Avis 20216964 Séance du 17/02/2022

Monsieur X a saisi la Commission d'accès aux documents administratifs, par courrier enregistré à son secrétariat le 12 novembre 2021, à la suite du refus opposé par le ministre des solidarités et de la santé à sa demande de communication du contrat passé avec la société qui édite les « QR Codes » et avec celle qui les héberge pour vérifier la mise en place du passeport sanitaire et les conditions de conservation et de sécurité des données de santé. La commission, qui a pris connaissance de la réponse du ministre des solidarités et de la santé, rappelle qu'une fois signés, les marchés publics et les documents qui s'y rapportent sont considérés comme des documents administratifs soumis au droit d'accès institué par le livre III du code des relations entre le public et l’administration. En conséquence, la communication à un candidat écarté des motifs ayant conduit la commission d'appel d'offres à ne pas lui attribuer le marché ne permet pas de refuser la communication de ces documents. Ce droit de communication, dont bénéficient tant les entreprises non retenues que toute autre personne qui en fait la demande, doit toutefois s'exercer dans le respect du secret des affaires, protégé par les dispositions de l’article L311-6 de cette loi. Sont notamment visées par cette réserve les mentions relatives aux moyens techniques et humains, à la certification de système qualité, aux certifications tierces parties ainsi qu'aux certificats de qualification concernant la prestation demandée, ainsi que toute mention concernant le chiffre d'affaires, les coordonnées bancaires et les références autres que celles qui correspondent à des marchés publics. Il résulte de la décision du Conseil d’État du 30 mars 2016, Centre hospitalier de Perpignan (n° 375529), que, lorsqu’elles sont saisies d’une demande de communication de documents relatifs à un marché public, les autorités mentionnées à l’article L300-2 du même code doivent examiner si les renseignements contenus dans ces documents peuvent, en affectant la concurrence entre les opérateurs économiques, porter atteinte au secret des affaires et faire ainsi obstacle à cette communication. Le Conseil d’État a en outre précisé qu’au regard des règles de la commande publique, doivent être regardées comme communicables, sous réserve des secrets protégés par la loi, l’ensemble des pièces d’un marché public et que, dans cette mesure, l’acte d’engagement, le prix global de l’offre et les prestations proposées par l’entreprise attributaire, notamment, sont en principe communicables. En revanche, les éléments qui reflètent la stratégie commerciale d’une entreprise opérant dans un secteur d’activité et dont la divulgation est susceptible de porter atteinte au secret des affaires ne sont, en principe, pas communicables. Il en va ainsi du bordereau des prix unitaires et de la décomposition du prix global et forfaitaire. En l'espèce, la commission relève qu'aux termes de l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions : « I. - Par dérogation à l'article L1110-4 du code de la santé publique, aux seules fins de lutter contre la propagation de l'épidémie de covid-19 et pour la durée strictement nécessaire à cet objectif ou, au plus tard, jusqu'au 31 juillet 2022, des données à caractère personnel concernant la santé relatives aux personnes atteintes par ce virus et aux personnes ayant été en contact avec elles peuvent être traitées et partagées, le cas échéant sans le consentement des personnes intéressées, dans le cadre d'un système d'information créé par décret en Conseil d’État et mis en œuvre par le ministre chargé de la santé. / Le ministre chargé de la santé ainsi que l'Agence nationale de santé publique, un organisme d'assurance maladie et les agences régionales de santé peuvent en outre, aux mêmes fins et pour la même durée, être autorisés par décret en Conseil d’État à adapter les systèmes d'information existants et à prévoir le partage des mêmes données dans les mêmes conditions que celles prévues au premier alinéa du présent I. (...) / II. - Les systèmes d'information mentionnés au I ont pour finalités : / 1° L'identification des personnes infectées, par la prescription et la réalisation d'examens de dépistage virologique ou sérologique ou d'examens d'imagerie médicale pertinents ainsi que par la collecte de leurs résultats, y compris non positifs, ou par la transmission des éléments probants de diagnostic clinique susceptibles de caractériser l'infection mentionnés au même I. Ces informations sont renseignées par un professionnel de santé figurant sur une liste prévue par décret et habilité à la réalisation des examens de dépistage virologique ou sérologique ou sous la responsabilité de ce professionnel, dans le respect de leur devoir d'information à l'égard des patients ; / 2° L'identification des personnes présentant un risque d'infection, par la collecte des informations relatives aux contacts des personnes infectées et, le cas échéant, par la réalisation d'enquêtes sanitaires, en présence notamment de cas groupés ; / 3° L'orientation des personnes infectées, et des personnes susceptibles de l'être, en fonction de leur situation, vers des prescriptions médicales d'isolement prophylactiques, ainsi que l'accompagnement de ces personnes pendant et après la fin de ces mesures ; / 4° La surveillance épidémiologique aux niveaux national et local, ainsi que la recherche sur le virus et les moyens de lutter contre sa propagation, sous réserve, en cas de collecte d'informations, de supprimer les nom et prénoms des personnes, leur numéro d'inscription au répertoire national d'identification des personnes physiques, leur adresse et leurs coordonnées de contact téléphonique et électronique ; / 5° L'accompagnement social des personnes infectées et des personnes susceptibles de l'être pendant et après la fin des prescriptions médicales d'isolement prophylactiques, sous réserve du recueil préalable du consentement des intéressés au partage de leurs données à caractère personnel dans ce cadre. (...) ». En application de ces dispositions, l'article 8 du décret n° 2020-551 du 12 mai 2020 a autorisé la création d'un système d'information national de dépistage, dénommé SI-DEP, ayant pour finalités « de centraliser les résultats d'examens de dépistage virologique ou sérologique du covid-19 afin de les mettre à disposition des organismes chargés de déterminer les personnes ayant été en contact avec des personnes infectées, de réaliser des enquêtes sanitaires en présence de cas groupés pour rompre les chaînes de contamination, d'orienter, de suivre et d'accompagner les personnes concernées, et de faciliter le suivi épidémiologique aux niveaux national et local et la recherche sur le virus de même que les moyens de lutter contre sa propagation (...) de générer et d'envoyer aux personnes concernées un justificatif d'absence de contamination par la covid-19 ou un certificat de rétablissement (...) ». Les deux derniers alinéas de l'article 9 de ce décret précisent qu' « Un QR-code ne comportant aucune information permettant d'identifier la personne concernée est généré aléatoirement et apposé sur le résultat positif d'un examen de dépistage virologique au virus de la covid-19. Il est envoyé à la personne ayant effectué l'examen de dépistage pour lui permettre de signaler ce résultat positif dans l'application mobile mentionnée à l'article 1er du décret n° 2020-650 du 29 mai 2020 relatif au traitement de données dénommé « TousAntiCovid », afin d'informer les contacts à risque de contamination mentionnés au 1° et au 5° du II du même article. / Un QR-code valant justificatif d'absence de contamination par la covid-19 ou certificat de rétablissement, pouvant être présenté pour satisfaire aux obligations mentionnées au II de l'article 1er de la loi susmentionnée du 31 mai 2021 et aux articles 12 et 13 de la loi susmentionnée du 5 août 2021, et un QR-code permettant l'import de ce justificatif ou certificat dans l'application mobile susmentionnée, sont apposés sur ce résultat. Ces QR-codes contiennent les données suivantes : noms, prénoms et date de naissance de la personne concernée, et informations relatives à l'examen de dépistage. ». Par ailleurs, l'article 1er du décret n° 2020-1690 du 25 décembre 2020 a autorisé la création d'un traitement automatisé de données à caractère personnel dans le cadre de la campagne de vaccination contre la covid-19, dénommé « Vaccin Covid ». Le II de cet article précise que ce traitement « a pour finalités : / 1° L'identification des personnes éligibles à la vaccination au regard des recommandations énoncées par le ministre chargé de la santé en application des dispositions de l'article L 3111-1 du code de la santé publique, l'envoi de bons de vaccination à ces personnes, l'accompagnement à la vaccination des personnes présentant des vulnérabilités de santé particulières, l'enregistrement des informations relatives à la consultation préalable à la vaccination et l'organisation de la vaccination de ces personnes ; / 2° Le suivi de l'approvisionnement des lieux de vaccinations en vaccins et consommables ; / 3° L'envoi à la personne vaccinée d'un récapitulatif des informations relatives à la vaccination, établi par le professionnel de santé réalisant la vaccination ou par le personnel placé sous sa responsabilité, et la délivrance du justificatif de statut vaccinal pouvant être présenté pour satisfaire aux obligations mentionnées au II de l'article 1er de la loi n° 2021-689 du 31 mai 2021 relative à la gestion de la sortie de crise sanitaire et aux articles 12 et 13 de la loi n° 2021-1040 du 5 août 2021 relative à la gestion de la crise sanitaire ; / 4° La mise à disposition de données permettant la présentation de l'offre de vaccination, la surveillance de la couverture vaccinale, la mesure de l'efficacité et de la sécurité vaccinales, la pharmacovigilance, le suivi statistique de la campagne de vaccination, l'appui à l'évaluation de la politique publique de vaccination et la réalisation d'études et de recherches, et l'adaptation des mesures médicales d'isolement prophylactiques pour les personnes vaccinées identifiées comme cas contact ou personnes co-exposées en application des dispositions de l'article 1er du décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions ; / 5° La délivrance, en cas d'apparition d'un risque nouveau, de l'information prévue à l'article L1111-2 du code de la santé publique, aux personnes vaccinées et, le cas échéant, leur orientation vers un parcours de soins adaptés ; / 6° La prise en charge financière des actes liés à la vaccination ; / 7° Le contrôle de l'obligation vaccinale des personnes mentionnées au I de l'article 12 de la loi du 5 août 2021 susmentionnée, dans les conditions prévues au II de l'article 13 de la même loi. ». La commission constate qu'il résulte de ces dispositions que le législateur et le pouvoir réglementaire ont créé deux systèmes d'information distincts portant respectivement sur les résultats des tests de dépistage de la covid-19 et sur la vaccination contre cette pathologie, qui donnent tous deux lieu à la génération et au traitement de QR-codes. S'agissant des QR-codes utilisés dans le cadre du système d'information portant sur les résultats des tests de dépistage de la covid-19, le ministre des solidarités et de la santé, en réponse à la demande qui lui a été adressée, a informé la commission de ce qu’il n’est pas en possession du contrat conclu entre l'Assistance Publique - Hôpitaux de Paris (AP-HP), en qualité de sous-traitante de l'État, et la société qui les génère. D'une part, la commission rappelle toutefois qu’il lui appartient, en application du sixième alinéa de l’article L311-2 du code des relations entre le public et l’administration, de transmettre la demande de communication, accompagnée du présent avis, à l’autorité administrative susceptible de le détenir, en l’espèce le directeur général de l'AP-HP, et d’en aviser Monsieur X. D'autre part, elle estime que ce contrat est, dans les conditions ci-dessus rappelées, communicable à toute personne qui en fait la demande, en application de l'article L311-1 du code des relations entre le public et l'administration, sous réserve de l'occultation des mentions éventuelles couvertes par le secret des affaires. Elle émet donc, sous ces réserves, un avis favorable à la demande sur ce point. S'agissant des QR-codes utilisés dans le cadre du système d'information portant sur la vaccination contre la covid-19, la commission constate qu'il résulte des informations portées à sa connaissance qu'aucun contrat n'a été conclu entre une personne morale de droit public et un prestataire public ou privé afin de procéder à leur émission, cette mission étant directement assurée par les services de la caisse nationale d'assurance maladie. Le document sollicité n'existant pas, la commission ne peut que déclarer sans objet la demande d'avis sur ce point.