La commission d’accès aux documents administratifs a examiné dans sa séance du 26 septembre 2019 votre demande de conseil relative à la possibilité de communiquer les tables annuelles de naissance issues des registres d’État civil, en vue de les réutiliser pour la réalisation d’un projet d’élus de la commune, consistant à apposer sur chaque arbre une petite plaque comportant le nom, le prénom et la date de naissance des enfants nés entre 2016 et 2019.

La commission rappelle, en premier lieu, que que la nature et le contenu des tables d'état, à la différence des actes d'états civil, en font des documents administratifs dont la communication est régie par les dispositions du titre I du livre III du code des relations entre le public et l'administration (conseil n° 20103032 et CE 9 février 1983, X, n° 35292). Par deux avis n° 20180695 et 20185589, la commission a rappelé que si les tables de décès sont librement communicables dès leur établissement, les tables de naissance et de mariage ne le sont que dans la seule mesure où elles ne font apparaître que le nom, le prénom, la date de l'évènement et le numéro de l'acte d'état civil, à l'exclusion par exemple des mentions relatives à la filiation ou à un changement de situation matrimoniale, qui sont couvertes par le secret de la vie privée et ne deviendront librement communicables, en application du 3° de l'article L213-2 du code du patrimoine, qu'à l'issue d'un délai de cinquante ans à compter du dernier acte qui y est transcrit.

Les tables de naissance sollicitées, en tant qu'elles ne feraient qu'apparaître le nom, le prénom et la date de naissance des enfants nés entre 2016 et 2019, sont donc librement communicables en application des dispositions de l'article L311-1 du code des relations entre le public et l'administration.

La commission estime, en second lieu, que le cadre juridique dans lequel peut se développer le projet envisagé dépend de son porteur.

Si le projet envisagé est un projet de la commune de Saint-André-de-Sangonis, la commission rappelle qu'aux termes de l'article L312-1-2 du code des relations entre le public et l'administration, « Sauf dispositions législatives contraires ou si les personnes intéressées ont donné leur accord, lorsque les documents et les données mentionnés aux articles L. 312-1 ou L. 312-1-1 comportent des données à caractère personnel, ils ne peuvent être rendus publics qu'après avoir fait l'objet d'un traitement permettant de rendre impossible l'identification de ces personnes. Une liste des catégories de documents pouvant être rendus publics sans avoir fait l'objet du traitement susmentionné est fixée par décret pris après avis motivé et publié de la Commission nationale de l'informatique et des libertés ». En l'espèce, il apparaît à la commission que l'apposition de plaques comportant le nom, prénom et date de naissance des enfants nés sur le territoire de la commune, opération qui doit être regardée comme une divulgation de données à caractère personnel, ne bénéfice d'aucune disposition législative permettant une publication sans anonymisation et qu'elle ne peut être rattachée à la liste des documents pouvant être mis en ligne sans anonymisation définies par l'article D312-1-3 du même code. La mise en œuvre du projet par la commune implique donc de recueillir, au préalable, le consentement des parents des enfants mineurs concernés.

SI le projet n'est pas mis en œuvre par la collectivité mais par un réutilisateur tiers, ce dernier est alors soumis aux dispositions du titre II de livre III du code des relations entre le public et l'administration relatif à la réutilisation d'informations publiques. Il devra, en particulier, aux termes de l'article L322-1 de ce code, veiller à ce que ces informations publiques ne soient pas altérées, que leur sens ne soit pas dénaturé et que leurs sources et la date de leur dernière mise à jour soient mentionnées. En outre, le projet qui consiste à rendre publiques de telles informations par apposition de plaques sur des arbres constitue un traitement de données à caractère personnel dont le réutilisateur est le responsable. La commission rappelle à cet égard que la réutilisation d'informations publiques comportant des données à caractère personnel est subordonnée au respect des dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (art. L322-2) et du règlement (UE) 2016/679 du Parlement et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD). A ce titre, le responsable du traitement devra être en mesure de démontrer que le projet respecte les principes relatifs au traitement des données à caractère personnel définis à l'article 4 de la loi du 6 janvier 1978 et à l'article 5 du RGPD (traitement loyal et transparent, qui poursuit une finalité déterminée explicite et légitime avec des données adéquates, pertinentes et limitées à la réalisation de la finalité, pour une durée limitée et dans des conditions sécurisées) et que le projet est licite, c'est-à-dire qu'il répond à une des conditions posées par le 1. de l'article 6 du RGPD : la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ; le traitement est nécessaire à l'exécution d'un contrat auquel la personne concernée est partie ou à l'exécution de mesures précontractuelles prises à la demande de celle-ci ; le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis ; le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne physique ; le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement ; le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant. En l'espèce, la doctrine de la CNIL conduit la commission à estimer que le projet envisagé ne peut être mis en œuvre qu'après que les représentants légaux des enfants dont les données sont concernées ont expressément donné leur consentement au projet dans les conditions prévues à l'article 7 du RGPD. Le responsable du traitement sera également tenu de leur communiquer les informations définies à l'article 14 du RGPD. La commission souligne que le consentement peut être retiré à tout moment, ce qui conduirait à débaptiser sans délai les arbres mentionnant les données à caractère personnel des personnes ayant retiré leur consentement.