[Brèves] Instruction définissant les caractéristiques du traitement de données prenant la forme de la transmission d'informations des SIAO à l’OFII : compétence des ministres pour définir ou compléter un traitement de données à caractère personnel

►Le renvoi au décret en Conseil d'Etat, antérieur à la loi du 10 septembre 2018 (N° Lexbase : L9696LLP), qui a pour principal objet la mise en œuvre de l'évaluation de la vulnérabilité des demandeurs d'asile et des modalités d'échanges d'informations entre l'OFII et l'OFPRA n'a pas entendu remettre en cause le pouvoir dont disposent les ministres compétents en leur qualité de chefs de service pour définir ou compléter un traitement de données à caractère personnel dans le respect des dispositions du Règlement (UE) 2016/679 (N° Lexbase : L0189K8I) et des dispositions de la loi du 6 janvier 1978 (N° Lexbase : L8794AGS), sous réserve des dispositions prévues par celle-ci s'agissant du traitement de certaines données. 

Telle est l’une des précisions apportées par le Conseil d’Etat dans une décision du 6 novembre 2019 (CE 2° et 7° ch.-r., 6 novembre 2019, n° 434376, mentionné aux tables du recueil Lebon N° Lexbase : A8850ZTX).

Procédure. De nombreuses associations demandaient au Conseil d'Etat d'annuler l'instruction interministérielle n° DGCS/SD1A/DGEF/2019/143 du 4 juillet 2019 relative à la coopération entre les services intégrés d'accueil et d'orientation (SIAO) et l'Office français de l'immigration et de l'intégration (OFII) pour la prise en charge des demandeurs d'asile et des bénéficiaires d'une protection internationale (v., aussi, CNCDH, Avis sur l'instruction ministérielle relative à la coopération entre les SIAO et l'Office français de l'immigration et de l'intégration (OFII) N° Lexbase : L8557LSQ).

Incompétence des auteurs de l'instruction (non). Si les dispositions du huitième alinéa de L. 744-6 du Code de l'entrée et du séjour des étrangers et du droit d'asile (N° Lexbase : L1928LMD) prévoient qu'un décret en Conseil d'Etat fixe ses modalités d'application, ce renvoi à un décret en Conseil d'Etat, antérieur à la loi n° 2018-778 du 10 septembre 2018, qui a pour principal objet la mise en œuvre de l'évaluation de la vulnérabilité des demandeurs d'asile et des modalités d'échanges d'informations entre l'OFII et l'Office français de protection des réfugiés et apatrides n'a pas entendu remettre en cause le pouvoir dont disposent les ministres compétents en leur qualité de chefs de service pour définir ou compléter un traitement de données à caractère personnel dans le respect des dispositions du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (RGPD) et des dispositions de la loi n° 78-17 du 6 janvier 1978, sous réserve des dispositions prévues par celle-ci s'agissant du traitement de certaines données. Le moyen tiré de l'incompétence des auteurs de l'instruction doit, par suite, être écarté.

Méconnaissance du droit à la protection des données personnelles (non). L'article 35 du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (RGPD) prévoit que le responsable du traitement effectue une analyse d'impact relative à la protection des données lorsque le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques. Si cette analyse incombe au responsable du traitement, sa réalisation est en principe préalable à la mise en œuvre du traitement et l'analyse doit être actualisée après le lancement effectif du traitement afin de garantir en permanence une prise en compte adaptée des risques pour les droits et libertés des personnes physiques liés au traitement de leurs données à caractère personnel. Ainsi, alors que la réalisation d'une analyse d'impact d'un traitement de données personnelles, dont l'absence peut donner lieu à des sanctions par la CNIL en application de l'article 20 de la loi n° 78-17 du 6 janvier 1978, est liée à la mise en œuvre de ce traitement, la seule circonstance, invoquée par les associations requérantes, qu'elle n'aurait pas été réalisée avant la signature de l'instruction n'est pas de nature à entacher celle-ci d'illégalité. Le moyen tiré de la méconnaissance par l'instruction attaquée de l'article 35 du RGPD doit par suite et en tout état de cause être écarté.

Rejet. Les conclusions présentées par les associations requérantes sont donc rejetées.

© Reproduction interdite, sauf autorisation écrite préalable