RGPD. Traitement à des fins archivistiques dans l’intérêt public

L’article 89 du Règlement général pour la protection des données personnelles traite des « Garanties et dérogations applicables au traitement à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques ».

Le traitement à des fins de recherche scientifique ou historique ou à des fins statistiques autorise des exceptions aux articles 15, 16, 18 et 21 du Règlement; le traitement « à des fins archivistiques dans l’intérêt public » prévoit des dérogations aux mêmes articles et en outre aux articles 19 et 20, traitant respectivement l’obligation de notification en ce qui concerne la rectification ou l’effacement, et le droit à la portabilité des données.

Le texte du RGPD a fait l’objet de beaucoup de copiés-collés mais assez peu de glose, d’explication, d’analyses et de commentaires, en tout cas sur cette question de « traitement à des fins archivistiques ». La formule accroche cependant et je me suis demandée (voir l’allusion dans le billet Protection des données personnelles post mortem) ce que recouvrait exactement la formule « traitement à des fins archivistiques dans l’intérêt du public ». Un étudiant étranger ayant récemment sollicité mon opinion sur la question, j’ai tenté d’y voir plus clair. Voici le détail de mon analyse.

Occurrences et contexte de la formule dans le RGPD

Le RGPD comporte au total seize occurrences de l’expression que l’on peut regrouper ainsi:

Comment on disait avant?

Jusqu’à la publication du RGPD, la loi française n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée en 2004 et en 2011, parlait de « traitement ultérieur à des fins statistiques ou à des fins de recherche scientifique ou historique » (notamment dans l’article 6) et l’article 36 était ainsi rédigé: « Les données à caractère personnel ne peuvent être conservées au-delà de la durée prévue au 5° de l’article 6 qu’en vue d’être traitées à des fins historiques, statistiques ou scientifiques ; le choix des données ainsi conservées est opéré dans les conditions prévues à l’article L. 212-3 du code du patrimoine. Les traitements dont la finalité se limite à assurer la conservation à long terme de documents d’archives dans le cadre du livre II du même code sont dispensés des formalités préalables à la mise en œuvre des traitements prévues au chapitre IV de la présente loi ».

On retrouve la même expression dans le code de la santé publique au sujet de la conservation des dossiers médicaux, très précisément à la fin de l’article R1112-7: Le dossier médical mentionné à l’article R. 1112-2 est conservé pendant une durée de vingt ans à compter de la date du dernier séjour de son titulaire dans l’établissement ou de la dernière consultation externe en son sein. […] A l’issue du délai de conservation mentionné à l’alinéa précédent et après, le cas échéant, restitution à l’établissement de santé des données ayant fait l’objet d’un hébergement en application de l’article L. 1111-8, le dossier médical peut être éliminé. La décision d’élimination est prise par le directeur de l’établissement après avis du médecin responsable de l’information médicale. Dans les établissements publics de santé et les établissements de santé privés participant à l’exécution du service public hospitalier, cette élimination est en outre subordonnée au visa de l’administration des archives, qui détermine ceux de ces dossiers dont elle entend assurer la conservation indéfinie pour des raisons d’intérêt scientifique, statistique ou historique.

Après le RGPD, la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles dispose que « L’article 36 de la loi n° 78-17 du 6 janvier 1978 est ainsi modifié : 1° Au premier alinéa, les mots : « historiques, statistiques ou scientifiques » sont remplacés par les mots : « archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques » ».

Et un nouvel alinéa est ajouté: « Lorsque les traitements de données à caractère personnel sont mis en œuvre par les services publics d’archives à des fins archivistiques dans l’intérêt public conformément à l’article L. 211-2 du code du patrimoine, les droits prévus aux articles 15,16 et 18 à 21 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité ne s’appliquent pas dans la mesure où ces droits rendent impossible ou entravent sérieusement la réalisation de ces finalités. Les conditions et garanties appropriées prévues à l’article 89 du même règlement sont déterminées par le code du patrimoine et les autres dispositions législatives et réglementaires applicables aux archives publiques. Elles sont également assurées par le respect des normes conformes à l’état de l’art en matière d’archivage électronique« . Avec ces derniers mots, « archivage » fait son entrée dans la loi « Informatique et Libertés », aux côtés des mots archives et archivistique.

Et en anglais?

Comme souvent dans les textes européens, la version anglaise donne un éclairage pour une compréhension due message. Or, dans le texte de la GDPR (General Data Protection Regulation), l’expression anglaise correspondant à « traitement à des fins archivistiques dans l’intérêt du public » est « processing for archiving purposes in the public interest« , suivi de « scientific or historical research purposes or statistical purposes ».

Dans un  » Guide to archiving personal data« , les Archives nationales du Royaume-Uni (The National Archives) font remarquer que cette disposition de la GDPR (General Data Protection Regulation) n’apporte pas de grand changements: « in practical terms, processing for archiving purposes under the new legislation is not very different from the previous Act and its effective safeguards. « However – dit encore ce guide – the law recognises there is a public interest in permitting the permanent preservation of personal data for the long-term benefit of society ».

Il faut à ce stade préciser à quoi renvoie le mot archives en anglais. Le guide de TNA cite la définition de la norme ISO16175-1:2010: « Archives are materials created or received by a person, family or organisation, public or private, in the conduct of their affairs and preservec because of the enduring value contained in them or as evidence of the functions and responsabilities or their creator, especially those materials maintained using the principles of provenance, original order and collective control; permanent records ».

Rappelons au passage la définition de record dans ISO15489: 2001, 2016): « information created, received and maintained as evidence and as an asset by an organization or person, in pursuit of legal obligations or in the transaction of business ».

Il est intéressant de rapprocher ces définitions de la définition légale française du mot archives, que l’on trouve dans le code du patrimoine (article L212-1) répond:  » l’ensemble des documents, quels que soient leur date, leur lieu de conservation, leur forme et leur support, produits ou reçus par toute personne physique ou morale et par tout service ou organisme public ou privé dans l’exercice de leur activité ».

Il y a (ce n’est pas nouveau mais il est bon de le rappeler) un écart entre la terminologie anglaise et la terminologie française sur la définition d’archives: par opposition aux « records », les « archives » anglo-saxonnes se caractérisent par une conservation de longue durée, permanente, en raison de leur valeur patrimoniale, tandis que la définition française d’archives insiste sur « quelle que soit la date ». La conséquence de l’équivalence entre « fins archivistiques » et « archiving purposes » est un « ressenti » de lecture et une interprétation potentiellement différente du RGPD/GDPR pour un lecteur anglophone et un lecteur francophone.

Reconnaissance d’une archivistique patrimoniale

L’archivistique a donc été ajoutée dans le RGPD comme finalité d’exception au traitement des données à caractère personnel, au même titre que les recherches scientifiques et historiques.

On doit bien sûr s’en réjouir car le travail essentiellement discret des archivistes et le sens de ce travail pour la collectivité mérite bien cette reconnaissance. Cette avancée pose toutefois la question de ce qu’est l’archivistique et de son champ d’application.

On en trouve plusieurs définitions du substantif archivistique (voir mon petit catalogue). Prenons celle du Dictionnaire de terminologie de la Direction des Archives de France (2002): « principes et les méthodes qui régissent la collecte et la conservation des archives appliquées à la collecte, au traitement, à la conservation, à la communication et à la mise en valeur des documents ». On remarque que cette définition ne contient pas de restriction temporelle, pas plus que la définition légale des archives reprise ci-dessus.

Si on compare l’ancienne expression de la loi du 6 janvier 1978 (« traitements dont la finalité se limite à assurer la conservation à long terme de documents d’archives ») et la nouvelle formulation (« traitements à des fins archivistiques dans l’intérêt public »), on peut constater une réduction de l’archivistique à la conservation à long terme de documents d’archives. L’archivistique ne serait-elle que cela?

Le considérant 158 du RGPD, malheureusement, entretien l’ambiguïté. Il donne une sorte de définition des services publics d’archives ou plutôt des services d’archives à mission de service public. Je cite: « Les autorités publiques ou les organismes publics ou privés qui conservent des archives dans l’intérêt public devraient être des services qui, en vertu du droit de l’Union ou du droit d’un État membre, ont l’obligation légale de collecter, de conserver, d’évaluer, d’organiser, de décrire, de communiquer, de mettre en valeur, de diffuser des archives qui sont à conserver à titre définitif dans l’intérêt public général et d’y donner accès ». Certes, il n’est pas dit explicitement que lesdits services ne doivent pas collecter, conserver ou évaluer autre chose que des archives de nature définitive (archives que l’on appelle communément « archives historiques ») mais le périmètre documentaire de ces archives est clairement patrimonial et mémoriel.

D’où une interrogation: quelles sont les autorités publiques, quels sont les organismes publics ou privés qui conservent des archives » qui ne sont pas des archives définitives? Pourquoi les compétences de gestion des archives à des fins juridiques et managériales ne sont pas mentionnés dans le RGPD? En effet, si on trouve à maintes reprises dans le RGPD, l’expression « durée de conservation » (ce dont je me réjouis chaque jour), force est de constater que la notion de records management (pour utiliser le mot anglais) ou la notion d’archivage au service des intérêts de l’entité publique ou privée propriétaire et responsable de l’existence et de devenir des documents et données qu’elle détient, ne sont pas évoquées dans le RGPD. J’ose dire que c’est une grande lacune.

Dit autrement, si on doit se réjouir de la reconnaissance du travail des archivistes dans la constitution et la gestion de la mémoire écrite et documentaire, on ne peut que déplorer que le Règlement européen ignore le rôle des archivistes en dehors des archives historiques, et ce n’est guère mieux dans la version anglaise qui ignore les records managers (même s’il est fait une brève allusion au « record-keeping » dans le considérant 13).

L’archivistique est-elle une fin en soi?

La nouvelle formulation, « traitement à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques » pose indirectement la question, en les différenciant de cette façon, de la relation entre les « fins archivistiques » d’une part, et les « fins de recherche scientifique ou historique » d’autre part.

On note au passage que la formulation déjà ancienne « à des fins de recherche scientifique ou historique » pourrait laisser penser à un lecteur pressé, qu’il n’existe que deux types de recherche concernées par les données personnelles ou, puisque que l’on distingue les recherches scientifiques et les recherches historiques, que l’Histoire n’est pas une science, ou qu’il y a une Histoire qui n’est pas scientifique, ou je ne sais quelle interprétation. Ce qui est certain, c’est que les chercheurs eux-mêmes, quelle que soit leur discipline (notamment les chercheurs en sciences humaines auxquelles est rattachée l’Histoire), parlent de « recherche scientifique ». Et on pourrait remarquer encore que les recherches utilisant des données personnelles intéressent bien d’autres sciences humaines que la seule Histoire.

Mais revenons aux « fins archivistiques ». Une première interprétation serait de dire que c’est l’archivistique en tant que discipline qui est mise en avant. Mais on doit alors remarquer que l’étude des « principes et les méthodes » qui régissent la collecte et la conservation des archives n’utilise pas directement de données personnelles. La finalité de l’archivistique est d’organiser les archives, non de les exploiter. L’exploitation des archives a pour finalité la connaissance, qu’elle vise des intérêts particuliers (la défense des droits) ou « l’intérêt public ».

Pour la discipline archivistique, les données personnelles sont des classes ou des catégories. Là où les données à caractère personnel sont concernées en tant que telles, c’est en tant qu’instances de classes ou catégories de données définies par l’archivistique, c’est-à-dire dans la constitution des fonds d’archives, dans la mesure où ces données personnelles figurent dans les documents retenus pour être conservés à titre d’archives. C’est là une seconde interprétation, plus pertinente. La finalité n’est pas la science archivistique mais la « mise en archive », l’archivage dans un but de documentation historique, celle qui correspond mieux à l’anglais « archiving ». On peut se demander pourquoi le mot archivage n’existe pas dans la version française du RGPD.

Il est intéressant d’invoquer ici l’article L212-1 du code du patrimoine. Il est précisé, après la définition des archives, que « la conservation des archives est organisée dans l’intérêt public tant pour les besoins de la gestion et de la justification des droits des personnes physiques ou morales, publiques ou privées, que pour la documentation historique de la recherche ». On voit là le lien entre les archives et la recherche: la recherche est une des finalités des archives, l’autre étant la justification des droits. Cette double finalité des archives correspond assez bien du reste au doublet terminologique anglais: la finalité de défense des droits pour les « records » et la finalité de la recherche pour les « archives ».

La dissociation que fait le texte du RGPD entre les différentes finalités laisse penser que la recherche (historique, scientifique, etc.) utilise des données à caractère personnel en dehors des archives constituées pour la recherche. Mais alors, qui est le gestionnaire de ces « données non archivées » ou de ces « données non encore archivées »? Les principes et méthodes archivistiques sont-ils complètement étrangers à cette gestion? Au nom de quoi le seraient-ils? Au nom de quoi couper ainsi en deux le champ de la discipline archivistique?

L’article R1112-7 du code de la santé publique cité plus haut (et dont la rédaction remonte à 2006) distingue, quant à lui, trois finalités à la conservation des dossiers médicaux au titre d’archives historiques: intérêt scientifique, intérêt historique, intérêt statistique, les trois finalités étant mises sur le même plan. Cette définition est très claire et se comprend bien au-delà des seules archives médicales. Pourquoi l’avoir abandonnée au profit d’une expression complexe et relativement ambiguë?

Qu’est-ce que l’intérêt public?

Comme le fait remarquer l’étude des Archives nationales du Royaume-Uni déjà citée (§ 57), la notion d’intérêt public peut changer selon les temps et les circonstances. Il est bien difficile de légiférer valablement sur le sujet. Mais il est intéressant que la loi et les institutions reconnaissent l’importance pour la société de préserver une mémoire écrite, incluant des données personnelles sur les personnes qui ont vécu sur le territoire national ou des citoyens qui ont pu vivre sur d’autres territoires. La conservation sans limite de durée des registres d’état civil en est l’exemple le plus éclatant.

Dans le règlement, un mot m’accroche encore au sujet des « fins archivistiques dans l’intérêt public »; c’est le mot « nécessaire » justifiant le traitement à des fins archivistiques (cf articles 9 et 17, voir le tableau au début de ce billet). En quoi la conservation à des fins patrimoniales de données personnelles peut-elle être jugée « nécessaire »? On s’attendrait davantage au qualificatif « légitime » voire « légal » dans la mesure où la réglementation peut effectivement dire quelles données personnelles doivent être conservées. C’est du reste ce qui est évoqué dans le considérant 158 du RGPD avec la possibilité pour les Etats de conserver les données relatives au « comportement politique sous les régimes des anciens Etats totalitaires, etc. ».

L’autre option serait de dire que la collecte de telles ou telles données est « pertinente », « issue d’une réflexion archivistique » sur la réalité des données produites en regard des attentes du monde de la recherche, mais alors ces choix devraient être publiés, au nom de la transparence démocratique, dans un document de « politique de constitution des archives publiques » intégrant tous les ingrédients démocratiques d’une politique.

Question à suivre!

Conclusions

Après avoir brassé toutes ces idées, j’en arrive à deux conclusions:

1. l’expression « traitement à des fins d’archivage historique » ou « d’archivage patrimonial » aurait été plus claire;
2. il est vraiment dommage que l’archivage managérial (le records management) n’ait pas été pris en compte dans le RGPD. Très dommage.