Article 86 RGPD : communiquer un document administratif
Article 86 RGPD : communiquer un document, protéger les mentions privées et vérifier les conditions de publication en ligne par une administration.
Un document administratif contient des noms, des appréciations ou des coordonnées personnelles. Faut-il le refuser, masquer certaines mentions ou le transmettre ? L’article 86 du RGPD permet d’articuler le droit d’accès aux documents officiels avec la protection des données. La réponse dépend du document, du destinataire et du mode de diffusion.
Ce que prévoit l’article 86
L’article 86 vise les données figurant dans des documents officiels détenus par une autorité publique ou un organisme public, mais aussi par un organisme privé pour l’exécution d’une mission d’intérêt public. Leur communication est possible conformément au droit de l’Union ou au droit national applicable, afin de concilier accès du public et protection des données. L’article ne crée donc ni une interdiction générale de transmettre les noms ni un droit de publier sans limite tout fichier administratif. Source : article 86 du RGPD.
En France, l’examen passe notamment par le Code des relations entre le public et l’administration (CRPA), sous réserve des régimes spéciaux. Identifiez d’abord la nature du document et le texte qui régit son accès.
Distinguer trois demandes
| Situation | Vérification prioritaire |
|---|---|
| Une personne demande un document administratif | Le document est-il communicable à tout demandeur ou seulement à la personne intéressée ? |
| Une personne exerce son droit d’accès à ses données | Appliquer l’Art. 15 RGPD et les limites protégeant les droits d’autrui |
| L’organisme veut publier le document sur Internet | Examiner les règles de diffusion publique et les mentions à protéger |
Le droit d’accès aux données personnelles et le droit d’obtenir un document ne sont pas interchangeables. Une demande mal intitulée doit être analysée à partir de son objet concret, puis orientée vers le circuit compétent.
Repérer les mentions protégées
L’article L.311-6 CRPA réserve à l’intéressé certains documents dont la communication porterait atteinte à la vie privée, au secret médical ou au secret des affaires. Il vise également certaines appréciations sur une personne identifiable et des comportements dont la divulgation pourrait lui porter préjudice. Source : article L.311-6.
La présence d’une mention protégée n’impose pas toujours de refuser tout le document. Lorsque les passages non communicables peuvent être occultés ou séparés, l’article L.311-7 prévoit la transmission du reste. Préparez une copie de communication et contrôlez que les masques ne peuvent pas être retirés dans le fichier transmis. Source : article L.311-7.
Exemple hypothétique : un document rassemble une décision administrative et des coordonnées privées sans utilité pour comprendre cette décision. L’analyse doit porter sur les mentions à communiquer et celles à protéger, plutôt que sur un refus automatique parce qu’un nom apparaît quelque part.
La publication en ligne demande une vérification supplémentaire
Un document communicable à un demandeur n’est pas nécessairement publiable intégralement sur Internet. L’article L.312-1-2 CRPA prévoit l’occultation préalable des mentions relevant des secrets protégés. Pour les données personnelles, il prévoit en principe un traitement rendant impossible l’identification, sauf disposition législative contraire ou accord des personnes. Il permet aussi qu’un décret fixe des catégories publiables sans cette anonymisation. Source : article L.312-1-2.
L’article D.312-1-3 énumère précisément de telles catégories, notamment certains documents relatifs à l’organisation administrative ou à des activités soumises à des formalités. Cette liste n’est donc pas une liste de documents systématiquement interdits de publication nominative. Ses conditions et les autres secrets restent à examiner. Source : CRPA, articles L.312-1-2 et D.312-1-3.
Pour chaque jeu de données, conservez le fondement de la diffusion, la catégorie retenue, les champs publiés et la justification des mentions identifiantes. Une obligation de transparence portant sur quelques informations ne justifie pas d’ajouter l’intégralité d’un dossier.
Anonymiser n’est pas remplacer le nom par un numéro
Un numéro de dossier, associé à une date précise et une commune, peut permettre de retrouver la personne. La CADA rappelle que l’anonymisation doit empêcher l’identification et distingue cette opération de la pseudonymisation, qui laisse une réidentification possible. Source : CADA, anonymisation des données.
Avant publication, examinez les identifiants indirects, les petits effectifs et les recoupements avec des sources publiques. Le guide sur la pseudonymisation et l’anonymisation aide à choisir une technique adaptée. Il peut être préférable de publier des résultats agrégés lorsque des lignes individuelles présentent un risque de réidentification.
La transparence ne rend pas toutes les données pénales accessibles
Dans l’arrêt Endemol Shine Finland du 7 mars 2024, la CJUE précise qu’une communication orale constitue aussi un traitement lorsque les données appartiennent à un fichier ou sont destinées à y figurer. Elle refuse qu’un objectif d’accès aux documents permette de communiquer à toute personne, sans intérêt spécifique établi, les condamnations contenues dans un fichier judiciaire. Cette décision concerne les données pénales en cause ; elle ne crée pas une obligation générale de motiver toute demande administrative française. Source : CJUE, C-740/22, points 35–39 et 53–58.
Pour ces informations, examinez également le régime de l’article 10 RGPD. L’article 85 sur la liberté d’information ne fournit pas davantage une autorisation générale de divulgation.
Ce qu’il faut retenir
- Qualifiez séparément communication à un demandeur, accès à ses données et publication en ligne.
- Protégez les mentions non communicables sans refuser tout le document lorsque leur occultation est possible.
- Vérifiez les exceptions légales et réglementaires avant une publication nominative.
- Contrôlez les risques de réidentification dans la copie réellement diffusée.
FAQ
Le RGPD permet-il de refuser tout document qui contient un nom ?
Non. L’article 86 organise une conciliation avec le droit d’accès. Il faut examiner les règles applicables au document et aux mentions concernées.
Un document transmis peut-il ensuite être publié intégralement ?
La communication initiale ne suffit pas à établir la licéité de sa publication. Cette nouvelle diffusion nécessite sa propre analyse, notamment sur les données personnelles et les secrets protégés.
Un simple masquage visuel dans un PDF suffit-il ?
Seulement si les mentions sont réellement supprimées de la copie diffusée. Vérifiez le texte sélectionnable, les calques, les métadonnées et les pièces jointes avant l’envoi.
Recevez nos analyses pratiques de conformité dans la newsletter.
À propos de l’auteur. Thiébaut Devergranne est docteur en droit privé, titulaire du CAPA et fondateur de Legiscope. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.