Vu la procédure suivante :
Par une requête et des mémoires enregistrés les 15 décembre 2021 et 8 mars, 14 avril et 20 avril 2022, l'Union territoriale de l'union nationale des syndicats autonomes (UNSA) de Polynésie française/Fenua et Mme H E, représentées par Me Dumas, demandent au tribunal :
1°) d'annuler l'arrêté n° 2233 CM du 12 octobre 2021 portant création d'un traitement automatisé de données à caractère personnel dénommé OBLIVACC, relatif au suivi de la vaccination obligatoire dans le cadre de la gestion de l'épidémie covid-19 ;
2°) de mettre à la charge de la Polynésie française la somme de 150 000 F CFP au titre de l'article L. 761-1 du code de justice administrative.
Elles soutiennent que :
- leur qualité et intérêt pour agir ne font aucun doute ;
- l'article 2 est illégal en l'absence de désignation de tout responsable de traitement, ce que ne peut être l'agence de régulation de l'action sanitaire et sociale ;
- l'article 3 est illégal ; les finalités présentées ne sont nullement les finalités punitives de la loi du pays n° 2021-37 du 23 août 2021 ; les dispositions du règlement général sur la protection des données (RGPD) imposent que soient clairement définies toutes les finalités ;
- l'article 4 est illégal ; il y a un détournement illicite de finalité des données initialement conservées par l'employeur ; le numéro d'inscription " DN " à la CPS ne peut être légalement communiqué ;
- l'article 5 est illégal, contraire à loi du pays n° 2021-37 du 23 août 2021 qui ne prévoit nullement une désignation par "directeurs" ni identifiés et ni identifiables en l'espèce ;
- l'article 6 est illégal, contraire au secret médical et sans garantie de sécurité des données personnelles traitées ;
- l'article 8 est illégal en ce qu'il ne fixe pas un terme réel pour la conservation des données personnelles en cause, ce qui est contraire au RGPD.
Par des mémoires enregistrés les 4 février et 24 mars 2022, la caisse de prévoyance sociale de la Polynésie française (CPS) conclut, dans le dernier état de ses écritures, à titre principal, au rejet de la requête et, subsidiairement, à ce que l'annulation de l'arrêté en litige ne soit prononcée qu'à l'expiration d'un délai de six à huit mois à compter de la notification du jugement à intervenir.
Elle fait valoir, à titre principal, que la requête est irrecevable à défaut de production de la décision attaquée, à défaut également de qualité et d'intérêt pour agir des requérantes, et à titre subsidiaire, que les moyens exposés dans la requête ne sont pas fondés.
Par des mémoires en défense enregistrés les 21 février et 25 mars 2022, la Polynésie française conclut au rejet de la requête et à ce qu'il soit mis à la charge solidaire de l'Union territoriale de l'union nationale des syndicat autonomes (UNSA) de Polynésie française/Fenua et de Mme H E, la somme de 200 000 F CFP au titre de l'article L. 761-1 du code de justice administrative.
Elle fait valoir, à titre principal, que la requête est irrecevable à défaut de production de la décision attaquée, à défaut également de qualité et d'intérêt pour agir des requérantes, et à titre subsidiaire, que les moyens exposés dans la requête ne sont pas fondés.
Par une ordonnance du 10 août 2022, la clôture de l'instruction a été fixée au 26 août 2022.
Une note en délibéré, enregistrée le 22 septembre 2022, a été présentée pour l'Union territoriale de l'union nationale des syndicats autonomes (UNSA) de Polynésie française/Fenua et Mme H E.
Vu la décision attaquée et les autres pièces du dossier.
Vu les autres pièces du dossier.
Vu :
- la loi organique n° 2004-192 du 27 février 2004 ;
- l'ordonnance n° 2018-1125 du 12 décembre 2018 ;
- la loi du Pays n° 2021-37 du 23 août 2021 ;
- le code de justice administrative.
Les parties ont été régulièrement averties du jour de l'audience.
Ont été entendus au cours de l'audience publique :
- le rapport de M. G,
- les conclusions de Mme F de Saint-Germain, rapporteure publique,
- les observations de Me Dumas, représentant l'Union territoriale de l'union nationale des syndicat autonomes (UNSA) de Polynésie française/Fenua et Mme H E, celles de Mme B pour la caisse de prévoyance sociale de la Polynésie française (CPS), et celles de Mme A pour la Polynésie française.
Considérant ce qui suit :
1. La loi du pays n° 2021-37 du 23 août 2021 a mis en place la vaccination obligatoire dans le cadre de la gestion de la crise sanitaire liée à la covid-19. L'arrêté n° 2233 CM du 12 octobre 2021 crée un traitement de données à caractère personnel dénommé OBLIVACC, relatif au suivi de la vaccination obligatoire dans le cadre de la gestion de l'épidémie de la covid-19. L'Agence de régulation de l'action sanitaire et sociale (ARASS) est chargée de la gestion de ce traitement, la conduisant notamment à identifier les personnes concernées par la vaccination obligatoire et contrôler le respect de leur obligation. Les données et informations enregistrées dans le traitement sont énumérées par l'article 4 de l'arrêté et sont principalement collectées, soit auprès des employeurs, soit directement auprès de la personne concernée. Une attestation de conformité à l'obligation vaccinale est éditée et mise à disposition de la personne concernée par la caisse de prévoyance sociale de la Polynésie française (CPS). Par la présente requête, l'Union territoriale de l'union nationale des syndicats autonomes (UNSA) de Polynésie française/Fenua et Mme E demandent l'annulation de cet arrêté.
Sur les conclusions à fin d'annulation :
2. En premier lieu, si les requérantes soutiennent qu'il n'est pas désigné de responsable de traitement dans l'arrêté litigieux, aucune disposition légale ou réglementaire n'impose à l'autorité administrative à l'initiative d'un tel dispositif de mentionner expressément un " responsable de traitement " dans l'acte réglementaire instaurant ce traitement de données à caractère personnel. En tout état de cause, l'article 2 de l'arrêté en litige précise que ce traitement est mis en œuvre par la Polynésie française et que l'agence de régulation de l'action sanitaire et sociale (ARASS) en assure la gestion. En ce sens également, la convention " portant accord sur les modalités de sous-traitance de données à caractère personnel réalisé par la caisse de prévoyance sociale au profit de l'agence de régulation de l'action sanitaire et sociale " du 29 octobre 2021 précise, dans son article 2, que " le responsable de traitement est le gouvernement de la Polynésie française " et que le " traitement est réalisé pour le compte de l'ARASS, service administratif placé sous l'autorité du ministre de la santé et de la prévention ". En conséquence, les requérantes ne sont pas fondées à faire valoir que l'ARASS ne peut avoir la qualité de " responsable de traitement ".
3. En deuxième lieu, aux termes de l'article LP. 10 de la loi du pays du 23 août 2021 relative à la vaccination obligatoire dans le cadre de la gestion de la crise sanitaire liée à la covid-19 : " Les manquements à la présente loi du pays et à ses arrêtés d'application sont constatés par les médecins et pharmaciens de l'Agence de régulation de l'action sanitaire et sociale et de la direction de la santé, dans le respect du secret médical ". L'article LP. 11 de cette loi dispose que : " Avant de prononcer l'amende administrative prévue à l'article LP. 8, l'autorité administrative compétente informe par écrit la personne mise en cause de la sanction envisagée à son encontre, en lui indiquant qu'elle dispose d'un délai de trente jours à compter de la notification du courrier ou de la remise en main propre, pour régulariser sa situation vaccinale ou faire part de ses observations écrites ".
4. L'article 3 de l'arrêté attaqué a pour finalités d'identifier les personnes concernées par la vaccination obligatoire contre la covid-19, d'assurer le contrôle du respect de cette obligation vaccinale par l'ARASS et la direction de la santé, d'éditer et de mettre à disposition des personnes concernées une attestation de conformité à leur obligation vaccinale et d'assurer les suivis épidémiologique et statistique de cette obligation.
5. Si les requérantes font valoir que la finalité punitive prévue par la loi précitée du 23 août 2021 dans ses articles LP. 10 et LP. 11 est totalement absente des finalités énumérées à l'article 3 susmentionné de l'arrêté litigieux, il résulte de la combinaison de ces dispositions que le rôle attribué à l'ARASS dans le contrôle du respect par les personnes concernées de leur obligation vaccinale représente une mission complémentaire et préalable de l'ARASS lui permettant, en application de la loi du pays précitée du 23 août 2021, de constater des éventuels manquements à cette obligation. Dans ces conditions, le moyen tiré de ce que l'article 3 de l'arrêté en litige ne comporte pas des dispositions directement punitives ou répressives et méconnaît les prescriptions de l'article 5 b) du règlement général sur la protection des données (RGPD) qui imposent le fait que les données à caractère personnel doivent être " collectées pour des finalités déterminées () " n'est pas de nature à rendre cet arrêté illégal.
6. En troisième lieu, aux termes de l'article 2 de l'ordonnance du 12 décembre 2018 prise en application de l'article 32 de la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles et portant modification de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et diverses dispositions concernant la protection des données à caractère personnel, applicable en Polynésie française : " La présente loi s'applique aux traitements automatisés en tout ou partie de données à caractère personnel, ainsi qu'aux traitements non automatisés de données à caractère personnel contenues ou appelées à figurer dans des fichiers, lorsque leur responsable remplit les conditions prévues à l'article 3 de la présente loi, à l'exception des traitements mis en œuvre par des personnes physiques pour l'exercice d'activités strictement personnelles ou domestiques. Constitue un fichier de données à caractère personnel tout ensemble structuré de données à caractère personnel accessibles selon des critères déterminés, que cet ensemble soit centralisé, décentralisé ou réparti de manière fonctionnelle ou géographique ". Aux termes de l'article 6 de la même ordonnance : " I. Il est interdit de traiter () des données concernant la santé () II. - Les exceptions à l'interdiction mentionnée au I sont fixées dans les conditions prévues par le 2 de l'article 9 du règlement (UE) 2016/679 du 27 avril 2016 et par la présente loi. III. - De même, ne sont pas soumis à l'interdiction prévue au I les traitements, automatisés ou non, justifiés par l'intérêt public et autorisés suivant les modalités prévues au II de l'article 31 et à l'article 32. ".
7. En vertu de l'article 4 de l'arrêté litigieux, les données et informations enregistrées dans le traitement portent notamment sur des données d'identification et coordonnées personnelles, le numéro DN d'inscription à la caisse de prévoyance sociale de la Polynésie française, l'activité professionnelle, l'identification de l'employeur et l'indication du lieu de travail, le statut vaccinal ainsi que la mention ou non de la conformité à l'obligation vaccinale. Cet article dispose également que ces données personnelles proviennent de la collecte indirecte auprès des employeurs, de la personne concernée, de la direction de la santé ou de l'ARASS selon la nature des données.
8. Pour contester la légalité de cet article, les requérantes font valoir qu'il révèle un détournement illicite de finalité des données initialement conservées par l'employeur, ce qui est contraire aux prescriptions du RGPD, déjà cité, ainsi qu'au droit au respect de la vie privée. Toutefois, ainsi que l'a jugé le Conseil d'Etat dans son arrêt n° 456004 du 10 décembre 2021 statuant sur la légalité de la " loi du pays " n° 2021-37 du 23 août 2021 relative à la vaccination obligatoire dans le cadre de la gestion de la crise sanitaire liée à la covid-19, " la loi ne confie, par elle-même, aucune mission de contrôle aux employeurs et chefs de service. La circonstance qu'ils devront exercer leurs responsabilités de droit commun notamment en matière de santé au travail n'est pas de nature à porter une atteinte excessive au droit au respect de la vie privée ni au secret médical. ". Dans ces conditions, l'arrêté litigieux qui, pris pour l'application de la loi du pays précitée du 23 août 2021, prévoit que les employeurs sont à l'origine de la collecte de certaines données personnelles ne méconnaît pas le droit au respect de la vie privée des personnes concernées et ne caractérise pas un détournement illicite des données initialement fournies par les salariés à leur employeur dès lors, au surplus, que la transmission de ces données répond à l'objectif de santé publique poursuivi par le législateur.
9. Par ailleurs, ainsi que le fait valoir la caisse de prévoyance sociale de la Polynésie française (CPS), sans contredit sérieux des requérantes, au contraire du numéro d'inscription des personnes au répertoire national d'identification des personnes physiques (NIR), le numéro d'inscription à la CPS (" DN ") est attribué de façon aléatoire et chronologique à une personne et ne comporte en lui-même aucune donnée d'identification personnelle. Dès lors, les requérantes ne sont pas fondées à soutenir que l'article 4 de l'arrêté en litige est illégal en ce qu'il prévoit que les données et informations enregistrées dans le traitement automatisé en cause doivent également contenir le numéro d'inscription " DN " à la CPS.
10. En quatrième lieu, l'article 5 de l'arrêté litigieux dispose que " Sont autorisés à enregistrer, à consulter et à utiliser l'ensemble des données prévues à l'article 4 I, les médecins et pharmaciens de l'agence de régulation de l'action sanitaire et sociale et de la direction de la santé désignés par leurs directeurs, pour assurer les seules finalités définies à l'article 3 ".
11. Il ressort des pièces du dossier que, d'une part, la désignation, par leurs directeurs respectifs, des médecins et pharmaciens de l'ARASS et de la direction de la santé relève d'une mesure d'organisation des services de la Polynésie française. D'autre part, les directeurs de services concernés sont identifiés, à la date de l'arrêté contesté, par les arrêtés n° 446 CM et n° 1823 CM des 26 mars 2021 et 12 octobre 2017. Dans ces conditions, les requérantes ne sont pas fondées à soutenir que l'arrêté attaqué est illégal au motif que la loi du pays n° 2021-37 du 23 août 2021 ne prévoit pas expressément une désignation des médecins et pharmaciens " autorisés à enregistrer, à consulter et à utiliser l'ensemble des données prévues à l'article 4.1 " par leurs " directeurs " (de service) et que ces derniers ne sont ni identifiés, ni identifiables en l'espèce.
12. En cinquième lieu, aux termes de l'article 6 de l'arrêté attaqué : " L'édition et la mise à disposition de la personne concernée d'une attestation de conformité à l'obligation vaccinale sont réalisées via le téléservice " espace Tatou " de la caisse de prévoyance sociale. L'attestation de conformité est établie sur la base des données transmises, elle ne préjuge pas du contrôle réalisé par les agents désignés à cet effet. / Les données visées au a), b), et g) du I de l'article 4 sont transmises à la caisse de prévoyance sociale de la Polynésie française par l'agence de régulation de l'action sanitaire et sociale pour la seule finalité prévue au 3 de l'article 3. / Dans ce cadre, la caisse de prévoyance sociale agit au nom et pour le compte de la Polynésie française représentée par l'agence de régulation de l'action sanitaire et sociale. Elle est un sous-traitant de données à caractère personnel au sens du règlement UE 2016/679 du 27 avril 2016 susvisé. Les modalités de cette sous-traitance, réalisée à titre gracieux par la caisse de prévoyance sociale, sont définies par convention entre l'agence de régulation de l'action sanitaire et sociale et la caisse de prévoyance sociale de la Polynésie française, laquelle est annexée au présent arrêté. () ".
13. L'article 28 du du règlement UE 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, cité dans l'article 6 de l'arrêté en litige, dispose que : " 1. Lorsqu'un traitement doit être effectué pour le compte d'un responsable du traitement, celui-ci fait uniquement appel à des sous-traitants qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du présent règlement et garantisse la protection des droits de la personne concernée. () 3. Le traitement par un sous-traitant est régi par un contrat ou un autre acte juridique (), qui lie le sous-traitant à l'égard du responsable du traitement, définit l'objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées, et les obligations et les droits du responsable du traitement. Ce contrat ou cet autre acte juridique prévoit, notamment, que le sous-traitant : a) ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement () b) veille à ce que les personnes autorisées à traiter les données à caractère personnel s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité ; () ".
14. En l'espèce, il ne ressort pas des pièces du dossier que la CPS, en sa qualité de sous-traitant de données à caractère personnel dans le cadre du dispositif litigieux, ne présente pas, eu égard notamment au contenu de l'arrêté en cause et de la convention annexée " portant accord sur les modalités de sous-traitance de données à caractère personnel réalisé par la caisse de prévoyance sociale au profit de l'agence de régulation de l'action sanitaire et sociale ", en ses articles 4, 6, 8 et 15, des garanties suffisantes assurant la protection des droits de la personne concernée par l'obligation vaccinale et la sécurité des données au regard du respect dû au secret médical et à la confidentialité des informations recueillies. Il n'est pas contesté que la CPS, dans sa mission de sous-traitance, se borne à attester de la conformité de l'assuré à l'obligation vaccinale établie sur la base des données transmises sans avoir connaissance de données personnelles de santé. De plus, conformément aux dispositions de l'article 226-13 du code pénal, applicable en Polynésie française, les agents de la CPS sont astreints à ne pas révéler les informations à caractère secret dont ils sont dépositaires en raison de leurs fonctions. Par suite, le moyen tiré de ce que la sous-traitance organisée par l'arrêté attaqué ne permet pas la protection du secret médical ni la sécurité des données personnelles traitées doit être écarté.
15. En dernier lieu, l'article 8 de l'arrêté litigieux dispose que : " Les données sont conservées pour la durée de l'obligation vaccinale. A l'issue de ce délai, elles sont anonymisées et utilisables à des fins épidémiologiques et statistiques ".
16. Dans sa partie introductive, au point 39, le règlement UE 2016/679 du 27 avril 2016 précise que : " () Les données à caractère personnel devraient être adéquates, pertinentes et limitées à ce qui est nécessaire pour les finalités pour lesquelles elles sont traitées. Cela exige, notamment, de garantir que la durée de conservation des données soit limitée au strict minimum. Les données à caractère personnel ne devraient être traitées que si la finalité du traitement ne peut être raisonnablement atteinte par d'autres moyens. Afin de garantir que les données ne sont pas conservées plus longtemps que nécessaire, des délais devraient être fixés par le responsable du traitement pour leur effacement ou pour un examen périodique. Il y a lieu de prendre toutes les mesures raisonnables afin de garantir que les données à caractère personnel qui sont inexactes sont rectifiées ou supprimées. () ".
17. Ainsi que l'a jugé le Conseil d'Etat dans son arrêt déjà cité n° 456004 du 10 décembre 2021, " le législateur du pays pouvait de même, eu égard à la nature de l'obligation, choisir de ne pas fixer de limite dans le temps, dès lors, d'une part, qu'il lui appartenait d'agir, non seulement face à la vague épidémique alors en cours, mais aussi en prévision de vagues épidémiques futures, et, d'autre part, qu'il appartiendrait au gouvernement de la Polynésie française, en application de l'article LP. 6, de réexaminer les mesures prises si la situation venait à le nécessiter ". En l'espèce, le dispositif de traitement des données OBLIVACC dont l'objet consiste à permettre " le suivi de la vaccination obligatoire dans le cadre de la gestion de l'épidémie de la covid-19 " est directement lié à la durée d'application de l'obligation vaccinale, elle-même fonction, à la date de l'arrêté attaqué, de l'état d'amélioration ou de dégradation de la situation sanitaire. En conséquence, et tenant à l'intérêt général de la population, la mention de l'article 8 de l'arrêté litigieux prescrivant la conservation des données pour la durée de l'obligation vaccinale n'est pas entachée d'illégalité.
18. Par ailleurs, les requérantes ne peuvent utilement se référer à l'article 83-5 du règlement UE 2016/679 du 27 avril 2016 précité dès lors que cet article porte sur les " conditions générales pour imposer des amendes administratives ", ce qui est sans rapport direct avec la durée de conservation des données personnelles.
19. Il résulte de tout ce qui précède que, sans qu'il soit besoin de statuer sur les fins de non-recevoir opposées par la Polynésie française et la caisse de prévoyance sociale de la Polynésie française, l'Union territoriale de l'union nationale des syndicats autonomes (UNSA) de Polynésie française/Fenua et Mme E ne sont pas fondées à demander l'annulation de l'arrêté qu'elles contestent.
Sur les frais liés au litige :
20. Dans les circonstances de l'espèce, il n'y a pas lieu de faire application des dispositions de l'article L. 761-1 du code de justice administrative.
D E C I D E :
Article 1er : La requête de l'Union territoriale de l'union nationale des syndicats autonomes (UNSA) de Polynésie française/Fenua et de Mme E est rejetée.
Article 2 : Les conclusions présentées par la Polynésie française au titre de l'article L. 761-1 du code de justice administrative sont rejetées.
Article 3 : Le présent jugement sera notifié à l'Union territoriale de l'union nationale des syndicats autonomes (UNSA) de Polynésie française/Fenua, à Mme H E, à la caisse de prévoyance sociale de la Polynésie française et à la Polynésie française. Copie en sera délivrée au haut-commissaire de la République en Polynésie française.
Délibéré après l'audience du 20 septembre 2022, à laquelle siégeaient :
M. Devillers, président,
M. Graboy-Grobesco, premier conseiller,
M. Boumendjel, premier conseiller,
Rendu par mise à disposition au greffe le 29 septembre 2022.
Le rapporteur,
A. G
Le président,
P. Devillers
Le greffier,
M. C
La République mande et ordonne au haut-commissaire de la République en Polynésie française en ce qui le concerne ou à tous commissaires de justice à ce requis en ce qui concerne les voies de droit commun contre les parties privées, de pourvoir à l'exécution de la présente décision.
Pour expédition,
Un greffier,
N°2100576