La question de l’accès aux données personnelles dans le secteur public conduit à s’interroger à la fois sur le principe de liberté d’accès aux documents administratifs(1) et sur le droit d’accès des personnes concernées au sens du RGPD.
Bien qu’un accès aux documents administratifs puisse induire un accès aux données personnelles qui y figurent, comme le rappelle la CNIL ; il s’agit pourtant de deux dispositifs différents(2).
L’article 15 du RGPD vient faciliter la confirmation de l’existence ou non d’un traitement de données personnelles réalisé par l’administration, ainsi que la transmission des données personnelles traitées aux administrés et agents publics qui en font la demande.
Comme tout responsable de traitement de données à caractère personnel, les personnes morales de droit public sont tenues de faire droit aux demandes d’accès qui leur parviennent après s’être assurées de l’identité du demandeur et de l’absence d’atteinte au droit d’un tiers.
1. Le contexte.
Dans le secteur public, plusieurs dispositions légales ou réglementaires sectorielles peuvent régir des demandes de communication d’informations personnelles.
C’est notamment le cas lorsqu’un :
– patient souhaite obtenir la communication de son dossier médical sous huitaine(3);
– agent public demande la transmission d’un document administratif contenant des données personnelles le concernant(4);
– La prise de parole des premiers concernésle droit pour un administré de demander à accéder à l’ensemble des données personnelles que collecte et traite une personne morale de droit public(5).
Comme pour le secteur privé, les demandes de droit d’accès non traitées sont un enjeu important pour les acteurs publics.
Le rapport annuel d’activité de la CNIL de 2022 fait état de 1512 plaintes dénonçant les manquements commis dans le traitement des demandes d’accès en matière de gestion des relations commerciales et de travail.
Au surplus, il est indiqué que 120 plaintes ont été déposées auprès de la CNIL pour des manquements relatifs à la transmission des dossiers médicaux(6).
2. Les régimes juridiques de la demande d’accès aux documents administratifs et du droit d’accès aux données personnelles
Les administrations(7) sont tenues de répondre à la fois aux demandes de communications de documents administratifs, sur le fondement du code des relations entre le public et l’administration et aux demandes d’accès régies par l’article 15 du RGPD.
Conformément à l’article 86 du RGPD, il revient aux états membres de prévoir les modalités de communication des documents administratifs.
L’objet de ces deux dispositifs est différent, l’un concerne la communication de documents administratifs (contenant ou non des données personnelles), alors que l’autre concerne exclusivement la transmission de données personnelles.
Ainsi, les motifs de refus applicables à la communication d’un document administratif (par exemple en raison du caractère inachevé du document ou du secret absolu dont fait l’objet le document car en lien avec le secret défense) ne s’appliqueraient pas aux données personnelles objet de demande d’accès.
De plus, dans le cas d’une demande d’accès à des documents administratifs à des tiers, il faut veiller à occulter les mentions couvertes notamment par le secret médical, le secret de la vie privée (qui s’applique aussi aux personnes morales) et les secrets industriels et commerciaux.
En revanche, dans le cadre d’une demande de droit d’accès émanant d’un agent public ou d’un administré, la personne publique ne pourra opposer son refus qu’à la condition de démontrer :
– qu’il n’est pas en mesure de confirmer l’identité du demandeur(8);
– que la demande de droit d’accès est manifestement infondée ou excessive ;
– qu’il porte atteinte aux droits et libertés de tiers.
(1) Article L311-1 du code des relations entre le public et l’administration (CRPA) : « Sous réserve des dispositions des articles L. 311-5 et L. 311-6, les administrations mentionnées à l’article L.
300-2 sont tenues de publier en ligne ou de communiquer les documents administratifs qu’elles détiennent aux personnes qui en font la demande, dans les conditions prévues par le présent livre ».
(2) Le droit d’accès des salariés à leurs données et aux courriers professionnels
(3) Article R.1111-1 du Code de la santé publique
(4) Article L311-1 du Code des relations entre le public et l’administration
(5) Article 15 du RGPD
(6) CNIL, Rapport annuel 2022, page 39
(7) Il s’agit des administrations visées par l’article L300-2 du CRPA soit l’État, les collectivités territoriales ainsi que par les autres personnes de droit public ou les personnes de droit privé chargées d’une telle mission.
(8) Dans les conditions prévues à l’article 11 du RGPD
Enfin, le contrôle du respect du droit d’accès aux données personnelles et du droit de communication des documents administratifs relève de deux autorités distinctes, la CNIL d’une part et la CADA d’autre part.
3. Le cas spécifique de la demande de droit d’accès des agents publics à leur dossier individuel
L’agent public, titulaire ou contractuel, et même stagiaire, peut librement demander à accéder à son dossier individuel(9) contenant l’intégralité des informations relatives à sa situation ad-ministrative et à l’évolution de sa carrière (ex : son état civil, sa situation familiale, son évaluation professionnelle, les formations suivies etc.). A cette fin, il doit adresser sa demande écrite à l’administration qui l’emploie. Il n’a pas à justifier d’un quelconque motif.
Avant l’édiction de certaines décisions, il appartient même à l’administration de prendre l’initiative d’informer l’agent qu’il a la possibilité de consulter son dossier individuel. C’est le cas de toutes les décisions prise en considération de la personne de l’agent(10). Ainsi, l’employeur public doit rappeler à l’agent qu’il a le droit à la communication de son dossier individuel avant l’édiction de toute sanction disciplinaire.
A défaut, la procédure pourra être annulée par le juge administratif en cas de recours de l’agent. C’est aussi, par exemple, le cas lorsqu’il est envisagé de procéder à la mutation d’un agent dans l’intérêt du service, si cette mesure est prise en considération de la personne de l’agent et bien qu’il s’agisse en principe d’une mesure d’ordre intérieur.
De plus, lorsque, dans le cadre d’une procédure disciplinaire, une enquête administrative a été diligentée, donnant lieu à des recueil de témoignages, ces documents font partie du dossier et sont communicables(11). Ce droit disparaît seulement lorsque la communication de ces témoignages, peu importe la forme qu’ils revêtent, serait de nature à porter gravement préjudice aux personnes qui ont témoigné. Dans ce cas, l’administration doit cependant informer l’agent public, de façon suffisamment circonstanciée, de leur teneur, de telle sorte qu’il puisse se défendre utilement(12).
En dehors de ces cas spécifiques, obéissant à des régimes spéciaux, l’administration est tenue de répondre à une demande d’accès au dossier administratif de l’agent dans le délai d’un mois. Au-delà, il s’agit d’un refus implicite et le demandeur peut, comme lorsqu’il s’agit d’un refus explicite, saisir la CADA dans un délai de deux mois. Si l’autorité administrative confirme son refus, malgré l’avis de cette autorité, l’agent peut déférer ce refus au tribunal administratif qui statue alors en premier et dernier ressort.
4. Le traitement du droit d’accès aux données personnelles.
Le droit d’accès aux données personnelles permet aux personnes concernées (administrés, usagers, agents publics…) d’obtenir du responsable de traitement la confirmation de l’existence ou non d’un traitement de données personnelles les concernant, les finalités du traitement, les destinataires du traitement, les catégories de données traitées, la copie de leurs données et le cas échéant, l’existence d’un transfert de leurs données vers un pays tiers.
L’article 15 du RGPD impose en outre de fournir des informations supplémentaires au demandeur, à savoir :
– la durée de conservation de leurs données personnelles ;
– les garanties particulières prises en cas de transfert de données vers un pays tiers ou une organisation internationale ne disposant pas d’une décision d’adéquation ;
– l’existence d’une décision automatisée fondée sur un profilage.
– leurs droits de rectification et d’effacement des données ;
– leur droit de retrait du consentement lorsqu’ils ont consenti à la mise en œuvre du traitement ;
– leur droit d’introduire une réclamation auprès de la CNIL.
Ces informations doivent être communiquées gratuitement aux personnes concernées dans le délai d’un mois à compter de leur demande. Ce délai peut être prolongé de 2 mois compte tenu de la complexité ou du nombre des demandes que l’administration doit traiter.
Les acteurs du secteur public sont donc soumis à différentes obligations qui leur imposent de fournir l’accès à des données ou documents aux personnes concernées, qu’il s’agisse d’administrés, de patients, d’usagers, ou d’agents publics.
Chacune de ces obligations s’inscrit dans des régimes juridiques différents mais qui peuvent être complémentaires.
En tout état de cause, il est essentiel pour les acteurs publics de mettre en place des procédures internes adéquates pour qualifier les demandes et les traiter conformément au régime applicable, afin d’éviter de générer un litige qui pourrait donner lieu à l’intervention des autorités administratives indépendantes compétentes (CNIL, CADA…), voire à un contentieux.
Les personnes concernées sont de plus en plus sensibilisées à l’existence de leurs différents droits d’accès et il est important d’anticiper l’augmentation progressive du nombre de demandes afin d’assurer le respect des délais prévus par la réglementation.
(9) Article L.137-4 Code général de la fonction publique : « Tout agent public a accès à son dossier individuel ».
(10) Article 65 de la loi du 22 avril 1905 portant fixation du budget des dépenses et des recettes de l’exercice 1905 et conclusions de François Séners sur la décision District de l’agglomération de Montpellier du 11 juillet 2001 (n° 219664, aux T) précisant qu’il s’agit de tout ce qui relève « d’une appréciation subjective du comportement général de l’agent ».
(11) CE, 23 novembre 2016 n° 397733, aux T.
(12) CE, 28 avril 2023, n° 443749, Lebon T.
