MonsieurX a saisi la Commission d'accès aux documents administratifs, par courrier enregistré à son secrétariat le 16 mai 2023, à la suite du refus opposé par le président de Health Data Hub (HDH) à sa demande de communication, en sa qualité de député, de la totalité du « benchmark » des différentes solutions possibles d’hébergement cloud des données de santé, détenu par le Health Data Hub, à savoir :
1) le rapport ;
2) les données brutes et enrichies ;
3) la méthodologie utilisée ;
4) le coût de la prestation effectuée par la société X.

A titre liminaire, la commission rappelle qu'elle n'est pas compétente pour se prononcer sur les droits d'information que les députés tirent, en cette qualité, de textes particuliers. Toutefois, cette circonstance ne fait pas obstacle à ce qu’ils puissent se prévaloir du droit d'accès prévu par le livre III du code des relations entre le public et l'administration, qui est ouvert à toute personne, indépendamment des fonctions qu'ils exercent ou des mandats qu'ils détiennent.

1. Sur la fin de non-recevoir opposée par le président du Health Data Hub :

La commission rappelle que, conformément aux dispositions combinées des articles L342-1 et R311-12 du code des relations entre le public et l’administration, elle ne peut être saisie par une personne qu’en cas de refus opposé par une autorité administrative à une demande de communication d'un document administratif. En l’absence d’une telle demande préalable, laquelle n’a pas nécessairement à être écrite si le demandeur est en mesure d’en établir la réalité et la date, la saisine de la commission est irrecevable.

En l'espèce, ainsi que le fait valoir le président du Health Data Hub, il ressort des pièces du dossier que la demande initiale que Monsieur X lui a adressée le 22 mars 2023, qui tendait à la consultation du rapport produit par la société X dans le cadre de la mission qui lui a été confiée par le HDH portant sur la réalisation d’un benchmark sur les différentes solutions possibles d’hébergement cloud des données de santé, diffère de celle dont la CADA a été saisie.

La commission relève, toutefois, qu’à la date de sa demande initiale, Monsieur X ne disposait pas des éléments d’informations lui permettant de présenter une demande plus circonstanciée. Le détail des documents produits dans le cadre du benchmark ne lui a en effet été révélé que dans le courrier de réponse du HDH du 21 avril 2023, rejetant sa demande de communication.

La commission en déduit que le HDH doit être regardé comme ayant été saisi d’une demande de communication de l’ensemble des livrables produits par la société X dans le cadre du marché conclu avec le HDH. Par suite, la fin de non-recevoir opposée par le président du HDH tirée de l’irrecevabilité de la demande doit être écartée.

2. Sur le caractère communicable des documents sollicités :

La commission précise, à titre liminaire, que les documents sollicités, reçus par la « plateforme des données de santé », aussi appelée Health Data Hub, constituée sous la forme d'un groupement d'intérêt public par la loi n° 2019-774 du 24 juillet 2019 relative à l'organisation et à la transformation du système de santé, constituent des documents administratifs au sens de l’article L300-2 du code des relations entre le public et l’administration.

2.1. En ce qui concerne le caractère préparatoire des documents :

La commission rappelle qu’aux termes du deuxième alinéa de l’article L311-2 du code des relations entre le public et l’administration : « le droit à communication ne concerne pas les documents préparatoires à une décision administrative tant qu'elle est en cours d'élaboration ». Sont regardés comme préparatoires au sens de ces dispositions, les documents qui concourent à l'élaboration d'une décision administrative et sont inséparables de ce processus. Ainsi que l’a précisé le Conseil d'Etat dans sa décision du 24 février 2022, n° 459086, cette réserve temporaire, justifiée par un motif d’intérêt général, vise « à assurer la sérénité du processus d’élaboration des décisions au sein de l’administration et donc à garantir le bon fonctionnement de cette dernière ».

La commission précise qu’un document ne revêt un caractère préparatoire au sens de ces dispositions que lorsqu'il est destiné à éclairer l’administration en vue de prendre une décision administrative déterminée et que cette décision n’est pas encore intervenue ou que l’autorité compétente n’a pas manifestement renoncé à la prendre à l'expiration d'un délai raisonnable, apprécié selon la nature et la difficulté de la décision préparée. En outre, lorsqu’un projet comporte des phases distinctes donnant lieu à l'édiction de plusieurs décisions successives, il importe d’identifier la nature des pièces dont le caractère préparatoire est levé par l’intervention de chacune de ces décisions.

En l’espèce, en réponse à la demande qui lui a été adressée, le président du HDH a informé la commission qu'il maintenait son refus de communiquer les documents sollicités dès lors que le benchmark revêt un caractère préparatoire à la décision administrative de changer d’hébergeur des données de santé de la plateforme technologique du HDH. Il ajoute s’être engagé dans sa feuille de route pluriannuelle à ce que la migration vers une solution « Cloud de confiance » ait lieu en 2025.

La commission en prend note mais relève toutefois, d’une part, qu’un laps de temps significatif s’est écoulé depuis que les autorités publiques ont exprimé publiquement leur volonté de retenir un nouveau prestataire en 2020 et, d’autre part, que la décision à intervenir s’inscrit dans un horizon lointain, son échéance, initialement prévue en 2022, ayant déjà été repoussée de trois ans.

La commission relève ensuite, s’agissant du contexte d’élaboration des documents sollicités, que dans le cadre du marché public qui lui a été attribué, la société B2 Cloud a remis au HDH trois livrables qui traduisent les différentes étapes du benchmark, ainsi qu’un rapport de restitution finale. Il est constant que ces livrables, dont la commission a pris connaissance, ont été remis à leur commanditaire à l’issue d’une prestation de services désormais achevée, conformément à une commande exécutée.

S’agissant ensuite de la finalité et du contenu du benchmark, ce dernier a été réalisé afin d’une part, d’identifier les besoins du HDH pour l’ensemble de ses services prioritaires et secondaires et, d’autre part, de fournir une analyse comparative et pertinente des fournisseurs de services cloud (CSP) de confiance en France, en Europe et aux Etats-Unis, pouvant légitimement se positionner comme fournisseur cloud du HDH en capacité de répondre à ses besoins.

La commission relève que le benchmark s’apparente à une étude de marché ayant permis de faire un état des lieux comparatif des services proposés par différents fournisseurs de services cloud. Ce document, qui a mis en évidence le fait qu’aucune offre de marché souveraine ne couvre à l’heure actuelle les besoins fonctionnels et de sécurité permettant à la plateforme du HDH de répondre aux exigences légales requises, ne comporte aucune proposition concrète quant au choix d’un fournisseur de confiance.

La commission considère dès lors que la remise du rapport de restitution finale du benchmark au HDH, le 9 mai 2022, a levé le caractère préparatoire des livrables remis par la société B2 Cloud en exécution du marché qui lui a été confié. Ces documents sont dès lors soumis au droit d’accès défini par le code des relations entre le public et l’administration, sans qu’il y ait lieu d’attendre l’intervention d’une décision sur un changement d’hébergeur.

2.2. En ce qui concerne la réserve tenant au secret des affaires :

La commission considère que les documents remis par l’attributaire d’un marché public dans le cadre de l’exécution du contrat sont des documents administratifs librement communicables à toute personne qui en fait la demande en application de l’article L311-1 du code des relations entre le public et l’administration, sous réserve de l'occultation des éventuelles mentions qui révéleraient un secret protégé par la loi, et notamment le secret des affaires.

En l’espèce, le président du HDH a maintenu son refus de communication du benchmark en faisant valoir qu’il satisfait aux conditions posées par l’article L151-1 du code du commerce et qu’il est, par suite, intégralement couvert par le secret des affaires.

La commission rappelle, d’une part, qu’aux termes de l'article L311-7 du code des relations entre le public et l'administration, lorsque la demande porte sur un document comportant des mentions qui ne sont pas communicables en application des articles L311-5 et L311-6 du même code mais qu'il est possible d'occulter ou de disjoindre, le document est communiqué au demandeur après occultation ou disjonction de ces mentions. L’administration n’est fondée à refuser la communication d'un document dans son entier que lorsque l’occultation partielle priverait ce document de son intelligibilité (CE, 25 mai 1990, Lebon T. 780) ou de son sens (CE, 4 janv. 1995, req. n° 117750), ou la communication de tout intérêt (CE, 26 mai 2014, req. n° 342339).

La commission rappelle, d’autre part, qu’elle est compétente pour apprécier la portée du secret des affaires dans le cadre du droit d’accès aux documents administratifs en application des dispositions du 1° de l’article L311-6 du code des relations entre le public et l'administration, qui s’oppose à ce que soient divulgués à des tiers les documents dont la « communication porterait atteinte (…) au secret des affaires, lequel comprend le secret des procédés, des informations économiques et financières et des stratégies commerciales ou industrielles et est apprécié en tenant compte, le cas échéant, du fait que la mission de service public de l'administration mentionnée au premier alinéa de l'article L300-2 est soumise à la concurrence ».

La commission rappelle également que selon l’article L151-1 du code de commerce, est protégée par le secret des affaires toute information répondant aux critères suivants : « (…) / 1° Elle n'est pas, en elle-même ou dans la configuration et l'assemblage exacts de ses éléments, généralement connue ou aisément accessible pour les personnes familières de ce type d'informations en raison de leur secteur d'activité ; / 2° Elle revêt une valeur commerciale, effective ou potentielle, du fait de son caractère secret ; / 3° Elle fait l'objet de la part de son détenteur légitime de mesures de protection raisonnables, compte tenu des circonstances, pour en conserver le caractère secret. ».

Comme elle l’a fait dans son avis de partie II, n° 20224385, du 13 octobre 2022, la commission relève que les articles L311-6 du code des relations entre le public et l’administration et L151-1 du code de commerce font état de critères de nature différente et reposent sur une économie différente. Elle estime, par suite qu’ils ne sauraient faire l’objet d’une lecture « combinée » mais cumulative. Ainsi, une information ne relève du secret des affaires qu’à la condition de répondre à la définition prévue à l’article L311-6 et de satisfaire les conditions posées à l’article L151-1. La commission a néanmoins souligné les difficultés voire l’impossibilité, pour les administrations, de porter une appréciation circonstanciée sur les documents qu’elles détiennent au regard des exigences de l’article L151-1 du code de commerce, compte tenu de la nature de celles-ci et de la connaissance des entreprises et des secteurs qu’elles supposent.

Elle en a déduit, infléchissant sa doctrine antérieure (cf. conseil n° 20190911 du 5 septembre 2019, point II), que lorsque les informations contenues dans un document administratif relèvent du secret des procédés, des informations économiques et financières ou des stratégies commerciales ou industrielles, il y a lieu de présumer que les exigences prévues par le code de commerce sont satisfaites et que le document relève du secret des affaires. Il appartiendra, le cas échéant, au demandeur ou à l’administration de constater que ces exigences ne sont pas remplies pour contester ou remettre en cause une telle présomption.

En application de ces principes, la commission estime en l’espèce que le benchmark est communicable au demandeur, sous réserve de l’occultation des mentions protégées par le secret des affaires.

La commission souligne qu’il ne lui appartient pas d’indiquer précisément et de manière exhaustive, au sein d’un document volumineux, les mentions qui doivent être occultées en application des règles rappelées ci-dessus, cette opération incombant à l'administration, mais seulement d’éclairer cette dernière sur le caractère communicable ou non de passages ou informations soulevant des difficultés particulières d’appréciation et sur lesquels la commission attire son attention.

Toutefois, en l’espèce, ayant pris connaissance des documents demandés, la commission indique que les mentions suivantes sont librement communicables : d’une part, le coût des prestations et, d’autre part, la méthodologie utilisée pour la réalisation du benchmark, qui constitue une composante de l’objet même du marché et qui correspond donc aux caractéristiques de l’offre retenue.

Devront en revanche être occultées, au titre du secret des affaires, les données enrichies des entreprises, qui s’apparentent à une analyse qualitative portée par l’attributaire du marché sur ces fournisseurs cloud, à partir des données que ces derniers lui ont fournies, ainsi que les notes, classements et appréciations portés sur ces fournisseurs, qui ne sont communicables qu’à chacun, pour ce qui le concerne.

La commission précise enfin que les données brutes des entreprises ne sont couvertes par le secret des affaires que si elles ne sont pas connues. Elle relève à ce titre qu’un certain nombre de données pourraient avoir été déjà rendues publiques par les entreprises elles-mêmes. Il incombe en conséquence au HDH d’apporter une appréciation au cas par cas sur ces éléments.

La commission émet, dans cette mesure et sous cette réserve, un avis favorable à la demande.