Réutilisation des archives publiques contenant des données personnelles : anonymisation, autorisation et sécurité

La réutilisation commerciale des données sensibles au sens de l’article 8, des données relatives aux infractions, condamnations et mesures de sûreté visées à l’article 9, ainsi que de certaines mentions marginales d’état civil, doit être exclue sauf anonymisation ou occultation vérifiable. La communicabilité du document ne suffit donc pas à autoriser sa réutilisation.

Pour les traitements entrant dans le champ de la recommandation, le troisième alinéa de l’article 36 impose un accord exprès de la personne concernée ou une autorisation ou un avis préalable de la CNIL. L’intérêt légitime de la réutilisation doit être apprécié conformément à l’article 7, 5°.

La diffusion possible sans occultation doit être accompagnée d’une information générale sur la finalité, les données, les destinataires et les droits des personnes. Les personnes vivantes peuvent obtenir la suppression de leurs données ; les héritiers peuvent demander l’actualisation et, dans les cas justifiés, la suppression. L’indexation des personnes nées depuis moins de 120 ans doit être limitée, et la sécurité, la confidentialité, les transferts hors Union européenne et les interconnexions doivent respecter les articles 25, 5°, 68 et 69.

⬇️Télécharger la décision version officielle

La Commission examine l’articulation entre la loi CADA, le code du patrimoine et la loi Informatique et Libertés. Elle distingue les documents communicables de ceux pouvant effectivement être réutilisés, en tenant compte de la persistance des atteintes possibles à la vie privée des personnes vivantes et des ayants-droit de personnes décédées.

La recommandation exclut certaines réutilisations commerciales, notamment celles portant sur des données sensibles, des données relatives aux infractions ou certaines mentions marginales d’état civil. Elle encadre les autres traitements par des exigences d’autorisation, d’information, de limitation de l’indexation, de sécurité et de respect des droits des personnes.

• Vérifier que la réutilisation poursuit une finalité distincte du service public
• Respecter les règles de communicabilité du code du patrimoine
• Identifier les données sensibles, judiciaires ou attentatoires à la vie privée
• Anonymiser ou occulter les données dont la réutilisation commerciale est exclue
• Obtenir l’autorisation ou l’avis préalable requis de la CNIL
• Apprécier l’intérêt légitime au regard des droits fondamentaux
• Garantir information, sécurité, confidentialité et limitation de l’indexation

• Documents d’archives contenant des données personnelles
• Registres d’état civil et questionnaires de recensement
• Mentions marginales relatives à l’état civil
• Données relatives à la santé, aux origines ou à la vie sexuelle
• Données relatives aux infractions, condamnations et mesures de sûreté

• Anonymisation ou occultation des données exclues
• Demande d’autorisation ou d’avis préalable à la CNIL
• Information générale des personnes concernées
• Blocage de l’indexation des personnes nées depuis moins de 120 ans
• Sécurisation des données et encadrement des sous-traitants
• Respect des demandes de suppression ou d’actualisation

À faire

• Qualifier les données personnelles contenues dans les archives
• Vérifier les délais de communicabilité applicables
• Occulter les données sensibles ou judiciaires
• Déposer les formalités préalables auprès de la CNIL
• Prévoir information, sécurité et gestion des droits

À éviter

• Assimiler communicabilité et droit de réutilisation
• Diffuser des données sensibles sans anonymisation
• Indexer librement les personnes récemment nées
• Négliger les demandes de suppression ou d’actualisation
• Transférer des données sans garanties suffisantes

Les conditions de réutilisation des archives personnelles

nLa réutilisation d’archives contenant des données personnelles, à d’autres fins que la mission de service public, constitue un traitement soumis à la loi du 6 janvier 1978. L’article 13 de la loi CADA impose le respect de cette loi, même lorsque les documents sont communicables au titre du code du patrimoine.nn

L’anonymisation des données sensibles et judiciaires

nLes données visées aux articles 8 et 9, ainsi que certaines mentions marginales d’état civil, ne peuvent faire l’objet d’une réutilisation commerciale dans les conditions examinées. Elles doivent être anonymisées ou occultées avant toute réutilisation, avec une efficacité du masquage vérifiable par la CNIL.nn

Les formalités préalables et garanties applicables

nLe troisième alinéa de l’article 36 impose, pour les traitements concernés, l’accord exprès de la personne ou une autorisation ou un avis préalable de la CNIL. La Commission recommande aussi l’information générale des personnes, la limitation de l’indexation, la sécurité des données et le respect des droits de suppression ou d’actualisation.