercice des missions de sécurité publique et de sûreté qui leur incombent, et ce, alors qu’il est notamment avéré que la procédure simplifiée de changement de nom est parfois détournée par des individus cherchant à échapper à une identification, à une surveillance ou à des poursuites. La circonstance que le casier judiciaire national, traitement géré par le ministère de la justice, soit déjà destinataire d’une communication mensuelle par l’INSEE des données mises à jour dans le RNIPP, est, par ailleurs, sans incidence sur le besoin du ministère de l’intérieur de consulter ces données afin de mettre à jour les traitements qui relèvent de sa responsabilité.
8. Il résulte de ce qui précède que le traitement en litige est nécessaire à l'exécution d'une mission d'intérêt public. Par suite, il n’est pas, contrairement à ce qui est soutenu, privé de fondement légal au regard des dispositions de l’article 5 de la loi du 6 janvier 1978 ou de l’article 6 du RGPD mentionnées au point 6. En outre, contrairement à ce qui est allégué, aucune disposition applicable, ni aucun principe n’imposait au décret et à l’arrêté dont l’abrogation a été refusée, de préciser la condition justifiant sa licéité. Par suite, les associations ne sont pas fondées à soutenir que la mission d’intérêt public n’a pas été définie de manière suffisamment précise dans les dispositions qui sont l’objet du refus d’abrogation.
En ce qui concerne le principe de limitation des finalités :
9. En vertu du 2° de l’article 4 de la loi du 6 janvier 1978 qui reprend les dispositions du b) du 1 de l’article 5 du RGPD, les données à caractère personnel sont collectées pour des finalités déterminées, explicites et légitimes.
10. Compte tenu de la double finalité de consultation et de mise à jour du traitement dénommé « table de correspondance des noms et prénoms » mis en place par l’arrêté du 19 décembre 2023 en application des dispositions du 4° du J de l’article 2 du décret du 19 avril 2019 mentionnées au point 3, l’article 2 de cet arrêté énonce de manière exhaustive huit catégories de données à caractère personnel et d’informations pouvant être enregistrées dans le traitement. portant sur le nom de famille antérieur au changement de nom et celui postérieur au changement de nom, les prénoms antérieurs et ceux postérieurs au changement de prénoms, la date et le lieu de naissance, la date du changement de nom et prénom, le sexe et, le cas échéant, la filiation, ainsi que la mise à jour de ces données dans les traitements relevant du ministère et des établissements publics qui lui sont rattachés. Par suite, les associations requérantes ne sont pas fondées à soutenir que les données à caractère personnel ne sont pas collectées pour des finalités déterminées et explicites. En outre, aucune disposition, ni aucun principe, n’imposait que les textes réglementaires qui encadrent l’usage du traitement dressent une liste exhaustive des motifs de consultation de la table de correspondance ou des fichiers susceptibles d’être mis à jour à partir de cette consultation. Par suite, le moyen tiré de la méconnaissance du principe de limitation des finalités énoncé par les dispositions mentionnées au point précédent ne peut qu’être écarté.
En ce qui concerne le principe de minimisation des données :
11. En vertu du principe de minimisation des données posé par le c du paragraphe 1 de l’article 5 du RGPD, repris en substance au 3° de l’article 4 de la loi du 6 janvier 1978, les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées.
12. Pour répondre aux finalités elles-mêmes circonscrites du traitement en litige, huit catégories de données à caractère personnel et d’informations, rappelées au point 10, peuvent être enregistrées dans la « table de correspondance des noms et prénoms ». Seules celles relatives au nom de famille et aux prénoms mentionnent les données antérieures et postérieures au changement opéré, tandis que s’agissant de la donnée relative au sexe, seul le dernier état de la donnée est enregistré. La donnée relative à la filiation n’est recueillie qu’en cas de risque d’homonymie. Il en résulte que les données ainsi collectées sont adéquates, pertinentes et limitées à ce qui est nécessaire pour identifier de manière exacte et suffisante une personne physique, compte tenu de son changement de nom ou prénom. Par suite, le moyen tiré de la méconnaissance du principe de minimisation des données, ne peut qu’être écarté.
En ce qui concerne la durée de conservation des données collectées :
13. En vertu du principe dit de « limitation de la conservation » mentionné au 5° de l’article 4 de la loi du 6 juillet 1978, qui reprend ce qui est dit au e) du paragraphe 1 de l’article 5 du RGPD, les données à caractère personnel collectées doivent être conservées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées. Il ressort des pièces du dossier que la durée de six ans de conservation des données collectées, retenue par l’article 3 de l’arrêté attaqué, est justifiée par la finalité de mise à jour des traitements relevant du ministère de l’intérieur et des établissements qui lui sont rattachés compte tenu notamment du caractère manuel de cette opération, dans l’attente de la mise en place d’une procédure de mise à jour automatisée. Par suite, une telle durée n’excédant pas celle nécessaire à cette finalité, le moyen tiré de ce que l’arrêté méconnaîtrait sur ce point les dispositions précitées doit être écarté.
En ce qui concerne le nombre des accédants :
14. Aux termes de l’article 4 de la loi du 6 janvier 1978 : « Les données à caractère personnel doivent être : / (…) / 6° Traitées de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite (…), ou l'accès par des personnes non autorisées, à l'aide de mesures techniques ou organisationnelles appropriées ».
15. L’article 4 de l’arrêté litigieux prévoit que peuvent avoir accès à tout ou partie des données du traitement, à raison de leurs attributions et dans la limite du besoin d’en connaître, huit catégories d’agents relevant de différents services du ministère de l’intérieur ou d’établissements dont celui-ci assure la tutelle. Ce nombre est justifié par le besoin important de mise à jour des traitements relevant du ministère. La détermination d’une pluralité d’accédants au traitement est cohérente avec la finalité de mise à disposition de ces informations aux services compétents prévue par le 4° du J de l’article 2 du décret du 19 avril 2019. Le moyen tiré de ce que le nombre d’accédant excèderait les finalités du traitement et le régime prévu par ces dispositions du décret ne peut donc qu’être écarté.
En ce qui concerne le caractère sensible des données :
16. Aux termes de l’article 6 de la loi du 6 janvier 1978 : « I.- Il est interdit de traiter des données à caractère personnel qui révèlent la prétendue origine raciale ou l'origine ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale d'une personne physique ou de traiter des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique. / II.- Les exceptions à l'interdiction mentionnée au I sont fixées dans les conditions prévues par le 2 de l'article 9 du règlement (UE) 2016/679 du 27 avril 2016 et par la présente loi. / III.- De même, ne sont pas soumis à l'interdiction prévue au I les traitements, automatisés ou non, justifiés par l'intérêt public et autorisés suivant les modalités prévues au II de l'article 31 et à l'article 32 ». Aux termes de l’article 9 du RGPD : « 1. Le traitement des données à caractère personnel qui révèle l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique sont interdits. / 2. Le paragraphe 1 ne s'applique pas si l'une des conditions suivantes est remplie : / (…) / g) le traitement est nécessaire pour des motifs d’intérêt public important, sur la base du droit de l’Union ou du droit d’un État membre qui doit être proportionné à l’objectif poursuivi, respecter l’essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée ; / (…) ».
17. Il ne ressort pas des pièces du dossier que, par elles-mêmes ou au terme d’une opération intellectuelle de déduction ou de recoupement, notamment par le rapprochement des données relatives aux changements de nom ou de prénoms de celles relative au sexe, les huit catégories de données rappelées au point 10 enregistrées dans le traitement en litige, même si elles permettent de révéler une modification de genre, seraient susceptibles de révéler la vie ou l’orientation sexuelles des personnes concernées ou des données relatives à leur santé. Par suite, en l’absence de tout doute raisonnable quant à l’application correcte des dispositions l’article 9 du RGPD, et sans qu’il y ait lieu de saisir la Cour de justice de l’Union européenne à titre préjudiciel d’une question portant sur l’interprétation des dispositions du droit de l’Union en cause dans la présente affaire, le moyen tiré de ce que les données collectées présentent un caractère sensible au sens de l’article 9 du RGPD ne peut qu’être écarté.
En ce qui concerne la suppression du droit d’opposition :
18. L’article 56 de la loi du 6 janvier 1978, qui renvoie à l’article 21 du RGPD, prévoit que le droit d'opposition ne s'applique pas lorsque le traitement répond à une obligation légale ou, dans les conditions prévues à l'article 23 du même règlement, lorsque l'application de ces dispositions a été écartée par une disposition expresse de l'acte instaurant le traitement. Le 1 de l’article 23 du RGPD autorise les autorités nationales à limiter la portée du droit d’opposition « lorsqu’une telle limitation respecte l’essence des libertés et droits fondamentaux et qu’elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir : (…)/ c) la sécurité publique ; / (…) / e) d'autres objectifs importants d'intérêt public général (…) d'un État membre (…) / d) (…) la protection contre les menaces pour la sécurité publique et la prévention de telles menaces ; / (…) / i) la protection de la personne concernée ou des droits et libertés d’autrui ; / (…) ». Il résulte de ces dispositions que l’acte réglementaire autorisant la mise en œuvre d’un traitement de données à caractère personnel ou précisant les modalités d’un traitement de données à caractère personnel créé par la loi peut comporter une disposition expresse excluant l’exercice du droit d’opposition dès lors que cette exclusion est nécessaire et, eu égard notamment à la nature des données, aux finalités poursuivies et aux garanties prévues, proportionnée pour atteindre ces objectifs.
19. Compte tenu de l’objectif d’intérêt public général qui vise à sécuriser l’usage de chacun des traitements relevant du ministère de l’intérieur et des établissements publics qui lui sont rattachés eu égard à leurs finalités propres, par l’usage de données d’identité sûres et actualisées, la restriction du droit d’opposition prévue par l’article 5 de l’arrêté du 19 décembre 2023 constitue une mesure nécessaire et proportionnée destinée à garantir les objectifs mentionnés au point précédent. Par suite, le moyen tiré du caractère injustifié de cette limitation du droit d’opposition ne peut qu’être écarté.
En ce qui concerne la durée de conservation des données de journalisation :
20. D’une part, en vertu des articles 24 et 30 du RGPD, chaque responsable de traitement met en œuvre des mesures techniques et organisationnelles appropriées pour s'assurer et être en mesure de démontrer que le traitement est effectué conformément au règlement et fait tenir un registre des activités de traitement effectuées.
21. L’article 6 de l’arrêté litigieux prévoit que les opérations de collecte, de modification, de consultation, de communication et d’effacement des données font l’objet d’un enregistrement conservé pendant un délai de trois ans, tandis que l’article 3 retient une durée de conservation des données collectées de six ans. Eu égard à l’objet du dispositif dit de « journalisation », qui est de permettre des opérations de contrôle, notamment par le responsable de traitement, afin de vérifier, au fil de l’eau ou à une brève échéance, le respect des obligations prévues par le RGPD et en l’absence de principe du droit de la protection des données interdisant de conserver les informations relatives aux opérations de traitement des données pendant une durée plus courte que celle relative à la conservation des données elles-mêmes, eu égard à leur finalité respective, la durée de conservation des informations de « journalisation » n’apparaît ni insuffisante, ni excessive.
22. D’autre part, la circonstance que la durée de conservation de ces données soit inférieure au délai de prescription de droit commun de délits pénaux susceptibles d’être révélés par ces données n’est pas, par elle-même, de nature à empêcher la répression du délit prévu et réprimé par l’article 226-21 du code pénal susceptible d’être commis par toute personne détentrice de données à caractère personnel. Par suite, les associations requérantes ne sont pas fondées à soutenir que l’arrêté litigieux méconnaîtrait le droit à un recours juridictionnel effectif garanti par les articles 6 et 13 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales.
23. Il résulte de ce qui a été dit aux points 20 à 22 que le moyen tiré du caractère illégal de la durée de trois ans retenue par l’article 6 de l’arrêté ne peut qu’être écarté.
En ce qui concerne la violation de l’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales :
24. Si la collecte, la conservation et le traitement, par le ministère de l’intérieur et les établissements qui lui sont rattachés, des informations personnelles nominatives contenues dans le traitement dénommé « table de correspondance des noms et prénoms », sont de nature à constituer une ingérence dans la vie privée des personnes concernées, il résulte de ce qui a été dit aux points 7, 8 et 10 que cette ingérence répond à des finalités légitimes. Il ressort également des pièces du dossier et des dispositions du décret et de l’arrêté dont l’abrogation a été refusée, que le choix, la collecte et le traitement de ces données doivent être effectués de manière adéquate et proportionnée au regard des finalités mentionnées. Il résulte également de qui a été dit aux points précédents que ces dispositions ne méconnaissent pas les dispositions du RGPD. Par suite, les associations requérantes ne sont pas fondées à soutenir que l’arrêté méconnaîtrait les stipulations de l’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales.
25. Il résulte de tout ce qui précède que les conclusions des associations requérantes doivent être rejetées, y compris celles présentées au titre de l’article L. 761-1 du code de justice administrative.
D E C I D E :
--------------
Article 1er : Les requêtes des associations Toutes des femmes et autres sont rejetées.
Article 2 : La présente décision sera notifiée à l’association Toutes des femmes, première dénommée pour l’ensemble des requérantes, au Premier ministre et au ministre de l’intérieur.
Délibéré à l'issue de la séance du 9 juin 2026 où siégeaient : Mme Rozen Noguellou, assesseure, présidant ; M. Olivier Yeznikian, conseiller d'Etat et Mme Sophie Delaporte, conseillère d'Etat-rapporteure.
Rendu le 7 juillet 2026.
La présidente :
Signé : Mme Rozen Noguellou,
La rapporteure :
Signé : Mme Sophie Delaporte
La secrétaire :
Signé : Mme Marie-Léandre Monnerville
La République mande et ordonne au Premier ministre en ce qui le concerne ou à tous commissaires de justice à ce requis en ce qui concerne les voies de droit commun contre les parties privées, de pourvoir à l’exécution de la présente décision.
Pour expédition conforme,
Pour la secrétaire du contentieux, par délégation :
N° 498746
ECLI:FR:CECHS:2026:498746.20260707
Inédit au recueil Lebon
10ème chambre jugeant seule
Mme Rozen Noguellou, présidente
Mme Sophie Delaporte, rapporteure
Mme Charline Nicolas, rapporteure publique
FITZJEAN O COBHTHAIGH, avocats
Lecture du mardi 7 juillet 2026
REPUBLIQUE FRANCAISE
AU NOM DU PEUPLE FRANCAIS
AU NOM DU PEUPLE FRANCAIS
Vu les procédures suivantes :
1° Sous le n° 498746, par une requête sommaire, un mémoire complémentaire et un mémoire en réplique, enregistrés le 5 novembre 2024, le 5 janvier 2025 et le 12 mars 2026 au secrétariat du contentieux du Conseil d’Etat, les associations Toutes des femmes, Inter-LGBT, AIDES, SOS Homophobie, OUTrans et Acceptess-T demandent au Conseil d’Etat :
1°) d’annuler pour excès de pouvoir la décision implicite par laquelle le ministre de l’intérieur a refusé d’abroger l’arrêté du 19 décembre 2023 portant création d’un traitement automatisé de données à caractère personnel dénommé « table de correspondance des noms et prénoms » ;
2°) d’enjoindre au ministre de l’intérieur d’abroger cet arrêté, dans un délai de sept jours et sous astreinte de 5 000 euros par jour de retard ;
3°) à titre subsidiaire, de saisir la Cour de justice de l’Union européenne de plusieurs questions préjudicielles ;
4°) de mettre à la charge de l’Etat la somme de 6 000 euros au titre de l’article L. 761-1 du code de justice administrative.
Elles soutiennent que la décision attaquée, qui est irrégulière faute d’être motivée, a été prise en violation des dispositions de l’article L. 243-2 du code des relations entre le public et l’administration en ce que l’arrêté du 19 décembre 2023 qu’elle refuse d’abroger :
- méconnaît les dispositions de l’article 6 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés et de l’article 9 du règlement général sur la protection des données (RGPD), dès lors que l’arrêté litigieux a pour objet et pour effet de collecter et de traiter des données à caractère personnel relevant des catégories particulières de données au sens de ces dispositions, communément appelées « données sensibles », sans que les conditions imposées par ces dispositions soient respectées ;
- méconnaît les stipulations de l’article 2 du Traité sur l’Union européenne et des articles 7, 8, 21 et 51 (§ 1er) de la Charte des droits fondamentaux de l’Union européenne, ainsi que les dispositions de l’article 5 du RGPD ;
- méconnaît les dispositions du 1° de l’article 4 et de l’article 5 de la loi du 6 janvier 1978 ainsi que celles de l’article 5 du RGPD, notamment le a) du 1er paragraphe, et de l’article 6, dès lors que le traitement litigieux est illicite en ce qu’il n’est fondé sur aucune des « bases juridiques » visées à l’article 5 de la loi ;
- méconnaît les dispositions des 2° et 3° de l’article 4 de la loi du 6 janvier 1978 ainsi que celles du b) et c) du 1er paragraphe de l’article 5 et celles du a) du 2ème paragraphe de l’article 23 du RGPD, dès lors que les finalités assignées au traitement par l’article 1er de l’arrêté sont insuffisamment déterminées et explicites ;
- méconnaît les dispositions des 3° et 5° de l’article 4 de la loi du 6 janvier 1978 ainsi que celles des c) et e) du 1er paragraphe de l’article 5 du RGPD ainsi que les stipulations de l’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, dès lors que le champ des données concernées, leur durée de conservation, ainsi que le périmètre des personnes autorisées à accéder à ces données excèdent ce qui est nécessaire à la poursuite des finalités assignées à ce traitement ;
- a été pris sur le fondement et en application du 4° du J de l’article 2 du décret n° 2019-341 du 19 avril 2019 alors que ces dispositions violent le 3° de l’article 4 de la loi du 6 janvier 1978, le c) du 1 de l’article 5 du RGPD et le principe de minimisation des données, ainsi que les stipulations de l’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales ;
- méconnaît les dispositions de l’article 5 du RGPD, notamment le f) de son 1er paragraphe, et de ses articles 24, 25, 32 (§2) et 79 , ainsi que les stipulations des articles 6, 8 et 13 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, dès lors que les informations relatives aux opérations de consultation et de communication de ce traitement ne sont conservées que pendant un délai de 3 ans ;
- méconnaît les dispositions de l’article 56 de la loi du 6 janvier 1978 et celles des articles 21 et 23 du RGPD, ainsi que les stipulations de l’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, en ce que le I de son article 5 prévoit une dérogation au droit d’opposition ;
- méconnaît les stipulations de l’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, dès lors que ses dispositions engendrent une ingérence dans le droit au respect de la vie privée et familiale qui n’est pas prévue par la loi au sens de ces stipulations et qui n’est pas nécessaire dans une société démocratique ;
- méconnaît les dispositions du 5° de l’article 5 de la loi du 6 janvier 1978 et celles du e) de l’article 6 du RGPD, ainsi que les stipulations de l’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, en ce qu’il ne fait pas état d’une mission d’intérêt public suffisamment précise et définie à laquelle le traitement en litige serait susceptible de se rattacher.
2° Sous le n° 498747, par une requête sommaire, un mémoire complémentaire et un mémoire en réplique, enregistrés le 5 novembre 2024, le 5 janvier 2025 et le 12 mars 2026 au secrétariat du contentieux du Conseil d’Etat, les associations Toutes des femmes, Inter-LGBT, AIDES, SOS Homophobie, OUTrans et Acceptess-T demandent au Conseil d’Etat :
1°) d’annuler pour excès de pouvoir la décision implicite par laquelle le Premier ministre a refusé d’abroger le 4° du J de l’article 2 du décret n° 2019-341 du 19 avril 2019 relatif à la mise en œuvre de traitements comportant l'usage du numéro d'inscription au répertoire national d'identification des personnes physiques ou nécessitant la consultation de ce répertoire, issu du décret n° 2023-971 du 20 octobre 2023 ;
2°) d’enjoindre au Premier ministre d’abroger ces dispositions, dans un délai de sept jours et sous astreinte de 5 000 euros par jour de retard ;
3°) de mettre à la charge de l’Etat la somme de 6 000 euros au titre de l’article L. 761-1 du code de justice administrative.
Elles soutiennent que décision attaquée, qui est irrégulière faute d’être motivée, a été prise en violation des dispositions de l’article L. 243-2 du code des relations entre le public et l’administration en ce qu’elle :
- méconnaît les dispositions du 1° de l’article 4 et de l’article 5 de la loi du 6 janvier 1978, ainsi que celles de l’article 5 du RGPD, notamment le a) du 1er paragraphe, et de l’article 6, dès lors que le traitement litigieux est illicite en ce qu’il n’est fondé sur aucune des bases juridiques visées à l’article 5 de la loi ;
- méconnaît les dispositions des 2° et 3° de l’article 4 de la loi du 6 janvier 1978 ainsi que celles du b) et c) du 1er paragraphe de l’article 5 et celles du a) du 2ème paragraphe de l’article 23 du RGPD, dès lors que les finalités assignées au traitement par l’article 1er de l’arrêté sont insuffisamment déterminées et explicites ;
- prévoit un accès aux données en litige qui n’est ni nécessaire, ni même utile ;
- méconnaît les stipulations de l’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales dès lors que ses dispositions engendrent une ingérence dans le droit au respect de la vie privée et familiale qui n’est pas prévue par la loi au sens de ces stipulations et qui n’est pas nécessaire dans une société démocratique.
Par un mémoire en défense, enregistré le 16 octobre 2025, le ministre de l’intérieur conclut au rejet des deux requêtes. Il soutient que les moyens soulevés par les associations ne sont pas fondés.
Vu les autres pièces des dossiers ;
Vu :
- la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales ;
- le Traité sur l’Union européenne ;
- la Charte des droits fondamentaux de l’Union européenne ;
- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
- le code civil ;
- le code pénal ;
- le code de procédure pénale ;
- le code des relations entre le public et l’administration ;
- la loi n° 78-17 du 6 janvier 1978 ;
- le décret n° 2019-341 du 19 avril 2019 ;
- le décret n° 2023-971 du 20 octobre 2023 ;
- le code de justice administrative ;
Après avoir entendu en séance publique :
- le rapport de Mme Sophie Delaporte, conseillère d'Etat,
- les conclusions de Mme Charline Nicolas, rapporteure publique ;
Considérant ce qui suit :
1. L’arrêté litigieux du 19 décembre 2023 du ministre de l’intérieur et des outre-mer a été pris en application des dispositions du 4° du J de l’article 2 du décret du 19 avril 2019 relatif à la mise en œuvre de traitements comportant l'usage du numéro d'inscription au répertoire national d'identification des personnes physiques (RNIPP) ou nécessitant la consultation de ce répertoire, introduites par le décret n° 2023-971 du 20 octobre 2023. Il crée un traitement automatisé de données à caractère personnel dénommé « table de correspondance des noms et prénoms » ayant pour finalités la consultation de l’identité des personnes ayant changé de nom ou de prénom en application des articles 60, 61 et 61-3-1 du code civil, à l’exclusion du numéro d’inscription au RNIPP, et la mise à jour de cette identité dans les traitements de données à caractère personnel que le ministère de l’intérieur ou les établissements publics qui lui sont rattachés mettent en œuvre. Placé sous la responsabilité du ministère de l’intérieur, il est alimenté par l’extraction du RNIPP, relevant de l’Institut national de la statistique et des études économiques (INSEE). Il porte sur huit catégories de données à caractère personnel et d’informations relatives au nom de famille, aux prénoms, à la date et au lieu de naissance, à la date du changement de nom et prénom, au sexe et, le cas échéant, à la filiation. Par deux requêtes, qui présentent à juger des questions semblables et qu’il y a lieu de joindre, les associations requérantes demandent l’annulation pour excès de pouvoir des décisions implicites par lesquelles le Premier ministre et le ministre de l’intérieur ont refusé d’abroger, l’un, les dispositions du 4° du J de l’article 2 du décret du 19 avril 2019 et l’autre, l’arrêté du 19 décembre 2023 précités.
2. L'autorité compétente, saisie d'une demande tendant à l'abrogation d'un règlement illégal, est tenue d'y déférer, soit que ce règlement ait été illégal dès la date de sa signature, soit que l'illégalité résulte de circonstances de droit ou de fait postérieures à cette date. De même, lorsqu'elle est saisie d'une demande tendant à la réformation d'un règlement illégal, l'autorité compétente est tenue d'y substituer des dispositions de nature à mettre fin à cette illégalité.
3. Aux termes de l’article 2 du décret du 19 avril 2019 relatif à la mise en œuvre de traitements comportant l'usage du numéro d'inscription au répertoire national d'identification des personnes physiques ou nécessitant la consultation de ce répertoire : « Pour la mise en œuvre de l'article 30 de la loi du 6 janvier 1978 susvisée, les finalités et les catégories de responsables de traitement sont celles énumérées ci-après : (…) / J. ‒ Autres champs : / (…) / 4° Pour la consultation des seules informations relatives à l'identité des personnes ayant changé de nom ou de prénom en application des articles 60,61 et 61-3-1 du code civil, à l'exclusion du numéro d'inscription des personnes au répertoire national d'identification des personnes physiques, aux fins de transmission ou de mise à disposition de ces informations aux services compétents du ministère de l'intérieur et des établissements qui lui sont rattachés et de mise à jour de cette identité dans les traitements de données à caractère personnel mis en œuvre par eux : le service compétent désigné par le ministère de l'intérieur ».
4. Aux termes de l’article 1er de l’arrêté du 19 décembre 2023 portant création d’un traitement automatisé de données à caractère personnel dénommé « table de correspondance des noms et prénoms » : « Le ministre de l’intérieur (secrétariat général) met en œuvre un traitement automatisé de données à caractère personnel, dénommé « table de correspondance des noms et prénoms », ayant pour finalités la consultation de l’identité des personnes ayant changé de nom ou de prénom en application des articles 60, 61 et 61-3-1 du code civil et la mise à jour de cette identité dans les traitements de données à caractère personnel que lui-même ou les établissements publics qui lui sont rattachés mettent en œuvre ».
Sur la légalité externe :
5. Les décisions par lesquelles le Premier ministre et le ministre de l’intérieur ont refusé d’abroger respectivement les dispositions du 4° du J de l’article 2 du décret du 19 avril 2019 et l’arrêté du 19 décembre 2023, cités aux points 2 et 3, ont un caractère réglementaire. Ni les dispositions des articles L. 211-2 et L. 211-3 du code des relations entre le public et l’administration, qui s’appliquent aux décisions individuelles, ni aucune autre disposition, ni aucun principe n’imposaient leur motivation. Par suite, le moyen tiré de ce que ces décisions seraient illégales du fait qu’elles ne sont pas motivées, ne peut qu’être écarté.
Sur la légalité interne :
En ce qui concerne la licéité du traitement :
6. En vertu du 1° de l’article 4 de la loi du 6 janvier 1978 qui reprend les dispositions du a) du 1 de l’article 5 du RGPD, les données à caractère personnel doivent être traitées de manière licite. En vertu du 5° de l’article 5 de la même loi, qui repend les termes du e) de l’article 6 du RGPD, un traitement de données à caractère personnel est licite s’il est nécessaire à l'exécution d'une mission d'intérêt public.
7. Il ressort des pièces du dossier que le traitement en litige a été créé à la suite de l’entrée en vigueur des dispositions de la loi du 2 mars 2022 relative au choix du nom issu de la filiation qui a introduit l’article 61-3-1 du code civil offrant une procédure simplifiée de changement de nom, sans préjudice de celle prévue par l’article 61 et ni de celle, également maintenue, de l’article 60 relative au changement de prénoms. Le ministre de l’intérieur soutient, sans être sérieusement contredit, que cette réforme ayant suscité une forte augmentation des changements d’identité dont la retranscription ne figure que dans les registres d’état civil, les procédures traditionnelles de mise à jour des fichiers dont il a la charge ne sont plus adaptées. Il fait également valoir qu’en l’absence de la « table de correspondance des noms et prénoms », les données à caractère personnel d’identité des personnes concernées contenues dans les fichiers que ses services ou ceux des établissements publics qui lui sont rattachés mettent en œuvre, ne reposent plus sur une information exacte, fiable et tenue à jour, portant ainsi atteinte au bon exercice des missions de sécurité publique et de sûreté qui leur incombent, et ce, alors qu’il est notamment avéré que la procédure simplifiée de changement de nom est parfois détournée par des individus cherchant à échapper à une identification, à une surveillance ou à des poursuites. La circonstance que le casier judiciaire national, traitement géré par le ministère de la justice, soit déjà destinataire d’une communication mensuelle par l’INSEE des données mises à jour dans le RNIPP, est, par ailleurs, sans incidence sur le besoin du ministère de l’intérieur de consulter ces données afin de mettre à jour les traitements qui relèvent de sa responsabilité.
8. Il résulte de ce qui précède que le traitement en litige est nécessaire à l'exécution d'une mission d'intérêt public. Par suite, il n’est pas, contrairement à ce qui est soutenu, privé de fondement légal au regard des dispositions de l’article 5 de la loi du 6 janvier 1978 ou de l’article 6 du RGPD mentionnées au point 6. En outre, contrairement à ce qui est allégué, aucune disposition applicable, ni aucun principe n’imposait au décret et à l’arrêté dont l’abrogation a été refusée, de préciser la condition justifiant sa licéité. Par suite, les associations ne sont pas fondées à soutenir que la mission d’intérêt public n’a pas été définie de manière suffisamment précise dans les dispositions qui sont l’objet du refus d’abrogation.
En ce qui concerne le principe de limitation des finalités :
9. En vertu du 2° de l’article 4 de la loi du 6 janvier 1978 qui reprend les dispositions du b) du 1 de l’article 5 du RGPD, les données à caractère personnel sont collectées pour des finalités déterminées, explicites et légitimes.
10. Compte tenu de la double finalité de consultation et de mise à jour du traitement dénommé « table de correspondance des noms et prénoms » mis en place par l’arrêté du 19 décembre 2023 en application des dispositions du 4° du J de l’article 2 du décret du 19 avril 2019 mentionnées au point 3, l’article 2 de cet arrêté énonce de manière exhaustive huit catégories de données à caractère personnel et d’informations pouvant être enregistrées dans le traitement. portant sur le nom de famille antérieur au changement de nom et celui postérieur au changement de nom, les prénoms antérieurs et ceux postérieurs au changement de prénoms, la date et le lieu de naissance, la date du changement de nom et prénom, le sexe et, le cas échéant, la filiation, ainsi que la mise à jour de ces données dans les traitements relevant du ministère et des établissements publics qui lui sont rattachés. Par suite, les associations requérantes ne sont pas fondées à soutenir que les données à caractère personnel ne sont pas collectées pour des finalités déterminées et explicites. En outre, aucune disposition, ni aucun principe, n’imposait que les textes réglementaires qui encadrent l’usage du traitement dressent une liste exhaustive des motifs de consultation de la table de correspondance ou des fichiers susceptibles d’être mis à jour à partir de cette consultation. Par suite, le moyen tiré de la méconnaissance du principe de limitation des finalités énoncé par les dispositions mentionnées au point précédent ne peut qu’être écarté.
En ce qui concerne le principe de minimisation des données :
11. En vertu du principe de minimisation des données posé par le c du paragraphe 1 de l’article 5 du RGPD, repris en substance au 3° de l’article 4 de la loi du 6 janvier 1978, les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées.
12. Pour répondre aux finalités elles-mêmes circonscrites du traitement en litige, huit catégories de données à caractère personnel et d’informations, rappelées au point 10, peuvent être enregistrées dans la « table de correspondance des noms et prénoms ». Seules celles relatives au nom de famille et aux prénoms mentionnent les données antérieures et postérieures au changement opéré, tandis que s’agissant de la donnée relative au sexe, seul le dernier état de la donnée est enregistré. La donnée relative à la filiation n’est recueillie qu’en cas de risque d’homonymie. Il en résulte que les données ainsi collectées sont adéquates, pertinentes et limitées à ce qui est nécessaire pour identifier de manière exacte et suffisante une personne physique, compte tenu de son changement de nom ou prénom. Par suite, le moyen tiré de la méconnaissance du principe de minimisation des données, ne peut qu’être écarté.
En ce qui concerne la durée de conservation des données collectées :
13. En vertu du principe dit de « limitation de la conservation » mentionné au 5° de l’article 4 de la loi du 6 juillet 1978, qui reprend ce qui est dit au e) du paragraphe 1 de l’article 5 du RGPD, les données à caractère personnel collectées doivent être conservées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées. Il ressort des pièces du dossier que la durée de six ans de conservation des données collectées, retenue par l’article 3 de l’arrêté attaqué, est justifiée par la finalité de mise à jour des traitements relevant du ministère de l’intérieur et des établissements qui lui sont rattachés compte tenu notamment du caractère manuel de cette opération, dans l’attente de la mise en place d’une procédure de mise à jour automatisée. Par suite, une telle durée n’excédant pas celle nécessaire à cette finalité, le moyen tiré de ce que l’arrêté méconnaîtrait sur ce point les dispositions précitées doit être écarté.
En ce qui concerne le nombre des accédants :
14. Aux termes de l’article 4 de la loi du 6 janvier 1978 : « Les données à caractère personnel doivent être : / (…) / 6° Traitées de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite (…), ou l'accès par des personnes non autorisées, à l'aide de mesures techniques ou organisationnelles appropriées ».
15. L’article 4 de l’arrêté litigieux prévoit que peuvent avoir accès à tout ou partie des données du traitement, à raison de leurs attributions et dans la limite du besoin d’en connaître, huit catégories d’agents relevant de différents services du ministère de l’intérieur ou d’établissements dont celui-ci assure la tutelle. Ce nombre est justifié par le besoin important de mise à jour des traitements relevant du ministère. La détermination d’une pluralité d’accédants au traitement est cohérente avec la finalité de mise à disposition de ces informations aux services compétents prévue par le 4° du J de l’article 2 du décret du 19 avril 2019. Le moyen tiré de ce que le nombre d’accédant excèderait les finalités du traitement et le régime prévu par ces dispositions du décret ne peut donc qu’être écarté.
En ce qui concerne le caractère sensible des données :
16. Aux termes de l’article 6 de la loi du 6 janvier 1978 : « I.- Il est interdit de traiter des données à caractère personnel qui révèlent la prétendue origine raciale ou l'origine ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale d'une personne physique ou de traiter des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique. / II.- Les exceptions à l'interdiction mentionnée au I sont fixées dans les conditions prévues par le 2 de l'article 9 du règlement (UE) 2016/679 du 27 avril 2016 et par la présente loi. / III.- De même, ne sont pas soumis à l'interdiction prévue au I les traitements, automatisés ou non, justifiés par l'intérêt public et autorisés suivant les modalités prévues au II de l'article 31 et à l'article 32 ». Aux termes de l’article 9 du RGPD : « 1. Le traitement des données à caractère personnel qui révèle l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique sont interdits. / 2. Le paragraphe 1 ne s'applique pas si l'une des conditions suivantes est remplie : / (…) / g) le traitement est nécessaire pour des motifs d’intérêt public important, sur la base du droit de l’Union ou du droit d’un État membre qui doit être proportionné à l’objectif poursuivi, respecter l’essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée ; / (…) ».
17. Il ne ressort pas des pièces du dossier que, par elles-mêmes ou au terme d’une opération intellectuelle de déduction ou de recoupement, notamment par le rapprochement des données relatives aux changements de nom ou de prénoms de celles relative au sexe, les huit catégories de données rappelées au point 10 enregistrées dans le traitement en litige, même si elles permettent de révéler une modification de genre, seraient susceptibles de révéler la vie ou l’orientation sexuelles des personnes concernées ou des données relatives à leur santé. Par suite, en l’absence de tout doute raisonnable quant à l’application correcte des dispositions l’article 9 du RGPD, et sans qu’il y ait lieu de saisir la Cour de justice de l’Union européenne à titre préjudiciel d’une question portant sur l’interprétation des dispositions du droit de l’Union en cause dans la présente affaire, le moyen tiré de ce que les données collectées présentent un caractère sensible au sens de l’article 9 du RGPD ne peut qu’être écarté.
En ce qui concerne la suppression du droit d’opposition :
18. L’article 56 de la loi du 6 janvier 1978, qui renvoie à l’article 21 du RGPD, prévoit que le droit d'opposition ne s'applique pas lorsque le traitement répond à une obligation légale ou, dans les conditions prévues à l'article 23 du même règlement, lorsque l'application de ces dispositions a été écartée par une disposition expresse de l'acte instaurant le traitement. Le 1 de l’article 23 du RGPD autorise les autorités nationales à limiter la portée du droit d’opposition « lorsqu’une telle limitation respecte l’essence des libertés et droits fondamentaux et qu’elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir : (…)/ c) la sécurité publique ; / (…) / e) d'autres objectifs importants d'intérêt public général (…) d'un État membre (…) / d) (…) la protection contre les menaces pour la sécurité publique et la prévention de telles menaces ; / (…) / i) la protection de la personne concernée ou des droits et libertés d’autrui ; / (…) ». Il résulte de ces dispositions que l’acte réglementaire autorisant la mise en œuvre d’un traitement de données à caractère personnel ou précisant les modalités d’un traitement de données à caractère personnel créé par la loi peut comporter une disposition expresse excluant l’exercice du droit d’opposition dès lors que cette exclusion est nécessaire et, eu égard notamment à la nature des données, aux finalités poursuivies et aux garanties prévues, proportionnée pour atteindre ces objectifs.
19. Compte tenu de l’objectif d’intérêt public général qui vise à sécuriser l’usage de chacun des traitements relevant du ministère de l’intérieur et des établissements publics qui lui sont rattachés eu égard à leurs finalités propres, par l’usage de données d’identité sûres et actualisées, la restriction du droit d’opposition prévue par l’article 5 de l’arrêté du 19 décembre 2023 constitue une mesure nécessaire et proportionnée destinée à garantir les objectifs mentionnés au point précédent. Par suite, le moyen tiré du caractère injustifié de cette limitation du droit d’opposition ne peut qu’être écarté.
En ce qui concerne la durée de conservation des données de journalisation :
20. D’une part, en vertu des articles 24 et 30 du RGPD, chaque responsable de traitement met en œuvre des mesures techniques et organisationnelles appropriées pour s'assurer et être en mesure de démontrer que le traitement est effectué conformément au règlement et fait tenir un registre des activités de traitement effectuées.
21. L’article 6 de l’arrêté litigieux prévoit que les opérations de collecte, de modification, de consultation, de communication et d’effacement des données font l’objet d’un enregistrement conservé pendant un délai de trois ans, tandis que l’article 3 retient une durée de conservation des données collectées de six ans. Eu égard à l’objet du dispositif dit de « journalisation », qui est de permettre des opérations de contrôle, notamment par le responsable de traitement, afin de vérifier, au fil de l’eau ou à une brève échéance, le respect des obligations prévues par le RGPD et en l’absence de principe du droit de la protection des données interdisant de conserver les informations relatives aux opérations de traitement des données pendant une durée plus courte que celle relative à la conservation des données elles-mêmes, eu égard à leur finalité respective, la durée de conservation des informations de « journalisation » n’apparaît ni insuffisante, ni excessive.
22. D’autre part, la circonstance que la durée de conservation de ces données soit inférieure au délai de prescription de droit commun de délits pénaux susceptibles d’être révélés par ces données n’est pas, par elle-même, de nature à empêcher la répression du délit prévu et réprimé par l’article 226-21 du code pénal susceptible d’être commis par toute personne détentrice de données à caractère personnel. Par suite, les associations requérantes ne sont pas fondées à soutenir que l’arrêté litigieux méconnaîtrait le droit à un recours juridictionnel effectif garanti par les articles 6 et 13 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales.
23. Il résulte de ce qui a été dit aux points 20 à 22 que le moyen tiré du caractère illégal de la durée de trois ans retenue par l’article 6 de l’arrêté ne peut qu’être écarté.
En ce qui concerne la violation de l’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales :
24. Si la collecte, la conservation et le traitement, par le ministère de l’intérieur et les établissements qui lui sont rattachés, des informations personnelles nominatives contenues dans le traitement dénommé « table de correspondance des noms et prénoms », sont de nature à constituer une ingérence dans la vie privée des personnes concernées, il résulte de ce qui a été dit aux points 7, 8 et 10 que cette ingérence répond à des finalités légitimes. Il ressort également des pièces du dossier et des dispositions du décret et de l’arrêté dont l’abrogation a été refusée, que le choix, la collecte et le traitement de ces données doivent être effectués de manière adéquate et proportionnée au regard des finalités mentionnées. Il résulte également de qui a été dit aux points précédents que ces dispositions ne méconnaissent pas les dispositions du RGPD. Par suite, les associations requérantes ne sont pas fondées à soutenir que l’arrêté méconnaîtrait les stipulations de l’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales.
25. Il résulte de tout ce qui précède que les conclusions des associations requérantes doivent être rejetées, y compris celles présentées au titre de l’article L. 761-1 du code de justice administrative.
D E C I D E :
--------------
Article 1er : Les requêtes des associations Toutes des femmes et autres sont rejetées.
Article 2 : La présente décision sera notifiée à l’association Toutes des femmes, première dénommée pour l’ensemble des requérantes, au Premier ministre et au ministre de l’intérieur.
Délibéré à l'issue de la séance du 9 juin 2026 où siégeaient : Mme Rozen Noguellou, assesseure, présidant ; M. Olivier Yeznikian, conseiller d'Etat et Mme Sophie Delaporte, conseillère d'Etat-rapporteure.
Rendu le 7 juillet 2026.
La présidente :
Signé : Mme Rozen Noguellou,
La rapporteure :
Signé : Mme Sophie Delaporte
La secrétaire :
Signé : Mme Marie-Léandre Monnerville
La République mande et ordonne au Premier ministre en ce qui le concerne ou à tous commissaires de justice à ce requis en ce qui concerne les voies de droit commun contre les parties privées, de pourvoir à l’exécution de la présente décision.
Pour expédition conforme,
Pour la secrétaire du contentieux, par délégation :