L'article 86 du Règlement général sur la protection des données (RGPD) établit le cadre permettant de concilier la protection des données personnelles avec le principe de transparence de l'action publique et le droit d'accès du public aux documents officiels. Cette disposition reconnaît que ces deux droits fondamentaux peuvent entrer en tension et prévoit leur articulation harmonieuse.
Le droit d'accès aux documents officiels, consacré par l'article 42 de la Charte des droits fondamentaux de l'Union européenne et par le règlement (CE) n° 1049/2001 au niveau de l'Union, constitue un pilier essentiel de la démocratie et du contrôle citoyen de l'action publique. L'article 86 du RGPD vise à garantir que ce droit puisse s'exercer effectivement, tout en préservant la protection des données personnelles contenues dans ces documents.
L'article 86 s'inscrit dans le cadre du chapitre IX relatif aux dispositions relatives à des situations particulières de traitement, et complète les autres exceptions prévues par le RGPD pour des finalités d'intérêt public.
Texte officiel de l'article 86 du RGPD
L'article 86 du RGPD dispose notamment que :
« Les données à caractère personnel figurant dans des documents officiels détenus par une autorité publique ou un organisme public ou par un organisme privé pour l'exécution d'une mission de service public peuvent être divulguées par ladite autorité ou ledit organisme conformément au droit de l'Union ou au droit de l'État membre auquel est soumis l'autorité publique ou l'organisme public afin de concilier le droit d'accès du public aux documents officiels et le droit à la protection des données à caractère personnel au titre du présent règlement. »
Ce texte établit le principe selon lequel les données personnelles figurant dans des documents officiels peuvent être divulguées dans le cadre du droit d'accès aux documents, sous réserve d'une conciliation appropriée entre ce droit et la protection des données.
Champ d'application de l'article 86
L'article 86 s'applique aux données personnelles figurant dans des documents officiels détenus par trois catégories d'entités : les autorités publiques, les organismes publics, et les organismes privés agissant pour l'exécution d'une mission de service public. Cette définition large garantit que toutes les entités exerçant des fonctions publiques sont soumises aux mêmes obligations de transparence et de conciliation des droits.
La notion de « documents officiels » doit être interprétée de manière large, conformément à la jurisprudence de la Cour de justice de l'Union européenne. Elle englobe tous les documents, quel que soit leur support (papier, électronique, audiovisuel), détenus par une entité publique dans le cadre de ses activités administratives. Sont notamment concernés les procès-verbaux, les rapports, les correspondances, les statistiques, et tous autres documents produits ou reçus par l'administration.
L'article 86 ne crée pas directement un droit d'accès aux documents, mais renvoie au droit de l'Union ou au droit national applicable à l'autorité concernée. Au niveau de l'Union européenne, le règlement (CE) n° 1049/2001 établit le droit d'accès aux documents des institutions européennes. Au niveau national, chaque État membre dispose de sa propre législation sur l'accès aux documents administratifs.
Conciliation entre accès aux documents et protection des données
L'article 86 impose de concilier deux droits fondamentaux qui peuvent entrer en conflit : le droit d'accès du public aux documents officiels et le droit à la protection des données personnelles. Cette conciliation doit s'opérer conformément au droit de l'Union ou au droit national applicable, en tenant compte de l'ensemble des circonstances de l'espèce.
Pour opérer cette conciliation, plusieurs facteurs doivent être pris en compte : la nature des données personnelles (sensibles ou ordinaires), la qualité de la personne concernée (personnalité publique ou personne privée), la finalité de la demande d'accès, l'intérêt public de la divulgation, et l'impact potentiel de la divulgation sur la vie privée de la personne concernée.
Dans la pratique, cette conciliation peut conduire à différentes solutions selon les situations. Dans certains cas, les données personnelles peuvent être communiquées intégralement si l'intérêt public de la divulgation prévaut clairement sur les intérêts de la personne concernée. Dans d'autres cas, les autorités peuvent procéder à une occultation ou à une anonymisation partielle des données avant la divulgation, permettant de préserver l'essentiel de l'information tout en protégeant la vie privée des personnes. Enfin, dans les cas où la protection des données prévaut, l'accès peut être refusé totalement ou partiellement.
Application aux différentes catégories de données
La conciliation entre accès aux documents et protection des données doit tenir compte de la nature des données personnelles en cause. Les données sensibles au sens de l'article 9 du RGPD (origine ethnique, opinions politiques, convictions religieuses, données de santé, etc.) bénéficient d'une protection renforcée et leur divulgation ne peut généralement être justifiée que dans des circonstances exceptionnelles.
Les données personnelles des agents publics dans l'exercice de leurs fonctions bénéficient d'une protection moindre que celles concernant leur vie privée. Les noms et fonctions des responsables publics, leurs décisions administratives, et les informations relatives à l'exercice de leurs missions peuvent généralement être communiqués dans le cadre du droit d'accès aux documents, sauf circonstances particulières justifiant leur protection.
Les données relatives aux tiers (usagers du service public, bénéficiaires de prestations, parties à des procédures administratives) doivent faire l'objet d'une appréciation au cas par cas. Leur divulgation ne peut être justifiée que si elle présente un intérêt public manifeste et si elle est proportionnée à cet objectif. Dans de nombreux cas, une anonymisation ou une pseudonymisation des données permet de concilier les deux droits.
Articulation avec les autres dispositions du RGPD
L'article 86 s'articule avec l'article 6, paragraphe 1, point e), qui prévoit que le traitement est licite s'il est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique. La divulgation de données dans le cadre du droit d'accès aux documents constitue un traitement licite sur ce fondement, sous réserve du respect des conditions prévues à l'article 86.
Il se combine également avec l'article 15, qui consacre le droit d'accès de la personne concernée à ses propres données. Ce droit d'accès individuel se distingue du droit d'accès aux documents prévu par l'article 86, qui s'exerce dans l'intérêt général et peut porter sur les données d'autres personnes. Les deux droits coexistent et se complètent pour garantir la transparence de l'action publique.
Jurisprudence relative à l'article 86
La Cour de justice de l'Union européenne a développé une jurisprudence abondante sur la conciliation entre accès aux documents et protection des données, principalement dans le contexte de l'interprétation du règlement (CE) n° 1049/2001. Dans l'arrêt Bavarian Lager (C-28/08 P), la CJUE a précisé les critères à prendre en compte pour opérer cette conciliation, notamment la distinction entre données concernant des agents publics dans l'exercice de leurs fonctions et données relatives à leur vie privée.
Les juridictions nationales ont également eu l'occasion de se prononcer sur l'articulation entre les législations nationales sur l'accès aux documents et le RGPD. Elles ont généralement confirmé que le droit d'accès aux documents ne peut justifier une divulgation systématique de toutes les données personnelles, mais requiert une appréciation au cas par cas tenant compte de l'ensemble des circonstances.
Recommandations de la CNIL et du CEPD
La CNIL a publié des lignes directrices sur l'application de l'article 86 et la conciliation entre accès aux documents et protection des données. Elle recommande aux autorités publiques de mettre en place des procédures permettant d'identifier les données personnelles contenues dans les documents demandés et d'opérer une analyse au cas par cas de l'opportunité de leur divulgation. Elle insiste sur la nécessité de documenter cette analyse pour justifier les décisions prises.
Le Comité européen de la protection des données (CEPD) encourage les autorités publiques à privilégier, lorsque cela est possible, des techniques d'anonymisation ou de pseudonymisation permettant de satisfaire les demandes d'accès tout en protégeant la vie privée des personnes concernées. Il recommande également de développer des politiques de publication proactive des documents d'intérêt public, en veillant à occulter préalablement les données personnelles sensibles.
Implications pratiques pour les autorités publiques
Les autorités publiques et les organismes publics doivent mettre en place des procédures permettant de traiter efficacement les demandes d'accès aux documents tout en respectant les exigences de l'article 86. Ces procédures doivent prévoir une analyse systématique de la présence de données personnelles dans les documents demandés et une évaluation de l'opportunité de leur divulgation.
Il est recommandé de former les agents chargés de traiter les demandes d'accès aux principes de la conciliation entre transparence et protection des données. Ces agents doivent être capables d'identifier les différentes catégories de données personnelles, d'apprécier les intérêts en présence, et de déterminer les modalités appropriées de divulgation (communication intégrale, occultation partielle, ou refus).
Les autorités publiques doivent également veiller à documenter leurs décisions en matière d'accès aux documents contenant des données personnelles. Cette documentation permet de justifier les choix opérés en cas de recours et contribue à l'harmonisation des pratiques au sein de l'administration. Elle facilite également le contrôle exercé par les autorités de protection des données et par les juridictions.
L'article 86 du RGPD établit le cadre permettant de concilier la protection des données personnelles avec le droit d'accès du public aux documents officiels. Cette disposition reconnaît l'importance fondamentale de la transparence de l'action publique tout en préservant les droits des personnes concernées. Elle impose aux autorités publiques d'opérer une analyse au cas par cas pour déterminer les modalités appropriées de divulgation des données personnelles contenues dans les documents officiels, garantissant ainsi un équilibre entre ces deux droits fondamentaux.