Conseil 20210778 Séance du 11/02/2021

La commission d'accès aux documents administratifs a examiné dans sa séance du 11 février 2021 votre demande de conseil relative au modalités de restitution, de publication et de diffusion, d’un rapport produit par un comité scientifique d’experts de Santé publique France dans le cadre d’une saisine relative à la survenue d’agrégats d’agénésies transverses des membres supérieurs (ATMS). Après avoir pris connaissance du rapport complémentaire au rapport d'expertise remis le 11 juillet 2019, la commission estime que, dès lors que l’étude porte sur sept familles, réparties en deux agrégats, eu égard au faible nombre de personnes concernées, dans des lieux précisément localisés, et à la publicité qu'ont reçue ces cas de malformations graves, parfois à l’initiative des familles elles-mêmes, il est impossible de parvenir à une anonymisation des personnes concernées. L'anonymisation s'entend en effet d'un traitement qui consiste à utiliser un ensemble de techniques de manière à rendre impossible, en pratique, toute identification de la personne par quelque moyen que ce soit et de manière irréversible. Elle diffère de la pseudonymisation qui consiste en un traitement de données personnelles réalisé de manière à ce qu'on ne puisse plus attribuer les données relatives à une personne physique sans information supplémentaire, notamment en rendant impossible son identification de façon directe. Or, la commission rappelle qu'aux termes des dispositions de l'article L312-1-2 du code des relations entre le public et l'administration, sauf dispositions législatives ou réglementaires contraires, lorsque les documents comportent des mentions entrant dans le champ d'application des articles L311-5 ou L311-6, dont la protection de la vie privée et le secret médical, ils ne peuvent être rendus publics qu'après avoir fait l'objet d'un traitement permettant d'occulter ces mentions et que sauf dispositions législatives contraires ou si les personnes intéressées ont donné leur accord, lorsque ces documents comportent des données à caractère personnel, ils ne peuvent être rendus publics qu'après avoir fait l'objet d'un traitement permettant de rendre impossible l'identification de ces personnes. La commission en déduit que les parties du rapport relatives à la caractérisation des expositions à des facteurs de risque environnementaux et non environnementaux des mères du cluster confirmé d’ATMS de Guidel et du cas de Calan et à la Ré-analyse de la suspicion de cluster d’ATMS à Mouzeil en Loire-Atlantique ne sont pas communicables à des tiers ou publiables, en l'absence d'une disposition législative spéciale l'autorisant, sans le consentement des personnes intéressées à la publication des données à caractère personnel les concernant. A ce égard, la commission précise que pour que le consentement soit libre et éclairé et puisse être regardé comme ayant été valablement recueilli, au sens du règlement (UE)2016/679 général sur la protection des données (RGPD), il convient que la personne concernée soit informée au moins de l'identité du responsable du traitement, des finalités du traitement auquel sont destinées les données à caractère personnel, et le consentement ne devrait pas être considéré comme ayant été donné librement si la personne concernée ne dispose pas d'une véritable liberté de choix ou n'est pas en mesure de refuser ou de retirer son consentement sans subir de préjudice. Les lignes directrices du Comité européen de la protection des données 5/2020 sur le consentement au sens du règlement (UE)2016/679, prévoient ainsi que les informations suivantes sont nécessaires afin d’obtenir un consentement valable : i.l’identité du responsable du traitement, ii.la finalité de chacune des opérations de traitement pour lesquelles le consentement est sollicité, iii.les (types de) données collectées et utilisées, iv.l’existence du droit de retirer son consentement v.des informations concernant l’utilisation des données pour la prise de décision automatisée conformément à l’article 22, paragraphe 2, point c, le cas échéant, et vi. des informations sur les risques éventuels liés à la transmission des données en raison de l’absence de décision d’adéquation et de garanties appropriées telles que décrites à l’article 46. En l'espèce, la commission constate que les formulaires de recueil de consentement ne mentionnent pas l’identité du responsable du traitement, ni l’existence du droit de retirer son consentement. Il n'est donc pas certain que le consentement des personnes concernées puisse être regardé comme ayant été valablement recueilli au sens du RGPD. En tout état de cause, la commission considère que le recueil préalable du consentement n'est pas adapté à la communication ou la diffusion du rapport complémentaire dès lors qu'il conduira nécessairement à la restitution d'une information parcellaire, ce qui ne participera pas à la compréhension des conclusions et recommandations du comité d’experts. Il présente, en outre, le risque, que vous soulignez, de permettre l'identification de toute personne n'ayant pas donné son consentement, ce qui fait également obstacle à la publication envisagée. La commission estime ensuite qu'il est très peu probable, compte tenu de ce qui a été dit précédemment, que l'agrégation des résultats et des informations de manière très générique, en excluant toute possibilité d'établir un lien avec les familles écarte tout risque d'atteinte aux données à caractère personnel des familles concernées. En effet, si les données diffusées sont communes à l'ensemble des familles, qui partagent donc une caractéristique en commun, on en déduit une information personnelle sur chaque famille, voire membre de la famille selon la nature de l’information rendue publique. La commission estime, en conséquence, que la réglementation actuelle n'autorise la publication du rapport complémentaire que vous lui avez soumis qu'après occultation ou retrait de ses développements relatifs aux examens des situations individuelles des familles concernées et à leurs résultats, ce qui correspond à la troisième option que vous envisagez.