Vu la procédure suivante :
Par une requête enregistrée le 2 novembre 2021, Mme Linda X., Mme Diana X., Mme Lorna Y., Mme Sandra Z., M. Taunia A. et M. Stéphane B., représentés par Me Paméla A., demandent au juge des référés du tribunal d’ordonner, sur le fondement des dispositions de l’article L. 521- 1 du code de justice administrative, la suspension de l’exécution de l’arrêté n° 2233 CM du 12 octobre 2021 portant création d’un traitement de données à caractère personnel dénommé « OBLIVACC », relatif au suivi de la vaccination obligatoire dans le cadre de la gestion de l’épidémie de la covid-19, jusqu’à ce qu’il soit statué au fond sur la légalité de cet acte.
Ils soutiennent que :
Sur la recevabilité : le délai d’action de deux mois a été respecté ; les requérants avocats inscrits au barreau de Papeete ont intérêt pour agir en leur qualité de ressortissants de la Caisse de prévoyance sociale et d’employeurs ; M. B. a, pour sa part, intérêt pour agir en sa qualité de médecin, soumis à l’obligation vaccinale.
Sur l’urgence : un nombre important de personnes sera concerné par l’obligation vaccinale et par le traitement de données « OBLIVACC » ; l’arrêté porte atteinte à leur situation individuelle et aux intérêts qu’ils défendent ; les contrôles et sanctions prévus par la loi du Pays n° 2021-37 du 23 août 2021 vont débuter au cours du mois de décembre 2021 ; la multiplicité des acteurs publics et privés dans la mise en œuvre du traitement OBLIVACC est susceptible d’augmenter les risques en matière de sécurité des données et de protection des droits ; le contexte particulier d’urgence sanitaire dans lequel ce traitement de données est institué ne doit pas inciter le Pays à ne pas respecter les règles de protection des droits et libertés des personnes prévues par le RGPD.
Sur le doute sérieux quant à la légalité de l’acte attaqué : le Pays a méconnu l’obligation de présenter à la CNIL une demande d’autorisation fondée sur l’article 66 de l’ordonnance du 12 décembre 2018 dès lors que l’arrêté contesté ne vise aucun référentiel établi par la CNIL et n’est conforme à aucun référentiel ; le Pays a méconnu l’obligation de réaliser une analyse d’impact préalable à la création du traitement de données litigieux ; aucune consultation n’a été diligentée, même en urgence, auprès du CESEC de la Polynésie française, ni auprès des syndicats de salariés ou d’employeurs ; l’arrêté litigieux ne mentionne pas l’existence du registre des activités de traitement ni celle du délégué à la protection des données à qui toute personne concernée par « OBLIVACC » est susceptible de s’adresser pour faire valoir ses droits ; dès lors que l’article 3 de l’arrêté contesté prévoit une collecte indirecte de données auprès des employeurs, le traitement est illicite au regard du code du travail polynésien et de la loi du pays relative à l’obligation vaccinale contre le covid-19 qui n’imposent aucune obligation aux employeurs, lesquels sont tenus de respecter le droit à la vie privée de leur salariés.
Par un mémoire en intervention volontaire enregistré le 10 novembre 2021, Mme Annie C., Mme Karina D., Mme Tiura E., Mme Tiffany F., Mme Turiana G., représentés par Me Paméla A., demandent au juge des référés du tribunal d’ordonner la suspension de l’exécution de l’arrêté n° 2233 CM du 12 octobre 2021.
Sur l’urgence : un nombre important de personnes sera concerné par l’obligation vaccinale et par le traitement de données « OBLIVACC » ; l’arrêté porte atteinte à leur situation individuelle et aux intérêts qu’ils défendent ; les contrôles et sanctions prévus par la loi du Pays n° 2021-37 du 23 août 2021 vont débuter au cours du mois de décembre 2021 ; la multiplicité des acteurs publics et privés dans la mise en œuvre du traitement OBLIVACC est susceptible d’augmenter les risques en matière de sécurité des données et de protection des droits ; le contexte particulier d’urgence sanitaire dans lequel ce traitement de données est institué ne doit pas inciter le Pays à ne pas respecter les règles de protection des droits et libertés des personnes prévues par le RGPD.
Sur le doute sérieux quant à la légalité de l’acte attaqué : le traitement OBLIVACC est une mesure devant être rattachée aux mesures de sauvegarde ou plans opérationnels nécessaire pour faire face aux risques majeurs et aux catastrophes qui relève de la compétence de l’Etat ; la création d’OBLIVACC relève de la compétence de l’Assemblée de la Polynésie française ; le Pays a méconnu l’obligation de présenter à la CNIL une demande d’autorisation fondée sur l’article 66 de l’ordonnance du 12 décembre 2018 dès lors que l’arrêté contesté ne vise aucun référentiel établi par la CNIL et n’est conforme à aucun référentiel ; le Pays a méconnu l’obligation de réaliser une analyse d’impact préalable à la création du traitement de données litigieux ; aucune consultation n’a été diligentée, même en urgence, auprès du CESEC de la Polynésie française, ni auprès des syndicats de salariés ou d’employeurs ; l’arrêté litigieux ne mentionne pas l’existence du registre des activités de traitement ni celle du délégué à la protection des données à qui toute personne concernée par « OBLIVACC » est susceptible de s’adresser pour faire valoir ses droits ; dès lors que l’article 3 de l’arrêté contesté prévoit une collecte indirecte de données auprès des employeurs, le traitement est illicite au regard du code du travail polynésien et de la loi du pays relative à l’obligation vaccinale contre le covid-19 qui n’imposent aucune obligation aux employeurs, lesquels sont tenus de respecter le droit à la vie privée de leur salariés.
Par un mémoire en défense enregistré le 16 novembre 2021, la Polynésie française conclut au rejet de la requête.
Elle fait valoir que :
Sur la recevabilité : les requérants n’établissent pas leur qualité pour agir, ni leur intérêt pour agir ; l’intervention volontaire est irrecevable ;
Sur la condition d’urgence : il appartient au juge des référés de réaliser un bilan des urgences, une balance des intérêts en présence ; en l’espèce le préjudice grave et immédiat à un intérêt personnel ou public n’est pas démontré, alors qu’un suivi efficace des vaccinations grâce à une application numérique participe à la lutte contre la propagation de la maladie ; les données requises ne peuvent être regardées comme particulièrement sensible ; en l’absence de préjudice suffisamment grave et immédiat à un intérêt public, à la situation des requérants ou à leurs intérêts, le requête sera rejetée faute d’urgence.
Sur le doute sérieux quant à la légalité de la décision : les questions de santé publique relèvent de la compétence de la Polynésie française ; le conseil des ministres est intervenu afin de mettre en œuvre le contrôle de l’obligation vaccinale prévu par les articles LP 10 à LP 12 de la loi du pays du 23 août 2021, et ce conformément aux dispositions de l’article 89 de la loi organique statutaire ; par dérogation à l’article 66 de la loi du 6 janvier 1978, l’article 67 autorise des mesures dérogatoires concernant les traitements de données à caractère personnel dans le domaine de santé ayant pour finalité de répondre en cas de situation d’urgence à une alerte sanitaire, ainsi en raison des dérogations indiquées, il n’y a pas lieu de saisir la CNIL pour une autorisation préalable ; faute de risque élevé pour les droits et libertés, dès lors que le statut vaccinal ne peut être considéré comme une donnée de santé à caractère sensible, il n’y a pas lieu d’effectuer d’analyse d’impact préalable, d’autant que la Polynésie française est en état d’urgence sanitaire ; au surplus, les règlements de l’Union européenne sont inapplicables en Polynésie française, l’article 35 du règlement 2016-679 n’ayant pas été étendu en Polynésie française par une loi spécifique ; le traitement des données est parfaitement licite au regard de l’article 5 du règlement RGPD et entre bien dans le cadre de l’article 5 de la loi du 6 janvier 1978 ; de plus, l’article 7 de la loi du 10 novembre 2021 portant diverses dispositions de vigilance sanitaire permet à la Polynésie française de traiter et partager des données à caractère personnel aux moyens de système d’information aux fins notamment d’identifier les personnes soumises à l’obligation de vaccination.
Par un mémoire en défense enregistré le 16 novembre 2021, la Caisse de Prévoyance Sociale de la Polynésie française conclut au rejet de la requête et à ce que soit mis à la charge des requérants une somme de 150 000 F CFP au titre de l’article L. 761-1 du code de justice administrative.
Elle fait valoir que :
Sur la recevabilité : la requête et le mémoire en intervention sont irrecevables dès lors que l’intégralité de l’arrêté contesté n’est pas joint ; aucune copie de la requête au fond n’accompagne la requête ; les requérants et intervenants n’ont aucun intérêt à agir ; les requérants en qualité d’avocats n’ont pas intérêt à agir ; concernant les intervenants volontaires, il appartient aux employeurs figurant dans la liste des secteurs d’activité dont les salariés interviennent dans un secteur soumis à l’obligation vaccinale de constituer la liste de leurs salariés concernés, de sorte que les requérants et intervenants doivent justifier des griefs subis au-delà de leur profession.
Sur la condition d’urgence : la mise en œuvre du traitement de données à caractère personnel OBLIVACC n’a pas été effectuée et aucune sanction ne sera appliquée avant le 23 décembre 2021 ; les moyens issus de l’application de la circulaire du 9 septembre 2021 sont inopérants ; les informations de conformité à la loi n’affichent aucune donnée de santé déterminante et la CPS dispose de ces données sans pour autant connaître de leur conformité à la loi, dès lors l’arrêté ne porte pas atteinte grave aux intérêts des requérants et intervenants ;
Sur le doute sérieux quant à la légalité de la décision : le traitement OBLIVACC est une mesure d’application de la loi du pays du 23 août 2021 relevant de la compétence de la Polynésie française ; le traitement de données est de la compétence du Conseil des ministres ; l’employeur n’a pas vocation à collecter des informations médicales auprès de ses salariés ; l’état de santé ou vaccinal de la personne n’est nullement indiqué et ne peut être déterminé ; ainsi le traitement de données entre l’ARASS et la CPS n’entre pas dans le cadre du transfert d’informations en cas de contrôle ; les seules données relatives au statut vaccinal seront transmises en application de la loi et non par l’arrêté critiqué ; l’argumentaire relatif aux référentiels CNIL est inopérant dès lors que le traitement n’est pas soumis à l’article 66 de la loi du 6 janvier 1978 ; compte tenu des échanges d’information, il n’y a pas nécessité d’établir une analyse d’impact ; le responsable n’a pas pour obligation de publier le nom et prénom de son délégué ; il existe un fondement légal aux traitements, renforcé par un fondement contractuel de sous-traitance ARASS/CPS de sorte que le moyen tiré de la non licéité du traitement de données doit être écarté.
Le président du tribunal a désigné M. Retterer, premier conseiller, pour statuer sur les demandes de référés.
Vu l’arrêté attaqué et les autres pièces du dossier ;
Vu : - la loi organique n° 2004-192 du 27 février 2004 ; - l’ordonnance n°2018-1125 du 12 décembre 2018 ; - le code de justice administrative ;
Les parties ont été régulièrement averties du jour de l’audience.
Ont été entendus au cours de l'audience publique du 17 novembre 2021 à 9 heures :
- le rapport de M. Retterer, juge des référés,
- les observations de Me A., représentant les requérants susvisés, qui a développé oralement son argumentation écrite, en maintenant l’ensemble de ses conclusions et moyens ;
- celles de Me Lebon, représentant la Polynésie française ;
- et celles de Mme Dreano, représentante de la Caisse de Prévoyance Sociale de la Polynésie française.
La clôture de l’instruction a été différée en application de l’article R. 522-8 du code de justice administrative au même jour à 14 heures.
Considérant ce qui suit :
1. Aux termes de l’article L. 521-1 du code de justice administrative : « Quand une décision administrative, même de rejet, fait l'objet d'une requête en annulation ou en réformation, le juge des référés, saisi d'une demande en ce sens, peut ordonner la suspension de l'exécution de cette décision, ou de certains de ses effets, lorsque l'urgence le justifie et qu'il est fait état d'un moyen propre à créer, en l'état de l'instruction, un doute sérieux quant à la légalité de la décision (...) ». Aux termes de l'article L. 522-1 du même code : « Le juge des référés statue au terme d'une procédure contradictoire écrite ou orale. Lorsqu’il lui est demandé de prononcer les mesures visées aux articles L. 521-1 et L. 521-2, de les modifier ou d’y mettre fin, il informe sans délai les parties de la date et de l'heure de l'audience publique (...) ».
Sur les fins de non-recevoir dirigées contre l’intervention volontaire :
2. Eu égard à son caractère accessoire par rapport au litige principal, une intervention, aussi bien en demande qu'en défense, n'est recevable au titre d'une procédure de référé suspension qu'à la condition que son auteur soit également intervenu dans le cadre de l'action principale. Dès lors qu’en l’espèce, les présents intervenants volontaires ne sont pas intervenus dans le cadre de l’action principale, leur intervention ne peut être admise.
Sur les conclusions présentées au titre de l’article L. 521-1 du code de justice administrative :
3. Aux termes de l’article 2 de l’ordonnance du 12 décembre 2018 prise en application de l'article 32 de la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles et portant modification de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et diverses dispositions concernant la protection des données à caractère personnel, applicable en Polynésie française : « La présente loi s’applique aux traitements automatisés en tout ou partie de données à caractère personnel, ainsi qu’aux traitements non automatisés de données à caractère personnel contenues ou appelées à figurer dans des fichiers, lorsque leur responsable remplit les conditions prévues à l’article 3 de la présente loi, à l’exception des traitements mis en œuvre par des personnes physiques pour l’exercice d’activités strictement personnelles ou domestiques. Constitue un fichier de données à caractère personnel tout ensemble structuré de données à caractère personnel accessibles selon des critères déterminés, que cet ensemble soit centralisé, décentralisé ou réparti de manière fonctionnelle ou géographique ». Aux termes de l’article 6 de la même ordonnance : « I. Il est interdit de traiter (…) des données concernant la santé (…) II. - Les exceptions à l'interdiction mentionnée au I sont fixées dans les conditions prévues par le 2 de l'article 9 du règlement (UE) 2016/679 du 27 avril 2016 et par la présente loi. III. - De même, ne sont pas soumis à l'interdiction prévue au I les traitements, automatisés ou non, justifiés par l'intérêt public et autorisés suivant les modalités prévues au II de l'article 31 et à l'article 32. » Aux termes de l’article 66 de ladite ordonnance : « I.- Les traitements relevant de la présente section ne peuvent être mis en œuvre qu'en considération de la finalité d'intérêt public qu'ils présentent. La garantie de normes élevées de qualité et de sécurité des soins de santé et des médicaments ou des dispositifs médicaux constitue une finalité d'intérêt public. II.- Des référentiels et règlements types, au sens des b et c du 2° du I de l'article 8, s'appliquant aux traitements relevant de la présente section sont établis par la Commission nationale de l'informatique et des libertés (…). /Les traitements conformes à ces référentiels peuvent être mis en œuvre à la condition que leurs responsables adressent préalablement à la Commission nationale de l'informatique et des libertés une déclaration attestant de cette conformité. /Ces référentiels peuvent également porter sur la description et les garanties de procédure permettant la mise à disposition en vue de leur traitement de jeux de données de santé présentant un faible risque d'impact sur la vie privée. / III.- Les traitements mentionnés au I qui ne sont pas conformes à un référentiel mentionné au II ne peuvent être mis en œuvre qu'après autorisation de la Commission nationale de l'informatique et des libertés. La demande d'autorisation est présentée dans les formes prévues à l'article 33 ». Aux termes de l’article 67 de ladite ordonnance : « Par dérogation à l'article 66, les traitements de données à caractère personnel dans le domaine de la santé mis en œuvre par les organismes ou les services chargés d'une mission de service public figurant sur une liste fixée par arrêté des ministres chargés de la santé et de la sécurité sociale, pris après avis de la Commission nationale de l'informatique et des libertés, ayant pour seule finalité de répondre, en cas de situation d'urgence, à une alerte sanitaire et d'en gérer les suites, au sens de la section 1 du chapitre III du titre Ier du livre IV de la première partie du code de la santé publique, sont soumis aux seules dispositions de la section 3 du chapitre IV du règlement (UE) 2016/679 du 27 avril 2016. (…) ». Aux termes de l’article 90 de ladite ordonnance : « Si le traitement est susceptible d'engendrer un risque élevé pour les droits et les libertés des personnes physiques, notamment parce qu'il porte sur des données mentionnées au I de l'article 6, le responsable de traitement effectue une analyse d'impact relative à la protection des données à caractère personnel. (…) ». L’article 126 de l’ordonnance dispose que : « Pour l’application de la présente loi (…) en Polynésie française (…) la référence au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données est remplacée par la référence aux règles en vigueur en métropole en vertu du règlement (UE) 2016/679 du 27 avril 2016 ». La section 3 du chapitre IV du règlement du 27 avril 2016 dispose en son article 35 que : « 1. Lorsqu'un type de traitement, en particulier par le recours à de nouvelles technologies, et compte tenu de la nature, de la portée, du contexte et des finalités du traitement, est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques, le responsable du traitement effectue, avant le traitement, une analyse de l'impact des opérations de traitement envisagées sur la protection des données à caractère personnel. Une seule et même analyse peut porter sur un ensemble d'opérations de traitement similaires qui présentent des risques élevés similaires. (…) ». L’article 36 du même règlement précise : « Le responsable du traitement consulte l'autorité de contrôle préalablement au traitement lorsqu'une analyse d'impact relative à la protection des données effectuée au titre de l'article 35 indique que le traitement présenterait un risque élevé si le responsable du traitement ne prenait pas de mesures pour atténuer le risque (…) ». La réalisation d'une analyse d'impact d'un traitement de données personnelles, dont l'absence peut donner lieu à des sanctions par la CNIL en application de l'article 20 de la loi n° 78-17 du 6 janvier 1978, est liée à la mise en œuvre de ce traitement. Aussi, l’absence d’analyse d’impact n'est pas de nature à entacher d'illégalité l’acte instituant le traitement de données.
4. En l’état de l’instruction, aucun des moyens de la requête ci- dessus analysés n’est de nature à créer un doute sérieux sur la légalité de la décision attaquée. Dès lors et sans qu’il soit besoin de statuer sur la recevabilité de la requête et sur la condition d’urgence, les conclusions tendant à la suspension de l’exécution de l’arrêté litigieux ne peuvent qu’être rejetées.
Sur les conclusions présentées au titre de l’article L. 761-1 du code de justice administrative :
5. Il n’y a pas lieu, dans les circonstances de l’espèce, de faire droit aux conclusions présentées au titre l’article L. 761-1 du code de justice administrative par la Caisse de Prévoyance de la Polynésie française.
ORDONNE :
Article 1er : L’intervention volontaire de Mme Annie C., Mme Karina D., Mme Tiura E., Mme Tiffany F., Mme Turiana G., n’est pas admise.
Article 2 : La requête présentée par Mme X. et autres est rejetée.
Article 3 : Les conclusions de la Caisse de Prévoyance de la Polynésie française au titre de l’article L. 761-1 du code de justice administrative sont rejetées.
Article 4 : La présente ordonnance sera notifiée à Mme Linda X. en tant que représentante désignée pour l’ensemble des requérants, à Mme Annie C., à Mme Karina D., à Mme Tiura E., à Mme Tiffany F., à Mme Turiana G., à la Polynésie française et à la Caisse de Prévoyance Sociale de la Polynésie française.
Copie en sera adressée au haut-commissaire de la République en Polynésie française.
Fait à Papeete le 18 novembre 2021
Le juge des référés, Le greffier,
S. Retterer M. Estall
La République mande et ordonne au haut-commissaire de la République en Polynésie française en ce qui le concerne ou à tous huissiers de justice à ce requis en ce qui concerne les voies de droit commun, contre les parties privées, de pourvoir à l'exécution de la présente décision.
Pour expédition conforme, Un greffier,