Référence
20220816
Administration
Séance
31 mars 2022
Commission nationale des comptes de campagne et des financements
politiques (CNCCFP)
Type
Avis
Partie
II
Avis
Monsieur X a saisi la Commission d'accès aux documents administratifs, par courrier enregistré à
son secrétariat le 24 décembre 2021, à la suite du refus opposé par le président de la Commission nationale des
comptes de campagne et des financements politiques (CNCCFP) à sa demande de communication et publication, dans
un format numérique, ouvert et réutilisable, du code source du logiciel Fin’Pol utilisé pour le dépôt des comptes de
campagne de façon dématérialisée.
A titre liminaire, la Commission rappelle qu’aux termes de l’article L300-2 du code des relations entre le public et
l’administration : « Sont considérés comme documents administratifs, au sens des titres Ier, III et IV du présent livre,
quels que soient leur date, leur lieu de conservation, leur forme et leur support, les documents produits ou reçus, dans le
cadre de leur mission de service public, par l’État, les collectivités territoriales ainsi que par les autres personnes de
droit public ou les personnes de droit privé chargées d'une telle mission » et que constituent de tels documents
notamment les codes sources.
Elle souligne que dans son avis n° 20144578 du 8 janvier 2015, relatif au code source du logiciel simulant le calcul de
l'impôt sur les revenus des personnes physiques développé par la direction générale des impôts, el e a estimé, après
avoir rappelé qu’un code source est un programme informatique contenant les instructions devant être exécutées par un
micro-processeur, que les fichiers informatiques constituant les modèles sollicités en l’espèce, produits par
l’administration dans le cadre de sa mission de service public, revêtaient le caractère de documents administratifs au
sens de l’article L300-2 du code des relations entre le public et l’administration. Elle a fait de même dans son avis n°
20161990 du 23 juin 2016 relatif à l’algorithme développé par le ministère de l’éducation nationale connu sous le nom
d’admission post bac dit « APB » et dans un avis n° 20180276, estimé que le modèle « Saphir », modèle de simulation
qui décrit les revenus des ménages de France métropolitaine et les transferts monétaires induits par les prestations
sociales et les prélèvements obligatoires, le modèle « Mésange », modèle macro-économétrique développé par l’Institut
national de la statistique et des études économiques (INSEE) et la direction générale du trésor afin de réaliser des
évaluations de l’impact de différentes mesures de politique économique sur l’emploi, le produit intérieur brut ou les prix
et le modèle « Opale », modèle utilisé pour prévoir les principales variables macroéconomiques sur une ou deux
années, développés par le ministre de l'économie et des finances constituaient des documents administratifs
communicables à toute personne qui en fait la demande et publiables en ligne.
1. En réponse à la demande qui lui a été adressée, le président de la CNCCFP a informé la Commission de ce que le
code source de l’application Fin'Pol ne pourrait être considéré à ce jour comme un document achevé au sens de l’article
L311-2 du code des relations entre le public et l’administration dans la mesure où la version, livrée le 19 mars 2022, par
son prestataire - la société X - serait toujours soumise aux opérations de vérifications définies aux articles 24 et suivants
du cahier des clauses administratives générales (CCAG-TIC) et aménagées dans le cahier des clauses administratives
particulières de l'accord-cadre.
La Commission rappelle qu’aux termes de l’article L311-2 du code des relations entre le public et l’administration : « Le
droit à communication ne s'applique qu'à des documents achevés. » Elle précise que cette restriction a pour objet
d’éviter l’immixtion du public dans l’élaboration formelle d’un document et à préserver la confidentialité des échanges
internes à l’administration.
La Commission relève, en l’espèce, que, conformément au « planning prévisionnel du projet Fin’Pol », une première
version du logiciel a été livrée à la CNCCFP par son prestataire, le 19 mars 2022, et que, comme cela est prévu dans ce
planning, cette version fait l’objet d’opérations de vérifications de service régulier (VSR) d’une durée de trois mois, à
l’issue desquel es la CNCCFP pourra prononcer sa réception. Elle relève également que le code source du logiciel est,
par suite, susceptible d’évoluer en fonction des correctifs sollicités au cours des opérations de VSR.
Elle constate ainsi que le code source sollicité est susceptible de revêtir, jusqu’à sa réception, des états successifs et
provisoires et ne saurait être regardé comme un document achevé au regard de la destination qui est la sienne. Elle
émet donc, en l’état, un avis défavorable à la demande.
2. Le président de la CNCCFP a également informé la Commission de ce que, ne détenant pas les droits d’auteur sur
70 % du code source sollicité, il ne serait, en tout état de cause, pas communicable dans cette mesure au regard du 1°
de l’article L311-6 du code des relations entre le public et l’administration et les 30 % restants seraient difficilement
compréhensibles.
Elle rappelle toutefois, à toutes fins utiles, que l’existence de droits d’auteurs détenus par un tiers à l’administration mise
en cause est appréhendée par les seules dispositions de l'article L311-4 du code des relations entre le public et
l'administration selon lesquelles : « Les documents administratifs sont communiqués ou publiés sous réserve des droits
Commission d’accès aux documents administratifs (CADA)
1
de propriété littéraire et artistique. » Dans sa décision du 8 novembre 2017 n° 375704, le Conseil d’État a jugé que cette
disposition implique, avant de procéder à la communication de documents administratifs grevés de droits d’auteur
n'ayant pas déjà fait l'objet d'une divulgation au sens de l'article L121-2 du code de la propriété intel ectuelle, de
recueillir l'accord de leur auteur.
La Commission souligne, à cet égard, dans l’hypothèse où aucune stipulation en ce sens ne figurerait dans le contrat,
qu'aux termes de l'article L112-2 du code de la propriété intellectuelle : « Sont considérés notamment comme œuvres
de l'esprit au sens du présent code : / (...) / 13° Les logiciels, y compris le matériel de conception préparatoire ; / (…) »
et que le juge judiciaire a étendu ces dispositions aux codes sources. En outre, pour être protégées par des droits de
propriété intellectuelle, la jurisprudence exige que les œuvres de l’esprit se caractérisent par une certaine originalité, en
ce qu’elles font apparaître l’empreinte, le style ou encore la personnalité de leur auteur, ou encore l’apport ou l’effort
intellectuel de ce dernier.
La Commission rappelle également qu'il appartient à l'autorité administrative qui refuse la communication d'un document
administratif ou qui effectue des occultations sur le fondement du 1° de l'article L311-6 du code des relations entre le
public et l’administration d’être en mesure de justifier que les mentions concernées révèlent, par leur nature et leur
degré de précision, des informations économiques et financières relatives à une entreprise, la stratégie commerciale de
celle-ci ou le secret de ses procédés et de ses savoir-faire. Dans l’hypothèse où l’administration demande à une entité
de lui formuler des propositions d’occultations de mentions relevant du secret des affaires, il lui appartient donc de lui
demander de justifier du caractère secret des informations dont elle demande l’occultation au regard tant de ces critères
matériels que des critères tenant à leur confidentialité, à leur valeur commerciale, réelle ou potentielle, parce que
secrète et aux mesures de protection dont elles font l’objet, afin d’être elle-même en mesure d’apprécier la pertinence
des propositions et de fonder son éventuel refus de communication (avis n° 20183968 du 28 février 2019).
La Commission en déduit que, dans un cas comme celui d’espèce, il appartient à l’administration saisie, de déterminer
successivement, pour l’application de l’article L311-4 du code des relations entre le public et l’administration, si le
document demandé peut être considéré, en toute ou partie, comme une œuvre de l’esprit protégée par des droits
d’auteur et ne peut donc être communiqué qu’après autorisation de son auteur et si, en toute hypothèse et au vu des
principes précédemment rappelés, le secret des affaires s’oppose à une telle communication.
Référence
20221454
Administration
Séance
23 juin 2022
Centre national des œuvres universitaires et scolaires (CNOUS)
Type
Avis
Partie
I
Avis
Monsieur X a saisi la commission d'accès aux documents administratifs, par courrier enregistré à
son secrétariat le 23 février 2022, à la suite du refus opposé par le directeur général délégué du centre national des
œuvres universitaires et scolaires (CNOUS) à sa demande de communication des codes sources permettant le
fonctionnement de la plateforme électronique eVote.
La commission relève, en premier lieu, que dans le cadre de l’instruction de cette saisine, elle a sollicité des éléments
d’information complémentaires auprès du directeur général délégué du CNOUS, ce dernier s’étant borné, dans ses
observations initiales, à maintenir son refus de communiquer en faisant valoir, sans autre précision, que les codes
sources sol icités, qui sont la propriété du prestataire privé X, sont couverts par le secret industriel et commercial.
Elle regrette qu’en dépit de deux relances, cette autorité n’ait toutefois pas été en capacité de lui apporter les éléments
d’information attendus en temps utiles, soit avant qu’elle ne décide de renvoyer le dossier à la séance du 23 juin 2022,
en vue de son examen en partie I. Elle souligne que cette situation est de nature à entraver les conditions dans
lesquel es el e est amenée à exercer son office.
En second lieu, la commission relève que par une note complémentaire du 8 juin 2022, les représentants du CNOUS lui
ont finalement indiqué que les codes sources de la plateforme électronique eVote, qui sont protégés par le droit
d’auteur, ne leur ont jamais été communiqués.
La commission rappelle qu’aux termes de l’article L300-2 du code des relations entre le public et l’administration
(CRPA), seuls les documents produits ou reçus par les autorités publiques dans le cadre de leur mission de service
public présentent un caractère administratif.
A l’état des informations ainsi portées à sa connaissance, la commission estime que les codes sources sollicités, dès
lors qu’ils ne sont pas détenus par le CNOUS, ne revêtent pas un caractère administratif au sens de ces dispositions.
Elle rappelle, en outre, que sous réserve des dispositions du sixième alinéa de l’article L311-2 du code des relations
entre le public et l’administration, qui font obligation à une autorité administrative saisie d’une demande de
Commission d’accès aux documents administratifs (CADA)
2
communication de documents qu’elle ne détient pas de transmettre cette demande à l’autorité susceptible de les détenir,
ce code ne saurait avoir pour effet d'imposer à une telle autorité de solliciter d'un tiers la remise d'un document qui n’est
pas en sa possession afin de satisfaire à une demande de communication.
La commission ne peut, compte tenu de ces éléments, que se déclarer incompétente pour se prononcer sur la présente
demande d’avis.
Elle estime toutefois opportun, en l’espèce, de préciser à titre informatif la portée de son avis de partie II, n° 20220816,
du 31 mars 2022 relatif à l’articulation entre le secret de la propriété intellectuelle et le secret des affaires, s’agissant
d’un code source qui serait détenu par l’administration et qui aurait été acquis auprès d'un tiers ou élaboré par un
prestataire.
La commission rappelle qu’aux termes de l’article L311-4 du CRPA : « Les documents administratifs sont communiqués
ou publiés sous réserve des droits de propriété littéraire et artistique ». Il résulte de ces dispositions, telles
qu'interprétées par le Conseil d’État, qu'avant de procéder à la communication de documents administratifs grevés de
droits d’auteur n'ayant pas déjà fait l'objet d'une divulgation au sens de l'article L121-2 du code de la propriété
intellectuelle, il appartient à l'administration saisie de recueillir l'accord de leur auteur (CE, 8 novembre 2017, Association
spirituelle de l’Église de scientologie, n° 375704).
La commission souligne que pour être protégées par des droits de propriété intellectuel e, la jurisprudence exige que les
œuvres de l’esprit se caractérisent par une certaine originalité, en ce qu’elles font apparaître l’empreinte, le style ou
encore la personnalité de leur auteur, ou encore l’apport ou l’effort intellectuel de ce dernier. Elle en déduit que si
l’autorité saisie l’informe qu’un tiers détenant des droits de propriété intellectuelle sur un document administratif en sa
possession n’a pas donné son accord à la communication, il lui incombe de démontrer que le document sollicité
constitue effectivement une œuvre de l’esprit, en fournissant des éléments circonstanciés justifiant son apport créatif. La
commission estime qu’un simple renvoi aux stipulations contractuelles retenant cette qualification est, à cet égard,
insuffisant.
Dans l’hypothèse où l’autorité saisie apporterait cette preuve, l’article L311-4 du CRPA trouverait à s'appliquer. Les droits
de propriété intellectuelle feraient alors obstacle à la demande de communication et la commission émettrait, par suite,
un avis défavorable sur ce fondement.
Dans l’hypothèse inverse, le secret des affaires prévu au 1° de l'article L311-6 du CRPA, lequel comprend le secret des
procédés, des informations économiques et financières et des stratégies commerciales ou industrielles, serait un motif
permettant à l’autorité saisie de s’opposer à la communication d’un code source ou a minima, de procéder à l’occultation
ou à la disjonction des mentions couvertes. La commission relève qu’un code source est protégé, notamment, au titre
du secret des procédés et des savoir-faire, en ce que sa communication révélerait un procédé particulier dont la
divulgation pourrait porter à l’organisme l’ayant développé un préjudice commercial dans ses activités concurrentielles
en révélant à des tiers des développements qui lui sont propres contribuant à la performance de ses systèmes
d'information, à la résilience de ses services et à l'architecture logicielle sous-jacente de ses systèmes. Il incombe à
l’organisme concerné de faire la preuve de la matérialité du préjudice commercial allégué (avis n° 20193176, du 16
janvier 2020).
Comme indiqué dans l’avis n° 20220816 du 31 mars 2022, un refus de communication ne peut être opposé, sur le
fondement du 1° de l’article L311-6 du CRPA, que si l’atteinte au secret des affaires est établie et fait obstacle à la
communication du document dans son intégralité. Il appartient à l’autorité saisie de se livrer à cette analyse et de fournir
des éléments probants en ce sens, en se rapprochant, le cas échéant, de l’organisme concerné.
Enfin, la commission relève que la diffusion publique des codes sources se rapportant aux dispositifs de vote
électroniques utilisés par l’administration lors des processus électoraux est un enjeu majeur de transparence
administrative et de confiance des citoyens dans les procédures électorales. Elle constate que dans l’hypothèse la plus
fréquemment rencontrée où, comme en l’espèce, l’administration recourt à des prestataires de service spécialisés ne lui
communiquant pas les codes sources des logiciels assurant la mise en œuvre du vote, le régime juridique de ces
documents empêche leur communication. La garantie de la sécurité et de la rectitude des opérations est alors le fait
d’un tiers de confiance. Ainsi qu’elle en a fait part au commissaire du Gouvernement présent lors de sa séance, la
commission estime, par suite, qu’une réflexion pourrait être menée par le Gouvernement en la matière en vue de
ménager un équilibre plus juste entre la transparence administrative garantissant la confiance des citoyens, d’une part,
les droits et libertés d’autrui, qui incluent le secret des affaires et la propriété intellectuelle, d’autre part.
Commission d’accès aux documents administratifs (CADA)
3
Référence
20221575
Administration
Séance
21 avril 2022
Ministère de la transition écologique et de la cohésion des territoires
Type
Avis
Partie
III
Avis
Monsieur X a saisi la commission d'accès aux documents administratifs, par courrier enregistré à
son secrétariat le 9 mars 2022, à la suite du refus opposé par la ministre de la Transition écologique à sa demande de
communication, dans le cadre de sa paie du mois de décembre 2021, des éléments ou documents suivants :
1) le degré et le mode de contribution du traitement algorithmique à la prise de décision ayant conduit à l’ajout des
lignes suivantes sur la feuille de paye de l'intéressé du mois de décembre 2021 :
- « 201174 PRIME SERVICE ET RENDT / RAPPEL ANNEE COURAN 21 » ;
- « 201174 PRIME SERVICE ET RENDT / RAPPEL ANNEES ANTER 20 » ;
2) les données traitées et leurs sources ;
3) les paramètres de traitement et, le cas échéant, leur pondération, appliqués à la situation de l’intéressé ;
4) les opérations effectuées par le traitement.
La commission rappelle qu'aux termes de l'article L311-3-1 du code des relations entre le public et l'administration : «
Sous réserve de l'application du 2° de l'article L311-5, une décision individuelle prise sur le fondement d'un traitement
algorithmique comporte une mention explicite en informant l'intéressé. Les règles définissant ce traitement ainsi que les
principales caractéristiques de sa mise en œuvre sont communiquées par l'administration à l'intéressé s'il en fait la
demande. » et que l’article R311-3-1-2 du code des relations entre le public et l'administration, pris pour l'application de
cet article, dispose que doivent être communiquées les informations suivantes : le degré et le mode de contribution du
traitement algorithmique à la prise de décision, les données traitées et leurs sources, les paramètres et les opérations
du traitement et, le cas échéant, leur pondération, appliqués à la situation de l'intéressé, les opérations effectuées par le
traitement, et ce dans des termes intelligibles.
En réponse à la demande qui lui a été adressée, la ministre de la Transition écologique a indiqué à la commission que le
versement de primes à Monsieur X au titre des années 2020 et 2021 ne résulte pas de décisions individuelles prises sur
la base d'un traitement algorithmique mais, à l'instar de l'ensemble des fonctionnaires titulaires appartenant au corps
des ingénieurs des travaux géographiques et cartographiques de l'Etat, de « mouvements de paye » réalisés en masse
par la direction des ressources humaines dans l’application « RenoiRH », qui ont ensuite pu être pris en charge par la
direction générale des finances publiques, laquelle a mis en place des lignes de « rappels » dans l'application «
PAYSAGE ».
La commission ne peut, dès lors, que déclarer sans objet la demande d'avis.
Référence
20222028
Administration
Séance
12 mai 2022
Ministère de l'intérieur et des outre-mer
Type
Avis
Partie
III
Avis
Monsieur X a saisi la commission d'accès aux documents administratifs, par courrier enregistré à
son secrétariat le 21 mars 2022, à la suite du refus opposé par le ministre de l'Intérieur à sa demande de publication et
communication dans un format numérique ouvert et réutilisable, par téléchargement ou par envoi électronique, des
documents suivants se rapportant du code source du site « referendum.interieur.gouv.fr » :
1) le cahier des charges et directives de conception des sites web https://www.referendum.interieur.gouv.fr/ et
https://institu.referendum.interieur.gouv.fr/ ;
2) le journal de développement, détaillant les mise à jour effectuées, des sites web
https://www.referendum.interieur.gouv.fr et https://institu.referendum.interieur.gouv.fr ;
3) l’algorithme permettant de faire le comptage des soutiens publié par le Conseil constitutionnel (leur permettant de
publier un communiqué comme celui-ci : https://www.conseilconstitutionnel.fr/ac... de soutiens dans le cadre-de la
procédure du rip) ;
4) l’algorithme permettant de normaliser les noms de familles pour l’affichage de la liste publique
(https://www.referendum.interieur.gouv.fr...) ;
5) l’algorithme permettant de trier les noms par digramme (AA, AB, AC…) pour l’affichage de la liste publique
(https://www.referendum.interieur.gouv.fr) ;
6) l’algorithme d’interrogation de la liste électorale utilisé lors d’un dépôt d’un soutien
https://www.referendum.interieur.gouv.fr...) permettant de vérifier que le signataire est présent ou non sur les listes
électorales, ainsi qu’un échantillon de données factices permettant de tester cet algorithme ;
7) l’algorithme permettant la génération d’un numéro de récépissé utilisé lors du dépôt d’un soutien ou lors du dépôt
d’une réclamation sur le site https://www.referendum.interieur.gouv.fr ;
Commission d’accès aux documents administratifs (CADA)
4
8) le contrat commercial passé avec la société X permettant de sécuriser le site web
https://www.referendum.interieur.gouv.fr.
La commission relève que la présente saisine est similaire à une précédente saisine de Monsieur X ayant donné lieu à
un avis n° 20195276 du 2 avril 2020. En l'absence de réponse du ministre de l'intérieur à la date de sa séance et en
l'absence de tout élément nouveau porté à sa connaissance, el e ne peut que confirmer et réitérer le sens de cet avis.
La commission rappelle ainsi qu'el e estime tout d'abord que l'ensemble des documents produits ou détenus par le
ministère de l'intérieur pour la mise en oeuvre de la procédure de soutien d'une proposition de loi au titre du troisième
alinéa de l'article 11 de la Constitution », mis en œuvre, sous le contrôle du Conseil constitutionnel, par le ministre de
l'intérieur revêtent le caractère de documents administratifs. La commission constate ensuite que la loi organique n°
2013-1114 du 6 décembre 2013, dont le chapitre III a créé la procédure de recueil des soutiens, et le décret n° 2014-
1488 du 11 décembre 2014 pris pour son application ne prévoient pas de modalités de communication particulière. Ils
sont en conséquence soumis au droit d'accès régi par le livre III du code des relations entre le public et l'administration.
La commission rappelle que dans sa délibération n° 2014-465 du 20 novembre 2014 portant avis sur le projet de décret
relatif à ce traitement de données, la Commission nationale informatique et libertés a mis en exergue les spécificités de
la plateforme de vote électronique du référendum d'initiative populaire, dont l'intégrité technique doit garantir la
traçabilité des opérations et l'authenticité du recueil de soutiens, ainsi que la protection des données personnelles
relatives à l'identité des électeurs, la liste électorale nationale créée par le traitement regroupant potentiellement 4.5
millions de personnes.
La commission estime que le risque d'atteinte à l'intégrité d'une opération électorale de ce type est de nature à être
regardé comme composante du risque d'atteinte à la sécurité publique et de la sécurité des systèmes d'information
lorsqu'il s'agit d'une procédure de vote électronique, mentionné au d) du 2° de l'article L. 311-5 du code des relations
entre le public et l'administration justifiant que des restrictions soient apportées au droit d'accès aux documents
administratifs.
La commission rappelle que le caractère communicable d'un document, à l'exception de ceux mentionnés au 1° de
l'article L311-5 du code des relations entre le public et l'administration, ou d'un dossier s'apprécie au regard des pièces
et des mentions qu'il contient et de la possibilité, sans en dénaturer le sens ou la portée, d'occulter ou de disjoindre les
documents ou mentions qui ne sont pas communicables en application du 2° de l'article L311-5 et de l'article L311-6 du
même code.
Si le cahier des charges du dispositif de recueil des soutiens et le contrat commercial passé avec la société permettant
de sécuriser le site de recueil des soutiens comptent des informations relatives à la sûreté du fonctionnement de
l'application (performance, fiabilité et disponibilité), seules les mentions qui sont relatives à l'intégrité technique, la
traçabilité des opérations et l'authenticité du recueil de soutiens relèvent de la protection des systèmes d'information.
En outre, en ce qui concerne les algorithmes sollicités, si les communiquer les exposeraient potentiel ement à un risque
de piratage, la commission relève que certains sont assez éloignés du processus électoral lui-même ou n'ont pas de
rapport direct avec le risque, allégué par le ministre de l'Intérieur lors de l'instruction de l'avis du 2 avril 2020, d'un dépôt
massif de réclamations ou de saturation du processus d'instruction des réclamations.
Elle ajoute que, dans l'hypothèse où l'administration n'aurait pas elle-même développé ces algorithmes et n'en serait
pas propriétaire, que l'article L311-4 du code des relations entre le public et l'administration, qui reprend l'ancien article 9
de la loi du 17 juillet 1978 complété par la loi pour une République numérique, dispose que : « Les documents
administratifs sont communiqués ou publiés sous réserve des droits de propriété littéraire et artistique. » . Il en résulte
que lorsqu'un tiers détient des droits de propriété intellectuelle sur un document administratif en possession de
l'administration, cette dernière doit solliciter son autorisation avant de procéder à la communication du document, ainsi
qu'il ressort de l'avis n° 20180226, rendu par la commission dans sa séance du 17 mai 2018.
Elle ajoute également, à cet égard et dans cette hypothèse, qu’il résulte des dispositions de l’article L311-6 du code des
relations entre le public et l'administration, que le secret des affaires comprend le secret des procédés, des informations
économiques et financières et des stratégies commerciales ou industrielles. Il s’apprécie en tenant compte, le cas
échéant, du fait que la mission de service public est soumise à la concurrence, et eu égard à la définition donnée à
l’article L151-1 du code de commerce. Aux termes de cet article est protégée par le secret des affaires toute information
répondant aux critères suivants : « (…) 1° Elle n'est pas, en elle-même ou dans la configuration et l'assemblage exacts
de ses éléments, généralement connue ou aisément accessible pour les personnes familières de ce type d'informations
en raison de leur secteur d'activité ; 2° Elle revêt une valeur commerciale, effective ou potentielle, du fait de son
caractère secret ; 3° Elle fait l'objet de la part de son détenteur légitime de mesures de protection raisonnables, compte
tenu des circonstances, pour en conserver le caractère secret. ». Elle estime ainsi qu'un code source acquis auprès d'un
tiers ou élaboré par un prestataire peut, dans certains cas, relever de la protection du secret des affaires au titre du
secret des procédés et des savoir-faire (avis n° 20220816 du 31 mars 2022).
Commission d’accès aux documents administratifs (CADA)
5
Par suite, elle émet à un avis favorable à la demande, après occultation préalable des seuls documents ou mentions
dont la communication est susceptible, in concreto, de porter atteinte à la sécurité publique ou à la sécurité des
systèmes d'informations et, s'agissant du contrat commercial et, le cas échéant des algorithmes, du secret des affaires,
lequel comprend le secret des procédés, le secret des informations économiques et financières et le secret des
stratégies commerciales ou industrielles en application des dispositions des articles L311-1, L311-5 et L311-6 du code
des relations entre le public et l'administration, ainsi que de l'obtention de l'accord préalable d'un éventuel détenteur tiers
des droits de propriété intellectuelle.
Référence
20222085
Administration
Séance
12 mai 2022
Ministère de l'intérieur et des outre-mer
Type
Avis
Partie
III
Avis
Madame X a saisi la commission d'accès aux documents administratifs, par courrier enregistré à
son secrétariat le 29 mars 2022, à la suite du refus opposé par le ministre de l'Intérieur à sa demande de
communication, dans un format numérique ouvert et réutilisable, par téléchargement ou attachés à un courrier
électronique, dans le cadre d'une étude sur les systèmes d'aide à la décision appliquée aux politiques de sécurité en
France des documents relatifs au(x) progiciel(s) fourni(s) par la société X au ministère de l'intérieur, notamment :
1) les actes administratifs et décisions administratives liées à ce dispositif ;
2) les dossiers, rapports, études (dont les études d'impact), procès-verbaux de réunions afférents à ce dispositif ;
3) le nom exact du ou des logiciels fournis par X et leur imbrication avec d'autres logiciels ou systèmes techniques
fournis par d'autres prestataires ou développés en interne par le ministère ;
5) les manuels d’utilisation de ces systèmes ;
6) le code source du ou des logiciels utilisés ;
7) les informations générales sur :
a) les règles définissant les principaux traitements utilisés ;
b) le degré et le mode de contribution du traitement algorithmique à la prise de décision ;
c) les données traitées et leurs sources ;
d) les paramètres de traitement et leur pondération ;
8) les contrats et documents attenants aux éventuels marchés publics afférents à ce dispositif (notamment le CCTP, le
CCAP, le CCTG, le CCAG et leurs annexes ; les candidatures, en particulier l'offre technique de l'attributaire ainsi que
l'ensemble des pièces composant l'offre de l'entreprise retenue) ;
9) les correspondances portant sur ce dispositif avec d'autres organismes, à l'image de la Commission nationale
Informatique et Libertés (CNIL) ou du ministère de l'intérieur.
En réponse à la demande qui lui a été adressée, le ministre de l'intérieur a informé la commission de ce qu'aucun
marché public n'avait été conclu avec la société X, de sorte que la demande est sans objet. Si la commission ne peut
effectivement que déclarer sans objet le point 8) de la demande, elle comprend que cette dernière ne vise pas
nécessairement une relation de prestation de service mais tout document matérialisant le partenariat ou mentionné sur
le site internet de la société - sur lequel le ministère figure parmi les « partenaires institutionnels » - ou y faisant
référence. Elle estime donc que les autres points de la demande conservent leur objet, s'ils existent.
La commission estime que les documents visés aux points 1) à 5) sont des documents administratifs communicables à
toute personne qui en fait la demande, en application des dispositions des articles L311-1 et suivants du code des
relations entre le public et l'administration. Elle émet donc un avis favorable à leur communication, sous réserve de
l'occultation, le cas échéant, des mentions protégées par les articles L311-5 et L311-6 de ce code, notamment la
protection du secret des affaires, et s'agissant des documents visés au points 2) sous réserve également qu'ils ne
revêtent pas un caractère préparatoire.
S'agissant du point 6) de la demande, la commission rappelle que l'article L311-4 du code des relations entre le public et
l'administration, qui reprend l'ancien article 9 de la loi du 17 juillet 1978 complété par la loi pour une République
numérique, dispose que : « Les documents administratifs sont communiqués ou publiés sous réserve des droits de
propriété littéraire et artistique. » . Il en résulte que lorsqu'un tiers détient des droits de propriété intellectuelle sur un
document administratif en possession de l'administration, cette dernière doit sol iciter son autorisation avant de procéder
à la communication du document, ainsi qu'il ressort de l'avis n° 20180226, rendu par la commission dans sa séance du
17 mai 2018.
La commission estime par ailleurs que les codes sources des administrations devraient en principe être librement et
intégralement communicables à toute personne qui en fait la demande, en application de l’article L311-1 du code des
relations entre le public et l’administration. Si la sécurité des systèmes d’information ne devrait en principe pas pouvoir
être opposée aux fragments du code traduisant la mise en œuvre de l’algorithme, c’est-à-dire la manière dont sont
prises les décisions administratives, en revanche, les vulnérabilités des fragments du code décrivant techniquement
Commission d’accès aux documents administratifs (CADA)
6
l’ensemble des éléments déployés pour la sécurité et la gestion fonctionnelle de l’infrastructure sont vecteurs de risque
pour la sécurité des systèmes d’information. Sont en particulier visés les secrets cryptographiques et les éléments de
configuration des systèmes assurant la sécurité des systèmes informatiques utilisés, tels que ceux permettant de
sécuriser la transmission des données avec les serveurs de l’administration. La divulgation de ces éléments est de
nature à faciliter l’exploitation des failles de sécurité du système d’information développé et, par suite, à favoriser des
intrusions informatiques ou des situations dangereuses, telles que des contournements ou des interférences dans le
fonctionnement du système.
La commission constate donc qu’en pratique, la libre communication de l’intégralité des codes sources des
administrations est, à un instant donné, intrinsèquement liée à la qualité des systèmes d’information développés et des
codes sources correspondants. La commission estime, dès lors, que doivent être occultés ou disjoints avant toute
communication, en application du d) du 2° de l’article L311-5 du code des relations entre le public et l’administration, les
fragments du code décrivant techniquement l’ensemble des éléments déployés pour la sécurité et la gestion
fonctionnelle de l’infrastructure dans la mesure où ils sont vecteurs de risque pour la sécurité des système d’information.
Elle précise que cette réserve, par nature temporaire, les administrations devant se mettre en situation de respecter, le
cas échéant progressivement et en tout état de cause dans les meil eurs délais, l’article L311-1 du code des relations
entre le public et l’administration, doit être appréciée strictement, à partir d’éléments circonstanciés fournis par les
administrations.
La commission rappelle enfin, qu’il résulte des dispositions de l’article L311-6 du code des relations entre le public et
l'administration, que le secret des affaires comprend le secret des procédés, des informations économiques et
financières et des stratégies commerciales ou industrielles. Il s’apprécie en tenant compte, le cas échéant, du fait que la
mission de service public est soumise à la concurrence, et eu égard à la définition donnée à l’article L151-1 du code de
commerce. Aux termes de cet article est protégée par le secret des affaires toute information répondant aux critères
suivants : « (…) 1° Elle n'est pas, en elle-même ou dans la configuration et l'assemblage exacts de ses éléments,
généralement connue ou aisément accessible pour les personnes familières de ce type d'informations en raison de leur
secteur d'activité ; 2° Elle revêt une valeur commerciale, effective ou potentiel e, du fait de son caractère secret ; 3° Elle
fait l'objet de la part de son détenteur légitime de mesures de protection raisonnables, compte tenu des circonstances,
pour en conserver le caractère secret. ». Elle estime ainsi qu'un code source acquis auprès d'un tiers ou élaboré par un
prestataire peut, dans certains cas, relever de la protection du secret des affaires au titre du secret des procédés et des
savoir-faire (avis n° 20220816 du 31 mars 2022).
Elle émet donc, sous ces réserves, un avis favorable à la communication du code source du logiciel visé au point 6).
La commission estime ensuite que les documents visés au point 7) sont des documents administratifs communicables à
toute personne qui en fait la demande, sous réserve qu'ils existent ou qu'ils puissent être établis par un traitement
automatisé d'usage courant et sous réserve des éventuel es mentions protégées au titre des articles L311-5 et L311-6
du code des relations entre le public et l'administration.
En dernier lieu, la commission rappelle qu'il résulte des dispositions du chapitre IV de la loi du 6 janvier 1978 que les
documents soumis à la CNIL par les responsables de traitements, dans le cadre des procédures de déclaration ou
d'autorisation prévues par cette loi dans sa rédaction en vigueur à la date des traitements concernés, font l'objet d'un
régime particulier de communication, qui échappe au champ d'application du livre III du code des relations entre le
public et l’administration (avis n° 20103832, du 14 octobre 2010, de partie II). L'article L342-2 de ce code n'ayant pas
étendu ses compétences à ce régime, la commission se déclare, en l’espèce, incompétente pour se prononcer dans
cette mesure, sur le point 9) de la demande.
Elle relève que la formulation de la demande ne lui permet pas d’identifier les documents dont la communication ne
serait pas régie exclusivement par la loi du 6 janvier 1978 et qui seraient, par suite, soumis au droit d'accès prévu par le
livre III du code des relations entre le public et l'administration. Elle émet donc, sous cette réserve et sous réserve que
ces documents ne revêtent pas un caractère préparatoire, un avis favorable, dans cette mesure, sur ce dernier point.
Référence
20223388
Administration
Séance
07 juillet 2022
URSSAF Centre-Val de Loire (URSSAF 21)
Type
Avis
Partie
III
Avis
Monsieur X a saisi la Commission d'accès aux documents administratifs, par courrier enregistré à
son secrétariat le 19 mai 2022, à la suite du refus opposé par le directeur de l'URSSAF Centre-Val de Loire à sa
demande de communication des documents suivants :
1) le code source du logiciel ayant permis de calculer les cotisations subsidiaires maladie (CSM) des années 2018 et
Commission d’accès aux documents administratifs (CADA)
7
2019 ;
2) le document qui décrit la procédure interne qui permet aux agents de savoir comment établir et envoyer une mise en
demeure prévue par l'article L247.2 du code de la sécurité sociale.
En réponse à la demande qui lui a été adressée, le directeur de l'URSSAF Centre-Val de Loire a informé la commission
de ce que deux programmes répondant au point 1) de la demande ont été communiqués à Monsieur X par courriel du
30 juin 2022, dont il joint une copie. La commission ne peut que déclarer sans objet la demande sur ce point.
Le directeur de l'URSSAF Centre-Val de Loire a également informé la commission de ce que l’article du code de la
sécurité sociale mentionné au point 2) de la demande n’existe pas et que, dès lors, la demande est trop imprécise pour
permettre de déterminer le document souhaité. La commission en prend acte et ne peut que déclarer irrecevable le
point 2) de la demande.
Elle relève néanmoins, à toutes fins utiles, des observations produites par l'administration que si les mises en demeure
visées sont en réalité celles prévues par l’article L244-2 du code de la sécurité sociale, celles-ci sont établies sur un
produit national et envoyées automatiquement selon un cadencement informatique de sorte qu'à ce jour aucune
procédure de travail interne finalisée qui décrit l’établissement et l’envoi de mise en demeure par les agents n'existe, et
que le point 2) de la demande serait alors sans objet.
Référence
20224078
Administration
Séance
08 septembre 2022
Agence de l'environnement et de la maîtrise de l'énergie (ADEME)
Type
Conseil
Partie
III
Avis
La Commission d'accès aux documents administratifs a examiné dans sa séance du 8 septembre
2022 votre demande de conseil relative au caractère public de la « matrice des coûts » que doivent remplir toutes les
collectivités de France à compétence collecte et/ou traitement des déchets.
La Commission comprend des différents éléments de votre demande que la matrice des coûts est un outil d’aide à la
décision et de pilotage du service public de gestion des déchets gratuitement mis à disposition des collectivités afin de
leur permettre de dresser un bilan de leur service déchets selon une approche de contrôle de gestion.
La Commission constate ensuite que l’ADEME est un établissement public à caractère industriel et commercial placé
sous tutel e conjointe du ministère de l’Environnement, de l’Énergie et de la Mer et du ministère de l’Éducation nationale,
de l’Enseignement supérieur et de la Recherche qui doit, conformément aux dispositions de l’article L131-3 du code de
l’environnement, réaliser des actions, notamment d'orientation et d'animation de la recherche, de prestation de services,
d'information et d'incitation dans les domaines suivants :
1° la prévention et la lutte contre la pollution de l'air ;
2° la prévention de la production de déchets, dont la lutte contre le gaspillage alimentaire ; la gestion des déchets ; la
transition vers l'économie circulaire ; la protection des sols et la remise en état des sites pollués ;
3° le réaménagement et la surveillance d'une installation de stockage de déchets ultimes autorisée après le 14 juillet
1992, lorsque ces opérations sont rendues nécessaires du fait d'une défaillance ou d'une insuffisance des garanties de
l'exploitant ;
4° la réalisation d'économies d'énergie et de matières premières et le développement des énergies renouvelables,
notamment d'origine végétale ;
5° le développement des technologies propres et économes ;
6° la lutte contre les nuisances sonores.
Elle vous rappelle que, dans un avis du 8 janvier 2015 (n° 20144578) relatif au code source du logiciel simulant le calcul
de l'impôt sur les revenus des personnes physiques développé par la direction générale des impôts, elle a estimé, après
avoir rappelé qu’un code source est un programme informatique contenant les instructions devant être exécutées par un
micro-processeur, que les fichiers informatiques constituant le programme sollicité en l’espèce, produits par
l’administration dans le cadre de sa mission de service public, revêtaient le caractère de documents administratifs au
sens de l’article L300-2 du code des relations entre le public et l’administration.
Elle estime en l'espèce que la matrice mise au point par l’ADEME dans le cadre de la mission de service public qui lui
est confiée par l'article L.131-3 du code de l'environnement, est un document administratif communicable à toute
personne qui en fait la demande, sur le fondement de l’article L311-1 du code des relations entre le public et
l'administration. Elle relève qu'aucune des informations figurant dans cette matrice, qu'elle soit renseignée ou non, ne
relève a priori d'un secret protégé par les dispositions des articles L311-5 et 6 du même code.
Elle en déduit, par suite, que rien ne paraît s'opposer à la communication de ces fichiers.
Commission d’accès aux documents administratifs (CADA)
8
Référence
20224309
Administration
Séance
08 septembre 2022
Caisse nationale des allocations familiales (CNAF)
Type
Avis
Partie
III
Avis
Monsieur X, pour X, a saisi la commission d'accès aux documents administratifs, par courrier
enregistré à son secrétariat le 8 juillet 2022, à la suite du refus opposé par le directeur général de la caisse nationale
des allocations familiales (CNAF) à sa demande de communication, dans le cadre d'une enquête collaborative
transnationale sur l’utilisation des logiciels d'algorithmes au sein des services publics de protection sociale et l'utilisation
depuis 2018, par la CNAF, d'un modèle algorithmique, basé sur la technique du « data mining », appellé le « MDR
SCORE DATA MINING » pour évaluer le risque de fraudes et attribuer à chacun des bénéficiaire de la CNAF un score
mesurant ce risque, ce modèle analysant les données personnelles des bénéficiaires pour produire, à partir de
différentes variables, différemment pondérées, un score de risque de fraude, de toute documentation technique
(brochure, powerpoint, manuel d’utilisation) qu’elle détient à ce sujet et notamment les documents suivants :
1) tous les documents exploratoires, concernant l’utilisation de ce modèle « MDR SCORE DATA MINING » : tous les
manuels, présentations powerpoints, notes présentant le modèle de « data mining » utilisé par la CNAF pour évaluer les
risques de fraudes au prestations sociales ou de paiements excédentaires ;
2) tous les documents qui se rapportent/ou contiennent les variables utilisées dans ce modèle « MDR SCORE DATA
MINING » pour calculer les scores de risques ainsi que leur pondération dans le modèle ;
3) tous les documents qui font référence à la courbe « ROC » ou toute autre évaluation/validation interne de la
performance et de la précision du modèle « MDR SCORE DATA MINING » utilisé par la CNAF ;
4) les statistiques depuis 2018, décrivant :
a) le nombre de bénéficiaires ayant été signalés par l’entremise du modèle « MDR SCORE DATA MINING » ;
b) le nombre de bénéficiaires dont les versements ont été suspendus, retirés ou ajustés après avoir été signalés par ce
logiciel ;
5) tous les documents produits par l’utilisation de modèle de « data mining », développé par la CNAF, pour pour prédire
les fraudes aux prestations sociales.
En l’absence de réponse exprimée par le directeur général de la CNAF à la date de sa séance, la commission estime
que la communication des documents établis par la caisse, exposant le processus automatique d'extractions
d'informations à travers l'exploitation de données par des méthodes statistiques et mathématiques, dit « Datamining »,
utilisé pour mettre au jour et combattre les tentatives de fraude ainsi que les erreurs, de même que les éléments
statistiques relatifs à la mise en œuvre de ce processus, à supposer qu'ils existent ou sont susceptibles d’être obtenus
par un traitement automatisé d’usage, serait de nature à porter atteinte à la recherche et à la prévention, par les
services compétents, d'infractions de toute nature, au sens et pour l'application du g) du 2° de l'article L311-5 du code
des relations entre le public et l'administration.
Elle émet, dès lors, un avis défavorable.
Référence
20225787
Administration
Séance
15 décembre 2022
Caisse nationale des allocations familiales (CNAF)
Type
Conseil
Partie
I
Avis
La commission d'accès aux documents administratifs a examiné lors de sa séance du 15 décembre
2022 votre demande de conseil relative à la communication de documents relatifs à l'algorithme de calcul du score de
risque utilisé par la caisse nationale des al ocations familiales (CNAF) dans le cadre de sa politique de contrôle.
La commission relève, à titre liminaire, qu’en réponse à une première demande de communication, la CNAF a transmis
à X le code source du logiciel actuellement utilisé, occulté des éléments dont la divulgation serait de nature à porter
atteinte à la recherche et à la prévention, par les services compétents, d'infractions de toute nature, au sens et pour
l'application du g) du 2° de l'article L311-5 du code des relations entre le public et l'administration. La commission déduit
de la nouvelle demande de communication présentée ultérieurement ainsi que de sa saisine que cette transmission ne
satisfait pas X, eu égard aux occultations auxquelles la CNAF a procédé.
La commission constate que la demande de conseil porte sur le caractère communicable des documents sol icités en
dernier lieu par X. Cette demande a été examinée à la même séance dans son avis de partie I n° 20226179, dont elle
rappel era la portée et auquel elle ne peut que renvoyer.
Commission d’accès aux documents administratifs (CADA)
9
1. Communication du détail de la formule du calcul du score de risque, c’est à dire la nature des variables utilisées et les
coefficients associés :
Dans son avis n° 20226179, la commission a analysé la demande de X comme tendant à la communication des fichiers
informatiques constituant la partie finale du code source du traitement mis en œuvre par la CNAF afin de détecter les
dossiers des allocataires présentant les plus forts risques d’indus proposés en priorité pour un contrôle ultérieur. Ces
éléments correspondent en effet à la liste des variables utilisées et à leur pondération, dont la combinaison fournit le
détail de la formule de calcul du score de risque du modèle de datamining.
Elle a relevé, dans son avis, que la communication de l’algorithme de l’outil de datamining permettant d’attribuer un
score de risque aux dossiers allocataires reviendrait à dévoiler les variables prises en compte à ce titre ainsi que les
coefficients associés et se traduirait en conséquence par la divulgation des critères retenus pour cibler les contrôles
réalisés dans l’ensemble de la branche famille par les caisses d’al ocations familiales (CAF). Elle a estimé que le risque
de développement de la fraude individuelle et surtout organisée à enjeux, s’attachant à la divulgation de ces éléments,
évoqué par les représentants de la CNAF dans leurs observations écrites et lors de leur audition à la séance du 15
décembre 2022, présente un caractère suffisant de vraisemblance pour être tenu pour acquis.
Elle a toutefois opéré une distinction entre, d’une part, les variables et les coefficients du modèle de datamining actuel et
d’autre part, ceux se rapportant aux versions antérieures du modèle en estimant que si les premiers sont au nombre des
éléments dont la divulgation porterait effectivement atteinte à la politique de lutte contre la fraude sociale mise en œuvre
par la CNAF ainsi que plus généralement, à l’efficacité des contrôles, il n’en est pas de même des seconds, utilisés
dans les modèles antérieurs et sur le fondement desquels ne reposent plus les contrôles actuels et à venir.
Au regard de ce qui précède, la commission a estimé, s’agissant du modèle actuellement utilisé, que doivent être
occultés, au titre de la réserve prévue par le g) du 2° de l’article L311-5 du code des relations entre le public et
l’administration, la liste des variables de l’algorithme de calcul du score de risque et leurs coefficients associés. En
supposant que la demande de X soit analysée par la CNAF comme tendant à la communication de l’intégralité du code
source, comme le suggère la demande de conseil, elle précise que devrait alors également être occulté l’ensemble des
fragments du code source qui révéleraient la nature ou la méthode de construction des variables utilisées. Elle
considère, en revanche, que les fichiers informatiques se rapportant aux précédentes versions de l’algorithme sont
désormais intégralement communicables.
2. Communication des documents échangés avec la CNIL :
La commission relève que la demande de conseil porte sur le caractère communicable des fiches de traitement RGPD
et des analyses d’impact relatives à la protection des données (AIPD) en lien avec les traitements mis en œuvre par la
CNAF dans le cadre de sa politique de lutte contre la fraude ainsi que, plus généralement, des documents échangés
avec la CNIL.
La commission rappelle, en premier lieu, que les documents soumis à la CNIL par les responsables de traitements dans
le cadre des formalités préalables prévues par le chapitre IV de la loi du 6 janvier 1978, de même que les décisions
prises par cette commission au terme de ces procédures, font l'objet d'un régime particulier de communication, qui
échappe au champ d'application du livre III du code des relations entre le public et l’administration. Les documents qui
ne sont pas échangés avec la CNIL dans le cadre de ces formalités préalables constituent en revanche des documents
administratifs entrant dans le champ d'application du livre III du code des relations entre le public et l’administration.
La commission rappelle, en deuxième lieu, que l'article 30 du règlement (UE) 2016/679 du Parlement européen et du
Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère
personnel et à la libre circulation de ces données, dit règlement général sur la protection des données (RGPD), prévoit
que chaque responsable d'un traitement de données à caractère personnel et, le cas échéant, son représentant,
tiennent, sous forme écrite, y compris électronique, un registre des activités de traitement effectuées sous leur
responsabilité.
Ce registre précise notamment, pour chaque traitement sous la forme d’une fiche, le nom et les coordonnées du
responsable du traitement, les finalités du traitement, une description des catégories de personnes concernées et des
catégories de données à caractère personnel, les catégories de destinataires auxquels les données à caractère
personnel ont été ou seront communiquées, ou encore, dans la mesure du possible, les délais prévus pour l'effacement
des différentes catégories de données. Le 4. de l'article 30 du RGPD prévoit que le registre est mis à disposition de
l’autorité de contrôle sur demande. Il résulte en outre du 5. du même article que l'obligation de tenir un tel registre
s'impose de manière générale aux entreprises et organisations comptant au moins 250 employés. Elle peut également
s'appliquer aux entreprises et organisations de taille moindre, en fonction de la nature des traitements de données à
caractère personnel qu'elles réalisent.
La commission en déduit qu'un tel registre est un document de recensement et d’analyse permettant de documenter les
traitements qu'une organisation soumise à sa tenue applique aux données personnelles qu'elle collecte.
Commission d’accès aux documents administratifs (CADA)
10
Au regard de ces éléments, la commission estime que le registre des activités de traitement tenu par une administration
en application de l'article 30 du RGPD, en ce compris les fiches de traitement qui le composent, est un document
administratif communicable à toute personne qui en fait la demande, en application de l'article L311-1 du code des
relations entre le public et l'administration, après occultation, le cas échéant, de toute information dont la divulgation
pourrait porter atteinte aux secrets protégés par la loi.
La commission précise, en troisième et dernier lieu, qu'elle a déduit des dispositions des articles 35 du RGPD et 90 de
la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés qu’une analyse d’impact relative à la
protection des données, portant sur un traitement mis en œuvre par ou pour le compte de l’une des personnes visées à
l’article L300-2 du code des relations entre le public et l’administration, constituait un document administratif au sens de
cet article, communicable par cette autorité administrative à toute personne qui en fait la demande sur le fondement du
code des relations entre le public et l’administration en application de l’article L311-1 du code des relations entre le
public et l’administration, sous les réserves prévues par les articles L311-5 et L311-6 du même code (avis n° 20183041
du 8 novembre 2018).
En application de ces principes, la commission estime que les documents sur lesquels vous l’interrogez, à condition
qu’ils n’aient pas été transmis à la CNIL dans le cadre des formalités préalables prévues par le chapitre IV de la loi du 6
janvier 1978, constituent des documents administratifs librement communicables à toute personne qui en fait la
demande, en application de l’article L311-1 du code des relations entre le public et l’administration, sous les réserves
prévues par les articles L311-5 et L311-6 et le cas échéant dans les conditions prévues à l'article L311-7 du même code.
En application de ces dispositions, doivent notamment être disjointes ou occultées, sauf à ce que ces disjonctions ou
occultations privent d'intérêt la communication de ces documents, les mentions dont la communication porterait atteinte
à la sécurité des systèmes d’information et à la protection de la vie privée. La commission rappelle que toutes les
données à caractère personnel ne sont pas nécessairement couvertes par le secret de la vie privée, au sens des
dispositions précitées. Elle considère en particulier que le nom des agents publics n’a, en principe, pas à faire l’objet
d'une occultation. Eu égard à l’objet des traitements concernés, doivent également être occultées, en l’espèce, les
éventuelles mentions qui porteraient atteinte à la recherche et à la prévention, par les services compétents, d’infractions
de toute nature. Cette réserve devant être appréciée conformément aux principes ci-dessus rappelés.
Référence
20226179
Administration
Séance
15 décembre 2022
Caisse nationale des allocations familiales (CNAF)
Type
Avis
Partie
I
Avis
Madame X, pour X, a saisi la Commission d'accès aux documents administratifs, par courrier
enregistré à son secrétariat le 10 octobre 2022, à la suite du refus opposé par le directeur général de la caisse nationale
des allocations familiales (CNAF) à sa demande de communication des documents suivants relatifs à « l'algorithme de
scoring (profilage) utilisé par la CNAF dans le cadre de sa politique de contrôle » :
1) le détail de la formule du calcul du score de risque, c’est à dire la nature des variables utilisées et les coefficients
associés ;
2) les précédentes versions de l’algorithme ;
3) l'intégralité des courriers échangés avec la CNIL concernant cet algorithme.
1. Sur la communication des documents mentionnés aux points 1) et 2) de la demande :
La commission comprend que la demande porte sur les fichiers informatiques constituant la partie finale du code source
du traitement de données à caractère personnel mis en œuvre par la CNAF afin de détecter les dossiers des
allocataires présentant les plus forts risques d’indus proposés en priorité pour un contrôle ultérieur. Ces éléments, qui
ont été portés à sa connaissance, correspondent à la liste des variables utilisées et à leur pondération, dont la
combinaison fournit le détail de la formule de calcul du score de risque du modèle de datamining.
La commission relève que les documents sollicités ont été produits par la CNAF dans le cadre de sa mission de service
public. Ils revêtent, dès lors, le caractère de document administratif au sens de l'article L300-2 du code des relations
entre le public et l’administration (avis de partie II, n° 20144578, du 8 janvier 2015 ; avis n° 20161989, du 23 juin 2016).
La commission précise, ensuite, que la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique a renforcé
la transparence de l’action publique, d’une part, en créant au profit des personnes faisant l’objet d’une décision
administrative individuelle prise sur le fondement d’un traitement algorithmique, un droit d’accès aux règles définissant
ce traitement et aux principales caractéristiques de sa mise en œuvre (article L311-3-1 du code des relations entre le
Commission d’accès aux documents administratifs (CADA)
11
public et l’administration) et, d’autre part, en imposant aux administrations de publier en ligne les règles gouvernant les
principaux traitements algorithmiques utilisés dans l’accomplissement de leurs missions, lorsqu’ils fondent des décisions
individuelles (article L312-1-3 du code des relations entre le public et l’administration). La commission relève, toutefois,
que ces dispositions concernent uniquement les traitements algorithmiques fondant des décisions individuelles et ne
consacrent pas un droit d’accès à l’algorithme lui-même, mais seulement à certaines informations le concernant, qui
sont précisées à l’article R311-3-1-2 du code précité. En outre, ces obligations s’exercent dans la limite des secrets
protégés au 2° de l’article L311-5 du code des relations entre le public et l’administration.
La commission précise, à cet égard, que le g) du 2° de l’article L311-5 exclut du droit à communication les documents
administratifs dont la consultation ou la communication porterait atteinte à la recherche et à la prévention, par les
services compétents, d'infractions de toute nature.
Il ressort de la jurisprudence du Conseil d’État rendue en matière fiscale, que sont notamment couvertes par cette
réserve les mentions relatives aux critères retenus par l'administration pour sélectionner les dossiers afin d’entreprendre
des opérations de contrôle (CE, 12 octobre 1992, n° 100036). Par ail eurs, il résulte des travaux parlementaires attachés
à la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique, que la réserve prévue par le g) du 2° de
l’article L311-5 du code des relations entre le public et l’administration concerne désormais toutes les procédures
répressives, qu’il s’agisse des procédures pénales ou des procédures administratives susceptibles de conduire au
prononcé d’une sanction, ou encore des procédures de sanction en matière disciplinaire. Comme elle l’a fait dans son
avis de partie II, n° 20215795, du 16 décembre 2021, la commission précise que cette exception a pour objet de
préserver, en toute hypothèse, l’efficacité des contrôles, de sorte qu’il n’y a pas lieu de différencier selon la plus ou
moins grande sophistication des méthodes employées, ni selon que le document met en cause la recherche d’une
infraction donnée ou pourrait de manière générale porter atteinte au contrôle de l’application d’une législation. La
commission déduit de ce qui précède que la solution dégagée par le Conseil d’État est transposable à la politique de
contrôle mise en œuvre par la CNAF afin de détecter des situations d’indu, frauduleux ou non, et dans une moindre
mesure de rappel, du fait d’erreurs affectant les données déclaratives des dossiers des allocataires.
En l’espèce, la commission relève que la communication de l’algorithme de l’outil de datamining permettant d’attribuer
un score de risque aux dossiers allocataires reviendrait à dévoiler les variables prises en compte à ce titre ainsi que les
coefficients associés et se traduirait en conséquence par la divulgation des critères retenus pour cibler les contrôles
réalisés dans l’ensemble de la branche famille par les caisses d’al ocations familiales (CAF). Dans leurs observations
écrites et lors de leur audition par la CADA à la séance du 15 décembre 2022, les représentants de la CNAF ont indiqué
que dans la mesure où les prestations sociales sont versées sur une base déclarative, cette communication pourrait
inciter certains allocataires à minimiser leur score de risque afin d’éviter un contrôle. En outre et surtout, ils craignent
qu’elle favorise un système de fraude organisée à enjeux. La commission prend note de ces risques qui présentent un
caractère suffisant de vraisemblance pour être tenus pour acquis.
Elle considère, toutefois, qu’une distinction doit être opérée entre, d’une part, les variables et les coefficients du modèle
de datamining actuel et d’autre part, ceux se rapportant aux versions antérieures du modèle. Elle estime, en effet, que si
les premiers sont au nombre des éléments dont la divulgation porterait atteinte à la politique de lutte contre la fraude
sociale mise en œuvre par la CNAF ainsi que plus généralement, à l’efficacité des contrôles, il n’en est pas de même
des seconds, utilisés dans les modèles qui ne sont plus en vigueur et sur le fondement desquels ne reposent pas les
contrôles actuels et à venir.
La commission estime, dès lors, que la communication du détail de la formule du calcul du score de risque mentionné
au point 1) est de nature à porter atteinte à la recherche et à la prévention, par les services compétents, d'infractions de
toute nature, au sens et pour l'application du g) du 2° de l'article L311-5 du code des relations entre le public et
l'administration. Elle émet donc un avis défavorable sur ce point. Elle émet, en revanche, un avis favorable à la
demande en son point 2).
2. Sur la communication des documents mentionnés au point 3) de la demande :
En l’espèce, la commission rappelle que les documents soumis à la CNIL par les responsables de traitements dans le
cadre des formalités préalables prévues par le chapitre IV de la loi du 6 janvier 1978, de même que les décisions prises
par cette commission au terme de ces procédures, font l'objet d'un régime particulier de communication, qui échappe au
champ d'application du livre III du code des relations entre le public et l’administration.
Les documents qui ne sont pas échangés avec la CNIL dans le cadre des formalités préalables prévues par le chapitre
IV de la loi du 6 janvier 1978 constituent en revanche des documents administratifs communicables à toute personne
qui en fait la demande, sous réserve de l'occultation préalable des mentions protégées par les dispositions des articles
L311-5 et L311 6 du code des relations entre le public et l'administration.
La commission émet, sous ces réserves et dans cette seule mesure, un avis favorable à la demande. L'article L342-2 du
code des relations entre le public et l’administration n'ayant pas étendu ses compétences au régime d’accès prévu par
la loi du 6 janvier 1978, elle ne pourrait en revanche que se déclarer incompétente pour le surplus.
Commission d’accès aux documents administratifs (CADA)
12
Référence
20226572
Administration
Séance
24 novembre 2022
Rectorat de l'académie de Paris (AC 75)
Type
Avis
Partie
III
Avis
Monsieur X a saisi la Commission d'accès aux documents administratifs, par courrier enregistré à
son secrétariat le 22 octobre 2022, à la suite du refus opposé par le recteur de l'académie de Paris à sa demande de
communication des éléments suivants ayant trait au traitement des demandes présentées par son fils, Alexandre X,
dans le cadre de la campagne d'affectation « AFFELNET LYCEE 2022 » :
1) les règles définissant ce traitement et les principales caractéristiques de sa mise en œuvre ;
2) le degré et le mode de contribution du traitement algorithmique à la prise de décision ;
3) les données traitées et leurs sources ;
4) les paramètres de traitement et leur pondération, appliqués à la situation de son fils, en particulier les seuils
permettant l'affectation aux lycées Henri IV et Louis-le-grand ;
5) les opération effectuées par le traitement ;
6) les données à caractère personnel faisant l'objet d'un traitement ;
7) la fiche barème de son fils résultant du traitement AFFELNET.
En l'absence de réponse du recteur de l'académie de Paris à la date de sa séance, la Commission rappelle qu'aux
termes de l'article L311-3-1 du code des relations entre le public et l'administration, sous réserve des secrets protégés
en application du 2° de l'article L311-5 du même code, : « (...) une décision individuelle prise sur le fondement d'un
traitement algorithmique comporte une mention explicite en informant l'intéressé. Les règles définissant ce traitement
ainsi que les principales caractéristiques de sa mise en œuvre sont communiquées par l'administration à l'intéressé s'il
en fait la demande ».
En l''espèce, la Commission considère que la demande doit être regardée comme tendant, sur le fondement des
dispositions précitées, à la communication des règles définissant le traitement AFFELNET ainsi que les principales
caractéristiques de sa mise en œuvre. Elle estime dès lors que Monsieur X est fondé à obtenir, en application des
articles L311-3-1, R311-3-1 et R311-3-2 du code des relations entre le public et l'administration et sous une forme
intelligible, communication du degré et du mode de contribution du traitement algorithmique à la prise de décision, des
données traitées et de leurs sources, des paramètres de traitement et, le cas échéant, de leur pondération, appliqués à
la situation de son fils, ainsi que des opérations effectuées par le traitement. La Commission émet ainsi un avis
favorable.
Référence
20226654
Administration
Séance
24 novembre 2022
Ministère de l'éducation nationale et de la jeunesse
Type
Avis
Partie
III
Avis
Monsieur X a saisi la commission d'accès aux documents administratifs, par courrier enregistré à
son secrétariat le 26 octobre 2022, à la suite du refus opposé par le ministre de l'éducation nationale et de la jeunesse à
sa demande de communication du code source de l’outil calculette de classement des maîtres de conférences.
La commission, qui a pris connaissance des observations du ministre de l'éducation nationale et de la jeunesse,
rappel e qu’aux termes de l'article L300-2 du code des relations entre le public et l'administration, dans sa version issue
de l'article 2 de la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique : « Sont considérés comme
documents administratifs (...) les documents produits ou reçus, dans le cadre de leur mission de service public, par
l'État, les collectivités territoriales ainsi que par les autres personnes de droit public ou les personnes de droit privé
chargées d'une telle mission. Constituent de tels documents notamment les (...) codes sources (...) », définis comme les
programmes informatiques contenant les instructions devant être exécutées par un micro-processeur.
La commission rappelle également que l'article L311-4 du code des relations entre le public et l'administration, qui
reprend l'ancien article 9 de la loi du 17 juillet 1978 complété par la loi pour une République numérique, dispose que : «
Les documents administratifs sont communiqués ou publiés sous réserve des droits de propriété littéraire et artistique. »
. Il en résulte que lorsqu'un tiers détient des droits de propriété intellectuelle sur un document administratif en
possession de l'administration, cette dernière doit solliciter son autorisation avant de procéder à la communication du
document, ainsi qu'il ressort de l'avis n° 20180226, rendu par la commission dans sa séance du 17 mai 2018.
Commission d’accès aux documents administratifs (CADA)
13
La commission estime par ailleurs que les codes sources des administrations devraient en principe être librement et
intégralement communicables à toute personne qui en fait la demande, en application de l’article L311-1 du code des
relations entre le public et l’administration. Si la sécurité des systèmes d’information ne devrait en principe pas pouvoir
être opposée aux fragments du code traduisant la mise en œuvre de l’algorithme, c’est-à-dire la manière dont sont
prises les décisions administratives, en revanche, les vulnérabilités des fragments du code décrivant techniquement
l’ensemble des éléments déployés pour la sécurité et la gestion fonctionnelle de l’infrastructure sont vecteurs de risque
pour la sécurité des systèmes d’information. Sont en particulier visés les secrets cryptographiques et les éléments de
configuration des systèmes assurant la sécurité des systèmes informatiques utilisés, tels que ceux permettant de
sécuriser la transmission des données avec les serveurs de l’administration. La divulgation de ces éléments est de
nature à faciliter l’exploitation des failles de sécurité du système d’information développé et, par suite, à favoriser des
intrusions informatiques ou des situations dangereuses, telles que des contournements ou des interférences dans le
fonctionnement du système.
La commission constate donc qu’en pratique, la libre communication de l’intégralité des codes sources des
administrations est, à un instant donné, intrinsèquement liée à la qualité des systèmes d’information développés et des
codes sources correspondants. La commission estime, dès lors, que doivent être occultés ou disjoints avant toute
communication, en application du d) du 2° de l’article L311-5 du code des relations entre le public et l’administration, les
fragments du code décrivant techniquement l’ensemble des éléments déployés pour la sécurité et la gestion
fonctionnelle de l’infrastructure dans la mesure où ils sont vecteurs de risque pour la sécurité des système d’information.
Elle précise que cette réserve, par nature temporaire, les administrations devant se mettre en situation de respecter, le
cas échéant progressivement et en tout état de cause dans les meil eurs délais, l’article L311-1 du code des relations
entre le public et l’administration, doit être appréciée strictement, à partir d’éléments circonstanciés fournis par les
administrations.
La commission rappelle enfin, qu’il résulte des dispositions de l’article L311-6 du code des relations entre le public et
l'administration, que le secret des affaires comprend le secret des procédés, des informations économiques et
financières et des stratégies commerciales ou industrielles. Il s’apprécie en tenant compte, le cas échéant, du fait que la
mission de service public est soumise à la concurrence.
Elle estime qu'un code source acquis auprès d'un tiers ou élaboré par un prestataire peut, dans certains cas, relever de
la protection du secret des affaires au titre du secret des procédés et des savoir-faire (avis n° 20220816 du 31 mars
2022), notamment lorsque les mentions concernées révèlent, par leur nature et leur degré de précision, des
informations relevant du secret de ses procédés et de ses savoir-faire.
La commission, qui prend note de l'intention du ministre de l'éducation nationale et de la jeunesse de communiquer
prochainement le document sollicité, émet donc, sous ces réserves, un avis favorable.
Référence
20227374
Administration
Séance
12 janvier 2023
Ministère de la Justice
Type
Avis
Partie
III
Avis
Monsieur X, pour le média spécialisé « Acteurs Publics », a saisi la Commission d'accès aux
documents administratifs, par courrier enregistré à son secrétariat le 30 novembre 2022, à la suite du refus opposé par
le garde des sceaux, ministre de la justice à sa demande de communication, dans un format numérique, ouvert et
réutilisable, par indication de l'adresse de téléchargement ou par envoi en pièce jointe, du bilan de l'expérimentation de
l'algorithme « DataJust » prévue par le décret n° 2020-356 du 27 mars 2020, pour une durée de deux ans.
La Commission relève que le décret n° 2020-356 du 27 mars 2020 a prévu qu'à titre expérimental, pour une durée de
deux ans, le garde des sceaux, ministre de la justice, a été autorisé à mettre en œuvre un traitement automatisé de
données à caractère personnel, dénommé « DataJust », ayant pour finalité le développement d'un algorithme devant
servir la réalisation d'évaluations rétrospectives et prospectives des politiques publiques en matière de responsabilité
civile ou administrative, l'élaboration d'un référentiel indicatif d'indemnisation des préjudices corporels ainsi que
l'information des parties et l'aide à l'évaluation du montant de l'indemnisation à laquel e les victimes peuvent prétendre
afin de favoriser un règlement amiable des litiges et l'information ou la documentation des juges appelés à statuer sur
des demandes d'indemnisation des préjudices corporels. A ces fins, l'algorithme recense les montants demandés et
offerts par les parties, les évaluations proposées dans le cadre de procédures de règlement amiable des litiges et les
montants alloués aux victimes pour chaque type de préjudice dont la teneur est détaillée au 3° de l'article 2 du décret,
ainsi que les données et informations mentionnées à cet article.
Elle observe également que, dans sa délibération n° 202 -
0 002 du 9 janvier 2020 portant avis sur un projet de décret en
Conseil d’État portant création d'un traitement automatisé de données à caractère personnel dénommé « DataJust », la
Commission d’accès aux documents administratifs (CADA)
14
Commission nationale de l'informatique et des libertés a demandé que, dans la mesure où, à terme, le ministère
entendait instituer de manière pérenne un tel dispositif, un bilan lui soit transmis, comportant les informations suivantes :
des éléments d’appréciation portant sur la présence d’éventuels biais de l’algorithme identifiés et les correctifs
envisagés et/ou appliqués en conséquence ; la liste précise des catégories de données et informations identifiées
comme nécessaires au regard des finalités du traitement DataJust ainsi que la nature des données auxquel es chaque
catégorie de destinataires pourra accéder ; la description des processus de pseudonymisation supplémentaires qui
seront appliqués.
La Commission considère que les documents élaborés dans ce cadre, notamment un éventuel bilan de
l'expérimentation menée par le ministère de la justice, constituent en principe des documents administratifs
communicables à toute personne qui en fait la demande, en application de l'article L311-1 du code des relations entre le
public et l'administration, sous réserve de l'occultation préalable des mentions dont la communication serait susceptible
de porter atteinte à l’un des secrets mentionnés aux articles L311-5 et L311-6 du même code, à condition qu’ils soient
achevés.
Elle rappelle toutefois qu’en application du deuxième alinéa de l'article L311-2 du même code, un document préparatoire
est exclu du droit d’accès aussi longtemps que la décision administrative qu’il prépare n’est pas intervenue ou que
l’administration n’y a pas manifestement renoncé, à l’expiration d’un délai raisonnable. Elle précise que revêtent un
caractère préparatoire l’ensemble des documents qui concourent à l’élaboration d’une décision administrative
déterminée et sont inséparables de ce processus.
En l'espèce, la Commission relève qu'en réponse à la demande qui lui a été adressée, le garde des sceaux, ministre de
la justice, lui a indiqué que le bilan de l'expérimentation sollicité n'était, à ce jour, pas finalisé. Ce document revêtant à ce
stade un caractère inachevé, la Commission émet donc un avis défavorable à sa communication, en application du
premier alinéa de l’article L311-2 du code des relations entre le public et l’administration.
Elle précise, toutefois, qu'une fois achevé et dans l'hypothèse où le document sollicité était élaboré afin d'évaluer
l'expérimentation en vue de son éventuelle prolongation, il s'inscrirait alors dans un processus décisionnel identifié et ne
perdrait par suite son caractère préparatoire qu'après l'intervention de la décision finale de l'administration relative au
développement de son algorithme « DataJust ». Elle précise néanmoins que les dispositions du deuxième alinéa de
l’article L311-2 du code des relations entre le public et l’administration ne font pas obstacle à ce que l'administration
assure, à tout moment, une diffusion publique de ce document au nom de la transparence de l’action administrative,
sous réserve le cas échéant des mentions protégées par les dispositions de l’article L311-6 du code des relations entre
le public et l’administration.
Si, en revanche, comme le soutient le demandeur, l’administration avait d'ores et déjà définitivement renoncé à ce
projet, le bilan de l'expérimentation sera immédiatement communicable dès son achèvement, sous les réserves
précédemment rappelées.
Référence
20227752
Administration
Séance
26 janvier 2023
Rectorat de l'académie de Grenoble (AC 38)
Type
Avis
Partie
III
Avis
Madame X a saisi la Commission d'accès aux documents administratifs, par courrier enregistré à
son secrétariat le 9 décembre 2022, à la suite du refus opposé par la rectrice de l'académie de Grenoble à sa demande
de communication des règles définissant le traitement algorithmique « Affelnet-lycée » ainsi que les caractéristiques
définissant sa mise en œuvre.
En l’absence de réponse de la rectrice de l'académie de Grenoble à la date de sa séance, la commission rappelle
qu'aux termes de l'article L311-3-1 du code des relations entre le public et l'administration, sous réserve des secrets
protégés en application du 2° de l'article L311-5 du même code : « (...) une décision individuelle prise sur le fondement
d'un traitement algorithmique comporte une mention explicite en informant l'intéressé. Les règles définissant ce
traitement ainsi que les principales caractéristiques de sa mise en œuvre sont communiquées par l'administration à
l'intéressé s'il en fait la demande ».
En l'espèce, la commission considère que la demande doit être regardée comme tendant, sur le fondement des
dispositions précitées, à la communication des règles définissant le traitement AFFELNET ainsi que les principales
caractéristiques de sa mise en œuvre. Elle estime dès lors que Madame X est fondée à obtenir, en application des
articles L311-3-1, R311-3-1 et R311-3-2 du code des relations entre le public et l'administration et sous une forme
intelligible, communication du degré et du mode de contribution du traitement algorithmique à la prise de décision, des
données traitées et de leurs sources, des paramètres de traitement et, le cas échéant, de leur pondération, appliqués à
Commission d’accès aux documents administratifs (CADA)
15
la situation de son fils, ainsi que des opérations effectuées par le traitement. La commission émet ainsi un avis
favorable.
Référence
20228019
Administration
Séance
26 janvier 2023
Ministère de l'Europe et des affaires étrangères
Type
Avis
Partie
III
Avis
Monsieur X a saisi la Commission d’accès aux documents administratifs, par courrier enregistré à
son secrétariat le 22 décembre 2022, à la suite du refus opposé par le ministre de l’Europe et des affaires étrangères à
sa demande de communication des documents suivants, formulés auprès du consulat de l'ambassade de France en
Ethiopie, relatifs au traitement des demandes de bourses des Français à l'étranger :
1) tous les procès-verbaux, initiaux et non pas ceux diffusés sur le site de l'ambassade, envoyés aux commissions
nationales d'attribution des bourses scolaires (1 et 2) concernant les personnes résidant à l'étranger, en ce compris, les
avis détaillés de chacun des membres intervenus lors des commissions consulaires d'attribution des bourses scolaires
(1 et 2) pour les Français résidant à l'étranger ainsi que celui de la dernière commission consulaire d'attribution des
bourses scolaires 2 pour les Français résidant à l'étranger ;
2) la dernière décision prise, concernant sa fille X, lors de la commission consulaire d'attribution des bourses scolaires 2
pour les Français résidant à l'étranger ;
3) les convocations des membres du conseil consulaire relatives à toutes les commissions consulaires d'attribution des
bourses scolaires pour les Français résidant à l'étranger depuis la commission consulaire d'attribution des bourses 2 fin
2018 ;
4) les courriers entre le chef de poste consulaire ou diplomatique et le président des conseils consulaires et qui
concernent les ordres du jour des commissions consulaires d'attribution des bourses scolaires pour les Français
résidant à l'étranger ;
5) les courriers entre le chef de poste consulaire ou diplomatique et/ou les autres membres de la commission
consulaire, relatifs aux commissions consulaires d'attribution des bourses scolaires (1 et 2) pour les Français résidant à
l'étranger ;
6) les feuilles de présence signées par les différents membres à ces commissions, ainsi que tout autre document
nécessaire à la tenue des commissions consulaires d'attribution des bourses scolaires pour les Français résidant à
l'étranger ;
7) et, dans le cas où les décisions de la commission consulaire d'attribution des bourses scolaires sont fondées sur un
traitement algorithmique de leurs informations à caractère personnel, communication, sous une forme intelligible, des
informations aux questions suivantes :
7.1) quel est le degré et le mode de contribution du traitement algorithmique à la prise de décision ;
7.2) quelles sont les données traitées et leurs sources ?
7.3) quels sont les paramètres de traitement et, le cas échéant, leur pondération, appliquée à la situation de l'intéressé ?
7.4) quelles sont les opérations effectuées par le traitement ?
En l’absence de réponse du ministre de l’Europe et des affaires étrangères à la date de sa séance, la commission
précise qu’en vertu de l’article D531-45 du code de l’éducation, « les bourses accordées par l'Agence pour
l'enseignement français à l'étranger (…) sont proposées par des commissions locales instituées auprès des postes
diplomatiques ou consulaires et attribuées après avis d'une commission nationale instituée auprès du directeur de
l'agence ». L’article D531-48 prévoit que les « commissions locales examinent et présentent à la commission nationale
les demandes de bourses scolaires dont peuvent bénéficier les élèves français établis hors de France (..) » avant que la
commission nationale, conformément à l’article D531-51 du même code, « examine les critères d’attribution et donne
son avis sur les propositions de bourses des commissions locales ». Il résulte enfin de l’article D531-47 du même code
que les conseils consulaires institués par l'article 3 de la loi n° 2013-659 du 22 juillet 2013 exercent les attributions des
commissions locales, dans les conditions prévues par le décret n° 2014-144 du 18 février 2014.
En premier lieu, la commission estime que les demandes visées aux points 1), 4), 5) et 6) sont trop imprécises pour
permettre à l'administration d’y répondre. Elle ne peut donc que déclarer ces demandes irrecevables et inviter le
demandeur, s’il le souhaite, à préciser la date de ces documents ou la période souhaitée à l'administration qu'il avait
saisie en lui adressant une nouvelle demande.
En deuxième lieu, la commission considère que les documents visés aux points 2) et 3) de la demande sont des
documents administratifs communicables à toute personne qui en fait la demande, en application de l'article L311-1 du
code des relations entre le public et l'administration.
Elle précise toutefois, d’une part, qu’un document préparatoire est exclu du droit d'accès prévu par le titre Ier du livre III
du code des relations entre le public et l’administration aussi longtemps que la décision administrative qu'il prépare n'est
pas intervenue ou que l'administration n'y a pas manifestement renoncé, à l'expiration d'un délai raisonnable. En
Commission d’accès aux documents administratifs (CADA)
16
l’espèce, la présentation de la demande de bourse de la fille de Monsieur X par le conseil consulaire revêt un caractère
préparatoire tant qu’une décision du directeur de l’AEFE sur cette demande n’est pas intervenue.
Elle rappelle d’autre part, qu’en application de l’article L311-6 du code, ne sont communicables qu'à l'intéressé les
documents dont la communication porterait atteinte à la vie privée, portant une appréciation ou un jugement de valeur
sur une personne physique, nommément désignée ou facilement identifiable ou faisant apparaître le comportement
d'une personne, dès lors que la divulgation de ce comportement pourrait lui porter préjudice.
Elle émet par conséquent un avis favorable à la demande de communication des documents visés aux points 2) et 3)
sous réserve qu’ils ne revêtent plus un caractère préparatoire et après occultation, le cas échéant, des éléments dont la
communication porterait atteinte à la protection de la vie privée de tiers.
En ce qui concerne enfin la demande visée au point 7), la commission rappelle que l’article L311-3-1 du code des
relations entre le public et l’administration dispose que, sous réserve des secrets protégés en application du 2° de
l'article L311-5 du même code, : « (...) une décision individuelle prise sur le fondement d'un traitement algorithmique
comporte une mention explicite en informant l'intéressé. Les règles définissant ce traitement ainsi que les principales
caractéristiques de sa mise en œuvre sont communiquées par l'administration à l'intéressé s'il en fait la demande ».
Dès lors que le conseil consulaire statuant en tant que commission locale pour l’application des articles D531-5 et
suivants du code de l’éducation ne prend pas de décision d’attribution ou de refus d’attribution d’une bourse, la
proposition qu’il émet ne constitue pas une décision individuelle au sens des dispositions précitées. La commission ne
peut dès lors qu’émettre un avis défavorable à la demande de communication des informations relatives à un traitement
algorithmique.
Référence
20228135
Administration
Séance
09 mars 2023
Direction interministérielle de la transformation publique (DITP)
Type
Avis
Partie
III
Avis
Monsieur X, X, a saisi la Commission d'accès aux documents administratifs, par courrier enregistré
à son secrétariat le 28 décembre 2022, à la suite du refus opposé par le délégué interministériel à la transformation
publique à sa demande de communication et publication, avec mise à jour, des documents relatifs à l’application/tableau
de bord Pilote, notamment :
1) le code source ;
2) les données utilisées par l’application ;
3) les écrans de design ;
4) les contrats liés au développement ou à la conception de cette application ;
5) les échanges entre la DITP et la Présidence de la République concernant cette application dans les trois derniers
mois.
A titre liminaire, la Commission rappelle qu'il appartient au demandeur d'opter pour l'une des quatre modalités de
communication prévues par l'article L311-9 du code des relations entre le public et l'administration. Elle estime qu'une
demande de communication et de publication de documents doit être analysée comme tendant à la communication
desdits documents par mise en ligne, conformément au 4° de l'article L311-9 du code des relations entre le public et
l'administration.
La Commission rappelle ensuite qu'un document communicable à toute personne qui en fait la demande, en application
de l'article L311-1 du code précité, peut être publié en ligne sous réserve du respect des conditions posées à l’article
L312-1-2 du même code. Par ailleurs, s'agissant du format du document, l'article L300-4 du même code dispose que : «
Toute mise à disposition effectuée sous forme électronique en application du présent livre se fait dans un standard
ouvert, aisément réutilisable et exploitable par un système de traitement automatisé. », que l'article 4 de la loi du 21 juin
2004 pour la confiance dans l'économie numérique définit comme « tout protocole de communication, d'interconnexion
ou d'échange et tout format de données interopérable et dont les spécifications techniques sont publiques et sans
restriction d'accès ni de mise en œuvre ».
La Commission rappelle également que si le livre III du code des relations entre le public et l’administration garantit un
droit d’accès aux documents existants ou susceptibles d’être obtenus par un traitement automatisé d’usage courant, il
ne permet pas aux demandeurs d’exiger pour l’avenir qu’ils soient rendus systématiquement destinataires de
documents au fur et à mesure de leur élaboration, ni n'oblige les administrations à répondre favorablement à une telle
demande, qui s'analyse comme une demande d'abonnement.
En l'espèce, en réponse à la demande qui lui a été adressée, le délégué interministériel à la transformation publique a
Commission d’accès aux documents administratifs (CADA)
17
informé la Commission, en premier lieu, que les documents mentionnés au point 3) ont été transmis au demandeur. La
Commission déduit également de la réponse de l'administration que les documents mentionnés au point 5) n'existent
pas. Elle déclare, dès lors, la demande d'avis sans objet sur ces deux points.
En deuxième lieu, le délégué interministériel à la transformation publique a précisé que les jeux de données de 43
réformes sur 80, correspondant au point 2), font l'objet d'une diffusion publique au sens de l'article L311-2 du code des
relations entre le public et l'administration. La Commission comprend que les données sollicitées sont disponibles en
libre accès aux adresses suivantes https://www.data.gouv.fr/fr/datasets/barometre-des-resultats-de-laction-publique /
https://github.com/etalab/barometre-resultats-donnees et https://data.economie.gouv.fr/explore/dataset/france-relance-
donnees-agregees/table/. En l'état des informations ainsi portées à sa connaissance, la Commission déclare la
demande d'avis irrecevable dans cette mesure.
La Commission estime, par ailleurs, que les jeux de données des réformes restantes qui n'ont pas encore été mis en
ligne sont communicables à toute personne qui en fait la demande sur le fondement de l'article L311-1 du code des
relations entre le public et l'administration et peuvent être publiés en ligne, dans les conditions rappelées ci-dessus. Elle
émet un avis favorable sur ce point et prend note de l'intention du délégué interministériel à la transformation publique
de procéder à cette mise en ligne sur le site data.gouv.fr d'ici la fin du mois de mars 2023, après vérification de leur
communicabilité.
En troisième lieu, la Commission estime que les documents mentionnés au point 4) de la demande sont librement
communicables, sous réserve de l'occultation préalable des éventuelles mentions protégées par le secret des affaires,
en application de l'article L311-6 du code des relations entre le public et l'administration. En l'espèce, le délégué
interministériel à la transformation publique a précisé que deux documents contractuels avaient été conclus à savoir,
d'une part, l'accord cadre interministériel de conseil de la DITP, lot 2, pour la conception et développement de
démonstrateurs (POC) et d'autre part, la convention cadre UGAP pour le développement informatique. Ces documents
seraient disponibles en ligne sur les sites de la DITP et de l'UGAP. La Commission relève toutefois que le lien
permettant d’accéder auxdits documents ne lui a pas été adressé. Elle émet, par suite, un avis favorable à la publication
de ces documents, dans les conditions rappelées ci-dessus.
En quatrième et dernier lieu, s'agissant du point 1) de la demande, la Commission déduit de la réponse de
l'administration qu'un prestataire a été associé au volet conception technique des solutions et que seul le code source
du baromètre de l’action publique est disponible en libre accès à l’adresse https://github.com/etalab/barometre-resultats.
En supposant que la demande porte également sur d’autres codes sources, la Commission rappelle que l'article L311-4
de ce code dispose que : « Les documents administratifs sont communiqués ou publiés sous réserve des droits de
propriété littéraire et artistique ». Il en résulte que lorsqu'un tiers détient des droits de propriété intellectuelle sur un
document administratif en possession de l'administration, cette dernière doit sol iciter son autorisation avant de procéder
à la communication du document, ainsi qu'il ressort de l'avis n° 20180226, du 17 mai 2018.
La Commission estime par ailleurs que les codes sources des administrations devraient en principe être librement et
intégralement communicables à toute personne qui en fait la demande, en application de l’article L311-1 du code des
relations entre le public et l’administration. Si la sécurité des systèmes d’information ne devrait en principe pas pouvoir
être opposée aux fragments du code traduisant la mise en œuvre de l’algorithme, c’est-à-dire la manière dont sont
prises les décisions administratives, en revanche, les vulnérabilités des fragments du code décrivant techniquement
l’ensemble des éléments déployés pour la sécurité et la gestion fonctionnelle de l’infrastructure sont vecteurs de risque
pour la sécurité des systèmes d’information. Sont en particulier visés les secrets cryptographiques et les éléments de
configuration des systèmes assurant la sécurité des systèmes informatiques utilisés, tels que ceux permettant de
sécuriser la transmission des données avec les serveurs de l’administration. La divulgation de ces éléments est de
nature à faciliter l’exploitation des failles de sécurité du système d’information développé et, par suite, à favoriser des
intrusions informatiques ou des situations dangereuses, telles que des contournements ou des interférences dans le
fonctionnement du système.
La Commission constate donc qu’en pratique, la libre communication de l’intégralité des codes sources des
administrations est, à un instant donné, intrinsèquement liée à la qualité des systèmes d’information développés et des
codes sources correspondants. La Commission estime, dès lors, que doivent être occultés ou disjoints avant toute
communication, en application du d) du 2° de l’article L311-5 du code des relations entre le public et l’administration, les
fragments du code décrivant techniquement l’ensemble des éléments déployés pour la sécurité et la gestion
fonctionnelle de l’infrastructure dans la mesure où ils sont vecteurs de risque pour la sécurité des systèmes
d’information. Elle précise que cette réserve, par nature temporaire, les administrations devant se mettre en situation de
respecter, le cas échéant progressivement et en tout état de cause dans les meilleurs délais, l’article L311-1 du code
des relations entre le public et l’administration, doit être appréciée strictement, à partir d’éléments circonstanciés fournis
par les administrations.
La Commission rappelle enfin, qu’il résulte des dispositions de l’article L311-6 du code des relations entre le public et
Commission d’accès aux documents administratifs (CADA)
18
l'administration, que le secret des affaires comprend le secret des procédés, des informations économiques et
financières et des stratégies commerciales ou industrielles. Il s’apprécie en tenant compte, le cas échéant, du fait que la
mission de service public est soumise à la concurrence, et eu égard à la définition donnée à l’article L151-1 du code de
commerce. Aux termes de cet article est protégée par le secret des affaires toute information répondant aux critères
suivants : « (…) 1° Elle n'est pas, en elle-même ou dans la configuration et l'assemblage exacts de ses éléments,
généralement connue ou aisément accessible pour les personnes familières de ce type d'informations en raison de leur
secteur d'activité ; 2° Elle revêt une valeur commerciale, effective ou potentiel e, du fait de son caractère secret ; 3° Elle
fait l'objet de la part de son détenteur légitime de mesures de protection raisonnables, compte tenu des circonstances,
pour en conserver le caractère secret. » Elle estime ainsi qu'un code source acquis auprès d'un tiers ou élaboré par un
prestataire peut, dans certains cas, relever de la protection du secret des affaires au titre du secret des procédés et des
savoir-faire (avis n° 20220816 du 31 mars 2022).
Elle émet donc, sous ces réserves, un avis favorable à la communication par voie de publication en ligne du code
source de l'application PILOTE mentionné au point 1).
Commission d’accès aux documents administratifs (CADA)
19
