Ville – Documents relatifs à des caméras de surveillance – Marché public – Données à caractère personnel – Secret des affaires – Communication partielle


[…],

Partie requérante,

CONTRE :           

La Ville de Liège,

Partie adverse,


Vu l’article 32 de la Constitution,
Vu l’article 8, § 1^er, du décret du 30 mars 1995 relatif à la publicité de l’Administration (ci-après, le décret du 30 mars 1995),
Vu l’article L3211-3, ainsi que les articles L3231-1 et suivants du Code de la démocratie locale et de la décentralisation (ci-après, le CDLD),
Vu l’arrêté du Gouvernement wallon du 9 juillet 1998 fixant la composition et le fonctionnement de la Commission d’accès aux documents administratifs,
Vu le recours introduit par courriel et courrier recommandé le 23 janvier 2024,
Vu la demande d’informations adressée à la partie adverse le 24 janvier 2024 et reçue le 25 janvier 2024,
Vu la réponse de la partie adverse du 14 février 2024,
Vu la décision de proroger le délai prévu à l’article 8quinquies, § 1^er, du décret du 30 mars 1995, compte tenu de la charge de travail importante de la Commission.

 

 
« a) la liste des caméras fixes dans des lieux ouverts accessibles au public, en ce compris les localisations et les responsables de traitement ;
b) les documents administratifs relatifs à l’installation des dites caméras : les avis délivrés par la commune à destination des responsables de traitement conformément à l’article 5 de la loi du 21 mars 2007 réglant l’installation et l’utilisation de caméras de surveillance ;
c) les analyses d’impact et les documents relatifs aux marchés publics (appels d’offre, cahiers de charges, documents d’attribution, contrats signés pour l’ensemble des marchés passés, dans le cas des marchés classiques et des accords-cadres) concernant les systèmes de surveillance (caméras fixes et mobiles, visuelles et/ou thermiques, drones et bodycams, ANPR, commutateurs et logiciels, etc.) acquis depuis 2000 par la commune, conformément aux lois du 21 mars 2007 et du 17 juin 2016 relative aux marchés publics et de l’arrêté royal du 30 juin 2017 relatif à la passation des marchés publics dans les secteurs classiques ».

   
 
« L’autorité administrative provinciale ou communale qui ne peut pas réserver de suite immédiate à une demande de publicité ou qui la rejette communique dans un délai de trente jours de la réception de la demande les motifs de l’ajournement ou du rejet. En cas d’ajournement, le délai ne pourra jamais être prolongé de plus de quinze jours.

En cas d’absence de communication dans le délai prescrit, la demande est réputée avoir été rejetée ».
 
La partie adverse n’y ayant pas donné suite, la demande a été rejetée implicitement le 24 décembre 2023, en application de l’article L3231-3, alinéa 4, du CDLD.

La partie requérante a introduit son recours le 23 janvier 2024, soit dans le délai de 30 jours prévu à l’article 8bis, alinéa 1^er, second tiret, du même décret et rendu applicable par l’article L3231-5, § 1^er, du CDLD.

Dès lors, le recours est recevable.

   
Dans le cadre de ses prérogatives de réformation, la Commission est elle-même compétente pour apprécier dans quelle mesure il y a lieu de faire droit à la demande d'accès au document administratif, en procédant à la mise en balance requise entre l’intérêt de la publicité des documents administratifs et l’intérêt protégé par le motif d’exception invoqué.
 
Néanmoins, la partie adverse a, rapidement après l’expiration du délai susvisé, communiqué à la Commission des informations dont il y a lieu, pour des raisons de bonne administration, de tenir compte dans le cadre de l’examen du présent recours.
Par ailleurs, la partie adverse a répondu à la partie requérante le 2 février 2024 via le site Transparencia.
 
Sur le premier objet de la demande :
  Il ressort des éléments du dossier que la partie adverse a transmis à la partie requérante « une liste des caméras fixes et visibles visées par l’article 25 de la loi du 5 août 1995 ». Cette liste comprend en réalité uniquement les caméras qui sont utilisées par les services de police (voy. les articles 25/1 et suivants de la loi du 5 août 1992 sur la fonction de police). Elle ne comprend donc pas l’ensemble « des caméras fixes dans des lieux ouverts accessibles au public », au sens de la loi du 21 mars 2007 réglant l’installation et l’utilisation de caméras de surveillance[1].

Dans la mesure où la partie adverse dispose d’une telle liste (en ce compris les localisations et les responsables de traitement), celle-ci doit être communiquée à la partie requérante.

Sur le deuxième objet de la demande :
 
Dans ce contexte, par analogie avec l’article 8ter, alinéa 2, du décret du 30 mars 1995, la partie adverse doit communiquer les documents concernés à la partie requérante, moyennant le respect des exceptions prévues à l'article 6 du même décret.

Sur le troisième objet de la demande :
Dans ce contexte, par analogie avec l’article 8ter, alinéa 2, du décret du 30 mars 1995, la partie adverse doit communiquer les documents concernés à la partie requérante, moyennant le respect des exceptions prévues à l'article 6 du même décret.
Toutefois et à nouveau, compte tenu de la nature et de la sensibilité des documents litigieux, la Commission souhaite faire part aux parties des éléments suivants, qui concernent la demande d’accès formulée.
L’analyse d’impact est en réalité prévue par l’article 58 de la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, selon lequel :
« Lorsqu'un type de traitement, en particulier par le recours aux nouvelles technologies, est susceptible d'engendrer un risque élevé pour les droits et les libertés des personnes physiques, le responsable du traitement effectue préalablement au traitement une analyse d'impact des opérations de traitement envisagées sur la protection des données à caractère personnel.

L'analyse visée à l'alinéa 1^er contient au moins une description générale des traitements envisagés, une évaluation des risques pour les droits et libertés des personnes concernées, les mesures envisagées pour faire face à ces risques, les garanties, mesures et mécanismes de sécurité visant à assurer la protection des données à caractère personnel et à apporter la preuve du respect du présent titre, compte tenu des droits et des intérêts légitimes des personnes concernées et des autres personnes intéressées. »

L’analyse d’impact est également imposée, dans des termes similaires, par l’article 35 du Règlement général sur la protection des données (RGPD). Selon l’article 35, § 7, du RGPD, en particulier :

« L'analyse contient au moins :
a) une description systématique des opérations de traitement envisagées et des finalités du traitement, y compris, le cas échéant, l'intérêt légitime poursuivi par le responsable du traitement ;
b) une évaluation de la nécessité et de la proportionnalité des opérations de traitement au regard des finalités ;
c) une évaluation des risques pour les droits et libertés des personnes concernées conformément au paragraphe 1 ; et
d) les mesures envisagées pour faire face aux risques, y compris les garanties, mesures et mécanismes de sécurité visant à assurer la protection des données à caractère personnel et à apporter la preuve du respect du présent règlement, compte tenu des droits et des intérêts légitimes des personnes concernées et des autres personnes affectées. »

L’article 23 de la loi précitée du 30 juillet 2018 renforce encore ces exigences, en disposant qu’ « en exécution de l'article 35.10 du Règlement, une analyse d'impact spécifique de protection des données est effectuée avant l'activité de traitement, même si une analyse d'impact générale relative à la protection des données a déjà été réalisée dans le cadre de l'adoption de la base légale. ».

Des analyses d’impact à propos de caméras de surveillance sont encore prévues par les articles 25/4, § 2, alinéa 2 et 44/11/3octies, alinéa 2, de la loi sur la fonction de police.

L’ensemble de ces dispositions démontrent que l’objectif principal des analyses d’impact est la protection des données à caractère personnel, au travers de l’identification des risques, d’une part, et des mesures prises pour y répondre, d’autre part.

11. En ce qui concerne l’identification des risques, certes, une partie des finalités de la surveillance par caméra concerne la sécurité de la population, l’ordre public et la recherche et la poursuite de faits punissables. La partie adverse n’établit cependant pas concrètement en quoi toute description des traitements des données récoltées par les caméras serait susceptible de porter atteinte à ces finalités. Seules les informations, contenues dans les analyses d’impact, affectant concrètement la sécurité de la population, l’ordre public ou la recherche et la poursuite de faits punissables, pourraient être considérées comme confidentielles. A défaut pour la Commission d’avoir pu prendre connaissance d’une analyse d’impact, ces exceptions ne semblent à première vue pas applicables aux parties des analyses d’impact relative à la description des traitements et des finalités, à l’évaluation de la nécessité et de la proportionnalité des traitements, et à l’évaluation des risques causés par ces traitements (article 35, § 7, a, b et c, du RGPD). En revanche, lorsque ces parties du rapport contiennent des informations techniques considérées comme confidentielles par le fournisseur du matériel concerné, ces informations techniques spécifiques ne doivent pas être communiquées, conformément aux exceptions précitées relatives aux secrets d’affaires. Les parties d’une analyse d’impact correspondant à l’article 35, § 7, a), b) et c), du RGPD doivent donc être communiquées, à l’exception des informations constituant des secrets d’affaires.

En ce qui concerne les mesures prises en réponse aux risques identifiés, d’autre part, la publicité des mesures de sécurité techniques, infrastructurelles ou informatiques adoptées paraît, à première vue, pouvoir porter atteinte à la protection des données personnelles, et plus largement à pouvoir menacer les finalités poursuivies par la surveillance par caméras, dont notamment la sécurité de la population, l’ordre public ou la recherche et la poursuite de faits punissables. La partie des analyses d’impact relative à ces mesures, correspondant à l’article 35, § 7, d), du RGPD, ne doit donc pas être communiquée. L’existence d’un délai légal de conservation de telles données ne s’oppose pas à ce que la partie adverse communique les données dont elle dispose encore aujourd’hui à la partie requérante.
Les documents relatifs aux marchés publics doivent donc être communiqués à la partie requérante, sous réserve des documents qui contiennent des éléments couverts par le secret des affaires (comme les décisions d’attributions et les contrats signés avec les adjudicataires, lorsque l’entreprise concernée a expressément fait état du caractère confidentiel des informations transmises), qui doivent être communiqués dans une version où les éléments confidentiels sont occultés.


Par ces motifs, la Commission décide :

Le recours est partiellement fondé. La partie adverse communique à la partie requérante les documents suivants : et ce, dans un délai de 30 jours à compter de la notification de la présente décision.