Avis 20216623 Séance du 16/12/2021

Monsieur X, pour X, a saisi la Commission d'accès aux documents administratifs, par courrier enregistré à son secrétariat le 19 octobre 2021, à la suite du refus opposé par la présidente de la Commission nationale de l'informatique et des libertés (CNIL) à sa demande de communication, de préférence par voie électronique ou, à défaut, par voie postale, dans le cadre de la sanction prononcée par la Commission nationale pour la protection des données luxembourgeoise (CNPD) à l’encontre de la société X d'une amende d’un montant de sept-cent-quarante-six-millions d’euros, des éléments suivants : 1) les documents relatifs à cette sanction, notamment ceux qui auraient été communiqués à la CNIL, en application des articles 60 à 65 du règlement (UE) 2016/679 du 27 avril 2016 ; 2) la décision de sanction ; 3) les différents projets, rapports, comptes rendus, avis et correspondances qui auraient été émis par la CNIL, la CNPD, le Comité européen de la protection des données (CEPD) ou les autres autorités de contrôle européennes dans le cadre de cette sanction. En l’absence de réponse exprimée par la présidente de la CNIL à la date de sa séance, la commission rappelle, d'une part, que constituent des documents administratifs, en vertu des dispositions de l'article L300-2 du code des relations entre le public et l'administration, quels que soient leur date, leur lieu de conservation, leur forme et leur support, les documents produits ou reçus, dans le cadre de leur mission de service public, par l’État, les collectivités territoriales ainsi que par les autres personnes de droit public ou les personnes de droit privé chargées d'une telle mission. Elle rappelle, d'autre part, qu'aux termes des articles 24 et suivants de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, la CNIL met en œuvre des procédures de coopération et d'assistance mutuelle avec les autorités de contrôle des autres États membres de l'Union européenne et réalise avec ces autorités des opérations conjointes, dans les conditions prévues aux articles 60 à 67 du règlement (UE) 2016/679 du 27 avril 2016. Lorsque la CNIL est invitée à contribuer à une opération de contrôle conjointe décidée par l'autorité de contrôle d'un autre État membre, le président de la commission se prononce sur le principe et les conditions de la participation, désigne les membres et agents habilités et en informe l'autorité requérante dans les conditions prévues à l'article 62 du règlement (UE) 2016/679 du 27 avril 2016. La CNIL communique aux autorités de contrôle des autres Etats membres les informations utiles et leur prête assistance en mettant notamment en œuvre, à leur demande, des mesures de contrôle telles que des mesures de consultation, d'inspection et d'enquête. Qu'elle agisse en tant qu'autorité de contrôle concernée ou en tant qu'autorité chef de file au sens des articles 4 et 56 du règlement (UE) 2016/679 du 27 avril 2016, la Commission nationale de l'informatique et des libertés est compétente pour traiter une réclamation ou une éventuelle violation des dispositions du même règlement affectant par ailleurs d'autres États membres. Le président de la commission invite les autres autorités de contrôle concernées à participer aux opérations de contrôle conjointes qu'il décide de conduire. La CNIL répond à une demande d'assistance mutuelle formulée par une autre autorité de contrôle dans les meilleurs délais et au plus tard un mois après réception de la demande contenant toutes les informations nécessaires, notamment sa finalité et ses motifs. Elle ne peut refuser de satisfaire à cette demande que si elle n'est pas compétente pour traiter l'objet de la demande ou les mesures qu'elle est invitée à exécuter, ou si une disposition du droit de l'Union européenne ou du droit français y fait obstacle. La CNIL informe l'autorité de contrôle requérante des résultats obtenus ou, selon le cas, de l'avancement du dossier ou des mesures prises pour donner suite à la demande. Il résulte de ces dispositions que lorsqu’elle agit dans le cadre des procédures de coopération et d'assistance mutuelle avec les autorités de contrôle des autres États membres de l'Union européenne, la CNIL agit en qualité d’autorité administrative dans le cadre de ses missions de service public définies à l'article 8 de la loi du 6 janvier 1978. Dès lors, les documents qu’elle produit ou reçoit en cette qualité constituent des documents administratifs, sans qu'y fasse obstacle la circonstance que la décision prise à l'issue de ces procédures émane d'une autorité de contrôle d'un autre État membre. Au cas d'espèce, la commission constate que, dans un communiqué publié le 3 aout 2021, la CNIL a indiqué que, le 16 juillet 2021, la CNPD a prononcé à l’encontre de la société XX une amende d’un montant de X. Cette décision a pour origine une plainte collective qui avait été adressée à la CNIL par l’association X. En application des procédures de coopération entre autorités instaurées par le RGPD, c’est la CNPD qui était compétente pour traiter ce dossier, la société XX étant établie sur son territoire. La CNIL a toutefois étroitement coopéré avec la CNPD tout au long de la procédure, dans le cadre de contrôles et de l’analyse des preuves obtenues, puis, lors de l’examen du projet de décision dans le cadre de la procédure du guichet unique. La commission estime que les documents sollicités, dans la mesure où ils ont été établis ou reçus par la CNIL dans le cadre des procédures de coopération internationale prévues par les dispositions précitées du règlement (UE) 2016/679 du 27 avril 2016 et de la loi du 6 janvier 1978 et s'ils présentent un caractère achevés, sont communicables dans les conditions et sous les réserves prévues par le titre III du code des relations entre le public et l'administration. A ce titre, la commission rappelle qu'aux termes de l'article L311-6 de code, ne sont communicables qu'à l'intéressé les documents dont la communication porterait atteinte au secret des affaires, lequel comprend le secret des procédés, des informations économiques et financières et des stratégies commerciales ou industrielles, ainsi que les documents faisant apparaître le comportement d'une personne physique ou morale, dès lors que la divulgation de ce comportement pourrait lui porter préjudice. Par ailleurs, aux termes de l'article L311-7 du même code, lorsque la demande porte sur un document comportant des mentions qui ne sont pas communicables en application des articles L311-5 et L311-6 mais qu'il est possible d'occulter ou de disjoindre, le document est communiqué au demandeur après occultation ou disjonction de ces mentions, sous réserve que cette occultation ne prive pas d’intérêt sa communication. Enfin, la commission précise que l'éventuelle publicité de la sanction prononcée par la CNPD qui comporterait certains de ces éléments, est sans incidence sur l'appréciation par l'autorité saisie des mentions relevant d'un secret protégé dans le cadre et au titre du droit d'accès aux documents administratifs régi par le livre III du code des relations entre le public et l'administration. La commission, qui n'a pu prendre connaissance des documents sollicités, émet donc, sous l'ensemble des réserves précédemment rappelées, un avis favorable.