Avis 20236854 Séance du 14/12/2023

Madame X a saisi la commission d'accès aux documents administratifs, par courrier enregistré à son secrétariat le 13 novembre 2023, à la suite du refus opposé par le maire de Saint-Sébastien-de-Morsent à sa demande de communication, sous format de photocopies à ses frais, des documents suivants : 1) copie de tous documents à caractère administratif désignant un délégué soit en interne, soit en externe, soit par mutualisation, chargé de la protection des données au sein de la commune en vigueur à la date du 1er janvier 2023 ; 2) copie de la déclaration du délégué à la protection des données effectuée, auprès de la Commission Nationale de l’Informatique et des Libertés, par la commune en vigueur à la date du 1er janvier 2023 ; 3) copie du registre prévu à l'article 30 du Règlement général sur la protection des données ; 4) copie du registre de sécurité prévu à l'article 3-1 du décret 85-603 du 10 juin 1985 relatif à l’hygiène et à la sécurité du travail ainsi qu’à la médecine préventive professionnelle et préventive dans la fonction publique territoriale, mis en œuvre auprès du service de la police municipale de commune en vigueur à la date du 1er janvier 2023 ; 5) copie du diagnostic de prévention des risques psychosociaux servant de base à l'élaboration du plan des risques psychosociaux ; 6) copie du plan des risques psychosociaux versé au Document unique d’évaluation des risques professionnels, à jour à la date du 1er janvier 2023 ; 7) copie du règlement intérieur du service de la police municipale en vigueur à la date de réception de sa demande. En l’absence de réponse du maire de Saint-Sébastien-de-Morsent à la date de séance, la commission estime que les documents administratifs sollicités au point 1), s'ils existent et ne revêtent pas un caractère préparatoire, sont communicables à toute personne qui en fait la demande, en application de l'article L311-1 du code des relations entre le public et l'administration et, s'ils prennent la forme d'une délibération du conseil municipal de la commune ou d'un arrêté de son maire, de l'article L2121-26 du code général des collectivités territoriales. Elle émet donc un avis favorable sur ce point. La commission estime en outre qu’une fois désigné, la déclaration relative à la désignation d’un délégué à la protection des données constitue un document administratif communicable à toute personne qui en fait la demande, en application de l'article L311-1 du code des relations entre le public, sous réserve l'occultation des mentions dont la communication méconnaîtrait les dispositions de l’article L311-6 du même code et notamment porteraient atteinte à la protection de la vie privée. Elle émet donc, sous cette réserve, un avis favorable à la communication du document visé au point 2). En ce qui concerne le document visé au point 3), la commission rappelle que l'article 30 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, dit règlement général sur la protection des données (RGPD), prévoit que chaque responsable d'un traitement de données à caractère personnel et, le cas échéant, son représentant, tiennent, sous forme écrite, y compris électronique, un registre des activités de traitement effectuées sous leur responsabilité. Ce registre précise notamment le nom et les coordonnées du responsable du traitement, les finalités du traitement, une description des catégories de personnes concernées et des catégories de données à caractère personnel, les catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées, ou encore, dans la mesure du possible, les délais prévus pour l'effacement des différentes catégories de données. Il résulte du 5 de l'article 30 du RGPD que l'obligation de tenir un tel registre s'impose de manière générale aux entreprises et organisations comptant au moins 250 employés. Elle peut également s'appliquer aux entreprises et organisation de taille moindre, en fonction de la nature des traitements de données à caractère personnel qu'elles réalisent. La commission en déduit qu'un tel registre est un document de recensement et d’analyse permettant de documenter les traitements qu'une organisation soumise à sa tenue applique aux données personnelles qu'elle collecte. Au regard de ces éléments, la commission estime que le registre des activités de traitement tenu par une commune en application de l'article 30 du RGPD est un document administratif communicable à toute personne qui en fait la demande, en application de l'article L311-1 du code des relations entre le public et l'administration, après occultation, le cas échéant, de toute information dont la divulgation pourrait porter atteinte aux secrets protégés par la loi, et notamment à la sécurité des systèmes d’information ou à la protection de la vie privée. Elle émet donc, dans cette mesure, un avis favorable sur ce point. La commission considère en outre que, sous réserve, le cas échéant, de l’occultation des mentions dont la communication porterait atteinte à la protection de la vie privée et au secret médical, ainsi que de celles portant une appréciation ou un jugement de valeur sur une personne physique, nommément désignée ou facilement identifiable ou faisant apparaître le comportement d'une personne, dès lors que la divulgation de ce comportement pourrait lui porter préjudice, le document visé au point 4) est également communicable à toute personne qui en ferait la demande en application de l’article L311-1 du code des relations entre le public et l'administration. Elle émet donc, sous ces réserves, un avis favorable à la communication de ce document. Par ailleurs, la commission rappelle que le document unique d'évaluation des risques professionnels (DUERP), que tout employeur public doit établir et mettre à jour chaque année en application combinée de l'article R4121-1 du code du travail et de l'article 3 du décret 82-453 du 28 mai 1982, est un document administratif communicable à toute personne qui en fait la demande, en application de l'article L311-1 du code des relations entre le public et l'administration, nonobstant la circonstance que ce document est tenu à la disposition des personnes qu'il mentionne, en application de l'article R4121-4 du code de travail. En l'espèce, la commission émet donc un avis favorable à la communication des documents mentionnés aux points 5) et 6). En ce qui concerne enfin le document sollicité au point 7) de la demande, la commission estime qu’il est librement communicable à toute personne qui en fait la demande en application de l’article L311-1 du code des relations entre le public et l’administration et émet un avis favorable.