Jugement du Tribunal admi­nis­tra­tif de Brême, 2 K 763/​23, du 14 juillet 2025

Faits

En janvier 2022, un admi­nis­tré de la région alle­mande de Brême reçoit une déci­sion rela­tive à fixa­tion des frais de collecte des déchets pour l’année. Cette déci­sion, basée sur les carac­té­ris­tiques de l’habitation de l’administré et de l’occupation de son ménage, fixe l’émolument à EUR 176.82.

L’administré s’oppose alors à cette déci­sion en février au motif qu’elle avait été prise de manière auto­ma­ti­sée en viola­tion de l’art. 22 RGPD. Cette déci­sion devrait par consé­quent être consi­dé­rée comme nulle. Pour lui, il s’agit d’un trai­te­ment entiè­re­ment auto­ma­tisé et illi­cite de ses données person­nelles produi­sant des effets juridiques.

Près d’une année plus tard, la Sénatrice char­gée de la protec­tion du climat, de l’environnement, de la mobi­lité, du déve­lop­pe­ment urbain et du loge­ment (« Senatorin für Klimaschutz, Umwelt, Mobilität, Stadtentwicklung und Wohnungsbau ») rejette l’opposition du requé­rant au motif qu’elle serait non fondée. Pour elle, le simple calcul infor­ma­tisé des frais n’est pas une déci­sion auto­ma­ti­sée au sens de l’art. 22 RGPD. Pour le surplus, la Sénatrice estime qu’une éven­tuelle viola­tion est, dans tous les cas, corri­gée par la déci­sion sur opposition.

En avril 2025, l’administré forme un recours contre la déci­sion sur oppo­si­tion. Pour lui, ses données person­nelles ont été soumises de manière illi­cite à un trai­te­ment auto­ma­tisé condui­sant à une déci­sion. Cette dernière produit des effets juri­diques contrai­gnants et directs sur sa situa­tion person­nelle pouvant conduire à une procé­dure d’exécution forcée à son encontre.

Le 14 juillet 2025, le Tribunal admi­nis­tra­tif de Brême (« Verwaltungsgericht ») rend son jugement.

Droit

Dans un premier temps, le Tribunal donne raison sur le fond à l’administré. En effet, il estime que la déci­sion initiale est une déci­sion fixée exclu­si­ve­ment sur un trai­te­ment auto­ma­tisé au sens de l’art. 22, par. 1 RGPD.

À teneur de l’art. 22 par. 1 RGPD,

« La personne concer­née a le droit de ne pas faire l’ob­jet d’une déci­sion fondée exclu­si­ve­ment sur un trai­te­ment auto­ma­tisé, y compris le profi­lage, produi­sant des effets juri­diques la concer­nant ou l’af­fec­tant de manière signi­fi­ca­tive de façon simi­laire. »

Le Tribunal explique que cet article vise à proté­ger la personne concer­née contre les déci­sions qui lui sont défa­vo­rables et qui sont fondées exclu­si­ve­ment sur un trai­te­ment auto­ma­tisé. Une telle déci­sion existe dès lors que des données trai­tées auto­ma­ti­que­ment abou­tissent, à l’aide d’un ordi­na­teur, à un résul­tat qui ne peut être attri­bué à un être humain.

Ainsi, les condi­tions d’application de l’art. 22 par. 1 RGPD sont remplies. Le fait que la collecte préa­lable des données l’ait été par des fonc­tion­naires, que le proces­sus ait été initié par eux ou qu’un contrôle aléa­toire soit réalisé n’y change rien. Selon le juge­ment, il est d’ailleurs prati­que­ment impos­sible que la déci­sion en cause ait été ainsi contrô­lée, dès lors qu’aucun procès-verbal n’existe.

De surcroît, il n’existe aucune dispo­si­tion légale en droit alle­mand ou du Land de Brême auto­ri­sant un trai­te­ment exclu­si­ve­ment auto­ma­tisé comme le permet l’art. 22 par. 2 let. b RGPD.

En revanche, le Tribunal de Brême estime que, quand bien même un trai­te­ment auto­ma­tisé a été illi­ci­te­ment réalisé, cette viola­tion a été « guérie » par la déci­sion sur oppo­si­tion de la Sénatrice.

En effet, le Tribunal alle­mand explique que la première déci­sion de taxa­tion sur les frais de collecte des déchets et la déci­sion sur oppo­si­tion forment une unité procé­du­rale au sens du droit admi­nis­tra­tif. En d’autres termes, la première déci­sion d’avis des frais, initia­le­ment illi­cite, doit d’abord faire l’objet d’une oppo­si­tion dans son inté­gra­lité. La Sénatrice a ensuite le même pouvoir de cogni­tion pour la revoir et statue à nouveau sur la ques­tion. Ce n’est qu’au moment où la déci­sion sur oppo­si­tion est rendue, que l’on doit se deman­der si elle a été rendue dans le cadre d’une procé­dure entiè­re­ment automatisée.

Selon ce juge­ment, « il n’existe aucune objec­tion au regard du droit de l’Union quant à la possi­bi­lité procé­du­rale de remé­dier au vice formel dans le cadre de la procé­dure de recours » (traduc­tion libre du consi­dé­rant 2.b).

Le Tribunal admi­nis­tra­tif de Brême conclut donc qu’il n’y a pas eu de viola­tion de l’art. 22 RGPD, tout vice ayant été réparé lors de la procé­dure d’opposition.

Appréciation

La conclu­sion à laquelle le Tribunal alle­mand arrive est conce­vable mais n’en reste pas moins discu­table. En effet, l’art. 22 RGPD est clair : une personne concer­née a le droit de ne pas faire l’objet d’une déci­sion fondée exclu­si­ve­ment auto­ma­ti­sée. Ce droit, comme n’importe lequel, subit égale­ment des restric­tions qui sont listées au para­graphe 2. Il existe par consé­quent un droit qui doit être respecté par toutes personnes trai­tant des données personnelles.

Ici, le raison­ne­ment du Tribunal crée un véri­table renver­se­ment de para­digme. Le droit de ne pas faire l’objet d’une déci­sion indi­vi­duelle fondée exclu­si­ve­ment sur un trai­te­ment auto­ma­tisé, conçu comme une garan­tie de prin­cipe, se trouve requa­li­fiée en un droit subjec­tif. Si l’on suit ce raison­ne­ment, sa mise en œuvre dépen­drait de la remise en cause de la déci­sion par la personne concer­née et non d’une simple demande d’intervention humaine. Ce renver­se­ment affai­blit consi­dé­ra­ble­ment la portée de la norme. La protec­tion, censée être préven­tive, devient condi­tion­née à une démarche proactive.

La viola­tion de l’art. 22 RGPD n’est pas, comme le retient le juge­ment, un simple « vice formel ». Cet article a pour but de garder un contrôle sur les déci­sions qui ont un impact juri­dique sur les personnes concernées.

Et en Suisse ?

Il existe égale­ment une dispo­si­tion spéci­fique trai­tant de la ques­tion des déci­sions indi­vi­duelles auto­ma­ti­sées, soit l’art. 21 LPD. Contrairement au RGPD, il n’est pas prévu d’interdiction formelle, mais d’un devoir d’informer lorsque de telles déci­sions sont prises.

L’art. 22 al. 2 LPD prévoit que

« Si la personne concer­née le demande, le respon­sable du trai­te­ment lui donne la possi­bi­lité de faire valoir son point de vue. La personne concer­née peut exiger que la déci­sion indi­vi­duelle auto­ma­ti­sée soit revue par une personne physique. »

Ainsi, comme pour le reste des dispo­si­tions de la LPD, celle-ci ne prévoit pas de régime géné­ral d’interdiction ou d’obligation de faire repo­ser tout trai­te­ment sur des bases légales ou autre comme le RGPD, mais prévoit une réelle obli­ga­tion de trans­pa­rence et d’information aux personnes concernées.

Il n’en reste pas moins que la personne concer­née doit pouvoir effec­ti­ve­ment faire valoir son point de vue et exiger une inter­ven­tion humaine.

Pour conclure, il est en effet louable de rete­nir qu’il existe des méca­nismes permet­tant de guérir des viola­tions de la protec­tion des données. Cependant, la respon­sa­bi­lité de respec­ter ces normes doit incom­ber au respon­sable du trai­te­ment et non à la personne concer­née, au risque d’affaiblir les droits des personnes, voire de les mettre à la poubelle.