Tribunal Administratif de Paris — Décision N° TA75-2202837

Vu la procédure suivante :

Par une requête enregistrée le 7 février 2022 et un mémoire complémentaire enregistré le 25 juillet 2022, M. B A, représenté par Me Vernon, demande au tribunal :

1°) d'annuler la décision implicite par laquelle la Commission Nationale de l'Informatique et des Libertés (CNIL) a refusé de lui communiquer plusieurs documents relatifs à la délibération n°2018-289 du 12 juillet 2018 autorisant la société IQVIA Opérations France à mettre en œuvre la base de données LRX, à savoir :

1) la liste de composition du comité d'audit, mentionné à l'article 77 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;

2) les audits, avis, comptes rendus et rapports dudit comité qui ont une relation directe ou indirecte avec les problématiques et enjeux liés aux traitements effectués par l'entreprise IQVIA ;

3) les audits et autres documents utiles tels que comptes rendus, rapports et avis réalisés par ce comité, sur l'ensemble des systèmes réunissant, organisant ou mettant à disposition tout ou partie des données du système national des données de santé à des fins de recherche, d'étude ou d'évaluation ainsi que sur les systèmes composant le système national des données de santé, en rapport avec les traitements effectués par l'entreprise IQVIA et l'autorisation délivrée par la CNIL ;

4) la liste de composition des comités suivants qui ont été le cas échéant consultés pour la délibération n° 2018-289 du 12 juillet 2018 ou ont soit participé, contribué, à la prise de décision d'autorisation soit travaillé sur le thème d'entrepôt de données de santé :

a) le comité compétent de protection des personnes mentionné à l'article L. 1123-6 du code de la santé publique, pour les demandes d'autorisation relatives aux recherches impliquant la personne humaine mentionnées à l'article L1121-1 du même code ;

b) le comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé et de la recherche ;

c) le comité d'audit du système national au sens de l'article 77 de la loi n° 78-17 du 6 janvier 1978 précitée ;

5) les comptes rendus, rapports et avis des comités précités, et tous documents utiles produits en relation avec l'entreprise IQVIA ou/et la délibération de la CNIL précitée ;

6) les journaux que le responsable de traitement s'est engagé à conserver pendant une durée de six mois ;

7) la liste détaillée des mesures qui sont prévues pour assurer la sécurité du réseau ;

8) l'architecture et les documents en rapport avec cette architecture dont il est question dans la délibération précitée ;

9) l'agrément HDS ;

10) les documents relatifs à la politique d'authentification définissant les modalités d'authentification des différents types de personnes habilitées à accéder à la base autorisée ;

11) la déclaration attestant de la conformité de la part de l'entreprise ;

12) le rapport annuel dressant le bilan du fonctionnement de la base de données LRX et des requêtes réalisées ;

13) les compositions des comités ad hoc, du comité opérationnel de la gouvernance des données et du comité ;

14) les avis, comptes rendus et rapports de ces comités et tous documents utiles ayant un rapport avec la délibération précitée de la CNIL ou la société IQVIA ;

15) la grille d'analyse dont il est question dans la délibération précitée ainsi que la procédure de validation dont il est fait mention ;

16) enfin, les documents relatifs aux projets de recherche ou d'étude des futurs clients de la société ;

2°) d'enjoindre à la CNIL de lui communiquer les documents 1) à 5) et 11) et 14) sollicités dans un délai d'un mois à compter de la notification du présent jugement, assorti d'une astreinte de 100 euros par jour de retard ;

3°) de mettre à la charge de la CNIL la somme de 1 500 euros au titre des articles L. 761-1 du code de justice administrative et 37 de la loi du 10 juillet 1991 ;

4°) de mettre à la charge de la CNIL la somme de 13 euros au titre des droits de plaidoirie non compris dans le frais de justice en application de l'article R. 723-26-1 du code de la sécurité sociale.

Il soutient que la décision de refus de communication attaquée méconnaît les dispositions des articles L. 311-1 et L. 311-2 du code des relations entre le public et l'administration en ce que les documents sollicités sont des documents administratifs communicables.

Par un mémoire en défense enregistré le 7 juillet 2022, la Commission Nationale de l'Informatique et des Libertés (CNIL) conclut au rejet de la requête.

Elle soutient d'une part, qu'une partie des conclusions est irrecevable, d'autre part, que les moyens soulevés par M. A ne sont pas fondés pour le surplus.

Par une ordonnance du 7 juillet 2022, la clôture d'instruction a été fixée au 1er septembre 2022.

Vu les autres pièces du dossier.

Vu :

- le code des relations entre le public et l'administration ;

- le code de justice administrative.

Les parties ont été régulièrement averties du jour de l'audience.

Ont été entendus au cours de l'audience publique :

- le rapport de M. Feghouli ;

- et les conclusions de Mme Nikolic, rapporteure publique.

Considérant ce qui suit :

1. M. A a saisi la CNIL le 16 juin 2021 afin d'obtenir la communication plusieurs documents relatifs à la délibération n°2018-289 du 12 juillet 2018 autorisant la

société IQVIA Opérations France à mettre en œuvre la base de données LRX. A la suite de la décision implicite de rejet opposée par la CNIL, M. A a saisi le 9 octobre 2021 la commission d'accès aux documents administratifs (CADA), laquelle a enregistré sa demande le 11 octobre de la même année et a rendu son avis 13 janvier 2022. En l'absence de réponse de la CNIL dans les deux mois suivant son enregistrement, cette dernière doit être regardée, en application de l'article R. 311-15 du code des relations entre le public et l'administration, comme ayant de nouveau implicitement refusé à M. A la communication des documents qu'il demandait, refus confirmé par un courrier du 22 février 2022. Les conclusions de M. A doivent être regardées comme dirigées contre cette décision du 22 février 2022 qui s'est substituée à la décision implicite initiale.

Sur les conclusions à fin d'annulation :

Sans qu'il soit besoin de statuer la fin de non-recevoir opposée en défense

2. Aux termes de l'article L. 300-2 du code des relations entre le public et l'administration : " Sont considérés comme documents administratifs, au sens des titres Ier, III et IV du présent livre, quels que soient leur date, leur lieu de conservation, leur forme et leur support, les documents produits ou reçus, dans le cadre de leur mission de service public, par l'Etat, les collectivités territoriales ainsi que par les autres personnes de droit public ou les personnes de droit privé chargées d'une telle mission. Constituent de tels documents notamment les dossiers, rapports, études, comptes rendus, procès-verbaux, statistiques, instructions, circulaires, notes et réponses ministérielles, correspondances, avis, prévisions, codes sources et décisions. / () ". Aux termes de l'article L. 311-1 du même code : " Sous réserve des dispositions des articles L. 311-5 et L. 311-6, les administrations mentionnées à l'article

L. 300-2 sont tenues de publier en ligne ou de communiquer les documents administratifs qu'elles détiennent aux personnes qui en font la demande, dans les conditions prévues par le présent livre ". Aux termes de l'article L. 311-2 du même code : " Le droit à communication ne s'applique qu'à des documents achevés. / Le droit à communication ne concerne pas les documents préparatoires à une décision administrative tant qu'elle est en cours d'élaboration. () / () / Le droit à communication ne s'exerce plus lorsque les documents font l'objet d'une diffusion publique. () ". Aux termes de l'article L. 311-5 du même code : " Ne sont pas communicables : () 2° Les autres documents administratifs dont la consultation ou la communication porterait atteinte : () d) A la sûreté de l'Etat, à la sécurité publique, à la sécurité des personnes ou à la sécurité des systèmes d'information des administrations ; ()

g) A la recherche et à la prévention, par les services compétents, d'infractions de toute nature ; h) Ou sous réserve de l'article L. 124-4 du code de l'environnement, aux autres secrets protégés par la loi ".

S'agissant des documents numérotés de 1) à 5)

3. La présidente de la Commission nationale de l'informatique et des libertés soutient, sans être sérieusement contredite que s'agissant, d'une part, de la liste et de la composition des comités visés dans la délibération n° 2018-289 du 12 juillet 2018, ces informations, numérotées 1) et 4), ont, soit, été rendues publiques, notamment par un décret n° 2019-536 du 29 mai 2019 ou encore par un arrêté du 9 juin 2020, et qu'ainsi en application de l'article L. 311-2 précité, elles échappent au champs d'application du droit à communication prévu par la loi, soit elle ne les détient pas et a transmis les demandes afférentes à l'administration compétente, comme indiqué dans son courrier en date du 22 février 2022. D'autre part, s'agissant des documents numérotés de 2), 3) et 5), la CNIL soutient sans être davantage sérieusement contredite que les comités en cause ne s'étant pas réunis dans le cadre de l'élaboration de la délibération

n° 2018-289 du 12 juillet 2018 précitée, les documents en cause n'existent pas.

S'agissant des documents numérotés 6) à 16)

4. Aux termes de l'article 36 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés : " I.- La commission met à la disposition du public, dans un format ouvert et aisément réutilisable, la liste des traitements automatisés ayant fait l'objet d'une des formalités prévues par les articles 31 et 32, à l'exception de ceux mentionnés au III de l'article 31, ainsi que par la section 3 du chapitre III du titre II. Cette liste précise pour chacun de ces traitements : 1° L'acte décidant la création du traitement ; 2° La finalité du traitement et, le cas échéant la dénomination ; 3° L'identité et l'adresse du responsable du traitement ou, si celui-ci n'est établi ni sur le territoire national ni sur celui d'un autre Etat membre de l'Union européenne, celles de son représentant ; 4° La fonction de la personne ou le service auprès duquel s'exerce le droit d'accès prévu aux articles 49,105 et 119 ; 5° Les catégories de données à caractère personnel faisant l'objet du traitement, ainsi que les destinataires et catégories de destinataires habilités à en recevoir communication ; 6° Le cas échéant, les transferts de données à caractère personnel envisagés à destination d'un Etat non membre de l'Union européenne. II.- La commission tient à la disposition du public ses avis, décisions ou recommandations ".

5. Il ressort des dispositions précitées, que les documents produits par les responsables de traitement et communiqués à la CNIL dans le cadre des demandes d'autorisation de mise en œuvre de traitement automatisé de données à caractère personnel relèvent d'un régime de communication propre, exclusif de l'application du régime prévu par l'article L. 300-2 et suivants du code des relations entre le public et l'administration. Aussi, dès lors qu'il n'est pas contesté que les documents numérotés 6) à 16 dans le présent jugement, ont été communiqués à la CNIL par la société IQVIA Opérations France dans le seul cadre de la mise en œuvre de sa base de données LRX, ils relevaient du régime spécifique précité, et partant, le requérant ne pouvait utilement invoquer la violation des dispositions du code des relations entre le public et l'administration. Le moyen afférent doit être écarté.

6. Il résulte de tout ce qui précède que les conclusions à fin d'annulation présentées par M. A doivent être rejetées ainsi que, par voie de conséquence ses conclusions à fin d'injonction sous astreinte et celles présentées sur le fondement des articles L. 761-1 du code de justice administrative et R. 723-26-1 du code de la sécurité sociale.

D E C I D E :

Article 1er : La requête de M. A est rejetée.

Article 2 : Le présent jugement sera notifié à M. B A et à la présidente de la Commission nationale de l'informatique et des libertés.

Délibéré après l'audience du 11 janvier 2024, à laquelle siégeaient :

M. Gros, président,

M. Feghouli, premier conseiller,

M. Rebellato, premier conseiller.

Rendu public par mise à disposition au greffe le 25 janvier 2024.

Le rapporteur,

M. FEGHOULI

Le président,

L. GROS

La greffière,

C. CHAKELIAN

La République mande et ordonne au Premier ministre, en ce qui le concerne et à tous commissaires de justice à ce requis en ce qui concerne les voies de droit commun contre les parties privées, de pourvoir à l'exécution de la présente décision.

N°2202837