CNILTEXT000042096131
CNIL texte/cnil/CNIL/TEXT/00/00/42/09/61/CNILTEXT000042096131.xml DELIBERATION
Délibération 2020-045 du 23 avril 2020 Délibération n° 2020-045 du 23 avril 2020 autorisant la diffusion anticipée de documents administratifs conservés par les services d’archives départementales des Pyrénées-Orientales et de l’Aude. (Demande d’avis n°19020974)
2020-045
Autre autorisation 2020-04-23
2020-07-11 VIGUEUR
La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu le code du patrimoine, notamment ses articles L. 213-1 et L. 213-2 ;
Vu le code des relations entre le public et l’administration, notamment ses articles L. 312-1-2 et D. 312-1-3 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2018-101 du 15 mars 2018 portant avis sur un projet de décret pris pour l’application de l’article 6 de la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique ;
Vu la saisine du Président du conseil départemental de l’Aude du 23 juillet 2019 et les saisines rectificatives des 4 et 19 février 2020 ;
Vu la saisine de la Présidente du conseil départemental des Pyrénées-Orientales du 26 juillet 2019 et les saisines rectificatives des 31 janvier et 7 février 2020 ;
Après avoir entendu Mme Anne DEBET, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Initialement saisie de deux demandes d’autorisations de publication en ligne anticipée de documents conservés par les services d’archives départementales de l’Aude et des Pyrénées-Orientales uniquement dans un contexte de commémoration de l’épisode historique dit de la Retirada , la Commission relève que la présente demande d’autorisation, transmise en application des dispositions du b) du 9° de l’article D. 312‑1-3 du code des relations entre le public et l’administration (CRPA), vise désormais à permettre la diffusion en ligne anticipée de documents administratifs conservés par ces deux services publics d’archives relatifs aux camps d’internement installés sur leurs territoires respectifs et ce, indépendamment du seul épisode historique de la Retirada .
En particulier, elle prend acte des précisions apportées par le conseil départemental des Pyrénées-Orientales qui a indiqué que la demande d’autorisation de diffusion en ligne anticipée adressée portait sur la mise en ligne anticipée de données figurant dans des documents relatifs aux camps d’Argelès-sur-Mer, Rivesaltes, Saint-Cyprien, Le Barcarès, Collioure et d’Arles-sur-Tech pour toute la période de la Seconde Guerre mondiale. La Commission relève également qu’il a été précisé que les documents concernés couvrent une période comprise entre février 1939 et novembre 1942.
De la même manière, elle relève que la demande adressée par le conseil départemental de l’Aude porte sur les données contenues dans des documents conservés par son service d’archives départementales concernant dans les camps de Bram, Couiza-Montazels et Montolieu. La Commission prend acte des précisions apportées par le département selon lequel ces camps n’ont accueilli que des réfugiés espagnols entre février 1939 et janvier 1941.
À titre liminaire, elle observe que la diffusion des documents envisagée par ces deux départements a reçu le soutien de plusieurs organismes tels que l’Amicale des anciens guérilleros espagnols en France – Forces françaises de l’intérieur Aude, l’Amicale mémorielle des chemins de l’exil républicain dans l’Aude (AMCERE11), l’association FFREEE (Filles et fils de républicains espagnols enfants de l’exode) ou encore le Mémorial du camp de Rivesaltes et par la ville d’Argelès-sur-Mer.
Ces éléments de contexte rappelés, la Commission entend, au regard des éléments portés à sa connaissance notamment par le biais de plusieurs consultations réalisées, formuler les observations et recommandations suivantes afin de délimiter le périmètre de l’autorisation délivrée. Elle rappelle en effet qu’il importe de concilier l’intérêt que revêt la diffusion anticipée – pour le public – des documents précités avec la protection des données à caractère personnel des personnes concernées et, le cas échéant, de la vie privée de leurs ayants droit ou proches survivants.
Sur la nature des données concernées et les droits des personnes
De manière générale, la Commission relève tout d’abord que les documents dont la diffusion est envisagée sont susceptibles de contenir de nombreuses données à caractère personnel, de natures variées, en raison de la diversité de leurs modalités de leur collecte auprès des personnes concernées.
Ces documents sont ainsi susceptibles de comporter des données sensibles au sens de l’article 9 du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 susvisé (RGPD) et de l'article 6 de la loi du 6 janvier 1978 modifiée, ainsi que des données à caractère personnel relatives aux condamnations pénales, aux infractions ou aux mesures de sûreté connexes, au sens de l’article 10 du RGPD et de l’article 46 de la loi du 6 janvier 1978 modifiée, relatives aux personnes internées dans les camps visés par la présente autorisation et sur les périodes couvertes.
Si la Commission n’entend pas remettre en cause l’intérêt public que représente l’accès à ces documents, elle rappelle qu’il appartiendra à chaque responsable de traitement ultérieur de s’assurer de sa conformité à la réglementation applicable et, en particulier, de sa possibilité de traiter de telles catégories de données, conformément à l’article 9 du RGPD et aux articles 44 et 46 de la loi du 6 janvier 1978 modifiée.
La Commission estime également que la diffusion des documents demandés devra faire l’objet d’une vigilance particulière, notamment afin de s’assurer qu’aucune donnée relative à l’état de santé des personnes concernées ne soit diffusée. À cet égard, elle prend acte des éléments communiqués par les conseils départementaux de l’Aude et des Pyrénées-Orientales selon lesquels l’ensemble des documents dont la diffusion est envisagée est déjà librement consultable en salle de lecture ou communicable sur demande conformément aux dispositions des articles L. 213-2 du code du patrimoine et L. 311-9 du CRPA et que, par voie de conséquence, ces documents ne devraient donc pas comporter de données relatives à l’état de santé des personnes concernées.
La Commission rappelle toutefois que, dans l’hypothèse où les documents contiendraient de telles données, ils ne seraient librement communicables qu’à l’expiration d’un délai de vingt-cinq ans à compter de la date du décès de l'intéressé ou de cent-vingt ans à compter de la date de naissance de la personne en cause si la date du décès n’est pas connue, conformément aux dispositions de l’article L. 213-2 du code du patrimoine, et ne devront donc pas faire l’objet d’une diffusion anticipée au titre de la présente autorisation.
Au regard des impacts éventuels sur la vie privée des personnes concernées, de leurs proches ou ayants droit de la diffusion demandée, la Commission invite également les départements concernés à mettre à la disposition du public une information délivrée en des termes pédagogiques visant notamment à expliquer le contexte de production initiale des documents dont la diffusion a été autorisée, la valeur à attribuer aux données qu’ils contiennent, tout particulièrement en présence de données sensibles, ainsi que le cadre juridique dans lequel s’inscrit une telle diffusion anticipée.
La Commission rappelle par ailleurs que si, par principe, les dispositions de la réglementation relative à la protection des données n’ont pas vocation à s’appliquer aux personnes décédées auxquelles les documents diffusés se rapporteraient, il y a lieu de faire application de ces dispositions lorsque le traitement des données de personnes décédées est susceptible d’avoir des conséquences sur la vie privée de leurs ayants droits ou proches.
Elle considère à cet égard qu’il n’est notamment pas possible d’exclure que ces proches ou ayants droit souhaitent compléter l’histoire de la personne concernée ou du document dont la diffusion est autorisée ou qu’ils souhaitent s’opposer à la diffusion des données de nature à porter atteinte à leur vie privée. Dans ces conditions, la Commission estime indispensable que ces derniers puissent exercer leurs droits dans les conditions prévues par la réglementation applicable et que, dans l’hypothèse où les départements concernés entendraient mobiliser des dérogations éventuelles, celles-ci soient précisément justifiées et s’inscrivent strictement dans le cadre prévu par le RGPD et la loi du 6 janvier 1978 modifiée.
Elle rappelle à cet égard que les modalités d’exercice de ces droits devront être portées à la connaissance des personnes concernées dans des conditions de nature à garantir leur effectivité.
Sur les mesures recommandées pour la diffusion anticipée des documents
La Commission rappelle qu’elle s’est prononcée, à plusieurs reprises, sur les garanties à mettre en œuvre afin d’accompagner les modalités de diffusion et de réutilisation des données à caractère personnel et, en particulier, dans le cadre de la délibération n° 2018-101 du 15 mars 2018 susvisée. Elle rappelle qu’il s’agit en effet de matérialiser l’équilibre à organiser entre les exigences d’une mémoire collective, l’accès à l’information qui doit s’inscrire dans un contexte de transparence ainsi que la sensibilité, le cas échéant, d’une mémoire familiale qui peut être ravivée par certaines des informations contenues dans les documents diffusés.
La Commission estime à cet égard que dans la mesure où la diffusion anticipée des documents demandés est susceptible d’exposer les personnes concernées encore en vie, leurs proches ou leurs ayants droit à un risque potentiel d’atteinte à leur vie privée et à la protection des données à caractère personnel, des garanties doivent être prévues dans le cadre de la diffusion envisagée.
En particulier, la Commission invite les responsables de traitements à accompagner les documents d’une information rappelant que leur diffusion anticipée a fait l’objet d’une autorisation préalable et que toute réutilisation de ces données est soumise au respect du cadre juridique en vigueur sur la protection des données à caractère personnel.
Au-delà de cette recommandation générale préalable et dans la mesure où les documents sur lesquels porte la présente autorisation sont susceptibles de comporter des données sensibles ou relatives aux condamnations pénales et aux infractions, elle recommande également le déploiement d’un système permettant d’empêcher toute aspiration automatique de données par des programmes informatisés (tel qu’un système de captcha non intrusif).
La Commission préconise par ailleurs de mettre en place des mesures empêchant l’indexation, sur des moteurs de recherche externes, des données directement identifiantes. Ces mesures peuvent consister en l’utilisation de règles d’indexation à destination des moteurs de recherche correctement définies (tel qu’un fichier robots.txt ).
Elle recommande en outre de configurer les systèmes de recherche sur le site de consultation, de façon à limiter leur caractère potentiellement intrusif, par exemple en ne permettant pas de faire des recherches en plein texte ou d’effectuer des requêtes touchant à des données définies aux articles 9 et 10 du RGPD, en ne soumettant pas à l’internaute des suggestions des termes les plus fréquemment recherchés ou encore en exigeant de renseigner dans le moteur de recherche au minimum deux données : un nom et un prénom ou une date ou un lieu de naissance ou de provenance
En tout état de cause et sans préjudice de ce qui précède, la Commission rappelle qu’il appartient au responsable de traitement assurant la diffusion anticipée d’apprécier, au regard des conditions prévues à l’article 35 du RGPD, la nécessité d’effectuer une analyse d’impact relative à la protection des données personnelles et de prendre des mesures adéquates pour faire face aux risques que le traitement est susceptible d’engendrer pour les droits et libertés des personnes concernées.
Autorise, conformément à la présente délibération, les départements de l’Aude et des Pyrénées-Orientales, à diffuser de manière anticipée les données à caractère personnel relatives à des personnes internées dans les camps établis sur leurs territoires respectifs contenues dans des documents administratifs conservés par leurs services d’archives.
La Présidente
Marie-Laure DENIS