Administration : Conseil départemental des Pyrénées-Atlantiques (CD 64)
Type : Avis
Séance : 09/03/2023
Thème : Vie publique / Vie locale
Mots clés : CNIL
Sens et motivation : Favorable / Sauf articles L311-5 et L311-6, Défavorable / Comportement

Monsieur X, X, a saisi la Commission d'accès aux documents administratifs, par courrier enregistré à son secrétariat le 9 décembre 2022, à la suite du refus opposé par le président du conseil départemental des Pyrénées-Atlantiques à sa demande de communication, par courriel, les documents suivants :
1) le registre du sous-traitant et, le cas échéant, du représentant du sous-traitant relatif à toutes les catégories d’activités de traitement effectuées pour le compte du département ;
2) le registre des notifications de violations de données personnelles qui doivent être notifiées à la Commission nationale de l’informatique et des libertés.

En l’absence de réponse du président du conseil départemental des Pyrénées-Atlantiques à la date de sa séance, la commission rappelle, en premier lieu, qu’en application du 2) de l'article 30 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, dit règlement général sur la protection des données (RGPD), prévoit que chaque sous-traitant et, le cas échéant, le représentant du sous-traitant tiennent un registre de toutes les catégories d'activités de traitement effectuées pour le compte du responsable du traitement.

Ce registre précise notamment le nom et les coordonnées du ou des sous-traitants et de chaque responsable du traitement pour le compte duquel le sous-traitant agit, les catégories de traitements effectués pour le compte de chaque responsable du traitement, le cas échéant, les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale, y compris l'identification de ce pays tiers ou de cette organisation internationale et, dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles.

La commission en déduit qu'un tel registre est un document de recensement et d’analyse permettant de documenter les traitements qu'une organisation soumise à sa tenue applique aux données personnelles qu'elle collecte. 

Au regard de ces éléments, la commission estime que le registre des activités de traitement tenu par le sous-traitant d’un département en application de l'article 30 du RGPD est un document administratif communicable à toute personne qui en fait la demande, en application de l'article L311-1 du code des relations entre le public et l'administration, après occultation, le cas échéant, de toute information dont la divulgation pourrait porter atteinte aux secrets protégés par la loi, et notamment à la sécurité des systèmes d’information ou à la protection de la vie privée. 

Elle émet donc, sous ces réserves, un avis favorable à la demande concernant le document mentionné au 1).

La commission rappelle, en second lieu, qu'en application des dispositions de l'article 33 du règlement général sur la protection des données (RGPD) : « 1. En cas de violation de données à caractère personnel, le responsable du traitement  notifie la violation en question à l'autorité de contrôle compétente conformément à l'article 55, dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques. Lorsque la notification à l'autorité de contrôle n'a pas lieu dans les 72 heures, elle est accompagnée des motifs du retard. / 2. Le sous-traitant notifie au responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance. / 3. La notification visée au paragraphe 1 doit, à tout le moins : / a) décrire la nature de la violation de données à caractère personnel y compris, si possible, les catégories et le nombre approximatif de personnes concernées par la violation et les catégories et le nombre approximatif d'enregistrements de données à caractère personnel concernés ; / b) communiquer le nom et les coordonnées du délégué à la protection des données ou d'un autre point de contact auprès duquel des informations supplémentaires peuvent être obtenues ; / c) décrire les conséquences probables de la violation de données à caractère personnel ; / d) décrire les mesures prises ou que le responsable du traitement propose de prendre pour remédier à la violation de données à caractère personnel, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives. / 4. Si, et dans la mesure où, il n'est pas possible de fournir toutes les informations en même temps, les informations peuvent être communiquées de manière échelonnée sans autre retard indu. / 5. Le responsable du traitement documente toute violation de données à caractère personnel, en indiquant les faits concernant la violation des données à caractère personnel, ses effets et les mesures prises pour y remédier. La documentation ainsi constituée permet à l'autorité de contrôle de vérifier le respect du présent article. »

En pratique, la CNIL offre aux responsables de traitement de données à caractère personnel la possibilité de notifier les violations de données à caractère personnel en remplissant un formulaire dédié en ligne. 

Ce formulaire, qui comprend un numéro de notification, sa date et son heure, permet de renseigner les informations suivantes : l'identification de la structure déclarante, les circonstances de la violation (date, circonstances, nature, origine et cause de l'incident avec des rubriques proposées et un champ libre « descriptif détaillé de la violation »), la nature des données concernées par la violation, le nombre approximatif d'enregistrements concernés par la violation, la présence ou non de données sensibles et si oui lesquelles, les catégories de personnes et le nombre approximatif de personnes concernées par la violation, les mesures de sécurité préalables à la violation, les conséquences potentielles en cas de perte de confidentialité, en cas de perte d'intégrité, en cas de perte de disponibilité, les mesures techniques et organisationnelles appliquées au traitement suite à la violation, les préjudices potentiels pour les personnes concernées, l'estimation du niveau de gravité, la fourniture d'une information aux personnes concernées et les éventuelles autres notifications nécessaires. 

La commission rappelle qu'aux termes de l'article L300-2 du code des relations entre le public et l'administration : « Sont considérés comme documents administratifs, au sens des titres Ier, III et IV du présent livre, quels que soient leur date, leur lieu de conservation, leur forme et leur support, les documents produits ou reçus, dans le cadre de leur mission de service public, par l’État, les collectivités territoriales ainsi que par les autres personnes de droit public ou les personnes de droit privé chargées d'une telle mission. Constituent de tels documents notamment les dossiers, rapports, études, comptes rendus, procès-verbaux, statistiques, instructions, circulaires, notes et réponses ministérielles, correspondances, avis, prévisions, codes sources et décisions. »

Elle estime que les notifications faites par les responsables de traitement auprès de la CNIL, autorité nationale de contrôle, au titre des dispositions de l'article 33 du RGPD, sont reçues par cette dernière dans le cadre des missions de service public qui lui sont confiées et revêtent par suite le caractère de documents administratifs. 

En application des dispositions de l'article L311-1 du code des relations entre le public et l'administration, ces documents sont donc communicables  sous réserve des dispositions des articles L311-5 et L311-6 du même code. 

L'article L311-5 prévoit que ne sont pas communicables les documents dont la consultation ou la communication porterait atteinte : « a) Au secret des délibérations du Gouvernement et des autorités responsables relevant du pouvoir exécutif ; / b) Au secret de la défense nationale ; / c) A la conduite de la politique extérieure de la France ; / d) A la sûreté de l’État, à la sécurité publique, à la sécurité des personnes ou à la sécurité des systèmes d'information des administrations ; / e) A la monnaie et au crédit public ; / f) Au déroulement des procédures engagées devant les juridictions ou d'opérations préliminaires à de telles procédures, sauf autorisation donnée par l'autorité compétente ; / g) A la recherche et à la prévention, par les services compétents, d'infractions de toute nature ; / h) Ou sous réserve de l'article L124-4 du code de l'environnement, aux autres secrets protégés par la loi. »

L'article L311-6 prévoit pour sa part que ne sont communicables qu'à la personne intéressée, c'est-à-dire la personne à laquelle se rapportent les informations contenues dans le document, ou son ayant droit direct, titulaire d’un droit dont il peut se prévaloir à raison du document dont il demande la communication, les documents « 1° Dont la communication porterait atteinte à la protection de la vie privée, au secret médical et au secret des affaires (...) ; 2° Portant une appréciation ou un jugement de valeur sur une personne physique, nommément désignée ou facilement identifiable ; 3° Faisant apparaître le comportement d'une personne, dès lors que la divulgation de ce comportement pourrait lui porter préjudice. »  

Enfin, l'article L311-7 dispose que « Lorsque la demande porte sur un document comportant des mentions qui ne sont pas communicables en application des articles L311-5 et L311-6 mais qu'il est possible d'occulter ou de disjoindre, le document est communiqué au demandeur après occultation ou disjonction de ces mentions. » L’administration est fondée à refuser la communication du document dans son entier lorsque l’occultation partielle priverait ce document de son intelligibilité (CE, 25 mai 1990, Min. du Budget, Lebon T. 780) ou de son sens (CE, 4 janv. 1995, n° 117750), ou la communication de tout intérêt (CE, 26 mai 2014, n° 342339, Lebon T.).

De manière constante, la commission considère qu'une lettre de dénonciation ou un témoignage, n'est pas communicable aux tiers, sur le fondement du 3° de l'article L311-6 du code des relations entre le public et l'administration, dès lors que cette saisine de l'autorité administrative révèle d'une part le comportement de son auteur, dont la divulgation pourrait  lui porter préjudice, en suscitant d'éventuelles représailles, d'autre part le comportement d'autres personnes mentionnées dans ce document, dont la réputation pourrait être compromise. De même, le document administratif dans lequel l'administration relève à l'encontre d'une entreprise des manquements à la réglementation n'est, en principe, communicable qu’à son destinataire (CE, 21 octobre 2016, n° 392711), sauf s'il apparaît que l'occultation ou la disjonction de certaines mentions suffit à prévenir ce préjudice.

En l'espèce, la commission estime que le formulaire par lequel un responsable de traitement de données à caractère personnel notifie une violation de telles données révèle de sa part un non respect des règles de gestion de ces données, notamment l’obligation de sécurité appropriée, qui inclut la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d'origine accidentelle, à l'aide de mesures techniques ou organisationnelles appropriées (intégrité et confidentialité), prévue au (f) du 1. de l’article 5 du RGPD. 

Ce document, qui notifie à l'autorité de contrôle un manquement, fait ainsi apparaître le comportement du déclarant dans des conditions telles que sa divulgation serait de nature à porter préjudice à ce dernier. 

La commission considère, en conséquence, que les notifications des violations de données à caractère personnel ne sont pas communicables aux tiers en application des dispositions précitées du 3° de l'article L311-6 du code des relations entre le public et l'administration. Au surplus, ces documents peuvent comporter des mentions qui ne sont pas communicables aux tiers en tant qu'elles sont susceptibles de porter atteinte à la vie privée des personnes victimes de la violation ou au secret des affaires en application des dispositions du 1° du même article, ainsi que des mentions dont la communication serait susceptible de porter atteinte à la sécurité des systèmes d'information de la CNIL et des responsables de traitement déclarants ou à la recherche et à la prévention, par les services compétents, d'infractions de toute nature, lesquelles ne sont pas communicables, en application des dispositions de l'article L311-5 précité.

Compte tenu de ce qui précède, la commission ne peut qu'émettre un avis défavorable à la communication du registre mentionnés au point 2) de la présente demande.