Le juge des référés du Conseil d’État, par une ordonnance du 24 décembre 2025, rejette la suspension d’une position de la Commission nationale de l’informatique et des libertés. Une société commercialisant des caméras augmentées contestait cet acte publié le 11 juillet 2025 relatif à l’estimation de l’âge dans les bureaux de tabac. La requérante soutenait que cette prise de position portait atteinte à sa viabilité économique tout en excédant les compétences de l’autorité nationale de contrôle. Le juge administratif devait déterminer si l’acte contesté présentait un doute sérieux quant à sa légalité au regard des principes du droit européen. Il écarte l’ensemble des moyens invoqués en considérant que la Commission n’a pas commis d’erreur manifeste d’appréciation sur la nécessité du traitement. L’analyse portera d’abord sur la régularité de l’exercice du pouvoir de droit souple avant d’examiner la qualification juridique du traitement de données personnelles.
I. La validité de l’intervention régulatrice de la Commission nationale
A. L’exercice légitime du pouvoir de droit souple
Le juge rappelle que l’autorité de contrôle est chargée de veiller à ce que les traitements soient mis en œuvre conformément aux dispositions légales. Elle dispose du pouvoir de mettre en œuvre ses prérogatives selon les modalités appropriées, y compris en recourant à des « instruments de droit souple ». Ces documents permettent de livrer une interprétation du droit applicable afin d’aider les responsables de traitement à assurer leur mise en conformité effective. La publication d’une position sur le site internet constitue ainsi une modalité d’action régulière pour informer les professionnels sur les risques technologiques.
B. L’absence de doute sérieux sur la compétence matérielle
La société requérante affirmait que l’acte contesté revenait à édicter une interdiction générale et absolue de l’utilisation des caméras augmentées dans les commerces. Toutefois, le Conseil d’État relève que la Commission s’est bornée à énoncer son analyse sur les traitements résultant de l’usage de ces outils. L’acte ne crée aucune règle nouvelle mais précise les conditions de respect du principe de minimisation des données prévu par le règlement européen. Le moyen tiré de l’incompétence matérielle est donc écarté car l’autorité n’a pas outrepassé sa mission légale d’information et de contrôle.
II. La stricte interprétation de la nécessité du traitement de données
A. Le défaut de nécessité au regard des obligations légales
Le litige portait sur l’application du règlement général sur la protection des données concernant la licéité du traitement opéré par les commerçants. Le code de la santé publique impose au vendeur d’exiger « du client qu’il établisse la preuve de sa majorité » pour la délivrance de tabac. Or, les caméras augmentées procèdent seulement à une estimation de l’âge et ne dispensent pas le buraliste de procéder à une vérification d’identité. Le juge estime donc que ces dispositifs ne constituent pas le fondement nécessaire au respect des obligations légales auxquelles les commerçants sont soumis.
B. L’insuffisance des intérêts légitimes poursuivis
La licéité du traitement ne saurait davantage être recherchée sur le terrain des intérêts légitimes poursuivis par le responsable ou par un tiers. La Commission relevait que le fonctionnement de ces dispositifs en continu présente des risques pour les droits des personnes filmées à leur insu. Ces outils conduisent à capter les données de l’ensemble de la clientèle, y compris celle dont la majorité ne fait l’objet d’aucun doute. Le juge valide ainsi l’appréciation selon laquelle le traitement n’est pas « nécessaire aux fins des intérêts légitimes » au sens du droit positif.
