Assurer la sécurité des grands événements : de nouvelles enquêtes administratives avant autorisation d’accès par l’organisateur

Face à cet enjeu particulièrement sensible en termes notamment de sécurité publique, d’images et de retombées économiques, la loi n° 2016-731 du 3 juin 2016 relative au renforcement de la lutte contre le crime organisé et le terrorisme a prévu diverses dispositions visant à renforcer les pouvoirs d’enquête et de contrôle administratif, et créé un cadre spécifique applicable aux grands événements (cf. art. 53, codifié au nouvel article L211-11-1 du Code de la sécurité intérieure), à côté des règles existantes concernant par exemple les rassemblements festifs à caractère musical ainsi que les manifestations sportives, récréatives ou culturelles à but lucratif.
L’organisateur est ainsi soumis à l’obligation de délivrer des autorisations d’accès aux infrastructures événementielles et de solliciter à cet effet un avis des pouvoirs publics, rendu après enquête administrative. De nouvelles responsabilités sont susceptibles d’en découler.
Le cadre de ce dispositif vient d’être précisé par un décret d’application n° 2017-587 du 20 avril 2017, pris après avis du Conseil d’Etat (publié au JORF du 22 avril) et avis de la CNIL (délibération n° 2017-049 du 9 mars 2017).
Cette procédure fait d’une certaine manière écho au dispositif récemment mis en œuvre dans les transports publics en matière d’incompatibilité comportementale (cf. actu-chronique-licenciement-incompatibilite-comportement-transports-publics-personnes-marchandises-dangereuses.php )

1. Qui est concerné ?

Il est ainsi prévu que pour les grands événements exposés à un risque exceptionnel de menace terroriste, de par leur ampleur ou leurs circonstances particulières, l’accès à tout ou partie des établissements et installations est soumis à une autorisation de l’organisateur après avis suite à enquête administrative.
Seuls certains grands évènements sont donc concernés, soit selon les circonstances, soit en fonction de leur ampleur et du niveau de menace.
Un décret viendra préciser au cas par cas :

• A quel « grand événement » s’applique ce dispositif ;
• La délimitation du périmètre des établissements et installations destinés à l’accueillir et concernés par ce dispositif ;
• La désignation de l’organisateur ayant qualité pour délivrer les autorisations d’accès ;
• L’autorité administrative compétente (qui sera soit le Ministre de l’intérieur, soit le Préfet de département, soit le Préfet de police) ainsi que les délais de procédure applicables.

Sera concernée par l’exigence d’une autorisation d’accès toute personne n’ayant pas la qualité de spectateur ou de participant, ce qui vise en particulier les personnels des différentes entreprises intervenantes, mais pas uniquement. L’exclusion des participants et des spectateurs paraît raisonnable et pragmatique, d’autant que ces derniers ont vocation à être soumis à des procédures de contrôle d’accès classiques.
L’article R211-33 du code de la sécurité intérieure, issu du décret du 20 avril 2017, précise ainsi que sont notamment visées les personnes :

• Contribuant au soutien technique ou logistique et à l’approvisionnement de l’événement ;
• Assurant le fonctionnement, l’entretien, la maintenance ou la surveillance des installations et espaces concernés ;
• Exerçant une activité quelconque, occasionnelle ou permanente, professionnelle ou bénévole, même sans rapport avec le grand événement, notamment commerciale, au sein des établissements et installations concernées.

La CNIL s’est inquiétée du caractère particulièrement large du champ de l’enquête administrative, les catégories de personnes concernées étant très diverses, à l’exception des spectateurs et participants.
Bien que la rédaction du décret ait été modifiée pour tenir compte de son avis, cette liste demeure non limitative (sont ainsi concernés les sponsors et journalistes par exemple), et il est prévu par ailleurs que la qualité de résident dans la zone concernée ne fasse pas obstacle à la mise en œuvre de la procédure.
Ces autorisations s’appliqueront aux accès :

• A tout ou partie des établissements et/ou installations concernées ;
• Que ce soit pendant la préparation de cet événement ou pendant sa durée de déroulement lui-même (à noter : afin de limiter le dispositif à ce qui est strictement nécessaire aux objectifs poursuivis, le législateur n’a pas expressément visé les opérations postérieures de type démontage, remise en état du site, etc.).

Dans le silence des textes, qui s’intéressent essentiellement aux modalités de vérification avant délivrance des autorisations, on en déduit qu’il s’agit d’autorisations individuelles et nominatives, devant en toute logique être établies sur un format infalsifiable (pass sécurisé), après avoir le cas échéant donné lieu aux formalités nécessaires à la mise en œuvre de traitements de données personnelles concernant les enregistrements et dispositifs d’accès.

2. Quelle procédure d’autorisation d’accès ?

a)    La demande d’avis
L’autorisation d’accès étant rendue obligatoire, elle devra naturellement être sollicitée au préalable auprès de l’organisateur. Le cahier des charges des entreprises intervenantes devra donc intégrer cette exigence en précisant notamment la nature des informations à transmettre à l’organisateur et les mesures à prendre en cas de refus d’accès.
Qui dit procédure d’autorisation dit possibilité pour l’organisateur d’en refuser la délivrance.
Intervient ici l’obligation pour l’organisateur de recueillir au préalable l’avis de l’autorité administrative compétente.
Selon le nouvel article R211-32 du Code de la sécurité intérieure, cette demande d’avis doit être sollicitée par écrit et comporter les mentions obligatoires suivantes :

• Identité, nationalité, date et lieu de naissance, domicile de la personne ;
• Motif de l’accès à l’établissement durant l’installation ;
• Indication descriptive des différentes catégories de spectateurs et de participants ;

Cette demande devra être transmise dans les délais prévus par le décret de désignation du grand événement.
Sur le plan du formalisme, l’organisateur est tenu d’informer la personne concernée (logiquement par écrit et en tout état de cause, par tout moyen permettant d’en conserver la copie) du fait qu’une demande avis est formulée et que dans ce cadre, elle fait l’objet d’une enquête administrative conformément aux dispositions de l’article L211-11-1.

b)  L’enquête administrative systématique
Partant de là, les services du Ministère de l’intérieur (création d’un service de police à compétence nationale pour éviter la dispersion de données sensibles) sont chargés de diligenter une enquête administrative visant à vérifier que le comportement ou les agissements de la personne ne sont pas de nature à porter atteinte à la sécurité des personnes, à la sécurité publique ou à la sûreté de l’État.
À cet effet, l’enquête peut donner lieu à la consultation d’une liste limitative de fichiers de traitement automatisé de données à caractère personnel, visés par l’article R211-32 et liés à la prévention et à la sanction des atteintes à la sécurité publique (à l’exclusion des fichiers d’identification), si les règles propres à chacun le permettent, c’est-à-dire si les données contenues apparaissent comme pertinentes : TAJ, EASP, PASP, GIPASP, CRISTINA, FSPRT, FPR et FOVeS.
Il s’agit d’une faculté, mais on imagine qu’en pratique, ces fichiers sensibles seront prioritairement consultés surtout si le nombre de demandes d’autorisation formulées est important, dans la mesure où leur recoupement permet de réaliser un « criblage » individuel, et si nécessaire, d’approfondir l’enquête.
L’autorité administrative doit rendre son avis dans le délai fixé par le décret de désignation du grand événement, étant précisé qu’un avis défavorable ne peut être émis que s’il ressort de l’enquête administrative que le comportement ou les agissements de la personne sont de nature à porter atteinte à la sécurité des personnes, à la sécurité publique ou à la sûreté de l’État.
La CNIL a insisté sur l’exigence qu'aucun avis défavorable ne soit pris sur le seul fondement de l'inscription d'une personne dans un fichier, et que les fichiers soient correctement mis à jour afin d’éviter toute atteinte aux droits et libertés des personnes concernées.
Dans tous les cas, l’organisateur n’est informé que du sens de l’avis rendu (favorable ou défavorable), mais pas de ses motifs.

c) La décision de l’organisateur
L’autorisation d’accès délivrée pose a priori peu de difficulté, quoiqu’elle puisse toujours être retirée par la suite, mais à condition d’être alors motivé par d’autres raisons liés notamment à un non-respect d’obligations contractuelles (ex : éviction pour non-respect de règles de sécurité du site, etc.).  
En pratique, c’est surtout la question de la portée du silence de l’autorité administrative dans le délai prescrit qui pourra faire discussion. Gageons qu’au regard de l’enjeu, l’autorité administrative s’efforcera dans ce domaine de rendre son avis dans le délai imparti.
Si en principe un avis n’est pas impératif, le décret prévoit toutefois que le refus d’accès intervienne « sur le fondement » de l’avis défavorable. En tout état de cause, on imagine assez mal un organisateur prendre la responsabilité de ne pas suivre un avis défavorable …
L’organisateur doit alors informer la personne intéressée.
Toutefois le décret s’avère en retrait par rapport aux recommandations de la CNIL : l’organisateur n’est pas tenu de communiquer copie de l’avis administratif, et aucune obligation de motivation ne lui est imposée, si ce n’est d’indiquer simplement le sens de l’avis administratif reçu (ce qui permet d’éviter toute polémique, notamment quant à une éventuelle discrimination par exemple).
En cas de refus, le parallélisme des formes est requis, et l’organisateur doit délivrer cette information par tout moyen permettant d’en conserver la copie (C. Séc. Int., R211-34).
L’organisateur doit bien sûr prendre ensuite toutes les mesures nécessaires (consignes, contrôles, etc.) pour éviter d’éventuels accès non autorisés.
Cette obligation d’information est finalement peu contraignante pour l’organisateur, qui se trouve de fait « tributaire » de l’avis administratif et privilégiera naturellement la solution permettant d’assurer la sécurité de l’évènement.
Aucune sanction spéciale n’est attachée au non-respect de ces obligations, mais on peut toutefois imaginer qu’un refus d’accès notifié dans des conditions irrégulières puisse donner lieu à contentieux, compte tenu du caractère non contradictoire de la procédure et des conséquences professionnelles pour la personne écartée.
Au regard du nombre de personnes potentiellement concernées, le risque judiciaire n’est pas à exclure (action en référé pour trouble manifestement illicite, action en responsabilité contractuelle ou extracontractuelle aux fins d’indemnisation de préjudices, etc.), de même que la voie du contentieux administratif, même s’il sera toujours quelque peu difficile de contester en temps utile un avis administratif dont la personne n’est pas directement destinataire et qui, s’il fait grief, ne constitue pas pour autant une décision individuelle.