Madame X a saisi la commission d'accès aux documents administratifs, par courrier enregistré à son secrétariat le 14 juin 2018, à la suite du refus opposé par le directeur de l'Institut national de la statistique et des études économiques (INSEE) à sa demande de copie du fichier rétrospectif des décès depuis 1970 conservé par l'institut.

La commission, qui a pris connaissance de la réponse de l’Institut national de la statistique et des études économiques (INSEE), rappelle d’une part, qu’aux termes de l’article L300-1 du code des relations entre le public et l’administration : « Le droit de toute personne à l'information est précisé et garanti par les dispositions des titres Ier, III et IV du présent livre en ce qui concerne la liberté d'accès aux documents administratifs ». Aux termes de l’article L300-2 du même code, « Sont considérés comme documents administratifs, au sens des titres Ier, III et IV du présent livre, quels que soient leur date, leur lieu de conservation, leur forme et leur support, les documents produits ou reçus, dans le cadre de leur mission de service public, par l'Etat, les collectivités territoriales ainsi que par les autres personnes de droit public ou les personnes de droit privé chargées d'une telle mission. Constituent de tels documents notamment les dossiers, rapports, études, comptes rendus, procès-verbaux, statistiques, instructions, circulaires, notes et réponses ministérielles, correspondances, avis, prévisions, codes sources et décisions ». Aux termes de l’article L. 311-1 de ce code, « Sous réserve des dispositions des articles L. 311-5 et L. 311-6, les administrations mentionnées à l'article L. 300-2 sont tenues de publier en ligne ou de communiquer les documents administratifs qu'elles détiennent aux personnes qui en font la demande, dans les conditions prévues par le présent livre ». Aux termes de l’article L. 311-9, « L'accès aux documents administratifs s'exerce, au choix du demandeur et dans la limite des possibilités techniques de l'administration : (…) 4° Par publication des informations en ligne, à moins que les documents ne soient communicables qu'à l'intéressé en application de l'article L. 311-6. » et les administrations sont tenues, en application des dispositions de l’article L312-1-1, sous réserve des articles L. 311-5 et L. 311-6 et lorsque ces documents sont disponibles sous forme électronique, de publier en ligne les documents administratifs suivants : « (…) 3° Les bases de données, mises à jour de façon régulière, qu'elles produisent ou qu'elles reçoivent et qui ne font pas l'objet d'une diffusion publique par ailleurs ; / 4° Les données, mises à jour de façon régulière, dont la publication présente un intérêt économique, social, sanitaire ou environnemental ». La publication de ces documents est réalisée dans les conditions définies par les dispositions de l’article L. 312-1-2, selon lesquelles « Sauf dispositions législatives ou réglementaires contraires, lorsque les documents et données mentionnés aux articles L. 312-1 ou L. 312-1-1 comportent des mentions entrant dans le champ d'application des articles L. 311-5 ou L. 311-6, ils ne peuvent être rendus publics qu'après avoir fait l'objet d'un traitement permettant d'occulter ces mentions. / Sauf dispositions législatives contraires ou si les personnes intéressées ont donné leur accord, lorsque les documents et les données mentionnés aux articles L. 312-1 ou L. 312-1-1 comportent des données à caractère personnel, ils ne peuvent être rendus publics qu'après avoir fait l'objet d'un traitement permettant de rendre impossible l'identification de ces personnes. Une liste des catégories de documents pouvant être rendus publics sans avoir fait l'objet du traitement susmentionné est fixée par décret pris après avis motivé et publié de la Commission nationale de l'informatique et des libertés. (…) ». L’article L321-1 définit, pour sa part, les conditions de réutilisation des informations publiques figurant dans des documents communiqués ou publiés par les administrations par un régime de liberté sous les réserves prévues à l’article L. 322-1 et du respect des dispositions de la loi du 6 janvier 1978 relative à l’informatique et aux libertés selon lequel : «La réutilisation d'informations publiques comportant des données à caractère personnel est subordonnée au respect des dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés». Enfin, la commission rappelle qu’elle est, aux termes de l’article L340-1 du même code, « chargée de veiller au respect de la liberté d'accès aux documents administratifs et aux archives publiques » ainsi qu'à l'application des principes régissant la réutilisation des informations publiques.

Il résulte de la combinaison de ces dispositions qui définissent le droit commun de l’accès aux documents administratifs et de leur réutilisation à d’autres fins que ceux pour lesquels ils ont été élaborés ou transmis à l’administration, qu’un document administratif qui ne comporte aucune mention relevant d’un secret protégé est librement communicable à toute personne qui en fait la demande et qu’il est librement réutilisable s’il ne comprend aucune donnée à caractère personnel. L’administration est tenue, non seulement à la demande mais également de sa propre initiative, de le publier en ligne.

La commission relève, d’autre part, qu’aux termes du décret du 22 janvier 1982 relatif au répertoire national d'identification des personnes physiques, l’INSEE effectue les traitements automatisés d'informations nominatives nécessaires à la tenue du répertoire national d'identification des personnes physiques et que sont inscrites à ce répertoire toutes les personnes nées sur le territoire de la République française. Sont portés au répertoire les seuls éléments suivants de l'état civil de chaque personne inscrite : 1° Le nom de famille et les prénoms ; / 2° Le sexe ; / 3° La date et le lieu de naissance ; / 4° La date et le lieu de décès ; / 5° Eventuellement les numéros de l'acte de naissance et de l'acte de décès ; / 6° Lorsque ces renseignements sont nécessaires à l'identification de l'intéressé, notamment en cas d'homonymes, la filiation et le nom marital.
L'inscription au répertoire est effectuée par l'INSEE à partir des informations fournies, principalement, à l'occasion de l'établissement de tout acte de naissance par les officiers de l'état civil, de l'établissement de tout autre acte d'état civil et du recueil effectué au titre du regroupement familial par l’Office français de l'immigration et de l'intégration ou par le représentant de l'Etat territorialement compétent, des pièces justificatives de l'état civil des personnes concernées.

Enfin, aux termes de l’article 22 de la loi du 6 janvier 1978 relative à l’informatique et aux libertés, « Un décret en Conseil d'Etat, pris après avis motivé et publié de la Commission nationale de l'informatique et des libertés, détermine les catégories de responsables de traitement et les finalités de ces traitements au vu desquelles ces derniers peuvent être mis en œuvre lorsqu'ils portent sur des données comportant le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques. La mise en œuvre des traitements intervient sans préjudice des obligations qui incombent aux responsables de traitement ou à leurs sous-traitants en application de la section 3 du chapitre IV du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité. / N'entrent pas dans le champ d'application du premier alinéa du présent article ceux des traitements portant sur des données à caractère personnel parmi lesquelles figure le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques ou qui requièrent une consultation de ce répertoire : / 1° Qui ont exclusivement des finalités de statistique publique, sont mis en œuvre par le service statistique public et ne comportent aucune des données mentionnées au I de l'article 8 ou à l'article 9 ; / 2° Qui ont exclusivement des finalités de recherche scientifique ou historique ; (…) ».

Le décret pris pour l’application de ces dispositions, le décret n° 2019-341 du 19 avril 2019 relatif à la mise en œuvre de traitements comportant l'usage du numéro d'inscription au répertoire national d'identification des personnes physiques ou nécessitant la consultation de ce répertoire prévoit qu’entrent dans le champ du présent décret les traitements dont les finalités nécessitent l'utilisation du numéro d'inscription des personnes au répertoire national d'identification des personnes physiques ou qui requièrent une consultation de ce répertoire et que les finalités et les catégories de responsables de traitement sont, dans les champs financier, fiscal et douanier, « 7° Pour la recherche des titulaires décédés de comptes ou coffres forts inactifs par consultation du répertoire national d'identification des personnes physiques sans autre utilisation du numéro d'inscription pour accéder à la consultation : les établissements du secteur bancaire et financier soumis aux obligations relatives aux comptes inactifs prévues par la section 4 du chapitre II du titre Ier du livre III du code monétaire et financier, ou la personne mandatée à cet effet ayant signé une licence d'usage avec l'Institut national de la statistique et des études économiques pour la consultation du répertoire national d'identification des personnes physiques ; 8° Pour la recherche des assurés, des adhérents, des souscripteurs ou des bénéficiaires de contrats d'assurance sur la vie ou de bons ou contrats de capitalisation décédés : les entreprises d'assurance, les mutuelles et les unions, les institutions de prévoyance et les unions, les organismes de retraite professionnelle supplémentaire, les entreprises de réassurance et l'Association pour la gestion des informations et le risque en assurance ; 9° Pour la tenue de la base de données relative aux personnes dont le décès est connu de l'institut national de la statistique et des études économiques et la mise en place d'une plate-forme informatique sécurisée permettant l'interrogation de cette base par les seuls organismes autorisés : l'Association pour la gestion des informations et le risque en assurance ; ».

Il résulte de l’ensemble de cette seconde série de dispositions législatives et réglementaires, d’une part, que les établissements du secteur bancaire et financier soumis aux obligations relatives aux comptes inactifs prévues, ou la personne mandatée à cet effet ayant signé une licence d'usage avec l'Institut national de la statistique et des études économiques pour la consultation du répertoire national d'identification des personnes physiques sont autorisés à consulter le répertoire national d'identification des personnes physiques sans autre utilisation du numéro d'inscription pour la recherche des titulaires décédés de comptes ou coffres forts inactifs, que l’INSEE constitue et tient une base de données relative aux personnes dont le décès est connu de l'institut accessible via une plate-forme informatique sécurisée mise en place par l'Association pour la gestion des informations et le risque en assurance permettant aux entreprises d'assurance, aux mutuelles et aux unions, aux institutions de prévoyance et aux unions, aux organismes de retraite professionnelle supplémentaire, aux entreprises de réassurance de rechercher des assurés, des adhérents, des souscripteurs ou des bénéficiaires de contrats d'assurance sur la vie ou de bons ou contrats de capitalisation décédés.

La commission comprend la demande comme portant sur le fichier des personnes décédées généré par l’INSEE dans ce cadre, qu’il mettait à la disposition des généalogistes professionnels dans le cadre d’une licence de réutilisation payante jusqu’au 31 octobre dernier.

Elle relève, en premier lieu, que ce fichier comprend, d’après les informations qui lui ont été communiquées par l’INSEE : le nom de famille et les prénoms ; le sexe ; la date de naissance ; le code du lieu de naissance ; la localité de naissance en clair (pour les personnes nées en France ou dans les DOM/TOM/COM) ; le libellé du pays de naissance en clair pour les personnes nées à l’étranger ; la date du décès ; le code du lieu de décès ; le numéro d'acte de décès.

Elle rappelle, d’une part, que selon sa doctrine les actes de décès à partir desquels l’INSEE constitue le « fichier des personnes décédées », qui ne sont pas des documents administratifs mais des archives publiques, sont librement communicables dès leur établissement, sans délai (avis 20141831).

Elle considère dès lors que les mentions comprises dans le fichier des personnes décédées ne sont pas couvertes par le secret de la vie privée.

Elle souligne, d’autre part, que l’entrée en vigueur du règlement général sur la protection des données est sans incidence sur le droit d’accès aux documents administratifs et qu’en tout état de cause, le règlement prévoit lui-même, en son article 4, que les données à caractère personnel sont des données se rapportant à des personnes physiques identifiées ou identifiables et son considérant 160 précise que le présent règlement ne devrait pas s’appliquer aux personnes décédées. Elle en déduit que le règlement général sur la protection des données ne saurait être invoqué pour s’opposer à la communication du fichier en cause.

Enfin, elle rappelle que selon sa doctrine et celle de la CNIL, les données à caractère personnel ne concernent que les personnes vivantes et que ce n’est que dans l’hypothèse où la révélation de certaines informations relatives aux personnes décédées pourrait comporter des conséquences sur la vie privée de personnes vivantes que ces informations doivent être regardées comme des données à caractère personnel protégées par la loi du 6 janvier 1978 (délibération CNIL 2010-460 du 9 décembre 2010 et avis CADA 20141831).

En conséquence, et eu égard à la composition du fichier telle qu’elle lui a été précisée par l’INSEE, la commission considère que ce fichier ne comprend pas de données à caractère personnel.

En second lieu, la commission relève, d’une part, que les dispositions de l’article 22 de la loi du 6 janvier 1978 ne prévoient pas de dérogation explicite aux règles relatives à l’accès aux documents administratifs et à la réutilisation des informations publiques. Elle estime, d’autre part, que la communication du fichier des personnes décédées après qu’il a été constitué par l’INSEE n’implique pas, en elle-même, de consultation du répertoire national d'identification des personnes physiques. Au demeurant, une lecture des dispositions de l’article 22 qui réserverait l’accès aux données contenues dans le fichier des personnes décédées aux seules personnes autorisées par décret en Conseil d’Etat leur conférerait une protection que leur qualification, en matière de droit d’accès, telle qu’elle vient d’être rappelée, ne justifie pas. Elle considère, en conséquence, que les dispositions du livre III du code des relations entre le public et l’administration sont applicables au fichier des personnes décédées.

Le fichier des personnes décédées étant établi par l’INSEE dans le cadre de ses missions de service public, il constitue, à ce titre, un document administratif. Ne contenant pas de mentions relatives à la vie privée, il est communicable à toute personne qui en fait la demande et publiable en ligne en application des dispositions des articles L. 311-9 et L. 312-1-1 du code des relations entre le public et l’administration, sans occultation puisqu’il ne comporte pas de données personnelles. Il est également réutilisable dans les conditions prévues par le titre II de ce livre, les finalités d’un traitement ne faisant pas obstacle à la réutilisation des informations publiques dans les conditions prévues par le code des relations entre le public et l’administration.

La commission précise que son avis ne vaut qu’en l’état actuel du contenu du fichier des personnes décédées, qui ne comporte pas de données à caractère personnel. En cas d’évolution de la composition du fichier des personnes décédées pour y inclure des informations dont la révélation pourrait comporter des conséquences sur la vie de personnes privées, soit ces informations relèveraient de la vie privée des personnes décédées, et elles devraient alors être exclues par filtrage du fichier des personnes décédées opéré par l’INSEE avant publication, soit elles n’en relèveraient pas mais constitueraient néanmoins des données à caractère personnel, auquel cas, le réutilisateur devrait être regardé comme un responsable de traitement. Il devrait alors respecter les dispositions de la loi du 6 janvier 1978, en application des dispositions de l’article L322-2 du code des relations entre le public et l’administration, ainsi que celles du règlement général sur la protection des données.

La commission émet, par suite, un avis favorable.