D’après la feuille de route de l’International Energy Agency publiée en 2021 (IEA, 2021, p. 184), la moitié des technologies nécessaires à l’atteinte de la neutralité carbone d’ici à 2050 ne sont pas encore disponibles. Bien que cette estimation soit contestable et que les solutions technologiques ne constituent qu’une infime partie de la réponse à la crise climatique, l’innovation et le développement du numérique peuvent effectivement contribuer à la protection de l’environnement et à la réduction des émissions de gaz à effet de serre. En effet, de nombreuses technologies numériques reposant sur l’analyse de données, dont le développement a été facilité par l’augmentation de la quantité de données disponibles et par l’essor de l’intelligence artificielle (Choné, 2017), présentent un intérêt du point de vue environnemental.

Par exemple, dans le domaine des énergies renouvelables, le croisement de données météorologiques, géographiques et industrielles peut aider les pouvoirs publics à identifier les zones où l’implantation de panneaux photovoltaïques ou d’éoliennes serait la plus efficace (Fabrégat, 2018). Dans le domaine de l’électricité, l’analyse de données facilite le pilotage et l’équilibrage du réseau en permettant de mieux prédire l’injection de la production des énergies intermittentes, en détectant plus facilement les pannes nécessitant une opération de maintenance ou encore en facilitant l’autoconsommation collective à l’échelle locale (Flament, Pegouret, 2020). Enfin, dans le domaine du bâtiment, l’analyse de données de consommation énergétique permet d’identifier les immeubles nécessitant des travaux de rénovation (Fourmon, 2021) ou de mieux piloter la consommation de bâtiments industriels afin de réaliser des économies d’énergie (Buckman, Mayfield, Beck, 2014) : pilotage intelligent de la climatisation, des éclairages… Les exemples sont nombreux et concernent tous les champs de la transition énergétique.

Le développement de ces technologies numériques se fait dans un environnement juridique complexe (Stein, 2020).

D’une part, le cadre juridique actuel pourrait sembler très favorable à la mobilisation du numérique pour développer des solutions vertueuses pour l’environnement. En effet, il n’existe que peu de textes encadrant directement les applications envisagées ici et l’on constate depuis plusieurs années une véritable tendance à l’ouverture des données. On pourra par exemple citer le règlement européen du 14 novembre 2018 établissant le principe de libre flux des données à caractère non personnel dans l’Union européenne1, la directive européenne du 20 juin 2019 sur les données ouvertes et la réutilisation des informations du secteur public2, ou encore les récents projets de règlements sur les données, le Data Act3 prévoyant des obligations de partage de données issues d’objets connectés et le Data Governance Act4 qui devrait faciliter la réutilisation de certaines données d’intérêt général. En France, l’ouverture des données organisée par la loi pour une République numérique de 20165 contribue également à la diffusion de ce nouvel or noir (Brousseau, 2022), nécessaire au développement des solutions technologiques qui permettront d’accélérer la transition énergétique (Les Échos, 2019).

D’autre part, la production, la collecte, le traitement ou la réutilisation des données nécessaires à la conception et au fonctionnement de ces solutions technologiques sont soumis à différents régimes, suivant la qualification juridique des données traitées (Lavrijssen, Espinosa Apraez, Ten Caten, 2022 ; Fourmon, 2018). Ces règles sont justifiées par différents impératifs tels que la protection de droits et libertés fondamentaux (dont la vie privée) ou la protection des intérêts économiques des acteurs produisant les données. Parmi les réglementations applicables, on trouve évidemment le célèbre Règlement général sur la protection des données (RGPD), encadrant de façon très stricte le traitement de données à caractère personnel, mais également d’autres règles plus spécifiques, relatives par exemple à la protection des secrets d’affaires ou à la libre concurrence. L’ensemble de ces règles, qu’il conviendra d’identifier, génère de fortes contraintes au développement de solutions qui pourraient s’avérer utiles sur le plan environnemental.

Dans ce contexte, le premier objectif de la présente contribution est de déterminer la latitude laissée par le cadre juridique actuel pour concevoir des outils numériques permettant d’agir en faveur de la protection de l’environnement, le tout dans le respect de la règle de droit. Son second objectif est d’interroger la proportionnalité des règles applicables et des contraintes qu’elles génèrent au vu des bénéfices potentiels des traitements de données ayant une finalité environnementale.

Pour ce faire, nous adopterons une double approche. La contribution consistera d’abord en une approche générale en cherchant à dresser le panorama des différents régimes juridiques pouvant contraindre l’utilisation de données, entendue de façon large, aux fins de protection de l’environnement et dont l’application dépend de la qualification juridique des données traitées (1). Cette approche générale sera ensuite complétée par une étude spécifique et sectorielle, dédiée aux applications du numérique en faveur de l’environnement dans le milieu urbain, connues sous le nom de smart city (2).

1. Des contraintes juridiques à l’utilisation des données pour la protection de l’environnement

Comme abordé en introduction, les exemples de technologies numériques utiles à la transition écologique sont nombreux mais évoluent dans un cadre juridique contraint. Cet encadrement est pleinement justifié puisque certaines applications font peser un certain nombre de risques pour les droits et libertés des individus. Par exemple, certains systèmes peuvent être amenés à traiter d’importantes quantités de données à caractère personnel contenant des informations sur la vie intime des individus. C’est le cas pour des applications déployées par des fournisseurs d’énergie nécessitant la collecte des données de consommation via des compteurs communicants. À ce titre, il semble parfaitement légitime que ce type d’application fasse l’objet d’un encadrement relativement strict (1.1). En revanche, d’autres systèmes n’ont pas besoin de traiter des données personnelles et présentent un niveau de risque moins élevé. Des logiciels peuvent notamment être utilisés pour gérer l’éclairage public ou affiner des prédictions météorologiques. Ces derniers peuvent fonctionner à partir de données dites non personnelles, qui ne permettent pas d’identifier une personne physique. Le traitement de données à caractère non personnel nous semble être une voie efficace pour développer des systèmes utiles en matière environnementale, tout en limitant les risques pour les individus. Il est donc heureux que ce type de données réponde d’un régime beaucoup plus souple que celui dédié aux données personnelles (1.2).

1.1. Un cadre juridique contraignant applicable aux traitements de données à caractère personnel à finalité environnementale

Le RGPD est pleinement applicable à tous les systèmes traitant des données à caractère personnel, qu’ils poursuivent une finalité environnementale ou non. Ses grands principes devront donc être pris en compte par toute personne ou organisation ayant pour projet de développer un tel système et ce, dès la conception (privacy by design). Notre étude révèle que cette application conduit à contraindre fortement le développement de certaines solutions en faveur de l’environnement (1.1.1). Ce constat est d’autant plus vrai lorsque certaines données personnelles présentant un risque élevé pour la vie privée des individus sont traitées, notamment s’il s’agit de données de consommation électrique (1.1.2).

1.1.1. Des contraintes résultant de l’application des principes du RGPD aux traitements de données à caractère personnel à finalité environnementale

Le recours au numérique pour développer des solutions utiles à la protection de l’environnement peut nécessiter de collecter et de traiter des données à caractère personnel et serait, à ce titre, assujetti aux règles du RGPD. Le présent paragraphe se concentrera sur le cas du développement d’une application procédant à des traitements de données personnelles par des personnes privées, notamment les entreprises, et à l’exclusion donc des personnes publiques (collectivités, ministères…). En effet, les entreprises jouent un rôle primordial dans le développement des solutions technologiques utiles à la transition environnementale : ce sont elles qui disposent de l’expertise technique, des moyens de recherche et développement, parfois même des données nécessaires, et qui ont un intérêt commercial à développer des solutions numériques. Prenons l’exemple d’une start-up qui souhaiterait développer et commercialiser une solution logicielle de performance énergétique du foyer à destination des particuliers. De nombreuses données personnelles pourraient être mobilisées : caractéristiques du domicile, équipements électroménagers détenus, composition du foyer, données de consommation issues d’un compteur communicant, habitudes de consommation des membres du foyer… L’ensemble des principes du RGPD devraient être respectés6. Premièrement, l’entreprise devrait respecter le principe de finalité en s’assurant, notamment, de limiter les buts dans lesquels les données sont traitées et de disposer d’une base légale conformément à l’article 6 du RGPD. Deuxièmement, le principe de proportionnalité impose de pouvoir justifier de la pertinence et de la stricte nécessité des données collectées au regard de la finalité du traitement. Troisièmement, le responsable de traitement doit fixer des durées de conservation précises, là aussi proportionnées au but poursuivi. Quatrièmement, la start-up devra respecter le principe de sécurité des données en mettant en œuvre toutes les mesures techniques et organisationnelles permettant de garantir leur confidentialité. Enfin, l’entreprise devra permettre aux personnes concernées d’exercer leurs droits conformément à la législation, notamment leurs droits d’accès, d’opposition ou à l’effacement des données les concernant. L’ensemble de ces principes doivent, conformément au principe de privacy by design7, être pris en compte dès la phase de conception de la solution logicielle, ce qui peut conduire à des surcoûts non négligeables. En effet, pour mettre en œuvre ces principes, la start-up devra mettre en place un certain nombre de processus de conformité ou procéder à des développements supplémentaires dans son application, par exemple pour créer des mécanismes de purge automatique des données afin d’assurer le respect des durées de conservation fixées. Toutes ces actions représentent des coûts importants, tant financiers qu’humains (Ciriani, 2015).

De plus, si la start-up ne dispose pas des compétences juridiques ou techniques pour se mettre en conformité, elle devra se faire accompagner, ce qui engendrera à nouveau des coûts supplémentaires appelés coûts d’intermédiation. L’application du RGPD à des applications vertueuses pour l’environnement n’est donc pas neutre et pourrait conduire à l’abandon de certains projets qui ne seraient pas suffisamment rentables. Outre la question du coût de la mise en conformité, certaines dispositions du RGPD nous semblent peu adaptées aux cas d’usage envisagés dans la présente contribution.

En effet, l’article 6 du RGPD liste les motifs de licéité pouvant fonder la collecte et le traitement de données à caractère personnel. Toujours dans notre exemple de start-up souhaitant développer une solution logicielle de performance énergétique d’un foyer, trois bases légales figurant à l’article 6 § 1 du RGPD pourraient théoriquement être mobilisées : le consentement des personnes concernées, l’exécution du contrat ou l’intérêt légitime du responsable de traitement. Lorsque l’application est commercialisée, il n’y a pas de difficultés particulières puisque la start-up entrerait dans une relation contractuelle avec les personnes concernées (bien que se poserait tout de même la question des données relatives aux autres membres du foyer qui ne sont pas partie au contrat). En revanche, si l’on se place en amont, lors de la phase de conception, la start-up peut avoir besoin de données pour concevoir ses algorithmes. Le choix du motif de licéité se complique. D’autant plus qu’en pratique les données nécessaires sont souvent détenues par des acteurs du secteur de l’énergie qui souhaitent eux aussi concevoir de nouveaux produits à partir de ces données. Les données nécessaires à la conception des applications vertueuses pour l’environnement peuvent donc être difficilement accessibles. Il est envisageable de conclure une convention avec les acteurs qui disposent des données pertinentes mais chacune des parties sera alors confrontée à une difficulté concernant le choix de la base légale du traitement. Les données ont, en effet, été collectées pour une autre finalité et les personnes concernées n’ont pas été informées que leurs données allaient être utilisées pour concevoir de nouveaux systèmes ou transmises à des tiers pour ladite conception. Tant notre jeune start-up que notre acteur du secteur de l’énergie se retrouveraient dans une situation délicate puisqu’il leur faudrait alors informer toutes les personnes concernées et, le cas échéant, fonder le traitement visant à la conception d’un nouveau produit sur une nouvelle base légale si la finalité n’avait pas été prévue initialement.

Pour répondre à cette problématique, des solutions techniques peuvent être envisagées. Il est en effet possible pour notre start-up de développer ses algorithmes à partir de données anonymisées ou bien de « fausses données » aussi appelées données synthétiques, qui présenteraient les mêmes caractéristiques mais auraient été générées artificiellement (ne pouvant donc identifier aucune personne réelle). Toutefois, ces solutions ne sont pas envisageables pour toutes les situations puisque, dans le premier cas, l’anonymisation peut rendre la donnée inexploitable et, dans le second cas, le recours à des données fictives peut conduire à altérer la performance du système final. Juridiquement, il est toujours possible d’informer les personnes concernées d’une nouvelle finalité, qui pourrait être l’intérêt légitime du responsable de traitement à concevoir de nouveaux produits. Mais cette information peut être difficile et coûteuse à réaliser selon la quantité d’individus à contacter. De plus, il conviendra de permettre aux personnes d’exercer leurs droits sur les données les concernant, dont leur droit d’opposition, ce qui peut conduire à des difficultés opérationnelles si l’exercice du droit intervient après la commercialisation du système.

L’ensemble des contraintes évoquées ici ne sont pas insurmontables mais les solutions pour y répondre peuvent entraîner des conséquences sur la performance du produit final ou sur les coûts de développement. Le traitement de certains types de données personnelles, révélant des informations sur la vie intime des personnes, fait peser un risque plus important sur les individus et fait, à ce titre, l’objet d’un encadrement encore plus contraignant.

1.1.2. L’exemple du régime spécifique encadrant les données de consommation électrique

L’antagonisme entre l’esprit restrictif (car très protecteur) de la protection des données et la dynamique d’innovation en faveur de l’environnement se retrouve également dans certains cas d’usage dans le secteur de l’énergie. On peut ici prendre l’exemple du traitement de la « courbe de charge », c’est-à-dire le relevé, à intervalles réguliers (le pas de mesure), de la consommation électrique de l’abonné. Ces données de consommation sont cruciales pour développer des solutions de réseaux intelligents ou d’autoconsommation collective à l’échelle locale : il faut connaître en temps réel les capacités de production et d’injection de chaque actif de production, le plus souvent intermittente car exploitant des énergies renouvelables, et les besoins de chaque consommateur pour pouvoir les équilibrer en temps réel.

Pourtant, ces données présentent effectivement un risque important pour la vie privée des individus. En ce sens, les autorités considèrent qu’un relevé avec un pas de temps de 10 minutes permettrait « d'identifier les heures de lever et de coucher, les heures ou périodes d’absence, ou encore, sous certaines conditions, le volume d’eau chaude consommée par jour, le nombre de personnes présentes dans le logement, etc.8 ». Il s’agit donc d’une donnée à caractère personnel particulière, pouvant révéler des informations détaillées sur la vie privée des individus. C’est la raison pour laquelle la Commission nationale de l’informatique et des libertés (CNIL) est venue encadrer les conditions de la collecte et de l’utilisation de ces données dans une délibération du 15 novembre 20129.

D’abord, dans cette délibération, la CNIL est venue limiter les finalités du traitement de la courbe de charge au nombre de trois : la maintenance et le développement du réseau de distribution par les gestionnaires de ce réseau ; la mise en place de tarifs adaptés à la consommation des ménages par les fournisseurs d'énergie et la fourniture de services complémentaires par des sociétés tierces tels que des travaux d’isolation.

Ensuite, la délibération encadre les modalités de la collecte de la courbe de charge. Les gestionnaires de réseau ne peuvent la collecter que lorsque des problèmes d’alimentation ont été effectivement détectés. Toute collecte systématique est considérée comme disproportionnée. De plus, les fournisseurs d’énergie et les sociétés tierces souhaitant proposer des services complémentaires ne peuvent collecter la courbe de charge qu’avec le consentement libre et éclairé des personnes concernées.

Enfin, le pas de temps de la courbe de charge est lui aussi encadré. En effet, la CNIL précise que les compteurs doivent pouvoir enregistrer la consommation selon trois pas de temps : 10 minutes, 30 minutes ou 60 minutes. La recommandation de 2012 précise que les compteurs doivent être configurés par défaut sur le paramétrage le plus protecteur, soit le plus long intervalle.

Ces recommandations ont été complétées par la publication d’un « pack de conformité » dédié aux compteurs communicants en mai 2014 (CNIL, 2010). Bien que dépourvu de valeur juridique contraignante, ce document est qualifié par la CNIL de « référentiel sectoriel » devant guider les responsables de traitement dans leur mise en conformité. La clarté de cet outil doit être saluée. En revanche, il est regrettable que le cadre ainsi créé ne laisse que peu de place à l’innovation, si bien que la recherche et le développement de nouveaux services innovants n’apparaissent dans aucune des finalités autorisées. Il convient également de préciser qu’un décret de 2017 est venu préciser les conditions dans lesquelles les courbes de charge pouvaient être collectées par les gestionnaires de réseau de distribution. En effet, ce dernier a créé un article D. 322-16 dans le Code de l’énergie (C. énergie) prévoyant que les gestionnaires pouvaient collecter ces données « pour l’accomplissement des missions mentionnées aux 1°, 6°, 8° et 9° de l’article L. 322-8 ». Les missions visées sont relatives à la mise en œuvre des raccordements au réseau (1°), à l’exploitation et à la maintenance du réseau (6°), à la mise en œuvre d’actions d’efficacité énergétique et favorisant l’intégration d’énergies renouvelables sur le réseau (8°), ainsi qu’au suivi de la gestion du périmètre d’effacement (9°). Ces dispositions ne sont pas suffisantes pour permettre le développement de solutions technologiques en faveur de l’environnement pour deux raisons. D’une part, ces possibilités de collecte de la courbe de charge ne sont ouvertes qu’aux gestionnaires de réseau, ce qui représente, en France, très peu d’entreprises (Enedis et les entreprises locales de distribution) et exclut de fait tous les fournisseurs d’énergie ou autres entreprises (start-up, entreprises de service numérique…). D’autre part, seules les missions d’efficacité énergétique et d’intégration des énergies renouvelables pourraient légitimer l’utilisation des données de consommation pour développer des solutions en faveur de l’environnement, ce qui limite le champ des possibles.

Le traitement des données de consommation par des fournisseurs ou des entreprises autres que les gestionnaires de réseaux de distribution pour développer de nouveaux produits ne pourra ainsi se faire sur une base de licéité distincte et conforme au RGPD. Notre analyse de la délibération de la CNIL de 2012 et du pack de conformité sur les compteurs communicants indique que la seule base légale envisageable dans ce cas serait le consentement de la personne concernée, lequel devra répondre aux conditions de validité du consentement à savoir le caractère libre, éclairé, spécifique et univoque. On peine à imaginer qu’un tel traitement puisse être réalisé sur le fondement d’un consentement donné au suivi de sa consommation ou de la fourniture de services de performance énergétique. Un consentement plus précis, spécifique à la finalité de développement de nouveaux services, devrait alors être recueilli, ce qui constitue une difficulté supplémentaire pour le responsable de traitement.

Par effet de superposition, on comprend que la conception de technologies numériques en faveur de la protection de l’environnement nécessitant de traiter des données à caractère personnel est très complexe. Le responsable de traitement doit se conformer à un important corpus d’exigences réglementaires, qu’elles soient générales et issues du RGPD ou plus spécifiques et issues de référentiels sectoriels. Cette mise en conformité implique des coûts financiers et humains non négligeables, qui peuvent désinciter les entreprises à l’innovation. Privilégier le recours à des données non soumises aux règles du RGPD pourrait alors être une voie préférable, qui ferait, d’ailleurs, peser moins de risques pour les droits et libertés des individus.

1.2. Un cadre juridique souple applicable aux traitements de données non personnelles à finalité environnementale

Certains cas d’usage du numérique utiles à la protection de l’environnement ne nécessitent pas de traiter des données personnelles. C’est le cas, par exemple, d’applications qui ne traiteraient que des données météorologiques pour anticiper l’évolution du littoral ou évaluer le risque de catastrophe naturelle. Ces données non personnelles ne font pas l’objet des mêmes contraintes que celles évoquées dans les développements précédents. Au contraire, par principe, leur utilisation et leur diffusion sont libres (1.2.1). Par exception, il existe certaines règles spécifiques qui peuvent venir contraindre de telles utilisations mais ces dernières nous semblent surmontables (1.2.2).

1.2.1. La promotion bienvenue du partage et de l’utilisation des données non personnelles

Les données non personnelles font l’objet d’un cadre juridique beaucoup moins fourni que les données à caractère personnel. Le règlement (UE) 2018/1807 du 14 novembre 2018 est venu ériger en principe la liberté des flux de données à caractère non personnel dans l’Union européenne. De plus, en droit national, certaines de ces données, notamment issues du secteur public, font l’objet d’obligations de publication en open data10. Mobiliser des données non personnelles pour concevoir des solutions numériques en faveur de l’environnement semble être une solution beaucoup plus simple pour une entreprise souhaitant innover.

Pour contrebalancer les contraintes encadrant le traitement de données personnelles et au regard du faible risque qu’elles font peser sur les droits et libertés des individus, il est donc nécessaire de promouvoir la diffusion des données non personnelles. La disponibilité de ces données pour le plus grand nombre d’acteurs est une condition au développement de solutions technologiques favorables pour l’environnement. Le régime de l’open data en France y participe en ce qu’il impose, notamment, la publication de toutes les données produites dans le cadre de missions de service public mais il faut souligner les récentes initiatives européennes qui vont, d’une part, créer de nouveaux mécanismes juridiques permettant de libérer des données du secteur privé et, d’autre part, faciliter la réutilisation de certaines données issues du secteur public. Nous pouvons ici citer le Data Act11, imposant aux fabricants d’objets connectés et de services associés de concevoir leurs produits de telle sorte que les données produites par ces derniers soient facilement accessibles par les utilisateurs12. De plus, le texte crée un droit pour les utilisateurs de demander au fabricant de l’objet connecté de transférer les données générées à un tiers en vue de la fourniture de services complémentaires13. Les utilisateurs visés ici peuvent autant être des entreprises ayant déployé des capteurs sur leurs installations que des individus ayant installé des objets connectés à leur domicile (auquel cas le RGPD s’appliquera). L’objectif des institutions européennes est bien de libérer les données en favorisant leur partage entre entreprises et des entreprises vers les utilisateurs (Keller, 2022). Le Data Act contient également des dispositions permettant aux autorités publiques d’imposer aux entreprises la communication de données pour des motifs exceptionnels d’intérêt général dont des exemples sont cités dans le texte (crise sanitaire, catastrophe naturelle…)14. Un deuxième exemple de cette dynamique européenne en faveur de la diffusion des données non personnelles est donné par le Data Governance Act15, contenant des dispositions facilitant l’emploi de données protégées détenues par des opérateurs de service public et instaurant la pratique de l’altruisme de données16.

Le fait que la Commission européenne souhaite favoriser le partage de données non personnelles est une bonne chose. L’entrée en vigueur de ses différents textes permettra à de nombreuses données utiles à la transition écologique d’être partagées. Seraient par exemple concernées des données issues d’objets connectés, des données de performance énergétique de bâtiments ou encore des données environnementales relatives à l’état du littoral et des forêts. L’ensemble de ces données pourront ensuite être réutilisées par différents acteurs pour développer des applications utiles à la protection de l’environnement. Toutefois, la réutilisation de données non personnelles peut dans certaines situations être encadrée par des règles spécifiques.

1.2.2. Les limites surmontables encadrant le traitement de données non personnelles à des fins environnementales

Plusieurs corpus juridiques peuvent venir entraver le traitement de données à caractère non personnel. Pour l’objet de la présente contribution, nous n’en donnerons que deux exemples : la préservation de la concurrence à travers l’exemple du régime des informations commercialement sensibles dans le Code de l’énergie et la protection des droits de propriété intellectuelle (CRE, 2017 ; ALDC, 2016).

D’abord, le Code de l’énergie contient plusieurs dispositions susceptibles d’interdire la diffusion et la réutilisation de certaines données non personnelles issues du secteur de l’énergie. En effet, ses articles L. 111-72 et L. 111-73 disposent que les gestionnaires des réseaux de transport et de distribution d’électricité « doivent préserver la confidentialité des informations d’ordre économique, commercial, industriel, financier ou technique dont la communication serait de nature à porter atteinte aux règles de concurrence libre et loyale et de non-discrimination17 ». Cette obligation vise à empêcher que des informations commercialement avantageuses portant sur les activités des gestionnaires de réseaux ne soient divulguées de manière discriminatoire, notamment aux fournisseurs d’énergie. Ainsi, la confidentialité de ces informations est un moyen pour le législateur de préserver le caractère non discriminatoire de l’accès au réseau, en évitant de procurer un avantage concurrentiel à certains fournisseurs (Béatrix, 2018). Les articles R. 111-26 du Code de l’énergie précisent la nature des données protégées. Il s’agit des dispositions contractuelles et informations échangées dans ce cadre, des informations issues des comptages et autres mesures effectués, ainsi que des informations relatives aux programmes d’appel, d’ajustement et de consommation18. Les deux dernières catégories renvoient à des données qui pourraient être utiles à la conception de systèmes de traitement de données relatifs au pilotage du réseau (prévision des consommations, ajustement en temps réel de la production…) ou au développement de services intelligents d’analyse de la consommation pour identifier des pistes d’économies d’énergie. Pour pouvoir obtenir la communication de ces données, il faudra entrer dans le champ d’une des exceptions prévues aux articles R. 111-27 à R. 111-29 du Code de l’énergie. Ces exceptions permettent notamment aux utilisateurs des réseaux publics de transport ou de distribution d’autoriser les gestionnaires à communiquer directement à un tiers des informations relatives à leur propre activité, ou aux opérateurs d’effacement, qui proposent aux consommateurs de réduire leur consommation à des moments précis en l’échange de tarifs avantageux, de demander aux gestionnaires la communication des données nécessaires à l’identification, à la comptabilisation et à la certification des effacements de consommation réalisés dans les foyers, bâtiments ou tout autre site de consommation. Le champ des possibles est donc relativement restreint et seuls les acteurs expressément visés par les textes susmentionnés pourront obtenir la communication des données couvertes par l’obligation de confidentialité.

Un deuxième exemple de corpus de règles pouvant freiner la diffusion et la réutilisation de certaines données non personnelles pour développer des solutions numériques en faveur de l’environnement peut être trouvé dans les règles liées au droit de la propriété intellectuelle. Par exemple, les « bases de données », définies dans le Code de la propriété intellectuelle (CPI) comme des recueils « d’œuvres, de données ou d'autres éléments indépendants, disposés de manière systématique ou méthodique, et individuellement accessibles par des moyens électroniques ou par tout autre moyen19 », bénéficient d’une double protection : au titre du droit d’auteur lorsque la structure de la base est originale, d’une part, et au titre du droit dit « sui generis » des bases de données, d’autre part (Bensamoun, Groffe, 2013). Le producteur de la base de données bénéficiera à ce titre de droits exclusifs sur son contenu. Ces droits permettent notamment au producteur d’interdire l’extraction et la réutilisation du contenu de la base de données pour laquelle il a effectué des investissements substantiels20. Les juridictions administratives reconnaissent d’ailleurs la possibilité de s’opposer à la réutilisation de données concernées par une obligation de publication en open data si ces dernières sont couvertes par la protection sui generis du CPI21. De plus, au-delà de l'opposabilité des droits de propriété intellectuelle sur les bases de données produites, se pose également la question de la conciliation entre incitation au partage de données et protection du savoir-faire des entreprises (Béatrix, 2018). À ce titre, la loi pour une République numérique a créé une exception spécifique, dispensant les opérateurs en charge d’une mission de service public de leur obligation de publication des données lorsque cette communication porterait atteinte au secret en matière industrielle et commerciale. L’article 6 de la loi précise que cette qualification concerne « le secret des procédés, des informations économiques et financières et des stratégies commerciales ou industrielles22 ». La définition est large et se traduit en pratique par une mobilisation très fréquente de l’argument par les acteurs disposant d’importantes quantités de données (tels que les gestionnaires de réseaux dans le secteur de l’énergie) pour s’opposer à leur publication.

Les limites à l’utilisation de données non personnelles, qu’elles soient issues de règles sectorielles ou du droit de la propriété intellectuelle, ne nous semblent pas insurmontables pour plusieurs raisons. D’abord, les règles évoquées ne concernent que certains types de données très précises et non pas l’ensemble des données qui pourraient être utiles au développement du numérique en faveur de l’environnement. Par exemple, des données de performance énergétique d’installations publiques ou de mesures purement environnementales (niveau d’un cours d’eau, état du littoral) ne seraient soumises à aucune des contraintes évoquées. Ensuite, les règles relatives à la préservation de la concurrence comportent plusieurs exceptions mobilisables pour obtenir la communication des données couvertes par la confidentialité. Enfin, les projets de textes européens sur les données contiennent plusieurs dispositions pour assouplir les contraintes résiduelles, notamment celles relatives à la propriété intellectuelle. En effet, à titre d’exemple, le Data Act s’accompagnera d’un amendement de la directive sur le droit sui generis des bases de données pour faciliter la réutilisation des données brutes issues de capteurs. Pour ce faire, le texte prévoit que le droit sui generis ne s’applique pas à ces données, levant ainsi une contrainte supplémentaire.

Ainsi, l’étude réalisée dans la première partie de notre contribution a permis de démontrer que le traitement de données non personnelles apparaissait comme une voie opportune pour le développement de solutions technologiques en faveur de l’environnement. En effet, ces données font l’objet d’une réglementation beaucoup moins contraignante que celle applicable aux données personnelles et leur traitement fait peser un risque bien moins important pour les droits et libertés des individus, sous réserve du respect d’une finalité environnementale. Toutefois, se limiter à l’utilisation de données non personnelles limite également le type d’applications qu’il est possible de développer. En effet, s’il est possible de concevoir un système de prédictions météorologiques à partir de données de mesures, il n’est en revanche pas possible de réaliser un système de performance énergétique d’un foyer sans jeux de données de consommation. Cette limite peut être surmontée grâce au recours à des jeux de données anonymisées. L’anonymisation de données personnelles permet de supprimer le risque de réidentification et, ce faisant, de les faire bénéficier de la qualification de données non personnelles. Les méthodes permettant de parvenir à ce résultat ne sont en revanche pas infaillibles et il n’est pas toujours possible d’exclure complètement le risque de réidentification, ce qui ferait retomber la donnée dans le champ d’application du RGPD. De plus, les techniques d’anonymisation peuvent également conduire à altérer les données initiales et la perte des éléments identifiants peut entraîner des conséquences sur la performance de l’algorithme conçu à partir des données anonymisées. Se reposer uniquement sur l’anonymisation pour espérer promouvoir le développement de technologies numériques en faveur de l’environnement ne semble donc pas la meilleure option.

Si les réflexions menées jusqu’à présent relevaient plutôt de considérations théoriques et générales sur les régimes juridiques susceptibles de venir encadrer l’utilisation de la donnée en faveur de l’environnement, la suite de nos développements adoptera une approche inductive beaucoup plus concrète, en se concentrant sur les règles encadrant un cas d’usage spécifique : la ville intelligente ou smart city.

2. La smart city face au défi environnemental

Au sein des solutions technologiques déployées pour la protection de l’environnement, il est une expression qui revient souvent, celle de smart city ou ville intelligente. Elle est déjà utilisée depuis une vingtaine d’années par les entreprises privées (Courmont, 2020, p. 12123) qui ont popularisé le terme pour faire la promotion des outils qu’elles se proposent de vendre, particulièrement aux personnes publiques. Ce n’est d’ailleurs pas étonnant de retrouver ces mots dans la bouche de certains élus locaux comme un argument politique (Courmont, Vincent, 2020)24. Toutes les grandes communes ou les métropoles françaises, sans exception25, ont aujourd’hui un projet smart city dont la promotion est plus ou moins assurée par le titulaire de l’exécutif. François Rebsamen, président de Dijon Métropole, a mis en place son projet de smart city « OnDijon » en avril 2019 (Dijon Métropole, 2019). À l’opposé du spectre politique, la même année, c’est François Barouin qui a inauguré un programme similaire au sein de la commune de Troyes26.

Sous le vocable de smart city sont réunies un ensemble de solutions et de politiques très différentes tant par leur objet que par leur ambition (ministère de l’Économie, 2021). En matière de transports, cela va de la création de voitures autonomes (Groupe RATP, 2019, p. 45) à la promotion du vélo ou du covoiturage (ministère de l’Économie, 2021, p. 52). En matière d’urbanisme et d’aménagement, il s’agira de construire des logements en « tout électrique » pour réduire la consommation d’énergies fossiles, ou d’une politique d’agrandissement des espaces verts. À Nice et à Marseille, c’est la reconnaissance faciale pour contrôler la fréquentation dans les lycées qui devait être expérimentée par la région pour assurer la sécurité (CNIL, 201927). Dans le cas de la métropole de Dijon, un poste centralisé a été créé et gère à distance tout un ensemble de paramètres : allumage et extinction de l’éclairage public, vidéoprotection, gestion des feux de circulation, taux de remplissage des poubelles recyclables (Dijon Métropole, 2019, p. 5). Les habitants ont été également invités à télécharger une application et à signaler des problèmes : présence d’ordures sur la voie publique, voirie et mobilier public abîmé ou encore des accidents en tout genre.

Il faut donc passer outre le caractère vague de l’expression et ne pas chercher à en dégager une définition stricte ni même définitive. Dans le cadre du droit administratif, la smart city pourrait être définie largement comme « l’ensemble des solutions technologiques innovantes censées améliorer l’efficacité de l’action publique en milieu urbain » (Auby, 201828)29. Plus précisément pour la présente étude, il faudra entendre qu’il s’agit des solutions numériques en faveur de l’environnement et dont le fonctionnement repose sur la récolte et l’exploitation des données. Il s’agit d’une précision importante, car la smart city se décline au gré des objectifs particuliers que les outils poursuivent, lesquels renvoient aussi à une pluralité de personnes publiques compétentes. La safe city est censée améliorer la sécurité publique, le smart urban planning s’intéresse à l’aménagement du territoire et le smart transporation, aux transports. Au demeurant, il faut également ajouter qu’il est réducteur de se limiter à l’aspect environnemental car, en pratique, certains outils permettent de remplir plusieurs objectifs : une caméra pourra servir aussi bien à vérifier que les véhicules respectent les normes de pollution qu’à contrôler la sécurité de la voie publique.

Il existe indéniablement un contexte juridique favorable au développement de solutions environnementales par le numérique, comme l’indiquait l’introduction générale de cet article. L’objet de cette étude est donc de s’interroger sur la latitude que laisse le cadre juridique aux personnes publiques pour concevoir des outils numériques qui permettent d’agir en faveur de l’environnement, le tout dans le respect du droit à la vie privée. Ce n’est, in fine, qu’une étude localisée du grand compromis que constitue le RGPD entre le libre exercice des activités économiques et la protection des personnes.

Le propos ne portera effectivement que sur les données personnelles. Non pas que les données non personnelles ne soient pas pertinentes, bien au contraire, leur utilisation est de plus en plus massive et devrait d’ailleurs être priorisée dans le cas de la smart city. La raison tient plutôt à ce que cette catégorie de données est moins intéressante puisque, par définition, elle désigne celles qui ne permettent pas l’identification des personnes. Il est de plus en plus fréquent que le croisement de données non personnelles mène à l’identification des personnes, mais alors c’est bien le droit des données personnelles qui a, de nouveau, vocation à s’appliquer. Cette situation doit donc faire l’objet d’une attention particulière du responsable de traitement, mais elle se situe à la marge du sujet abordé ici.

Pour répondre à la question qui retient notre attention, il convient d’abord de souligner, à l’instar de tout autre traitement soumis au RGPD, l’importance d’adapter le motif de licéité au mode de fonctionnement et aux ambitions poursuivies par le traitement (2.1). Plus précisément, ensuite, il sera possible de constater que les traitements liés aux politiques de smart city peuvent poursuivre plusieurs objectifs à la fois et que, dans cette hypothèse, aucune règle n’établit de hiérarchie en faveur de l’environnement. Il en résulte le risque d’une contradiction frontale entre l’objectif environnemental et les autres objectifs, voire une instrumentalisation de l’objectif environnemental pour légitimer des traitements attentatoires aux libertés (2.2).

2.1. Le choix essentiel d’un motif de licéité adapté aux modalités du traitement

Du point de vue juridique, la première préoccupation qui doit être celle des responsables de traitements de données est sa légalité. Pour cela, l’article 6, § 1 du RGPD30 prévoit un ensemble de six motifs de licéité. Dans le cas de personnes publiques qui souhaitent créer des traitements de données personnelles en faveur de l’environnement, il semble qu’il faille restreindre les motifs de licéité à deux, qui concernent de surcroît deux situations factuelles profondément différentes. D’un côté, les traitements qui ont vocation à s’appliquer dans l’espace public se fonderont principalement sur le motif de la nécessité du traitement au regard d’une mission d’intérêt public31. De l’autre, les traitements ayant vocation à s’appliquer dans l’espace privé ou auprès d’individus se reposeront surtout le motif énoncé à l’article 6, § 1, sous a) du RGPD qui traite du consentement32. Partant, il est critique pour les personnes publiques d’éviter l’écueil qui consiste à utiliser un motif de licéité qui n’est pas adapté à la physionomie du projet de traitement au vu des risques en termes de droits fondamentaux (2.1.1). Or, le motif de la nécessité liée aux missions d’intérêt public demeure flou dans ses modalités de mise en œuvre et laisse une trop grande marge d’appréciation aux personnes publiques pour créer des traitements en faisant l’économie d’une réflexion sur son utilité (2.1.2.).

2.1.1. Un risque de confusion des motifs de licéité au détriment des droits fondamentaux

Pour les personnes publiques, la licéité du traitement renvoie tout simplement au principe de légalité, qui est au centre de l’action administrative et consiste en une simple prescription : il faut agir conformément au droit33, au risque de commettre une faute susceptible d’engager sa responsabilité34. Dans cette optique, les six motifs de licéité énoncés par le RGPD n’ont rien de cosmétique. Les juristes doivent réfléchir avant la mise en œuvre du traitement sur quel motif ils souhaitent explicitement se fonder, car c’est l’un des premiers points du contrôle qui pourrait être réalisé par la Commission nationale de l’informatique et des libertés (CNIL). Le fait de se fonder sur un motif erroné ou de ne pas en sélectionner entraîne l’illégalité du traitement et un risque de sanction35. Il faut donc retenir l’option la plus adaptée au regard des finalités poursuivies, ce qui n’est pas évident eu égard au caractère très abstrait du RGPD. Dans le cas qui intéresse cette étude, deux motifs semblent principalement envisageables.

Le motif de nécessité à une mission d’intérêt public est adapté aux traitements massifs, notamment au sein de l’espace public. Pour l’illustrer, il suffit d’imaginer un système de vidéoprotection de la voie publique qui servirait à sanctionner plusieurs infractions environnementales comme le non-respect de la pollution sonore36 et des normes de pollution de l’air, ce dernier cas étant de plus en plus fréquent dans le cadre des zones à faibles émissions37 créées par la loi d’orientation des mobilités, déjà adoptées par onze métropoles et dont la loi Climat et Résilience de 2021 a étendu l’application obligatoire à toutes les métropoles de plus de 150 000 habitants dès 202438. En mettant de côté le fait que de tels traitements doivent suivre des formalités supplémentaires et des obligations spécifiques, car ils ont trait à la prévention et à la détection d’infractions pénales39, ce fondement est logique puisque le traitement est déployé sur l’espace public pour des finalités d’intérêt général et qu’il n’est heureusement pas question de récolter le consentement de toutes les personnes qui circulent dans l’espace public. L’intérêt crucial de ce motif est qu’il permet d’écarter le droit d’opposition des personnes par un texte législatif ou réglementaire sous certaines conditions de nécessité et de proportionnalité40. Ainsi, les personnes ne peuvent pas refuser que leurs données personnelles soient collectées et traitées, ce qui est nécessaire pour un traitement sur l’espace public.

À l’inverse, le second motif concerne des traitements qui se basent sur le consentement41 des utilisateurs, lesquels sont d’une utilité plus localisée. Ce sera le cas d’une mairie ou d’une métropole qui encouragera ses habitants à télécharger une application qui leur permet un meilleur accès aux infrastructures de transport en commun, de vélos ou encore qui permet d’informer sur les places de stationnement disponibles en centre-ville. Ces applications fonctionnent donc sur le consentement à la récolte d’un certain nombre de données et, notamment, de la géolocalisation. Dans cette situation, à l’inverse, il sera très compliqué de faire passer le traitement sur la « nécessité42 » des missions d’intérêt public puisque ce motif se situe dans une logique totalement opposée à celle du consentement. Là où le consentement suppose un choix individuel, la nécessité implique, fondamentalement, de passer outre le choix de la personne, tout du moins de considérer que l’accord de la personne est donné par principe, quitte à ce le droit d’opposition lui soit reconnu.

Pour le résumer de manière un peu simpliste, si le traitement est nécessaire, alors il n’y a pas besoin du consentement, car les missions d’intérêt public justifient l’absence de choix. À l’inverse, il est illogique de se fonder sur le consentement si la mission d’intérêt public justifie de réduire cette liberté de choix. En réalité, l’appréciation de la nécessité est liée à la mission d’intérêt public et à la proportionnalité du dispositif, c’est-à-dire si les finalités poursuivies ne peuvent pas être atteintes par des moyens moins invasifs. Très souvent donc, les traitements fondés sur le consentement ont plutôt un caractère incitatif, vertueux d’un point de vue de l’environnement, mais tout à fait incitatif et donc non nécessaire à la réalisation d’une mission d’intérêt public.

L’ensemble de ces précisions permet de souligner que, sans que cela soit automatiquement illégal, il est excessivement difficile de concevoir un traitement licite fondé sur le motif du consentement si celui-ci a vocation à se déployer dans l’espace public. Par exemple, dans un « appel à la vigilance43 » du 17 juin 2020, la CNIL s’est prononcée sur l’utilisation de caméras intelligentes qui mesuraient le taux de respect du port du masque44. Bien qu’elles ne fussent pas directement visées, il s’agissait en fait de mesures prises par la municipalité de Cannes sur l’un de ses marchés communaux et par la Régie autonome des transports parisiens à la station Châtelet-Les-Halles. À cette occasion, la CNIL a abordé notamment une fonctionnalité permettant à l’usager de « faire non de la tête » pour manifester son opposition à la collecte des données par la caméra. Sans préjuger du motif de licéité sur lequel ces traitements étaient fondés, elle a considéré que cette modalité d’opposition était non conforme au RGPD, car elle était trop contraignante pour les personnes, difficile à généraliser et tout simplement inefficace45. Il suffit de se représenter des hordes de passagers matinaux en train de secouer frénétiquement la tête face à une caméra pour comprendre qu’effectivement une telle implémentation n’est ni souhaitable ni satisfaisante.

On comprend alors a contrario que, si le consentement devait être donné avant l’accès au service public, une réelle problématique se poserait. Les personnes ne souhaitant pas donner leur consentement seraient de facto empêchées d’emprunter les transports publics qui contribuent à la réduction de l’utilisation de la voiture et donc des émissions de gaz à effet de serre. Au demeurant, le problème se pose aussi dans le cas d’un traitement fondé sur la mission d’intérêt public si aucun texte ne prévoit d’écarter le droit d’opposition. Dans les deux hypothèses, il est matériellement impossible de scinder les transports publics en deux, entre les personnes qui acceptent que leurs données personnelles soient traitées et les autres. C’est ce qui explique que, dès lors que le contrôle du port du masque a été officialisé, le gouvernement se soit tourné vers le motif de la mission d’intérêt public et ait ainsi écarté le droit à opposition. Les traitements précités ont en effet inspiré le gouvernement qui en a généralisé l’utilisation après une saisine de la CNIL pour avis. Même si cela ne ressort pas explicitement de l’avis de la CNIL46 et du décret, le fondement retenu semble avoir été celui des missions d’intérêt public (Netter, 2021) et sans surprise, le droit d’opposition a été expressément écarté47.

Le choix des fondements est donc prédéterminé par les finalités du traitement et ses modalités pratiques. Les fondements, quant à eux, sont pensés pour constituer des garanties qui permettent, en théorie, d’éviter que des traitements attentatoires à la liberté et à l’utilité cosmétique soient déployés dans l’espace public. Néanmoins, cette protection n’est effective que si la CNIL est à même de contrôler les traitements utilisés par les autorités publiques, ce qui implique que ces dernières fassent preuve de plus de transparence. Ce n’est pourtant actuellement pas le cas.

2.1.2. La persistance d’imprécisions regrettables concernant le motif de la nécessité liée à une mission d’intérêt public

L’exemple de la mesure du taux de port du masque dans les transports l’atteste, il y a un risque de confusion des motifs de licéité qui peut conduire, outre à l’illégalité du traitement, à ce que les modalités de celui-ci ne permettent pas d’assurer un respect effectif du droit au respect de la vie privée. La raison décisive tient, à notre avis, au fait que le motif de la nécessité liée à une mission d’intérêt public souffre encore de trop d’imprécisions, lesquelles laissent une marge d’appréciation trop vaste aux personnes publiques.

Tout d’abord, la notion de mission d’intérêt public exigée par le paragraphe 3 de l’article 6 du RGPD est difficile à appréhender48. Certes, la mission peut être définie par un texte de droit européen ou de droit national, étant précisé que, dans ce dernier cas, le texte peut être de nature législative ou réglementaire49. Cette notion semble néanmoins être interprétée très largement. Lors de ses contrôles, la CNIL fait rarement référence à un texte précis, mais se borne plutôt à vérifier si les finalités du traitement renvoient aux compétences des autorités publiques50. Il est donc plausible de considérer que les larges compétences reconnues par les textes aux collectivités territoriales sont suffisantes pour constituer des bases textuelles à la mission d’intérêt public, fussent-elles liées aux questions environnementales. C’est notamment le cas de l’article L. 1111-2 du Code général des collectivités territoriales qui dispose que ces dernières concourent « à l’aménagement du territoire, […] ainsi qu’à la protection de l’environnement, à la lutte contre l’effet de serre par la maîtrise et l’utilisation rationnelle de l’énergie, et à l’amélioration du cadre de vie » ou encore de l’article L. 110-2 du Code de l’environnement en ce qu’il affirme que les personnes publiques doivent « veiller à la sauvegarde et contribuer à la protection de l’environnement ». La pratique décisionnelle de la CNIL de ne pas viser de texte en particulier dans son contrôle du motif des nécessités liées à une mission d’intérêt public permet en tout cas aux personnes publiques de ne pas forcément se référer à un texte précis, mais plutôt de mettre en avant le lien du traitement avec leurs compétences lesquelles sont énoncées dans des termes si généraux qu’elles permettent, théoriquement, de concevoir un nombre considérable de traitements.

Quant à la question de la dérogation du droit d’opposition par un texte législatif ou réglementaire, il subsiste un doute important auquel la CNIL devrait prochainement répondre, à savoir est-ce qu’une délibération d’un conseil municipal ou métropolitain ou un arrêté du maire est une « mesure du droit de l’État » susceptible d’écarter certains droits et ici notamment le droit d’opposition au sens de l’article 23 du RGPD ? La question se pose sérieusement car, si l’article 23, § 1 du RGPD parle de « mesures législatives » du droit de l’État membre, cette expression ne s’entend pas nécessairement au sens du règlement comme « l’adoption d’un acte législatif par un parlement51 ». S’il ne fait pas de doute que, pour la CNIL et le Conseil d’État, les décrets peuvent écarter le droit à opposition, la question demeure pour les arrêtés ou les délibérations prises au niveau local. Le texte européen laisse ainsi une marge d’appréciation aux autorisations nationales qui a pu récemment être illustrée par une affaire jugée par le Conseil d’État dans un contentieux analogue52, avec comme limites, d’une part, le fait que la mesure doive respecter « l’essence des libertés et droits fondamentaux et qu’elle constitue une mesure nécessaire et proportionnée dans une société démocratique53 » et, d’autre part, le principe de sécurité juridique54.

La réponse à cette question semble donc périlleuse à bien des égards, car elle est plus politique que juridique. Y répondre négativement viendrait rendre excessivement difficile le déploiement des types de traitements évoqués ici puisque l’assentiment du pouvoir central serait nécessaire pour écarter le droit d’opposition. Un certain nombre de traitements devraient donc disparaître. Y répondre positivement encouragerait les collectivités à multiplier des traitements qui visent à contrôler l’espace public et sur lesquels la CNIL tente d’appeler à la plus grande vigilance. S’il fallait néanmoins trouver un avantage, ce serait celui de révéler publiquement des traitements qui sont le plus souvent cachés à la population en raison de leur caractère politiquement sensible. Cette pratique est d’autant plus courante que le RGPD a marqué le passage d’un régime d’autorisation à une logique de contrôle a posteriori par une CNIL trop peu dotée financièrement (CNIL, 2022b55). Cela n’incite pas les personnes publiques à se pencher sur la licéité de leurs traitements ou à en informer le public. L’ouverture d’une telle possibilité présente donc également le risque de submerger la CNIL de saisines et les juridictions administratives de recours.

Une première réponse semble avoir été apportée par le Conseil d’État, mais uniquement à l’occasion de l’exercice de sa fonction consultative. Plusieurs municipalités dont la ville de Marseille avaient été mises en demeure de régulariser leur système de contrôle du stationnement payant, dans la mesure où le recueil de plaques minéralogiques était automatique alors que le traitement n’écartait pas le droit d’opposition. Après discussions entre les associations d’élus locaux et le Premier ministre ainsi que le ministère chargé des transports, un projet de décret prévoyant d’autoriser les communes à écarter le droit d’opposition a été soumis à la section de l’intérieur du Conseil d’État. Dans une lettre envoyée à l’Association des maires de France et publiée en ligne, le directeur général des infrastructures, des transports et des mobilités au ministère chargé des Transports révèle que la section s’est montrée favorable à ce qu’une délibération puisse écarter le droit d’opposition (Coquil, 2023). Le ministère a, de plus, accompagné sa lettre d’une note d’éclairage juridique qui précise bien qu’un motif d’intérêt général doit être invoqué et que la délibération doit contenir les éléments exigés par l’article 23, § 2 du RGPD pour pouvoir être légale (ministère de la Transition écologique, 2023). Reste qu’il serait intéressant que cette position soit définitivement confirmée par la section du contentieux du Conseil d’État.

Malgré tout, qu’il soit question d’environnement ou non, le déploiement de traitements de données personnelles par les personnes publiques au nom de la smart city ne peut pas faire l’économie d’une réflexion sur les motifs de licéité. Il en va d’une part de l’efficacité du traitement et donc, de l’action publique, et d’autre part de la protection des personnes. Si le droit au respect de la vie privée vient évidemment à l’esprit, la spécificité des traitements déployés par les personnes publiques ou en leur nom est qu’elle touche aussi aux conditions d’accès aux services publics. Il y a là, une raison supplémentaire pour renforcer les exigences à leur égard, mais aussi une nécessité d’étudier plus en profondeur la manière avec lesquelles les finalités affichées par ces traitements sont poursuivies.

2.2. Le risque constant d’une contrariété entre l’objectif environnemental et les autres objectifs poursuivis par les traitements de données personnelles

Au-delà de la base légale, le droit des données personnelles est tout à fait ouvert à ce qu’un seul et même traitement de données personnelles poursuive une pluralité d’objectifs. Aucune règle juridique n’encadre néanmoins la compatibilité de ces objectifs entre eux. En conséquence, la hiérarchisation des finalités est laissée à la discrétion du responsable du traitement. Dans le cas de l’objectif environnemental, cette absence est regrettable (2.2.1). La crainte d’une marginalisation de cet objectif est renforcée par le fait que le marché de l’innovation et les instruments contractuels à disposition des personnes publiques poussent à un croisement des finalités qui n’assure pas qu’une place de choix soit réservée aux enjeux environnementaux (2.2.2).

2.2.1. L’absence regrettable de bilan coût/avantage du bénéfice environnemental tiré de l’outil numérique

Une fois le palier de la licéité franchie, le responsable de traitement doit aussi réfléchir au respect d’un ensemble de principes définis à l’article 5, § 1 du RGPD. Au milieu de tous ces principes, c’est celui de minimisation qui semble particulièrement important dans le cas de la smart city. Ces solutions reposent en effet sur la collecte de grands volumes de données personnelles. Or, en vertu de ce principe, les données doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées56 ». Il n’est pas ici question de s’étendre sur le fond de ce principe, mais plutôt de remarquer que, dans le cadre de la présente étude, ce principe de minimisation des données personnelles se double d’un principe, implicite, de minimisation de l’impact environnemental de l’outil smart city. L’idée n’est pas de dire que le droit doit forcément prévoir ce second principe de minimisation, mais plutôt de rappeler que l’autorité administrative n’est ni obligée de tenir compte du coût environnemental de la solution, ni de le confronter aux bénéfices environnementaux qui sont attendus une fois l’outil déployé.

Cette liberté n’a rien d’illogique, sur le plan local elle est même tout à fait classique dans l’optique du principe de libre administration des collectivités territoriales57 ou de la clause générale de compétence de la commune. Simplement, il existe forcément un risque qui pourrait se résumer au solutionnisme technologique ou au greenwashing. En somme, s’il faut minimiser la collecte des données personnelles pour éviter de tomber dans l’illégalité, il est possible de concevoir un outil de smart city parfaitement légal même si son impact environnemental est négatif. Or, il n’est pas difficile d’arriver à ce résultat. La fabrication des capteurs stimule le recours aux industries extractives qui constitue d’ailleurs l’écrasante majorité du coût environnemental du numérique (ADEME/ARCEP, 2022, p. 15-1758). La captation constante, le transfert des données récoltées et leur stockage dans des serveurs consomment aussi de l’énergie dans des proportions non négligeables. Pis, puisque la smart city ne concerne pas que des actions en faveur de l’environnement, il est impossible d’empêcher une solution qui poursuit une pluralité d’objectifs en même temps que la protection de l’environnement, mais qui produirait, à cette occasion, un effet négatif sur celui-ci. C’est, il nous semble, le cas des caméras ou des drones parlants qui permettent à un agent d’interpeller les personnes commettant toutes sortes d’incivilités. D’un point de vue strictement environnemental, il existe un risque de disproportion dans le cas d’une caméra fonctionnant plusieurs heures par jour (VHK, Viegand Maagøe, 2020, p. 151-15359) si elle ne conduit qu’à éviter que quelques détritus soient jetés au sol60. Certes, les bénéfices attendus en termes de sécurité pourraient toujours être avancés pour compenser ce surcoût environnemental, même si un récent rapport de la Cour des comptes ne relève « aucune corrélation globale […] entre l’existence de dispositifs de vidéoprotection et le niveau de la délinquance commise sur la voie publique, ou encore les taux d’élucidation » (Cour des comptes, 2020, p. 7061). Il n’en demeure pas moins que, d’un point de vue environnemental, l’utilité de ces dispositifs est douteuse, à moins qu’ils soient, par exemple, placés à des endroits connus pour servir de décharge sauvage62. Or, dans le cas des mairies qui ont ou ont eu recours à ces dispositifs63, il n’est jamais clairement déterminé quelle place prend la motivation environnementale par rapport aux objectifs sécuritaires ou sanitaires.

Il n’est d’ailleurs pas question de défendre l’idée que cette forme de bilan coût/avantage environnemental doive être rendue juridiquement obligatoire. Au contraire, à la réflexion, il est très difficile, pour ne pas dire impossible, de déterminer ce bilan avec certitude. Les méthodes d’estimations scientifiques sont variées et ne prennent pas en compte les mêmes paramètres ou ne leur accordent pas la même importance. Dès lors que les dimensions sociales s’ajoutent, cette estimation devient même totalement inenvisageable, tout du moins les problématiques sont démultipliées par le simple facteur du comportement humain. Par exemple, une application qui informe des places de parking disponibles en ville n’encourage pas forcément à prendre les transports en commun. La même réflexion s’étend au covoiturage qui peut parfois revenir financièrement moins cher que le train malgré un coût environnemental supérieur.

L’autre problème majeur qui se pose vis-à-vis du principe de minimisation des données personnelles, mais aussi de minimisation de l’impact environnemental réside justement dans la multiplication des finalités poursuivies par un seul et même traitement. Plus un traitement poursuit de finalités, plus il est susceptible d’avoir besoin d’un grand nombre de données, moins il est susceptible de minimiser la collecte et le traitement de ces dernières. De la même manière, plus les finalités sont nombreuses, plus leur conciliation pose problème. S’il est tout à fait compréhensible que le cadre juridique du droit des données personnelles laisse une large liberté aux personnes publiques pour prendre en charge ces problématiques qui appellent de toute façon à des réponses au cas par cas, leurs choix sont cependant orientés par d’autres facteurs.

2.2.2. Une réalité économique et un cadre juridique encourageant le croisement des finalités au détriment probable de l’objectif environnemental

Le croisement des finalités par une seule et même solution technologique est en pratique tout à fait courant pour une raison qui tient au caractère compétitif de ce marché, aspect renforcé par le cadre juridique qui permet de formaliser ces projets. Il est rarissime que l’outil technologique soit développé par les services des personnes publiques qui n’en ont généralement ni les moyens ni les compétences techniques. Ces solutions sont dans leur écrasante majorité vendues par des personnes privées à des personnes publiques (Picaud, 2020, p. 864). Cette situation concurrentielle les incite à livrer des solutions ou des services qui peuvent aider à la réalisation d’un grand nombre de missions des personnes publiques dans une optique de mutualisation et d’économie des deniers publics, en bref, d’efficacité de l’action publique (Courmont, 2020, p. 12165). Mais la raison tient aussi et surtout à ce que les instruments contractuels à la disposition des personnes publiques66 mettent le caractère innovant des offres au centre des critères qui permettent aux sociétés privées de remporter le développement, l’expérimentation ou encore la mise en œuvre et la maintenance de la solution smart city. C’est notamment le cas du partenariat d’innovation et surtout du marché global de performance qui ont été tous deux créés pour permettre aux personnes publiques de favoriser les nouveaux usages de la technologie (ministère de l’Économie, 2021, p. 184-190).

Deux raisons principales expliquent pourquoi ces deux instruments sont adaptés. Les solutions liées à la smart city sont généralement coûteuses et impliquent une diversité de compétences techniques. Or, ces contrats permettent d’associer plusieurs cocontractants67 tout en étant susceptibles de déroger au principe d’allotissement68 qui impliquerait un fractionnement trop contraignant des marchés. Enfin, et de manière plus évidente, le caractère innovant ou les critères de performance et les possibilités laissées par le Code encouragent les candidats à proposer des solutions croisant les finalités.

Le partenariat d’innovation permet d’envisager conjointement une phase de recherche et de développement puis, éventuellement, une phase d’achat de la solution (Bélot, 2017, p. 19). Le Code de la commande publique (CCP) définit le caractère innovant de manière très laconique, mettant en avant « les travaux, fournitures ou services nouveaux ou sensiblement améliorés69 ». Pour pouvoir y recourir, l’acheteur doit également apporter la preuve que la solution adaptée au besoin n’est pas disponible sur le marché. Dès lors, cette forme contractuelle traduit déjà la volonté de bénéficier de nouvelles prestations, laquelle peut résider dans une poursuite efficace de plusieurs finalités par un seul et même outil. Il est tout du moins vraisemblable que ce motif puisse constituer un caractère nouveau ou sensiblement amélioré. Certes, le critère d’indisponibilité de la solution sur le marché peut dissuader les acheteurs de recourir à cet outil. Un rapport parlementaire de 2017 préconisait d’assouplir ce critère en le remplaçant par l’obligation de « prouver [que l’acheteur] a suivi la procédure lui permettant d’évaluer si des solutions existent, ce qui devrait limiter l’incertitude juridique » (ibid., p. 70). Une simple recherche sur le bulletin officiel des annonces des marchés publics démontre effectivement que cet outil est encore utilisé de manière extrêmement marginale. Cette solution a pourtant été privilégiée dans certains cas, comme dans celui du syndicat départemental d’énergie Morbihan Énergies, qui y a eu recours pour son projet de smart territories lancé en 2019.

Le marché global de performance est, pour sa part, beaucoup plus populaire. Il « associe l’exploitation ou la maintenance à la réalisation ou à la conception-réalisation de prestations70 ». Sa spécificité réside dans l’imposition d’« un ou plusieurs critères relatifs aux objectifs de performance définis en fonction de l’objet du marché71 » en plus du critère du coût global. Il a d’ailleurs été avant tout pensé pour des innovations en faveur de l’environnement puisque les objectifs mesurés « sont définis notamment en termes de niveau d’activité, de qualité de service, d’efficacité énergétique ou d’incidence écologique72 ». Il s’agit là d’une option sans doute plus confortable puisqu’elle n’implique pas le risque relatif au caractère indisponible de la solution sur le marché. La possibilité d’imposer des critères de performance est évidemment essentielle, notamment si le critère environnemental est prédominant. Il s’agit de l’outil privilégié des grands projets smart city comme celui de la métropole de Dijon, qui est réalisé avec des sociétés telles que Capgemini, Suez ou encore des sociétés du groupe Bouygues et du groupe EDF.

Il faut enfin noter que ces deux outils permettent aisément de bénéficier d’une procédure avec négociation ou d’une procédure de dialogue compétitif73, que ce soit en raison du caractère innovant de la solution74 ou du fait que le marché global portera sur des prestations de conception75. Il en résulte un dialogue construit avec les cocontractants potentiels qui ne manqueront pas de mettre en avant les applications multiples de leurs solutions pour se démarquer de leurs concurrents. Conjuguées à la souplesse du contrôle juridictionnel sur la phase de définition des besoins76, ces procédures assurent aux candidats et aux pouvoirs adjudicateurs un cadre suffisamment libre. Au demeurant, les acheteurs ont également régulièrement recours à la technique de l’accord‑cadre pour surpasser cette exigence, comme ce fut le cas dans le projet Morbihan Énergies. S’il est toujours possible pour la personne publique de choisir une stricte définition de ses besoins qui fermerait la porte au croisement des finalités, ce n’est pas la philosophie adoptée par certaines collectivités, lesquelles encouragent plutôt à un véritable concours Lépine des innovations technologiques (Bélot, 1017, p. 4377).

En somme, le droit de la commande publique, mais aussi le contexte économique poussent au croisement de finalités qui ne sont pas hiérarchisées en droit. Il en résulte le risque d’une forme de solutionnisme technologique incité tant par les outils contractuels que par la situation financière des collectivités, malgré l’émergence de règles78 et de solutions79 censées limiter le coût environnemental du numérique dans l’achat public. À nouveau, le but n’est pas ici de regretter la liberté nécessairement large laissée aux personnes publiques, mais plutôt de noter que la protection de l’environnement peut en pâtir.

Il semble donc que la smart city ne promette pas de faire mieux pour l’environnement, mais qu’elle tente de faire différemment, c’est-à-dire de contenir le caractère énergivore ou néfaste pour l’environnement des innovations technologiques. Elle ne renonce pour autant pas à ces dernières. Une chose est sûre, elle doit surtout éviter de faire pire. Mais, sur ce dernier point, le droit n’intervient pas. Cet angle mort juridique est donc compréhensible, mais il est aussi révélateur du constat que le cadre juridique du droit des données personnelles se fonde sur l’idée que le développement économique n’est pas contradictoire avec la protection de l’environnement. Ce constat n’est sans doute pas surprenant, mais il est nécessaire de le questionner, au moins sur l’absence de conciliation entre la finalité environnementale et les autres finalités. La lutte contre le réchauffement climatique et en faveur de l’environnement passe sans aucun doute par une hiérarchisation des finalités de l’action publique. Or, en droit des données personnelles, cette hiérarchisation ne repose aujourd’hui que sur la bonne volonté des personnes publiques et elle apparaît orientée par les solutions qu’offre le droit de la commande publique vers une forme de centralisation des buts poursuivis par un seul et même outil, en dépit des risques de contrariété entre ces objectifs.

Conclusion

L’étude du cadre juridique qui régit les outils de la smart city développés dans une perspective environnementale permet de rationaliser l’apport du modèle. La conciliation entre la protection des données personnelles et la plus-value réelle des outils invite à en réduire considérablement les usages. À l’inverse, les données non personnelles devraient être priorisées mais, si elles sont pourvoyeuses de solutions intéressantes, il serait naïf de croire qu’elles joueront un rôle primordial pour régler la crise climatique. La conclusion de cette étude pourrait alors être décevante mais, en réalité, ce cadre paraît tout à fait conforme aux objectifs de la politique environnementale française. Derrière la smart city et tous les autres cas d’usage du numérique en faveur de l’environnement évoqués dans notre contribution, il y a un idéal de croissance économique et le cadre juridique se révèle tout à fait réceptif à cette idée, en ce qu’il permet de la favoriser sans trop d’encombres. Est-ce toujours vrai à l’heure où, ayant manifestement lu Pierre Charbonnier (2020), le président de la République ne parle plus de start-up nation80 mais de « fin de l’abondance » ? Seul l’avenir le dira.