Conseil 20213227 Séance du 08/07/2021

La commission d'accès aux documents administratifs a examiné dans sa séance du 8 juillet 2021 votre demande de conseil relative à la possibilité, pour la plateforme numérique privée madada.fr, qui traite et diffuse des informations communiquées par des administrations au titre du droit de communication des documents administratifs, de publier en ligne les adresses électroniques professionnelles ainsi que les numéros des lignes téléphoniques directes des agents ayant contribué aux réponses apportées aux demandeurs. La commission relève que la plateforme Ma Dada permet aux usagers d’adresser des demandes de communication de documents administratifs à plus de 50 000 autorités répertoriées et d’y obtenir les éventuels réponses et documents associés. Toutes les demandes, réponses et pièces produites sont automatiquement publiées. La commission rappelle qu’elle considère, de manière constante, que les numéros de téléphone et les adresses électroniques professionnels des agents publics sont des données à caractère personnel. Ces mentions, à l’exception toutefois de celles permettant de contacter les personnes responsables de l'accès aux documents administratifs (PRADA), relèvent, par ailleurs, d’un des secrets protégés, en l’espèce le secret de la vie privée (avis n° 20054747 du 5 janvier 2006, de partie II ; avis n° 20150328 du 7 mai 2015, de partie II ; avis n° 20193420 du 18 juillet 2019, de partie II). La commission rappelle également qu'aux termes de l'article L321-1 du code des relations entre le public et l’administration : « Les informations publiques figurant dans des documents communiqués ou publiés par les administrations mentionnées au premier alinéa de l'article L300-2 peuvent être utilisées par toute personne qui le souhaite à d'autres fins que celles de la mission de service public pour les besoins de laquelle les documents ont été produits ou reçus. / Les limites et conditions de cette réutilisation sont régies par le présent titre ». Aux termes de l'article L321-2 : « Ne sont pas considérées comme des informations publiques, pour l'application du présent titre, les informations contenues dans des documents : a) Dont la communication ne constitue pas un droit pour toute personne en application du titre Ier ou d'autres dispositions législatives, sauf si ces informations font l'objet d'une diffusion publique conforme aux prescriptions des articles L312-1 à L312-1-2 ; (…) c) Ou sur lesquels des tiers détiennent des droits de propriété intellectuelle. (...) ». La commission entend, à titre liminaire, apporter deux précisions. D’une part, la mise à disposition en accès libre et gratuit sur la plateforme Ma Dada des éléments adressés en réponse aux demandes de communication de documents administratifs librement communicables formulées par son intermédiaire, qu’il s’agisse des documents sollicités eux-mêmes ou des courriels de réponse des autorités saisies, constitue une utilisation à d’autres fins que la mission de service public pour laquelle les documents sollicités ont été élaborés et doit donc être regardée comme une réutilisation d'informations publiques au sens de l’article L321-1 du code des relations entre le public et l'administration, quand bien même il ne serait porté aucune modification sur les informations publiques telles que transmises par l'administration. La commission rappelle que dans un avis n° 20175766 du 8 mars 2018, de partie II, elle a en effet abandonné la distinction qu'elle effectuait entre la simple publication sur internet par un usager, en accès libre et à titre gratuit, d'un document communiqué par l'administration sans commentaire ni ajout, et la notion de réutilisation qui impliquait, selon elle, l'intervention d'un tiers sur le document sollicité, soit par des modifications, des ajouts de commentaires, soit par la soumission de l'accès du document à un paiement préalable. D’autre part, une information publique doit, au sens des dispositions précitées, répondre à trois conditions cumulatives : figurer dans un document produit ou reçu dans le cadre d’une mission de service public ; être librement accessible à toute personne ; ne pas être grevé de droits de propriété intellectuelle. La commission en déduit que la référence au « document » figurant à l’article L321-1 du code précité s’entend nécessairement sous réserve des règles régissant la communicabilité partielle de documents, mentionnées à l’article L311-7 de ce code. Compte tenu de ces éléments, la commission estime que la demande de conseil apporte des développements de sa part sur deux points : - d’une part, les obligations incombant aux autorités saisies d’une demande de communication d’un document administratif librement communicable, mais comportant des données à caractère personnel couvertes par un secret protégé, en l’occurrence la vie privée ; - d’autre part, les obligations incombant au réutilisateur de ces documents, en particulier la plateforme Ma Dada. I. Cadre juridique applicable à la communication de documents administratifs comportant des données à caractère personnel couvertes par le secret de la vie privée : La commission rappelle, d’une part, qu’aux termes de l’article L311-7 du code des relations entre le public et l’administration : « Lorsque la demande porte sur un document comportant des mentions qui ne sont pas communicables en application des articles L311-5 et L311-6 mais qu’il est possible d’occulter ou de disjoindre, le document est communiqué au demandeur après occultation ou disjonction de ces mentions ». La commission relève qu’il incombe à l’autorité saisie de procéder à ce travail de disjonction ou d’occultation des mentions couvertes par un secret protégé, tel que le secret de la vie privée, préalablement à la communication du document demandé. La commission tient à souligner que cette opération préalable appelle une vigilance renforcée lorsque les éléments communiqués font l’objet, comme en l’espèce, d’une publication sur internet. Elle attire donc votre attention sur la nécessité de supprimer, dans le corps des courriels de réponse adressées à Ma Dada, qui revêtent le caractère de document administratif, toutes les mentions confidentielles se rapportant aux agents instructeurs n’ayant pas la qualité de PRADA. La commission relève, toutefois, que la question des adresses électroniques professionnelles soulève une difficulté particulière, dans la mesure où les autorités saisies par l’intermédiaire de la plateforme Ma Dada n’ont pas la possibilité de répondre directement aux demandeurs et sont tenus d’utiliser l’adresse mail spécifique générée pour chaque demande et hébergée par la plateforme. Sauf à préconiser l’utilisation d’une adresse fonctionnelle dédiée aux démarches administratives, la commission relève que les autorités publiques se trouvent, à ce titre, dans une situation inextricable. II. Cadre juridique applicable à la réutilisation de documents administratifs comportant des données à caractère personnel couvertes par le secret de la vie privée : La commission relève que la consultation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition portant sur des données à caractère personnel constituent un traitement de données au sens de l'article 2 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (« loi CNIL ») et de l’article 4 du RGPD. Par suite, une administration répondant à une demande d’accès à un document administratif contenant des données de cette nature doit ainsi être regardée comme un responsable de traitement. Elle est toutefois dispensée de requérir, avant toute communication ou publication, le consentement préalable des personnes concernées, en principe exigé par l'article 5 de la loi CNIL et l'article 6 du RGPD, dès lors qu'il s'agit, pour elle, de respecter l'obligation légale de procéder à la communication de documents administratifs découlant des dispositions du code des relations entre le public et l’administration. La commission relève, d’autre part, que la plateforme Ma Dada, en tant que réutilisateur d’informations publiques incluant des données à caractère personnel, doit également être regardée comme un responsable de traitement de données à caractère personnel. La commission entend donc rappeler les obligations qui lui incombent. Elle précise, en effet, que le responsable de traitement doit, aux termes de l'article L322-1 du code des relations entre le public et l’administration, veiller à ce que les informations publiques réutilisées ne soient pas altérées, que leur sens ne soit pas dénaturé et que leurs sources et la date de leur dernière mise à jour soient mentionnées. En outre, la réutilisation d'informations publiques comportant, comme en l’espèce, des données à caractère personnel est subordonnée au respect des dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (art. L322-2) et du règlement (UE) 2016/679 du Parlement et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD). A ce titre, le responsable du traitement doit être en mesure de démontrer que le projet respecte les principes relatifs au traitement des données à caractère personnel définis à l'article 4 de la loi du 6 janvier 1978 et à l'article 5 du RGPD (traitement loyal et transparent, qui poursuit une finalité déterminée explicite et légitime avec des données adéquates, pertinentes et limitées à la réalisation de la finalité, pour une durée limitée et dans des conditions sécurisées) et que le projet est licite, c'est-à-dire qu'il répond à une des conditions posées par le 1. de l'article 6 du RGPD : la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ; le traitement est nécessaire à l'exécution d'un contrat auquel la personne concernée est partie ou à l'exécution de mesures précontractuelles prises à la demande de celle-ci ; le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis ; le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne physique ; le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement ; le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant. La commission relève que les articles 13 et 14 du RGPD définissent les obligations d'information à la charge d'un responsable de traitement lorsqu'il collecte des données personnelles, selon que cette collecte a été effectuée ou non auprès de la personne concernée. Le chapitre II du titre II de du RGPD porte, quant à lui, sur les droits de la personne concernée. La commission relève, en particulier, que les agents concernés disposent d’un droit d’opposition à la diffusion de données à caractère personnel les concernant sur la plateforme Ma Dada, qu’ils peuvent faire valoir, s’ils le jugent utile. La commission insiste sur la nécessité de prendre l’ensemble des mesures appropriées pour protéger les droits et libertés ainsi que les intérêts légitimes des personnes concernées et rappelle à la plateforme Ma Dada que la CNIL attache une attention particulière au respect de ces principes. La commission rappelle, en outre, que toute réutilisation contraire expose le réutilisateur aux sanctions civiles, administratives et, dans certains cas, pénales attachées à de telles pratiques. La commission retient de l’audition des représentants de la plateforme Ma Dada l’engagement pris de procéder à la suppression préalable des adresses électroniques ainsi que des numéros de téléphone professionnels des agents contribuant aux réponses apportées aux demandeurs, de manière systématique avant leur publication. La commission en prend note mais estime nécessaire pour la plateforme de se positionner expressément sur son site. Elle relève, à cet égard, que la politique de confidentialité du site entretient une certaine confusion dans sa partie consacrée aux autorités publiques. Elle constate également la mention d’un retrait de « la plupart des adresses emails et numéros de téléphone des réponses aux administrations, sur la page « FAQ pour les administrations » du site. La commission recommande, dès lors, à la plateforme de procéder à l’occultation systématique, avant publication, de l’ensemble des données à caractère personnel protégées par le secret de la vie privée et lui préconise, en outre, de lever toute ambigüité par des mentions claires et non équivoques traduisant les engagements qu’elle a pris.