N° de demande d’autorisation : 2239711	Thématiques : Archives, mémoire de la Seconde Guerre mondiale, diffusion anticipée de documents administratifs
Organisme(s) à l’origine de la saisine : Région Grand Est	Fondement de la saisine : 9° de l’ article D. 312-1-3 du code des relations entre le public et l’administration

L’essentiel :

La CNIL a été saisie par la région Grand Est d’une demande d’autorisation de diffusion anticipée en ligne de documents conservés par les services d’archives de la collectivité pour la conception de son projet de médiation mémorielle du Mur des noms. A travers un mémorial physique complété par un portail numérique, la collectivité rend hommage aux victimes de la Seconde Guerre mondiale dans cette région et présente leur parcours de vie et les discriminations du régime nazi qu’ils et elles ont subi.

La CNIL souligne l’importance de concilier l’intérêt historique que revêt cette diffusion et la protection des droits des personnes concernées et leurs ayants droits et proches survivants, notamment en raison de la sensibilité des données contenues dans ces documents.

La CNIL insiste sur la nécessité de mettre en œuvre des mesures de sécurité adaptées à sensibilité des données diffusées, dans la mesure où elles sont susceptibles d’exposer les personnes concernées encore en vie, leurs proches ou leurs ayants droit à un risque potentiel d’atteinte à leur vie privée.

___________________

La Commission nationale de l’informatique et des libertés,

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ( loi informatique et libertés ) ;

Sur proposition de M^me Aminata Niakaté commissaire, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement,

Adopte la délibération suivante :

I. La saisine

A. Le contexte

Pour rendre hommage, transmettre et préserver la mémoire des victimes de la Seconde Guerre mondiale en Alsace-Moselle, la région Grand Est mène la construction d’un mémorial physique à Schirmeck – dans le Bas-Rhin – et d’un portail mémoriel numérique. Cet ensemble constitue le Mur des noms et permettra aux visiteurs du monument physique d’accéder au portail numérique et projeter des éléments de ce dernier sur les murs du bâtiment.

Ce projet vise à retracer l’histoire des près de 40 000 personnes disparues ou ayant perdu la vie durant la Seconde Guerre mondiale en Alsace-Moselle. L’histoire de chacune de ces victimes est retracée sur une fiche individuelle, présentant leur parcours de vie et les informations sur leur décès ou disparition.

La base de données sur laquelle est adossée ce portail numérique est constituée à partir des fonds archivistiques de collectivités territoriales d’Alsace-Moselle, des fonds archivistiques disponibles en ligne et des fonds constitués par d’autres acteurs français et allemands de la mémoire de la Seconde Guerre mondiale.

B. L’objet de la saisine

La CNIL a été saisie par la région Grand Est d’une demande d’autorisation de diffusion anticipée en ligne de documents conservés par les services d’archives de la collectivité, sur le fondement du 9° de l’article D. 312-1-3 du code des relations entre le public et l’administration, pour la mise en œuvre de ce traitement. La CNIL rappelle que, en application de cette disposition, le périmètre de l’autorisation délivrée est limité à la diffusion anticipée de documents administratifs conservés par la collectivité requérante, et relatifs aux victimes de la Seconde Guerre mondiale en Alsace-Moselle.

La demande d’autorisation porte sur les informations renseignées dans les documents conservés dans les fonds archivistiques de la Région Grand Est. L’ensemble des informations renseignées dans ces documents et complétées par les données issues des sources listées ci-dessus, constituent la fiche individuelle de chaque victime en présentant :

• son origine (nom et prénom, date et lieu de naissance, lieu de résidence) ;

• l’identité de ses parents et de ses frères et sœurs ;
• les discriminations subies et les catégories de victimes auxquelles la personne peut être assimilée (victime civile de faits de guerre, victime des persécutions nazies, résistant(e), incorporé(e) de force dans les forces militaires ou paramilitaires nazies, etc.) ;
• des éléments sur son décès ou sa disparition (dernière adresse connue, circonstances, date et lieu de décès) ;
• des photographies, lorsque ces données sont disponibles.

Les visiteurs peuvent contribuer à l’enrichissement de la base de données du mémoriel, en transmettant des documents, des témoignages audios, des photographies ou encore des compléments d’informations écrits. La modération de ces propositions est assurée par le comité scientifique qui suit ce projet depuis son origine.

II. L’avis de la CNIL

A. Sur les finalités du traitement

La CNIL relève que le traitement vise à collecter, numériser et indexer des documents administratifs afin de les mettre à disposition du grand public. Cette diffusion à des fins historiques et mémorielles a un objectif de médiation mémorielle.

La CNIL reconnait dans ces finalités la mission d’intérêt public dévolue au traitement par la région. Elle rappelle cependant que, afin d’assurer un traitement proportionné, la collectivité doit en permanence rechercher la conciliation entre :

• d’une part, la réalisation de l’objectif de médiation mémorielle via la diffusion anticipée de ces documents, qui constitue une mission d’intérêt public et ;
• d’autre part, la protection des données à caractère personnel des personnes concernées et, le cas échéant, de la vie privée de leurs ayants droit ou proches survivants.

B. Sur les données traitées et les droits des personnes

Le projet mémoriel de la région Grand Est présente plusieurs informations relatives aux personnes commémorées, notamment les motifs de déportation. Ces informations sont susceptibles de constituer des données sensibles au sens de l’article 9 du RGPD, car ces discriminations peuvent porter sur des données relatives à la religion, l’origine, l’orientation sexuelle, ou encore l’état de santé des victimes, et par extension, leurs ayants droit ou leurs proches survivants.

En premier lieu, la CNIL rappelle que si, par principe, les dispositions de la réglementation relative à la protection des données n’ont pas vocation à s’appliquer aux personnes décédées auxquelles les documents diffusés se rapportent, il y a lieu de faire application de ces dispositions lorsque le traitement des données de personnes décédées est susceptible d’avoir des conséquences sur la vie privée de leurs ayants droits ou leurs proches survivants.

En deuxième lieu, sans remettre en cause l’intérêt public que représente l’accès à ces informations, la CNIL invite la collectivité à sélectionner les catégories d’informations mises en ligne en tenant compte du principe de minimisation.

Sur ce point, la CNIL relève que les fiches individuelles du portail en ligne sont constituées de données à caractère personnel, en lien direct avec le parcours de vie et les offenses subies par les victimes commémorées. Elle admet que la liste limitative définie par la région Grand Est permet d’établir une conciliation équilibrée entre l’objectif de médiation mémorielle et la protection des droits des victimes et de leurs proches.

Les particuliers – en premier lieu les proches et héritiers des victimes – peuvent contribuer à l’enrichissement du portail mémoriel en transmettant des informations et documents pour compléter (ou corriger) les fiches individuelles de ce portail. La véracité et l’exactitude ces éléments sont analysées et comparées avec les sources déjà en possession de la collectivité, avec l’appui du comité scientifique qui accompagne la région depuis la création de ce projet.

La CNIL reconnait que cette fonctionnalité est essentielle pour que ce projet assure de manière effective sa mission de médiation mémorielle. Elle souligne également l’importance d’associer le comité scientifique à la modération de ces contributions, pour éviter la publication d’informations inexactes, surtout si elles ne proviennent pas de la famille de la personne à laquelle elles se rapportent.

En troisième lieu, la CNIL rappelle que, si par principe, les dispositions de la réglementation relative à la protection des données n’ont pas vocation à s’appliquer aux informations concernant des personnes décédées, il y a lieu de faire application de ces dispositions lorsque le traitement des données de personnes décédées est susceptible d’avoir des conséquences sur la vie privée de leurs ayants droits ou proches.

Elle considère à cet égard que ces proches ou ayants droit peuvent demander l’effacement ou s’opposer à la diffusion des données de nature à porter atteinte à leur vie privée, dans les conditions prévues par le RGPD et la loi informatique et libertés . Sur ce point, la CNIL accueille favorablement la prise en compte de ces questions par la région et l’établissement de procédures spécifiques pour l’exercice de ces droits.

En dernier lieu, la CNIL reconnait que la mise en place d’une information individuelle à destination de toutes les personnes concernées exigerait des efforts disproportionnés et serait de nature à compromettre la réalisation des objectifs de ce projet mémoriel. Par conséquent, elle admet que l’article 14-5 b) du RGPD s’applique et que la région Grand Est peut légitimement se limiter à publier une information générale sur son portail numérique, mais que celle-ci doit nécessairement présenter le cadre juridique du traitement afférent au projet du Mur des noms. Sur ce point la CNIL relève que les mentions légales du portail numérique présentent déjà ces informations en des termes clairs et simples.

C. Sur les mesures de sécurité

Compte tenu de la sensibilité du traitement et de ses conséquences, la CNIL recommande que des garanties techniques soient prévues dans le cadre de la diffusion envisagée afin de concilier ces droits et l’intérêt que revêt ce traitement à des fins historiques pour le grand public. La CNIL invite en particulier la région Grand Est à :

• restreindre la liste des accédants à la base de données aux seules personnes qui ont un intérêt légitime à le faire au regard de leurs fonctions, afin de limiter les risques d’accès ou de divulgation non autorisé ;
• définir les droits de chaque accédant sur les données en tenant compte de leur fonction, afin de limiter les risques d’atteinte à la confidentialité et à l’intégrité des données ;
• mettre en place des mesures empêchant l’indexation, sur des moteurs de recherche externes, des données directement identifiantes ;
• de s’assurer du respect par le sous- traitant de ces mesures de sécurité par les sous-traitants à travers un contrat ou tout autre acte juridique conclut au titre de l’article 28 du RGPD.

La présidente,

M.-L. Denis