L’article 89 du Règlement général pour la protection des données personnelles traite des « Garanties et dérogations applicables au traitement à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques ».

Le traitement à des fins de recherche scientifique ou historique ou à des fins statistiques autorise des exceptions aux articles 15, 16, 18 et 21 du Règlement; le traitement « à des fins archivistiques dans l’intérêt public » prévoit des dérogations aux mêmes articles et en outre aux articles 19 et 20, traitant respectivement l’obligation de notification en ce qui concerne la rectification ou l’effacement, et le droit à la portabilité des données.

Le texte du RGPD a fait l’objet de beaucoup de copiés-collés mais assez peu de glose, d’explication, d’analyses et de commentaires, en tout cas sur cette question de « traitement à des fins archivistiques ». La formule accroche cependant et je me suis demandée (voir l’allusion dans le billet Protection des données personnelles post mortem) ce que recouvrait exactement la formule « traitement à des fins archivistiques dans l’intérêt du public ». Un étudiant étranger ayant récemment sollicité mon opinion sur la question, j’ai tenté d’y voir plus clair. Voici le détail de mon analyse.

Occurrences et contexte de la formule dans le RGPD

Le RGPD comporte au total seize occurrences de l’expression que l’on peut regrouper ainsi:

mot-clé extraits référence
personnes concernées lorsque les données à caractère personnel sont traitées à des fins archivistiques, le présent règlement devrait également s’appliquer à ce traitement, étant entendu qu’il ne devrait pas s’appliquer aux des personnes décédées. […] considérant 158
type de données les traitements de catégories particulières [origine raciale ou ethnique, les opinions politiques, etc.] sont interdits, sauf si… j) le traitement est nécessaire à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques article 9
durée les données à caractère personnel peuvent être conservées pour des durées plus longues dans la mesure où elles seront traitées exclusivement à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques article 5
traitement ultérieur traitement ultérieur à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques devrait être considéré comme une opération de traitement licite compatible considérant 50
traitement ultérieur la conservation ultérieure […]devrait être licite lorsqu’elle est nécessaire à l’exercice du droit à la liberté d’expression et d’information, au respect d’une obligation légale, à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement, pour des motifs d’intérêt public dans le domaine de la santé publique, à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques, ou à la constatation, à l’exercice ou à la défense de droits en justice considérant 65
traitement ultérieur le traitement ultérieur de données à caractère personnel à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques doit être effectué lorsque que le responsable du traitement a évalué s’il est possible d’atteindre ces finalités grâce à un traitement de données qui ne permettent pas ou plus d’identifier les personnes concernées, pour autant que des garanties appropriées existent (comme par exemple la pseudonymisation des données) considérant 156
traitement ultérieur les États membres devraient également être autorisés à prévoir un traitement ultérieur des données à caractère personnel à des fins archivistiques, par exemple en vue de fournir des informations précises relatives au comportement politique sous les régimes des anciens États totalitaires, aux génocides, aux crimes contre l’humanité, notamment l’Holocauste, ou aux crimes de guerre considérant 158
traitement ultérieur le traitement ultérieur à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques n’est pas considéré […] comme incompatible avec les finalités initiales article 5
dérogations, exceptions dérogations possibles à des fins de santé […], ou à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques considérant 52
dérogations, exceptions traitement, par les autorités […] en vue du contrôle de la qualité […] des soins de santé ou de la protection sociale […], ou à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques considérant 53
dérogations, exceptions l’obligation de fournir des informations [à] la personne concernée […] exigerait des efforts disproportionnés […], notamment, lorsqu’il s’agit d’un traitement à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques considérant 62
dérogations, exceptions la fourniture d’informations à la personne concernée ne s’applique pas si elle « se révèle impossible ou exigerait des efforts disproportionnés, en particulier pour le traitement à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques » article 14
dérogations, exceptions le droit à l’effacement («droit à l’oubli») ne s’applique pas si « le traitement est nécessaire […] à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques article 17

 

Comment on disait avant?

Jusqu’à la publication du RGPD, la loi française n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée en 2004 et en 2011, parlait de « traitement ultérieur à des fins statistiques ou à des fins de recherche scientifique ou historique » (notamment dans l’article 6) et l’article 36 était ainsi rédigé: « Les données à caractère personnel ne peuvent être conservées au-delà de la durée prévue au 5° de l’article 6 qu’en vue d’être traitées à des fins historiques, statistiques ou scientifiques ; le choix des données ainsi conservées est opéré dans les conditions prévues à l’article L. 212-3 du code du patrimoine. Les traitements dont la finalité se limite à assurer la conservation à long terme de documents d’archives dans le cadre du livre II du même code sont dispensés des formalités préalables à la mise en œuvre des traitements prévues au chapitre IV de la présente loi ».

On retrouve la même expression dans le code de la santé publique au sujet de la conservation des dossiers médicaux, très précisément à la fin de l’article R1112-7: Le dossier médical mentionné à l’article R. 1112-2 est conservé pendant une durée de vingt ans à compter de la date du dernier séjour de son titulaire dans l’établissement ou de la dernière consultation externe en son sein. […] A l’issue du délai de conservation mentionné à l’alinéa précédent et après, le cas échéant, restitution à l’établissement de santé des données ayant fait l’objet d’un hébergement en application de l’article L. 1111-8, le dossier médical peut être éliminé. La décision d’élimination est prise par le directeur de l’établissement après avis du médecin responsable de l’information médicale. Dans les établissements publics de santé et les établissements de santé privés participant à l’exécution du service public hospitalier, cette élimination est en outre subordonnée au visa de l’administration des archives, qui détermine ceux de ces dossiers dont elle entend assurer la conservation indéfinie pour des raisons d’intérêt scientifique, statistique ou historique.

Après le RGPD, la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles dispose que « L’article 36 de la loi n° 78-17 du 6 janvier 1978 est ainsi modifié : 1° Au premier alinéa, les mots : « historiques, statistiques ou scientifiques » sont remplacés par les mots : « archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques » ».

Et un nouvel alinéa est ajouté: « Lorsque les traitements de données à caractère personnel sont mis en œuvre par les services publics d’archives à des fins archivistiques dans l’intérêt public conformément à l’article L. 211-2 du code du patrimoine, les droits prévus aux articles 15,16 et 18 à 21 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité ne s’appliquent pas dans la mesure où ces droits rendent impossible ou entravent sérieusement la réalisation de ces finalités. Les conditions et garanties appropriées prévues à l’article 89 du même règlement sont déterminées par le code du patrimoine et les autres dispositions législatives et réglementaires applicables aux archives publiques. Elles sont également assurées par le respect des normes conformes à l’état de l’art en matière d’archivage électronique« . Avec ces derniers mots, « archivage » fait son entrée dans la loi « Informatique et Libertés », aux côtés des mots archives et archivistique.

Et en anglais?

Comme souvent dans les textes européens, la version anglaise donne un éclairage pour une compréhension due message. Or, dans le texte de la GDPR (General Data Protection Regulation), l’expression anglaise correspondant à « traitement à des fins archivistiques dans l’intérêt du public » est « processing for archiving purposes in the public interest« , suivi de « scientific or historical research purposes or statistical purposes ».

Dans un  » Guide to archiving personal data« , les Archives nationales du Royaume-Uni (The National Archives) font remarquer que cette disposition de la GDPR (General Data Protection Regulation) n’apporte pas de grand changements: « in practical terms, processing for archiving purposes under the new legislation is not very different from the previous Act and its effective safeguards. « However – dit encore ce guide – the law recognises there is a public interest in permitting the permanent preservation of personal data for the long-term benefit of society ».

Il faut à ce stade préciser à quoi renvoie le mot archives en anglais. Le guide de TNA cite la définition de la norme ISO16175-1:2010: « Archives are materials created or received by a person, family or organisation, public or private, in the conduct of their affairs and preservec because of the enduring value contained in them or as evidence of the functions and responsabilities or their creator, especially those materials maintained using the principles of provenance, original order and collective control; permanent records ».

Rappelons au passage la définition de record dans ISO15489: 2001, 2016): « information created, received and maintained as evidence and as an asset by an organization or person, in pursuit of legal obligations or in the transaction of business ».

Il est intéressant de rapprocher ces définitions de la définition légale française du mot archives, que l’on trouve dans le code du patrimoine (article L212-1) répond:  » l’ensemble des documents, quels que soient leur date, leur lieu de conservation, leur forme et leur support, produits ou reçus par toute personne physique ou morale et par tout service ou organisme public ou privé dans l’exercice de leur activité ».

Il y a (ce n’est pas nouveau mais il est bon de le rappeler) un écart entre la terminologie anglaise et la terminologie française sur la définition d’archives: par opposition aux « records », les « archives » anglo-saxonnes se caractérisent par une conservation de longue durée, permanente, en raison de leur valeur patrimoniale, tandis que la définition française d’archives insiste sur « quelle que soit la date ». La conséquence de l’équivalence entre « fins archivistiques » et « archiving purposes » est un « ressenti » de lecture et une interprétation potentiellement différente du RGPD/GDPR pour un lecteur anglophone et un lecteur francophone.

Reconnaissance d’une archivistique patrimoniale

L’archivistique a donc été ajoutée dans le RGPD comme finalité d’exception au traitement des données à caractère personnel, au même titre que les recherches scientifiques et historiques.

On doit bien sûr s’en réjouir car le travail essentiellement discret des archivistes et le sens de ce travail pour la collectivité mérite bien cette reconnaissance. Cette avancée pose toutefois la question de ce qu’est l’archivistique et de son champ d’application.

On en trouve plusieurs définitions du substantif archivistique (voir mon petit catalogue). Prenons celle du Dictionnaire de terminologie de la Direction des Archives de France (2002): « principes et les méthodes qui régissent la collecte et la conservation des archives appliquées à la collecte, au traitement, à la conservation, à la communication et à la mise en valeur des documents ». On remarque que cette définition ne contient pas de restriction temporelle, pas plus que la définition légale des archives reprise ci-dessus.

Si on compare l’ancienne expression de la loi du 6 janvier 1978 (« traitements dont la finalité se limite à assurer la conservation à long terme de documents d’archives ») et la nouvelle formulation (« traitements à des fins archivistiques dans l’intérêt public »), on peut constater une réduction de l’archivistique à la conservation à long terme de documents d’archives. L’archivistique ne serait-elle que cela?

Le considérant 158 du RGPD, malheureusement, entretien l’ambiguïté. Il donne une sorte de définition des services publics d’archives ou plutôt des services d’archives à mission de service public. Je cite: « Les autorités publiques ou les organismes publics ou privés qui conservent des archives dans l’intérêt public devraient être des services qui, en vertu du droit de l’Union ou du droit d’un État membre, ont l’obligation légale de collecter, de conserver, d’évaluer, d’organiser, de décrire, de communiquer, de mettre en valeur, de diffuser des archives qui sont à conserver à titre définitif dans l’intérêt public général et d’y donner accès ». Certes, il n’est pas dit explicitement que lesdits services ne doivent pas collecter, conserver ou évaluer autre chose que des archives de nature définitive (archives que l’on appelle communément « archives historiques ») mais le périmètre documentaire de ces archives est clairement patrimonial et mémoriel.

D’où une interrogation: quelles sont les autorités publiques, quels sont les organismes publics ou privés qui conservent des archives » qui ne sont pas des archives définitives? Pourquoi les compétences de gestion des archives à des fins juridiques et managériales ne sont pas mentionnés dans le RGPD? En effet, si on trouve à maintes reprises dans le RGPD, l’expression « durée de conservation » (ce dont je me réjouis chaque jour), force est de constater que la notion de records management (pour utiliser le mot anglais) ou la notion d’archivage au service des intérêts de l’entité publique ou privée propriétaire et responsable de l’existence et de devenir des documents et données qu’elle détient, ne sont pas évoquées dans le RGPD. J’ose dire que c’est une grande lacune.

Dit autrement, si on doit se réjouir de la reconnaissance du travail des archivistes dans la constitution et la gestion de la mémoire écrite et documentaire, on ne peut que déplorer que le Règlement européen ignore le rôle des archivistes en dehors des archives historiques, et ce n’est guère mieux dans la version anglaise qui ignore les records managers (même s’il est fait une brève allusion au « record-keeping » dans le considérant 13).

L’archivistique est-elle une fin en soi?

La nouvelle formulation, « traitement à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques » pose indirectement la question, en les différenciant de cette façon, de la relation entre les « fins archivistiques » d’une part, et les « fins de recherche scientifique ou historique » d’autre part.

On note au passage que la formulation déjà ancienne « à des fins de recherche scientifique ou historique » pourrait laisser penser à un lecteur pressé, qu’il n’existe que deux types de recherche concernées par les données personnelles ou, puisque que l’on distingue les recherches scientifiques et les recherches historiques, que l’Histoire n’est pas une science, ou qu’il y a une Histoire qui n’est pas scientifique, ou je ne sais quelle interprétation. Ce qui est certain, c’est que les chercheurs eux-mêmes, quelle que soit leur discipline (notamment les chercheurs en sciences humaines auxquelles est rattachée l’Histoire), parlent de « recherche scientifique ». Et on pourrait remarquer encore que les recherches utilisant des données personnelles intéressent bien d’autres sciences humaines que la seule Histoire.

Mais revenons aux « fins archivistiques ». Une première interprétation serait de dire que c’est l’archivistique en tant que discipline qui est mise en avant. Mais on doit alors remarquer que l’étude des « principes et les méthodes » qui régissent la collecte et la conservation des archives n’utilise pas directement de données personnelles. La finalité de l’archivistique est d’organiser les archives, non de les exploiter. L’exploitation des archives a pour finalité la connaissance, qu’elle vise des intérêts particuliers (la défense des droits) ou « l’intérêt public ».

Pour la discipline archivistique, les données personnelles sont des classes ou des catégories. Là où les données à caractère personnel sont concernées en tant que telles, c’est en tant qu’instances de classes ou catégories de données définies par l’archivistique, c’est-à-dire dans la constitution des fonds d’archives, dans la mesure où ces données personnelles figurent dans les documents retenus pour être conservés à titre d’archives. C’est là une seconde interprétation, plus pertinente. La finalité n’est pas la science archivistique mais la « mise en archive », l’archivage dans un but de documentation historique, celle qui correspond mieux à l’anglais « archiving ». On peut se demander pourquoi le mot archivage n’existe pas dans la version française du RGPD.

Il est intéressant d’invoquer ici l’article L212-1 du code du patrimoine. Il est précisé, après la définition des archives, que « la conservation des archives est organisée dans l’intérêt public tant pour les besoins de la gestion et de la justification des droits des personnes physiques ou morales, publiques ou privées, que pour la documentation historique de la recherche ». On voit là le lien entre les archives et la recherche: la recherche est une des finalités des archives, l’autre étant la justification des droits. Cette double finalité des archives correspond assez bien du reste au doublet terminologique anglais: la finalité de défense des droits pour les « records » et la finalité de la recherche pour les « archives ».

La dissociation que fait le texte du RGPD entre les différentes finalités laisse penser que la recherche (historique, scientifique, etc.) utilise des données à caractère personnel en dehors des archives constituées pour la recherche. Mais alors, qui est le gestionnaire de ces « données non archivées » ou de ces « données non encore archivées »? Les principes et méthodes archivistiques sont-ils complètement étrangers à cette gestion? Au nom de quoi le seraient-ils? Au nom de quoi couper ainsi en deux le champ de la discipline archivistique?

L’article R1112-7 du code de la santé publique cité plus haut (et dont la rédaction remonte à 2006) distingue, quant à lui, trois finalités à la conservation des dossiers médicaux au titre d’archives historiques: intérêt scientifique, intérêt historique, intérêt statistique, les trois finalités étant mises sur le même plan. Cette définition est très claire et se comprend bien au-delà des seules archives médicales. Pourquoi l’avoir abandonnée au profit d’une expression complexe et relativement ambiguë?

Qu’est-ce que l’intérêt public?

Comme le fait remarquer l’étude des Archives nationales du Royaume-Uni déjà citée (§ 57), la notion d’intérêt public peut changer selon les temps et les circonstances. Il est bien difficile de légiférer valablement sur le sujet. Mais il est intéressant que la loi et les institutions reconnaissent l’importance pour la société de préserver une mémoire écrite, incluant des données personnelles sur les personnes qui ont vécu sur le territoire national ou des citoyens qui ont pu vivre sur d’autres territoires. La conservation sans limite de durée des registres d’état civil en est l’exemple le plus éclatant.

Dans le règlement, un mot m’accroche encore au sujet des « fins archivistiques dans l’intérêt public »; c’est le mot « nécessaire » justifiant le traitement à des fins archivistiques (cf articles 9 et 17, voir le tableau au début de ce billet). En quoi la conservation à des fins patrimoniales de données personnelles peut-elle être jugée « nécessaire »? On s’attendrait davantage au qualificatif « légitime » voire « légal » dans la mesure où la réglementation peut effectivement dire quelles données personnelles doivent être conservées. C’est du reste ce qui est évoqué dans le considérant 158 du RGPD avec la possibilité pour les Etats de conserver les données relatives au « comportement politique sous les régimes des anciens Etats totalitaires, etc. ».

L’autre option serait de dire que la collecte de telles ou telles données est « pertinente », « issue d’une réflexion archivistique » sur la réalité des données produites en regard des attentes du monde de la recherche, mais alors ces choix devraient être publiés, au nom de la transparence démocratique, dans un document de « politique de constitution des archives publiques » intégrant tous les ingrédients démocratiques d’une politique.

Question à suivre!

Conclusions

Après avoir brassé toutes ces idées, j’en arrive à deux conclusions:

  1. l’expression « traitement à des fins d’archivage historique » ou « d’archivage patrimonial » aurait été plus claire;
  2. il est vraiment dommage que l’archivage managérial (le records management) n’ait pas été pris en compte dans le RGPD. Très dommage.

 

4 Commentaires
  1. Hervé Streiff

    Merci pour ce post très instructif notamment sur la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles et la dérogation Française pour les archives définitives.
    Cependant si les obligations sont maintenues avant l’archivage définitif, cela va être difficile de ressusciter les données au moment de leur versement en définitif…
    Je te rejoins donc sur l’aberration de cette frontière.
    Hervé

    • Merci Hervé. Il y a encore des choses à lisser dans ce règlement, c’est normal. Mais plus je relis le RGPD, même en anglais, plus je me dis que les rédacteurs du texte ont une vue trop floue de l’archivage, de l’archivistique et des archives. Il y a encore du travail!

  2. Bonjour,
    merci pour votre article intéressant. Je me permets d’y réagir sur deux points.
    1. Comme vous l’indiquez justement, la notion d’archives en droit français couvre tous les documents d’archives, sans limitation de durée, alors que le terme anglais « archive » concerne uniquement les documents conservés pour le long terme.
    À cet égard, vous vous étonnez de ce que le RGPD réduirait l’archivistique aux seules archives définitives. Je pense qu’au contraire, le RGPD tire les conséquences de la pratique archivistique, pour appliquer des règles appropriées selon la nature des archives considérées.
    Au regard du traitement de données personnelles, le RGPD applique aux archives définitives conservées dans l’intérêt public [« conservées à titre définitif dans l’intérêt public général », dit le considérant 158], un régime différent du régime applicable aux autres archives (courantes et intermédiaires). En procédant ainsi, le RGPD ne prétend pas donner une définition restrictive des archives ou de l’archivistique ; en revanche, il considère que traiter des données personnelles dans des archives définitives d’une part, et dans des archives courantes ou intermédiaires d’autre part, ne présente pas les mêmes risques, et que cela justifie d’appliquer à ces archives définitives des règles de protection des données personnelles, différentes (plus souples) de celles applicables aux archives courantes et intermédiaires.

    Je me permets une deuxième remarque concernant le terme ‘nécessaire’ que vous relevez très justement aux articles 9 et 17 (« le traitement [des données personnelles] est ‘nécessaire’ à des fins archivistique dans l’intérêt public »). Ce caractère « nécessaire » du traitement n’est pas spécifique à l’archivage d’intérêt public. C’est un principe général posé par l’article 6 du RGPD, lequel interdit de traiter des données personnelles si on n’a pas une bonne raison de le faire. L’article 6 du RGPD recense les six motifs pour lesquels il est licite de traiter des données personnelles : le premier motif valable, c’est lorsque la personne concernée a consenti à ce qu’on traite ses données personnelles ; les cinq autre motifs considérés valables sont les cas dans lesquels la personne n’a pas donné son consentement à ce qu’on traite ses données personnelles mais où ce traitement est néanmoins « nécessaire à … » (à l’exécution d’une obligation légale, à l’exécution d’une mission d’intérêt public, etc.). Le RGPD établit un équilibre subtil entre les droits des personnes concernées et la nécessité de … ; pour ce qui nous intéresse ici, la nécessité de constituer des archives contenant des données personnelles. Cet équilibre est posé par plusieurs articles du RGPD qu’il faut lire ensemble : l’article 6.1.e (« Le traitement [de données personnelles] n’est licite que si […] … e) : le traitement est nécessaire à l’exécution d’une mission d’intérêt public »), l’article 5.1.b, l’article 17.3.d et enfin l’article 89 (lequel renvoie expressément aux articles 15, 16, et 18 à 21 qui « facilitent » les traitements lorsqu’ils sont menés à fins archivistiques dans l’intérêt public).
    Je me permets, sur cet aspect du RGPD au regard des activités d’archivage et de recherche, de vous renvoyer au billet « Le point sur les données personnelles » : https://ethiquedroit.hypotheses.org/1717/que j’ai rédigé pour le carnet de recherches Éthique et droit dans la diffusion des données de la recherche en SHS. Bien cordialement, Anne-Laure Stérin

    • Je vous remercie de vos remarques et de vos précisions.
      Mon propos était de parler de l’archivistique comme science (théorie, concepts, modèles) et non seulement comme pratique. Il y a un certain nombre d’auteurs anglo-saxons qui mettent en avant la nécessaire prise en compte du « records management » et de la « archival science » dans la gestion des données personnelles. C’est dans cette lignée d’auteurs-chercheurs que je m’inscris.
      Sur les archives, je vous rejoins sur ce que disent les textes officiels mais il faut admettre un écart (grandissant…) entre les textes et la réalité du quotidien. A cet égard, j’attire votre attention sur le fait que le RGPD ignore les « archives courantes et intermédiaires », ce dont je me félicite car ces appellations sont absconses et juridiquement très floues (voir mon argument: http://transarchivistique.fr/les-archives-courantes-une-expression-logistique-confuse-et-contre-productive/).
      En revanche, l’expression « durée de conservation » dans le texte français du RGPD est, à mes yeux, parfaitement claire et pourrait avantageusement conforter les pratiques archivistiques courantes qui n’utilisent pas cette notion.

Laisser un commentaire

Votre adresse e-mail ne sera pas publiée Champs requis marqués avec *

EffacerSoumettre

Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.