(Demande d’autorisation n° 1610807)
La Commission nationale de l’informatique et des libertés,
Saisie par la direction des archives du Ministère des affaires étrangères (ci-après désigné « le Ministère ») d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel contenues dans des documents d’archives publiques conservés par le MAE, ayant pour finalité le transfert de données d’archives à l’« United States Holocaust Memorial Museum » (USHMM) (ci-après désigné « le Musée ») pour compléter ses collections et les mettre à disposition des lecteurs de son Centre de documentation ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu l'ordonnance du 9 août 1944 relative au rétablissement de la légalité républicaine sur le territoire continental, notamment ses articles 2 et 3 déclarant « nul et de non effet » certaines législations, notamment pénales, mises en œuvre sous le gouvernement de Vichy ;
Vu le code du patrimoine, notamment son Livre II ;
Vu le code des Etats-Unis, titre 36 paragraphes 2301 - 2310 relatifs à l’United States Holocaust Memorial Museum (« USHMM ») ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV, 25-I-1°et, 69 ;
Vu la loi n° 78-753 du 17 juillet 1978 modifiée portant diverses mesures d’amélioration des relations entre l’administration et le public ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 96-017 de la Commission du 19 mars 1996 relative aux conditions de microfilmage de certains documents d’archives françaises par « The Holocaust Memorial Museum » ;
Vu la délibération n° 2011-422 de la Commission du 15 décembre 2011 relative aux conditions de publication sur Internet de certains documents d’archives françaises par le Musée (demande de conseils n° 11026644) ;
Vu la délibération n° 2012-113 de la Commission du 12 avril 2012 portant autorisation unique de traitements de données à caractère personnel contenues dans des informations publiques aux fins de communication et de diffusion par les services d’archives publiques (AU-029) ;
Vu le dossier de formalité préalable, notamment le projet de convention rédigé par le Ministère après négociation avec le Musée ;
Après avoir entendu M. Jean MASSOT, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Les documents qui concernent les victimes de « l’Holocauste » revêtent un intérêt historique capital. Ces archives constituent un témoignage permanent de la Shoah et un patrimoine commun qui doit être conservé.
Cette nécessité historique ne doit toutefois porter aucun nouveau préjudice aux personnes ou à leurs ayants-droit concernés par cette tragédie, et dont les données personnelles sont contenues dans les documents d’archives publiques, conservés par les services français d’archives.
A la suite de la délibération n° 2011-422 de la Commission du 12 décembre 2012 portant avis sur les conditions de diffusion sur Internet de ces données, la direction des archives du Ministère a saisi la CNIL d’une demande d’autorisation accompagnée d’un projet de convention qui détaille les caractéristiques du transfert, ainsi que les limites de la diffusion et de la réutilisation des données par le Musée, les visiteurs et lecteurs de son Centre de documentation. Cette convention doit être signée sous les meilleurs délais.
Cette convention est soumise aux dispositions des lois n°78-17 du 6 janvier 1978 modifiée, dite« Informatique et Libertés » et n°78-753 du 17 juillet 1978 modifiée, dite « Cada », auxquelles elle fait d’ailleurs référence dans ses visas.
Sur la finalité du traitement :
Les données transférées par le ministère à destination du Musée sont destinées à être :
intégrées à la base des collections du Musée ;
diffusées à des fins historique, scientifique, familiale et non commerciale, dans le Centre de documentation également accessible depuis l'Intranet du Musée ;
communiquées par copie, papier ou numérique, aux lecteurs du Centre de documentation du Musée.
Sur la nature des données traitées :
Seules les données à caractère personnel relatives aux personnes concernées par « l’Holocauste » sont pertinentes au regard des finalités du traitement.
Sont concernées les données à caractère personnel contenues dans des documents d'archives publiques conservés par la direction des archives du ministère, et liées à « l'Holocauste » et son contexte historique (période de 1933 à 1945). Il s’agit de données relatives :
à l’identité civile des personnes concernées par « l’Holocauste » et son contexte historique : nom, prénom, adresse, photographie, date et lieu de naissance ;
à la vie personnelle : habitudes de vie et situation familiale ;
à la vie professionnelle : situation professionnelle, scolarité, formation et distinction ;
aux informations d’ordre économique et financier : déclarations de patrimoine, mobilier et immobilier ;
à la santé : pathologies, affections, situations et comportements à risques ;
aux origines raciales ou ethniques, aux opinions philosophiques, religieuses, politiques, l’appartenance syndicale et la vie sexuelle ;
et aux infractions, condamnations et mesures de sûreté.
Sur le cas particulier des motifs d’arrestation
Ces données peuvent renvoyer aux origines ethniques ou raciales, aux opinions politiques, philosophiques et religieuses, à l’appartenance syndicale, à la santé et à la vie sexuelle. Ces motifs d’arrestation issus des législations établies pendant l’Occupation, et déclarées nulles lors du rétablissement de la légalité républicaine, pourraient être liés aux catégories de données protégées par l’article 8 de la loi « Informatique et Libertés », et non seulement à celles de l’article 9.
Au regard de l’intérêt public que représentent ces documents d’archives liés à « l’Holocauste » et afin de permettre la commémoration de ces périodes historiques sans valoriser les fondements juridiques désormais condamnés par le Législateur, la Commission autorise la diffusion des données relatives aux motifs d’arrestation, dès lors que des informations pédagogiques expliquant le contexte de ces incriminations et la nullité de leur portée accompagneront la diffusion.
Sur le cas particulier des registres d’écrou relevant de l’article 9 de la loi « Informatique et Libertés »
Une difficulté analogue se rencontre également pour toutes les archives relatives aux périodes de guerre et autres événements survenus dans les territoires colonisés ou sous protectorat français. Pour mémoire, la délibération n° 2012-113 de la Commission du 12 avril 2012 portant l’autorisation unique n°029 relative à la communication et à la diffusion des archives publiques renvoie à une autorisation spécifique de la Commission pour diffuser les données liées aux « infractions, condamnations et autres mesures de sûreté ». Les données relevant de l’article 9 sont explicitement exclues de l’autorisation unique n° 029.
Or, parmi les documents transférés au Musée, sont notamment concernés les registres d’écrous (exemple : Tunis N° 1810 à 2785 de 1943). De plus, les registres d’écrou concernent également des condamnés de droit commun qui ne sont pas visés par « l’Holocauste ». Dès lors, intégrer ces données aux collections constituées par un musée dédié à « l’Holocauste » implique une dérogation à l’article 9 de la loi « Informatique et Libertés ».
La Commission demande que la diffusion des registres d’écrou transférés à l’USHMM soit accompagnée des informations pédagogiques expliquant le contexte de ces incarcérations.
Sur la durée de conservation des données :
Ces données sont contenues dans des documents d’archives publiques sélectionnés pour constituer le patrimoine historique. Leur diffusion ne sera donc enserrée par aucune durée de conservation, sous réserve de l’exercice des droits d’opposition des personnes concernées ou de leurs ayants-droit.
Sur les destinataires des données :
Le Musée intègre à sa base de collections les données transférées par le ministère.
Les lecteurs identifiés du Centre de documentation, situé dans les locaux du Musée, ou y accédant par l’Intranet sécurisé du Musée, peuvent consulter ces données et en obtenir une copie, papier ou numérique.
L’article 4.8 du projet de convention précise :
« Le Musée s’engage à ne pas diffuser sur un réseau de communication ouvert au public les documents reproduits […], sauf autorisation préalable du ministre français des affaires étrangères. »
Toute réutilisation à des fins commerciales est interdite, « sauf autorisation préalable du ministre français des affaires étrangères. » (cf. article 4.9 du projet de convention).
La Commission demande au ministère de lui communiquer régulièrement la liste des documents objets d’une autorisation de diffusion sur Internet ou d’une autorisation de réutilisation commerciale.
Sur l'information des personnes :
La Commission rappelle au ministère la nécessité de communiquer, sur demande des personnes concernées par les données transférées, la convention conclue avec le Musée.
L’article 4.9 du projet de convention précise que « Le Musée s’engage à utiliser tous les moyens raisonnables à sa disposition pour faire savoir à ses usagers que l’usage commercial des documents reproduits est interdit, […] ».
La Commission invite le ministère à diffuser une information analogue sur son site internet, notamment sur tout portail permettant d’accéder aux bases de données documentaires issues des archives conservées par le ministère.
Sur les droits d'accès, de rectification et d'opposition des personnes :
L’alinéa 2 de l’article 4.7 du projet de convention évoque la diffusion « sur le réseau de consultation et sur les instruments de recherche qui permettent l’accès aux documents » de la mention suivante :
« Les personnes nommément désignées dans les documents ainsi que leurs ayants-droit disposent d’un droit d’accès aux données à caractère personnel les concernant et d’un droit d’opposition, pour des motifs légitimes, à leur communication. ».
La Commission estime nécessaire que :
le droit d’opposition concerne la diffusion des données sur le réseau permettant l’accès aux documents d’archives, et non seulement leur communication ;
les modalités d’exercice de ces droits « Informatique et Libertés » soient précisées ;
et que cette information soit relayée sur le site du Ministère.
Ainsi, le site internet, le portail d’accès intranet et les locaux du Centre de documentation du Musée, ainsi que le site du ministère, pourraient relayer la mention d’information suivante :
« Les personnes nommément désignées dans les documents ainsi que leurs ayants-droit disposent d’un droit d’accès aux données à caractère personnel les concernant et d’un droit d’opposition, pour des motifs légitimes, à leur communication eet à leur diffusion. Pour exercer vos droits, vous pouvez adresser un courrier postal à [Préciser des coordonnées postales] ou par courriel à [Préciser des coordonnées électroniques]. »
Sur la sécurité des données et la traçabilité des actions :
Désormais, l’article 4.6 du projet de convention prévoit que :
« La diffusion des reproductions sur le réseau Intranet du Musée est autorisée à condition que celui-ci soit sécurisé et accessible aux lecteurs identifiés. Le Musée s’engage à mettre en place des mesures techniques pour éviter la capture des fichiers lors de leur consultation. ».
A l’instar des salles de lectures d’archives dématérialisées, l’accès via un intranet sécurisé permet de dématérialiser le Centre de documentation du Musée tout en réalisant un enregistrement identifiant des lecteurs.
Les « mesures techniques pour éviter la capture des fichiers lors de leur consultation » ne doivent pas être entendues comme empêchant d’obtenir une copie numérique ou d’imprimer un exemplaire papier, facultés prévues à l’article 3.4 du projet de convention.
Des mesures analogues devraient être mises en œuvre pour encadrer la consultation des données dans les locaux du Centre de documentation du Musée (cf. affichage des règles sur l’interdiction de filmer, de photographier, de limiter les reproductions, conditions générales d’utilisation, etc.).
Sur les instruments de recherche :
L’indexation consiste à répertorier dans un document les données significatives (nom, prénom, date, lieu de naissance, etc.) afin de permettre d’effectuer des recherches par mots-clés de façon simple et rapide dans ces documents.
Dans la mesure où les données rendues accessibles sont contenues dans des documents datant de moins de 120 ans, la Commission accepte une dérogation à la règle figurant dans l’AU-029, sous réserve que le système de recherche disponible dans le Centre de documentation, en particulier la partie accessible depuis Intranet, soit paramétré par le Musée de façon à limiter le caractère intrusif de la recherche. Il convient par exemple d’exiger de renseigner dans le moteur de recherche au minimum deux données : un nom et un prénom ou une date ou un lieu de naissance, de déportation, de décès, etc.
Sur le transfert de données en dehors de l’Union européenne :
Le Musée ne pouvant pas adhérer aux principes de protection des données inscrits au protocole négocié entre les autorités américaines et la Commission européenne en 2001, dénommé « Safe Harbor », la délibération n° 2011-422 de la Commission du 15 décembre 2011 concluait à la nécessité d’une demande d’autorisation sur la base de l’article 69 de la loi « Informatique et Libertés » accompagnée d’un contrat de transfert ad hoc sur la base des clauses contractuelles types adoptées par la Commission européenne en 2001 ou 2004. Cependant, ces clauses contractuelles n’ont pas un caractère impératif.
En l’espèce, cette convention ad hoc est justifiée par :
la nature des parties, à savoir le Ministère et le Musée, organisme autonome dépendant de l’Etat fédéral américain, et leurs engagements respectifs ;
l’application de la convention de Vienne relative aux relations diplomatiques mise en avant par le Ministère ;
et l’intérêt historique des données à caractère personnel concernées pour constituer un témoignage permanent du génocide.
En application de l’exception à l’interdiction formulée par l’article 68, la Commission considère que les éléments apportés par le projet de convention et le dossier d’instruction des formalités préalables constitué par le Ministère, garantissent un niveau de protection suffisant de la vie privée et des libertés et droits fondamentaux des personnes concernées.
Au bénéfice des observations qui précédent, la Commission autorise le ministère des affaires étrangères à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité le transfert de données contenues dans des documents d’archives publiques liées à « l’Holocauste » et son contexte historique (période 1933 à 1945), conservés par la direction des archives du ministère, à destination du Musée ; leur intégration à la base des collections du Musée ; leur mise à disposition à des fins historique, scientifique, familiale et non commerciale, aux lecteurs du Centre de documentation, notamment accessible par l'Intranet du Musée ; et la communication ponctuelle de copies, papier ou numérique.
La Présidente
Isabelle FALQUE-PIERROTIN