Administration : Agence nationale du développement professionnel continu (ANDPC)
Type : Avis
Séance : 13/10/2022
Thème : Vie publique / Politique générale
Mots clés : Institutions - AAI, CNIL
Sens et motivation : Défavorable / Procédure, Défavorable / Sécurité publique

Maître X, conseil du docteur X, du docteur X et du docteur X, a saisi la commission d'accès aux documents administratifs, par courrier enregistré à son secrétariat le 25 juillet 2022, à la suite du refus opposé par la directrice générale de l'Agence nationale du développement professionnel continu (ANDPC) à sa demande de communication, à la suite d'une première transmission incomplète, des documents suivants relatifs à la violation des données à caractère personnel de ses clients :
1) le constat d’huissier en date du 14 janvier 2022 confirmant l'atteinte à son système d'information ;
2) le signalement effectué à la Commission nationale de l'informatique et des libertés (CNIL) le 9 décembre 2021.

La commission relève qu'elle s'est déjà prononcée, à la demande de Maître X en sa qualité de conseil du docteur X, sur la demande de communication de ces documents par un avis n° 20221985 du 12 mai 2022 et un avis n° 20222639 du 23 juin 2022. Elle déclare cependant recevable la présente demande en tant que Maître X représente les intérêts d'autres clients.

La commission relève également que l'ANDPC est un groupement d'intérêt public, constitué entre l'État et l'Union nationale des caisses d'assurance maladie, régi par les articles L4021-6, R4021-6 et suivants du code de la santé publique, et que les documents que ce groupement détient ou produit dans le cadre de ses missions revêtent un caractère administratif et sont, comme tels, soumis au droit d’accès prévu par le livre III du code des relations entre le public et l'administration.

Sur le point 1), la commission rappelle qu'un constat d'huissier établi à la demande de l'administration dans le cadre de sa mission de service public est un document administratif soumis au droit d'accès prévu par le titre III du code des relations entre le public et l'administration. En revanche un constat d'huissier produit à l'intention de l'autorité judiciaire, pour les besoins d'une procédure juridictionnelle, n'est pas considéré comme un document administratif entrant dans le champ d'application de ce code et, dans cette hypothèse, la commission n'est, par suite, pas compétente pour se prononcer sur la communication d'un tel document. Elle rappelle également que les dispositions du f) du 2° de l'article L311-5 du code des relations entre le public et l'administration font obstacle à la communication de documents dans l'hypothèse où celle-ci est de nature à porter atteinte « au déroulement des procédures engagées devant les juridictions ou d'opérations préliminaires à de telles procédures, sauf autorisation donnée par l'autorité compétente ». Dans sa décision du 21 octobre 2016 n° 380504 (aux tables), le Conseil d'Etat a jugé que si la seule circonstance que la communication d’un document administratif soit de nature à affecter les intérêts d’une partie à une procédure juridictionnelle, ou qu’un document ait été transmis à une juridiction dans le cadre d’une instance engagée devant elle, ne fait pas obstacle à la communication de ce document, est en revanche exclue la communication des documents administratifs, sauf autorisation donnée par l’autorité judiciaire ou par la juridiction administrative compétente, dans l’hypothèse où cette communication risquerait d’empiéter sur les compétences et prérogatives de cette autorité ou de cette juridiction. 

En réponse à la demande qui lui a été adressée, la directrice générale de l'ANDPC a informé la commission qu'elle n'avait pas fait droit à la demande des docteurs X d’accéder au constat d’huissier demandé dans la mesure où ce dernier a été réalisé dans le cadre d’une plainte déposée par l’agence et qui fait toujours l’objet d’une enquête confiée par le parquet de Paris à l’office central de lutte contre la criminalité liée aux technologies de l’information et de la communication (OCLCTIC). 

La commission observe que le constat sollicité a été réalisé à la demande de l’administration le 14 janvier 2022 et que la plainte n'a été déposée que le 7 mars suivant, de sorte qu'il ne peut être regardé comme ayant été produit à l'intention de l'autorité judiciaire, pour les besoins d'une procédure juridictionnelle. La commission relève d'ailleurs que la réalisation de ce constat a été suggérée par les conseils de l'ANDPC, sans qu'il soit précisé si il avait vocation à être produit dans le cadre d'une plainte pénale ou d'une notification auprès de la CNIL. Elle estime, par suite, que ce constat constitue un document administratif au sens de l'article L300-2 du code des relations entre le public et l'administration.

La commission considère toutefois que la divulgation de ce constat d'huissier, transmis à l'autorité judiciaire en vue de l'engagement éventuel de poursuites, à l'origine d'une enquête toujours en cours, et qui expose une faille de sécurité du système informatique de l'ANDPC ayant donné lieu à des fraudes, serait de nature à porter atteinte au déroulement de ces opérations préliminaires. Elle estime par ailleurs que la communication de ce document porterait également atteinte à la sécurité des systèmes d'information des administrations au sens du d) du 2° de l'article L311-5 précité.

La commission émet donc un avis défavorable sur le point 1) de la demande. Elle précise que les avis précédents concernant ce même document (avis n° 20221985 du 12 mai 2022 et avis n° 20222639 du 23 juin 2022 précités) ont été rendus sans que ces derniers éléments aient été portés à sa connaissance.

Sur le point 2), la commission rappelle que les documents produits et reçus par la CNIL dans le cadre de ses missions de service public sont des documents administratifs soumis au droit d'accès prévu par le livre III du code des relations entre le public et l'administration. Tel est le cas des dossiers relatifs aux plaintes que la CNIL reçoit dans le cadre de la mission prévue au c) du 2° de l'article 11 de la loi du 6 janvier 1978, à l'exclusion, d'une part, des pièces échangées avec l'autorité judiciaire et les juridictions dans le cadre des dispositions du d) et du e) du même 2° de l'article 11 et de l'article 41 de cette loi, qui revêtent un caractère judiciaire, et, d'autre part, des documents dont la communication est régie exclusivement par la loi du 6 janvier 1978, en particulier de ceux qui sont adressés par les responsables de traitement dans le cadre des procédures d'autorisation et de déclaration, qui ne sont pas soumis au droit d'accès prévu par le livre III du code des relations entre le public et l'administration. 

La commission relève également qu'en application des dispositions de l'article L311-6 du code des relations entre le public et l'administration, ne sont communicables qu'à l'intéressé les documents faisant apparaître son comportement, dès lors que la divulgation de ce comportement pourrait lui porter préjudice. Elle considère que, sur ce fondement, les documents tels que les lettres de signalement ou de plainte, dès lors que leur auteur est identifiable, adressés à une administration, ne sont pas communicables à des tiers, y compris lorsque ceux-ci sont visés par le signalement ou la dénonciation en question. 

Enfin, la commission rappelle que, conformément au d°) du 2° de l'article L311-5 du code des relations entre le public et l'administration, ne sont pas communicables les éléments dont la communication est susceptible de porter atteinte au secret de la défense nationale, à la sûreté de l’État et à la sécurité des systèmes d’information des administrations. 

Compte tenu de ce qui précède, la commission émet un avis défavorable à la communication du document mentionné au point 2).