Monsieur X, pour l’association X, a saisi la Commission d'accès aux documents administratifs, par courrier enregistré à son secrétariat le 20 février 2024, à la suite du refus opposé par le ministre de la transition écologique et de la cohésion des territoires à sa demande de communication d'une copie, par voie électronique, des documents suivants :
1) les registres des activités de traitement de données à caractère personnel, tels que le prévoit l'article 57 de la loi informatique et libertés (renvoyant à l'article 30 du RGPD) ;
2) les règles définissant les principaux traitements algorithmiques utilisés dans l'accomplissement des missions lorsqu’ils fondent des décisions individuelles.

La commission relève que la présente demande s'inscrit dans le cadre d'une série de demandes au sens du deuxième alinéa de l'article L342-1 du code des relations entre le public et l'administration, portant sur des documents de même nature et ayant le même objet, adressées par le même demandeur à vingt-trois ministères, agences et établissements publics et personnes morales de droit privé chargées d’une mission de service public. En application des dispositions de l'article précité et du sixième alinéa de l'article R343-3-1 du même code, la commission ne peut être saisie que d'un refus de communication opposé au demandeur, cette saisine valant recours administratif préalable obligatoire pour chacune des demandes correctement identifiées ayant fait l'objet d'un refus de communication et pour laquelle il a été satisfait à la condition d'information de l'administration concernée prévue par le troisième alinéa de l'article L342-1, et elle n'émet qu'un avis. L'avis ainsi émis dégage les principes de communication communs aux documents demandés et s'applique à l'ensemble des demandes rattachées à cette série.

1. En ce qui concerne les questions liminaires :

La commission rappelle, en premier lieu, qu'une demande de communication de documents administratifs qui lui est adressée est déclarée sans objet lorsque l'autorité saisie communique spontanément le document demandé postérieurement à l'enregistrement de la demande.

La commission indique, en deuxième lieu, que le refus de communication n'est pas établi et la demande d'avis est déclarée irrecevable, lorsque l'administration saisie d'une demande de communication, communique spontanément dans les délais qui lui sont impartis le document sollicité au demandeur.

La commission précise en dernier lieu que la demande est également déclarée irrecevable si le document sollicité fait d’ores et déjà l’objet d’une diffusion publique, au sens du quatrième alinéa de l’article L311-2 du code des relations entre le public et l'administration.

2. En ce qui concerne les principes de communication des documents sollicités :

2.1 S’agissant des registres des activités de traitement de données à caractère personnel :

La commission rappelle que l'article 30 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, dit règlement général sur la protection des données (RGPD), prévoit que chaque responsable d'un traitement de données à caractère personnel et, le cas échéant, son représentant, tiennent, sous forme écrite, y compris électronique, un registre des activités de traitement effectuées sous leur responsabilité.

Ce registre précise notamment le nom et les coordonnées du responsable du traitement, les finalités du traitement, une description des catégories de personnes concernées et des catégories de données à caractère personnel, les catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées, ou encore, dans la mesure du possible, les délais prévus pour l'effacement des différentes catégories de données. Il résulte du 5 de l'article 30 du RGPD que l'obligation de tenir un tel registre s'impose de manière générale aux entreprises et organisations comptant au moins 250 employés. Elle peut également s'appliquer aux entreprises et organisations de taille moindre, en fonction de la nature des traitements de données à caractère personnel qu'elles réalisent.

La commission en déduit qu'un tel registre est un document de recensement et d’analyse permettant de documenter les traitements qu'une organisation soumise à sa tenue applique aux données personnelles qu'elle collecte.

Au regard de ces éléments, la commission estime que le registre des activités de traitement tenu par une autorité administrative en application de l'article 30 du RGPD est un document administratif communicable à toute personne qui en fait la demande, en application de l'article L311-1 du code des relations entre le public et l'administration, après occultation, le cas échéant, de toute information dont la divulgation pourrait porter atteinte aux secrets protégés par la loi, et notamment à la sécurité des systèmes d’information ou à la protection de la vie privée.

Elle émet donc un avis favorable, sous cette réserve, à la communication des registres des activités de traitement de données à caractère personnel mentionnés au point 1) de la demande.

2.2 S’agissant des règles définissant les principaux traitements algorithmiques utilisés dans l'accomplissement des missions lorsqu’ils fondent des décisions individuelles :

La commission rappelle que la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique a, d’une part, créé au profit des personnes faisant l’objet d’une décision administrative individuelle prise sur le fondement d’un traitement algorithmique, un droit d’accès aux règles définissant ce traitement et aux principales caractéristiques de sa mise en œuvre (article L311-3-1 du code des relations entre le public et l’administration) et, a d’autre part, imposé aux administrations employant au moins cinquante agents de publier en ligne les règles gouvernant les principaux traitements algorithmiques utilisés dans l’accomplissement de leurs missions, lorsqu’ils fondent des décisions individuelles, sous réserve des secrets protégés en application du 2° de l’article L311-5 (article L312-1-3 du même code).

En premier lieu, la commission indique que le livre III du code des relations entre le public et l'administration ne fait en principe pas obligation aux autorités administratives d'élaborer un document nouveau en vue de procurer les renseignements ou l'information souhaités (CE, 30 janvier 1995, Ministre d'État, Ministre de l’éducation nationale, n° 128797 ; CE, 22 mai 1995, Association de défense des animaux victimes d'ignominie ou de désaffection, n° 152393).

Elle relève toutefois, d’une part, que le droit d’accès aux documents administratifs est garanti par l’article 15 de la Déclaration des droits de l’homme et du citoyen du 26 août 1789 selon lequel : « La société a le droit de demander compte à tout agent public de son administration » (Conseil constitutionnel, décision n° 2020-834 QPC du 3 avril 2020). Elle estime que ce droit, tel qu’il figure au livre III du code des relations entre le public et l’administration, doit être appréhendé compte tenu notamment de cette finalité.

La commission constate, d’autre part, qu’il ressort clairement des dispositions de l’article L312-1-3 - qui relèvent du livre III du code des relations entre le public et l'administration qu’elle est compétente pour interpréter - que les autorités administratives employant au moins cinquante agents sont tenues de publier en ligne les règles définissant les principaux traitements algorithmiques utilisés lorsqu’ils fondent des décisions individuelles. Dans sa décision du 3 avril 2020 déjà citée, le Conseil constitutionnel a également jugé que les dispositions de l’article L612-3 du code de l’éducation relative à la procédure Parcoursup, écartant l’application de l’article L312-1-3 du code des relations entre le public et l'administration, ne sauraient, sans méconnaître le droit d’accès aux documents administratifs, être interprétées comme dispensant les établissements d’enseignement supérieur de publier les critères en fonction desquels les candidatures ont été examinées et précisant, le cas échéant, dans quelle mesure des traitements algorithmiques ont été utilisés pour procéder à cet examen.

La commission relève enfin l’intérêt particulier qui s’attache pour le public au respect de cet article L312-1-3 qui, en imposant à l’administration de définir publiquement et en dehors de toute demande les règles gouvernant ses principaux traitements algorithmiques, renforce la transparence de l’action publique. Elle souligne en outre que le respect de cette obligation, instaurée par le pouvoir législatif spécifiquement pour des processus de prise de décisions individuelles fondées sur de tels traitements, constitue un gage de confiance démocratique.

Dans ces conditions, la commission considère que dans l’hypothèse où l’autorité saisie de la présente demande ne disposerait pas d’ores et déjà d’un document présentant les règles définissant les principaux traitements algorithmiques qu’elle utilise dans l'accomplissement de ses missions et fondant des décisions individuelles, elle serait tenue d’élaborer ce document (rappr. avis de partie I du 18 juillet 2019 n°20185277).

En deuxième lieu, la commission observe que ces dispositions du code des relations entre le public et l'administration portent sur les principaux traitements algorithmiques fondant des décisions individuelles utilisés par l’administration et laissent ainsi à cette dernière une marge d’appréciation dans le périmètre des traitements concernés.

Comme elle l’a fait dans son avis n°20185277 déjà cité, en l’absence de disposition réglementaire d’application et eu égard à l’identité des termes utilisés avec ceux de l'article L311-3-1, la commission suggère à l’autorité saisie de se référer aux dispositions de l’article R311-3-1-2 du code des relations entre le public et l'administration, prises pour l'application de cet article, qui disposent que doivent être communiquées les informations suivantes : le degré et le mode de contribution du traitement algorithmique à la prise de décision, les données traitées et leurs sources, les paramètres et les opérations du traitement, et ce dans des termes intelligibles.

Au bénéfice de ces développements, la commission estime que les documents présentant les règles gouvernant les principaux traitements algorithmiques visés par l’article L312-1-3 du code des relations entre le public et l'administration, qu’ils existent en l’état ou non, constituent des documents administratifs communicables à toute personne en faisant la demande, en vertu de l’article L311-1 du même code, sous réserve de l’occultation ou de la disjonction des mentions dont la communication pourrait porter atteinte aux secrets et intérêts protégés par l’article L311-5.

La commission émet par conséquent un avis favorable, sous cette réserve, à la communication des documents mentionnés au point 2) de la demande.