Conseil 20152447 Séance du 10/09/2015

La commission d'accès aux documents administratifs a examiné dans sa séance du 10 septembre 2015 votre demande de conseil relative au caractère communicable du bilan d'activité annuel établi par le correspondant « Informatique et libertés » (CIL) à l'intention du responsable des traitements des données personnelles de l'organisme qui l'emploie. La commission estime que ce rapport d'activité revêt le caractère d'un document administratif, au sens de l'article 1er de la loi du 17 juillet 1978, lorsque la tâche du CIL se rapporte notamment aux traitements mis en œuvre par un organisme chargé d'une mission de service public, dans le cadre de cette mission, au sens de l'article 1er de la loi du 17 juillet 1978. Les rapports d'activité des CIL en fonction au sein d'une personne morale de droit public ou d'une autre personne morale chargée d'une mission de service public présentent donc ce caractère, sauf dans le cas particulier, susceptible de se présenter pour certaines personnes morales de droit privé chargées d'une telle mission, où aucun des traitements de données personnelles mis en œuvre au sein de l'organisme ne présenterait de lien avec cette mission. La commission s'est déjà prononcée, par son avis du 13 février 2014 (n° 20140108), en faveur de la communication de tels documents administratifs, sous réserve de l'occultation des mentions couvertes par l'un des secrets mentionnés à l'article 6 de la loi du 17 juillet 1978. Vous lui avez communiqué, à l'appui de votre demande de conseil, des extraits de bilans d'activité des CIL, ainsi que le modèle vierge de bilan d'activités que la CNIL met à la disposition de ses correspondants, afin qu'elle précise les contours des occultations ainsi nécessaires, notamment au regard des principes ou intérêts publics et privés suivants : - le secret des délibérations du gouvernement et des autorités responsables relevant du pouvoir exécutif ; - la sûreté de l'État, la sécurité publique ou la sécurité des personnes ; - le secret en matière commerciale et industrielle ; - la protection de la vie privée des personnes. Après avoir pris connaissance du modèle et de quelques exemples de bilans d'activité de CIL que vous lui avez communiqués, la commission considère que certains passages seulement de ces documents devraient être occultés avant communication. S'agissant en premier lieu du point 1 du préambule du modèle de bilan, intitulé « Présentation de l'organisme responsable des traitements », la commission estime que c'est seulement dans le cas de certaines entreprises privées chargées d'une mission de service public que des mentions relatives au nombre de salariés de l'entreprise, à ses implantations et au nombre de ses clients, si elles présentent une valeur dans la concurrence entre cette entreprise et d'autres entreprises, peuvent être regardées comme couvertes par le secret en matière commerciale et industrielle protégé par les dispositions du II de l'article 6 de la loi de 1978. Dans aucun autre cas les informations de cette rubrique ne doivent être occultées. En deuxième lieu, la commission considère qu'au point 3 du préambule, intitulé « présentation du CIL », les mentions relatives aux diplômes du CIL et à l'expérience acquise ailleurs que dans des missions de service public relèvent de la vie privée de cet agent, et ne sont pas communicables aux tiers, en application du II de l'article 6 de la loi de 1978. En troisième lieu, en ce qui concerne le point 1 de la partie III, intitulé « recensement des traitements », la commission rappelle qu'elle s'est déclarée, dans son avis n° 20140108 mentionné plus haut, incompétente pour se prononcer sur le caractère communicable de documents comportant de telles informations, auxquelles l'accès est exclusivement régi par la loi du 6 janvier 1978 et ses dispositions d'application. En quatrième lieu, la commission considère que des mentions relatives aux procédures de sécurité et autres dispositifs de protection mis en place, aux incidents de sécurité rencontrés ou aux manquements constatés par la CNIL, telles que celles qui figurent au point 2 de la partie II, au point 4 de la partie III et aux points 1 et 2 de la partie IV, ne sont susceptibles d'être occultées sur le fondement du d du 2° du I de l'article 6 de la loi de 1978, en vertu duquel ne sont pas communicables les documents dont la communication porterait atteinte à la sûreté de l'État, à la sécurité publique ou à la sécurité des personnes, que dans l'hypothèse ou ces mentions seraient d'une précision telle que leur divulgation risquerait de faciliter l'exploitation de failles de sécurité insuffisamment corrigées dans des traitements de données susceptibles d'être détournées à des fins malveillantes à l'encontre de la sécurité publique ou de la sécurité des personnes. Il en irait de même si les manipulations de traitement ainsi facilitées mettaient en danger la protection de la vie privée ou le secret en matière commerciale et industrielle. La commission estime que ces hypothèses ne sont susceptibles de se présenter qu'exceptionnellement. La commission précise en cinquième lieu que devraient également être occultées les mentions relatives aux manquements constatés par la CNIL et aux procédures de sanction engagées si ces mentions faisaient apparaître une appréciation ou un jugement de valeur sur une personne physique, nommément désignée ou facilement identifiable, ou faisaient apparaître d'une personne physique ou morale, autre que celles qui sont chargées d'une mission de service public, un comportement dont la divulgation pourrait porter préjudice à celle-ci. La commission considère en revanche que les passages des bilans d'activité qui procèderaient à une évaluation critique du fonctionnement de la structure sans mettre en cause à titre personnel ses dirigeants ou ses agents ne sauraient être regardés comme portant une appréciation ou un jugement de valeur sur une personne au sens du II de l'article 6 de la loi du 17 juillet 1978. Enfin, la commission estime qu'eu égard à l'objet, à l'auteur et aux destinataires du bilan d'activités d'un CIL, ainsi qu'à sa teneur prévisible, un tel document n'est pas susceptible de relever du secret des délibérations du Gouvernement et des autorités responsables du pouvoir exécutif.