Antécédents de la plainte

1. En juillet 2020, la Cour de justice de l’Union européenne s’est prononcée dans l’affaire Schrems II ^.[1] L’arrêt concernait la décision ^{de la Commission européenne [2]} relative aux clauses contractuelles types pour les transferts de données vers des pays tiers et, en particulier, le niveau de protection assuré aux États-Unis (le «bouclier de protection de la vie privée»). La Cour a déclaré invalide une décision d'exécution ^{de la Commission [3]} sur l'adéquation de la protection assurée par le bouclier de protection des données UE-États-Unis, avec des conséquences considérables sur la manière dont les données à caractère personnel peuvent être transférées vers des pays tiers, en particulier aux États-Unis.

2. À la suite de l’arrêt Schrems II, le Contrôleur européen de la protection des données (CEPD) a adopté une «stratégie pour que les institutions, organes et organismes de l’Union se conforment à l’arrêt Schrems II». Dans le cadre de cette stratégie, le 5 octobre 2020, le CEPD a ordonné aux institutions, organes et organismes de l’UE (ci-après les «institutions de l’UE») de mener à bien un «exercice de cartographie» identifiant les contrats, procédures de passation de marchés et autres types de coopération en cours impliquant des transferts de données. Les institutions de l’UE ont reçu l’ordre de signaler au CEPD, au plus tard le 15 novembre 2020, tout risque et toute lacune spécifiques recensés.

3. Le 3 novembre 2020, le plaignant a demandé l’accès du public à plusieurs documents détenus par le CEPD. La demande se composait de deux parties:

• premièrement, le plaignant a demandé à avoir accès à l’exercice de cartographie que le CEPD a effectué pour lui-même (ci-après l’«exercice de cartographie du CEPD»); et
• deuxièmement, le plaignant a demandé une copie de toute évaluation de la protection de la vie privée, y compris des analyses d’impact sur la protection des données (AIPD), effectuée par le CEPD pour l’utilisation par le CEPD des outils suivants: Microsoft Office365, Microsoft Teams, Zoom, Cisco Webex, Skype.

4. Le 14 janvier 2021, le CEPD a refusé l’accès aux documents qu’il a identifiés, sur la base de l’exception prévue par les règles de l’UE relatives à l’accès du public aux documents qui concerne la protection du processus décisionnel ^[4]. Le CEPD a expliqué que les documents « font partie d’une procédure en cours, dans laquelle la décision n’est pas encore prise par le CEPD ». Le CEPD a toutefois confirmé qu'il avait procédé à un exercice de cartographie et préparé un rapport à ce sujet.

5. Le 22 janvier 2021, le plaignant a demandé au CEPD de réexaminer sa décision, en introduisant ce qu’il est convenu d’appeler une «demande confirmative». Le plaignant a fait valoir que:

• La déclaration du CEPD selon laquelle il a préparé un rapport sur l’exercice de cartographie du CEPD est incompatible avec l’affirmation selon laquelle les documents font partie d’une procédure en cours. Étant donné que les autres institutions ont été invitées à finaliser leur exercice de cartographie d’ici le 15 novembre 2020, il serait surprenant que l’exercice de cartographie du CEPD n’ait pas encore été finalisé.
• Le CEPD n’a pas fourni d’informations sur l’existence de documents concernant la deuxième partie de sa demande d’accès, relative aux évaluations de la protection de la vie privée. Elle aurait dû au moins fournir une liste des documents identifiés comme relevant du champ d’application de cette partie de la demande.
• L’exception prévue par les règles de l’UE relatives à l’accès du public aux documents doit être interprétée et appliquée strictement. Le CEPD n'a fourni aucune explication quant à la manière dont la divulgation porterait gravement atteinte au processus décisionnel.
• Enfin, même si la divulgation portait atteinte au processus décisionnel du CEPD, il existerait un intérêt public supérieur justifiant la divulgation. En ce qui concerne l'exercice de cartographie du CEPD, le public doit être en mesure de vérifier que le CEPD montre l'exemple. En ce qui concerne les évaluations de la protection de la vie privée, il existe un intérêt public supérieur à savoir quels outils informatiques le CEPD utilise en interne et quel était le résultat de toute analyse avant l’adoption des outils. Si le CEPD utilise l'un des outils (Microsoft Office365, Microsoft Teams, Zoom, Cisco Webex, Skype), l'évaluation correspondante de la protection de la vie privée pourrait constituer une référence et une référence pour les autres institutions.

6. Le 8 février 2021, le CEPD a confirmé sa décision initiale, notant que les documents demandés faisaient partie d’un processus décisionnel en cours et que le résultat de ce processus serait compromis par la divulgation des documents. Le CEPD a également noté qu’il ne pouvait pas confirmer l’existence ou le nombre d’autres documents susceptibles de relever du champ d’application de la demande «étant donné qu’ils font partie de procédures en cours et que, par conséquent, leur statut ou leur nombre est toujours en suspens».

7. Insatisfait de la décision du CEPD, le plaignant s’est adressé au Médiateur le 9 février 2021.

Proposition de solution du Médiateur

8. Le 24 février 2021, l’équipe d’enquête de la Médiatrice a rencontré ^{pour la première fois [5]} des membres du personnel du CEPD pour discuter des documents en cause et de leur pertinence pour l’enquête menée par le CEPD concernant le respect par les institutions de l’Union de l’arrêt Schrems II. Le 29 mars 2021, une deuxième réunion ^[6] a eu lieu au cours de laquelle l’équipe d’enquête de la Médiatrice a examiné les documents en cause dans la présente enquête.

9. Sur la base d’une analyse des documents examinés, la Médiatrice a proposé une solution au CEPD le 26 avril 2021. Dans sa proposition de solution, la Médiatrice a estimé que:

· Le document identifié par le CEPD comme relevant du champ d’application de la première partie de la demande d’accès du plaignant, à savoir le rapport sur l’exercice de cartographie du CEPD, fait partie d’une enquête sur le respect par les institutions de l’Union de l’arrêt Schrems II. Cette enquête, qui repose sur les pouvoirs d’enquête du CEPD ^[7], est en cours. L’analyse des rapports sur l’exercice de cartographie, présentés par les institutions de l’UE, y compris le CEPD, constitue la première phase de cette enquête. Cette première phase de l'enquête n'est pas encore terminée.  

• Compte tenu de ce qui précède, la Médiatrice a estimé qu’il était raisonnable que le CEPD conclue que la divulgation du rapport sur l’exercice de cartographie du CEPD est susceptible de compromettre l’objectif de l’enquête en cours, tel que protégé par l’article 4, paragraphe 2, troisième tiret, des règles de l’UE relatives à l’accès aux documents. La Médiatrice n’a pas pu identifier d’intérêt public supérieur justifiant la divulgation, à ce stade de l’enquête, et s’est félicitée que le CEPD se soit engagé, lors des réunions avec son équipe d’enquête, à réexaminer l’accès (partiel) à un stade ultérieur.
• En ce qui concerne la deuxième partie de la demande d’accès de la plaignante, à savoir la divulgation de toute évaluation de la vie privée effectuée par le CEPD sur plusieurs outils en ligne, la Médiatrice s’est félicitée de l’accord du CEPD de partager avec la plaignante le rapport sur la deuxième réunion de son équipe d’enquête avec le CEPD. Le rapport d’inspection contient une liste des cinq documents que le CEPD avait identifiés comme relevant du champ d’application de la deuxième partie de la demande d’accès du plaignant ^[8].
• En ce qui concerne le fond des cinq documents identifiés, la Médiatrice a noté qu’ils se rapportaient à une (mise à jour) d’une évaluation de la protection de la vie privée effectuée par le CEPD dans le contexte de la pandémie de COVID-19, avant l’arrêt Schrems II. Certaines parties de l’évaluation ont été adaptées à la suite de l’arrêt Schrems II et concernent des outils également signalés par le CEPD et d’autres institutions de l’UE dans le cadre de l’exercice de cartographie, ce qui pourrait être considéré comme un objectif d’exécution.
• Le Médiateur a donc estimé qu’il était raisonnable que le CEPD considère que, bien que l’évaluation ait été entamée avant le début de l’enquête, elle peut, en partie, révéler la position du CEPD en ce qui concerne des outils informatiques spécifiques utilisés par les institutions de l’Union. Elle convient donc qu’accorder l’accès à ces parties de l’évaluation à ce stade pourrait limiter la marge de manœuvre du CEPD dans la conduite de l’enquête en cours.
• Dans le même temps, l'Ombudsman a constaté qu'il était difficile de voir comment certaines des informations contenues dans les cinq documents identifiés se rapportent à l'enquête en cours. Il n’apparaît pas non plus clairement en quoi la divulgation de ces informations révélerait la position du CEPD à l’égard d’outils informatiques spécifiques utilisés par les institutions de l’Union.

10. Compte tenu de ces considérations, la Médiatrice a proposé au CEPD de revoir sa position sur la deuxième partie de la demande d’accès du public du plaignant, en vue d’accorder au public l’accès le plus large possible aux cinq documents identifiés.

11. Dans sa réponse à la proposition de solution du Médiateur ^[9], le CEPD a accepté de revoir sa position sur la deuxième partie de la demande d’accès du public du plaignant. À la suite de ce réexamen, le CEPD a accordé au public un accès partiel à trois des documents identifiés et a refusé l’accès aux deux documents restants. Le CEPD a également identifié un document supplémentaire comme relevant du champ d’application de la demande et lui a accordé un accès partiel.

12. En refusant l’accès à deux des documents identifiés – intitulés «outils d’inspection du CEPD» et «outils d’inspection du CEPD v.2» – le CEPD a fait valoir que ces documents «relèvent des exceptions prévues à l’article 4, paragraphe 2, troisième tiret, du règlement (CE) no 1049/2001, étant donné qu’ils contiennent des détails sur les outils et méthodes de travail utilisés lors de nos inspections. À cet égard, la divulgation desdits documents contenant des informations sur les méthodes internes du CEPD pourrait compromettre l’utilisation efficace des moyens d’enquête du CEPD à l’avenir.»

13. Le CEPD a accordé un accès public partiel aux quatre autres documents, occultant les données à caractère personnel des membres de son personnel.

14. La plaignante a indiqué qu’elle était satisfaite de la proposition du Médiateur et de la solution obtenue.

Évaluation du Médiateur après la proposition de solution

15. La Médiatrice se félicite de la réponse positive du CEPD à sa proposition de solution.

16. Elle note que le CEPD a accepté de divulguer quatre documents après avoir occulté les données à caractère personnel des membres du personnel. Étant donné que le plaignant ne souhaite pas avoir accès aux données à caractère personnel, il n’est pas nécessaire que le Médiateur examine si les expurgations sont justifiées.

17. La Médiatrice note en outre que le CEPD a refusé l’accès aux deux versions du document «Outils d’inspection du CEPD». Dans sa proposition de solution, l'Ombudsman avait identifié certaines informations incidentes dans ce document comme n'étant pas liées à l'enquête en cours. Il ne semblait pas non plus que la divulgation des informations révélerait la position du CEPD en ce qui concerne des outils informatiques spécifiques utilisés par les institutions de l’UE. Toutefois, étant donné que les informations identifiées par le Médiateur étaient de nature accessoire et que le plaignant est satisfait de la solution obtenue, le Médiateur considère que le CEPD a résolu la plainte en acceptant d’accorder un accès partiel aux documents identifiés comme relevant du champ d’application de la deuxième partie de la demande d’accès du plaignant.

Conclusion

Sur la base de l’enquête, la Médiatrice clôt cette affaire en concluant ce qui suit:

La Médiatrice se félicite de la réponse positive du CEPD à sa proposition de solution. En acceptant d’accorder au public un accès partiel aux documents identifiés comme relevant du champ d’application de la deuxième partie de la demande du plaignant, le CEPD a résolu la réclamation.

Le plaignant et le Contrôleur européen de la protection des données seront informés de cette décision.

Emily O'Reilly Médiateur
européen

Strasbourg, le 20/08/2021

[1] Arrêt de la Cour (grande chambre) du 16 juillet 2020, Data Protection Commissioner/Facebook Ireland Limited et Maximillian Schrems, demande de décision préjudicielle présentée par la High Court (Irlande), affaire C-311/18, disponible à l’adresse suivante: http://curia.europa.eu/juris/document/document.jsf?text=&docid=228677&pageIndex=0&doclang=en&mode=lst&dir=&occ=first&part=1&cid=12312155

[2] Décision 2010/87/UE de la Commission du 5 février 2010 relative aux clauses contractuelles types pour le transfert de données à caractère personnel à des sous-traitants établis dans des pays tiers en vertu de la directive 95/46/CE du Parlement européen et du Conseil: https://eur-lex.europa.eu/legal-content/en/TXT/?uri=CELEX%3A32010D0087

[3] Décision d’exécution (UE) 2016/1250 de la Commission du 12 juillet 2016 conformément à la directive 95/46/CE du Parlement européen et du Conseil relative à l’adéquation de la protection assurée par le bouclier de protection des données UE-États-Unis: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=uriserv%3AOJ.L_.2016.207.01.0001.01.ENG

[4] Article 4, paragraphe 3, du règlement (CE) no 1049/2001 relatif à l’accès du public aux documents du Parlement européen, du Conseil et de la Commission: https://eur-lex.europa.eu/legal-content/en/TXT/?uri=CELEX%3A32001R1049

[5] Le compte rendu de la réunion est disponible à l’adresse suivante: https://www.ombudsman.europa.eu/en/report/en/145806

[6] Le rapport d’inspection est disponible à l’adresse suivante: https://www.ombudsman.europa.eu/en/report/en/145807

[7] Article 58, paragraphe 1, du règlement (UE) 2018/1725 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=celex:32018R1725

[8] La liste figure dans le rapport d’inspection, disponible à l’adresse suivante: https://www.ombudsman.europa.eu/en/report/en/145807

[9] Disponible ici: https://www.ombudsman.europa.eu/en/correspondence/en/145805