Avis 20231818 Séance du 11/05/2023

Monsieur X a saisi la Commission d'accès aux documents administratifs, par courrier enregistré à son secrétariat le 28 mars 2023, à la suite du refus opposé par le ministre de la santé et de la prévention à sa demande de communication des fichiers bruts issus des trois systèmes d'information suivants, utilisés pour réaliser les analyses d’appariement, notamment celle parue le 3 décembre 2021: 1) SI-VIC : le système d'information d'identification unique des victimes ; 2) SI-DEP : le système d’information sur le dépistage populationnel ; 3) VAC-SI : le système d’information « Vaccin Covid ». A titre liminaire, la commission relève que la demande porte sur les données dont la collecte est prévue par les décrets numéro 2020-1690 du 25 décembre 2020 autorisant la création d'un traitement de données à caractère personnel relatif aux vaccinations contre la covid-19 (VAC-SI), numéro 2020-551 du 12 mai 2020 relatif aux systèmes d'information mentionnés à l'article 11 de la loi numéro 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions (SI-DEP) et numéro 2022-1109 du 2 août 2022 relatif au système d'information d'identification unique des victimes (SI-VIC). En vertu de ces décrets, la direction de la recherche, des études, de l’évaluation et des statistiques du ministère de la santé est destinataire de certaines données issues de ces traitements, nécessaires à sa mission d’analyse et de diffusion des informations statistiques dans le domaine de la santé après mise en œuvre de mesures adéquates de pseudonymisation permettant d’assurer la confidentialité de l’identité des personnes concernées. La commission rappelle tout d’abord que les données statistiques détenues par une autorité administrative dans le cadre de ses missions de service public, comme en l’espèce, constituent des documents administratifs existants au sens de l’article L300-2 du code des relations entre le public et l'administration, si elles existent en l’état ou sont susceptibles d’être obtenues par un traitement automatisé d’usage courant. Il résulte en effet de la décision du Conseil d’État du 13 novembre 2020, numéro 432832, que constituent des documents administratifs au sens de ces dispositions, les documents qui peuvent être établis par extraction des bases de données dont l’administration dispose, si cela ne fait pas peser sur elle une charge de travail déraisonnable laquelle doit être appréciée de façon objective. Ces données sont en principe librement communicables à toute personne qui en fait la demande en application de l’article L311-1 du même code, sous réserve toutefois des secrets protégés par les articles L311-5 et L311-6 de ce code. La commission souligne ensuite qu'aux termes de l’article L311-7 du même code « lorsque la demande porte sur un document comportant des mentions qui ne sont pas communicables en application des articles L311-5 et L 311-6 mais qu'il est possible d'occulter ou de disjoindre, le document est communiqué au demandeur après occultation ou disjonction de ces mentions ». Elle précise que l'occultation peut consister à anonymiser un document, à condition que cette anonymisation soit suffisante pour prévenir tout risque d'identification des personnes intéressées. En réponse à la demande qui lui a été adressée, le ministère de la santé et de la prévention a toutefois maintenu son refus de communication des extractions sollicitées, en faisant valoir qu’en dépit de la pseudonymisation des données, le risque de ré-identification des personnes concernées ne peut être écarté. Il indique à titre d’exemple que les informations issues du traitement « SI-DEP », portant sur le résultat de tests de dépistage dans un lieu de prélèvement donné, à une date et une heure données, permettraient à des personnes qui se sont trouvées dans un même lieu de dépistage au même moment de déduire le résultat des tests de chacune. La commission en prend note et souligne que la communication sollicitée ne saurait intervenir qu’après, d’une part, l’occultation de toutes les données permettant d’identifier ou de ré-identifier le patient ou des tiers, et d’autre part, l’occultation des mentions relatives en particulier aux heures et lieu de prélèvement et aux professionnels de santé intervenant dans la prise en charge du patient. En l’état des informations dont elle dispose, la commission estime toutefois que de telles occultations, associées aux mesures de pseudonymisation déjà mises en œuvre, doivent permettre d’écarter le risque de ré-identification des patients. Elle émet par suite un avis favorable à la communication des fichiers sollicités selon ces modalités et à cette condition.