N° de demande d’avis : 25012201	Thématiques : Archives, mémoire de la Seconde Guerre mondiale, diffusion anticipée de documents administratifs
Organisme(s) à l’origine de la saisine : Commune de Mulhouse	Fondement de la saisine : 9° de l’article D. 312-1-3 du code des relations entre le public et l’administration

L’essentiel :

La CNIL a été saisie par la ville de Mulhouse d’une demande d’autorisation de diffusion anticipée en ligne de documents conservés par les services d’archives de la collectivité pour la conception d’un portail mémoriel numérique. A travers ce projet, la collectivité rend hommage aux déportés mulhousiens durant la Seconde Guerre mondiale et leurs conditions de déportation.

La CNIL souligne l’importance de concilier l’intérêt historique que revêt cette diffusion et la protection des droits des personnes concernées et leurs ayants droits et proches survivants, notamment en raison de la sensibilité des données contenues dans ces documents.

La CNIL insiste sur la nécessité de mettre en œuvre des mesures de sécurité adaptées à la sensibilité des données diffusées, dans la mesure où elles sont susceptibles d’exposer les personnes concernées encore en vie, leurs proches ou leurs ayants droit à un risque potentiel d’atteinte à leur vie privée.

___________________

La Commission nationale de l’informatique et des libertés,

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (« loi informatique et libertés ») ;

Sur la proposition de de M^me Aminata Niakaté, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,

Adopte la délibération suivante :

I. La saisine

A. Le contexte

Pour rendre hommage, transmettre et préserver la mémoire des déportés mulhousiens durant la Seconde Guerre mondiale, la commune de Mulhouse met à disposition du grand public un « mémoriel numérique » accessible par un portail en ligne et également par le biais d’une borne interactive située au cœur de la ville.

Ces deux outils permettent de consulter la même liste d’hommes, femmes et enfants résidant à Mulhouse et déportés entre 1939 et 1945, et de transmettre leur histoire. L’histoire de chacune de ces victimes est retracée sur une fiche individuelle indiquant l’identité de la personne et les informations sur sa déportation.

La base de données utilisée est constituée à partir du fonds des archives municipales de Mulhouse, de fonds conservés par d’autres collectivités du territoire, de fonds archivistiques disponibles en ligne, et également de travaux de recherches d’historiens.

B. L’objet de la saisine

La CNIL a été saisie par la commune de Mulhouse d’une demande d’autorisation de diffusion anticipée en ligne de documents conservés par les services d’archives municipales de la collectivité, sur le fondement du 9° de l’article D. 312-1-3 du code des relations entre le public et l’administration. La CNIL rappelle qu’en application de cette disposition, le périmètre de l’autorisation délivrée est limité à la diffusion anticipée de documents administratifs conservés par la collectivité requérante, et relatifs aux déportés mulhousiens durant la Seconde Guerre mondiale.

La demande d’autorisation porte sur les informations renseignées dans les documents conservés dans les fonds archivistiques de la ville de Mulhouse, et en premier lieu le fichier domiciliaire, concernant les Mulhousiens déportés durant période de la Seconde Guerre mondiale. La fiche individuelle de chaque déporté mulhousien comporte les informations suivantes :

• son nom et prénom ;
• sa nationalité ;
• sa date de naissance et sa date de décès ;
• son adresse à Mulhouse ;
• les informations relatives à sa déportation (date, âge, numéro de convoi, motif, lieu de déportation) ;
• des éléments biographiques ;
• des photographies, lorsque ces données sont disponibles.

Les visiteurs peuvent contribuer à l’enrichissement de la base de données du mémoriel, en transmettant des documents, des photographies ou encore des compléments d’informations écrits. En cas de doute sérieux sur l’exactitude et la véracité des informations transmises, ces propositions sont soumises au comité de pilotage du portail mémoriel, au sein duquel siègent des historiens.

II. L’avis de la CNIL

A. Sur les finalités du traitement

La CNIL relève que le traitement vise à collecter, numériser et indexer des documents administratifs afin de les mettre à disposition du grand public. Cette diffusion à des fins historiques et mémorielles a un objectif de médiation mémorielle.

La CNIL reconnait dans ces finalités la mission d’intérêt public dévolue au traitement par la commune. Elle rappelle cependant que, afin d’assurer un traitement proportionné, la collectivité doit en permanence rechercher la conciliation entre :

• d’une part, la réalisation de l’objectif de médiation mémorielle via la diffusion anticipée de ces documents, qui constitue une mission d’intérêt public et ;
• d’autre part, la protection des données à caractère personnel des personnes concernées et, le cas échéant, de la vie privée de leurs ayants droit ou proches survivants.

B. Sur les données traitées et les droits des personnes

Le portail mémoriel présente les motifs de déportation de chaque personne commémorée. Ces informations sont susceptibles de constituer des données sensibles au sens de l’article 9 du RGPD, car elles portent sur des données relatives à la religion, l’origine, l’orientation sexuelle, ou encore l’état de santé des personnes déportées. Ces informations concernent à la fois les personnes décédées, et par extension, leurs ayants droit ou leurs proches survivants.

En premier lieu, la CNIL rappelle que si, par principe, les dispositions de la réglementation relative à la protection des données n’ont pas vocation à s’appliquer aux personnes décédées auxquelles les documents diffusés se rapportent, il y a lieu de faire application de ces dispositions lorsque le traitement des données de personnes décédées est susceptible d’avoir des conséquences sur la vie privée de leurs ayants droits ou leurs proches survivants.

En deuxième lieu, sans remettre en cause l’intérêt public que représente l’accès à ces informations, la CNIL invite la collectivité à sélectionner les catégories d’informations mises en ligne en tenant compte du principe de minimisation.

Sur ce point, la CNIL relève que les fiches individuelles du portail en ligne sont constituées de données à caractère personnel, en lien direct avec le parcours de vie et les déportations des Mulhousiens durant la Seconde Guerre mondiale. Elle admet que la liste limitative définie par la commune permet d’établir une conciliation équilibrée entre l’objectif de médiation mémorielle et la protection des droits des victimes et de leurs proches.

Les particuliers – en premier lieu les proches et héritiers des victimes – peuvent contribuer à l’enrichissement du portail mémoriel en transmettant des informations et documents pouvant étoffer des fiches individuelles de ce portail. La véracité et l’exactitude ces éléments sont analysées et comparées avec les sources déjà en possession de la collectivité avec l’appui du comité scientifique qui accompagne la commune depuis la création de ce projet.

La CNIL reconnait que cette fonctionnalité est essentielle pour que ce portail assure de manière effective sa mission de médiation mémorielle. Elle souligne également l’importance d’associer les historiens du comité de pilotage à la modération de ces contributions, pour éviter la publication de d’informations inexactes, surtout si elles ne proviennent pas de la famille de la personne à laquelle elles se rapportent.

En troisième lieu, la CNIL rappelle que, si par principe, les dispositions de la réglementation relative à la protection des données n’ont pas vocation à s’appliquer aux informations concernant des personnes décédées, il y a lieu de faire application de ces dispositions lorsque le traitement des données de personnes décédées est susceptible d’avoir des conséquences sur la vie privée de leurs ayants droits ou proches.

Elle considère à cet égard que ces proches ou ayants droit peuvent demander l’effacement ou s’opposer à la diffusion des données de nature à porter atteinte à leur vie privée, dans les conditions prévues par le RGPD et la loi « informatique et libertés ». Sur ce point, la CNIL accueille favorablement la prise en compte de ces questions par la commune de Mulhouse et l’établissement de procédures spécifiques pour l’exercice de ces droits.

En dernier lieu, la CNIL reconnait que la mise en place d’une information individuelle à destination de toutes les personnes concernées exigerait des efforts disproportionnés et serait de nature à compromettre la réalisation des objectifs de ce projet mémoriel. Par conséquent, la CNIL admet que l’article 14-5 b) du RGPD s’applique et que la commune peut légitimement se limiter à publier une information générale sur son portail numérique, mais que celle-ci doit nécessairement présenter le cadre juridique du traitement afférent à ce portail mémoriel. Sur ce point la CNIL relève que la commune a mis à disposition du public une information en des termes pédagogiques, visant à présenter le contexte historique de cette période, la démarche de ce projet, les sources des historiques, ainsi que le cadre juridique dans lequel s’inscrit une telle diffusion anticipée.

C. Sur les mesures de sécurité

Compte tenu de la sensibilité du traitement et de ses conséquences, la CNIL recommande que des garanties techniques soient prévues dans le cadre de la diffusion envisagée afin de concilier ces droits et l’intérêt que revêt ce traitement à des fins historiques pour le grand public. La CNIL invite en particulier la commune de Mulhouse à :

• restreindre la liste des accédants à la base de données aux seules personnes qui ont un intérêt légitime à le faire au regard de leurs fonctions, afin de limiter les risques d’accès ou de divulgation non autorisés ;
• définir les droits de chaque accédant sur les données en tenant compte de leur fonction, afin de limiter les risques d’atteinte à la confidentialité et à l’intégrité des données ;
• mettre en place des mesures empêchant l’indexation, sur des moteurs de recherche externes, des données directement identifiantes ;
• de s’assurer du respect par le sous- traitant de ces mesures de sécurité par les sous-traitants à travers un contrat ou tout autre acte juridique conclut au titre de l’article 28 du RGPD.

La présidente,

M.-L. Denis