SECTION 1 La doctrine dans le contexte français : les fondements du principe
4- L’extension de finalité et le détournement de finalité
C’est dans son 2e Rapport annuel que la CNIL souligne que dans certaines délibérations on voit apparaitre la notion « d’extension de finalité »443, ainsi que celle de « détournement de la finalité »444.
441 Tel est le cas du fichier « violence-attentat-terrorisme », détenu par les services des
renseignements généraux, accessible aux fonctionnaires d’autres services de défense et de la police. Voir : H. MAISL, préc., note 398, 572.
442 Ce principe peut en effet limiter les interconnexions de fichiers à l’intérieur d’un même service
ou section d’un organisme public, interconnexions qui doivent toujours être guidées par la finalité de chaque traitement et non par des critères à caractère « organisationnels ».
443
COMMISSION NATIONALE DE L’INFORMATIQUE ET DES LIBERTÉS, Délibération
La CNIL a créé une sous-commission « Recherche »445 en 1981, qui a réalisé des travaux sur la question de l’équilibre entre les intérêts de la recherche et le droit à la protection des données personnelles. Des demandes d’avis traitées et des travaux suivis par cette sous-commission mettent en exergue des éléments de doctrine concernant le principe de finalité fort intéressants.
Cette sous-commission analyse les cas de détournement de finalité pour lesquels les données ont été recueillies, traitées et conservées. Pour favoriser la conciliation des intérêts en présence, « la sous-commission a été amenée à dégager le principe de l’extension de finalité »446. La CNIL émet des « réserves à l’égard des finalités évolutives »447 et elle réclame des précisions dans la formulation des finalités afin d’éviter les finalités évolutives pouvant porter préjudice aux personnes concernées448.
La CNIL élabore dès 1981 la théorie de l’extension de la finalité, toutefois « le principe de finalité, tel qu’il est appliqué par la CNIL, est ressenti par de nombreux chercheurs comme une entrave au développement de leur activité »449.
d’informations nominatives effectués sur la base des informations collectées à l’occasion du recensement général de la population de 1982.
La CNIL dans cette délibération considère que dans le cas de ce fichier, il se produit une extension de finalité qui ne peut pas être admise par la CNIL sans qu’une demande d’avis spécifique lui soit soumise.
444 Id. Ainsi encore dans cette Délibération, la CNIL demande que des « précautions techniques
soient envisagées contre tout risque de détournement de finalité ».
Il est important de souligner que la CNIL établit également dans son 2e Rapport, une doctrine quant à cette notion de « détournement de la finalité » en soulignant que si un détournement de finalité portant sur des informations collectées dans un autre but est porté à la connaissance de la Commission, elle s’informe de la réalité des faits. Ce n’est que dans la mesure où le détournement serait caractérisé qu’elle en ferait part au parquet. Son intervention n’est en aucun cas obligatoire, et le plaignant peut saisir directement le ministère public ».
445 Cette sous-commission a été créée lors de la réunion de la CNIL le 17 novembre 1981 et était
animée par Mme Cadoux, conseiller d’État.
446 COMMISSION NATIONALE DE L’INFORMATIQUE ET DES LIBERTÉS, 3e Rapport d’activité de la Commission Nationale de l’informatique et des libertés, Paris, La Documentation Française, 1982, p. 148.
447 I. DE LAMBERTERIE et H.-J. LUCAS (dir.), préc., note 31, p. 80. 448
Voir à ce sujet : COMMISSION NATIONALE DE L’INFORMATIQUE ET DES LIBERTÉS, préc., note 379, p. 37.
En ce qui concerne l’application du principe d’extension de finalité, la sous- commission établit des critères très différents, et cela en fonction du type de données. Dans certains cas, comme dans celui de la constitution des échantillons dans le cadre d’une recherche à partir de fichiers administratifs lorsque l’objet du traitement envisagé se situe « dans le champ d’application ou le prolongement de la finalité du fichier de base », les garanties exigées consistent à demander aux chercheurs qu’ils informent les personnes soumises à l’enquête du mode d’obtention de leur adresse, ainsi qu’à limiter la durée de conservation des données nominatives.
Notons que cette expression concernant le prolongement de la finalité quant au fichier de base, détermine la position que la CNIL adopte par rapport aux conditions dans lesquelles peut se produire une telle extension de la finalité. Nous observons que, dans d’autres cas, la CNIL a considéré que cette extension de finalité ne pouvait pas être accordée ou que le consentement des personnes concernées était nécessaire450.
Dès 1982, la CNIL établit également que certaines transmissions de données, dans le cadre d’une recherche et en application de la notion de l’extension de finalité, quand le consentement des personnes ne peut pas s’exercer, doivent se réaliser avec des données qui ne sont pas directement nominatives451.
Il est important de noter que ce principe d’extension de finalité, dégagé du contexte de la recherche, va être appliqué en fonction, d’une part, de la nature des fichiers contenant les renseignements personnels et, d’autre part, du champ de la finalité ou du prolongement de la finalité du traitement.
450 COMMISSION NATIONALE DE L’INFORMATIQUE ET DES LIBERTÉS, préc., note 401,
p. 148.
Ainsi, afin d’éviter que certaines utilisations du fichier électorale puissent lui conférer le caractère d’un registre de population, la CNIL a refusé l’accès à des données dans le cadre d’une recherche. Dans les cas où les fichiers sont couverts par le secret professionnel, la CNIL a considéré que le consentement des personnes concernées était nécessaire afin de délier l’organisme en question.
Dans nos travaux, nous aurons l’occasion de nous intéresser plus particulièrement, aux difficultés que présente l’examen de ces questions entourant l’utilisation ultérieure des données personnelles.
Cependant, il faut noter que la CNIL, avant d’autoriser des extensions de finalité, veille à ce que des garanties sérieuses soient apportées en ce qui concerne notamment « le respect du secret professionnel, l’anonymisation des données et l’information préalable des personnes »452. Un traitement a en principe une finalité unique, ce qui fait que la CNIL est très stricte sur les possibilités d’extension des finalités si l’objet du traitement envisagé se situe dans « le prolongement de la finalité du fichier de base »453. C’est ici que l’on éprouve sans doute des difficultés à l’heure de déterminer les cas où effectivement l’on se retrouve face au prolongement du fichier pouvant être à l’origine d’une extension de finalité.
Le contexte de la recherche a permis à la CNIL de dégager une très importante doctrine sur le « principe de séparation fonctionnelle » visant à limiter la réutilisation des informations collectées :
« (…) Dans telles circonstances, outre l’application des principes de l’extension de finalité et du consentement préalable éclairé des personnes, la question se pose de savoir quel usage ultérieur il peut être fait, par les services administratifs, des données ainsi collectées. En particulier, ces données peuvent-elles être utilisées à des fins de décision et de contrôle individuel ? »454
Selon la CNIL, la séparation fonctionnelle des traitements doit être considérée comme un fil conducteur pour la réflexion, « d’une part, elle garantit les intéressés contre le risque que, sous couvert de recherche, d’autres buts ne soient poursuivis,
452 COMMISSION NATIONALE DE L’INFORMATIQUE ET DES LIBERTÉS, préc., note 379,
p. 38. Ainsi, nous pouvons constater comment par exemple, la CNIL a jugé que le fichier électoral ne pouvait pas avoir pour finalité une campagne de dépistage du cancer du sein, alors que les fichiers des caisses d’assurance maladie pouvaient se prêter à une telle utilisation.
453
H. MAISL, préc., note 398, 570.
454 COMMISSION NATIONALE DE L’INFORMATIQUE ET DES LIBERTÉS, préc., note 379,
d’autre part, elle apporte aux chercheurs la sincérité et la qualité des données recueillies »455.
Pour ce qui est du domaine de la recherche, la CNIL, dans les cas de collectes conjointes de données issues de fichiers administratifs et d’entretiens auprès des personnes, établit que le principe est celui de la « séparation fonctionnelle » des traitements, puisque les organismes concernés s’engagent à ne pas utiliser les données recueillies à d’autres fins que celle de l’étude projetée456.
Ce principe de séparation fonctionnelle est d’une grande actualité dans le cadre de l’utilisation des informations des fichiers administratifs dans le contexte de l’administration et, plus particulièrement, dans celui de l’administration électronique. Ainsi, ce principe appliqué au contexte de la recherche sera essentiel quand nous examinerons par la suite comment les informations sur les citoyens doivent être utilisées afin d’offrir aux citoyens des prestations électroniques de services, grâce à l’utilisation de données personnelles contenues dans des différents traitements au sein de l’administration.
Certains auteurs nous rappellent que la CNIL prend position de manière stricte sur les traitements de données personnelles mis en œuvre par les organismes du secteur public, en considérant que leur finalité doit être « uniquement limitée au service public »457.
Toutefois, la CNIL n’hésite pas à affirmer que le « détournement de finalité » et « l’extension de finalité » sont deux aspects de la notion de finalité faisant appel à sa vigilance et qui sont à la base de toute sa jurisprudence.
Pour ce qui est du détournement de finalité, la CNIL a pour démarche habituelle de veiller systématiquement à la pertinence des informations au regard de la finalité
455
Id.
456 C. MARLIAC-NÉGRIER, préc., note 43, p. 461. 457 A. BENSOUSSAN, préc., note 400, p. 497.
déclarée. La CNIL manifeste toujours « le souci d’une adéquation réelle entre la finalité énoncée et les incidences volontaires ou involontaires que pourrait avoir un tel traitement »458. Ainsi, nous devons souligner que l’élément matériel de l’infraction relative au détournement de finalité est constitué par l’utilisation du fichier à une fin autre que celle initialement déclarée à la CNIL 459.
La CNIL va attacher une grande importance à l’examen des catégories d’informations traitées et va retenir uniquement comme indispensables celles qui sont nécessaires à la finalité poursuivie, qui doit demeurer en conformité avec la loi.
Il faut noter que, pour certains auteurs, le détournement de finalité ne consiste pas en une modification quelconque de la finalité « comme l’adjonction d’une finalité supplémentaire et complémentaire mais en un rajout de finalité différente »460. Toutefois, pour d’autres, « cette distinction paraît difficile à mettre en œuvre et paraît plutôt être une source de litiges en cas mise en place effective », tout en étant préférable de « respecter la finalité initiale déclarée et de procéder si besoin à une nouvelle déclaration auprès de la CNIL »461.
Afin de respecter le principe de finalité licite, la CNIL va émettre un avis défavorable quand elle juge que la finalité principale du traitement est contestable. Mais elle va encore plus loin en affirmant que les fichiers doivent correspondre à une finalité licite et être en rapport avec la fonction de l’administration en cause, afin de renforcer ce critère462.
Bien entendu, la CNIL limite le recueil des renseignements contenus dans les fichiers exclusivement à ceux qui répondent à l’objectif poursuivi par le traitement. Même si l’interdiction d’enregistrer certaines « données sensibles » existe, lorsque
458 Id., p. 218.
459 Il faut noter que ce détournement de finalité est encadré par le droit pénal et il est passible de
peines d’emprisonnement ainsi que d’amendes.
460
Voir sur les avis de certains auteurs : C. MARLIAC-NÉGRIER, préc., note 43, p. 459.
461 Id. 462 Id., p. 219.
la collecte de ces informations est pertinente au regard de la finalité, la CNIL autorise un tel enregistrement.
Afin d’encadrer les informations pouvant fournir une définition du profil de la personne concernée, la CNIL veille « à ce que l’inconscient collectif de l’administration ne transforme les fichiers en réservoirs de suspects faisant de toute personne assujettie à une activité un coupable en puissance et de tout coupable un récidiviste probable »463.
Pour ce qui est de l’extension de finalité, la CNIL a une position de principe claire en exigeant, depuis toujours, que toute modification ou extension du champ d’application de la finalité d’un traitement déclaré fasse l’objet d’un nouvel examen de sa part. Ainsi, la CNIL va contester certaines extensions quand la finalité n’est plus conforme à celle qui avait fait l’objet d’une déclaration dans le premier projet de traitement.
Comme certains experts l’ont souligné, la mise en œuvre de la législation I et L a généré, en plus de trente ans d’existence, « un nombre extrêmement limité, pour ne pas dire insignifiant, de décisions de justice, aussi bien au pénal qu’au civil »464. Il faut noter que l’absence de jurisprudence peut s’expliquer surtout par le manque de sensibilisation chez les individus, qui n’ont pas encore le réflexe de porter les litiges devant les tribunaux, ce qui, à notre avis, s’amplifie considérablement quand nous parlons de litiges face à l’appareil étatique pouvant découler de la gestion des traitements du secteur public.
Cependant, il faut noter encore que cette absence de jurisprudence en la matière s’explique par « l’existence même de la CNIL, dont l’une des missions est de dénouer les situations de crises et ainsi d’éviter le recours aux juridictions »465.
463 Id., p. 220 et 221. 464
GUILLAUME DESGENS-PASANAU, « Informatique et Libertés : une équation à plusieurs inconnues », dans Jean-Luc GIROT (dir.), Le harcèlement numérique, Paris, Dalloz,2005,75, p. 103.