Le RGPD et les archives

Le Règlement européen 2016/679 relatif à la protection des données à caractère personnel ou RGPD est entré en vigueur le 25 mai 2018 dans tous les Etats membres de l’Union européenne. La plupart de ses dispositions sont d’application directe.

Le RGPD est complété par la loi du 6 janvier 1978, dite loi Informatique et Libertés, modifiée à plusieurs reprises et tout récemment par la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles. Cette dernière loi a servi à « implémenter » le RGPD en droit national et porte transposition de la directive européenne 2016/680 relative aux « données pénales ».

Le cadre général

Comme le rappelait Aude Roelly dans son billet du 18 mai 2016 publié à l’occasion de l’adoption du RGPD, « le règlement a pour but de redonner aux citoyens le contrôle des données qui les concernent. (…) Il s’inscrit dans le contexte de la lutte contre le profilage des personnes et pour le contrôle de l’utilisation des données à caractère personnel par les grands acteurs du web (Facebook, Google, etc.) ».

Le RGPD et la loi Informatique et Libertés révisée renforcent en conséquence  les droits des personnes et accroissent les obligations des responsables de traitements. Ils s’appliquent aux traitements  de « données à caractère personnel », c’est-à-dire aux informations se rapportant à des personnes physiques identifiées ou identifiables, directement ou indirectement. Le RGPD et la nouvelle loi concernent tous les organismes, qu’ils soient publics ou privés, les personnes physiques comme les personnes morales, et tous les secteurs d’activités. Ils s’appliquent aux acteurs européens, mais aussi aux responsables de traitements établis hors de l’Union européenne lorsque les données qu’ils traitent concernent des personnes résidant dans l’Union.

Le RGPD et la nouvelle loi Informatique et Libertés concernent aussi bien le numérique que le papier : les bases de données, les listes de contacts, les listes d’invités à des manifestations, les dossiers de personnel, les données générées par les outils de contrôle d’accès, les registres, fichiers ou applications de gestion des usagers d’un service d’archives ou d’une bibliothèque, etc., entrent dans leur champ d’application.

Si ces deux textes visent toutes les données à caractère personnel, ils identifient en leur sein, comme les textes précédemment en vigueur, une catégorie particulière de données : les « données sensibles ». Il s’agit des données relatives à l’origine raciale ou ethnique, aux opinions politiques, aux convictions religieuses ou philosophiques, à l’appartenance syndicale, à la vie sexuelle ou à l’orientation sexuelle et à la santé, ainsi que des données génétiques et biométriques. Ces données sensibles, de même que les données à caractère personnel relatives aux infractions et aux condamnations, sont soumises à des conditions de traitement très strictes (art. 9 et 10 du RGPD et dispositions complémentaires dans les législations nationales).

Il convient aussi de préciser que le RGPD s’applique seulement aux données relatives aux personnes vivantes, sauf extension par les Etats membres aux données relatives aux personnes décédées (considérant 27 du RGPD). La France n’a fait usage de cette option que de manière marginale, dans le champ des données de santé (art. 16 de la loi relative à la protection des données personnelles) et, antérieurement, dans le cadre de la loi pour une République numérique du 7 octobre 2016, notamment en octroyant le droit à « toute personne [de] définir des directives relatives à la conservation, à l’effacement et à la communication de ses données à caractère personnel après son décès », disposition à laquelle dérogent les archives publiques (art. 63 de la loi pour une République numérique/art. 40-1 de la loi Informatique et Libertés).

Le nouveau cadre juridique de la protection des données à caractère personnel consacre ou renforce plusieurs grands principes :

– le principe de licéité, de loyauté et de transparence. La licéité répond à un certain nombre de conditions alternatives au rang desquelles figure le consentement explicite de la personne.

–  le principe de limitation des finalités : les données doivent être « collectées pour des finalités déterminées, explicites et légitimes ».

– le principe de « minimisation des données » : les données doivent être « adéquates », « pertinentes », « limitées à ce qui est nécessaire au regard des finalités ».

– le principe d’exactitude : les données doivent être exactes et à jour.

– le principe de limitation de la conservation : La conservation des données doit être limitée dans le temps.

– le principe de sécurité : les données doivent être traitées de manière à en garantir l’intégrité et la confidentialité.

A ces principes s’ajoute celui de la « responsabilité du responsable du traitement ».  Ce principe de responsabilité se substitue au régime des « formalités préalables » (déclarations, autorisations) auprès des autorités de contrôle (la Commission nationale de l’Informatique et des Libertés – CNIL – en France), régime qui ne subsiste que pour quelques catégories de traitements (notamment données génétiques et biométriques et données de santé). Les organismes doivent désormais s’assurer eux-mêmes de la conformité de leurs traitements au nouveau cadre juridique et pouvoir la démontrer. Ils doivent notamment appliquer le privacy by design, concept qui impose de réfléchir à la protection des données à caractère personnel en amont de la conception  d’un traitement de données. Ils doivent également, dans certains cas, procéder à une « analyse d’impact » lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes concernées, analyse d’impact suivie, le cas échéant, d’une « consultation préalable » de la CNIL. Les organismes doivent aussi désigner un délégué à la protection des données ou data protection officer (DPO), chargé de conseiller l’organisme, mais aussi de contrôler la conformité de ses traitements au RGPD. Le DPO – qui peut être mutualisé entre plusieurs organismes – a plus de pouvoir que les anciens correspondants Informatique et Libertés (CIL). Le RGPD impose également de tenir un « registre des opérations de traitement », dont la CNIL propose un modèle.

Contrepartie de la responsabilité, les textes alourdissent les sanctions en cas de non-respect,  jusqu’à 20 millions € ou, s’agissant d’une entreprise, 4% de son chiffre d’affaires mondial.

A ces grands principes – licéité, loyauté, transparence, limitation des finalités, etc. – sont associés des droits pour les personnes concernées par un traitement de données : « droit à l’oubli » ou « droit à l’effacement », droit d’opposition, droit de rectification, droit à la limitation du traitement, droit d’accès. Elles bénéficient aussi d’un « droit à la portabilité des données » qui permet de récupérer les informations fournies sous une forme réutilisable, afin, par exemple, de les transférer à un tiers.

Ce cadre général admet des exceptions et dérogations, prévues pour concilier le droit à la protection des données à caractère personnel avec d’autres droits, comme la liberté d’expression ou encore le droit d’accès aux documents officiels.

Et les archives ?

Tel est le cas des archives, qui bénéficient d’un statut spécifique, dérogatoire au régime de droit commun, statut justifié par la finalité de la conservation des archives (apporter des preuves, documenter l’histoire) qui implique la conservation d’archives intègres.

Ce régime dérogatoire n’est toutefois pas applicable à toutes les archives : il ne concerne que les archives définitives et il est de nature différente selon qu’il s’agit d’archives traitées par des services publics d’archives ou d’archives privées détenues par des personnes physiques ou morales de droit privé (entreprises, associations, Eglises, etc.).

Les archives définitives conservées par les services publics d’archives

Le RGPD et l’article 36 de la loi Informatique et Libertés révisée confirment la possibilité de conserver les données au-delà de la durée de conservation dans le traitement initial (durée qui correspond habituellement à la durée d’utilité administrative – DUA) « à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques ».

Les « traitements à des fins archivistiques dans l’intérêt public » sont, au sens du RGPD (considérant n° 158), ceux qui sont mis en oeuvre par les services qui ont une obligation légale de collecte, de conservation et de communication d’archives définitives, c’est-à-dire, en France, les services publics d’archives.

En application de l’article 36 de la loi Informatique et Libertés et des articles 17 et 89 du RGPD, les traitements mis en oeuvre par les services publics d’archives dérogent à certains droits des personnes concernées par les traitements dans la mesure où ces droits seraient susceptibles de rendre impossible ou de compromettre gravement les finalités de ces traitements. Il s’agit des dérogations au droit à l’oubli ou droit à l’effacement, au droit d’opposition, au droit de rectification, au droit à la limitation du traitement, au droit à la portabilité des données, au droit d’accès de la personne concernée – au sens Informatique et Libertés – et de la dérogation à l’obligation de notification « en ce qui concerne la rectification ou l’effacement des données ou la limitation du traitement ».

Ces dérogations s’appliquent également aux archives définitives encore conservées par les producteurs, dans l’attente de leur versement dans le service public d’archives compétent. Elles s’appliquent aussi, le cas échéant, aux archives conservées par les services d’archives dont la DUA ne serait pas échue, mais dont, nécessairement puisqu’il y a eu versement, la durée de conservation dans le traitement initial est expirée.

Ces dérogations aux droits des personnes ont été obtenues en contrepartie de « conditions et garanties appropriées » constituées, s’agissant des archives publiques, par le très riche corpus normatif qui encadre leur gestion en France (code du patrimoine, code des relations entre le public et l’administration, décret à paraître sur les modalités de diffusion en ligne des archives, normes en matière d’archivage électronique, etc.).

Les archives courantes et intermédiaires

Les archives courantes et intermédiaires relèvent du régime de droit commun du RGPD et de la loi Informatique et Libertés, c’est-à-dire que le droit à l’effacement, le droit de rectification, le droit d’opposition, etc. peuvent s’exercer à leur égard. Ces droits sont cependant limités dans certains cas, limitations précisées dans chacun des articles du RGPD qui leur sont dédiés. Le droit à l’effacement, par exemple, ne s’applique pas lorsque le traitement est nécessaire pour respecter une obligation légale ou pour exécuter « une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement » (art. 17 du RGPD).

Les archives définitives de la sphère privée

Les archives du secteur privé ne peuvent pas bénéficier des dérogations associées aux « traitements à des fins archivistiques dans l’intérêt public » dans la mesure où les personnes ou organismes en cause n’ont pas d’obligation légale de collecte, de conservation, de traitement et de communication de leurs archives.

Mais comme leur traitement a pour finalité la recherche historique, ces archives bénéficient du régime spécifique accordé aux traitements à des fins de recherche scientifique ou historique ou à des fins statistiques. Ces traitements dérogent au droit à l’oubli dans la mesure où ce droit serait susceptible de rendre impossible ou de compromettre gravement la réalisation de leurs finalités et un décret en Conseil d’Etat définira l’étendue des autres dérogations dont ils pourront bénéficier et des conditions et garanties appropriées qui devront être mises en oeuvre par leurs responsables.

Quel que soit le type d’archives conservées, les services d’archives auront l’obligation d’alimenter le « registre des opérations de traitement » de l’organisme dont ils relèvent, ou d’en constituer un spécifique à leur service, selon la taille de celui-ci et le mode d’organisation de l’administration ou de la collectivité à laquelle ils sont rattachés.

Ils devront aussi engager un dialogue étroit avec leur DPO, qui pourra être un allié dans la sensibilisation des services producteurs  à la légalité d’une deuxième vie pour les données à caractère personnel, à l’issue de la durée de conservation dans le traitement initial, et à la légitimité des traitements archivistiques.

Bruno Ricard