Conseil 20213252 Séance du 08/07/2021

La commission d'accès aux documents administratifs a examiné dans sa séance du 8 juillet 2021 votre demande de conseil relative au caractère communicable, à un plaignant, d'un courrier relevant un certain nombre de manquements, adressé par la Commission nationale de l'informatique et des libertés (CNIL) à une entreprise privée n'exerçant pas de mission de service public dans le cadre de l'instruction de sa réclamation présentée sur le fondement de l'article 77 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, dit « règlement général sur la protection des données » (RGPD). La commission rappelle qu’en application des dispositions de l'article L311-6 du code des relations entre le public et l'administration, ne sont pas communicables aux tiers les mentions faisant apparaître le comportement de personnes, physiques ou morales, dans des conditions telles que la divulgation de ce comportement pourrait leur porter préjudice, tant que les délais prévus au I de l'article L213-2 du code du patrimoine ne sont pas expirés. La commission précise que pour l'application de cette réserve, elle distingue le rappel de la réglementation en vigueur des constats de manquement à ladite réglementation. Seuls ces derniers, susceptibles de révéler un comportement dont la divulgation porterait préjudice à son auteur, ne sont pas communicables aux tiers en application des dispositions du 3° de l’article L311-6 du code des relations entre le public et l’administration, sauf s’il s’agit d’informations relatives à l’environnement (CE, n° 392711, Union départementale CGT d’Ille-et-Vilaine, 21 octobre 2016). En l’espèce, la commission constate que la plainte, déposée par les demandeurs, concerne la tenue, par la société X qui les emploie, d’un fichier contenant des données à caractère personnel et des données de santé de ses salariés. Elle observe que la demande porte sur le courrier de fin de procédure que la CNIL a adressé à cette société, qui est nommément identifiée, en vertu des pouvoirs qui lui sont reconnus au b) du 2 de l'article 58 du RGPD. Ce courrier comporte la mention de la réclamation, procède à un rappel des principes relatifs au traitement des données à caractère personnel et de la réglementation des données concernant la santé des personnes, qualifie les faits au regard de ces principes et, compte tenu des manquements relevés, rappelle la société à ses obligations concernant le respect des articles 5 et 9 du RGPD. La commission relève que la qualification des faits au regard du RGPD révèle un comportement dont la divulgation est susceptible de porter préjudice à la société contrôlée, tout comme le rappel à ses obligations, qui est motivé par les manquements constatés. Elle estime que ces mentions forment un tout indivisible avec les paragraphes procédant au rappel des principes relatifs au traitement des données à caractère personnel et de la réglementation des données concernant la santé des personnes. La commission déduit de ces éléments que le document sollicité n’est pas communicable aux demandeurs, qui ont la qualité de tiers au sens de l'article L311-6 du code des relations entre le public et l'administration, indépendamment du fait qu’ils soient à l’origine de la plainte ayant justifié la procédure de contrôle. Elle précise qu’il n’y a pas lieu de distinguer, à cet égard, selon que la procédure concerne le non-respect d'un droit subjectif propre aux données personnelles des plaignants ou un manquement plus général portant sur le traitement mis en œuvre par le responsable du traitement. Au surplus, elle observe que ce courrier comporte des mentions relatives au contenu du fichier contrôlé qui, bien que présentées sous couvert d’anonymat, peuvent au regard des faits relatés, conduire à identifier certains salariés et à révéler des informations à leur sujet, couvertes par l’article L311-6 du code des relations entre le public et l’administration. La commission vous invite, en conséquence, à refuser la communication du document sollicité.